ตั้งค่า MikroTik RouterOS v7 สำหรับ Network Segmentation ด้วย Layer 2 Isolation และ 802.1X Security

ความสำคัญของ Network Segmentation และ Layer 2 Isolation

ในโครงการติดตั้งเครือข่ายองค์กรขนาดกลางถึงใหญ่ เรามักเจอปัญหาจาก Layer 2 เช่น Broadcast Storm หรือการที่อุปกรณ์ในเครือข่ายเดียวกันสามารถมองเห็นกันได้โดยไม่มีข้อจำกัด (Unrestricted Communication) ซึ่งเสี่ยงต่อการโจมตี ARP Spoofing และ Man-in-the-Middle (MITM) Attacks

เพื่อแก้ไขปัญหานี้ เราแนะนำให้ใช้ Network Segmentation ผ่าน VLAN และ Layer 2 Isolation ร่วมกับ 802.1X Port Security บน MikroTik RouterOS v7 ซึ่งช่วยให้สามารถควบคุมการเข้าถึงในระดับพอร์ตได้อย่างเข้มงวด

สเปกฮาร์ดแวร์ที่แนะนำสำหรับการตั้งค่า

ขั้นตอนการตั้งค่า VLAN และ Layer 2 Isolation

ตัวอย่างนี้แสดงการตั้งค่าบน MikroTik CRS326-24G-2S+ รุ่นยอดนิยม

/interface bridge
add name=bridge-vlan vlan-filtering=yes

/interface bridge port
add bridge=bridge-vlan interface=ether2 pvid=10
add bridge=bridge-vlan interface=ether3 pvid=20

/interface vlan
add interface=bridge-vlan name=vlan10 vlan-id=10
add interface=bridge-vlan name=vlan20 vlan-id=20

/interface bridge vlan
add bridge=bridge-vlan vlan-ids=10 tagged=bridge-vlan untagged=ether2
add bridge=bridge-vlan vlan-ids=20 tagged=bridge-vlan untagged=ether3

• vlan-filtering=yes: เปิดการใช้งาน VLAN Filtering บน Bridge
• pvid=10: กำหนด Default VLAN สำหรับพอร์ต
• tagged=bridge-vlan: ระบุว่า Bridge Interface เป็น Tagged VLAN

การตั้งค่า 802.1X Port Security

802.1X ใช้สำหรับควบคุมการเข้าถึงพอร์ตโดยใช้ RADIUS Server เพื่อยืนยันตัวตน

/radius
add service=dot1x address=192.168.1.1 secret=radius-secret

/interface dot1x
add interface=ether2 supplicant-identity=siamlogin user-profiles=radius
add interface=ether3 supplicant-identity=siamlogin user-profiles=radius

• service=dot1x: เปิดการใช้งาน RADIUS สำหรับ 802.1X
• supplicant-identity: ระบุชื่อผู้ใช้ที่ใช้ยืนยันตัวตน

ขั้นตอนการตรวจสอบสถานะและการแก้ปัญหา

เมื่อกำหนดค่าเสร็จสิ้น ให้ทดสอบด้วยคำสั่งต่อไปนี้:

/interface bridge vlan print
/interface bridge port print
/log print where topics~"dot1x"

• bridge vlan print: ตรวจสอบการกำหนดค่า VLAN
• log print: ดูสถานะการยืนยันตัวตนของ 802.1X

หากระบบไม่ทำงาน ให้ตรวจสอบ:

• การเชื่อมต่อ RADIUS Server
• ค่า secret ระหว่าง RADIUS กับ MikroTik

คำถามที่พบบ่อย (FAQ)

Raw Filter บน MikroTik ต่างจาก Filter Rules ปกติอย่างไร?

Raw Filter ทำงานใน Packet Processing Chain ที่ต่ำกว่า Filter Rules โดยไม่มี Connection Tracking เพื่อเพิ่มประสิทธิภาพในการป้องกัน DDoS

วิธีป้องกันการโดน Brute Force แฮกพาสเวิร์ด WinBox และ SSH?

แนะนำให้ใช้ เครื่องมือสร้างสคริปต์ Firewall จาก SIAM-LOGIN และเปิดใช้งาน Port Knocking หรือ Address List

ทำไมสคริปต์ Firewall ของ SIAM-LOGIN จึงมีกฎ Fasttrack?

กฎ Fasttrack ช่วยลดภาระ CPU โดยข้าม Connection Tracking สำหรับ Session ที่เชื่อถือได้

สรุป

การตั้งค่า Layer 2 Isolation และ 802.1X Port Security บน MikroTik RouterOS v7 เป็นขั้นตอนสำคัญในการเพิ่มความปลอดภัยและการจัดการเครือข่ายองค์กร หากต้องการคำปรึกษาเพิ่มเติม ติดต่อทีมวิศวกร SIAM-LOGIN ได้ที่ 095-254-4519 หรือ LINE: @vrnetwork