Radius Server คืออะไร หัวใจระบบยืนยันตัวตนเครือข่ายองค์กร

ย้อนกลับไปช่วงที่ผมเริ่มรับดูแลระบบเครือข่ายให้หอพักและองค์กรขนาดกลางยุคแรกๆ มีคืนหนึ่งตอนสี่ทุ่ม เจ้าของโครงการโทรหาผมด้วยน้ำเสียงตื่นตระหนก บอกว่าผู้เช่าใหม่ 20 กว่าห้องเข้าใช้งาน WiFi ไม่ได้เลย ทั้งที่เพิ่งแจกคูปองรหัสผ่านไป พอผมรีโมทเข้าไปเช็ค MikroTik Router ปรากฏว่า CPU วิ่งเต็ม 100% ค้างจนทำงานต่อไม่ได้ สาเหตุเพราะตัว Router ต้องแบกรับฐานข้อมูล User หลายร้อยรายชื่อ แถมยังต้องคอยตรวจสอบการล็อกอินพร้อมกันตลอดเวลา เหตุการณ์คืนนั้นทำให้ผมตัดสินใจปรับโครงสร้างระบบใหม่ทั้งหมด และนำ Radius Server เข้ามาแยกภาระงานทันที

Radius Server คืออะไร และทำไมองค์กรถึงขาดไม่ได้?

หากจะอธิบายให้เห็นภาพง่ายที่สุด Radius Server (Remote Authentication Dial-In User Service) เปรียบเหมือน "นายประตูคนกลาง" ที่ทำหน้าที่ตรวจสอบสิทธิ์และบันทึกข้อมูลการเข้าใช้งานเครือข่ายทั้งหมด ไม่ว่าจะเป็นการเข้าใช้งานผ่าน WiFi Hotspot, การเชื่อมต่อ VPN เข้ามาจากภายนอก หรือแม้แต่การเสียบสาย LAN เข้ากับสวิตช์ในออฟฟิศ

ในระบบเครือข่ายขนาดเล็ก เราอาจจะสร้างชื่อผู้ใช้และรหัสผ่านไว้บน MikroTik RouterOS หรือ Access Point โดยตรงได้ แต่เมื่อธุรกิจเติบโตจนมีผู้ใช้งานหลักร้อยหรือหลักพันคน อุปกรณ์เครือข่ายเหล่านั้นจะไม่สามารถรับภาระการประมวลผลไหว การมี AAA Server ที่ทำหน้าที่รับภาระนี้โดยเฉพาะ จึงเป็นคำตอบที่ช่วยให้ระบบทำงานได้เสถียรขึ้นอย่างเห็นได้ชัด

หลักการทำงานแบบ AAA Architecture ที่อยู่เบื้องหลัง

ระบบ Radius ทำงานอยู่บนหลักการที่เรียกว่า AAA ซึ่งประกอบด้วย 3 ส่วนสำคัญที่ช่วยให้การบริหารจัดการผู้ใช้งานเครือข่ายเป็นไปอย่างปลอดภัยและมีระเบียบ:

• Authentication (การยืนยันตัวตน): ทำหน้าที่ตรวจสอบว่า Username และ Password ที่ผู้ใช้กรอกเข้ามานั้นถูกต้องตรงกับฐานข้อมูลหรือไม่
• Authorization (การอนุมัติสิทธิ์): เมื่อยืนยันตัวตนผ่าน ระบบจะกำหนดสิทธิ์ให้ผู้ใช้คนนั้นทันที เช่น ได้ความเร็วอินเทอร์เน็ตเท่าไหร่ (Bandwidth Limitation), อยู่ใน VLAN ไหน หรือใช้งานได้กี่ชั่วโมง
• Accounting (การเก็บบันทึกข้อมูล): บันทึกประวัติการใช้งานอย่างละเอียด ตั้งแต่เวลาเริ่มเชื่อมต่อ เวลาเลิกใช้งาน ปริมาณข้อมูล Upload/Download รวมถึง IP Address ที่ได้รับ ซึ่งจุดนี้สำคัญมากสำหรับการเก็บ Log ให้สอดคล้องกับกฎหมาย

ข้อดีของการแยกฐานข้อมูลมาไว้ที่ Centralized Database

จากประสบการณ์ตรงของผมในการวางระบบ SIAM-LOGIN ให้กับลูกค้าหลายร้อยแห่ง การเปลี่ยนมาใช้ ฐานข้อมูลส่วนกลาง (Centralized Database) ร่วมกับซอฟต์แวร์อย่าง FreeRADIUS ช่วยแก้ปัญหาใหญ่ๆ ได้ถึง 3 เรื่อง:

1. อุปกรณ์เครือข่ายทำงานเบาลงอย่างเห็นได้ชัด

เมื่อ MikroTik หรือ Access Point ไม่ต้องเก็บฐานข้อมูล User เอง หน้าที่ของมันจะเหลือเพียงแค่การส่งคำขอ (Access-Request) มาถาม Radius Server เท่านั้น ทำให้ CPU ของ Router ทำงานน้อยลง ลดปัญหาเครื่องแฮงค์หรือรีบูตตัวเองในช่วงที่มีคนใช้งานพร้อมกันมากๆ

2. จัดการข้อมูลผู้ใช้ได้จากจุดเดียว (Centralized Management)

ไม่ว่าคุณจะมี Access Point 50 ตัว หรือมีสาขาแยกกันอยู่คนละจังหวัด คุณไม่จำเป็นต้องวิ่งไปเพิ่มชื่อผู้ใช้ทีละอุปกรณ์ แค่จัดการข้อมูลบน Radius Server เพียงจุดเดียว อุปกรณ์ทุกตัวในเครือข่ายก็จะรับรู้ข้อมูลตรงกันทันที

3. รองรับการเชื่อมต่อกับ Active Directory และ LDAP

สำหรับองค์กรที่มีระบบพนักงานอยู่แล้ว เราสามารถนำ Radius Server ไปเชื่อมต่อกับ Active Directory (AD) หรือ LDAP เพื่อให้พนักงานใช้ Username/Password ชุดเดียวกับที่ใช้ล็อกอินคอมพิวเตอร์ในการเข้าใช้งาน WiFi องค์กรได้ทันทีผ่านมาตรฐาน 802.1X Authentication โดยไม่ต้องสร้างบัญชีใหม่ให้ซ้ำซ้อน

รูปแบบการนำไปใช้งานจริงในธุรกิจ

Radius Server สามารถนำไปประยุกต์ใช้งานได้หลากหลายรูปแบบตามโจทย์ของแต่ละธุรกิจ ดังนี้ครับ:

• ระบบ WiFi Hotspot โรงแรมและอพาร์ตเมนต์: ทำงานร่วมกับ Captive Portal ในการออกคูปองรายวัน รายเดือน หรือตัดหมดอายุตามเวลาจริง
• ระบบความปลอดภัยเครือข่ายองค์กร (Enterprise Security): ใช้พิสูจน์ตัวตนพนักงานก่อนเข้าถึงไฟล์เซิร์ฟเวอร์ภายใน ผ่านการยืนยันตัวตนแบบ 802.1X
• การเชื่อมต่อ VPN สำหรับพนักงาน Remote Work: ตรวจสอบสิทธิ์การเข้าถึงทรัพยากรภายในบริษัทอย่างปลอดภัยจากภายนอก

สรุปมุมมองจากวิศวกรระบบ

หากองค์กรของคุณกำลังเจอปัญหาเน็ตหลุดบ่อย Router ค้างโดยไม่ทราบสาเหตุ หรือปวดหัวกับการต้องคอยแจกรหัส WiFi ใหม่ทุกครั้งที่มีคนเข้า-ออก การลงทุนตั้ง Radius Server ถือเป็นการลงทุนที่คุ้มค่าที่สุดอย่างหนึ่ง เพราะนอกจากจะช่วยให้ระบบทำงานได้เสถียร ปลอดภัย และเป็นมืออาชีพแล้ว ยังช่วยลดภาระงานของทีม IT ในระยะยาวได้อย่างแท้จริงครับ