ตั้งค่า MikroTik RouterOS v7 สำหรับ Network Segmentation ป้องกัน Ransomware

สถานการณ์จริงจากหน้างาน: ความท้าทายด้าน Network Segmentation

ในการทำงานหน้างานของทีม SIAM-LOGIN เราพบว่าหลายองค์กรยังคงเผชิญความเสี่ยงจาก Ransomware ที่สามารถแพร่กระจายข้าม VLAN ได้ เนื่องจากการตั้งค่าที่ไม่รัดกุม การแยกเครือข่าย (Network Segmentation) ด้วย VLAN Bridge Filtering และ Firewall Rules บน MikroTik RouterOS v7 จึงเป็นแนวทางป้องกันที่สำคัญ ซึ่งช่วยลดโอกาสที่มัลแวร์จะกระจายตัวในเครือข่ายได้อย่างมีประสิทธิภาพ

สเปกฮาร์ดแวร์และสถาปัตยกรรมที่ใช้

ในการตั้งค่าครั้งนี้ เราใช้ MikroTik CCR2004 และ RB5009 ซึ่งรองรับ RouterOS v7.14+ และมีคุณสมบัติที่เหมาะสมสำหรับงาน Network Segmentation:

• CCR2004: CPU ARM64, 4x 10G SFP+ Ports, 8x 1G Ports
• RB5009: CPU ARM64, 1x 2.5G Port, 7x 1G Ports

การเลือกใช้อุปกรณ์ขึ้นอยู่กับจำนวน VLAN และ Throughput ที่ต้องการ

ตารางพารามิเตอร์เชิงวิศวกรรม

คำสั่งตั้งค่า VLAN Bridge Filtering และ Firewall Rules

เริ่มต้นด้วยการสร้าง VLAN และ Bridge Filtering:

/interface bridge
add name=bridge1 vlan-filtering=yes

/interface vlan
add interface=bridge1 name=vlan10 vlan-id=10
add interface=bridge1 name=vlan20 vlan-id=20

/interface bridge port
add bridge=bridge1 interface=ether1 pvid=10
add bridge=bridge1 interface=ether2 pvid=20

/interface bridge vlan
add bridge=bridge1 tagged=bridge1 untagged=ether1 vlan-ids=10
add bridge=bridge1 tagged=bridge1 untagged=ether2 vlan-ids=20

อธิบายคำสั่ง:

• vlan-filtering=yes: เปิดใช้งาน VLAN Filtering บน Bridge
• pvid: กำหนด VLAN ID ให้กับพอร์ตที่ไม่ได้แท็ก
• tagged และ untagged: กำหนดพอร์ตที่เป็น VLAN Tagged และ Untagged

ต่อด้วยการตั้งค่า Firewall Rules เพื่อป้องกัน Ransomware:

/ip firewall filter
add chain=forward action=drop src-address=192.168.10.0/24 dst-address=192.168.20.0/24 comment="Block VLAN10 to VLAN20"
add chain=forward action=drop src-address=192.168.20.0/24 dst-address=192.168.10.0/24 comment="Block VLAN20 to VLAN10"

อธิบายคำสั่ง:

• chain=forward: ใช้กับแพ็กเกจที่ส่งผ่าน Router
• action=drop: บล็อกการรับส่งข้อมูลระหว่าง VLAN
• src-address และ dst-address: ระบุช่วง IP ของ VLAN ที่ต้องการบล็อก

ขั้นตอนการตรวจสอบสถานะและแก้ปัญหา

• ใช้คำสั่ง /ping ทดสอบการเชื่อมต่อระหว่าง VLAN
• ตรวจสอบ /log เพื่อตรวจสอบ Firewall Rules ว่ามีการบล็อกแพ็กเกจหรือไม่
• ใช้ /tool torch เพื่อตรวจสอบ Traffic บน Bridge

หากการตั้งค่าไม่ทำงาน ให้ตรวจสอบลำดับของ Firewall Rules และการกำหนด VLAN ID

คำถามเชิงลึกที่พบบ่อย

• การเดินสายแลนในโรงงานอุตสาหกรรมควรเลือก Cat6 แบบใด? เลือก Cat6a สำหรับสภาพแวดล้อมที่มีสัญญาณรบกวนสูง
• ทำไมการส่งมอบงานเดินสายแลนจึงต้องมีผล Fluke Test? เพื่อรับรองคุณภาพและประสิทธิภาพของสายสัญญาณ
• สาย Single-Mode กับ Multi-Mode สำหรับเชื่อมข้ามอาคารต่างกันอย่างไร? Single-Mode เหมาะสำหรับระยะไกลกว่า 10 กม. ส่วน Multi-Mode ใช้ในระยะสั้น

หากคุณต้องการปรึกษาเพิ่มเติมเกี่ยวกับการตั้งค่าเครือข่ายหรือบริการของ SIAM-LOGIN เช่น บริการเดินสาย LAN และ Fiber หรือ บริการติดตั้ง Server และ NAS สำรองข้อมูล สามารถติดต่อทีมงานได้ที่ 095-254-4519 หรือ LINE: @vrnetwork