คู่มือตั้งค่า 802.1X บน Enterprise Switch และ Trunk Port
โจทย์ความท้าทายหน้างานและการป้องกันอุปกรณ์แปลกปลอมด้วย 802.1x
โครงการยกระดับความปลอดภัยเครือข่ายของบริษัทขนส่งสินค้าระดับชาติแห่งหนึ่งในย่านบางนา พบปัญหาความท้าทายด้านการควบคุมการเข้าถึงระบบเน็ตเวิร์ก (Network Access Control) เนื่องจากมีผู้รับเหมาและบุคคลภายนอกลักลอบนำโน้ตบุ๊กส่วนตัวมาเสียบเข้ากับสาย LAN ที่ลอยอยู่ตามจุดต่างๆ ในสำนักงาน ทำให้เกิดช่องโหว่ให้ผู้ไม่หวังดีสามารถเข้าถึงระบบเซิร์ฟเวอร์ภายในองค์กรได้โดยตรง การใช้ MAC Authentication ปกติไม่เพียงพอเนื่องจากการปลอมแปลง MAC Address (MAC Spoofing) ทำได้ง่ายมาก วิศวกรของ SIAM-LOGIN จึงต้องเข้ามาออกแบบระบบยืนยันตัวตนด้วยมาตรฐาน IEEE 802.1X บน Enterprise Switch และเชื่อมโยงการทำงานเข้ากับ บริการติดตั้ง WiFi Hotspot & Radius Server ของเรา เพื่อจำกัดสิทธิ์การใช้งานพอร์ตสวิตช์อย่างเข้มงวด
สเปกฮาร์ดแวร์และสถาปัตยกรรมระบบ Network Access Control
การทำ Port-based Authentication ระดับเอ็นเทอร์ไพรส์ จำเป็นต้องอาศัยอุปกรณ์สวิตช์ระดับ Layer 2/3 ที่รองรับ IEEE 802.1X, MAC Authentication Bypass (MAB) และ RADIUS Accounting อย่างสมบูรณ์แบบ ในสถาปัตยกรรมนี้เราเลือกใช้สวิตช์ Cisco Catalyst 9300 Series หรือ Aruba CX 6300 Series เชื่อมต่อผ่าน บริการรับวางระบบ Network องค์กร เดินสาย LAN & Fiber ควบคู่กับ MikroTik CCR2004-1G-12S+2XS ทำหน้าที่เป็น Gateway และ FreeRADIUS Server สำหรับประมวลผลคำขอสิทธิ์การเข้าถึงระบบ
สเปกพารามิเตอร์เชิงวิศวกรรมสำหรับ 802.1 X Control
ตารางด้านล่างแสดงการเปรียบเทียบพารามิเตอร์เชิงวิศวกรรมระหว่างโหมดการยืนยันตัวตนต่างๆ บนสวิตช์พอร์ต เพื่อให้วิศวกรสามารถเลือกใช้งานได้อย่างเหมาะสมตามประเภทของอุปกรณ์ปลายทาง
| Authentication Mode | Supported Devices | Security Level | Implementation Complexity |
|---|---|---|---|
| 802.1X (Port-based / EAP) | Windows/Linux PCs with Supplicant | สูงสุด (Cryptographic Authentication) | ปานกลาง (ต้องเปิดใช้ WZC/Dot1x Service) |
| MAC Authentication Bypass (MAB) | IP Phone, Printer, CCTV Camera | ปานกลาง (ใช้ MAC Database) | ต่ำ (ตั้งค่าง่ายแต่ปลอมแปลงได้ง่ายกว่า) |
| Multi-Auth / Hybrid Mode | IP Phone เชื่อมต่อกับ PC พ่วงต่อ | สูง (รองรับหลายอุปกรณ์ต่อ 1 พอร์ต) | สูง (ต้องละเอียดรอบคอบในการทำ VLAN Assignment) |
แนวทางการคอนฟิก 802.1 x Trunk Port และ Access Port บน Cisco Switch
การตั้งค่าบน Switch Port ฝั่งที่เชื่อมต่อกับ Access Point หรือ IP Phone ที่ต้องมีการส่งผ่านหลาย VLAN (Trunk) จำเป็นต้องเปิดใช้งาน Guest VLAN และ Auth Fallback ควบคู่กันไป เพื่อป้องกันไม่ให้อุปกรณ์ที่ไม่รองรับ 802.1X ถูกตัดขาดจากเครือข่ายอย่างถาวร ด้านล่างคือชุดคำสั่ง CLI สำหรับตั้งค่าพอร์ตสวิตช์
!
-- เปิดใช้งานระบบ AAA บนสวิตช์
aaa new-model
-- กำหนดค่า RADIUS Server หลัก
radius server SIAM-LOGIN-RADIUS
address ipv4 192.168.10.10 auth-port 1812 acct-port 1813
key 0 SecretRadiusKey2026!
!
aaa group server radius RADIUS-GROUP
server name SIAM-LOGIN-RADIUS
!
aaa authentication dot1x default group RADIUS-GROUP
aaa authorization network default group RADIUS-GROUP
-- เปิดใช้งาน Dot1x Global
dot1x system-auth-control
!
-- ตัวอย่างการตั้งค่าพอร์ต Access และ Trunk สำหรับ 802.1X
interface GigabitEthernet1/0/1
description User-Workstation-Port
switchport mode access
authentication port-control auto
mab
dot1x pae authenticator
dot1x timeout quiet-period 10
dot1x timeout tx-period 5
spanning-tree portfast
!dot1x pae authenticator บน 802.1 x trunk port หากคอนฟิก VLAN ผิดพลาดหรือไม่ได้กำหนด authentication periodic และ guest-vlan จะส่งผลให้อุปกรณ์ VoIP หรือ AP ที่ต่อพ่วงอยู่ไม่สามารถรับสัญญาณได้ทันที แนะนำให้ทดสอบบนพอร์ตเดียวก่อนนำไปใช้กับพอร์ต Production จริง
ขั้นตอนการตรวจสอบสถานะและแก้ไขปัญหา (Verification & Troubleshooting)
เมื่อติดตั้งระบบเสร็จสิ้น วิศวกรจำเป็นต้องตรวจสอบสถานะการยืนยันตัวตนของพอร์ตสวิตช์ เพื่อให้มั่นใจว่าระบบ RADIUS และ Supplicant สื่อสารกันได้อย่างถูกต้องโดยใช้คำสั่งตรวจสอบดังนี้:
- ตรวจสอบสถานะพอร์ต: ใช้คำสั่ง
show authentication sessions interface GigabitEthernet1/0/1 detailsเพื่อดูว่าพอร์ตอยู่ในสถานะ Authorized หรือไม่ - ตรวจสอบแพ็กเก็ต RADIUS: ใช้คำสั่ง
debug radius authenticationบน RADIUS Server เพื่อดูการรับส่ง Request และ Access-Accept - ตรวจสอบ Log บนสวิตช์: ตรวจดูข้อความแจ้งเตือนผ่าน
show log | include DOT1Xเพื่อวิเคราะห์สาเหตุหากเครื่องลูกข่ายไม่สามารถเชื่อมต่อได้
นอกจากนี้ หากองค์กรของคุณต้องการความมั่นใจสูงสุดในการป้องกันภัยคุกคามทางไซเบอร์และการเก็บบันทึกข้อมูลการใช้งาน สามารถใช้บริการเสริมอื่น ๆ เช่น ระบบจัดเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ 90 วัน เพื่อผูกข้อมูลการยืนยันตัวตนเข้ากับ Log การใช้งานอินเทอร์เน็ตได้อย่างสมบูรณ์
อุปกรณ์ Network & PoE Switch แนะนำสำหรับโซลูชันองค์กร
ดูอุปกรณ์ทั้งหมด →คำถามที่พบบ่อยเกี่ยวกับบทความนี้ (FAQ)
Q: 802.1 x authentication คืออะไร และสำคัญอย่างไรต่อความปลอดภัยองค์กร?
802.1X คือมาตรฐาน IEEE สำหรับการควบคุมการเข้าถึงเครือข่ายแบบ Port-based Authentication โดยบังคับให้ผู้ใช้งานหรืออุปกรณ์ต้องพิสูจน์ตัวตน (Authentication) ผ่าน RADIUS Server ก่อนจึงจะได้รับอนุญาตให้เชื่อมต่อเข้าสู่ระบบ LAN หรือ VLAN ขององค์กร ป้องกันการนำสาย LAN ปลอมมาเสียบเพื่อเจาะระบบ
Q: ความแตกต่างระหว่างการทำ 802.1X บน Access Port และ 802.1 x trunk port คืออะไร?
Access Port มักใช้กับอุปกรณ์ปลายทางเดี่ยว เช่น พอร์ตคอมพิวเตอร์พนักงานทั่วไป ส่วน 802.1 x trunk port จะใช้กับอุปกรณ์ที่ต้องส่งผ่านหลาย VLAN เช่น สวิตช์ตัวลูก (Cascade Switch) หรือ Access Point ที่ให้บริการ SSID หลากหลาย VLAN ซึ่งต้องตั้งค่า Multi-Auth และ Guest VLAN รองรับ
Q: หากอุปกรณ์ปลายทางไม่มี Supplicant สำหรับ 802.1X (เช่น เครื่องพิมพ์ หรือกล้องวงจรปิด) จะแก้ปัญหาอย่างไร?
สามารถใช้ฟังก์ชัน MAC Authentication Bypass (MAB) บนสวิตช์ร่วมกับฐานข้อมูล MAC Address บน RADIUS Server เพื่อให้สวิตช์อนุญาตให้อุปกรณ์เหล่านั้นเชื่อมต่อได้โดยอัตโนมัติ
บทความที่น่าสนใจในหมวดเดียวกัน
ดูทั้งหมดในหมวดนี้ →วิธีตั้งค่า FortiGate Zero Trust Network Access (ZTNA) ป้องกันเครือข่ายองค์กรจากภัยคุกคามภายนอก
เรียนรู้วิธีตั้งค่า FortiGate ZTNA เพื่อเพิ่มความปลอดภัยในเครือข่ายองค์กร พร้อมตัวอย่าง CLI และการตรวจสอบสถานะระบบอย่างละเอียด
วิธีตั้งค่า Fortinet SD-WAN เพิ่มประสิทธิภาพการเชื่อมต่อ Multi-Branch
คู่มือการตั้งค่า Fortinet SD-WAN อย่างละเอียดพร้อมคำสั่ง CLI และกลยุทธ์ Failover เพิ่มความเสถียรสำหรับเครือข่าย Multi-Branch
ตั้งค่า MikroTik RouterOS v7 สำหรับ Network Segmentation ป้องกัน Ransomware ข้าม VLAN
เรียนรู้วิธีตั้งค่า MikroTik RouterOS v7 สำหรับ Network Segmentation เพื่อลดความเสี่ยงจาก Ransomware ข้าม VLAN อย่างมีประสิทธิภาพ พร้อมตัวอย่าง CLI และคำแนะนำจากประสบการณ์จริง
ต้องการความช่วยเหลือหรือจ้างวางระบบ Network?
ทีมวิศวกร SIAM-LOGIN ยินดีให้คำปรึกษา ออกแบบระบบ และจัดส่งทีมเข้าติดตั้งหน้างาน