MPLS (Multiprotocol Label Switching) และความปลอดภัยเครือข่าย
MPLS คืออะไร?
MPLS (Multiprotocol Label Switching) เป็นเทคโนโลยีการส่งข้อมูลระดับผู้ให้บริการ (Carrier-grade) ที่ใช้ Label (ฉลาก) ในการส่งต่อแพ็กเก็ต แทนการ Routing แบบดู IP Address ทุก Hop ทำให้:
- เร็วขึ้น: ไม่ต้อง Lookup Routing Table ทุก Hop
- มี QoS: จัดลำดับความสำคัญトラฟฟิก (Voice, Video, Data)
- Traffic Engineering: ควบคุม Path ได้อย่างละเอียด
- รองรับหลายโปรโตคอล: IP, Ethernet, ATM, Frame Relay บนโครงสร้างเดียวกัน
MPLS Network Security - จริงๆ แล้วปลอดภัยอย่างไร?
✅ จุดแข็งด้านความปลอดภัย
- Logical Separation: LSP (Label Switched Path) แยกトラฟฟิกลูกค้าแต่ละราย - คล้าย "Virtual Circuit"
- No Public Internet Exposure: ทราฟฟิกไม่ออก Internet - ลดความเสี่ยง DDoS, Interception
- Provider Core Isolation: Core Router (P routers) ไม่เห็น IP ของลูกค้า - เห็นแค่ Label
- VPN over MPLS (L3VPN/L2VPN): ใช้ VRF (Virtual Routing & Forwarding) แยก Routing Table ต่อลูกค้า
❌ จุดอ่อน/ข้อจำกัด (MPLS ไม่ได้ = Encryption)
- ไม่เข้ารหัสข้อมูล (No Encryption): MPLS เองไม่เข้ารหัส Payload - ใครเข้าถึง Fiber/Link ได้ จะอ่านข้อมูลได้ (Passive Tapping)
- Trust Provider: คุณเชื่อมั่นในพนักงาน/กระบวนการของ Telco/ISP
- Misconfiguration Risk: Route Leak ระหว่าง VRF, Label Swap Error
- No Integrity Verification: ไม่มี Mechanism ตรวจสอบข้อมูลถูกแก้ไขระหว่างทาง
MPLS vs VPN (IPsec/SSL) - เลือกอย่างไร?
| ด้าน | MPLS (L3VPN) | IPsec VPN / SD-WAN |
|---|---|---|
| Encryption | ไม่มี (ต้องเพิ่ม IPsec บน CE) | มี built-in (AES-GCM, ChaCha20-Poly1305) |
| QoS/SLA | มี SLA รับประกัน (Latency, Jitter, Loss) | Best-effort บน Internet (SD-WAN ปรับปรุงได้บ้าง) |
| Cost | สูงมาก ($/Mbps) | ถูกกว่าเยอะ (Internet Broadband) |
| Deployment | สัปดาห์-เดือน (Last mile) | ชั่วโมง-วัน (Zero-touch Provisioning) |
| Security Model | Trust Provider Core | Zero Trust (Encrypt End-to-End) |
| เหมาะสำหรับ | Real-time Critical Apps (Voice, Video, Trading, Industrial Control) | General Enterprise, Cloud Access, Remote Work, Branch Office |
แนวทางปฏิบัติแนะนำ (Best Practices)
- Overlay Encryption: รัน IPsec/DMVPN/FlexVPN บน CE Routers บน MPLS (Encryption End-to-End)
- SD-WAN over MPLS: ใช้ SD-WAN จัดการ MPLS + Internet Hybrid - ได้ทั้ง SLA และ Encryption
- VRF Segmentation: แยก VRF ต่อ Department/Application (Guest, IoT, Server, Voice)
- Monitoring: NetFlow/IPFIX จาก PE Routers, BGP Monitoring, Label Switched Path Monitoring
- Contractual Security: SLA รวม Security Clauses (Encryption Option, Incident Response, Audit Rights)
สรุป
MPLS ให้ Performance, QoS, Isolation แบบ Logical แต่ ไม่ให้ Confidentiality/Integrity เอง ต้องเพิ่ม Encryption (IPsec/MACsec) หรือใช้ SD-WAN Overlay เพื่อความปลอดภัยครบวงจร
