วิธีตั้งค่า BGP OSPF Redistribution บน MikroTik RouterOS v7 เชื่อมต่อเครือข่ายสำนักงานใหญ่และสาขา

เจาะลึกปัญหาหน้างาน: ทำไม Dynamic Routing ระหว่างสำนักงานใหญ่และสาขาถึงจำเป็น

เมื่อสัปดาห์ก่อน ทีมวิศวกรโครงสร้างพื้นฐานของ SIAM-LOGIN ได้รับแจ้งเหตุจากลูกค้าองค์กรขนาดใหญ่แห่งหนึ่ง ซึ่งมีสำนักงานใหญ่อยู่ในกรุงเทพฯ และมีโรงงานสาขาอีก 3 แห่งในเขตนิคมอุตสาหกรรม โดยแต่ละสาขาเชื่อมต่อเครือข่ายภายในผ่านระบบ เครื่องมือสร้างสคริปต์ MikroTik RouterOS v7 ร่วมกับอุโมงค์ความปลอดภัย ปัญหาที่พบคือ เมื่อมีการเพิ่มวงแลนใหม่ (Subnet) สำหรับระบบกล้องวงจรปิด บริการติดตั้งกล้องวงจรปิด CCTV AI หรือการขยายโซนเซิร์ฟเวอร์ บริการติดตั้ง Server & Synology NAS สำรองข้อมูล ฝั่งสำนักงานใหญ่ ฝั่งสาขาจะไม่สามารถมองเห็นเครือข่ายใหม่ได้ทันที เนื่องจากเดิมทีทางผู้ดูแลระบบใช้ Static Route แบบระบุเส้นทางตายตัว (Manual Route) ซึ่งสร้างความยุ่งยากและมักเกิดข้อผิดพลาดเมื่อลิงก์เชื่อมต่อมีปัญหา

เพื่อแก้ปัญหาคอขวดและลดภาระงานซ้ำซ้อนของผู้ดูแลระบบ แนวทางทางวิศวกรรมที่ดีที่สุดคือการผสมผสานโปรโตคอล Dynamic Routing สองตัวเข้าด้วยกัน ได้แก่ การใช้ OSPF (Open Shortest Path First) ภายในเครือข่าย LAN ของแต่ละไซต์เพื่อบริหารจัดการเส้นทางภายใน และใช้ BGP (Border Gateway Protocol) บน RouterOS v7 เพื่อแลกเปลี่ยนเส้นทางข้ามเขตเครือข่าย (Inter-AS / Multi-Site) ผ่านโครงข่ายอุโมงค์เสมือน โดยเฉพาะการทำ WireGuard Site to Site MikroTik RouterOS v7 ที่ให้ความเร็วสูงและกินทรัพยากรซีพียูต่ำกว่า IPsec แบบดั้งเดิม

สเปกฮาร์ดแวร์และสถาปัตยกรรมสำหรับ WireGuard Site to Site MikroTik RouterOS v7

การรันโปรโตคอล Routing ซ้อนกันทั้ง OSPF และ BGP รวมถึงการเข้ารหัสแพ็กเก็ตผ่านอุโมงค์ VPN ข้ามสาขา จำเป็นต้องเลือกใช้อุปกรณ์ที่มีขีดความสามารถในการประมวลผลสูง เพื่อป้องกันปัญหา Packet Loss หรือค่า Latency ที่สูงเกินไปในยคับที่ทราฟฟิกหนาแน่น ทางทีมงานแนะนำฮาร์ดแวร์มาตรฐานระดับ Enterprise ดังตารางด้านล่าง

ขั้นตอนที่ 1: การตั้งค่า WireGuard Tunnel สำหรับ VPN MikroTik ข้ามสาขา สำนักงาน โรงงาน

ก่อนจะทำการแลกเปลี่ยนเส้นทางด้วย BGP และ OSPF เราต้องสร้างอุโมงค์เชื่อมต่อความปลอดภัยระหว่างสำนักงานใหญ่และสาขาก่อน โดยใน RouterOS v7 ฟีเจอร์ WireGuard ถูกรันด้วย Native Kernel ทำให้มีความเร็วสูงมาก โดยฝั่งสำนักงานใหญ่ (มี Public IP จริง) จะทำหน้าที่เป็น Responder และฝั่งสาขาเป็น Initiator

# รันคำสั่งนี้บน MikroTik สำนักงานใหญ่ (HQ)
/interface wireguard
add name=wg-site-hq listen-port=13231 mtu=1420

/ip address
add address=10.255.255.1/30 interface=wg-site-hq

/interface wireguard peers
add allowed-address=10.255.255.2/32,192.168.20.0/24 interface=wg-site-hq public-key="PUBLIC_KEY_OF_BRANCH"

# รันคำสั่งนี้บน MikroTik สาขา (Branch)
/interface wireguard
add name=wg-site-branch mtu=1420

/ip address
add address=10.255.255.2/30 interface=wg-site-branch

/interface wireguard peers
add endpoint-address=YOUR_HQ_PUBLIC_IP endpoint-port=13231 interface=wg-site-branch \
    allowed-address=10.255.255.1/32,192.168.10.0/24 public-key="PUBLIC_KEY_OF_HQ" \
    persistent-keepalive=25s

ขั้นตอนที่ 2: การเปิดใช้งาน OSPF ภายในเครือข่าย LAN สาขา

เมื่ออุโมงค์ WireGuard ทำงานแล้ว (สามารถ Ping ข้ามหากันได้ที่ IP 10.255.255.1 และ 10.255.255.2) ขั้นตอนถัดมาคือการประกาศวงแลนภายในของสาขาเข้าสู่ระบบ OSPF เพื่อให้เราท์เตอร์ฝั่งสาขารู้จักเส้นทางอัตโนมัติ โดยใช้สถาปัตยกรรม RouterOS v7 OSPF instance ใหม่

# สร้าง OSPF Area และ Instance บน MikroTik สาขา
/routing ospf area
add name=area-branch-1 area-id=0.0.0.1

/routing ospf instance
add name=ospf-instance-1 router-id=192.168.20.1 version=2

/routing ospf interface-template
add area=area-branch-1 networks=192.168.20.0/24 type=broadcast
add area=area-branch-1 networks=10.255.255.0/30 type=ptp

ขั้นตอนที่ 3: การทำ BGP OSPF Redistribution บน RouterOS v7

หัวใจสำคัญของบทความนี้คือการดึงเส้นทางที่เรียนรู้จาก OSPF ที่สาขา ส่งต่อเข้าไปยังโปรโตคอล BGP เพื่อส่งข้ามไปยังสำนักงานใหญ่ (หรือระหว่างสาขาอื่นๆ) โดยใน MikroTik RouterOS v7 คำสั่งการทำ Routing ได้ถูกปรับโครงสร้างใหม่ทั้งหมด (New Routing Engine)

# ตั้งค่า BGP Instance และ Routing Table บน MikroTik สาขา
/routing bgp instance
add name=bgp-branch as=65002 router-id=192.168.20.1 redistribute=ospf,connected

/routing bgp connection
add name=bgp-to-hq remote.address=10.255.255.1 remote.as=65001 local.address=10.255.255.2 \
    as=65002 address-families=ip routing-table=main

ขั้นตอนการตรวจสอบสถานะระบบและการแก้ไขปัญหาเบื้องต้น

เมื่อคอนฟิกเสร็จสิ้นทั้งสองฝั่ง วิศวกรจำเป็นต้องตรวจสอบสถานะการเชื่อมต่อของทั้ง BGP Peering และ OSPF Adjacency ด้วยคำสั่ง CLI ต่อไปนี้

# ตรวจสอบสถานะการเชื่อมต่อ BGP Session ว่าอยู่ในสถานะ established หรือไม่
/routing bgp connection print status

# ตรวจสอบตาราง Routing ที่รับเข้ามาผ่าน BGP และ OSPF
/ip route print where bgp

# ทดสอบการส่งแพ็กเก็ตข้ามเครือข่ายไปยังวงแลนสำนักงานใหญ่
/ping 192.168.10.1 count=5

หากพบว่าสถานะ BGP ค้างอยู่ที่สถานะ connect หรือ active ให้ตรวจสอบการบล็อกพอร์ตผ่าน Firewall หรือตรวจสอบการตั้งค่า IP Address ของ WireGuard Interface ให้แน่ใจว่าไม่มีการชนกันของ Subnet หากต้องการความช่วยเหลือเพิ่มเติมในการวางระบบเครือข่ายระดับองค์กร สามารถปรึกษาทีมงานผ่าน บริการรับวางระบบ Network องค์กร เดินสาย LAN & Fiber ได้ทันที

คำถามเชิงลึกที่พบบ่อย (FAQ)

WireGuard ดีกว่า PPTP หรือ L2TP/IPsec บน MikroTik อย่างไร?

WireGuard ใช้โค้ดเบสที่น้อยกว่า (ประมาณ 4,000 บรรทัด) ทำให้ประมวลผลเร็วกว่า ใช้ทรัพยากรซีพียูต่ำกว่า IPsec อย่างเห็นได้ชัด และไม่มีความซับซ้อนในการทำ NAT Traversal ทำให้เชื่อมต่อข้ามสาขาได้อย่างเสถียรแม้จะอยู่หลัง NAT หรือใช้เน็ตบ้านก็ตาม

เชื่อมต่อ Site-to-Site ด้วย WireGuard ต้องมี Public Fixed IP ทั้งสองฝั่งหรือไม่?

ไม่จำเป็น ฝั่งสาขา (Initiator) สามารถใช้ Dynamic Public IP หรือแม้กระทั่งอินเทอร์เน็ตที่อยู่หลัง CGNAT ได้ ขอเพียงแค่ฝั่งสำนักงานใหญ่ (Responder) มี Fixed Public IP และเปิดพอร์ต UDP ที่กำหนดไว้ เพื่อรอรับการเชื่อมต่อเข้ามา

ทำไมเชื่อม WireGuard ติดแล้วแต่ Ping ข้ามเครื่องในวง LAN สาขาไม่เจอ?

ปัญหานี้มักเกิดจาก 2 สาเหตุหลัก คือ ลืมประกาศเส้นทาง (Routing) บนเราท์เตอร์ปลายทางให้รู้จักวง LAN ของอีกฝั่ง หรือติด Firewall / Windows Defender ของเครื่องปลายทางที่บล็อก ICMP (Ping) จากต่างวงเครือข่าย ให้ตรวจสอบกฎ Firewall ในเมนู /ip firewall filter และตรวจสอบการทำ Routing Redistribution ให้ถูกต้อง

หากองค์กรของคุณกำลังมองหาโซลูชันเครือข่ายความเร็วสูง การันตีเสถียรภาพโดยทีมวิศวกรผู้เชี่ยวชาญ MTCINE/NSE ทีมงาน SIAM-LOGIN พร้อมให้บริการออกแบบ ติดตั้ง และดูแลระบบโครงสร้างพื้นฐานไอทีแบบครบวงจร ติดต่อเราได้ที่โทร 095-254-4519 หรือ LINE: @vrnetwork