ทำไมต้องอัปเกรดความปลอดภัยเครือข่ายบ้าน?
- อุปกรณ์ IoT เพิ่มมาก (Smart TV, Camera, Bulb, Plug, Sensor) → Attack Surface กว้างขึ้น
- Work From Home / Hybrid Work → ข้อมูลบริษัทอยู่บนเครือข่ายบ้าน
- ภัยคุกคามเพิ่มขึ้น: Ransomware, Botnet (Mirai, Mozi), Crypto-mining, Credential Theft
- Router เก่า: ไม่มี Patch, ไม่รองรับ WPA3, ช่องโหว่ Kr00k, FragAttacks, VPNFilter
1. อัปเดต Firmware Router ให้เป็นล่าสุด (Critical)
- ล็อกอิน Router Web UI → Administration / System / Firmware Update → Check & Apply
- เปิด Auto Update หากมี (Asus, Netgear, TP-Link, Eero, Google Nest, UniFi, Ubiquiti)
- ตรวจสอบทุก 1-3 เดือน หากไม่มี Auto Update
- End-of-Life (EOL) Router: ต้องเปลี่ยนใหม่ (ไม่มี Patch อีกต่อไป)
2. เปลี่ยนเป็น WPA3 (หรือ WPA2/WPA3 Mixed)
- Router Web UI → Wireless / Wi-Fi Settings → Security
- เลือก WPA3-Personal (SAE) (ถ้าอุปกรณ์ทุกตัวรองรับ: Windows 10 1903+, Android 10+, iOS 13+, macOS 10.15+)
- หรือ WPA2/WPA3 Mixed (AES) (รองรับทั้งเก่าและใหม่ แนะนำ)
- ห้ามใช้: WEP, WPA-TKIP, WPA2-TKIP, WPS
3. ตั้งรหัสผ่าน Wi-Fi แข็งแกร่ง
- ความยาว ≥ 12 ตัวอักษร (Passphrase 4-5 คำสุ่ม:
correct-horse-battery-staple) - ไม่ใช้ข้อมูลส่วนตัว (ชื่อ, วันเกิด, เบอร์โทร, ที่อยู่)
- ไม่ใช้รหัสซ้ำกับบัญชีอื่น
- เก็บใน Password Manager (Bitwarden, 1Password, Proton Pass, Apple Passwords)
4. เปลี่ยน SSID (Wi-Fi Name) และปิด Broadcast (Optional)
- SSID: ไม่ใส่ข้อมูลส่วนตัว (ชื่อ, หมายเลขบ้าน, ยี่ห้อ Router) → ใช้ชื่อสุ่ม (เช่น
HomeNet-5G,Skynet) - Disable SSID Broadcast: ไม่ซ่อนความปลอดภัยจริง (Sniffing ได้ง่าย) แต่ลดโอกาสถูกโจมตีแบบ Random
5. สร้าง Guest Network และ IoT Network แยก (VLAN/Subnet)
| Network | อุปกรณ์ | การเข้าถึง |
|---|---|---|
| Main (Trusted) | Laptop, Phone, Tablet, NAS, Printer | Full LAN Access, Internet |
| Guest | แขก, เพื่อน, ครอบครัวเยี่ยม | Internet Only (Isolated from LAN) |
| IoT / Smart Home | Smart Bulb, Camera, Plug, Sensor, TV, Robot Vacuum | Internet Only (หรือจำกัดเฉพาะ Cloud API ที่จำเป็น) Block LAN Access |
| Management | Router Admin, Proxmox, Home Assistant, Server | Restricted Access (VPN/WireGuard Only) |
Router ที่รองรับ VLAN/Guest Network แยก Subnet จริง: Asus (Guest Network Pro), Ubiquiti UniFi, Omada (TP-Link), OpenWrt, OPNsense/pfSense, MikroTik, GL.iNet, Synology Router
6. ปิดบริการที่ไม่จำเป็นบน Router
- WPS (Wi-Fi Protected Setup): ช่องโหว่ PIN Brute-force ปิดทันที
- UPnP (Universal Plug and Play): อนุญาต Port Forward อัตโนมัติ → ใช้โดย Malware/IoT Botnet ปิด (หรือจำกัดเฉพาะ IP ที่เชื่อถือ)
- Remote Management / Web Access from WAN: ปิด (เข้าถึง Admin ผ่าน VPN เท่านั้น)
- Telnet / SSH / HTTP (ไม่ใช่ HTTPS): ปิด ใช้ HTTPS/SSH Key Only
- IPv6: หากไม่ใช้ ปิด IPv6 Firewall/RA/DHCPv6 (หรือตั้งค่า IPv6 Firewall ให้เหมาะสม)
7. ใช้ DNS Security (Encrypted DNS + Filtering)
- Router DNS: ตั้งเป็น DoH/DoT (Cloudflare 1.1.1.1/1.0.0.1, Quad9 9.9.9.9, NextDNS, Control D, OpenDNS)
- หรือติดตั้ง Pi-hole / AdGuard Home / NextDNS CLI บน Raspberry Pi / Docker / Router (OpenWrt/OPNsense/pfSense/Asus Merlin)
- ประโยชน์: บล็อก Ads, Trackers, Malware Domains, Phishing, C2, Telemetry + Privacy (Encrypted)
8. ติดตั้ง VPN Server บน Router (Remote Access ปลอดภัย)
- WireGuard: เร็ว, สมัยใหม่, รองรับทุก Platform (Built-in: Asuswrt-Merlin, OpenWrt, OPNsense, pfSense, GL.iNet, UniFi Dream Machine)
- OpenVPN: Legacy Compatibility
- Tailscale / ZeroTier: Mesh VPN ง่ายที่สุด (Install บน Router หรือ Device ตรงๆ)
- ใช้ MFA หาก Router รองรับ (OPNsense/pfSense + TOTP/WebAuthn)
9. ตรวจสอบและแก้ไขช่องโหว่ (Vulnerability Scan)
- ใช้ Nmap จากเครื่องใน LAN:
nmap -sS -sV 192.168.1.1(Router IP) → ดู Port เปิด - Shodan.io / Censys.io ค้นหา Public IP ของบ้าน → ดูว่ามี Service เผยต่อ Internet ไหม
- RouterSploit / Metasploit (Advanced) ทดสอบ Exploit ที่รู้จัก
10. พิจารณาเปลี่ยน Router หากเก่ากว่า 3-5 ปี
| คุณสมบัติ Router ใหม่ (2024+) | เหตุผล |
|---|---|
| Wi-Fi 6 / 6E / 7 (802.11ax/be) | Speed, Capacity, Latency, Target Wake Time (Battery Life) |
| WPA3 Hardware Acceleration | Security, Performance |
| 2.5GbE / 10GbE WAN/LAN Ports | Multi-Gig Internet, NAS, Proxmox, Gaming |
| Automatic Firmware Updates | Security Patches ทันใจ |
| VLAN / Guest Network Pro / IoT Isolation | Segmentation จริง |
| VPN Server (WireGuard/OpenVPN) Built-in | Remote Access ปลอดภัย |
| Ad/Tracker/Malware Blocking (Built-in/NextDNS) | DNS Security |
| Management App (Mobile/Web) | ง่าย สะดวก |
ยี่ห้อ/รุ่นแนะนำ 2024: Asus RT-AX86U Pro / GT-AX6000 / BE98 (Wi-Fi 7), Ubiquiti UniFi Dream Machine SE / UDR, TP-Link Deco BE85 / XE75 Pro (Mesh), GL.iNet Flint 2 / MT6000 (OpenWrt Native), MikroTik hAP ax3 / Chateau 5G, Protectli Vault + OPNsense/pfSense (DIY)
Checklist สรุป (Copy ไปใช้ได้เลย)
[ ] Firmware Latest + Auto Update On [ ] WPA3 / WPA2-WPA3 Mixed (AES) Only [ ] Wi-Fi Password ≥ 12 chars, Random, Unique [ ] SSID Changed (No Personal Info) [ ] Guest Network Enabled (Isolated) [ ] IoT Network Enabled (Isolated, VLAN) [ ] WPS Disabled [ ] UPnP Disabled [ ] Remote Management Disabled [ ] Telnet/HTTP Disabled, HTTPS/SSH Key Only [ ] Encrypted DNS (DoH/DoT) + Blocking (Pi-hole/NextDNS) [ ] VPN Server (WireGuard) Enabled for Remote Access [ ] Public IP Scan Clean (Shodan/Censys) [ ] Backup Config Saved Offsite [ ] Documented: Network Diagram, VLANs, IPs, Passwords (in Password Manager)
