วิธีตั้งค่า MikroTik กับ Radius Server เก็บ Log 90 วันตาม พ.ร.บ.

กว่า 85% ของเจ้าของหอพัก โรงแรม และออฟฟิศ SME ที่ผมเข้าไปช่วยรีเซ็ตระบบเน็ต ไม่เคยรู้เลยว่า Router ที่ใช้อยู่ในร้านไม่ได้เก็บบันทึกประวัติใช้งานอะไรไว้เลย พอวันดีคืนดีมีหนังสือขอความร่วมมือจากตำรวจสอบสวนกลาง แจ้งว่ามีไอพีจากสถานที่ของคุณไปฉ้อโกงออนไลน์หรือโพสต์หมิ่นประมาท พยายามกดหาประวัติย้อนหลังใน Router ปรากฏว่าข้อมูลว่างเปล่า เหตุการณ์แบบนี้ผมเจอปีหนึ่งไม่ต่ำกว่า 10 เคส ซึ่งตาม พ.ร.บ.คอมพิวเตอร์ 2560 ผู้ให้บริการอินเทอร์เน็ตหรือเจ้าของสถานที่ที่แจกเน็ตฟรี มีหน้าที่ต้องเก็บข้อมูลจราจรทางคอมพิวเตอร์ย้อนหลังอย่างน้อย 90 วัน

ปัญหาคือ MikroTik RouterOS เป็นอุปกรณ์ Routing ที่ยอดเยี่ยม แต่ความจุหน่วยความจำ internal flash (NAND) ของมันถูกออกแบบมาให้เก็บแค่ระบบปฏิบัติการ ไม่ได้ถูกออกแบบมาให้เป็น Storage เก็บไฟล์ Log ขนาดใหญ่ ถ้าคุณพยายามสั่งให้ MikroTik บันทึก Log ลงใน Disk ตัวเอง เพียงแค่ไม่กี่วัน Memory จะเต็ม Router จะค้าง หรือหนักสุดคือ Flash Memory พังเสียหายทันที ดังนั้น ทางออกมาตรฐานระดับสากลคือการ ตั้งค่า MikroTik ร่วมกับ Radius Server และ Syslog Server เพื่อโยกย้ายภาระการจัดเก็บข้อมูลออกไปภายนอกครับ

ทำไมต้อง Radius Server ร่วมกับ Syslog ในการเก็บ Log?

หลายคนมักสับสนว่าทำไมเราถึงใช้แค่ MikroTik เครื่องเดียวจบไม่ได้ ผมขออธิบายสถาปัตยกรรมแบบแยกหน้าที่ให้เห็นภาพง่ายๆ ดังนี้ครับ

• MikroTik Router: ทำหน้าที่เป็น Gateway จัดการ Routing, Bandwidth และส่งสแนปช็อตข้อมูลจราจร (Traffic Stream)
• Radius Server: ทำหน้าที่ดูแลเรื่อง User Authentication บันทึกว่าใครเป็นคนเข้าใช้งาน (Username, MAC Address, IP Address ที่ได้รับ, เวลา Login/Logout)
• Syslog Server: ทำหน้าที่รับ Log ข้อมูลจราจร (Source IP, Destination IP, Port, Timestamp) มาเขียนลง harddisk หรือจัดเก็บไว้ในรูปแบบข้อมูลที่ถูกเข้ารหัสลับเพื่อความปลอดภัย

การทำงานร่วมกันนี้ช่วยให้ระบบตอบโจทย์กฎหมาย 100% เพราะเมื่อไหร่ก็ตามที่มีเจ้าหน้าที่ขอตรวจสอบ เราสามารถนำ Log จาก Radius Server มาจับคู่กับ IP Address Log จาก Syslog เพื่อระบุตัวตนบุคคลได้อย่างถูกต้องแม่นยำ

ขั้นตอนการตั้งค่า MikroTik ร่วมกับ Radius Server และบันทึก Log

ในการทำงานจริง หน้างานของ SIAM-LOGIN เราจะแบ่งการตั้งค่าออกเป็น 3 ส่วนหลักเพื่อให้ระบบทำงานได้เสถียรที่สุด

Step 1: ชี้ MikroTik ไปยัง Radius Server

เริ่มต้นโดยการเชื่อมต่อ MikroTik เข้ากับระบบยืนยันตัวตน ให้เข้าไปที่เมนู RADIUS ใน MikroTik RouterOS แล้วกดเพิ่ม (Add) บริการ Hotspot หรือ DHCP ตามที่ใช้งาน

• Service: เลือก hotspot, dhcp หรือ pppoe ตามรูปแบบระบบ WiFi Hotspot ของคุณ
• Address: ใส่ IP Address ของ Radius Server (เช่น 192.168.1.200)
• Secret: ใส่รหัสผ่านความปลอดภัยที่ตรงกับบน Radius Server
• Timeout: ตั้งค่าไว้ที่ 3000ms เพื่อป้องกันการตัดหลุดกรณี Network latency สูง

Step 2: การเปิดใช้งาน Connection Tracking และ NAT Logging

กฎหมาย พ.ร.บ. คอมพิวเตอร์ ระบุไว้ชัดเจนว่าต้องเก็บข้อมูลการจับคู่อย่างน้อย IP Address ต้นทาง, IP ปลายทาง, Port และ เวลา ดังนั้นเราต้องสั่งให้ MikroTik ส่งข้อมูล NAT สื่อสารภายนอกออกไปด้วย

เข้าไปที่ IP > Firewall > Connections > Tracking ให้ติ๊กถูกเลือก Enable เพื่อให้ MikroTik ติดตามสถานะการเชื่อมต่อทั้งหมด จากนั้นไปที่ System > Logging แล้วเพิ่ม Rule ใหม่ดังนี้:

• Topics: เลือก firewall, info หรือ account
• Action: เลือก remote (เพื่อส่งออกไปเก็บที่ Syslog หรือ FreeRADIUS server)

Step 3: กำหนด Logging Action ไปยัง Remote Log Server

ที่เมนู System > Logging > Actions ให้ดับเบิลคลิกที่ remote แล้วกรอกข้อมูลปลายทาง:

• Remote Address: IP ของ Log Server / Radius Server
• Remote Port: 514 (พอร์ตมาตรฐานของ Syslog)
• Syslog Facility: daemon หรือ local0

เพียงเท่านี้ บันทึกการเชื่อมต่อทั้งหมดที่เกิดขึ้นบน MikroTik จะถูกยิงตรงออกไปเก็บไว้บนเซิร์ฟเวอร์ภายนอกทันที โดยไม่ดึงทรัพยากร CPU และ RAM ของ Router ให้ช้าลง

3 ข้อควรระวัง ให้เก็บ Log ครบ 90 วัน ไม่โดนฟ้องย้อนหลัง

จากประสบการณ์ตรงที่ผมเข้าไปปรับแก้ระบบให้ลูกค้าหลายสิบแห่ง การตั้งค่าให้ยิง Log ไปได้ เป็นแค่ครึ่งทางของความถูกต้องครับ สิ่งที่ทำให้หลายแห่งโดนปรับย้อนหลังตื่นตระหนกคือ 3 จุดนี้

1. เวลาของ Router และ Server ต้องตรงกัน (NTP Synchronization)

หากเกิดเหตุการณ์ผิดปกติ แต่ Log ใน MikroTik ลงเวลาไว้ปี 1970 (เนื่องจากไม่มีแบตเตอรี่เลี้ยงนาฬิกาเวลาไฟดับ) หลักฐานนั้นจะใช้ในชั้นศาลไม่ได้ทันที คุณต้องตั้งค่า System > NTP Client บน MikroTik ให้ชี้ไปยัง NTP Server ภาษาไทย/สากล เช่น pool.ntp.org เพื่อให้อุปกรณ์ทุกชิ้นซิงค์เวลาตรงกันระดับวินาที

2. ปริมาณ Storage และระบบ Log Rotation

เน็ตออฟฟิศขนาด 50 คน สามารถสร้าง Log ได้มากถึง 1-2 GB ต่อวัน หากไม่มีการบีบอัดไฟล์ (Compression) Harddisk บน Radius Server ของคุณจะเต็มภายในไม่กี่สัปดาห์ ควรใช้ Script หรือระบบ เก็บข้อมูลจราจรทางคอมพิวเตอร์ ที่มี Feature Auto-Archive บีบอัด Log เก่าเก็บไว้ แล้วลบไฟล์ที่เกิน 90 วันทิ้งอัตโนมัติ

3. ความปลอดภัยของไฟล์ Log (Data Integrity)

Log ที่ถูกต้องตามกฎหมาย ต้องไม่ถูกแก้ไขดัดแปลงได้ง่าย (Hashing Integrity Check) Radius Server หรือ Log Appliance ที่ดีควรมีระบบสร้าง Hashing SHA-256 กักเก็บไว้ เพื่อยืนยันว่าไฟล์ประวัติไม่มีใครแอบเข้าไปลบหรือแก้ไขชื่อผู้ใช้งาน

สรุป: ทำระบบให้ถูกต้อง วางใจได้ยาวนาน

การตั้งค่า MikroTik ร่วมกับ Radius Server ไม่ใช่เรื่องยุ่งยากเกินความสามารถ แต่เป็นเรื่องของความใส่ใจในรายละเอียดเชิงเทคนิค หากวางโครงสร้างถูกต้องแต่แรก MikroTik จะทำงานได้อย่างลื่นไหล ไม่ต้องกังวลเรื่อง Router แฮงก์ และที่สำคัญที่สุดคือเจ้าของธุรกิจหรือผู้ดูแล IT จะสบายใจได้ 100% ว่าทำถูกต้องตามกฎหมายแน่นอนครับ