วิธีตั้งค่า 802.1X ร่วมกับ RADIUS Server บล็อกสาย LAN แปลกปลอม

เมื่อสามสัปดาห์ก่อน ผู้จัดการฝ่ายไอทีขององค์กรแห่งหนึ่งได้ติดต่อเข้ามาด้วยความกังวล เนื่องจากมีผู้รับเหมาภายนอกเดินเข้ามาภายในสำนักงาน และนำแล็ปท็อปส่วนตัวไปเชื่อมต่อเข้ากับพอร์ต LAN บนโต๊ะทำงานที่ว่างอยู่ เพียงไม่กี่นาทีต่อมา ระบบตรวจจับและป้องกันภัยคุกคามได้แจ้งเตือนถึงพฤติกรรมผิดปกติ มีความพยายามสแกนหาช่องโหว่ของเซิร์ฟเวอร์หลักภายในองค์กร เหตุการณ์ดังกล่าวสะท้อนให้เห็นถึงช่องโหว่ที่มักมองข้าม โดยองค์กรส่วนใหญ่ให้ความสำคัญกับการรักษาความปลอดภัยเครือข่ายไร้สาย (Wi-Fi) แต่กลับละเลยพอร์ต LAN ภายในอาคาร ซึ่งเปรียบเสมือนประตูเปิดโล่งให้บุคคลภายนอกเข้าถึงระบบเครือข่ายได้โดยง่าย

คำถามเชิงกลยุทธ์คือ เราจะปิดช่องโหว่นี้อย่างไรโดยไม่ต้องใช้วิธีทางกายภาพ เช่น การปลดหรือถอดสาย LAN บนโต๊ะทำงานทั้งหมด? แนวทางปฏิบัติที่เป็นมาตรฐานสากลและได้รับการยอมรับสูงสุดในการรักษาความปลอดภัยโครงสร้างพื้นฐานเครือข่าย คือการ implementing ระบบควบคุมการเข้าถึงเครือข่าย หรือ Network Access Control (NAC) ด้วยมาตรฐาน IEEE 802.1X ร่วมกับ RADIUS Server ครับ

802.1X Network Access Control มีหลักการทำงานอย่างไร?

ในทางเทคนิค มาตรฐาน IEEE 802.1X ทำหน้าที่เป็นกลไกตรวจสอบสิทธิ์การเข้าถึงเครือข่ายแบบพอร์ต (Port-Based Network Access Control) ทันทีที่มีการเชื่อมต่อสาย LAN หากอุปกรณ์ปลายทางไม่สามารถแสดงหลักฐานยืนยันตัวตน เช่น ข้อมูลประจำตัว (Credentials) หรือใบรับรองดิจิทัล (Digital Certificate) ที่ถูกต้อง พอร์ตของสวิตช์นั้นจะถูกระงับการเชื่อมต่อทันที (Unauthorized State) ส่งผลให้อุปกรณ์ดังกล่าวไม่สามารถรับ-ส่งแพ็กเกจข้อมูลใดๆ เข้าสู่ระบบเครือข่ายภายในได้

สถาปัตยกรรมพื้นฐานของระบบ 802.1X ประกอบด้วยองค์ประกอบหลัก 3 ส่วน ได้แก่:

• Supplicant: ซอฟต์แวร์หรือบริการระบบปฏิบัติการบนอุปกรณ์ปลายทาง (เช่น Windows, macOS, Linux) ที่ทำหน้าที่ส่งคำขอและข้อมูลยืนยันตัวตน
• Authenticator: อุปกรณ์เครือข่ายชั้นเข้าถึง (Access Layer) หรือ Managed Switch ที่รองรับมาตรฐาน 802.1X ทำหน้าที่บล็อกการรับส่งข้อมูลบนพอร์ตจนกว่าจะได้รับการอนุมัติจากเซิร์ฟเวอร์
• Authentication Server: ระบบ RADIUS Server (เช่น FreeRADIUS หรือ Microsoft Windows Server NPS) ทำหน้าที่เป็นฐานข้อมูลกลางในการตรวจสอบความถูกต้องของสิทธิ์ผู้ใช้งาน

ขั้นตอนการออกแบบและตั้งค่า 802.1X ร่วมกับ RADIUS Server

จากประสบการณ์ในการออกแบบและวางระบบโครงสร้างพื้นฐานเครือข่ายให้แก่ลูกค้าองค์กร การติดตั้งระบบ 802.1X ให้มีความเสถียรและปลอดภัยสูงสุด มีขั้นตอนทางวิศวกรรมที่ต้องดำเนินการตามลำดับ ดังนี้ครับ

1. การจัดเตรียมและตั้งค่า RADIUS Server

เริ่มต้นด้วยการติดตั้งและกำหนดค่า RADIUS Server สำหรับองค์กรที่ใช้งาน Microsoft Active Directory (AD) อยู่แล้ว การเปิดใช้งานบทบาท Network Policy Server (NPS) บน Windows Server จะมีความสะดวกในการบูรณาการสูงสุด แต่หากองค์กรเลือกใช้โซลูชัน Open Source ระบบ FreeRADIUS บน Linux จะมอบประสิทธิภาพสูงและบริหารต้นทุนได้อย่างคุ้มค่า

กำหนดค่า Shared Secret Key บน RADIUS Server เพื่อใช้เป็นรหัสลับในการเข้ารหัสการสื่อสารระหว่าง Managed Switch กับเซิร์ฟเวอร์ พร้อมทั้งกำหนดนโยบายการยืนยันตัวตน (Authentication Policies) โดยเลือกใช้โปรโตคอลความปลอดภัยที่เหมาะสม เช่น EAP-PEAP (สำหรับการยืนยันตัวตนด้วย Username/Password) หรือ EAP-TLS (สำหรับการยืนยันตัวตนขั้นสูงด้วย Digital Certificate บนอุปกรณ์)

2. การกำหนดค่าบน Managed Switch (Authenticator)

เข้าสู่ระบบจัดการของ Managed Switch ที่ควบคุมพอร์ต LAN ปลายทาง แล้วดำเนินการตั้งค่าดังนี้:

• เปิดใช้งานฟังก์ชัน 802.1X Global Authentication บนตัวอุปกรณ์สวิตช์
• ระบุ IP Address ของ RADIUS Server พร้อมใส่ค่า Shared Secret ให้ตรงกับที่ตั้งค่าไว้บนเซิร์ฟเวอร์
• กำหนดค่าพอร์ต LAN ที่ต้องการควบคุมให้อยู่ในโหมด 802.1X Port-Based Authentication
• กำหนดค่า Re-authentication Period (รอบเวลาตรวจสอบสิทธิ์ซ้ำ) และตั้งค่า Guest VLAN หรือ Unauthenticated VLAN เพื่อแยกอุปกรณ์ที่ไม่ผ่านการตรวจสอบสิทธิ์ให้ไปใช้งานได้เฉพาะเครือข่ายอินเทอร์เน็ตภายนอกเท่านั้น

3. การกำหนดค่าอุปกรณ์ปลายทาง (Supplicant)

สำหรับเครื่องลูกข่าย (Client Workstations) ที่ใช้ระบบปฏิบัติการ Windows หรือ macOS ให้ตรวจสอบและเปิดใช้งานบริการ Wired AutoConfig ในระบบ Services ของ Windows จากนั้นเข้าไปที่การตั้งค่า Network Adapter Properties เลือกแถบ Authentication เปิดใช้งาน 802.1X และเลือก Authentication Method เป็น Microsoft: Protected EAP (PEAP) พร้อมระบุบัญชีผู้ใช้งาน Domain หรือบัญชีที่ลงทะเบียนไว้ใน RADIUS Server

4. การใช้งาน Dynamic VLAN และ Port Security

หนึ่งในฟีเจอร์ขั้นสูงของการประยุกต์ใช้ 802.1X ร่วมกับ RADIUS ที่มีประสิทธิภาพสูงคือ Dynamic VLAN Assignment เมื่อพนักงานแผนกบัญชีนำแล็ปท็อปมาเชื่อมต่อพอร์ต LAN ระบบจะทำการตรวจสอบสิทธิ์และสั่งการให้สวิตช์ย้ายพอร์ตนั้นไปยัง VLAN ของแผนกบัญชีโดยอัตโนมัติ ในทางกลับกัน หากพนักงานฝ่ายไอทีมาเชื่อมต่อพอร์ตเดียวกัน ระบบจะสลับพอร์ตไปสู่วง VLAN ของไอทีทันที ช่วยยกระดับความปลอดภัยและเพิ่มความยืดหยุ่นในการบริหารจัดการโครงข่ายโดยไม่ต้องสลับสายหรือแก้ไข configuration บนสวิตช์แบบ Manual

ข้อควรระวังและแนวทางปฏิบัติในการใช้งานจริง

แม้ว่าการบังคับใช้ 802.1X จะช่วยยกระดับความปลอดภัยของเครือข่ายองค์กรได้อย่างสมบูรณ์แบบ แต่ในสภาพแวดล้อมสำนักงานจริงจะมีอุปกรณ์ไอทีบางประเภทที่ไม่รองรับโปรโตคอล 802.1X เช่น เครื่องพิมพ์เครือข่าย (Network Printers), กล้องวงจรปิด (IP Cameras) หรือโทรศัพท์ไอพี (IP Phones)

แนวทางปฏิบัติทางวิศวกรรมที่ผมแนะนำเสมอคือ การเปิดใช้งานฟังก์ชัน MAC Authentication Bypass (MAB) ควบคู่กันไป โดยเมื่อสวิตช์ตรวจพบอุปกรณ์ที่ไม่รองรับ 802.1X จะทำการดึงค่า MAC Address ของอุปกรณ์นั้นส่งไปตรวจสอบกับ RADIUS Server หากตรงกับฐานข้อมูลที่ได้รับอนุญาต (White-list) เซิร์ฟเวอร์จะอนุญาตให้พอร์ตนั้นสามารถเชื่อมต่อเครือข่ายได้ตามปกติ ช่วยให้ระบบรักษาความปลอดภัยทำงานได้อย่างเข้มงวด พร้อมๆ กับที่อุปกรณ์ฮาร์ดแวร์พื้นฐานอื่นๆ สามารถปฏิบัติงานได้อย่างต่อเนื่องไม่สะดุด