รู้จัก Radius Server หัวใจความปลอดภัย Network Security องค์กร

8 ใน 10 องค์กรขนาดกลางและขนาดเล็กที่ผมเคยเข้าไปปรับปรุงระบบ Network Security มักจะเจอปัญหาเดียวกันครับ นั่นคือการใช้รหัสผ่าน Wi-Fi แบบ Pre-Shared Key (PSK) หรือรหัสผ่านเดียวที่แจกจ่ายให้พนักงานทุกคนใช้ร่วมกัน ผลที่ตามมาคือ เมื่อมีพนักงานลาออกไป รหัสผ่านนั้นก็ยังคงเปิดใช้งานอยู่ หรือพนักงานนำรหัสผ่าน Wi-Fi องค์กรไปแชร์ให้คนนอกใช้งาน จนเกิดช่องโหว่ความปลอดภัยร้ายแรงที่ผู้บริหารหลายท่านมองข้ามไป

ในฐานะที่ผมทำระบบให้ SIAM-LOGIN มาหลายปี สิ่งแรกที่ผมจะแนะนำให้ทุกองค์กรที่เริ่มมีพนักงานมากกว่า 20-30 คนขึ้นไปปรับปรุง คือการเปลี่ยนมาใช้ Radius Server เพื่อทำระบบยืนยันตัวตนพนักงานแบบรายบุคคลครับ

Radius Server คืออะไรในมุมมองของวิศวกรเครือข่าย?

ถ้าพูดให้เข้าใจง่ายที่สุดโดยไม่ต้องอิงตำราเทคนิคจนเกินไป Radius Server (Remote Authentication Dial-In User Service) เปรียบเสมือน "ยามเฝ้าประตูศูนย์กลาง" ของระบบเครือข่ายครับ ทำหน้าที่ตามหลักการที่เรียกว่า AAA Authentication

• Authentication (การยืนยันตัวตน): ตรวจสอบว่าคนที่กำลังจะเชื่อมต่อเน็ตคือใคร มี Account อยู่ในระบบจริงหรือไม่
• Authorization (การกำหนดสิทธิ์): เมื่อยืนยันตัวตนผ่านแล้ว อนุญาตให้เข้าถึง Network ส่วนไหนได้บ้าง เช่น พนักงานบัญชีเห็นเฉพาะ Server บัญชี พนักงานทั่วไปออกอินเทอร์เน็ตได้อย่างเดียว
• Accounting (การเก็บข้อมูลการใช้งาน): บันทึกประวัติว่าใคร เข้าใช้งานเมื่อไหร่ ออกเมื่อไหร่ และใช้อยู่ที่ Access Point ตัวไหน

จากเดิมที่ Access Point แต่ละตัวจะจำรหัสผ่านไว้ที่ตัวเอง ทำให้เวลาเปลี่ยนรหัสทีต้องตามไปแก้ทีละตัว แต่เมื่อเรามี Radius Server อุปกรณ์เครือข่ายทั้งหมดจะวิ่งมาถามการยืนยันตัวตนพนักงานที่เซิร์ฟเวอร์เครื่องนี้เพียงจุดเดียวครับ

กลไกการทำงานของมาตรฐาน 802.1X ร่วมกับ Radius Server

เวลาที่ทีม SIAM-LOGIN ออกแบบระบบ Network Security ให้ลูกค้าองค์กร เราจะนำ Radius Server มาทำงานร่วมกับโปรโตคอลมาตรฐานความปลอดภัยระดับสากลอย่าง 802.1X ครับ โดยขั้นตอนการทำงานในชีวิตจริงจะเป็นแบบนี้

1. การร้องขอเชื่อมต่อ (Access Request)

เมื่อพนักงานเปิดโน้ตบุ๊กหรือโทรศัพท์มือถือเพื่อต่อ Wi-Fi อุปกรณ์ (เรียกว่า Supplicant) จะส่ง Username และ Password รายบุคคลไปยัง Access Point หรือ Core Switch

2. การส่งต่อข้อมูลยืนยันตัวตน (Authentication Relay)

Access Point (ทำหน้าที่เป็น Authenticator) จะยังไม่อนุญาตให้พนักงานคนนั้นเล่นเน็ตได้ แต่จะแพ็กข้อมูลการขอเข้าใช้งานส่งต่อไปยัง Radius Server ผ่านโปรโตคอลเข้ารหัสที่ปลอดภัย

3. การตรวจสอบฐานข้อมูลและอนุมัติ (Verification & VLAN Assignment)

Radius Server จะนำข้อมูลไปเทียบกับฐานข้อมูลพนักงาน เช่น Active Directory, LDAP หรือ MikroTik User Manager เมื่อข้อมูลถูกต้อง เซิร์ฟเวอร์จะส่งคำสั่ง Access Accept กลับมา พร้อมระบุหมายเลข VLAN ที่พนักงานคนนั้นควรจะได้รับ ทำให้เครื่องคอมพิวเตอร์เข้าสู่ระบบเครือข่ายได้อย่างปลอดภัยทันที

3 เหตุผลสำคัญที่องค์กรของคุณต้องเปลี่ยนมาใช้ Radius Server

1. ขจัดปัญหารหัสผ่านหลุด และควบคุมสิทธิ์รายบุคคลได้ 100%

เมื่อพนักงานลาออก สิ่งที่ผมและทีมงาน SIAM-LOGIN ทำก็แค่มารับเรื่องแล้ว Disable บัญชีของพนักงานคนนั้นในฐานข้อมูลหลักเพียงจุดเดียว พนักงานคนนั้นจะไม่สามารถเชื่อมต่อ Wi-Fi หรือเข้าถึงระบบเครือข่ายของบริษัทได้อีกต่อไป ทันที โดยที่เราไม่ต้องไปนั่งเปลี่ยนรหัสผ่าน Wi-Fi ใหม่ทั้งบริษัทให้วุ่นวาย

2. เพิ่มความเชี่ยวชาญในการจัดกลุ่ม Network ด้วย Dynamic VLAN

การยืนยันตัวตนพนักงานผ่าน Radius Server ช่วยให้เราสามารถทำ Dynamic VLAN ได้ครับ หมายความว่า พนักงานฝ่าย IT, ฝ่ายบัญชี หรือผู้บริหาร เมื่อต่อ Wi-Fi ชื่อเดียวกัน (SSID เดียวกัน) แต่ Radius Server จะทำการจัดสรร VLAN แยกโซนให้อัตโนมัติทันทีตามสิทธิ์ของแต่ละคน ช่วยลดความยุ่งยากในการแยกชื่อ Wi-Fi หลายๆ ชื่อในองค์กร

3. รองรับการเก็บ Log Event ตามกฎหมาย พ.ร.บ. คอมพิวเตอร์

การบันทึก Log Event การเข้าใช้งานอินเทอร์เน็ตเป็นเรื่องสำคัญมาก หากเกิดเหตุการณ์ภัยคุกคามทางไซเบอร์ หรือมีผู้ไม่หวังดีใช้เน็ตองค์กรทำผิดกฎหมาย Radius Server ร่วมกับระบบจัดเก็บ Log จะระบุได้อย่างแม่นยำครับว่า IPAddress และ MAC Address ดังกล่าว ณ ช่วงเวลานั้น เป็นบัญชีของพนักงานคนไหนใช้งานอยู่

การเลือกใช้ Radius Server ให้เหมาะกับขนาดองค์กร

จากประสบการณ์การวางระบบของผม การเลือก Solution สำหรับทำ Radius Server ขึ้นอยู่กับโครงสร้างพื้นฐานเดิมที่มีอยู่ครับ

• องค์กรที่มี Windows Server อยู่แล้ว: สามารถเปิดใช้งาน Network Policy Server (NPS) ซึ่งเป็นบทบาท (Role) Free RADIUS ที่มีมาให้ในตัว เชื่อมต่อกับ Active Directory ได้ทันทีโดยไม่มีค่าลิขสิทธิ์ซอฟต์แวร์เพิ่ม
• ธุรกิจขนาดกลาง หรือออฟฟิศสาขา: สามารถใช้ FreeRADIUS บน Linux Server หรือใช้ฟีเจอร์ RADIUS ภายใน MikroTik (เช่น User Manager หรือเชื่อมต่อไปยัง Cloud RADIUS) ซึ่งประหยัดงบประมาณและให้เสถียรภาพสูงมาก
• โรงงานหรือองค์กรขนาดใหญ่: อาจเลือกใช้ Enterprise Solution เช่น Cisco ISE หรือ Aruba ClearPass ที่มีความสามารถในการตรวจเช็กความปลอดภัยของอุปกรณ์ (Postscript / Health Check) ก่อนอนุญาตให้เข้า Network

สรุปมุมมองจาก SIAM-LOGIN

การลงทุนวางระบบ Radius Server ไม่ใช่เรื่องไกลตัวอีกต่อไปครับ ในยุคที่ข้อมูลองค์กรมีความสำคัญสูงมาก การป้องกัน Cyber Attack เริ่มต้นง่ายที่สุดจากการควบคุมการเข้าถึงระบบเครือข่ายภายใน หากองค์กรของคุณยังมีปัญหารหัสผ่าน Wi-Fi รั่วไหล หรือไม่สามารถระบุตัวตนผู้ใช้งานที่แท้จริงได้ การปรับมาใช้ระบบยืนยันตัวตนพนักงานด้วย Radius Server คือคำตอบที่คุ้มค่าและสร้างความอุ่นใจในระยะยาวได้อย่างแน่นอนครับ