ในหน้านี้
เริ่มจากคำถามง่ายๆ
ถ้ารหัส VPN ของพนักงานบัญชีคนหนึ่งรั่ววันนี้ คนที่ได้รหัสนั้นไปจะเข้าถึงอะไรได้บ้าง
ในองค์กรส่วนใหญ่ที่เราเข้าไปตรวจ คำตอบคือ "เกือบทุกอย่าง" ทั้ง File Server, ERP, หน้า Admin ของ Switch และ NVR ของกล้อง VPN แบบดั้งเดิมพาเครื่องผู้ใช้เข้ามาอยู่ใน Network และการแบ่งสิทธิ์มักถูกลืม ส่วน RDP ที่เปิดสู่อินเทอร์เน็ตโดยตรงนั้นร้ายแรงยิ่งกว่า
VPN ทำงานอย่างไร และอ่อนตรงไหน
Remote Access VPN (IPsec หรือ SSL VPN) สร้างอุโมงค์เข้ารหัสจาก Laptop ไปยัง Firewall ขององค์กร มีอยู่ใน Firewall แทบทุกรุ่น ใช้ได้กับแทบทุกแอป และทีม IT คุ้นเคย จุดอ่อนมีสามข้อ
- ขอบเขตกว้างเกินไป ถ้าไม่ได้ตั้ง Rule ตามกลุ่ม ผู้ใช้จะเข้าได้ทั้ง Subnet
- Gateway เปิดสู่อินเทอร์เน็ต VPN Gateway ที่ไม่ได้ Patch เป็นหนึ่งในช่องทางที่กลุ่ม Ransomware ใช้บ่อยที่สุดในช่วงหลายปีที่ผ่านมา
- ไม่รู้สภาพเครื่อง VPN ส่วนใหญ่ตรวจตัวตน แต่ตรวจได้น้อยว่าเครื่องที่ต่อเข้ามามี EDR อัปเดตแล้ว หรือเป็นเครื่องส่วนตัวที่ติดมัลแวร์
ข้อสองไม่ใช่ทฤษฎี ตลอดปี 2024 และ 2025 Remote Access Gateway ของผู้ผลิต Firewall รายใหญ่หลายรายมีช่องโหว่ร้ายแรงที่ถูกโจมตีจริง บางช่องถูกใช้ก่อนที่จะมี Patch ออกมาด้วยซ้ำ กลุ่ม Ransomware สแกนหาหน้า Login เหล่านี้บนอินเทอร์เน็ตเป็นอันดับแรก แปลว่ากล่อง VPN ต้องได้รับการ Patch อย่างมีวินัยเท่ากับ Server และต้องมีคนอ่านประกาศของผู้ผลิตทุกสัปดาห์ ไม่ใช่ปีละครั้ง
หมายเหตุสำหรับผู้ใช้ FortiGate
FortiOS 7.6.3 ยกเลิก SSL VPN แบบ Tunnel Mode บน FortiGate ทุกรุ่น Remote Access จะใช้ IPsec VPN แทน ซึ่งตั้งให้วิ่งบน TCP Port 443 ได้ จึงยังผ่านเครือข่ายโรงแรมและมือถือได้ ส่วน Web Mode เดิมยังอยู่ในชื่อ "Agentless VPN" ค่าตั้งของ Tunnel Mode และ Policy ที่เกี่ยวข้องจะไม่ถูกแปลงให้ตอนอัปเกรด ให้สร้าง Remote Access ใหม่เป็น IPsec และทดสอบกับผู้ใช้ไม่กี่คนก่อนอัปเกรด ไม่อย่างนั้นพนักงานนอกสถานที่จะเข้าระบบไม่ได้ตั้งแต่เช้าวันรุ่งขึ้น
ZTNA เปลี่ยนอะไร
ZTNA (Zero Trust Network Access) ไม่พาเครื่องเข้า Network ผู้ใช้ได้การเชื่อมต่อไปยัง แอปเฉพาะที่ได้รับอนุญาต ผ่าน Broker และทุก Session ถูกตัดสินตาม
- ตัวตนผู้ใช้พร้อม MFA
- สภาพเครื่อง: OS อัปเดตหรือไม่ EDR ทำงานหรือไม่ Disk เข้ารหัสหรือไม่
- บริบท: ประเทศ เวลา ระดับความเสี่ยง
แอปหลัง ZTNA มักไม่มี Port เปิดรับจากอินเทอร์เน็ต เพราะ Connector ภายในเป็นฝ่ายเชื่อมออกไปหา Broker ความถี่ในการตรวจสภาพเครื่องซ้ำต่างกันตามผลิตภัณฑ์ บางตัวตรวจทุก Request บางตัวตรวจเป็นรอบ ถามผู้ขายให้ชัด
| Remote Access VPN | ZTNA | |
|---|---|---|
| เข้าถึง | Network หรือ Subnet | รายแอป |
| ตรวจสภาพเครื่อง | จำกัด มักแค่ตอนเชื่อมต่อ | ทุก Session และตรวจซ้ำระหว่างใช้งาน (ตามผลิตภัณฑ์) |
| Port ที่เปิดสู่อินเทอร์เน็ต | มี (Gateway) | ส่วนใหญ่ไม่มี |
| ถ้าบัญชีถูกยึด | ผู้โจมตีสแกนและย้ายไปทั่ว Network ได้ | เห็นแค่แอปที่บัญชีนั้นมีสิทธิ์ |
| ใช้กับแอปเก่า (Thick Client, Protocol แปลก) | ง่าย | บางผลิตภัณฑ์จำกัด |
| การเริ่มต้น | ง่าย | ต้องทำรายการแอปและสิทธิ์ให้ชัด |
ZTNA ส่งมอบได้สามแบบ
| รูปแบบ | ทำงานอย่างไร | เหมาะกับ |
|---|---|---|
| แบบ Cloud (มักขายเป็นส่วนหนึ่งของ SSE หรือ SASE) | Broker อยู่บน Cloud ของผู้ขาย Connector ในเครือข่ายของคุณเชื่อมออกไปหา | พนักงานกระจายหลายแขวงหลายประเทศ แอปส่วนใหญ่เป็น Web หรือ SaaS |
| แบบใช้ Firewall | NGFW ที่มีอยู่ทำหน้าที่ Access Proxy โดยมี Agent บนเครื่องรายงานสภาพเครื่อง | องค์กรที่ใช้ Firewall ยี่ห้อเดียวทั้งองค์กร และอยากให้ Traffic อยู่บนอุปกรณ์ของตัวเอง |
| Identity Proxy สำหรับ Web App | Reverse Proxy หน้าแอป Web ภายใน บังคับ SSO และ MFA ก่อนถึงตัวแอป | มีแอป Web ไม่กี่ตัวและทีม IT เล็ก |
ไม่มีแบบไหนดีกว่าโดยอัตโนมัติ Broker บน Cloud เริ่มใช้ได้เร็ว แต่ทุก Session ขึ้นกับบริการของผู้ขายและสายอินเทอร์เน็ตของคุณ ZTNA แบบ Firewall เก็บการควบคุมไว้เอง แต่คุณต้องรับภาระ Patch ความจุ และ High Availability เอง
ก่อนซื้ออะไร: แก้ VPN ที่มีอยู่
สำหรับองค์กรส่วนใหญ่ ขั้นตอนต่อไปนี้ลดความเสี่ยงได้มากที่สุดโดยใช้อุปกรณ์ที่มีอยู่แล้ว
- ปิด RDP และ SSH ที่เปิดสู่อินเทอร์เน็ต วันนี้
- MFA บนทุกบัญชี VPN ไม่มีข้อยกเว้นสำหรับผู้บริหาร
- Firmware รุ่นล่าสุด และมีคนติดตามประกาศความปลอดภัยของผู้ผลิต
- Login ผ่าน Directory (AD/Entra ID หรือ RADIUS) แทนบัญชีในเครื่อง และปิดบัญชีที่ไม่ใช้
- Rule ตามกลุ่ม: ฝ่ายบัญชีเข้าได้เฉพาะระบบบัญชี วิศวกรเข้าได้เฉพาะ Server โครงการ
- หน้า Admin ของ Firewall ไม่เปิดสู่อินเทอร์เน็ต
- Geo-IP จำกัดเฉพาะประเทศที่พนักงานทำงานจริง (เช่น ลาวและไทย)
- Session Timeout และตัดเมื่อไม่มีการใช้งาน
- Log การ Login ส่งออกไป Log Server พร้อม Alert เมื่อ Login ล้มเหลวซ้ำๆ
- ทบทวนรายชื่อผู้ใช้ VPN กับ HR ทุกเดือน
เรื่อง Split Tunnel: การส่งเฉพาะ Traffic ขององค์กรผ่าน VPN ช่วยประหยัด Bandwidth ของสายที่สำนักงานใหญ่ ซึ่งสำคัญในลาว แต่ถ้าเปิดใช้ เครื่องต้องมี EDR และ DNS/Web Filtering ที่ทำงานนอกสำนักงานด้วย เพราะ Traffic อินเทอร์เน็ตไม่ได้ผ่าน Firewall ของคุณอีกต่อไป
ลองคิดเลขดู ผู้ใช้นอกสถานที่ 40 คนใช้ Full Tunnel และประชุมวิดีโอคนละราว 2–3 Mbps จะดัน Traffic 80–120 Mbps ผ่านสำนักงานใหญ่ทั้งขาเข้าและขาออก คือเข้าจาก Laptop ออกไปบริการประชุม แล้ววนกลับมาอีกรอบ บนสายธุรกิจ 100 Mbps นั่นคือเต็มสาย และคนในสำนักงานจะรู้สึกก่อน การทำ Split Tunnel ให้ Traffic ของ Microsoft 365 หรือ Google Workspace ออกตรง พร้อม Endpoint Protection ที่ทำงานนอกสำนักงาน มักแก้ปัญหานี้ได้
เมื่อไรควรเริ่ม ZTNA
ความเห็นของเรา: สำนักงาน 10–50 คนที่มีแอปภายในไม่มากและพนักงานทำงานนอกสถานที่น้อย VPN ที่แก้ตามรายการข้างบนแล้วมักเพียงพอไปอีกหลายปี ZTNA ให้คุณค่าชัดเจนเมื่อ
- มีผู้รับเหมาหรือที่ปรึกษาภายนอกจำนวนมากที่ต้องเข้าเฉพาะบางระบบ (พบบ่อยในเหมืองและโครงการก่อสร้าง)
- มีสาขาหลายแขวงและพนักงานเดินทาง
- ถือข้อมูลการเงินหรือข้อมูลลูกค้าที่อ่อนไหว เช่น ธนาคาร
- แอปส่วนใหญ่เป็น Web อยู่แล้ว
ตัวอย่าง: บริษัทเดียว หลายคำตอบ
สมมติบริษัทหนึ่งมีสำนักงานใหญ่ที่เวียงจันทน์ราว 80 คน สาขาภาคใต้ 25 คน และไซต์โครงการที่มีพนักงาน 15 คนกับผู้รับเหมาอีกจำนวนหนึ่ง ทุกวันนี้ทุกคนใช้ VPN Profile เดียวที่เข้าถึงเครือข่าย 10.10.0.0/16 ได้ทั้งหมด พอทำรายการว่าใครต้องใช้อะไรจริง แบบที่ออกมามักเป็นแบบผสม
| ใคร | ต้องใช้อะไรจริง | ตอนนี้ | ที่แนะนำ |
|---|---|---|---|
| ฝ่ายบัญชี 12 คน | ระบบบัญชีบน Terminal Server และ ERP แบบ Web | ทั้งเครือข่าย | IPsec VPN พร้อม Rule ตามกลุ่มไปเฉพาะสอง Server นั้น และ MFA |
| วิศวกรที่เดินทาง 30 คน | ERP แบบ Web และ File Share ของโครงการ | ทั้งเครือข่าย | ZTNA รายแอป บังคับตรวจสภาพเครื่อง |
| ผู้รับเหมาภายนอก 6 คน | แอป Web ตัวเดียว | บัญชีใช้ร่วมกันหนึ่งบัญชี เข้าได้ทั้งเครือข่าย | ZTNA ด้วยบัญชีรายชื่อที่หมดอายุพร้อมสัญญา |
| IT Admin 2 คน | Switch, Firewall, Hypervisor | ทุกอย่าง ไม่มี Log | VPN ไปที่ Jump Host พร้อม MFA และบันทึก Session |
| ผู้ขายเครื่องจักร | Controller ตัวเดียวในโรงงาน | โปรแกรมควบคุมระยะไกลเปิดค้างไว้ | เปิดให้เมื่อขอ ตามช่วงเวลาที่กำหนด และบันทึกไว้ |
ทั้งหมดนี้ไม่ต้องทำเป็นโครงการใหญ่ทีเดียว แถวที่หนึ่งและสี่คือการตั้งค่าบน Firewall ที่คุณมีอยู่แล้ว มีแค่แถวที่สองและสามที่ต้องใช้ผลิตภัณฑ์ ZTNA และเริ่มจากแอปเดียวก็ได้
ย้ายเป็นระยะ
- เลือกแอป Web หนึ่งหรือสองตัว (ERP, HR, Intranet) และกลุ่มผู้ใช้นำร่อง
- ติดตั้ง Connector ใกล้แอป และกำหนด Policy ตามกลุ่ม
- เชื่อมกับ EDR เพื่อตรวจสภาพเครื่อง
- ย้ายผู้ขายภายนอกมาใช้ ZTNA ก่อนพนักงาน เพราะเป็นจุดที่เสี่ยงที่สุด
- ขยายไปยังแอปอื่น และลด VPN ให้เหลือเฉพาะ IT Admin และกรณีพิเศษ
เรื่อง Latency: ZTNA แบบ Cloud จะส่ง Traffic จากต่างแขวงไปที่ Broker ก่อนแล้วจึงย้อนกลับมาที่แอป เลือกผู้ให้บริการที่มี Point of Presence ใกล้ (เช่น กรุงเทพฯ หรือสิงคโปร์) และทดสอบจากสาขาจริงก่อนเซ็นสัญญา
ข้อผิดพลาดที่เราเจอบ่อย
- MFA ที่กดอนุมัติ Push ได้ทุกครั้ง ผู้โจมตีจะส่งคำขอซ้ำไปเรื่อยๆ จนผู้ใช้ที่เหนื่อยกดอนุมัติ ให้ใช้ Number Matching หรือ Hardware Key สำหรับผู้ดูแลระบบ
- บัญชี Local เก่าค้างอยู่บน Firewall หลังย้าย Login ไปใช้ Directory แล้ว บัญชีเหล่านี้ข้าม MFA ได้และไม่มีใครจำได้
- มี ZTNA Connector ตัวเดียว ถ้า VM ตัวนั้นรีบูต ผู้ใช้ระยะไกลทุกคนหลุดหมด ให้รันอย่างน้อยสองตัวบนคนละ Host
- คิดว่า ZTNA คือ Endpoint Protection การตรวจสภาพเครื่องอ่านข้อมูลจาก Agent บนเครื่อง ถ้า Laptop ไม่มี EDR ก็แทบไม่มีอะไรให้ตรวจ
- ทดสอบจากในสำนักงานอย่างเดียว ลองจาก 4G ในต่างแขวงและจากเครือข่ายโรงแรมก่อนประกาศใช้
สิ่งที่ต่างไปในสภาพของลาว
Remote Access ใช้งานได้เท่ากับขอบเครือข่ายของสำนักงานใหญ่ ถ้า Firewall และ ONT ของสายไฟเบอร์ไม่ได้ต่อ UPS ไฟตกตอน 17:30 จะตัดผู้ใช้ระยะไกลทุกคนพร้อมกัน ดูคู่มือเลือกขนาด UPS ของเรา สำนักงานต่างแขวงหลายแห่งใช้ ISP เดียวหรือ Router 4G ดังนั้น ZTNA Connector และ VPN Gateway ควรอยู่ที่ไซต์ที่สายดีที่สุด ซึ่งปกติคือเวียงจันทน์ ไม่ใช่ที่สาขา พนักงานที่ข้ามไปไทยมักต่อผ่านเครือข่ายมือถือไทย ให้วาง Geo-IP สำหรับทั้งสองประเทศไว้เลย แทนที่จะบล็อกทุกอย่างนอกลาวแล้วต้องโทรขอเปิดข้อยกเว้นทีละครั้ง
ผู้ขายที่ขอเข้าระบบ
ผู้ขาย ERP, CCTV หรือเครื่องจักรในโรงงานมักขอ "เปิด TeamViewer ค้างไว้ให้หน่อย" หรือขอบัญชี VPN เดียวที่ทีมเขาใช้ร่วมกัน อย่ายอม ให้แต่ละคนมีบัญชีชื่อของตัวเอง มี MFA เปิดเฉพาะช่วงเวลาที่นัดไว้ และบันทึก Session เมื่อสัญญาหมดให้ปิดบัญชีในวันเดียวกัน
ส่งรายการมาให้เรา
เขียนรายการว่าใครเข้าระบบจากระยะไกลบ้าง (พนักงาน สาขา ผู้ขาย) และเขาต้องใช้แอปอะไรจริง เราจะเทียบกับสิ่งที่ VPN ปัจจุบันอนุญาต และบอกว่าช่องว่างไหนแก้ได้ด้วยการตั้งค่า และช่องไหนคุ้มที่จะใช้ ZTNA
- #vpn
- #ztna
- #zero-trust
- #remote-work
- #mfa
