🏠 Guest Network (เครือข่ายแขก) คืออะไร?
Guest Network = SSID แยกต่างหากบนเราเตอร์เดียวกัน สร้างเครือข่าย Wi-Fi แยกสำหรับแขก/ลูกค้า/อุปกรณ์ IoT แยกจากเครือข่ายหลัก (Main/Private Network) ที่มีข้อมูลสำคัญ
🔒 ประเภทความปลอดภัย Guest Network (Security Types)
| Security Mode | Encryption | ความปลอดภัย | ความเข้ากันได้ | แนะนำ? |
|---|---|---|---|---|
| WPA3-Personal (SAE) | AES-128/256 (CCMP/GCMP) | 🔴 สูงสุด | Wi-Fi 6/6E/7, Android 10+, iOS 13+, Win10 1903+ | ✅ ใช่ (ถ้ารองรับหมด) |
| WPA2/WPA3 Mixed (Transition) | AES (CCMP) | 🟠 สูงมาก | เกือบทุกอุปกรณ์ 5-7 ปีมา | ✅ แนะนำมากที่สุด (Balance) |
| WPA2-Personal (AES/CCMP) | AES-128 (CCMP) | 🟡 ดี | ทุกอุปกรณ์ Wi-Fi 4/5/6 | ✅ ใช้ได้ (ถ้าไม่รองรับ WPA3) |
| WPA2-Personal (TKIP) | TKIP (RC4) | 🔴 อ่อนแอ (Deprecated) | อุปกรณ์เก่ามาก (2003-2009) | ❌ ห้ามใช้ |
| WPA-Personal (TKIP) | TKIP | 🔴 อ่อนแอมาก | อุปกรณ์เก่าแก่ (Pre-2006) | ❌ ห้ามใช้ |
| WEP | RC4 (40/104-bit) | 🔴 แตกได้ภายในนาที | อุปกรณ์โบราณ (Pre-2003) | ❌ ห้ามใช้ |
| Open / None | ไม่มีการเข้ารหัส | 🔴 ไม่ปลอดภัยเลย | ทุกอุปกรณ์ | ❌ ห้ามใช้ (ยกเว้น Captive Portal แบบ Enterprise) |
✅ แนวทางปฏิบัติที่ดีที่สุด (Best Practices) สำหรับ Guest Network
1. การแยกเครือข่าย (Network Isolation) - สำคัญที่สุด
- Enable "Guest Network Isolation" / "AP Isolation" / "Client Isolation" - ป้องกันอุปกรณ์ใน Guest Network คุยกันได้
- Block Access to Local Network / Intranet - ไม่ให้ Guest เข้าถึง LAN, NAS, Printer, Router Admin, IoT Devices
- VLAN แยกต่างหาก (Enterprise/Prosumer Router) - Guest VLAN (เช่น VLAN 10) แยกจาก Management VLAN, Server VLAN, User VLAN
- Firewall Rules - Deny Guest → LAN, Allow Guest → Internet Only
2. การตั้งค่ารหัสผ่านและการเข้ารหัส
- ใช้ WPA2/WPA3 Mixed หรือ WPA3-Personal
- รหัสผ่าน: 12+ ตัวอักษร ผสมพิมพ์ใหญ่/เล็ก ตัวเลข สัญลักษณ์
- เปลี่ยนรหัสผ่านเป็นประจำ (ทุกสัปดาห์/เดือน สำหรับธุรกิจ/คาเฟ่)
- QR Code สำหรับแขกสแกนเชื่อมต่อง่าย (Router รองรับ หรือ Generate เอง)
3. จำกัดแบนด์วิดท์และเวลา (QoS / Scheduling)
- Bandwidth Limit - จำกัดความเร็ว (เช่น 10-20 Mbps/Device) ป้องกันแขกดู 4K ใช้แบนด์วิดท์หมด
- Time Scheduling - ปิด Guest Network นอกเวลาทำการ/เปิดร้าน
- Session Timeout - ตัดการเชื่อมต่ออัตโนมัติหลังไม่ใช้งาน (เช่น 30-60 นาที)
4. การเฝ้าระวังและบันทึก (Monitoring & Logging)
- Client Logging - บันทึก MAC, IP, Connect Time, Data Usage
- Captive Portal - หน้าล็อกอิน/ยอมรับเงื่อนไข (Terms of Service) ก่อนใช้อินเทอร์เน็ต
- Content Filtering / DNS Filtering - บล็อก Adult, Gambling, Malware, P2P (NextDNS, OpenDNS, Pi-hole, Router Built-in)
- Alert on Anomaly - จราจรผิดปกติ, การสแกนพอร์ต, การโจมตี
5. ความปลอดภัยเพิ่มเติม (Advanced)
- Disable WPS บน Guest Network (และ Main Network)
- Disable UPnP บน Guest Network
- Enable DNS over HTTPS (DoH) / DNS over TLS (DoT) บน Router
- MAC Address Randomization - รองรับบน Client Side (iOS 14+, Android 10+)
- 802.1X / RADIUS (Enterprise) - แทน PSK ใช้ Certificate/Username-Password
🛠️ วิธีตั้งค่า Guest Network บนเราเตอร์ยอดนิยม
ASUS (ASUSWRT / Merlin)
- https://router.asus.com / 192.168.1.1
- Guest Network > Enable (2.4GHz / 5GHz / 5GHz-2)
- Access Intranet: Disable
- Access Internet: Enable
- AP Isolation: Enable
- WPA2/WPA3 Personal > Set Password
TP-Link (Archer / Deco)
- https://tplinkwifi.net / 192.168.0.1 / Tether App
- Guest Network > Enable
- Access Local Network: Disable
- Security: WPA2/WPA3 Mixed > Password
- Bandwidth Control: Enable > Set Limit
Netgear (Nighthawk / Orbi)
- https://routerlogin.net / 192.168.1.1 / Nighthawk App
- Guest Network > Enable SSID Broadcast
- Allow Guests to Access My Local Network: Uncheck
- Security: WPA2-PSK [AES] / WPA3 > Passphrase
Ubiquiti UniFi (Controller)
- Settings > Wireless Networks > Create New Wireless Network
- Name: Guest-WiFi
- Security: WPA2/WPA3 Personal
- VLAN: New VLAN ID (e.g., 20) > Gateway: 192.168.20.1/24
- Guest Policy: Enabled (Auto Isolate, Captive Portal Options)
- Firewall Rules: LAN In > Block Guest VLAN → LAN VLAN
OpenWrt / GL.iNet / DD-WRT
- Network > Wireless > Add (New SSID)
- Interface: guest (New Interface)
- Firewall > Zone: guest > Forward to: WAN Only (Not LAN)
- DHCP Server on guest interface
🏢 Guest Network สำหรับธุรกิจ (Business/Cafe/Hotel/Office)
| ข้อกำหนด | แนะนำ |
|---|---|
| Legal Compliance | Captive Portal + Terms of Service + Log Retention (กฎหมายไทย: Computer Crime Act, PDPA) |
| Bandwidth Fairness | QoS Per-Client Limit, Time-based Quota |
| Content Filtering | DNS Filtering (NextDNS, Cisco Umbrella, CleanBrowsing) + Application Control |
| Monitoring | Flow Logs (NetFlow/IPFIX) → SIEM, Alert on Abuse |
| Isolation | VLAN + Firewall Deny Guest→LAN, Wireless Client Isolation |
| Authentication | Voucher/PMS Integration (Hotel), SMS OTP, Social Login, RADIUS/802.1X |
❌ ข้อผิดพลาดที่พบบ่อย
- ❌ เปิด Guest Network แต่ ไม่ปิด "Access Local Network" → แขกเข้าถึง NAS, Printer, Router Admin ได้
- ❌ ใช้รหัสผ่านเดียวกับ Main Network
- ❌ ไม่จำกัดแบนด์วิดท์ → แขก 1 คนดู 4K ทำให้ Staff ใช้งานไม่ได้
- ❌ ไม่มี Captive Portal / Logging → ไม่รู้ว่าใครทำอะไร ไม่ปฏิบัติตามกฎหมาย
- ❌ ใช้ WEP / WPA-TKIP / Open → โดนแฮกง่าย
- ❌ เปิด WPS บน Guest Network
- ❌ ไม่แยก VLAN (บน Router ที่รองรับ) → Layer 2 Broadcast ยังเลี้ยงได้
❓ FAQ
Guest WiFi ปลอดภัยไหม?
ปลอดภัยกว่าให้แขกเข้า Main Network มาก แต่ต้องตั้งค่าถูกต้อง (Isolation, WPA2/3, No Local Access) มิฉะนั้นอาจเป็นช่องทางโจมตี
Guest Network โดนแฮกได้ไหม?
ได้ หาก: รหัสผ่านอ่อน/ไม่เปลี่ยน, ไม่มี Isolation, Firmware เก่า, WPS เปิด, UPnP เปิด
แฮกเกอร์อาจใช้ Guest Network เป็นพื้นฐานโจมตี Main Network (VLAN Hopping, Router Exploit)
Guest Network สามารถ Monitor ได้ไหม?
ได้ ทุกการเชื่อมต่อผ่าน Router จะ Log ได้ (MAC, IP, Time, Bytes, DNS Queries) โรงแรม/องค์กรทำได้ แต่ต้องแจ้งให้ผู้ใช้ทราบ (Privacy Law)
ควรปิด Guest Network ตอนไม่ใช้ไหม?
แนะนำปิด (Schedule Off-hours) ลด Attack Surface, ประหยัดไฟ, ลด Dryness
สรุป
Guest Network ปลอดภัย = WPA2/WPA3 Mixed + Client Isolation + Block LAN Access + Bandwidth Limit + Captive Portal + Logging + Content Filtering + Regular Password Rotation + Firmware Updates
ไม่ใช่แค่ "สร้าง SSID ใหม่ ใส่รหัสผ่าน" ต้อง Isolate แบบลึก (Layer 2 + Layer 3) ถึงจะปลอดภัยจริง
