Radius Server คืออะไร? เพิ่มความปลอดภัย Network องค์กรอย่างมืออาชีพ

ออฟฟิศขนาดกลางแห่งหนึ่งย่านสาทร มีพนักงานราวๆ 80 คน เคยเจอปัญหาชวนปวดหัวที่ผมเชื่อว่าหลายองค์กรก็กำลังเจออยู่เหมือนกันครับ วันนั้นมีพนักงานฝ่ายขายคนหนึ่งลาออกไป แต่เนื่องจากออฟฟิศใช้ WiFi รหัสผ่านเดียวกันทั้งบริษัท (WPA2-Personal) พนักงานที่ออกไปแล้วยังสามารถนั่งร้านกาแฟฝั่งตรงข้ามแล้วเชื่อมต่อ WiFi ของบริษัทเข้ามาดึงข้อมูลใน Internal Server ได้อยู่เลยครับ

พอทีม IT รู้เรื่อง สิ่งที่ต้องทำคือเปลี่ยนรหัสผ่าน WiFi ใหม่ทั้งหมด แล้วเดินไล่กรอกรหัสผ่านใหม่ให้คอมพิวเตอร์และมือถือพนักงานทีละเครื่อง 80 กว่าเครื่อง เสียเวลาไปครึ่งค่อนวัน แถมผ่านไปไม่กี่สัปดาห์ รหัสผ่านใหม่ก็ถูกจดใส่โพสต์อิทแปะไว้ใต้คีย์บอร์ดเหมือนเดิม ปัญหานี้แหละครับที่ทำให้ผมต้องเข้าไปเซ็ตอัป RADIUS Server ให้กับออฟฟิศนี้ เพื่อตัดวงจรอุบาทว์ด้านความปลอดภัยอินเทอร์เน็ตในองค์กร

RADIUS Server คืออะไร? ทำความเข้าใจในแบบภาษาคน IT คุยกัน

ถ้าพูดให้เข้าใจง่ายที่สุด RADIUS Server (Remote Authentication Dial-In User Service) ก็เปรียบเสมือน "ฝ่ายบุคคลและพนักงานรักษาความปลอดภัยประจำประตูทางเข้า Network" ครับ ในระบบเครือข่ายแบบเดิม Access Point หรือ Switch จะทำหน้าที่ตัดสินใจเองว่าจะให้ใครเข้าใช้งานบ้าง แต่เมื่อเรานำระบบนี้เข้ามา Access Point จะกลายเป็นแค่คนเฝ้าประตูที่ต้องวิ่งมาถามเซิร์ฟเวอร์ก่อนเสมอว่า "ผู้ใช้คนนี้ชื่อนี้ รหัสผ่านนี้ มีสิทธิ์เข้าใช้งานหรือไม่?"

หลักการทำงานหลักของระบบนี้อิงตามมาตรฐานที่เรียกว่า AAA Security ซึ่งประกอบด้วย 3 ส่วนสำคัญ ดังนี้ครับ

• Authentication (การยืนยันตัวตน): ตรวจสอบว่าคุณคือใคร ใช่พนักงานของบริษัทจริงหรือไม่ โดยการตรวจสอบ Username และ Password กับฐานข้อมูลกลาง
• Authorization (การอนุมัติสิทธิ์): เมื่อยืนยันตัวตนผ่านแล้ว เซิร์ฟเวอร์จะกำหนดว่าคุณมีสิทธิ์ทำอะไรได้บ้าง เช่น พนักงานบัญชีเข้าถึง Server บัญชีได้ แต่พนักงานฝึกงานเข้าถึงได้เฉพาะอินเทอร์เน็ตภายนอก และถูกจับแยก VLAN ทันที
• Accounting (การบันทึกข้อมูลการใช้งาน): บันทึกประวัติอย่างแม่นยำว่าใครเริ่มเชื่อมต่อเมื่อไหร่ ใช้ IP อะไร เลิกใช้งานกี่โมง และใช้ปริมาณ Data เท่าไหร่ ซึ่งตรงนี้จำเป็นมากสำหรับการเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์

ทำไมองค์กรยุคนี้ถึงไม่ควรใช้ WiFi รหัสผ่านเดียว (Pre-Shared Key)

หลายออฟฟิศมักจะเลือกใช้รหัสผ่าน WiFi แบบรวมเพราะมันง่ายตอนตั้งค่าครั้งแรก แต่ในมุมมองของ Network Security แล้ว นี่คือช่องโหว่ขนาดใหญ่มากครับ เพราะ

1. เสี่ยงต่อการรั่วไหลของข้อมูลบริษัท

เมื่อรหัสผ่าน WiFi เป็นชุดเดียวกัน ทุกคนในออฟฟิศก็สามารถนำรหัสนี้ไปแจกจ่ายให้บุคคลภายนอก เพื่อน หรือแม้กระทั่งพนักงานที่ลาออกไปแล้วได้ โดยที่เราไม่สามารถตรวจสอบได้เลยว่าใครกำลังใช้งานอยู่บ้าง

2. ไม่สามารถระบุตัวตนรายบุคคลได้

หากเกิดเหตุการณ์ไซเบอร์หรือมีเครื่องในออฟฟิศปล่อยมัลแวร์โจมตีระบบ เมื่อเราเช็กดูในระบบ Network เราจะเห็นเพียง IP หรือ MAC Address ซึ่งยากมากในการระบุว่าอุปกรณ์เครื่องนั้นเป็นของใคร ต่างจากการใช้ระบบยืนยันตัวตนส่วนกลางที่ระบุเป็นชื่อบัญชีพนักงานได้ทันที

RADIUS Server ทำงานร่วมกับ MikroTik และ WiFi องค์กรอย่างไร

ในการทำงานจริง ผมมักจะแนะนำลูกค้านำ RADIUS Server ไปเชื่อมต่อกับอุปกรณ์เครือข่ายหลักขององค์กร เช่น MikroTik Router หรือ Access Point ระดับ Enterprise ผ่านมาตรฐานการพิสูจน์ตัวตน 802.1X Enterprise Authentication ครับ

เมื่อพนักงานเปิดโน้ตบุ๊กเพื่อเชื่อมต่อ WiFi องค์กร หน้าจอจะไม่ขึ้นให้กรอก Wi-Fi Password แบบเดิม แต่จะขึ้นให้ใส่ Username และ Password ของตัวเอง (เช่นเดียวกับตอน Login เข้า Windows หรือ Email บริษัท) ตัว Access Point จะส่งข้อมูลนี้ไปให้ MikroTik RADIUS หรือเซิร์ฟเวอร์ภายนอกตรวจเช็ก เมื่อถูกต้องจึงจะปล่อยสัญญาณให้ใช้งาน พร้อมกำหนด VLAN Access แยกตามแผนกให้อัตโนมัติ

นอกจากนี้ หากองค์กรของคุณมีการใช้งาน Active Directory (AD) หรือ LDAP อยู่แล้ว เราสามารถเชื่อมโยงเซิร์ฟเวอร์เข้ากับ AD ได้เลยครับ เวลาพนักงานใหม่เข้ามาทำงาน IT แค่สร้าง Account ใน AD เพียงครั้งเดียว พนักงานคนนั้นก็จะสามารถใช้ Username เดียวกันนั้น Login ได้ทั้งคอมพิวเตอร์, Email, VPN และ WiFi ของบริษัททันที และเมื่อพนักงานลาออก แค่ปิด Account ใน AD สิทธิ์การเข้าถึง WiFi และ Network ทั้งหมดก็จะถูกยกเลิกทันทีโดยไม่ต้องไปไล่เปลี่ยนรหัส WiFi ให้เหนื่อย

4 ประโยชน์หลักที่องค์กรจะได้รับทันทีหลังติดตั้ง RADIUS Server

• ยกระดับความปลอดภัยสูงสุดด้วย 802.1X: ตัดปัญหาเรื่องการแอบส่องรหัสผ่าน (Eavesdropping) เพราะการเชื่อมต่อทุกอย่างมีการเข้ารหัสเฉพาะบุคคล
• บริหารจัดการแบบ Centralized Management: จัดการผู้ใช้งานจากจุดเดียว ไม่ว่าจะเพิ่ม ลบ หรือจำกัดสิทธิ์ พนักงานร้อยคนก็ใช้เวลาจัดการแค่ไม่กี่คลิก
• แบ่งโซนการใช้งานด้วย Dynamic VLAN: เมื่อผู้ใช้ยืนยันตัวตนสำเร็จ เซิร์ฟเวอร์สามารถสั่งให้ Switch หรือ Access Point จัดผู้ใช้คนนั้นเข้า VLAN ของแผนกตนเองได้ทันที โดยไม่ต้องแยก SSID หลายๆ อันให้สับสน
• รองรับการทำ Captive Portal สำหรับ Guest WiFi: สำหรับแยกสิทธิ์ลูกค้านอกองค์กร ให้สามารถเข้าใช้อินเทอร์เน็ตได้โดยไม่สามารถแอบเข้ามารบกวนระบบเครือข่ายภายในของบริษัทได้

สรุป: ถึงเวลาที่องค์กรของคุณควรเริ่มทำ RADIUS Server หรือยัง?

หากองค์กรของคุณเริ่มมีพนักงานเกิน 15-20 คนขึ้นไป มีข้อมูลสำคัญของลูกค้า หรือต้องปฏิบัติตามมาตรฐานความปลอดภัยสารสนเทศ การพึ่งพา WiFi รหัสผ่านเดียวแบบบ้านพักอาศัยถือเป็นความเสี่ยงที่ไม่คุ้มค่าเลยครับ การลงทุนติดตั้งระบบยืนยันตัวตนส่วนกลาง ไม่ได้ซับซ้อนอย่างที่คิด และช่วยให้ทีม IT ทำงานง่ายขึ้นอย่างเห็นได้ชัด

หากคุณกำลังวางแผนปรับปรุงระบบ Network Security ในองค์กร หรือต้องการเซ็ตอัประบบยืนยันตัวตนร่วมกับอุปกรณ์ MikroTik และ WiFi Hotspot สามารถปรึกษาทีมงาน SIAM-LOGIN ได้ตลอดเวลาครับ ผมและทีมวิศวกรยินดีช่วยออกแบบโซลูชันที่เหมาะสมกับงบประมาณและขนาดองค์กรของคุณที่สุดครับ