ในหน้านี้
สาขาปากเซโทรมาตอนสิบโมงเช้า: "ระบบช้ามาก ออกใบเสร็จไม่ได้" ทีม IT ที่เวียงจันทน์เปิด VPN ดู สายอินเทอร์เน็ตของสาขายังขึ้นอยู่ แต่ Packet Loss 8% ไม่มีสายสำรอง ไม่มีอะไรทำได้นอกจากโทรหาผู้ให้บริการแล้วรอ
สถานการณ์นี้เจอบ่อยในองค์กรที่มีสำนักงานใหญ่ที่เวียงจันทน์ และสาขาที่หลวงพระบาง สะหวันนะเขต ปากเซ หรือแขวงอื่น: ธนาคาร ประกันภัย ค้าปลีก บริษัทขนส่ง สาขาต้องเข้า ERP, Core Banking หรือ POS ที่ส่วนกลางอย่างเสถียร แต่คุณภาพอินเทอร์เน็ตแต่ละแขวงไม่เท่ากัน และบางเมืองมีผู้ให้บริการไฟเบอร์ให้เลือกแค่รายเดียว
มีสามทางเลือกหลัก
MPLS: ถนนส่วนตัวของผู้ให้บริการ
MPLS คือบริการ WAN ส่วนตัวที่ผู้ให้บริการโทรคมนาคมสร้างและดูแล ทราฟฟิกวิ่งในเครือข่ายของเขา ไม่ผ่านอินเทอร์เน็ตสาธารณะ และมักมี SLA ด้าน Latency และ Uptime ในสัญญา
จุดแข็งคือคุณภาพที่คาดเดาได้และ QoS ตั้งแต่ต้นทางถึงปลายทาง จุดอ่อนมีมากกว่าที่หลายคนคิด: ราคาต่อ Mbps สูง เปิดวงจรสาขาใหม่ใช้เวลาเป็นสัปดาห์หรือเดือน ผูกกับผู้ให้บริการรายเดียว ไม่เข้ารหัส โดยค่าเริ่มต้น และทราฟฟิกไป Microsoft 365 หรือ SaaS ต้องอ้อมผ่านสำนักงานใหญ่ก่อนออกอินเทอร์เน็ต
IPsec VPN แบบเดิม: ถูก แต่ตาบอด
Firewall ที่สาขาสร้าง Tunnel เข้ารหัสไปสำนักงานใหญ่ผ่านอินเทอร์เน็ตธรรมดา ราคาถูก และองค์กรส่วนใหญ่ในลาวเริ่มจากแบบนี้ ปัญหาคือ Tunnel ไม่รู้ว่าสายกำลังแย่ ตราบใดที่สายยังขึ้น มันก็ส่งทราฟฟิกต่อไป แม้ Packet Loss สูงจนแอปใช้ไม่ได้ Failover ไปสายที่สองทำได้ แต่ช้าและตั้งค่ายาก
SD-WAN: ฉลาดกว่าในการเลือกทาง
SD-WAN คือชั้นซอฟต์แวร์ที่ทำงานบนวงจรหลายแบบ (อินเทอร์เน็ตไฟเบอร์, 4G/5G หรือ MPLS ที่มีอยู่แล้ว) สร้าง Tunnel เข้ารหัสระหว่างสาขา วัด Latency, Jitter และ Packet Loss ของทุกเส้นทางตลอดเวลา แล้วส่งแต่ละแอปไปทางที่ดีที่สุดในขณะนั้น
ในตัวอย่างสาขาปากเซข้างบน SD-WAN จะเห็น Packet Loss แล้วย้ายทราฟฟิก POS ไปสาย 4G ภายในไม่กี่วินาที โดยไม่มีใครต้องทำอะไร
สิ่งที่ได้เพิ่ม: ใช้อินเทอร์เน็ตราคาถูกหลายสายพร้อมกัน บริหารทุกสาขาจาก Dashboard เดียว Zero-Touch Provisioning (ส่งเครื่องไปสาขา เสียบสาย แล้วมันดึง Config เอง) และ Local Breakout ให้ Microsoft 365 ออกอินเทอร์เน็ตจากสาขาได้โดยตรง
สิ่งที่ต้องยอมรับ: คุณภาพยังขึ้นกับอินเทอร์เน็ตแต่ละพื้นที่ (SD-WAN เลือกทางที่ดีที่สุดได้ แต่สร้างทางที่ดีไม่ได้) มีค่าไลเซนส์รายปี และต้องออกแบบความปลอดภัยที่สาขาให้ดี เพราะแต่ละสาขามีทางออกอินเทอร์เน็ตของตัวเอง
เทียบกันตรงๆ
| หัวข้อ | MPLS | IPsec VPN แบบเดิม | SD-WAN |
|---|---|---|---|
| วงจร | วงจรส่วนตัวจากผู้ให้บริการ | อินเทอร์เน็ต | อินเทอร์เน็ต 4G/5G MPLS ผสมกัน |
| SLA คุณภาพ | มี | ไม่มี | ตามแต่ละวงจร ระบบหลบปัญหาให้ |
| เข้ารหัส | ไม่ (ต้องเพิ่มเอง) | มี | มี |
| Failover | ขึ้นกับการออกแบบ | ช้า ตั้งค่ายาก | อัตโนมัติ ระดับวินาทีหรือเร็วกว่า |
| เลือกทางตามแอป | จำกัด | ไม่มี | มี |
| การบริหาร | ผ่านผู้ให้บริการ | ทีละเครื่อง | จากศูนย์กลาง |
| เปิดสาขาใหม่ | สัปดาห์ถึงเดือน | วัน | วัน (เมื่อมีอินเทอร์เน็ตแล้ว) |
แพลตฟอร์มที่คุณมีแนวโน้มจะได้ใบเสนอราคาในปี 2026
| แพลตฟอร์ม | รูปแบบ | ควรรู้ |
|---|---|---|
| Fortinet Secure SD-WAN | อยู่ในตัว Firewall FortiGate (FortiOS) | SD-WAN กับ NGFW ในกล่องเดียว บริการด้านความปลอดภัยเป็น Subscription แยก |
| Cisco Catalyst SD-WAN | เราเตอร์ Cisco กับ Controller กลาง (เดิมคือ Viptela) | เหมาะกับเครือข่ายใหญ่และทีมที่มีทักษะ Cisco |
| Cisco Meraki SD-WAN | อุปกรณ์ Meraki MX จัดการผ่าน Cloud Dashboard | ใช้งานง่ายมาก แต่ถ้าไลเซนส์หมด อุปกรณ์จะทำงานไม่ปกติ |
| HPE Aruba Networking EdgeConnect | อุปกรณ์กับ Orchestrator กลาง (มาจาก Silver Peak) | เด่นเรื่อง WAN Optimization และตอนนี้ HPE เป็นเจ้าของ Juniper ด้วย |
| VeloCloud SD-WAN | Edge กับ Orchestrator บน Cloud | Broadcom ขายให้ Arista Networks เมื่อกรกฎาคม 2025 ให้ตรวจ Roadmap และช่องทางซัพพอร์ตในใบเสนอราคา |
| Palo Alto Networks Prisma SD-WAN | อุปกรณ์ มักใช้คู่กับ Prisma Access | เหมาะที่สุดเมื่อซื้อ SASE ไปพร้อมกัน |
ยี่ห้อสำคัญน้อยกว่าสามเรื่องนี้: ทีมของคุณดูแลจากเวียงจันทน์ได้หรือไม่ ไลเซนส์หมดแล้วอุปกรณ์ทำงานอย่างไร และอะไหล่กับ RMA ผ่านไทยใช้เวลาเป็นวันหรือเป็นสัปดาห์
ถามผู้เสนอ SD-WAN ทุกรายด้วยคำถามเดียวกัน
- Failover ใช้เวลากี่วินาที และสาย VoIP ที่กำลังคุยอยู่จะหลุดไหม
- มี 4G/5G ในตัว หรือต้องมีโมเด็มแยก
- มี Firewall และ IPS ในตัว หรือต้องซื้อเพิ่ม
- Controller/Orchestrator อยู่บน Cloud หรือติดตั้งเองได้ ถ้าเข้าหามันไม่ได้ สาขายังทำงานต่อไหม
- ไลเซนส์คิดแบบไหน (ต่อเครื่อง ต่อแบนด์วิดท์) และถ้าไม่ต่อไลเซนส์ เครื่องจะทำงานอย่างไร
- มีรายงานคุณภาพวงจรที่เอาไปคุยกับผู้ให้บริการอินเทอร์เน็ตได้ไหม
คำถามสุดท้ายมีประโยชน์กว่าที่คิด เมื่อมีกราฟ Packet Loss ย้อนหลัง 30 วัน การต่อรองกับ ISP ง่ายขึ้นมาก
คำตอบเหล่านี้ทำให้เทียบใบเสนอราคาหลายยี่ห้อได้อย่างเป็นธรรม แทนที่จะเทียบแค่ตัวเลข Throughput ที่ไม่สะท้อนทราฟฟิกจริงของสาขา
ย้ายไป SD-WAN โดยไม่ให้สาขาขาด
- สำรวจแอปและทราฟฟิกของแต่ละสาขา: ใช้อะไร มากแค่ไหน ช่วงไหน
- ตรวจว่าแต่ละแขวงมีผู้ให้บริการรายไหนบ้าง เลือกสองรายที่ต่างกัน หรือไฟเบอร์ + 4G/5G
- เลือก Topology: Hub-and-Spoke ไปดาต้าเซ็นเตอร์ หรือ Full-mesh ถ้าสาขาคุยกันเองมาก
- เขียน Policy ตามแอป: Core Banking/ERP ไปทางที่ดีที่สุด วิดีโอและอินเทอร์เน็ตทั่วไปออก Local
- Pilot 1–2 สาขา คู่ขนานกับวงจรเดิม อย่างน้อยสองสามสัปดาห์ ให้เห็นช่วงฝนตกหรือไฟดับ
- ย้ายสาขาที่เหลือเป็นเฟส แล้วค่อยลดหรือยกเลิก MPLS
ตัวอย่างจริง: สองลิงก์สำหรับสาขา 15 คน
ประมาณความต้องการช่วงพีคของสาขาที่มี POS, ERP, Microsoft 365 และกล้องไม่กี่ตัว:
| ทราฟฟิก | ประมาณการ | ให้วิ่งบน 4G สำรองไหม? |
|---|---|---|
| ERP และ POS 15 คน | ประมาณ 4 Mbps | ได้ สำคัญที่สุด |
| VoIP พร้อมกัน 4 สาย | ประมาณ 0.4 Mbps | ได้ |
| ประชุมวิดีโอ Teams 2 ห้อง | ประมาณ 4 Mbps | เฉพาะเสียง |
| ดูกล้อง 4 ตัวจากระยะไกลแบบ Sub-stream | ประมาณ 4 Mbps ขาขึ้น | ไม่ได้ |
| เว็บทั่วไป อัปเดต Sync ไฟล์ Cloud | 10 Mbps ขึ้นไป | ไม่ได้ หรือจำกัดมาก |
| รวมช่วงพีค | ประมาณ 22 Mbps | ประมาณ 5 Mbps ตอนใช้ลิงก์สำรอง |
ไฟเบอร์ 50 Mbps รองรับได้สบายและยังเหลือ ส่วนลิงก์ 4G/5G ต้องรับทราฟฟิกธุรกิจแค่ประมาณ 5 Mbps ซึ่งสำคัญมากถ้าเป็นแพ็กเกจจำกัดปริมาณข้อมูล นี่แหละคือหน้าที่ของ Application Policy: วันที่ลิงก์หลักล่ม ใบแจ้งหนี้ยังพิมพ์ได้ ส่วน YouTube รอไปก่อน ตรวจความเร็วขาขึ้นของไฟเบอร์ด้วย แพ็กเกจในลาวจำนวนมากเป็นแบบไม่สมมาตร และทั้งการดูกล้องและการ Backup ขึ้น Cloud ต่างก็ใช้ขาขึ้น
สิ่งที่ทำให้ SD-WAN ไม่ได้ผล
อันดับแรกและเจอบ่อยที่สุด: สองวงจรที่ "ต่างกัน" แต่จริงๆ วิ่งตามไฟเบอร์เส้นเดียวกันหรือขึ้นเสาต้นเดียวกัน รถบรรทุกเกี่ยวสายขาดเส้นเดียว ทั้งสองสายก็ดับ ถามผู้ให้บริการเรื่องเส้นทาง และไปดูเสาเอง
อย่างอื่น: เปิด Local Breakout โดยไม่มี Firewall ที่สาขา ไม่เขียน Policy ตามแอป (SD-WAN กลายเป็น VPN ราคาแพง) และลืมคิดไลเซนส์รายปีใน TCO
ความเห็นของเรา
สำหรับองค์กรส่วนใหญ่ในลาว เราแนะนำ SD-WAN ที่รวม Next-Generation Firewall ในเครื่องเดียวที่แต่ละสาขา ใช้ไฟเบอร์จากผู้ให้บริการหนึ่งราย และ 4G/5G จากอีกราย เครื่องเดียวบริหารง่ายกว่า และอะไหล่สำรองก็มีแบบเดียว
ธนาคารและองค์กรที่ระบบหลักหยุดไม่ได้เลย: คงวงจรส่วนตัวไว้เป็นทางหลัก และให้ SD-WAN คุมทั้งสองทาง (Hybrid) ได้ทั้ง SLA ของ MPLS และความฉลาดของ SD-WAN
ทุกสาขาต้องมี UPS ต่างแขวงไฟดับไม่ใช่เรื่องแปลก และ Failover ที่ดีที่สุดก็ไม่มีประโยชน์ถ้าเครื่อง SD-WAN ดับ สุดท้าย เลือกแพลตฟอร์มที่ทีม IT ในเวียงจันทน์บริหารได้เอง โดยไม่ต้องนั่งรถไปต่างแขวง
เริ่มจากรายชื่อสาขา
ส่งรายชื่อสาขา ผู้ให้บริการอินเทอร์เน็ต และความเร็วที่แต่ละสาขามีอยู่ตอนนี้ พร้อมระบบที่สาขาต้องใช้ เราจะบอกว่าสาขาไหนควรมีสายที่สองก่อน และร่าง Topology ให้ดู ถ้ายังไม่แน่ใจว่าแต่ละสาขาต้องการแบนด์วิดท์เท่าไร ลองใช้ เครื่องมือคำนวณแบนด์วิดท์
- #sd-wan
- #mpls
- #wan
- #branch
- #vpn
- #failover
