Radius Server คืออะไร? ระบบจัดการ WiFi องค์กรอย่างปลอดภัย

มีอยู่วันหนึ่งตอนสามทุ่ม ฝ่าย IT ของบริษัทลูกค้าเจ้าหนึ่งโทรหาผมด้วยน้ำเสียงลนลาน เพราะพนักงานฝ่ายขายที่เพิ่งถูกให้ออกไปเมื่อเย็น ดันรู้รหัส WiFi องค์กรที่เป็นรหัสกลางตัวเดียวกันทั้งบริษัท แล้วแอบจอดรถหน้าอาคารใช้ WiFi เชื่อมต่อเข้า Server ดึงข้อมูลลูกค้าสำคัญออกไป เหตุการณ์คืนนั้นทำให้เจ้าของบริษัทตระหนักทันทีว่า การแจกรหัส WiFi ปากต่อปาก หรือการตั้งรหัสผ่านชุดเดียวให้ทุกคนใช้ เป็นความเสี่ยงระดับวิกฤตของระบบรักษาความปลอดภัยเครือข่าย

คำถามคือ เราจะแก้ปัญหานี้อย่างไรโดยไม่ต้องคอยเปลี่ยนรหัส WiFi ของ Access Point ทุกตัวในออฟฟิศทุกครั้งที่มีคนลาออก? คำตอบที่ผมให้ลูกค้าวันนั้นและใช้แก้ปัญหาให้องค์กรอีกหลายสิบแห่งก็คือการนำระบบ Radius Server เข้ามาติดตั้งครับ

Radius Server คืออะไร? ทำไมรหัส WiFi แบบเดิมถึงไม่ตอบโจทย์องค์กร

ถ้าอธิบายให้เข้าใจง่ายที่สุด Radius Server (Remote Authentication Dial-In User Service) ก็คือ "ยามเฝ้าประตูศูนย์กลาง" ของระบบเครือข่ายครับ ทำหน้าที่คอยตรวจสอบว่า ใครก็ตามที่พยายามจะเชื่อมต่อเข้ามาในระบบ WiFi หรือ LAN ของเรา มีตัวตนจริงไหม มีสิทธิ์เข้าถึงอะไรบ้าง และใช้งานไปมากน้อยแค่ไหน

ในระบบ WiFi บ้านทั่วไป หรือออฟฟิศขนาดเล็ก เรามักใช้การยืนยันตัวตนแบบ WPA2-Personal (Pre-Shared Key หรือ PSK) ซึ่งก็คือการตั้งรหัสผ่าน 1 ชุด แล้วให้ทุกคนป้อนรหัสเดียวกัน ปัญหาของวิธีนี้คือ หากรหัสหลุดออกไป หรือมีพนักงานลาออก เราแทบจำกัดสิทธิ์ไม่ได้เลย แถมการเปลี่ยนรหัสผ่านบน Access Point นับสิบตัวก็เป็นเรื่องยุ่งยากมาก

แต่เมื่อเรานำ Radius Server มาทำงานร่วมกับมาตรฐาน 802.1X หรือ WPA2/WPA3-Enterprise พนักงานทุกคนจะมี Username และ Password เป็นของตัวเอง หรือใช้ Certificate ประจำเครื่องในการล็อกอิน ทำให้เรายกเลิกสิทธิ์ของพนักงานที่ลาออกได้ทันทีในคลิกเดียว โดยไม่ต้องกระทบกับผู้ใช้งานคนอื่นเลยครับ

หลักการทำงาน 3 สเต็ปของ AAA ใน Radius Server

ในฐานะวิศวกรเครือข่าย เวลาผมวางระบบ Radius Server ให้ลูกค้า ผมจะอธิบายหัวใจการทำงานของมันผ่านหลักการที่เรียกว่า AAA Server เสมอครับ ซึ่งประกอบด้วย 3 ส่วนสำคัญ ดังนี้:

• Authentication (การยืนยันตัวตน): เมื่อผู้ใช้พยายามต่อ WiFi ตัว Access Point จะส่งคำขอไปยัง Radius Server เพื่อถามว่า "นาย A ส่ง Username และ Password ชุดนี้มา ถูกต้องหรือไม่?" Radius จะทำการตรวจสอบกับฐานข้อมูล เช่น Active Directory, LDAP หรือ MikroTik Usermanager ถ้าถูกต้องถึงจะอนุญาตให้ผ่าน
• Authorization (การอนุมัติสิทธิ์): เมื่อยืนยันตัวตนผ่านแล้ว Radius Server จะส่งคำสั่งกลับไปบอกอุปกรณ์เครือข่ายว่า นาย A มีสิทธิ์ทำอะไรได้บ้าง เช่น ถูกจัดให้อยู่ใน VLAN ฝ่ายบัญชี, ได้รับ Speed ความเร็วเท่าไหร่ หรือออกอินเทอร์เน็ตได้เฉพาะช่วงเวลาไหน ซึ่งเป็นเรื่องของ Network Access Control โดยตรง
• Accounting (การบันทึกจัดเก็บข้อมูล): บันทึกประวัติการใช้งานทั้งหมด ตั้งแต่เวลาที่เริ่มเชื่อมต่อ (Start Time), เวลาที่เลิกใช้งาน (Stop Time), หมายเลข IP Address, MAC Address รวมถึงปริมาณ Data Transfer ซึ่งจุดนี้สำคัญมากในการทำ Log File ให้สอดคล้องกับ พ.ร.บ. คอมพิวเตอร์

รูปแบบการปรับใช้ Radius Server ในงานจริงจากประสบการณ์ SIAM-LOGIN

ตลอดการทำงานของผมที่ SIAM-LOGIN การเซ็ตอัป Radius ไม่ได้มีรูปแบบเดียวตายตัว แต่จะปรับตามประเภทธุรกิจและสถาปัตยกรรมระบบเครือข่ายของลูกค้าครับ โดยแบ่งออกเป็น 2 รูปแบบหลักๆ ที่พบได้บ่อยที่สุด:

1. งานสำนักงานและองค์กร (Corporate Enterprise Network)

สำหรับออฟฟิศที่มีพนักงานตั้งแต่ 30-500 คนขึ้นไป ผมมักจะผสาน Radius Server เข้ากับ Active Directory (Domain Controller) ของ Microsoft หรือ FreeRADIUS บน Linux โดยให้พนักงานใช้ Username/Password ชุดเดียวกับที่ใช้ล็อกอินคอมพิวเตอร์ในการต่อ WiFi องค์กร ระบบนี้ช่วยให้ฝ่าย IT ทำงานง่ายขึ้นมาก เมื่อมีพนักงานใหม่เข้ามา แค่สร้าง Account ใน Active Directory พนักงานคนนั้นก็เข้าใช้งาน WiFi ได้ทันทีตามสิทธิ์ของแผนกตนเอง

2. งานธุรกิจบริการ โรงแรม และ WiFi Hotspot

ในงานหอพัก อพาร์ตเมนต์ หรือโรงแรม การใช้ Radius Server จะทำงานร่วมกับระบบ Captive Portal (หน้าเว็บล็อกอิน) และคุมผ่าน MikroTik Usermanager หรือ Radius สคริปต์ภายนอก โดย Radius จะทำการออกตั๋วคูปอง (Voucher) กำหนดวันหมดอายุ กำหนดความเร็วอินเทอร์เน็ต และจำกัดจำนวนอุปกรณ์ต่อ 1 ผู้ใช้งาน ทำให้ผู้ดูแลระบบสามารถบริหารจัดการสิทธิ์ผู้ใช้งานได้อย่างมีประสิทธิภาพสูงสุด

สรุป: เมื่อไหร่ที่องค์กรของคุณควรรีบเปลี่ยนมาใช้ Radius Server?

หากองค์กรของคุณเริ่มมีสัญญาณเตือนเหล่านี้ ผมแนะนำว่าถึงเวลาต้องพิจารณาติดตั้ง Radius Server ได้แล้วครับ:

• พนักงานในออฟฟิศเริ่มเกิน 20-30 คนขึ้นไป และมีการเข้า-ออกของพนักงานบ่อยครั้ง
• ต้องการแยกวงเครือข่าย (VLAN Segmentation) ระหว่างพนักงาน ฝ่ายบริหาร และ Guest ผู้มาติดต่ออย่างเด็ดขาด
• ต้องการระบบระบุตัวตน WiFi ที่ระบุตัวบุคคลได้ชัดเจนตามกฎหมาย
• ไม่มีใครจำได้แล้วว่า รหัส WiFi ออฟฟิศถูกแจกจ่ายไปให้ใครบ้างตลอด 2 ปีที่ผ่านมา

การลงทุนวางระบบ Radius Server อาจดูเหมือนมีความซับซ้อนในขั้นตอนแรกเริ่ม แต่ในระยะยาว มันคือการลงทุนที่คุ้มค่าที่สุดทั้งในแง่ความปลอดภัยของข้อมูลองค์กรและความสะดวกในการบริหารจัดการของทีม IT หากคุณต้องการคำปรึกษาในการออกแบบและติดตั้งระบบยืนยันตัวตน WiFi ทีมงาน SIAM-LOGIN พร้อมให้คำแนะนำจากประสบการณ์จริงเสมอครับ