Radius Server คืออะไร? สรุปประโยชน์และการทำงานกับ WiFi องค์กร

มีอยู่วันหนึ่งตอนช่วงบ่ายสาม เจ้าของออฟฟิศขนาดกลางย่านสาทรโทรหาผมด้วยน้ำเสียงเครียดสุดๆ แกบอกว่าพนักงานฝ่ายไอทีเพิ่งลาออกไปเมื่อเช้าแล้วดันจบไม่สวย แถมพนักงานคนนี้รู้รหัสผ่าน WiFi องค์กรทั้งหมด และยังจำ Pre-Shared Key ของ Wi-Fi สำคัญๆ ได้ทุกวง สิ่งที่เจ้าของออฟฟิศกลัวที่สุดคือ กลัวพนักงานคนนั้นจะแอบนั่งสแกนสัญญาณอยู่ร้านกาแฟฝั่งตรงข้ามแล้วดึงข้อมูลเซิร์ฟเวอร์บริษัท คำถามแรกที่แกถามผมคือ 'ผมต้องเดินไล่เปลี่ยนรหัสผ่าน Wi-Fi บน Access Point ทั้ง 30 ตัวเลยไหมช่าง?' ผมเลยตอบไปว่า 'ถ้าเราวางระบบ Radius Server ไว้ตั้งแต่แรก พี่แค่กดปิด Active บัญชีของพนักงานคนนั้นคลิกเดียว สัญญาณเน็ตก็ตัดทันทีโดยไม่ต้องเปลี่ยนรหัส Wi-Fi ทั้งออฟฟิศเลยครับ' เหตุการณ์นี้ทำให้ผมเห็นชัดเจนเลยว่า องค์กรส่วนใหญ่ยังใช้ระบบ Wi-Fi แบบบ้านๆ ที่เสี่ยงต่อภัยคุกคามทางไซเบอร์อย่างมาก

ทำไมการแจก รหัสผ่าน Wi-Fi เดียวกันทั้งออฟฟิศ ถึงเป็นฝันร้ายของแผนก IT?

หลายออฟฟิศนิยมตั้งรหัสผ่าน Wi-Fi แบบ WPA2 Personal แล้วเอาแปะไว้ตามเสา หรือแจกให้ทุกคนใช้รหัสเดียวกัน วิธีนี้ดูเหมือนสะดวกดีครับ แต่ในมุมมองด้าน Network Security ของผม มันคือช่องโหว่ขนาดใหญ่ เพราะเมื่อไหร่ก็ตามที่มีพนักงานลาออก หรือมีผู้รับเหมาภายนอกเข้ามาใช้งาน หากคุณต้องการความปลอดภัยจริง คุณต้องไล่เปลี่ยนรหัสผ่านบน Access Point ทุกตัว แล้วประกาศรหัสใหม่ให้พนักงานอีก 50-100 คนกรอกใหม่พร้อมกัน ซึ่งในความเป็นจริงไม่มีใครทำกัน สุดท้ายรหัส Wi-Fi ของบริษัทก็หลุดไปอยู่ในมือคนนอกอย่างง่ายดาย

Radius Server คืออะไร? ทำความเข้าใจหลักการ AAA ใน 3 นาที

ถ้าจะอธิบายให้เข้าใจง่ายที่สุด Radius Server (Remote Authentication Dial-In User Service) ทำหน้าที่เหมือน 'พนักงานตรวจบัตรเข้าอาคาร' ประจำระบบเครือข่ายครับ แทนที่ Access Point จะเป็นคนตัดสินใจเองว่าใครเข้าใช้เน็ตได้ AP จะทำหน้าที่แค่ส่งชื่อผู้ใช้และรหัสผ่านมาถามเซิร์ฟเวอร์กลางตัวนี้

หัวใจสำคัญของระบบนี้คือหลักการ AAA Framework ซึ่งประกอบด้วย:

• Authentication (การยืนยันตัวตน): ตรวจสอบว่า ชื่อผู้ใช้งาน และ รหัสผ่าน ถูกต้องตามฐานข้อมูลหรือไม่
• Authorization (การอนุมัติสิทธิ์): กำหนดว่าเมื่อล็อกอินผ่านแล้ว ยูสเซอร์นี้มีสิทธิ์เข้าถึง VLAN ไหน ได้ Speed เท่าไหร่
• Accounting (การบันทึกจัดเก็บข้อมูล): บันทึกเวลาเริ่มใช้งาน เวลาเลิกใช้งาน และปริมาณรับส่งข้อมูล เพื่อรองรับตาม พ.ร.บ. คอมพิวเตอร์

หลักการทำงานร่วมกับระบบยืนยันตัวตน WiFi องค์กร

การทำงานร่วมกันระหว่าง Access Point และ Radius Server ในมาตรฐาน WPA2/WPA3 Enterprise หรือ IEEE 802.1X มีขั้นตอนที่ไม่ยุ่งยากเลยครับ

เมื่อพนักงานเปิดโน้ตบุ๊กหรือโทรศัพท์มือถือเพื่อเชื่อมต่อ Wi-Fi อุปกรณ์จะไม่ถามหารหัส Wi-Fi รวม แต่จะถามหา Username และ Password ส่วนตัว ตัว Access Point (ทำหน้าที่เป็น NAS หรือ Network Access Server) จะนำพารามิเตอร์เหล่านั้นส่งต่อไปยังเซิร์ฟเวอร์เพื่อ Authentication กับ Centralized Database เช่น Active Directory, LDAP หรือ MikroTik User Manager หากข้อมูลถูกต้อง เซิร์ฟเวอร์จะส่งคำสั่งปล่อยสัญญาณพร้อมแจกคีย์เข้ารหัสเฉพาะบุคคล (Per-user Encryption Key) ทันที ส่งผลให้พนักงานคนอื่นในวง Wi-Fi เดียวกันไม่สามารถดักจับแพ็กเกจข้อมูล (Packet Sniffing) ของกันและกันได้เลย

4 ประโยชน์หลักเมื่อนำ Radius Server มาใช้ในระบบ WiFi องค์กร

1. บริหารจัดการผู้ใช้งานจากจุดเดียว (Centralized Management)

เมื่อมีพนักงานใหม่เข้าทำงาน หรือมีพนักงานลาออก ฝ่ายไอทีแค่จัดการบัญชีบน Active Directory หรือฐานข้อมูลหลัก ที่เดียว บัญชีนั้นจะถูกอัปเดตสิทธิ์การเข้าใช้งาน Wi-Fi ทั้งอาคารทันที โดยไม่ต้องแตะต้องคอนฟิกของ Access Point แม้แต่ตัวเดียว

2. เพิ่มยกระดับความปลอดภัยด้วย WPA2/WPA3 Enterprise

การยืนยันตัวตนรูปแบบนี้บังคับให้แยก Session การเข้ารหัสข้้อมูลของผู้ใช้แต่ละคน ถึงแม้แฮกเกอร์จะเชื่อมต่อ Wi-Fi วงเดียวกันได้ ก็ไม่สามารถดักแอบดูข้อมูลการรับส่งของเครื่องข้างๆ ได้เลย

3. จัดการสิทธิ์และจัดสรร Bandwidth (QoS) รายบุคคล

ผมสามารถตั้งค่าให้ Radius Server จ่ายค่า RADIUS Attributes กลับมายัง Router หรือ Switch เพื่อจัด Group ผู้ใช้งานได้ เช่น พนักงานทั่วไปได้ VLAN 10 ความเร็ว 50/50 Mbps ส่วนผู้บริหารได้ VLAN 20 ความเร็ว 300/300 Mbps พร้อมเข้าถึงไฟล์เซิร์ฟเวอร์ลับได้

4. จัดเก็บ Log ตามกฎหมายได้อย่างถูกต้อง

ระบบจะเก็บบันทึกข้อมูลเวลาเข้าใช้งาน (Log Accounting) อย่างเป็นระบบว่า IP นี้ Mac Address นี้ ใครเป็นผู้ใช้งานในเวลาดังกล่าว ทำให้ตอบโจทย์มาตรฐานความปลอดภัยไซเบอร์และการตรวจสอบย้อนหลังได้ 100%

แนวทางการเลือกใช้งานให้เหมาะสมกับขนาดธุรกิจ

จากประสบการณ์เซ็ตอัประบบเครือข่ายให้ลูกค้า SIAM-LOGIN ผมแบ่งแนวทางเลือกใช้ดังนี้ครับ:

• ธุรกิจขนาดเล็กถึงขนาดกลาง (SME): สามารถเลือกใช้ MikroTik User Manager ที่ฝังมากับ RouterBOARD หรือใช้ FreeRADIUS ติดตั้งบน Linux Server / NAS Synology ซึ่งประหยัดงบประมาณและทำงานได้ดีเยี่ยม
• องค์กรขนาดใหญ่ (Enterprise): แนะนำให้ใช้ Windows Server Network Policy Server (NPS) ทำงานร่วมกับ Active Directory Domain Services (AD DS) เพราะสามารถใช้ Username/Password ของ Windows ที่พนักงานใช้ล็อกอินคอมพิวเตอร์มากรอกต่อ Wi-Fi ได้ทันทีโดยไม่ต้องจำรหัสใหม่

สรุป: ถึงเวลาโบกมือลา WPA2 Personal แล้วหรือยัง?

ถ้าออฟฟิศของคุณมีพนักงานมากกว่า 15 คนขึ้นไป หรือมีการหมุนเวียนของบุคลากรบ่อย การใช้รหัสผ่าน Wi-Fi รวมคือความเสี่ยงที่ไม่คุ้มค่าเลยครับ การลงทุนติดตั้ง Radius Server เพียงครั้งเดียว นอกจากจะช่วยลดภาระงานไอทีในการเปลี่ยนรหัสเน็ตแล้วยังช่วยปกป้องข้อมูลสำคัญขององค์กรได้อย่างมีประสิทธิภาพ หากคุณกำลังวางแผนปรับปรุงระบบ WiFi องค์กร หรือต้องการคำปรึกษาเกี่ยวกับการตั้งค่า Authenticate ความปลอดภัยสูง สามารถทักมาพูดคุยกับทีมงาน SIAM-LOGIN ได้ตลอดเวลาครับ