home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

MAC Address Filtering บน Router ทำงานอย่างไร? ช่วยรักษาความปลอดภัย Wi-Fi ได้จริงหรือไม่?

MAC Address Filtering คืออะไร?

MAC Address Filtering เป็นฟีเจอร์บน Wireless Router/Access Point ที่ควบคุมการเชื่อมต่อ Wi-Fi โดยตรวจสอบ MAC Address (Hardware Address) ของ Network Interface Card (NIC) ของอุปกรณ์ Client เทียบกับรายการที่อนุญาต (Allowlist) หรือบล็อก (Denylist)

การทำงาน (How It Works)

  1. Admin เพิ่ม MAC Address ของอุปกรณ์ที่เชื่อถือได้ลงใน Allowlist (Whitelist) บน Router
  2. เมื่อ Client พยายาม Associate/Authenticate กับ AP
  3. AP ตรวจสอบ MAC Address ใน Frame (802.11 Management Frame) ว่าอยู่ใน Allowlist หรือไม่
  4. อยู่ในรายการ → อนุญาตให้ทำ Authentication/Association ต่อ (ยังต้องผ่าน WPA2/WPA3)
  5. ไม่อยู่ในรายการ → ปฏิเสธการเชื่อมต่อทันที (Deauth/Disassociate)

วิธีเปิดใช้งาน (ทั่วไป)

  1. ล็อกอิน Router Web UI (192.168.x.x)
  2. เมนู Wireless → Wireless MAC Filter / Access Control / MAC Authentication
  3. เลือก Enable → Mode: Allow (Whitelist) หรือ Deny (Blacklist)
  4. เพิ่ม MAC Address (Format: AA:BB:CC:DD:EE:FF หรือ AA-BB-CC-DD-EE-FF)
  5. Save/Apply → Reboot Router บางรุ่น

MAC Address Filtering ช่วยความปลอดภัยได้จริงหรือไม่?

มุมมองรายละเอียด
✅ ข้อดี (Administrative Control)จัดการอุปกรณ์ที่อนุญาตให้เชื่อมต่อได้ (Inventory Control), ป้องกันอุปกรณ์ไม่รู้จักต่อได้ง่าย, ใช้ร่วมกับ WPA2/WPA3 เป็น Layer เพิ่ม
❌ ข้อจำกัด (Security)ไม่ใช่ Security Control จริง MAC Address ส่งในระหว่างทางเป็น Cleartext (Unencrypted ใน 802.11 Headers) → Sniffing ได้ง่าย (Wireshark, Airodump-ng, Kismet)
❌ Spoofing ง่ายมากAttacker แค่ดู MAC ที่ Allowlist → เปลี่ยน MAC ของตัวเอง (macchanger, Windows/Linux/Android MAC Randomization) → เข้าได้ทันที
❌ Management Overheadต้องเพิ่ม MAC ทุกครั้งที่มีอุปกรณ์ใหม่ ยุ่งยากในสภาพแวดล้อม BYOD/Guest/IoT เยอะ
❌ ไม่เข้ารหัสข้อมูลไม่ได้ป้องกัน Eavesdropping ต้องใช้ WPA2/WPA3 แยกต่างหาก

ความจริง: ทำไมจึงไม่แนะนำให้พึ่งพา MAC Filtering เพียงอย่างเดียว

  • Security by Obscurity: ซ่อน SSID + MAC Filtering = False Sense of Security
  • โจมตีจริง: airodump-ng จับ MAC Client → macchanger -m <TARGET_MAC> wlan0 → Connect ได้ทันที (ถ้ารู้ PSK)
  • แม้ไม่รู้ PSK ก็ยังทำ Deauth Attack ขับ Client จริงออก → Capture Handshake → Offline Crack

เมื่อไหร่ควรใช้ MAC Filtering?

  • เป็น Layer เพิ่มเติม (Defense in Depth) ร่วมกับ WPA3-Enterprise (802.1X) หรือ WPA3-Personal แบบแข็งแกร่ง
  • สภาพแวดล้อมควบคุมได้ชัดเจน: จำนวนอุปกรณ์น้อย ไม่เปลี่ยนบ่อย (เช่น Industrial IoT, Kiosk, Digital Signage)
  • ร่วมกับ NAC (Network Access Control) เช่น Cisco ISE, Aruba ClearPass ที่ทำ MAC Auth + Posture Assessment + Profiling

ทางเลือกที่ดีกว่า (Modern Alternatives)

วิธีคุณสมบัติความปลอดภัย
WPA3-Personal (SAE)Simultaneous Authentication of Equals, Forward Secrecy, Offline Dictionary Attack Resistant⭐⭐⭐⭐⭐
WPA3-Enterprise / WPA2-Enterprise (802.1X)Per-user Credentials (EAP-TLS, PEAP-MSCHAPv2, EAP-TTLS), Certificate-based, RADIUS⭐⭐⭐⭐⭐ (Enterprise Gold Standard)
Zero Trust Network Access (ZTNA)Identity-based, Device Posture, Micro-segmentation, No Network Access by Default⭐⭐⭐⭐⭐ (Modern Architecture)
NAC (Cisco ISE, Aruba ClearPass, FortiNAC)Profiling, Posture, Guest Management, BYOD Onboarding, Policy Enforcement⭐⭐⭐⭐
Private Pre-Shared Key (PPSK)Per-device/Per-user PSK (Aerohive/HiveOS, Aruba, Meraki, Mist)⭐⭐⭐⭐ (SMB/Managed Wi-Fi)

สรุป

MAC Address Filtering เป็น Network Administration Tool ไม่ใช่ Security Control ใช้ได้เพื่อจัดการ Inventory หรือเป็น Layer รองเท่านั้น ห้ามพึ่งพาเป็นหลัก ต้องใช้ WPA3 (SAE/Enterprise) + MFA + NAC/ZTNA เพื่อความปลอดภัยจริง