Subnetting (การแบ่งเครือข่ายย่อย) ไม่ใช่แค่จัดการ IP Address ให้มีประสิทธิภาพ แต่เป็น มาตรการความปลอดภัยเครือข่าย (Network Security Control) ที่สำคัญ ด้วยหลักการ Network Segmentation
Subnetting ช่วยความปลอดภัยได้อย่างไร?
1. จำกัด Blast Radius (ลดพื้นที่ผลกระทบ)
- หากเซกเมนต์หนึ่งถูกโจมตี/ติดมัลแวร์ โจมตีไม่สามารถแพร่ไปเซกเมนต์อื่นได้ง่าย
- ตัวอย่าง: แยก DMZ, Server Farm, User VLAN, IoT, Guest, Management, OT/ICS
2. ควบคุมการไหลของ Traffic (Traffic Control)
- ใช้ ACL (Access Control Lists) บน Router/L3 Switch ระหว่าง Subnet
- ใช้ Firewall Inter-zone Policies (Allow/Deny/Inspect ตามกฎ)
- ใช้ Route Maps / Policy-Based Routing สำหรับการนำทางเฉพาะเจาะจง
3. ซ่อนโครงสร้างภายใน (Information Hiding)
- ภายนอกเห็นเฉพาะ Public IP / DMZ ไม่เห็น Internal Subnet Topology
- ลดข้อมูลสำหรับ Attacker ในขั้น Recon
4. การตรวจสอบและ Audit ง่ายขึ้น
- Log ต่อ Subnet ชัดเจน (Src/Dst IP ระบุ Zone ชัดเจน)
- SIEM Correlation Rules เขียนได้เฉพาะเจาะจง (เช่น "Traffic จาก User VLAN ไป Management VLAN")
การออกแบบ Subnet เพื่อความปลอดภัย (Secure Subnet Design)
| Zone / Subnet | CIDR Example | Purpose | Access Control |
|---|---|---|---|
| Internet | - | External | Block all inbound except VPN/Public Services |
| DMZ / Public Services | 10.10.10.0/24 | Web, Mail, DNS Public | Allow Specific Ports from Internet; Deny to Internal |
| Server Farm / Apps | 10.20.0.0/16 | Application, Database | Allow from DMZ/User specific ports; No direct Internet |
| Management / Admin | 10.30.0.0/24 | Switch, Router, Firewall Mgmt, Hypervisors | Allow ONLY from Admin Jump Host / Bastion |
| User / Corporate | 10.40.0.0/16 | Workstations, Laptops, Phones | Internet via Proxy/Firewall; No direct Server access |
| Guest / BYOD | 10.50.0.0/16 | Guest Wi-Fi, Personal Devices | Internet Only; Isolated from All Internal |
| IoT / OT / Building Systems | 10.60.0.0/16 | Cameras, Sensors, HVAC, PLCs | No Internet; Strict Allowlist to Specific Collectors |
Protected Subnet (Subnet ที่ได้รับการป้องกัน)
- ใช้ Private IP (RFC 1918) เท่านั้น
- ไม่มี Default Route ไป Internet (ต้องผ่าน Firewall/Proxy)
- เข้าถึงได้เฉพาะผ่าน Bastion Host / Jump Server / Privileged Access Workstation (PAW)
- บังคับ MFA, Logging, Session Recording
เครื่องมือและเทคโนโลยีร่วมสมัย
- Micro-segmentation: VMware NSX, Cisco ACI, Illumio, Guardicore (Segment ระดับ Workload/Process)
- Zero Trust Network Access (ZTNA): Zscaler, Cloudflare Access, Twingate (ไม่เชื่อมั่น Subnet เดียวกันอีกต่อไป)
- Cloud VPC/VNet Subnetting: AWS VPC Subnets (Public/Private/Protected), Azure VNet Subnets + NSG/ASG, GCP VPC + Firewall Rules
Best Practices
- วางแผน IP Addressing Schema (Hierarchical, Summarizable)
- จัดสรร Subnet ตาม Function/Trust Level ไม่ใช่แค่ Geography
- ใช้ Firewall/ACL ระหว่างทุก Subnet (Default Deny)
- Document และ Review เป็นประจำ (Quarterly)
- รวมกับ NAC/802.1X เพื่อกำหนด VLAN แบบ Dynamic ตาม Identity/Device Health
Subnetting เป็นรากฐานของ Network Security Architecture การทำให้ถูกต้องตั้งแต่แรก จะประหยัดความพยายามในการป้องกันและตอบสนองภายหลังมากยิ่งขึ้น
