วิธีตั้งค่า OSPF Cost และ Authentication บน MikroTik RouterOS v7 สำหรับองค์กรหลายสาขา

เจาะลึกปัญหาการเชื่อมโยงเครือข่ายหลายสาขาด้วย Dynamic Routing

ทีมวิศวกร SIAM-LOGIN เพิ่งได้รับเคสเร่งด่วนจากลูกค้ากลุ่มธุรกิจค้าปลีกที่มีสาขากระจายอยู่ทั่วประเทศกว่า 15 แห่ง โดยมีปัญหาหลักคือ เมื่อลิงก์อินเทอร์เน็ตหลักของสาขาใดสาขาหนึ่งเกิดล่ม (Failover) ระบบเครือข่ายสำรองไม่สามารถสลับเส้นทางไปวิ่งผ่าน VPN Tunnel สำรองได้อย่างราบรื่น เนื่องจากวิศวกรชุดเดิมใช้การทำ Static Route แบบตายตัว ทำให้พนักงานในสาขาไม่สามารถเข้าใช้งานระบบ ERP และฐานข้อมูลส่วนกลางที่สำนักงานใหญ่ได้ นำมาสู่ความเสียหายทางธุรกิจที่ประเมินมูลค่าไม่ได้

เพื่อแก้ปัญหาระยะยาว การออกแบบสถาปัตยกรรมเครือข่ายองค์กรจึงต้องเปลี่ยนมาใช้ Dynamic Routing Protocol อย่าง OSPF (Open Shortest Path First) บน MikroTik RouterOS v7 ซึ่งทำงานร่วมกับ บริการรับวางระบบ Network องค์กร เดินสาย LAN & Fiber และอุโมงค์เชื่อมต่อความปลอดภัยสูงอย่าง WireGuard Site to Site MikroTik RouterOS v7 บทความนี้จึงรวบรวมขั้นตอนเชิงปฏิบัติการ (Step-by-Step) ในการปรับแต่ง OSPF Cost เพื่อควบคุมเส้นทางจราจร และการเปิดใช้ Authentication ป้องกันการแอบอ้างสิทธิ์ในระดับ Routing Domain

สเปกฮาร์ดแวร์และสถาปัตยกรรม (Hardware Model & Architecture Context)

การทดสอบในห้องปฏิบัติการและหน้างานจริงครั้งนี้ เราเลือกใช้อุปกรณ์มาตรฐานระดับ Enterprise ที่รองรับ MikroTik RouterOS v7.14+ ขึ้นไป โดยมีรายละเอียดสถาปัตยกรรมดังนี้:

• สำนักงานใหญ่ (Headquarters): MikroTik CCR2004-1G-12S+2XS ขับเคลื่อนด้วยโปรเซสเซอร์ Annapurna Labs Alpine v2 แบบ Quad-core ความเร็ว 1.7 GHz, RAM 4 GB และพอร์ต SFP+ 10GbE สำหรับรองรับ Throughput ของ VPN และ OSPF Database ขนาดใหญ่
• สาขา (Branch Office): MikroTik RB5009UG+S+IN มาพร้อม CPU Quad-Core Marvell Armada 1.4 GHz, RAM 1 GB, พอร์ต 2.5G Ethernet และ SFP+ รองรับการทำ WireGuard Site to Site VPN ข้ามสาขา สำนักงาน โรงงาน ได้อย่างเต็มประสิทธิภาพโดยไม่กินทรัพยากร CPU
• ระบบปฏิบัติการ: MikroTik RouterOS v7.14.3 (Stable) ซึ่งปรับปรุงโครงสร้าง OSPF ให้รองรับ RFC ฝั่ง IPv4/IPv6 ได้เสถียรยิ่งขึ้น

วิศวกรรมการออกแบบ OSPF Cost และการจับคู่ WireGuard VPN

ก่อนลงมือพิมพ์คำสั่ง CLI เราต้องทำความเข้าใจตารางพารามิเตอร์เชิงวิศวกรรม (Engineering Parameter Matrix Table) เพื่อกำหนดค่า OSPF Interface Cost ให้สัมพันธ์กับแบนด์วิดท์ของลิงก์จริง เพื่อให้ Router คำนวณหาเส้นทางที่ดีที่สุด (Shortest Path) โดยอัตโนมัติ

ขั้นตอนการตั้งค่า WireGuard VPN ข้ามสาขาบน MikroTik RouterOS v7

การเชื่อมต่อเครือข่ายปลอดภัย WireGuard Tunnel ถือเป็นหัวใจสำคัญก่อนเริ่มรัน OSPF Routing Protocol โดยสามารถใช้ เครื่องมือสร้างสคริปต์ MikroTik RouterOS v7 ของเราช่วยอำนวยความสะดวก หรือปฏิบัติตามคำสั่ง CLI ด้านล่างนี้ฝั่งสำนักงานใหญ่และสาขา

# 1. สร้าง Interface WireGuard และกำหนด Port ฟังพอร์ต
/interface wireguard
add listen-port=13231 name=wireguard-branch-01

# 2. กำหนด IP Address ให้ฝั่ง WireGuard Interface (ตัวอย่าง IP: 10.255.0.1/30)
/ip address
add address=10.255.0.1/30 interface=wireguard-branch-01 network=10.255.0.0

# 3. เพิ่ม Peer ฝั่งสาขา (กรณีฝั่งสาขาไม่มี Public IP ถาวร ให้ฝั่งสาขาเป็นฝ่าย Dial-In เข้ามา)
/interface wireguard peers
add allowed-address=10.255.0.2/32,192.168.20.0/24 interface=wireguard-branch-01 public-key=""

การตั้งค่า OSPF Instance, Area และ Authentication บน RouterOS v7

เมื่ออุโมงค์ VPN พร้อมแล้ว ขั้นตอนต่อไปคือการเปิดใช้งาน OSPF v2 บน RouterOS v7 พร้อมทั้งกำหนด Area, OSPF Cost และเปิดระบบ MD5/SHA Authentication เพื่อความปลอดภัยสูงสุด ป้องกันการแทรกแซงแพ็กเก็ต Routing จากผู้ไม่หวังดี

# 1. กำหนด Routing ID และ OSPF Instance (OSPFv2)
/routing ospf instance
add name=ospf-instance-hq router-id=192.168.1.1 version=2

# 2. กำหนด OSPF Area (Backbone Area 0.0.0.0)
/routing ospf area
add instance=ospf-instance-hq name=backbone-area area-id=0.0.0.0

# 3. สร้าง OSPF Area Range และเปิดใช้งาน Interface พร้อมกำหนด Cost และ Authentication
/routing ospf interface-template
add area=backbone-area interfaces=wireguard-branch-01 cost=20 auth=md5 auth-key="SiamLoginOSPF2024!"

# 4. ประกาศเครือข่ายภายใน (Network Networks) ที่ต้องการแชร์ไปยังสาขาอื่นๆ
/routing ospf network
add area=backbone-area address=192.168.1.0/24
add area=backbone-area address=10.255.0.0/30

ขั้นตอนการตรวจสอบสถานะระบบและการทำ Troubleshooting

หลังการคอนฟิกเสร็จสิ้น วิศวกรจำเป็นต้องตรวจสอบสถานะการทำงานของ OSPF และ WireGuard ผ่าน CLI เพื่อยืนยันว่าระบบทำงานสมบูรณ์ โดยใช้คำสั่งดังนี้:

# ตรวจสอบสถานะการเชื่อมต่อ OSPF Neighbor ว่าขึ้นสถานะ Full หรือไม่
/routing ospf neighbor print

# ตรวจสอบตารางเส้นทาง OSPF Routes ที่ถูกเรียนรู้เข้ามา
/ip route print where pro

# ตรวจสอบแพ็กเก็ตรับ-ส่งบน WireGuard Tunnel
/interface wireguard print

หากพบปัญหาปิงข้ามสาขาไม่เจอ ให้ตรวจสอบ บริการติดตั้ง Server & Synology NAS สำรองข้อมูล หรือตรวจสอบ Firewall Filter Rules ในหัวข้อ /ip firewall filter ว่ามีการบล็อกโปรโตคอล OSPF (IP Protocol 89) หรือพอร์ต UDP ของ WireGuard ที่กำหนดไว้หรือไม่

คำถามเชิงลึกที่พบบ่อย (FAQ)

• Q: WireGuard ดีกว่า PPTP หรือ L2TP/IPsec บน MikroTik อย่างไร?
  A: WireGuard ใช้โค้ดเบสที่เล็กกว่า ทรงประสิทธิภาพสูง ใช้พลังงาน CPU น้อยกว่า ทำงานบน Layer 3 UDP ซึ่งจัดการ NAT Traversal ได้ดีเยี่ยม และมีความปลอดภัยสูงด้วยกระบวนการเข้ารหัสที่ทันสมัย (ChaCha20-Poly1305)
• Q: เชื่อมต่อ Site-to-Site ด้วย WireGuard ต้องมี Public Fixed IP ทั้งสองฝั่งหรือไม่?
  A: ไม่จำเป็นครับ ขอแค่ฝั่งสำนักงานใหญ่มี Public Fixed IP ส่วนฝั่งสาขาที่อยู่หลัง NAT หรือใช้ Dynamic Public IP สามารถตั้งค่าให้ฝั่งสาขาเป็นฝ่ายส่งแพ็กเก็ตหา (Persistent Keepalive) ฝั่งสำนักงานใหญ่ได้ตลอดเวลา
• Q: ทำไมเชื่อม WireGuard ติดแล้วแต่ Ping ข้ามเครื่องในวง LAN สาขาไม่เจอ?
  A: มักเกิดจากการลืมเพิ่มซับเน็ตวง LAN ปลายทางในพารามิเตอร์ allowed-address ของ WireGuard Peer หรือติดปัญหา Windows Firewall บนเครื่องปลายทางที่ไม่อนุญาตให้ Reply ICMP จากซับเน็ตอื่น

สรุปและบริการปรึกษาผู้เชี่ยวชาญ

การตั้งค่า OSPF Cost และ Authentication บน MikroTik RouterOS v7 ควบคู่กับการทำ WireGuard Site to Site ช่วยยกระดับความมั่นคงปลอดภัยและความเสถียรให้กับเครือข่ายองค์กรหลายสาขาได้อย่างมีประสิทธิภาพ หากองค์กรของคุณกำลังประสบปัญหาการเชื่อมต่อสาขา ระบบล่มบ่อย หรือต้องการทีมงานผู้เชี่ยวชาญเข้า-ออกหน้างานเพื่อปรับปรุงโครงสร้างพื้นฐานระบบไอที สามารถติดต่อทีมวิศวกรมืออาชีพจาก SIAM-LOGIN ได้ทันที เราพร้อมดูแลระบบเครือข่ายของคุณแบบครบวงจร โทร. 095-254-4519 หรือ LINE: @vrnetwork