การแยก Guest Wi-Fi เป็นหนึ่งในมาตรการสำคัญด้าน Cybersecurity ที่ทุกองค์กร ร้านค้า โรงแรม โรงเรียน และสำนักงานควรทำ เพราะช่วยป้องกันไม่ให้บุคคลภายนอกเข้าถึงระบบภายในขององค์กรได้
-------------------------------------
Guest Wi-Fi คืออะไร
Guest Wi-Fi คือเครือข่ายไร้สายที่สร้างขึ้นสำหรับ
• ลูกค้า
• ผู้มาติดต่อ
• วิทยากร
• ผู้รับเหมา
• พนักงานชั่วคราว
โดยผู้ใช้งานสามารถใช้อินเทอร์เน็ตได้ แต่ไม่สามารถเข้าถึงทรัพยากรภายในองค์กร เช่น• File Server
• NAS
• Printer
• ERP
• Database
• IP Camera
• เครื่องคอมพิวเตอร์ของพนักงาน
• Server ต่างๆ
-------------------------------------
ทำไมไม่ควรใช้ Wi-Fi เดียวกันตัวอย่าง
บริษัทมี Wi-Fi ชื่อ
Company-WiFi
พนักงานและลูกค้าใช้ร่วมกันทั้งหมดผลที่อาจเกิดขึ้น
• Scan หา IP ภายในได้
• Ping เครื่องพนักงานได้
• เข้าถึง Printer ได้
• เปิด Shared Folder ได้
• ทดลองโจมตี Server
• แพร่ Malware
• กระจาย Ransomware
เพียงแค่รู้รหัส Wi-Fi ก็สามารถมองเห็นอุปกรณ์ภายในได้ หากไม่มีการแบ่งเครือข่ายอย่างเหมาะสม-------------------------------------
วิธีแยก Guest Wi-Fi ให้ปลอดภัย
วิธีที่ 1 : แยก SSIDเช่น
Company-Staff
สำหรับพนักงาน
และ
Company-Guest
สำหรับแขก
ข้อดี
แยกผู้ใช้งานชัดเจน บริหารจัดการง่าย ตั้งนโยบายต่างกันได้ -------------------------------------
วิธีที่ 2 : แยก VLANตัวอย่าง
VLAN 10
Staff
192.168.10.0/24
VLAN 20
Guest
192.168.20.0/24
Access Point ส่งแต่ละ SSID ไปยัง VLAN ที่กำหนดข้อดี
เครื่องของ Guest มองไม่เห็นเครื่องของ Staff ลดความเสี่ยงด้านความปลอดภัย บริหารสิทธิ์ผ่าน Firewall ได้ง่าย นี่เป็นวิธีที่แนะนำสำหรับองค์กรทุกขนาด-------------------------------------
วิธีที่ 3 : Firewall Policyกำหนดกฎ เช่น
Guest
อนุญาต
Internetปฏิเสธ
Server NAS Printer CCTV Domain Controller Switch Management Hypervisor จึงสามารถใช้อินเทอร์เน็ตได้ แต่ไม่สามารถเข้าถึงระบบภายในได้-------------------------------------
วิธีที่ 4 : เปิด Client Isolationหลาย Access Point มีฟังก์ชัน
AP Isolation
หรือ
Client Isolation
เมื่อเปิดใช้งาน
Guest A
จะมองไม่เห็น
Guest B
ผลลัพธ์
• Ping กันไม่ได้
• Scan กันไม่ได้
• ป้องกันการโจมตีระหว่างผู้ใช้ในเครือข่ายเดียวกัน
เหมาะกับ
โรงแรม ร้านกาแฟ สนามบิน โรงเรียน Co-working Space -------------------------------------
วิธีที่ 5 : จำกัด Bandwidthตัวอย่าง
Guest
Download 20 Mbps
Upload 10 Mbps
หรือ
จำกัดตามจำนวนผู้ใช้
ข้อดี
ป้องกันการใช้แบนด์วิดท์เกินจำเป็น ลดผลกระทบต่อการใช้งานของพนักงาน ป้องกันการดาวน์โหลดไฟล์ขนาดใหญ่จนกระทบเครือข่าย -------------------------------------
วิธีที่ 6 : จำกัดเวลาใช้งานตัวอย่าง
• ใช้งานได้ 2 ชั่วโมง
• หมดอายุอัตโนมัติ
• ต้องขอรหัสใหม่เมื่อครบเวลา
ช่วยลดความเสี่ยงจากการนำรหัสไปใช้งานต่อโดยไม่ได้รับอนุญาต-------------------------------------
วิธีที่ 7 : ใช้ Captive Portalก่อนใช้งานอินเทอร์เน็ต
ผู้ใช้ต้อง
• กด Accept
• Login
• กรอกเบอร์โทร
• รับ OTP
• ใช้ Voucher
• ใช้ Username และ Password
ข้อดี
ควบคุมผู้ใช้งานได้ เก็บบันทึกการใช้งาน (Log) สร้างภาพลักษณ์ที่เป็นมืออาชีพ -------------------------------------
วิธีที่ 8 : แยก DHCPตัวอย่าง
Staff
192.168.10.x
และ
Guest
192.168.20.x
ไม่ควรใช้ DHCP Pool เดียวกัน เพราะทำให้การควบคุมและการกำหนดนโยบายทำได้ยาก-------------------------------------
วิธีที่ 9 : จำกัด DNSสามารถบังคับให้ Guest ใช้ DNS ที่กำหนด เช่น
• DNS ขององค์กร
• Public DNS ที่เชื่อถือได้
พร้อมทั้งบล็อกการใช้งาน DNS ที่ไม่ได้รับอนุญาต เพื่อช่วยลดการหลบเลี่ยงนโยบายการกรองเว็บไซต์-------------------------------------
วิธีที่ 10 : แยกการบริหารอุปกรณ์ไม่ควรให้ Guest เข้าถึง
• Web Management
• SSH
• Telnet
• Switch
• Firewall
• Wireless Controller
• Access Point
• ระบบบริหารจัดการอุปกรณ์เครือข่าย
ควรอนุญาตเฉพาะเครือข่ายของผู้ดูแลระบบ (Management VLAN) เท่านั้น-------------------------------------
ข้อผิดพลาดที่พบบ่อย ใช้รหัส Wi-Fi เดียวกันทั้งพนักงานและแขก ไม่แยก VLAN ไม่เปิด Client Isolation Guest สามารถ Ping เครื่องภายในได้ Guest เข้าถึง Printer หรือ NAS ได้ ไม่จำกัด Bandwidth ไม่มี Captive Portal ในพื้นที่สาธารณะ เปิดให้เข้าถึงหน้า Management ของอุปกรณ์เครือข่ายจาก Guest -------------------------------------
สรุปสุดท้ายเข้าใจง่ายการแยก Guest Wi-Fi ที่ปลอดภัยควรประกอบด้วยหลายมาตรการร่วมกัน ได้แก่ การแยก SSID, แยก VLAN, กำหนด Firewall Policy ให้ Guest ใช้อินเทอร์เน็ตได้เท่านั้น, เปิด Client Isolation, จำกัดความเร็วและระยะเวลาการใช้งาน, ใช้ Captive Portal และแยก Management Network สำหรับผู้ดูแลระบบ
เมื่อออกแบบตามแนวทางนี้ จะช่วยลดความเสี่ยงจากการเข้าถึงทรัพยากรภายในองค์กร ป้องกันการแพร่กระจายของมัลแวร์ และทำให้เครือข่ายมีความปลอดภัยและบริหารจัดการได้ง่ายยิ่งขึ้น โดยยังมอบประสบการณ์การใช้งานอินเทอร์เน็ตที่สะดวกสำหรับผู้มาเยือนได้อย่างเหมาะสม
