Radius Server คืออะไร หัวใจยืนยันตัวตนระบบ Network Enterprise

ออฟฟิศสำนักงานใหญ่ของบริษัทส่งออกแห่งหนึ่งย่านอโศกที่ผมเข้าไปดูแลระบบเครือข่ายเมื่อปลายปีที่แล้ว ประสบปัญหาปวดหัวเรื้อรังที่ฝ่าย IT ต้องเจอทุกเดือน พนักงานกว่า 400 คนใช้รหัสผ่าน WiFi เดียวกันทั้งตึก พอนักศึกษาฝึกงานสลับเข้าออก หรือมีพนักงานลาออก ทีมงานก็ต้องคอยเดินเปลี่ยนรหัสผ่าน Pre-Shared Key บน Access Point กว่า 50 ตัวทั่วอาคาร หรือถ้าร้ายที่สุดคือไม่มีใครเปลี่ยนรหัสเลย ส่งผลให้คนที่ลาออกไปแล้วยังแอบเชื่อมต่อเข้ามาใช้งานทรัพยากรภายในองค์กรได้ตลอดเวลา

เคสแบบนี้เกิดขึ้นบ่อยมากในธุรกิจที่กำลังขยายตัวครับ เพราะโครงสร้างพื้นฐานเดิมไม่ได้ออกแบบมาเพื่อรองรับการเติบโต คำถามคือ องค์กรขนาดใหญ่เขาจัดการเรื่องสิทธิ์และตัวตนของผู้ใช้งานหลายร้อยหลายพันคนพร้อมกันอย่างไร โดยไม่ต้องคอยเปลี่ยนรหัสผ่าน WiFi ให้วุ่นวาย คำตอบของเรื่องนี้อยู่ที่เทคโนโลยีที่เรียกว่า Radius Server ซึ่งทำหน้าที่เป็นศูนย์กลางของระบบยืนยันตัวตนครับ

Radius Server คืออะไร และทำหน้าที่อย่างไรในเครือข่ายองค์กร

Radius Server ย่อมาจาก Remote Authentication Dial-In User Service คือโปรโตคอลและเครื่องเซิร์ฟเวอร์ที่ทำหน้าที่รับรองความถูกต้องของตัวตนผู้ใช้งาน บริหารจัดการสิทธิ์การเข้าถึง และบันทึกประวัติการใช้งานเครือข่าย พูดให้เห็นภาพง่ายๆ มันเปรียบเสมือน รปภ. ประตูหน้าของอาคารสำนักงานที่ไม่เพียงแค่ตรวจบัตรพนักงาน แต่ยังรู้ด้วยว่าพนักงานคนนี้มีสิทธิ์เข้าห้องไหนได้บ้าง และเข้ามาตอนกี่โมง

ในระบบ Network Enterprise นั้น ตัว Radius Server จะไม่ถูกเชื่อมต่อกับผู้ใช้โดยตรงครับ แต่จะทำงานร่วมกับอุปกรณ์เครือข่าย เช่น Core Switch, Access Switch, Wireless Controller หรือ MikroTik Hotspot ซึ่งอุปกรณ์เหล่านี้จะทำหน้าที่เป็น Network Access Server (NAS) รับส่งข้อมูลการร้องขอเข้าใช้งานจากผู้ใช้ส่งต่อไปยัง Radius Server เพื่อตรวจสอบคำขอ

AAA Framework: 3 เสาหลักที่ซ่อนอยู่หลัง Radius Server

หัวใจที่ทำให้เทคโนโลยีนี้กลายเป็นมาตรฐานความปลอดภัยขององค์กรทั่วโลก มาจากแนวคิดที่เรียกว่า AAA Framework ซึ่งแบ่งหน้าที่การทำงานออกเป็น 3 ส่วนหลัก ดังนี้ครับ

1. Authentication (การยืนยันตัวตน)

ทำหน้าที่ตรวจสอบว่าผู้ใช้งานเป็นตัวจริงหรือไม่ ผ่านการตรวจสอบชื่อผู้ใช้และรหัสผ่าน (Username/Password), ดิจิทัลใบรับรอง (Certificate) หรือการยืนยันตัวตนแบบหลายปัจจัย (MFA) เมื่อผู้ใช้ป้อนข้อมูลผ่านหน้า Captive Portal หรือกรอกผ่านระบบ 802.1X อุปกรณ์ NAS จะส่งข้อมูลมาถาม Radius Server เพื่อยืนยันความถูกต้อง

2. Authorization (การมอบอำนาจและสิทธิ์)

หลังจากยืนยันตัวตนผ่านแล้ว Radius Server จะกำหนด Access Control ให้กับผู้ใช้นั้นๆ ทันที เช่น กำหนดว่าพนักงานฝ่ายบัญชีจะได้ VLAN หมายเลข 20 พร้อมความเร็วอินเทอร์เน็ต 100/100 Mbps ส่วนผู้เยี่ยมชม (Guest) จะได้ VLAN หมายเลข 90 ที่ออกอินเทอร์เน็ตได้อย่างเดียว และไม่สามารถมองเห็นเครื่องคอมพิวเตอร์ในเครือข่ายภายในได้

3. Accounting (การบันทึกจัดเก็บข้อมูล)

บันทึกทุกกิจกรรมการเชื่อมต่อ เช่น เวลาที่เริ่มเข้าใช้งาน เวลาที่ตัดสาย ปริมาณข้อมูลที่รับส่ง (Bandwidth) และ IP Address ที่ได้รับ ซึ่งข้อมูลส่วนนี้จำเป็นมากสำหรับการทำ Traffic Monitoring และการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ตามข้อกำหนดกฎหมาย พ.ร.บ. คอมพิวเตอร์

ทำไมระบบ Network Enterprise ถึงขาด Radius Serverไม่ได้?

จากประสบการณ์ที่ผมออกแบบและติดตั้งระบบ Network มาหลายสิบแห่ง ข้อดีของการนำ Radius Server มาใช้งานจริงในระดับองค์กรมีดังนี้ครับ

• Centralized Authentication การบริหารจัดการแบบจุดเดียว: ไม่ต้องเก็บ User Database ไว้กระจัดกระจายบน Access Point หรือ Switch แต่ละตัว IT สามารถเพิ่ม แก้ไข หรือลบสิทธิ์พนักงานได้จากฐานข้อมูลส่วนกลางจุดเดียว ผลลัพธ์จะกระจายไปยังทุกอุปกรณ์ทันที
• ยกระดับความปลอดภัยด้วย 802.1X: ตัดปัญหาการแชร์รหัสผ่าน WiFi (PSK) โดยใช้ระบบ 802.1X ที่พนักงานแต่ละคนใช้ Username และ Password ของตนเองในการเชื่อมต่อ หรือยืนยันตัวตนผ่าน Certificate บนเครื่องโน้ตบุ๊กของบริษัท
• เชื่อมต่อกับ Active Directory หรือ LDAP: สามารถดึงฐานข้อมูลพนักงานจาก Microsoft Active Directory หรือ Domain Controller ที่มีอยู่แล้วมาใช้งานร่วมกับระบบ Network ได้ทันที โดยพนักงานไม่ต้องจำรหัสผ่านหลายชุด
• จำกัดสิทธิ์และแบนด์วิดท์ตามบทบาท: กำหนดนโยบาย (Policy) ได้ละเอียด เช่น ฝ่ายบริหารได้สิทธิ์สูงสุด ไม่จำกัด speed ส่วนพนักงานชั่วคราวถูกจำกัดเวลาใช้งานและจำกัดความเร็ว
• รองรับ Multi-Branch & Remote Access VPN: สาขาย่อยหรือพนักงานที่ทำงานนอกสถานที่ (WFH) สามารถใช้รหัสผ่านชุดเดียวกันในการเชื่อมต่อ VPN เข้ามายังสำนักงานใหญ่ได้อย่างปลอดภัย

สถาปัตยกรรมกระบวนการทำงาน: จากการกด Connect ถึงการได้ใช้อินเทอร์เน็ต

เพื่อให้เข้าใจสถาปัตยกรรมได้ชัดเจนขึ้น ผมขอเล่าขั้นตอนการทำงานตั้งแต่เริ่มต้นจนผู้ใช้ใช้งานอินเทอร์เน็ตได้ ตามลำดับดังนี้ครับ

1. User Connection Request: พนักงานกดเลือกชื่อ WiFi องค์กร หรือเสียบสาย LAN เข้าคอมพิวเตอร์
2. NAS Interception: Access Point หรือ Switch (หน้าที่ NAS) ระงับการเข้าถึงเครือข่ายชั่วคราว แล้วขอข้อมูลยืนยันตัวตนจากคอมพิวเตอร์
3. Radius Request (Access-Request): NAS รวบรวมข้อมูลประจำตัวผู้ใช้ ห่อหุ้มในรูปแบบแพ็กเกจ RADIUS แล้วส่งไปยัง Radius Server ผ่านพอร์ต UDP 1812
4. Database Check: Radius Server นำข้อมูลไปตรวจสอบกับ Active Directory หรือ FreeRADIUS Database
5. Radius Response (Access-Accept / Reject): หากข้อมูลถูกต้อง Radius Server จะตอบกลับด้วยแพ็กเกจ Access-Accept พร้อมส่งค่า Attributes เช่น VLAN ID และ Bandwidth Limit ไปให้ NAS
6. Network Granted: NAS ปลดล็อกพอร์ตหรือเปิดสิทธิ์ WiFi ให้คอมพิวเตอร์เชื่อมต่อเครือข่ายตามสิทธิ์ที่ได้รับ และ Radius Server จะเริ่มทำการ Accounting ผ่านพอร์ต UDP 1813 ทันที

ซอฟต์แวร์ Radius Server ยอดนิยมในปัจจุบัน

ในการใช้งานจริง เราสามารถเลือกปรับใช้ Radius Server ได้ตามขนาดองค์กรและงบประมาณครับ โดยตัวเลือกที่นิยมใช้กันมาก ได้แก่

• Microsoft Network Policy Server (NPS): ฟีเจอร์ RADIUS ที่มีมาให้ใน Windows Server เหมาะมากสำหรับองค์กรที่ใช้ Active Directory อยู่แล้ว เพราะตั้งค่าง่ายและทำงานร่วมกันได้ทันที
• FreeRADIUS: Open-source RADIUS ที่ทรงพลังและเป็นที่นิยมที่สุดในโลก ปรับแต่งนโยบายได้ยืดหยุ่นสูง รองรับผู้ใช้งานระดับหลายแสนราย แต่ต้องอาศัยความเชี่ยวชาญในการปรับแต่งไฟล์ Configuration
• MikroTik User Manager: Package RADIUS ที่ฝังอยู่ใน RouterOS ของ MikroTik เหมาะสำหรับธุรกิจ SME โรงแรม หรือระบบ WiFi Hotspot ขนาดเล็กถึงปานกลาง
• Cloud RADIUS Solutions: บริการ RADIUS บนคลาวด์ เช่น JumpCloud หรือ Cisco ISE ที่เน้นความสะดวกโดยไม่ต้องตั้งเซิร์ฟเวอร์เองในองค์กร

สรุปมุมมองจาก SIAM-LOGIN

การลงทุนติดตั้งระบบ Radius Server ไม่ใช่เรื่องของการซื้อฮาร์ดแวร์ราคาแพงครับ แต่เป็นการลงทุนวางระบบการยืนยันตัวตนและการควบคุมสิทธิ์ Centralized Authentication ให้เป็นระเบียบ เรียบง่าย และปลอดภัยสูงสุด ในองค์กรยุคใหม่ที่เน้นเรื่องความปลอดภัยของข้อมูล ความเสี่ยงจากการใช้รหัสผ่านร่วมกันคือช่องโหว่ร้ายแรงที่มักถูกมองข้าม

หากองค์กรของคุณกำลังเจอปัญหาเรื่องการบริหารจัดการผู้ใช้งานในระบบ Network Enterprise หรือต้องการเชื่อมต่อระบบ WiFi เข้ากับฐานข้อมูลเดิมอย่างปลอดภัย ทีมงาน SIAM-LOGIN พร้อมให้คำปรึกษา ออกแบบ และติดตั้งระบบที่เหมาะสมกับโครงสร้างพื้นฐานเดิมของคุณอย่างมืออาชีพครับ