ความปลอดภัยเครือข่ายระดับ Layer 2: ป้องกันเฟรม (Frame) อย่างไร?

Layer 2 (Data Link Layer) คืออะไร?

ในโมเดล OSI ชั้นที่ 2 (Data Link Layer) ทำหน้าที่ส่งข้อมูลระหว่างโหนด (Node) ที่อยู่ในเครือข่ายพื้นที่เดียวกัน (Same Broadcast Domain) โดยใช้ MAC Address เป็นตัวระบุตัวตน โปรโตคอลหลักคือ Ethernet (IEEE 802.3) และ Wi-Fi (IEEE 802.11) อุปกรณ์หลักคือ Switch และ Wireless Access Point

ภัยคุกคามที่พบบ่อยที่ Layer 2

มาตรการป้องกัน Layer 2 Security (บน Switch)

1. Port Security (พื้นฐานที่สำคัญที่สุด)

• จำกัดจำนวน MAC Address ต่อพอร์ต (เช่น switchport port-security maximum 2)
• กำหนดการกระทำเมื่อฝ่าฝืน: Protect (Drop), Restrict (Drop + Log + SNMP Trap), Shutdown (Err-disable - แนะนำ)
• Sticky MAC: เรียนรู้ MAC อัตโนมัติและบันทึกใน Running-config

2. DHCP Snooping

• แบ่งพอร์ตเป็น Trusted (ต่อ DHCP Server/Uplink) และ Untrusted (ต่อ Client)
• บล็อก DHCP Offer/ACK จากพอร์ต Untrusted
• สร้าง DHCP Snooping Binding Database (MAC, IP, VLAN, Port, Lease Time) ใช้ร่วมกับ DAI/IP Source Guard

3. Dynamic ARP Inspection (DAI)

• ตรวจสอบ ARP Packet ทุกตัวเทียบกับ DHCP Snooping Binding Database
• Drop ARP ที่ไม่ตรงกัน (Spoofed ARP) + Log
• ต้อง Enable บน VLAN ที่ต้องการป้องกัน

4. IP Source Guard

• กรอง IP Traffic (Layer 3) บนพอร์ต Untrusted ให้ตรงกับ Binding Database (จาก DHCP Snooping หรือ Static Entry)
• ป้องกัน IP Spoofing (Client ใช้ IP ของคนอื่น)

5. การป้องกัน VLAN Hopping

• ปิด Dynamic Trunking (DTP) บนพอร์ต Access: switchport mode access + switchport nonegotiate
• กำหนด Native VLAN บน Trunk ให้เป็น VLAN ที่ไม่ได้ใช้งาน (Unused VLAN) และ Tag Native VLAN: vlan dot1q tag native
• ไม่ใช้ VLAN 1 สำหรับข้อมูลจริง (Management เท่านั้น)

6. Spanning Tree Protection

• BPDU Guard: Shutdown พอร์ต Access ที่รับ BPDU (ป้องกัน Rogue Switch/Attacker ส่ง BPDU) - แนะนำบนทุกพอร์ต Access
• Root Guard: ป้องกันพอร์ตที่ไม่ใช่ Root Port กลายเป็น Root Bridge (ใช้บนพอร์ตที่ต่อ Switch อื่นที่ไม่ควรเป็น Root)
• Loop Guard: ป้องกัน Loop เมื่อหยุดรับ BPDU (Unidirectional Link Failure)

7. การจัดการ Switch อย่างปลอดภัย (Management Plane Hardening)

• ปิด Telnet/HTTP ใช้แค่ SSH v2 และ HTTPS
• ใช้ AAA (RADIUS/TACACS+) พร้อม MFA สำหรับการจัดการ
• จำกัด IP ที่จัดการได้ (Management ACL / VTY ACL)
• เปิด Logging และส่งไป Syslog Server / SIEM
• อัปเดต Firmware/IOS ให้ล่าสุดเพื่อปิดช่องโหว่

Wireless Layer 2 Security (802.11)

• ใช้ WPA3-Enterprise (802.1X/EAP-TLS) หรืออย่างน้อย WPA2-Enterprise
• ปิด WPS, ปิด Broadcast SSID (ไม่ได้ช่วยมากแต่ลดการโจมตีโอกาส)
• เปิด Protected Management Frames (PMF / 802.11w) ป้องกัน Deauth/Disassociation Attack
• Segment Wireless ด้วย VLAN ตามประเภท: Corporate, Guest, IoT, BYOD
• ใช้ Wireless Intrusion Prevention System (WIPS) ตรวจจับ Rogue AP, Evil Twin, Deauth Attack

สรุป: Layer 2 Security Checklist

1. ☐ Port Security บนทุกพอร์ต Access
2. ☐ DHCP Snooping + DAI + IP Source Guard
3. ☐ ปิด DTP, Tag Native VLAN, ไม่ใช้ VLAN 1
4. ☐ BPDU Guard บนทุกพอร์ต Access
5. ☐ Root Guard บนพอร์ต Downlink ไป Switch อื่น
6. ☐ Management Hardening (SSH, AAA, MFA, ACL, Logging)
7. ☐ Wireless: WPA3-Enterprise, PMF, VLAN Segmentation, WIPS
8. ☐ Network Access Control (NAC) สำหรับ Endpoint Compliance

การควบคุมการเข้าถึง (Access Control) ในความปลอดภัยเครือข่ายคืออะไร?

Network Security Key ของ Router Netgear คืออะไร? หาและเปลี่ยนอย่างไร?