เลิกใช้ Port Forwarding ใน Office เปลี่ยนมาใช้ VPN กันครับ ง่าย ๆ ด้วย Omada Fusion และ Navi

เวลาลูกค้าสอบถามเรื่องการทำ Port Forward เพื่อเข้าถึง NAS, CCTV หรือ Remote Desktop จากภายนอก ถ้าเป็นงานในสำนักงาน

ผมมักจะเตือนก่อนเลยครับ ระวังเรื่อง Security กันด้วย เพราะการเปิด Port ให้เข้าถึงจาก Internet โดยตรงมีความเสี่ยงที่จะถูกโจมตีจาก Hacker ได้

ถ้าต้องการเข้าถึงจากภายนอก แนะนำให้ใช้ VPN แทนครับ

โอเค... หลายครั้งลูกค้ายังมองภาพไม่ออกว่าการทำ Port Forward มันเกี่ยวข้องกับการโดน Hack อย่างไร

ลองนึกภาพว่าเรามี NAS หรือเครื่อง PC/Server อยู่ในสำนักงาน การทำ Port Forwarding ก็คล้ายกับการเปิดทางจากหน้าบ้านให้บุคคลภายนอกเข้ามาติดต่ออุปกรณ์พวกนี้ได้โดยตรง

จริงอยู่ ที่อุปกรณ์มีระบบ Authentication มี Username และ Password ป้องกันอยู่ แต่ระบบพวกนี้ก็มีโอกาสพบช่องโหว่ด้านความปลอดภัยได้เช่นกัน เหมือนที่เราเห็นข่าวประจำๆครับ

สมมติ..วันหนึ่ง อาจจะ AI, Hacker หรือใครก็แล้วแต่ ค้นพบช่องโหว่ใน Firmware หรือ Software Version ในอุปกรณ์ที่เราใช้งานอยู่ และช่องโหว่นั้นเปิดโอกาสให้ผู้โจมตีเข้าถึงอุปกรณ์ได้โดยไม่ต้องผ่านการ Login ตามปกติ ก็อาจทำให้อุปกรณ์ตกอยู่ในความเสี่ยงทันที

หลังจากนั้นทุกครั้งบริษัทผู้ผลิตก็จะออก Patch Firmware มาอุดช่องโหว่นั้นๆ

แต่..ถ้าเครื่องที่ Office เรา ไม่ได้มีใครตามข่าวขนาดนั้น ไม่ได้ Patch Firmware ตามชาวบ้านเขา

ลองคิดว่าถ้าเป็น NAS ที่เก็บ File งานของทั้งบริษัท แล้วผู้โจมตีสามารถเข้าไปได้ อาจเกิดการขโมยข้อมูล ลบไฟล์ หรือเข้ารหัสข้อมูลเพื่อเรียกเงิน

หรือถ้าเป็น Windows PC ที่เชื่อมต่อกับ Network ภายในสำนักงาน เมื่อผู้โจมตีเข้าควบคุมเครื่องได้ ก็อาจพยายามใช้เครื่องนั้นเป็นจุดเริ่มต้นในการเข้าถึง Server หรืออุปกรณ์อื่นภายใน Network ต่อไป

แม้แต่ CCTV หรือ NVR ก็เคยมีประกาศช่องโหว่ด้านความปลอดภัยจากผู้ผลิตเช่นกันครับ

ทดลอง Port Scanning จาก Internet

เพื่อให้เห็นภาพชัดขึ้น ผมจะทดลองใช้เครื่อง Windows ที่เชื่อมต่อ Internet อยู่ภายนอกสำนักงาน สมมติว่านั่งอยู่ที่ร้านกาแฟ แล้วลองตรวจสอบว่า Public IP ของ Office มี Port อะไรเปิดอยู่บ้าง

สำหรับการทดสอบครั้งนี้ ผมใช้ Router ทำ Port Forward ไปยังอุปกรณ์ในชุดทดลอง ได้แก่ Windows Remote Desktop, Synology NAS, Hikvision CCTV และ IP-PBX

เครื่องมือที่ใช้คือ Nmap โปรแกรมสำหรับตรวจสอบ Port และ Service ที่เปิดอยู่บน Network

แล้วผู้โจมตีรู้ Public IP ของเราได้อย่างไร?

มีหลายวิธีเลยครับ ที่จะหา Public IP เช่น การสแกนช่วง IP Address บน Internet, ข้อมูล DNS หรือข้อมูลที่อุปกรณ์และ Application เปิดเผยออกมา

อีกกรณีหนึ่งคือเครื่องภายในติด Malware จากการ Download App ที่ไม่น่าเชื่อถือ หรือการเปิด File และ Link ที่เป็นอันตราย

Malware อาจตรวจสอบ Public IP ของ Network ที่เครื่องใช้งานอยู่ แล้วส่งข้อมูลกลับไปยัง Server ของผู้โจมตีผ่านช่องทางที่เรียกว่า C2 (Command and Control)

ตัวอย่างคำสั่งง่าย ๆ ที่ผมใช้ตรวจสอบ Public IP เวลาทดสอบ Load Balancing ว่าตอนนี้เครื่องเราออก WAN ไหน

curl -4 -s https://api.ipify.org

แต่...การสแกน Port จากภายนอก มันเกิดขึ้นได้ตลอดเวลานะครับ ไม่จำเป็นต้องมี Malware อยู่ใน Office

และ

เครื่องที่ติด Malware ก็คุยกับ C2 Server ที่อยู่ภายนอกได้โดยตรง ไม่จำเป็นต้องผ่าน Port Forwarding เลยครับ มันมีท่าของมัน

ในบทความนี้ผมจะเน้นเรื่องการเปิด Port Forwarding ให้เข้าถึงอุปกรณ์ภายในจาก Internet ครับ ^^

ตรวจสอบมี Port อะไรเปิดอยู่บ้าง

Scan Port ปลายทางที่ Public IP ของ Office มีหลาย Port เปิดอยู่

• TCP 3389 — Microsoft Remote Desktop
• TCP 5555 — Web Service ที่ Forward ไปยัง Synology NAS
• TCP 8000 — Hikvision IPCam Control Port
• TCP 20002 — SIP Service ของ Yeastar IP PBX

แค่รู้ Public IP ก็ตรวจสอบได้แล้วว่ามี Service อะไรเปิดรับ Connection จากภายนอกบ้าง

ตรวจสอบ Windows Remote Desktop

ลองตรวจสอบ TCP Port 3389 ให้ละเอียดขึ้นอีก

Nmap สามารถระบุได้ว่าเป็น Microsoft Terminal Services หรือ RDP

ในการทดสอบเพิ่มเติม พบข้อมูลของเครื่อง Windows ที่ใช้ทดสอบ เช่น Computer Name SYSNET-PC-LAB2 และ OS Build 10.0.22621

ข้อมูลลักษณะนี้สามารถนำไปตรวจสอบต่อได้ว่า Windows Build หรือ RDP Service ที่ใช้งานอยู่มี Security Advisory หรือ มีช่องโหว่ที่เกี่ยวข้องหรือไม่

ตรวจสอบ Synology NAS

ลองตรวจสอบ TCP Port 5555 ที่ Forward ไปยัง Synology NAS

สามารถระบุได้ว่าเป็น Web Service ของ Synology

ลองเปิด Browser จาก Internet เข้าไปที่ Public IP และ Port ที่ Forward ไว้ ก็สามารถเข้าถึงหน้า Login ของ NAS ได้

ตรงนี้แหละ ที่ผมอยากให้ระวัง

เพราะหน้า Login ของ NAS เปิดให้บุคคลภายนอกเข้าถึงได้ หากไม่มีการจำกัด Source IP ก็อาจมีผู้พยายามเดา Password ใช้ Brute Force หรือทดสอบช่องโหว่ที่เกี่ยวข้องกับ Software Version ของ NAS

ตรวจสอบ CCTV

ลองตรวจสอบ TCP Port 8000 ที่ Forward ไปยังอุปกรณ์ Hikvision

Nmap ระบุ Service ได้ถูกต้อว

Hikvision IPCam control port

แม้ยังไม่ทราบ Model หรือ Firmware Version แต่ก็ทราบแล้วว่ามี Service ของ Hikvision เปิดรับ Connection จาก Internet อยู่

หากต้องการประเมินความเสี่ยงอย่างละเอียด ก็ต้องตรวจสอบรุ่นและ Firmware ที่ใช้งานจริง แล้วนำไปเปรียบเทียบกับ Security Advisory ใน Website ของผู้ผลิตครับ

ลองทดสอบ Remote Desktop

ลองเปิด Remote Desktop Connection จากภายนอก เข้าไปยัง Public IP และ TCP Port 3389 ที่ Forward ไว้

เราสามารถเข้าถึงขั้นตอน Authentication ของ Windows ได้

Hacker อาจใช้ RDP Client หรือเครื่องมืออื่นๆในการพยายามเข้าสู่ระบบ เช่น ทดลอง Username/Password หรือทดสอบช่องโหว่ของ RDP Service

ถ้า Hacker เข้าควบคุม Windows ได้สำเร็จ ก็อาจพยายามติดตั้ง Malware เพิ่มเติม ทำการสำรวจ Network ภายในและเข้าถึงเครื่องอื่นๆต่อ ขึ้นอยู่กับ Permission, Account และการกำหนด Security ภายใน Network

เรื่อง Port Scanning และการโจมตีขอเกริ่นเท่านี้ก่อนนะครับ รายละเอียดยังมีอีกเยอะมาก

เปลี่ยนมาใช้ VPN เพื่อเข้าถึง Network สำนักงาน

คือต้องการเข้าถึง Service ใน Office จากภายนอก และไม่ทำ Port Forward?

วิธีที่ผมแนะนำใช้ VPN (Virtual Private Network) ครับ

กลับมาเปรียบเทียบกับบ้านของเราอีกครั้ง

NAS, Server และ Computer อยู่ในบ้านไม่ให้ใครเดินมาเข้าถึงอุปกรณ์ได้แล้ว แต่เราจะสร้างช่องทางเชื่อมต่อที่มีการเข้ารหัสและตรวจสอบ Permission สำหรับผู้ที่ได้รับอนุญาต

เมื่อเชื่อมต่อ VPN สำเร็จ ผู้ใช้งานก็สามารถเข้าถึงอุปกรณ์ภายใน Network ตามสิทธิที่กำหนดไว้

เดี๋ยวนี้ VPN เป็น Feature พื้นฐานของ Router หลายรุ่นแล้วครับ ความแตกต่างก็จะอยู่ที่รูปแบบ VPN, VPN Throughput, การตั้งค่า และการบริหารจัดการผู้ใช้งาน

Router บางรุ่นมี VPN Throughput หลักสิบ Mbps บางรุ่นรองรับได้หลายร้อย Mbps หรือสูงกว่านั้น ขึ้นอยู่กับรุ่นอุปกรณ์และ VPN Protocol ที่ใช้

Omada Fusion LightLink VPN และ APP Navi

บทความนี้ผมจะทดลองใช้ LightLink VPN บน Omada Fusion Gateway และใช้แอป Navi เป็น VPN Client สำหรับเชื่อมต่อจากภายนอก

LightLink VPN เป็นชื่อ Solution Remote Access VPN ของ Omada ซึ่งออกแบบให้ Client เชื่อมต่อเข้ามาได้สะดวก ไม่ต้อง Config ที่ Client ให้ยุ่งยาก

ฝั่ง Admin เพียงเข้าไปที่เมนู LightLink VPN แล้ว Enable Feature

จากนั้นสร้าง Invitation Link หรือส่ง Invitation ผ่าน Email ให้ผู้ใช้งาน

ควรมีการกำหนด Access Control ให้ผู้ใช้งาน VPN เข้าถึงเฉพาะ Network หรืออุปกรณ์ที่จำเป็นด้วยครับ (Access Control List)

เชื่อมต่อ VPN ผ่าน Navi

ฝั่ง Client ติดตั้งแอป Navi แล้วนำ Invitation Link ที่ได้รับมาใส่เข้าไปใน App จากนั้นกด Connect

เมื่อเชื่อมต่อสำเร็จ แสดงสถานะ VPN Connection

แค่นี้เองครับ เชื่อมต่อ VPN ไปยัง Office ได้แล้ว

Split Tunnel และ Full Tunnel ต่างกันอย่างไร?

ขออธิบายเรื่อง Tunnel Mode นิดนึง เพราะมีผลกับเส้นทางของ Traffic และการใช้งาน Internet ของ Client

Split Tunnel

Traffic ที่ต้องการเข้าถึง Resource ภายในสำนักงาน เช่น NAS, Server หรือ Remote Desktop จะวิ่งผ่าน VPN Tunnel

ส่วน Traffic ที่เข้าใช้งาน Internet ทั่วๆไป เช่น YouTube, Google หรือ Website ต่าง ๆ ยังคงออก Internet ผ่าน ISP ที่ Client กำลังใช้งาน

เหมาะสำหรับผู้ที่ต้องการเข้าถึง Resource ในสำนักงาน โดยไม่จำเป็นต้องส่ง Traffic Internet ทั้งหมดผ่าน VPN

Full Tunnel

Traffic ของ Client ทั้งการเข้าถึง Network สำนักงานและการใช้งาน Internet จะถูกส่งผ่าน VPN Tunnel ไปยังสำนักงานตามการตั้งค่า

เหมาะสำหรับกรณีที่ต้องการให้ Client ออก Internet ผ่าน Public IP ของสำนักงาน หรือต้องการให้ Traffic ผ่านระบบ Firewall และ Security Policy ของสำนักงาน

แต่ต้องพิจารณา Internet Bandwidth ของสำนักงานด้วย เพราะ Traffic ของผู้ใช้ VPN จะใช้ Bandwidth ของสำนักงานเพิ่มขึ้น

ทดสอบ VPN Throughput

ทดสอบความเร็วการรับส่งข้อมูลผ่าน LightLink VPN

ได้ความเร็วประมาณ 145 Mbps

สำหรับการ Remote Desktop หรือเข้าใช้งาน NAS ถือว่าเพียงพอกับงานหลายประเภทแล้วครับ

อย่างไรก็ตาม ความเร็วจริงขึ้นอยู่กับ Internet ทั้งสองฝั่ง, Performance ของ Router ฝั่ง Client, Client และสภาพ Network ขณะใช้งาน

ทดสอบ Remote Desktop ผ่าน VPN

ตัวอย่างเช่น เปิด Remote Desktop แล้วใส่ IP Address ในวง LAN ภายใน Office

ใช้งานได้ตามปกติ

ส่วน NAS หรืออุปกรณ์อื่น ๆ ก็สามารถเข้าถึงผ่าน IP ภายในได้เช่นกัน หาก Routing และ Access Control อนุญาต

ปิด Port Forwarding แล้วทดสอบ

เมื่อเปลี่ยนมาใช้งาน VPN ได้เรียบร้อยแล้ว Port Forwarding เดิมก็ควรปิดครับ

ผมลองปิด NAT Rule ที่ใช้ Forward ไปยัง Windows RDP, Synology NAS และ Hikvision CCTV จากนั้นใช้ Nmap สแกน Public IP จากภายนอกอีกครั้ง

จากผลการทดสอบ ไม่พบ Service เดิมที่เปิดให้เข้าถึงจาก Internet โดยตรง

สำหรับสถานะของ Nmap มีความหมายดังนี้

• open — มี Service รับ Connection ที่ส่งไป
• closed — Port ยังเข้าถึงได้ แต่ไม่มี Service รับ Connection ปิดประตูนั้นละครับ
• filtered — Nmap ยืนยันไม่ได้ว่า Port เปิดหรือปิด เนื่องจาก Packet Filtering ไม่ได้รับการตอบ

การปิด Port Forwarding ช่วยลดช่องทางที่บุคคลภายนอกสามารถเข้าถึง Service ภายในได้โดยตรง แต่ควรตรวจสอบ Firewall Policy และ Remote Access ช่องทางอื่นที่ยังเปิดใช้งานอยู่ด้วย

สรุป

เรื่อง Security ผมคิดว่าการป้องกันไว้ก่อน ช่วยลดปัญหาที่ต้องตามแก้ภายหลังได้มากครับ 

โดยเฉพาะอุปกรณ์สำคัญในสำนักงานอย่าง NAS, Server, Windows PC และ CCTV ควรหลีกเลี่ยงการเปิด Management Service ให้ Internet เข้าถึงโดยตรง หากไม่มีความจำเป็น

ยอมสละเวลาตั้งค่า VPN และกำหนด Permission ผู้ใช้งานให้เรียบร้อยตั้งแต่แรก จะช่วยลดความเสี่ยงจากการเปิด Port Forwarding ได้มาก

สำหรับ Omada Fusion LightLink VPN ที่ทดลองครั้งนี้ การ Config ทำได้ไม่ยุ่งยาก ผู้ดูแลสร้าง Invitation Link ส่วนผู้ใช้งานติดตั้ง Navi แล้วเชื่อมต่อได้เลย

หากต้องการเลือก VPN Router ให้เหมาะกับจำนวนผู้ใช้งานและความเร็ว Internet ของสำนักงาน สอบถามทางร้าน SysNet Center ได้ครับ ^^