วางโครงสร้าง Network สำนักงานยุคใหม่ ออกแบบ Core Switch และ VLAN

80% ของออฟฟิศขนาดกลางถึงใหญ่ที่ผมเข้าไปแก้ปัญหาเน็ตล่ม คอลสายไมค์กระตุก หรือไฟล์เซิร์ฟเวอร์หมุนค้าง ทั้งที่เพิ่งทุ่มงบซื้อ Router ราคาแพงมาเปลี่ยน ปัญหาแท้จริงไม่ได้อยู่ที่ความเร็วอินเทอร์เน็ตภายนอกครับ แต่มันเกิดจากโครงสร้างเครือข่ายภายในที่ไม่ได้ถูกออกแบบ layer การทำงานอย่างถูกต้อง ปล่อยให้ Traffic ทุกอย่างจากพนักงาน 100 กว่าคน ทั้งคอมพิวเตอร์ กล้องวงจรปิด ปริ้นเตอร์ และ WiFi แข่งกันวิ่งบน Network Broadcast Domain เดียวกันจนเกิดขยะเครือข่ายเต็มไปหมด

จากประสบการณ์ตรงของผมในการวางระบบ Network สำนักงานให้กับ SIAM-LOGIN ตลอดหลายปีที่ผ่านมา หัวใจสำคัญของการสร้างเครือข่ายที่เสถียร ไม่ล่มง่าย และรองรับการขยายตัวในอนาคต คือการวางโครงสร้างแบบ Three-Tier หรืออย่างน้อยต้องเป็น Two-Tier Architecture โดยการแยกบทบาทระหว่าง Core Switch, Access Switch และการจัดวาง VLAN อย่างมีหลักการครับ

1. ทำไมต้องแยก Core Switch และ Access Switch ออกจากกัน?

หลายองค์กรชอบรวบยอดซื้อ Switch สเปกกลางๆ 24 Port มาต่อพ่วงกันไปเรื่อยๆ แบบ Daisy Chain หรือต่ออนุกรมจากชั้น 1 ไปชั้น 2 และชั้น 3 ซึ่งการทำแบบนี้คือฝันร้ายของงานวิศวกรรมเครือข่ายครับ เพราะเมื่อ Access Switch ตัวแรกสุดมีปัญหา สวิตช์ทุกตัวที่ต่อตามหลังมันจะร่วงหมดทั้งบริษัท

การวางโครงสร้าง Network สำนักงานยุคใหม่ที่ถูกต้อง ผมมักจะออกแบบให้มี 2 Layer หลักดังนี้ครับ:

Core Switch (หัวใจของระบบ)

หน้าที่หลักของ Core Switch ไม่ใช่การเอาไว้เสียบสาย LAN ไปหาคอมพิวเตอร์พนักงานครับ แต่เป็นตัวกลางในการส่งผ่านข้อมูลระหว่าง Subnet หรือ Inter-VLAN Routing ด้วยความเร็วสูง (High-Speed Backplane) Core Switch ที่ดีควรรองรับ Layer 3 Feature มี Switching Capacity สูง และควรทำ Redundancy หรือ Stack ร่วมกัน 2 ตัว เพื่อให้แน่ใจว่าถ้าตัวใดตัวหนึ่งดับ อีกตัวยังทำงานแทนได้ทันทีแบบ Seamless

Access Switch (ด่านหน้าเชื่อมต่ออุปกรณ์)

คือสวิตช์ที่กระจายอยู่ตามโซนหรือตามชั้น เพื่อเชื่อมต่อกับอุปกรณ์ปลายทาง เช่น PC, IP Phone, Access Point และ กล้อง IP Camera โดย Access Switch จะรับสัญญาณมาจาก Core Switch ผ่านสาย Fiber Optic หรือสาย LAN Speed 10Gbps ขึ้นไป หน้าที่สำคัญของ Access Switch คือการจัดทำ Port Security, การจ่ายไฟ PoE และการทำ VLAN Tagging ตรงด่านหน้า

2. จัดโครงสร้าง VLAN อย่างไร ไม่ให้เกิด Broadcast Storm

การนำอุปกรณ์ทุกชนิดมาต่อรวมกันในวง LAN เดียว (เช่น 192.168.1.x/24) จะทำให้เกิด Broadcast Storm เมื่อมีอุปกรณ์ตัวใดตัวหนึ่งส่งสัญญาณค้นหาเพื่อนในระบบ สัญญาณนั้นจะถูกกระจายไปยังทุกอุปกรณ์ในออฟฟิศ ทำให้ Bandwidth ขยะกินทรัพยากรไปเปล่าๆ

ในโครงการที่ผมดูแล ผมจะใช้หลักการแบ่ง VLAN ตามประเภทภาระงานและระดับความปลอดภัยเสมอ เช่น:

• VLAN 10 (Management): สำหรับ IP อุปกรณ์ Network เช่น Switch, Router, AP, Firewall ห้ามผู้ใช้ทั่วไปเข้าถึง
• VLAN 20 (Corporate Staff): สำหรับคอมพิวเตอร์และโน้ตบุ๊กของพนักงาน สามารถเข้าถึง File Server ภายในได้
• VLAN 30 (IP Phone / VoIP): แยก traffic เสียงออกจาก data เพื่อกำหนด QoS ให้เสียงสนทนาคมชัดไม่กระตุก
• VLAN 40 (CCTV & IoT): แยกกล้องวงจรปิดและอุปกรณ์สมาร์ตออฟฟิศ ไม่ให้ออกอินเทอร์เน็ตโดยไม่จำเป็น
• VLAN 50 (Guest WiFi): สำหรับผู้มาติดต่อ ให้ใช้อินเทอร์เน็ตได้อย่างเดียว ตัดขาดจากการมองเห็น IP ภายในองค์กรเด็ดขาด

การแบ่ง VLAN แบบนี้ นอกจากจะช่วยบีบ Broadcast Domain ให้เล็กลง เพิ่มความเร็วในการรับส่งข้อมูลแล้ว ยังช่วยเรื่อง Security อย่างมหาศาล เพราะหากคอมพิวเตอร์พนักงานใน VLAN 20 ติดไวรัส หรือ Ransomware มันจะไม่สามารถแพร่กระจายข้ามไปหา VLAN 40 ของกล้องวงจรปิด หรือ VLAN 10 ของอุปกรณ์ Network หลักได้เลย

3. การเชื่อมต่อ Trunk Port และการทำ Link Aggregation เพื่อความเสถียร

เมื่อเราแบ่ง VLAN ที่ Access Switch แล้ว สายที่ลากจาก Access Switch กลับมาหา Core Switch จะต้องตั้งค่าเป็น Trunk Port เพื่อยอมให้ Traffic ของหลายๆ VLAN วิ่งผ่านสายเส้นเดียวกันได้โดยมี VLAN Tag กำกับไว้

แต่คำถามคือ ถ้าสาย Trunk เส้นนั้นขาด หรือมี Bandwidth เต็มล่ะ? จุดนี้คือสิ่งที่ผมเน้นย้ำทีมงานเสมอ นั่นคือการทำ Link Aggregation (LACP) ครับ

LACP คือการนำสาย LAN หรือ Fiber Optic ตั้งแต่ 2 เส้นขึ้นไป มามวดรวมกันเป็น Logical Link เดียว เช่น ลากสาย 1Gbps สองเส้นคู่กัน จะได้ Bandwidth รวมเป็น 2Gbps ทันที ซึ่งข้อดีสองอย่างที่คุณจะได้คือ:

• Increased Bandwidth: แก้ปัญหาคอขวดเวลาพนักงานเลิกงานพร้อมกันแล้วเปิด Backup ดาต้าลงเซิร์ฟเวอร์
• High Availability: หากสายเส้นใดเส้นหนึ่งถูกหนูกัดขาด หรือพอร์ตเสีย ระบบจะสลับไปใช้สายอีกเส้นที่เหลืออยู่ทันทีโดยที่ผู้ใช้งานไม่รู้สึกว่าเน็ตหลุด

4. บทเรียนจากงานจริง: เช็กลิสต์ก่อนส่งมอบระบบ Network ออฟฟิศ

ปิดท้ายจากประสบการณ์ตรงของผม ในฐานะคนที่ต้องรับประกันงานหลังติดตั้ง นี่คือ 4 ข้อที่คุณต้องตรวจสอบให้แน่ใจก่อนเปิดใช้งานระบบจริงครับ:

อย่างแรกคือเรื่อง Spanning Tree Protocol (STP) ต้องเปิดใช้งานและปรับแต่งค่า Priority ให้ Core Switch เป็น Root Bridge เสมอ ป้องกันพนักงานแอบเอา Switch โง่ๆ มาเสียบวน Loop จน network ร่วงทั้งตึก

อย่างที่สองคือ Inter-VLAN Routing Policy ต้องเขียน Access Control List (ACL) บน Core Switch หรือ Firewall ให้ชัดเจนว่า VLAN ไหนคุยกับ VLAN ไหนได้บ้าง ไม่ใช่เปิดให้วิ่งหากันได้หมด ซึ่งจะทำให้การทำ VLAN เสียเปล่า

การลงทุนวางโครงสร้าง Network สำนักงานที่ถูกต้องตั้งแต่แรก อาจดูเหมือนมีค่าใช้จ่ายอุปกรณ์ Switch และค่าสายสัญญาณเพิ่มขึ้นเล็กน้อย แต่เมื่อเทียบกับความเสียหายเวลาเน็ตองค์กรล่มไปครึ่งวัน บอกได้เลยครับว่าคุ้มค่ากว่ากันมหาศาล