เจาะลึกการออกแบบระบบเครือข่ายโรงงานอุตสาหกรรม รองรับ IoT ปลอดภัย

โรงงานอุตสาหกรรม 8 ใน 10 แห่งที่ผมเคยเข้าไปตรวจเช็กระบบเครือข่าย มักเจอไลน์ผลิตหยุดทำงานแบบไร้สาเหตุอย่างน้อยปีละ 2-3 ครั้ง และน่าตกใจที่เกือบ 70% ของเคสเหล่านั้น ไม่ได้เกิดจากเครื่องจักรเสีย แต่เกิดจากสาย LAN เพียงเส้นเดียวที่พนักงานเสียบมั่วจน Broadcast Storm ถล่มทั้งวง หรือไม่ก็โดนไวรัสจากเครื่องคอมพิวเตอร์ในออฟฟิศวิ่งข้ามมาฝั่งระบบควบคุมเครื่องจักรโดยตรง

จากประสบการณ์ตรงของผมในการดูแล Network Infrastructure ให้กับภาคอุตสาหกรรม โจทย์ใหญ่ของการทำงานในยุคนี้ไม่ใช่แค่ทำให้ใช้อินเทอร์เน็ตได้ แต่คือ การออกแบบระบบเครือข่ายโรงงานอุตสาหกรรม ให้สามารถรองรับอุปกรณ์ IoT Sensor นับร้อยชิ้นในไลน์ผลิตได้ โดยที่ฝั่ง OT Network (Operational Technology) และ IT Network ไม่ตีกันเอง และมีความปลอดภัยไซเบอร์สูงพอที่จะรับมือกับภัยคุกคามยุคใหม่ครับ

ทำไมเครือข่ายโรงงานยุคใหม่ถึงพังง่าย ถ้าระบบ IT กับ OT ไม่ถูกแยกออกจากกัน?

สมัยก่อน ฝั่งออฟฟิศ (IT) กับฝั่งไลน์ผลิต (OT) อยู่คนละโลกกันครับ เครื่องจักร PLC หรือระบบ SCADA แทบจะไม่เคยต่ออินเทอร์เน็ตเลย แต่พอเราเข้าสู่ยุค Smart Factory ผู้บริหารต้องการดู Dashboard Real-time ต้องการติด IoT Sensor วัดอุณหภูมิ วัดความสั่นสะเทือนของเครื่องจักร สิ่งที่หลายแห่งทำคือ ลากสาย LAN จาก Switch ฝั่งออฟฟิศไปเสียบเข้ากับตู้ควบคุมในไลน์ผลิตตรงๆ

ผลลัพธ์ที่ตามมาคือ คอมพิวเตอร์ฝ่ายบัญชีติด Ransomware วันต่อมาไวรัสวิ่งผ่าน Switch เข้าไปล็อกหน้าจอจอสัมผัส (HMI) ในไลน์ผลิต หรือพนักงานนำ Router WiFi บ้านมาเสียบเพิ่มเพื่อเล่นเน็ต แล้วแจก IP ซ้ำกับ IP ของ PLC ทำให้เครื่องจักรหยุดทำงานทันที นี่คือสาเหตุสำคัญที่ทำให้การวางโครงสร้างเครือข่ายต้องมีสถาปัตยกรรมที่ถูกต้องครับ

4 พิลลาร์สำคัญในการออกแบบ Factory Network Infrastructure ให้ปลอดภัย

1. การแบ่ง VLAN Segmentation และกำหนด Zone (Purdue Model)

การแบ่ง VLAN ในโรงงานอุตสาหกรรมต่างจากออฟฟิศทั่วไปตรงที่คุณห้ามจัดกลุ่มตามฝ่ายอย่างเดียว แต่ต้องจัดกลุ่มตามระดับความสำคัญและความเสี่ยง (Criticality) ผมมักแนะนำให้ลูกค้าแบ่ง Zone ออกเป็นอย่างน้อย 4 ส่วนหลัก:

• Enterprise Zone (IT): คอมพิวเตอร์ออฟฟิศ ฝ่ายขาย บัญชี ฝ่ายบุคคล อุปกรณ์แล็ปท็อป และ WiFi พนักงาน
• DMZ Zone (Demilitarized Zone): ส่วนเชื่อมต่อกลางที่วาง Server ซึ่งต้องคุยทั้งฝั่ง IT และ OT เช่น ERP Gateway, Database Server, หรือ Web Server
• Operations Zone (OT Control): ระบบ SCADA, HMI, Engineering Workstation สำหรับวิศวกรควบคุม
• Cell/Area Zone (Field Level): อุปกรณ์ PLC, Robot Arm, และ IoT Sensor ในไลน์ผลิต

ข้อสำคัญคือ อุปกรณ์ใน Cell Zone ห้ามวิ่งออกอินเทอร์เน็ตได้โดยตรง และห้ามมองเห็นคอมพิวเตอร์ใน Enterprise Zone โดยเด็ดขาด การส่งข้อมูลต้องผ่าน DMZ Zone ที่มี Firewall กรองเสมอครับ

2. การเลือกอุปกรณ์ Industrial Switch และ Core Router

อุปกรณ์ฝั่งไลน์ผลิตต้องเผชิญทั้งความร้อน สัญญาณรบกวนทางไฟฟ้า (EMI) และฝุ่นแป้งหรือน้ำมัน อุปกรณ์ออฟฟิศทั่วไปนำมาใช้ในไลน์ผลิตได้ไม่นานก็รวนครับ ในงานออกแบบ ผมเลือกใช้ Industrial Switch ที่รองรับ DIN-Rail Mounting มีระบบต่อไฟสำรองแบบ Dual Power Supply และรองรับฟีเจอร์ Ring Redundancy (เช่น ERPS) เพื่อให้เวลามีสาย Fiber Optic ขาด สายจะสลับเส้นทางส่งข้อมูลได้ภายในไม่กี่มิลลิวินาที

สำหรับ MikroTik Core Router ผมมักใช้เป็นตัวจัดการ Routing หลักระหว่าง VLAN ร่วมกับ Next-Gen Firewall ในการเขียน Firewall Policy บล็อก Traffic ที่ไม่จำเป็น เช่น บล็อกพอร์ต SMB/RDP จากฝั่ง IT ไม่ให้ข้ามมาฝั่ง OT เพื่อป้องกันการแพร่กระจายของ Ransomware

3. การสร้างช่องทางความปลอดภัยสำหรับการ Access ระยะไกล (Remote Access)

เวลาซัพพลายเออร์เครื่องจักรต้องการเข้ามาแก้ไขโค้ด PLC หรือวิศวกรต้องการรีโมทเข้ามาแก้ปัญหาตอนกลางคืน การเปิด Port Forwarding บน Router ถือเป็นการฆ่าตัวตายครับ ทางออกที่ถูกต้องในการออกแบบระบบเครือข่ายโรงงานอุตสาหกรรม คือการทำ Zero Trust Remote Access หรืออย่างน้อยที่สุดต้องใช้ SSL VPN/WireGuard VPN ร่วมกับ IT/OT Security policy ที่บังคับยืนยันตัวตนแบบ Multi-Factor Authentication (MFA) และอนุญาตให้เข้าถึงได้เฉพาะ IP ของ PLC เครื่องนั้นๆ ในช่วงเวลาที่ได้รับอนุญาตเท่านั้น

4. การทำ Centralized Monitoring และเก็บ Log รวมศูนย์

คุณจะไม่สามารถป้องกันสิ่งที่มองไม่เห็นได้เลย ในโรงงานอุตสาหกรรม เราต้องตั้งระบบ Network Monitoring (เช่น PRTG หรือ Zabbix) เพื่อมอนิเตอร์ Traffic และการทำงานของ Switch ทุกตัว หากมี IoT ตัวไหนส่งข้อมูลผิดปกติ หรือมีการยิง Scan Port ภายในเครือข่าย ระบบต้องแจ้งเตือนช่างเทคนิคทันที พร้อมทั้งส่ง Log ทั้งหมดไปเก็บที่ Log Server กลางเพื่อปฏิบัติตามกฎหมายและรองรับการตรวจสอบย้อนหลัง

เช็กลิสต์ก่อนเริ่มวางระบบเครือข่ายโรงงาน

หากคุณกำลังมีแผนจะปรับปรุงหรือวางระบบเครือข่ายโรงงานใหม่ ลองตรวจสอบ 3 ข้อนี้ก่อนเริ่มงานครับ:

• มีการทำไดอะแกรมเครือข่าย (Network Topology) ที่อัปเดตตรงกับสายสัญญาณจริงหน้างานแล้วหรือยัง?
• มีการทำ Physical Security ล็อกตู้ RACK ในไลน์ผลิต และปิด Port Switch ที่ไม่ได้ใช้งาน (Port Security) หรือไม่?
• มีระบบสำรองไฟ (UPS) และการเดินสายสัญญาณสำรอง (Redundancy Link) สำหรับจุดวิกฤตแล้วหรือยัง?

ถ้าคำตอบคือยัง การเริ่มออกแบบโครงสร้างเครือข่ายใหม่ตั้งแต่จุดนี้ จะช่วยลดความเสี่ยงที่ไลน์ผลิตต้องหยุดชะงัก (Downtime) ซึ่งมีมูลค่าความเสียหายสูงกว่าค่าอุปกรณ์เครือข่ายหลายเท่าตัวครับ

สรุปจากประสบการณ์จริงหน้างาน

การออกแบบระบบเครือข่ายโรงงานอุตสาหกรรม ไม่ใช่เรื่องของการซื้อ Switch ราคาแพงที่สุดมาเสียบปลั๊ก แต่คือเรื่องของการเข้าใจ Process การทำงานของไลน์ผลิต เข้าใจธรรมชาติของอุปกรณ์ OT และการวางโครงสร้างความปลอดภัยที่ไม่ขัดขวางการทำงานของพนักงาน หากคุณต้องการวางระบบเครือข่ายโรงงานที่เสถียร ปลอดภัย และรองรับการขยายตัวในอนาคต ทีมวิศวกร SIAM-LOGIN พร้อมให้คำปรึกษาและออกแบบสถาปัตยกรรมเครือข่ายที่เหมาะสมกับงบประมาณและรูปแบบโรงงานของคุณครับ