วิธีตั้งค่า Site-to-Site IPsec VPN เชื่อม MikroTik และ FortiGate

บทความเชิงเทคนิคจากประสบการณ์หน้างานจริงโดยทีมวิศวกร SIAM-LOGIN ฉบับนี้ ได้รวบรวมคู่มือการ ตั้งค่า Site-to-Site IPsec VPN ระหว่าง MikroTik และ FortiGate แบบเจาะลึก คัดสรรเฉพาะขั้นตอนที่ผ่านการทดสอบในสภาพแวดล้อม Production จริง พร้อมเทคนิคการแก้ไขปัญหาเฉพาะหน้า (Troubleshooting) และข้อควรระวัง เพื่อให้องค์กรของคุณสามารถนำไปประยุกต์ใช้งานได้อย่างเสถียรและไร้รอยต่อ

โครงสร้างเครือข่ายตัวอย่าง (Network Topology & Requirements)

เพื่อให้สถาปัตยกรรมระบบมีความชัดเจนและสามารถปฏิบัติตามได้อย่างแม่นยำ ขอ1กำหนดค่ามาตรฐานสำหรับเครือข่ายทดสอบดังนี้ครับ

• สำนักงานใหญ่ (HQ - FortiGate): Public IP: 203.0.113.10 | LAN Subnet: 192.168.1.0/24
• สาขา (Branch - MikroTik RouterOS v7): Public IP: 198.51.100.20 (กรณีอุปกรณ์ตั้งอยู่หลัง NAT ต้องมั่นใจว่ามีการทำ One-to-One NAT หรือเปิดใช้งาน NAT Traversal - NAT-T บน IPsec อย่างถูกต้องสมบูรณ์)
• Pre-Shared Key (PSK): SiamLoginVPNSecret2026!# (แนะนำให้ใช้รหัสผ่านที่มีความซับซ้อนสูงและมีความยาวไม่ต่ำกว่า 16 ตัวอักษร เพื่อความมั่นคงปลอดภัยสูงสุดตามมาตรฐาน ISO/IEC 27001)
• IPsec Cryptographic Profile: IKEv2 / Encryption: AES-256-GCM หรือ AES-256 / Authentication: SHA-256 / DH Group: 14 (2048-bit) อ้างอิงตามมาตรฐานความปลอดภัยสากลในปัจจุบัน

ขั้นตอนที่ 1: การตั้งค่า IPsec VPN ฝั่ง FortiGate (HQ)

ขอแนะนำให้ใช้งาน Custom VPN Tunnel บน FortiGate ทุกครั้งเมื่อต้องเชื่อมต่อกับอุปกรณ์ต่างแบรนด์ (เช่น MikroTik, Cisco หรือ pfSense) เพื่อความยืดหยุ่นสูงสุดในการปรับแต่งพารามิเตอร์ด้านความปลอดภัยให้สอดคล้องกัน

1.1 การสร้าง IPsec Phase 1 และ Phase 2

ไปที่เมนู VPN > IPsec Tunnels คลิก Create New > IPsec Tunnel ตั้งชื่อว่า VPN-TO-BRANCH เลือก Custom แล้วกำหนดค่าพารามิเตอร์ดังนี้ครับ:

• IP Version: IPv4
• Remote Gateway: เลือก Static IP และระบุ WAN IP ของฝั่ง MikroTik (198.51.100.20)
• Interface: เลือก WAN Interface หลักของ FortiGate
• Mode: IKEv2 (แนะนำเพื่อความเสถียรภาพสูงสุดและประสิทธิภาพในการทำ Re-key ตลอดจนรองรับMobility และการทำ Fast Path ได้ดีกว่า IKEv1)
• Authentication Method: Pre-shared Key และระบุรหัสผ่านให้ตรงกันทั้งสองฝั่ง
• Phase 1 Proposal: Encryption: aes256 | Authentication: sha256 | DH Group: 14
• Key Lifetime: 86400 วินาที (24 ชั่วโมง) พร้อมเปิดใช้งาน Dead Peer Detection (DPD) แบบ On-demand (ระยะเวลา 30 วินาที, Retry 3 ครั้ง) เพื่อตรวจสอบสถานะการเชื่อมต่อและตัดวงจรที่ค้างอยู่ตลอดเวลา
• Phase 2 Selectors: กำหนด Local Subnet (192.168.1.0/24) และ Remote Subnet (192.168.10.0/24)
• Phase 2 Proposal: Encryption: aes256 | Authentication: sha256 | เปิดใช้งาน Enable PFS (Perfect Forward Secrecy) เลือก DH Group 14

1.2 การตั้งค่า Routing และ Firewall Policy บน FortiGate

เมื่อสร้าง Tunnel สำเร็จ ระบบจะสร้าง Virtual Interface (เช่น VPN-TO-BRANCH) ขึ้นมาโดยอัตโนมัติ ให้ดำเนินการต่อดังนี้:

• Static Route: ไปที่เมนู Network > Static Routes เพิ่มเส้นทาง (Route) สำหรับปลายทาง 192.168.10.0/24 โดยเลือก Interface เป็น VPN-TO-BRANCH (ไม่ต้องกำหนด Gateway IP เนื่องจากเป็น Point-to-Point Tunnel) พร้อมกำหนด Distance เป็น 10 และ Priority เป็น 1
• Firewall Policy: สร้าง Policy จำนวน 2 กฎหลัก เพื่ออนุญาตทราฟฟิกสองทิศทาง:
  - Policy ขาออก (LAN to VPN): Source Interface: LAN, Source Address: 192.168.1.0/24, Destination Interface: VPN-TO-BRANCH, Destination Address: 192.168.10.0/24, Action: ACCEPT (สำหรับ Site-to-Site VPN โดยทั่วไปจะไม่เปิดใช้งาน NAT และควรเปิดใช้งาน Log Traffic ทั้งหมดสำหรับการ Audit)
  - Policy ขาเข้า (VPN to LAN): Source Interface: VPN-TO-BRANCH, Source Address: 192.168.10.0/24, Destination Interface: LAN, Destination Address: 192.168.1.0/24, Action: ACCEPT

ขั้นตอนที่ 2: การตั้งค่า IPsec VPN ฝั่ง MikroTik (Branch)

สำหรับการตั้งค่าฝั่ง MikroTik (แนะนำให้ใช้งาน RouterOS v7 ขึ้นไป เพื่อประสิทธิภาพสูงสุดในการประมวลผล IPsec แบบ Hardware Acceleration บนอุปกรณ์รุ่นที่รองรับ) มีขั้นตอนการคอนฟิกผ่าน CLI และ WinBox ดังนี้ครับ:

2.1 การตั้งค่า IPsec Profile, Proposal และ Peer

เปิด Terminal บน MikroTik แล้วรันชุดคำสั่ง RouterOS v7 ต่อไปนี้เพื่อกำหนดค่าความปลอดภัยให้ตรงกับฝั่ง FortiGate:

/ip ipsec profile
add name=profile-hq-v7 enc-algorithm=aes-256 auth-algorithm=sha256 dh-group=modp2048

/ip ipsec proposal
add name=proposal-hq-v7 auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs-group=modp2048

/ip ipsec peer
add name=peer-hq address=203.0.113.10 profile=profile-hq-v7 exchange-mode=ike2

/ip ipsec identity
add peer=peer-hq secret="SiamLoginVPNSecret2026!#" auth-method=pre-shared-key

2.2 การตั้งค่า IPsec Policy และ Firewall/NAT Exclusion

ขั้นตอนนี้เป็นการกำหนด Traffic Selector เพื่อจับคู่ซับเน็ตของทั้งสองฝั่ง และเพิ่มกฎ IPsec Policy รวมถึงการยกเว้น NAT สำหรับทราฟฟิกวิ่งผ่าน VPN:

/ip ipsec policy
add peer=peer-hq tunnel=yes src-address=192.168.10.0/24 dst-address=192.168.1.0/24 protocol=all proposal=proposal-hq-v7

/ip firewall nat
add chain=srcnat action=accept src-address=192.168.10.0/24 dst-address=192.168.1.0/24 place-before=0

ข้อควรระวังสำคัญหน้างาน: กฎ action=accept ใน /ip firewall nat ที่ตำแหน่งแรก (place-before=0) มีความจำเป็นอย่างยิ่ง เพื่อป้องกันไม่ให้ทราฟฟิกภายในสำนักงานสาขาที่วิ่งข้ามไปยังสำนักงานใหญ่ถูก Masquerade ออก WAN IP เสียก่อน ซึ่งเป็นสาเหตุอันดับหนึ่งที่ทำให้ IPsec VPN เชื่อมติดแต่ไม่สามารถรับส่งข้อมูลหากันได้

ขั้นตอนที่ 3: เทคนิคการตรวจสอบและแก้ไขปัญหาเฉพาะหน้า (Troubleshooting)

เมื่อดำเนินการตั้งค่าครบถ้วนทั้งสองฝั่งแล้ว หากพบปัญหาไม่สามารถเชื่อมต่อได้ ทีมวิศวกร SIAM-LOGIN แนะนำให้ตรวจสอบตามลำดับขั้นตอนดังนี้ครับ:

• ตรวจสอบสถานะ Security Association (SA): ฝั่ง FortiGate ให้ใช้คำสั่ง get vpn ipsec tunnel summary ส่วนฝั่ง MikroTik ให้ตรวจสอบที่เมนู /ip ipsec active-peers print และ /ip ipsec installed-sa print
• วิเคราะห์ Log แบบ Real-time: เปิด Log บน MikroTik ด้วยคำสั่ง /system logging add topics=ipsec,debug และใช้เครื่องมือ Packet Sniffer เพื่อตรวจสอบการรับ-ส่งแพ็กเก็ตผ่าน UDP Port 500 (IKE) และ 4500 (NAT-T)
• ตรวจสอบ MTU และ MSS Clamping: ปัญหาคลาสสิกที่พบบ่อยคือการเปิดหน้าเว็บระบบ ERP หรือเปิดไฟล์แชร์ผ่าน VPN ช้าหรือไม่โหลด ให้ทำการปรับค่า MSS Clamping ที่ฝั่ง Firewall หรือปรับ MTU บน VPN Interface ให้เหมาะสม (เช่น ตั้งค่า TCP MSS เป็น 1360 บน MikroTik Firewall Mangle)

ด้วยแนวทางปฏิบัติและโครงสร้างการตั้งค่ามาตรฐานจาก SIAM-LOGIN นี้ จะช่วยให้องค์กรของคุณสามารถสร้างช่องทางการสื่อสารข้อมูลระหว่างสำนักงานใหญ่และสาขาได้อย่างมั่นคงปลอดภัย เป็นไปตามข้อกำหนดทางกฎหมายและมาตรฐานสากล พร้อมรองรับการขยายตัวทางธุรกิจในอนาคตได้อย่างไร้ขีดจำกัด