ตั้งค่า MikroTik RouterOS v7 สำหรับ Network Segmentation ป้องกัน Ransomware ข้าม VLAN
ปัญหาหน้างาน: ระบบเครือข่ายภายในองค์กรถูกโจมตีด้วย Ransomware
เมื่อเร็วๆ นี้ ทีมวิศวกรของ SIAM-LOGIN ได้รับแจ้งจากองค์กรขนาดกลางแห่งหนึ่งว่าระบบเครือข่ายภายในถูก Ransomware โจมตีผ่านการแพร่กระจายข้าม VLAN โดยเริ่มจากเครื่องพนักงานฝ่ายบุคคลที่เปิดไฟล์แนบอีเมลที่ติดไวรัส หลังจากนั้นมัลแวร์ได้ใช้ช่องโหว่ในระบบเครือข่ายที่ไม่มีการแบ่ง Segment ที่เหมาะสมในการแพร่กระจายไปยังอุปกรณ์อื่นๆ ภายในองค์กร
ทีมจึงรีบเข้าตรวจสอบและพบว่าโครงสร้างเครือข่ายเดิมไม่ได้มีการตั้งค่า Network Segmentation ที่ชัดเจน ทำให้ทุกอุปกรณ์ใน VLAN เดียวกันสามารถติดต่อกันได้โดยไม่มีการควบคุม สิ่งนี้เป็นช่องทางสำคัญที่ Ransomware ใช้โจมตี
สเปกฮาร์ดแวร์และสถาปัตยกรรมที่ใช้
สำหรับการแก้ปัญหา ทีมงานเลือกใช้ MikroTik CCR2004-1G-12S+2XS ซึ่งมีสเปกดังนี้:
- CPU: ARM 64-bit 1.7 GHz (Quad-Core)
- Interface: 1G Ethernet, 10G SFP+, 25G SFP28
- RouterOS: เวอร์ชัน 7.14
- Throughput สูงสุด: 18 Gbps
นอกจากนี้ยังมีการออกแบบสถาปัตยกรรมเครือข่ายโดยใช้หลักการ Core และ Distribution Switch 10G เพื่อรองรับการ Segmentation และ Traffic Filtering
ตารางพารามิเตอร์เชิงวิศวกรรม
| VLAN ID | ชื่อ VLAN | Subnet | Purpose |
|---|---|---|---|
| 10 | HR | 192.168.10.0/24 | ฝ่ายบุคคล |
| 20 | Finance | 192.168.20.0/24 | ฝ่ายบัญชี |
| 30 | IT | 192.168.30.0/24 | ฝ่ายไอที |
คำสั่ง Terminal สำหรับการตั้งค่า VLAN
/interface vlan
add name=vlan10 vlan-id=10 interface=ether1
add name=vlan20 vlan-id=20 interface=ether1
add name=vlan30 vlan-id=30 interface=ether1
/ip address
add address=192.168.10.1/24 interface=vlan10
add address=192.168.20.1/24 interface=vlan20
add address=192.168.30.1/24 interface=vlan30
/ip firewall filter
add chain=forward action=drop src-address=192.168.10.0/24 dst-address=192.168.20.0/24
add chain=forward action=drop src-address=192.168.20.0/24 dst-address=192.168.30.0/24
คำอธิบาย:
/interface vlan: สร้าง VLAN Interface แต่ละตัวด้วย VLAN ID/ip address: กำหนด IP Address ให้กับ VLAN Interface/ip firewall filter: สร้าง Rule เพื่อบล็อกการติดต่อข้าม VLAN
ขั้นตอนการตรวจสอบสถานะและแก้ปัญหา
- ตรวจสอบการตั้งค่า VLAN ด้วยคำสั่ง
/interface vlan print - ใช้คำสั่ง
/pingเพื่อตรวจสอบการเชื่อมต่อระหว่าง VLAN - ตรวจสอบ Log ด้วย
/log printเพื่อดูว่ามีการ Block Traffic ตามที่ตั้งค่าไว้หรือไม่
หากพบปัญหา ให้ตรวจสอบ Firewall Rule และ Routing Table สำหรับการตั้งค่าที่ผิดพลาด
คำถามที่พบบ่อย (FAQ)
- การเดินสาย LAN ในโรงงานอุตสาหกรรมควรเลือก Cat6 แบบใด?
แนะนำใช้ Cat6A FTP หรือ S/FTP เพื่อป้องกันสัญญาณรบกวน - ทำไมการส่งมอบงานเดินสาย LAN จึงต้องมีผล Fluke Test?
เพื่อยืนยันว่าการติดตั้งนั้นผ่านมาตรฐาน TIA/EIA-568 และไม่มีปัญหา Crosstalk - สาย Single-Mode กับ Multi-Mode สำหรับเชื่อมข้ามอาคารต่างกันอย่างไร?
Single-Mode เหมาะสำหรับระยะไกลเกิน 500 เมตร ในขณะที่ Multi-Mode เหมาะสำหรับระยะใกล้
สำหรับองค์กรที่ต้องการ บริการวางระบบเครือข่าย หรือ เพิ่มความปลอดภัยในระบบ IT สามารถปรึกษาทีมวิศวกร SIAM-LOGIN ได้ที่ LINE: @vrnetwork หรือโทร 095-254-4519
อุปกรณ์ Network & PoE Switch แนะนำสำหรับโซลูชันองค์กร
ดูอุปกรณ์ทั้งหมด →คำถามที่พบบ่อยเกี่ยวกับบทความนี้ (FAQ)
Q: การเดินสายแลนในโรงงานอุตสาหกรรมควรเลือก Cat6 แบบใด?
แนะนำใช้ Cat6A FTP หรือ S/FTP เพื่อป้องกันสัญญาณรบกวนและรองรับระยะไกล
Q: ทำไมการส่งมอบงานเดินสายแลนจึงต้องมีผล Fluke Test?
เพื่อยืนยันว่าการติดตั้งผ่านมาตรฐาน TIA/EIA-568 และไม่มีปัญหาทางไฟฟ้า เช่น Crosstalk
Q: สาย Single-Mode กับ Multi-Mode สำหรับเชื่อมข้ามอาคารต่างกันอย่างไร?
Single-Mode เหมาะสำหรับระยะเกิน 500 เมตร ส่วน Multi-Mode ใช้ระยะใกล้ที่มีต้นทุนต่ำกว่า
บทความที่น่าสนใจในหมวดเดียวกัน
ดูทั้งหมดในหมวดนี้ →วิธีตั้งค่า FortiGate Zero Trust Network Access (ZTNA) ป้องกันเครือข่ายองค์กรจากภัยคุกคามภายนอก
เรียนรู้วิธีตั้งค่า FortiGate ZTNA เพื่อเพิ่มความปลอดภัยในเครือข่ายองค์กร พร้อมตัวอย่าง CLI และการตรวจสอบสถานะระบบอย่างละเอียด
วิธีตั้งค่า Fortinet SD-WAN เพิ่มประสิทธิภาพการเชื่อมต่อ Multi-Branch
คู่มือการตั้งค่า Fortinet SD-WAN อย่างละเอียดพร้อมคำสั่ง CLI และกลยุทธ์ Failover เพิ่มความเสถียรสำหรับเครือข่าย Multi-Branch
วิธีตั้งค่า MikroTik RAW Filter Rules ป้องกัน DDoS Attack สำหรับองค์กร
เจาะลึกการตั้งค่า MikroTik RAW Filter Rules ป้องกัน DDoS Attack สำหรับองค์กร พร้อมคำสั่ง CLI และคำแนะนำจากประสบการณ์วิศวกร SIAM-LOGIN
ต้องการความช่วยเหลือหรือจ้างวางระบบ Network?
ทีมวิศวกร SIAM-LOGIN ยินดีให้คำปรึกษา ออกแบบระบบ และจัดส่งทีมเข้าติดตั้งหน้างาน