คู่มือออกแบบระบบ VLAN แยกเครือข่ายพนักงานและ Guest WiFi ให้ปลอดภัย
บริษัท 8 ใน 10 แห่งที่ติดต่อให้ผมเข้าไปแก้ปัญหาระบบเครือข่าย มักจะตกหลุมพรางเดียวกันครับ นั่นคือการใช้ 'Flat Network' หรือการกองเครือข่ายคอมพิวเตอร์ทั้งหมดไว้ในผืนเดียวกันทั้งออฟฟิศ ไม่ว่าจะเป็นเครื่องคอมพิวเตอร์ของฝ่ายบัญชี เครื่องพิมพ์ เครื่องเซิร์ฟเวอร์ พนักงานขาย ตลอดจน WiFi สำหรับผู้มาติดต่อ (Guest WiFi) ทั้งหมดถูกเสียบลงในสวิตช์ตัวเดียวกัน โดยไม่มีการแบ่งแยกวงแลน (LAN) ซ้ำร้ายกว่านั้น บางแห่งเปิดให้ลูกค้านั่งทำงานข้างๆ พนักงาน แล้วเสียบสายแลนเข้ากับเต้ารับบนผนังตรงๆ ได้ทันที
ในฐานะวิศวกรเครือข่าย ผมบอกได้เลยว่านี่คือความเสี่ยงระดับสีแดงครับ เพราะทันทีที่โน้ตบุ๊กของผู้มาติดต่อติดไวรัส Ransomware หรือมีซอฟต์แวร์ประสงค์ร้าย เจ้ามัลแวร์นั้นจะสามารถสแกนเห็นคอมพิวเตอร์ทุกเครื่องในออฟฟิศของคุณได้ภายในไม่กี่วินาที วันนี้ผมเลยอยากมาแชร์ประสบการณ์จริงและคู่มือการ ออกแบบระบบ VLAN เพื่อแยกเครือข่ายพนักงานและผู้มาติดต่อออกจากกันอย่างเด็ดขาดครับ
ทำไมการไม่ทำ Network Segmentation ถึงเป็นฝันร้ายของ IT?
เวลาผมเข้าไปตรวจเช็กระบบให้องค์กรลูกค้า ผมมักจะเปรียบเทียบ Network ในออฟฟิศเหมือนกับ 'บ้าน' ครับ การใช้ Flat Network ก็เหมือนการเปิดประตูบ้านทุกห้องทิ้งไว้ ใครเข้ามาในห้องรับแขก (Guest WiFi) ก็สามารถเดินเข้าห้องนอน ห้องทำงาน หรือเปิดตู้เซฟฝ่ายบัญชีได้ทันที
ภัยคุกคามที่คุณต้องเจอหากไม่มีการทำ Network Segmentation ได้แก่:
- การแพร่ระบาดของ Ransomware: หากเครื่องของ Guest ติดมัลแวร์ มันจะสแกนหาพอร์ต Share Folder (SMB) ในวง Network เดียวกันและเข้ารหัสไฟล์งานทั้งหมดทันที
- การดักจับข้อมูล (Packet Sniffing / ARP Spoofing): ผู้ไม่หวังดีสามารถใช้มือถือหรือโน้ตบุ๊กแอบดักจับรหัสผ่านหรือข้อมูลการสื่อสารภายในองค์กรได้ง่ายดาย
- Broadcast Storm: อุปกรณ์ของผู้มาติดต่อหรือสมาร์ตโฟนจำนวนมากจะส่งข้อมูลกระจาย (Broadcast) ไปกระทบเครื่องคอมพิวเตอร์พนักงาน ทำให้ระบบเครือข่ายช้าลงโดยไม่จำเป็น
การออกแบบวงเครือข่ายด้วย VLAN ฉบับใช้งานจริง
การแก้ปัญหาที่ดีที่สุดคือการทำ VLAN Isolation ครับ โดยเราจะแบ่งสวิตช์และสัญญาณ WiFi ออกเป็นหลายๆ วงเสมือน ถึงแม้จะใช้สายแลนและ Access Point ชุดเดียวกัน แต่ในทางเทคนิค ข้อมูลจะถูกแยกออกจากกันโดยสิ้นเชิง เสมือนอยู่คนละตึกกันเลยทีเดียว
จากประสบการณ์ของผม โครงสร้างวง Subnet ที่เหมาะสมสำหรับองค์กรขนาดกลางและขนาดเล็ก ควรแบ่งดังนี้ครับ:
1. VLAN 10: Management (192.168.10.0/24)
สำหรับอุปกรณ์โครงสร้างพื้นฐาน เช่น MikroTik Router, Managed Switch, และ Access Point เพื่อไม่ให้ผู้ใช้งานทั่วไปแอบเข้าหน้า Login ของอุปกรณ์ได้
2. VLAN 20: Corporate / Staff (192.168.20.0/24)
สำหรับคอมพิวเตอร์และโน้ตบุ๊กของพนักงานบริษัท สามารถเข้าถึง File Server, NAS, และ Printer ภายในองค์กรได้
3. VLAN 30: Guest WiFi (172.16.30.0/24)
สำหรับลูกค้าหรือผู้มาติดต่อ ออกอินเทอร์เน็ตได้อย่างเดียว ไม่สามารถมองเห็นหรือสื่อสารกับ VLAN อื่นๆ ได้เลยแม้แต่น้อย
4. VLAN 40: IoT & Security (192.168.40.0/24)
สำหรับกล้องวงจรปิด (CCTV), เครื่องสแกนนิ้วประตู (Access Control) และอุปกรณ์ Smart Office ต่างๆ เพื่อความปลอดภัยสูงสุด
หัวใจสำคัญ: การตั้งค่า Trunk Port, Access Port และ Native VLAN
ในการลงมือปฏิบัติจริงกับอุปกรณ์ประเภท Managed Switch คุณจะต้องเข้าใจการรับส่งค่า VLAN Tag (IEEE 802.1Q) ครับ
- Trunk Port: ใช้สำหรับเชื่อมต่อระหว่าง Router ไปยัง Switch หรือระหว่าง Switch ไปยัง Access Point พอร์ตนี้จะยอมให้ Traffic ของหลายๆ VLAN วิ่งผ่านไปพร้อมกันโดยติด Tag หมายเลข VLAN ไปด้วย
- Access Port: ใช้สำหรับต่อเข้าเครื่องลูกข่าย เช่น PC พนักงาน หรือ Printer พอร์ตนี้จะกำหนดให้เป็น VLAN เดียว (เช่น VLAN 20) และจะทำการถอด Tag ออกเมื่อส่งถึงเครื่องลูกข่าย
- Native VLAN: ควรเปลี่ยนค่า Default Native VLAN จาก VLAN 1 เป็นหมายเลขอื่นเสมอ เพื่อป้องกันการโจมตีประเภท VLAN Hopping
การเขียน Firewall Rules ตัดวงจรการเชื่อมต่อระหว่าง VLAN
สิ่งหนึ่งที่คนมักจะตกหลุมพรางกันเยอะมาก คือการคิดว่าแค่สร้าง MikroTik VLAN หรือตั้งค่าวง Subnet แยกกันแล้วจะปลอดภัยทันที... คำตอบคือ 'ยังไม่พอครับ!'
เนื่องจาก Router โดยธรรมชาติมีหน้าที่ค้นหาเส้นทาง (Inter-VLAN Routing) ดังนั้นหากเราไม่เขียนกฎบน Firewall เพิ่มเติม Router ก็จะส่ง Traffic จากวง Guest (VLAN 30) ข้ามไปหาวงพนักงาน (VLAN 20) อยู่ดี
สิ่งที่ผมทำเสมอในการเซ็ตระบบให้ลูกค้า คือการเพิ่ม Firewall Rules ในการ Block Traffic ดังนี้:
- สร้าง Rule ตั้งค่า <Action = drop> โดยระบุ Src. Address = VLAN 30 (Guest) และ Dst. Address = VLAN 20 (Staff)
- เปิดใช้งานฟังก์ชัน Client Isolation บน Access Point เพิ่มเติม เพื่อไม่ให้ผู้ใช้ Guest WiFi ด้วยกันเองแอบสแกนหรือแฮกเครื่องกันเองได้
- กำหนดสิทธิ์ให้ Guest WiFi Security วิ่งออกสู่ WAN (Internet) ได้เพียงทางเดียวเท่านั้น
อุปกรณ์ที่ต้องเตรียมหากต้องการทำระบบ VLAN แยกเครือข่าย
หากคุณอยากปรับปรุงระบบเครือข่ายออฟฟิศให้เป็นมาตรฐานความปลอดภัยแบบนี้ สิ่งที่คุณต้องเตรียมมี 3 ส่วนหลักๆ ครับ:
- Main Router: ต้องรองรับการสร้าง VLAN Interfaces เช่น RouterBoard ของ MikroTik หรือ Firewall Gateway แบรนด์องค์กร
- Managed Switch: สวิตช์ต้องเป็น Layer 2 หรือ Layer 3 ที่รองรับ 802.1Q VLAN Tagging (Unmanaged Switch ทั่วไปตามท้องตลาดใช้ทำ VLAN แยกพอร์ตไม่ได้นะครับ)
- Business Access Point: ต้องรองรับการปล่อย Multi-SSID และรองรับการทำ SSID-to-VLAN Mapping เช่น Ubiquiti UniFi, TP-Link Omada หรือ Aruba
หากองค์กรของคุณต้องการความปลอดภัยที่สูงขึ้นไปอีก การเชื่อมต่อระบบ Guest WiFi เข้ากับ Captive Portal หรือระบบยืนยันตัวตนแบบ SIAM-LOGIN จะช่วยให้คุณบันทึก Traffic Log ตาม พ.ร.บ. คอมพิวเตอร์ ได้อย่างถูกต้อง และควบคุมระยะเวลาการใช้งานของผู้มาติดต่อได้แม่นยำยิ่งขึ้นครับ
คำถามที่พบบ่อยเกี่ยวกับบทความนี้ (FAQ)
Q: ถ้าออฟฟิศใช้ Unmanaged Switch ตัวธรรมดาอยู่ จะสามารถตั้งค่า VLAN ได้ไหม?
ไม่ได้ครับ Unmanaged Switch ไม่รองรับการอ่านค่า 802.1Q VLAN Tag หากต้องการทำระบบ VLAN Isolation จำเป็นต้องเปลี่ยนมาใช้ Managed Switch ที่สามารถกำหนดพอร์ตแบบ Access Port และ Trunk Port ได้ครับ
Q: การทำ VLAN จะทำให้ความเร็วอินเทอร์เน็ตช้าลงหรือไม่?
ไม่ช้าลงครับ ในทางตรงกันข้าม การทำ Network Segmentation ช่วยลด Broadcast Storm ภายในเครือข่าย ทำให้ประสิทธิภาพโดยรวมของ Network ดีขึ้นและมีความเสถียรมากขึ้นครับ
Q: Guest WiFi ควรใช้กับระบบ Captive Portal ยืนยันตัวตนด้วยหรือไม่?
แนะนำอย่างยิ่งครับ นอกจาก VLAN จะช่วยแยกวงเครือข่ายเพื่อความปลอดภัยแล้ว การใช้ Captive Portal ร่วมด้วยจะช่วยเก็บบันทึก Log การใช้งานตาม พ.ร.บ. คอมพิวเตอร์ และป้องกันคนนอกแอบใช้งาน WiFi โดยไม่ได้รับอนุญาตครับ
ต้องการความช่วยเหลือหรือจ้างวางระบบ Network?
ทีมวิศวกร SIAM-LOGIN ยินดีให้คำปรึกษา ออกแบบระบบ และจัดส่งทีมเข้าติดตั้งหน้างาน