-ทำการเปิด Web Browser และ Login เข้าใช้งาน

(หากใครยังไม่มี Account ให้ทำการสมัครก่อนโดยคลิ๊กที่ Sign up)

https://cloud-as.ruijienetworks.com/sso/login?service=https%3A%2F%2Fcloud-as.ruijienetworks.com%2Fadmin3%2F 

-คลิ๊กที่ Configuration และ Add Project เพื่อสร้างโปรเจคใหม่สำหรับบริหารจัดการอุปกรณ์ครับ

-ทำการใส่ชื่อ Project ตั้ง Management Password สำหรับเข้าจัดการอุปกรณ์ใน Local Network ทำการเลือก Scenario ที่ใช้งาน และเลือก Time zone ให้ตรง จากนั้นคลิ๊ก Next

-ระบบจะให้เราตั้งชื่อ SSID และกำหนด Password เสร็จแล้วกด Save & Next 

-ระบบจะพาเรามายังหน้า Add Device ตรงนี้ถ้าเรามีอุปกรณ์สามารถ Add SN เข้าคลาวน์ได้เลย โดยกรอก SN และตั้งชื่อให้อุปกรณ์เสร็จแล้วกด Save & Next

-ระบบจะแจ้งว่าทำการ Create Project เสร็จแล้ว ให้ทำการปิดหน้าต่างไปก่อนครับ ระหว่างนี้ให้ทำการเปิดและต่ออุปกรณ์ของเราให้ได้รับ IP Address และออกอินเตอร์เน็ตให้เรียบร้อยครับ เพื่อให้อุปกรณ์Sync ข้อมูลจากคลาวน์ไปครับ

-หลังจากนั้นให้เราไปยัง Project ที่เราเพิ่งสร้างใหม่ โดยคลิ๊กที่ Dashboard ใน Project List 

-หน้าตา Dashboard ของโปรเจคจะประมาณนี้ครับ หากเราต้องการเช็คสถานะของอุปกรณ์ก็ให้คลิ๊กไปที่อุปกรณ์ที่เราต้องการจะเช็คสถานะครับ

-หากอุปกรณ์ออนไลน์และSync config เสร็จแล้วจะขึ้นสถานะ Online และ Synchonized ครับ

-หากเราต้องการปรับตั้งค่า WiFi เพิ่มเติมสามารถทำได้โดยไปที่ Configuration --- Wireless --- Basic โดยสังเกตที่ชื่อProject Name ในหน้านี้เราสามารถที่จะลบหรือเพิ่ม SSID ได้ตามต้องการ หรือจะเข้าไป Tagged VLAN ที่ SSID ก็สามารถทำได้ครับ โดยเมื่อตั้งค่าเสร็จให้กดปุ่ม Save ที่มุมขวามือด้านบนครับ

-หรือถ้าเน็ตเวิร์คของเรามีหลายวงหรือมีการแบ่ง VLAN เราสามารถ ใส่VLAN ID เข้าไปได้เลยในการตั้งค่า SSID ตามตัวอย่างด้านล่างนี้ได้เลยครับ

-หรือถ้าหากเราต้องการปรับ Setting ในส่วนของ Radio Channel และ กำลังส่ง(Tx Power) สามารถเข้าไปปรับได้ในเมนู Radio ได้เลยครับ ก็ขอจบการแนะนำการใช้งานแต่เพียงเท่านี้ก่อนครับ ขอบคุณครับ

-เข้าอุปกรณ์ผ่านคลาวน์ แล้วทำการเข้าไปที่ตัวอุปกรณ์

1.คลิ๊กเพื่อทำการตั้งค่า

2.จากนั้นคลิ๊กที่พอร์ตที่ต้องการจะตั้งค่า ตรงนี้เราสามารถที่จะตั้งค่าทีละหลายๆพอร์ตพร้อมกันได้ด้วยนะครับ

3.ปรับ Speed Port เป็น 10M (ในโหมดนี้จะสามารถรับส่งข้อมูลได้สูงสุดที่10M ครับ)

4.กด Save

-หลังจากที่อุปกรณ์รับค่าเสร็จ จะเห็นได้ว่าสามารถรับส่งข้อมูลจากกล้องที่ระยะสาย LAN เกินกว่า 100 Meter ได้แล้วครับ ให้เราทำการลองทดสอบ Ping Test หรือลองดึงภาพจากกล้องขึ้นมาดูครับ เสร็จสิ้นการตั้งค่าครับ

Diagram การเชื่อมต่ออุปกรณ์

    การทำ Load balance บน Ruijie Gateway
    1. เข้ามาที่หัวข้อ Network
    2. เลือกหัวข้อ Route/Load
    3. เลือก Load Balance
    4. กด Enable
    5. เลือก Custom Interface Weight

               6. เลือก Interface WAN ที่ต้องการ

          7. ใส่น้ำหนักของ WAN ที่ต้องการ โดยให้ใส่เป็นอัตราส่วนตามที่ต้องการ หากต้องการให้ WAN ที่เลือกออกอินเตอร์เน็ตมากกว่า ให้ใส่ในอัตราส่วนที่มากกว่า หากต้องการให้ WAN ที่เลือกออกอินเตอร์เน็ตน้อยกว่า ให้ใส่ในอัตราส่วนที่น้อยกว่า หรือหากให้ออกอินเตอร์เน็ตเท่ากัน ให้ใส่ในอัตราส่วนที่เท่ากัน (ในที่นี้จะใส่ในอัตราส่วนที่เท่ากัน)

          8. กด Add

           9. เลือก Interface WAN อื่นที่ต้องการ

          10. ทำการใส่น้ำหนัก

          11. กด Add

เมื่อทำการตั้งค่าเสร็จเรียบร้อยจะขึ้นสถานะดังรูป

12. ทำการกด Save

ตัวอย่างที่ 1 ต้องการให้ออกอินเตอร์เน็ตในอัตราส่วนที่เท่ากัน

          กรณีที่มีอินเตอร์เน็ต WAN 1 ที่ความเร็ว 1000 Mbps และมี WAN 2 ที่ความเร็ว 500 Mbps ต้องการให้ออกอินเตอร์เน็ตในอัตราส่วนที่เท่ากันจะต้องตั้งค่าดังนี้

          ให้เลือก WAN 1 เป็นน้ำหนัก 1 หรือจะใส่ตามความเร็วอินเตอร์เน็ต (1000) ก็ได้

ให้เลือก WAN 2 เป็นน้ำหนัก 1 หรือจะใส่ตามความเร็วอินเตอร์เน็ต (500) ก็ได้

เมื่อตั้งค่าเสร็จเรียบร้อยจะขึ้นสถานะดังรูป

ตัวอย่างที่ 2 ต้องการให้ออกอินเตอร์เน็ตในอัตราส่วนที่ต่างกัน

          กรณีที่มีอินเตอร์เน็ต WAN 1 ที่ความเร็ว 1000 Mbps และมี WAN 2 ที่ความเร็ว 500 Mbps ต้องการให้ WAN 1 ออกอินเตอร์เน็ตในอัตราส่วนที่มากกว่า WAN 2 จะต้องตั้งค่าดังนี้

          ให้เลือก WAN 1 เป็นน้ำหนัก 2  

ให้เลือก WAN 2 เป็นน้ำหนัก 1

เมื่อตั้งค่าเสร็จเรียบร้อยจะขึ้นสถานะดังรูป

-ทำการเปิดอุปกรณ์ทั้ง2ตัว และต่ออุปกรณ์ฝั่งที่เป็นRecorderเข้ากับเน็ตเวิร์คที่มีการแจกไอพีให้เรียบร้อย และเช็คให้มั่นใจว่าอุปกรณ์ได้รับไอพีและเชื่อมต่อกับอินเตอร์เน็ตเรียบร้อย ส่วนอุปกรณ์ฝั่ง Camera End ให้เปิดไว้โดยไม่ต้องต่อสายอัพลิ้ง เพื่อทดสอบการเชื่อมต่อ หากสามารถเชื่อมต่อกันได้ ไฟ LED Signal จะขึ้นติดค้างทั้งสองฝั่งครับ (โดยปกติแล้ว EST series เมื่อเปิดอุปกรณ์มาจะสามารถใช้งานได้เลยอุปกรณ์ทั้งสองตัวจะจับคู่กันเองโดยไม่ต้อง Setting เพิ่มเติมครับ)

-หลังจากนั้นให้ทำการเปิดแอพพลิเคชั่น Ruijie Cloud และทำการ Create a Project และเลือกเชื่อมต่อในรูปแบบ Connect to wifi (ในที่นี้ใครจะใช้แบบ Scan QR-codeก็ได้แล้วแต่สะดวกครับ)

-เลือกการใช้งานในรูปแบบของ Wireless Bridge และกด Start

-จากนั้นแอพพลิเคชั่นจะให้เราเกาะไวไฟของตัวอุปกรณ์เพื่อนำอุปกรณ์ขึ้นคลาวน์ครับ ชื่อไวไฟค่าโรงงานจะเป็น @ruijie-b ต่อท้ายด้วย Mac Address ของอุปกรณ์4ตัวสุดท้าย  จากนั้นทำการเชื่อมต่อ เสร็จแล้วกดย้อนกลับ

-Application จะทำการตรวจสอบอุปกรณ์ภายในเน็ตเวิร์ค หลังจากสแกนเสร็จจะขึ้นแบบนี้ ให้ทำการกด Next เพื่อไปยังขั้นตอนต่อไป

-หลังจากนั้นระบบจะให้เราตั้ง Password สำหรับการเข้าตั้งค่าอุปกรณ์ และให้ตั้งชื่อ โปรเจค ของเรา เสร็จแล้วกด Save

-ก็จะเสร็จสิ้นขั้นตอนการ แอดอุปกรณ์ขึ้นคลาวน์ผ่านแอพ เมื่อกด View Project ระบบจะให้ตั้งค่า Country ที่เราใช้งาน จากนั้นกด Next

-ระบบก็จะแจ้งเตือนให้เราตั้ง Password สำหรับ Bridge WIFI ด้วย ให้เราเข้าไปตั้งPasswordให้เรียบร้อย

-หลังจากที่เราตั้ง Password เสร็จข้อความแจ้งเตือนก็จะหายไป หากเราต้องการดูสถานะลิ้งโดยละเอียดให้ทำการ คลิ๊กไปที่ View More

-ในหน้านี้ก็จะแสดงข้อมูลต่างๆ ทั้งเรื่องคุณภาพสัญญาณ และความเร็วที่สามารถรับส่งได้ครับ ขอจบการแนะนำการตั้งค่า EST350v2  ขึ้นคลาวน์แต่เพียงเท่านี้ครับ ขอบคุณครับ

          การทำ Authentication แบบ Captive Portal ของ Access Point Reyee นั้นจำเป็นจะต้องใช้งานร่วมกับ Gateway RG-EG Series ของ Ruijie หรือ Reyee โดยมีขั้นตอน ดังนี้

          1. สร้างหน้า Captive Portal และเลือกรูปแบบการทำ Authentication

          2. Synchronize เข้ากับ Gateway

          3. สร้าง Account หรือ Voucher ตามรูปแบบที่เลือก

          4. ผูก Captive Portal เข้ากับ SSID

การสร้างหน้า Captive Portal

          1. เข้าไปที่เว็บไซต์ https://cloud-as.ruijienetworks.com

          2. เข้ามาที่หัวข้อ Configuration

          3. เลือกหัวข้อ Captive Portal

          4. กด Add

          5. ระบุรายละเอียด และเลือกรูปแบบการ Authentication

                   - One-Click Login: จะเป็นการกดปุ่ม 1 ครั้งที่หน้าเว็บเพื่อทำการ Login ใช้งาน WIFI

                   - Voucher: เป็นการ Login โดยใช้รหัสตามที่ Cloud ทำการ generate มาให้

                   - Account: เป็นการ Login ผ่าน Account ที่กำหนดไว้

                    - Facebook Account: เป็นการ Login ผ่าน Facebook (ปิดปรับปรุงอยู่ ณ ปัจจุบัน)

                   - SMS: เป็นการ Login โดยใช้รหัสที่ได้จาก SMS (การ Login แบบนี้จะต้องใช้ SMS Gateway เข้าร่วม อาจเสียค่าบริการเพิ่มเติม)

          6. ตกแต่งหน้า Captive Portal

          7. กด OK

การ Synchronize หน้า Captive Portal เข้ากับ Gateway

          8. กดที่คำว่า Synchronize

          9. เลือกหน้า Captive Portal ที่ได้ทำการสร้างไว้

          10. กด OK

          11. กลับไปที่หัวข้อ Monitoring

          12. กดที่หัวข้อ Gateway

          13. กดที่ SN ของอุปกรณ์

          14. เข้าไปที่ eWeb ของ Gateway

          15. กดที่ Open with Domain (Recommended)

          16. เมื่อเข้ามาที่ eWeb ของ Gateway แล้ว ให้เข้ามาที่หัวข้อ User

          17. เลือก Local Auth

          18. ทำการ Enable Local Sever Auth

          19. ทำการ Enable Auth Integration with Cloud เพื่อใช้ Template Captive Portal ที่ได้สร้างไว้บน Cloud

          20. กด Add Policy

          21. เลือก Portal Template เป็น Cloud Template

          22. กำหนดชื่อ Policy

          23. กำหนด IP Address ที่ต้องการทำหน้า Captive Portal

          24. กด Save

          25. เมื่อตั้งค่า Policy เสร็จแล้ว จะแสดงสถานะดังรูป

การสร้าง Account

          26. กลับไปที่หัวข้อ Configuration

          27. เลือกหัวข้อ Account

          28. กดที่คำว่า Manage Profile

          29. ระบุรายละเอียดที่ต้องการ

          30. กด OK

          31. เมื่อสร้างโปรไฟล์เสร็จเรียบร้อยจะแสดงสถานะดังรูป

          32. กดที่คำว่า Account

          33. กด Add Account

          34. กดที่ Add an Account

          35. ระบุ Username Password และ เลือก Profile ที่ต้องการ

          36. กด Save

          37. เมื่อเพิ่ม Account แล้วจะแสดงสถานะดังรูป

การสร้าง Voucher

          38. กลับไปที่หัวข้อ Configuration

          39. เลือกหัวข้อ Voucher

          40. กดที่คำว่า Manage Package

          41. กด Add Package

          42. ระบุโปรไฟล์ที่ต้องการ

          43. กด OK

          44. เมื่อสร้าง Profile เสร็จเรียบร้อยจะแสดงดังรูป

          45. เมื่อสร้าง Voucher เสร็จเรียบร้อยให้ทำการกด Print Voucher

          46. กำหนดจำนวน Profile ที่ต้องการ และ ตกแต่งให้ Voucher

          47. กด Print เพื่อทำการพิมพ์ Voucher หรือกด Cancel เพื่อพิมทีหลัง

48. เมื่อกลับมาที่หน้า Cloud รหัส Voucher จะแสดงดังรูป

การผูก Captive Portal เข้ากับ SSID

          49. เข้ามาที่หัวข้อ Configuration

          50. เลือกหัวข้อ Basic

          51. กดที่รูปดินสอใน SSID ที่ต้องการ

          52. ทำการ Enable ที่ Auth

          53. เลือก Mode เป็น Captive Portal

          54. Enable Seamless Online เพื่อให้ผู้ใช้งาน WIFI ที่ทำการ Authentication ไปแล้ว ไม่ต้องทำการ Login ใหม่ หลังจาก Offline เมื่อกลับมาใช้งาน WIFI สามารถใช้งานได้เลย โดยสามารถเลือกระยะเวลาที่ต้องการได้ หากต้องการให้ผู้ใช้งาน Login WIFI ใหม่ทุกครั้ง ให้ทำการ Disable Seamless Online

          55. เลือก Template ที่ต้องการ

          56. กด OK

          57. กด Save

ตัวอย่างหน้า Authentication แบบ Account บนโทรศัพท์มือถือ

        สำหรับบทความนี้จะพูดถึงการตั้งค่า Mikrotik ในส่วนของ Log Traffic โดยส่ง Log บนตัวอุปกรณ์ Mikrotik ไปยัง Log Server ( บทความนี้จะไม่พูดถึงขั้นตอนการตั้งค่าส่วนอื่นๆ )

 1. IP > Firewall > Filter Rules หลังจากนั้นกด + เพื่อเพิ่ม Rule Firewall ขึ้นมา

กำหนดค่าดังนี้
- Chain: forward <<<< กำหนดรูปแบบการวิ่งของ Traffic ที่ผ่านตัวอุปกรณ์ Mikrotik (แนะนำให้ศึกษาอีกครั้ง)
- Protocol: 6 (tcp) <<<< กำหนดชนิด Protocol
- Dst. Port: 80,443 <<<< เลือก Port ที่ต้องการ Filter
- Out. Interface: InterfaceWAN <<<< โปรดระบุ WAN ที่ใช้ออก Internet

2. ในส่วนของการตั้งค่า Log ให้เข้าไปที่ System > Logging จากนั้นให้เข้าไปที่ส่วน Menu Actions ก่อน
หลังจากนั้นกด + เพื่อเพิ่ม

กำหนดค่าดังนี้
- Name: syslog <<<< ตั้งชื่อให้กับ Action Log (แนะนำตั้งชื่อที่สอดคล่องถึงการใช้งาน)
- Type: remote <<<< ชนิดของประเภท Log
- Remote Address: 192.168.xxx.xxx <<<< IP Address ของ Log Server
- Remote Port: 514 <<<< UDP Port ของ Log Server ในคู่มือนี้ Log Server เป็น Port 1514

เมื่อตั้งค่าเสร็จแล้ว ให้กลับมาที่ Menu Rules หลังจากนั้นกด + เพื่อเพิ่ม Rule

กำหนดค่าดังนี้
- Topics: firewall <<<< ระบุ Topics หลักเวลาแสดงผล
- Prefix: ____ <<<< สามารถระบุค่า Prefix นำหน้าของข้อมูล Log ขึ้นมาได้
- Action: syslog <<<< เลือกชื่อ Actions Rule ที่สร้างมาก่อนหน้านี้เพื่อเรียกใช้งาน

3. ตรวจสอบ Log บน Mikrotik ในแถบ MenuWinbox > Log

ตรวจสอบ Log บน Log Server จะเห็นข้อมูล Log ที่ถูกส่งเข้ามา (บทความนี้ ใช้งาน Log Server เป็น Graylog)

1. ทำการเชื่อมต่อ Printer ของเราไปที่ Draytek Router ด้วย USB Port  

2. เข้าไปที่ Draytek >> USB Device Status ตรวจสอบว่า Printer ของเราทำการเชื่อมต่อแล้วหรือยัง  

3. ไปที่ USB General Settings และทำการตั้งค่าดังนี้  

3.1 ทำการ Enable ที่ส่วนของ Printer Server  

3.2 กด OK เพื่อบันทึกการตั้งค่า   (เพิ่มเติมโดยในส่วนนี้เราสามารถต้องค่า Draytek Router เป็น File Server ได้ด้วยเช่นกัน)

4. ทำการ Add Printer บนตัว PC/Laptop ของเรา ทำตามขั้นตอนดังนี้  

4.1 กดปุ่ม Start/Windows แล้วพิม Printer & scanners    

 4.2 กด Add a printer or scanner เพื่อเพิ่ม Printer ของเรา  

4.3 เลือกเพิ่มเป็นรูปแบบของ TCP/IP  

4.4 ระบุ IP address ของ Router  

4.5 เลือกเป็น Custom และ กด Settings  

4.6 ทำการตั้งค่า Protocol เป็น LPR  

4.7 ทำการระบุรุ่นของ Printer ของเรา จากนั้นกด Next  

4.8 เลือก Use the driver that is currently installed จากนั้นกด Next  

4.9 ระบุชื่อ Printer ของเราจากนั้นกด Next  

4.10 กด Finish เป็นอันเสร็จสิ้นครับ

5.(เพิ่มเติม) Printer Queue สามารถดูได้ที่ USB Application >> USB Device Status >> Printer

Network Diagram

1. เข้าหน้า Config ด้วย CLI (บน Ruijie Cloud) โดยไปที่ Device >> AP
          1.1 เลือก AP ที่เราต้องการ config
          1.2 กด ที่ Web CLI

          1.3 หลังจากกด Web CLI จะมีหน้าต่างขึ้นมาให้เรากดที่ Web CLI (กรอบสีเหลือง)
          1.4 กด Web CLI ที่กรอบสีฟ้าอีกรอบ หลังจากนั้นสามารถพิม command ได้ที่ กรอบสีแดงด้านล่าง

2. ชุดคำสั่งสำหรับ Config VLAN บน Ruijie AP

พิมคำสั่งตามนี้

enable

Ruijie#configure terminal

(คำอธิบาย) Config Trunk Port บน AP

Ruijie(config)#interface GigabitEthernet 0/1.10

Ruijie(config-subif-GigabitEthernet 0/1.10)#encapsulation dot1Q 10

Ruijie(config-subif-GigabitEthernet 0/1.10)#exit

Ruijie(config)#interface GigabitEthernet 0/1.20

Ruijie(config-subif-GigabitEthernet 0/1.20)#encapsulation dot1Q 20

Ruijie(config-subif-GigabitEthernet 0/1.20)#exit

(คำอธิบาย) ต้องสร้าง Sub interface สำหรับ VLAN โดยใช้คำสั่ง
interface GigabitEthernet 0/1(Port ที่เราต้องการทำ Trunk) . (interface ของ VLAN)
ตัวอย่าง interface GigabitEthernet 0/1.10 - เป็นการสร้าง Sub interface สำหรับ VLAN 10

ใช้คำสั่ง Encapsulation dot1Q (ตามด้วย VLAN ID) – ใช้ในการ Tag VLAN
ตัวอย่าง Encapsulation dot1Q 10 - เป็นการ Tag VLAN 10

(คำอธิบาย) Config Access Port บน AP Ruijie

Ruijie(config)#interface GigabitEthernet 0/2

Ruijie(config-if-GigabitEthernet 0/2)#encapsulation dot1Q 10

Ruijie(config-if-GigabitEthernet 0/2)#exit

Ruijie(config)#interface GigabitEthernet 0/3

Ruijie(config-if-GigabitEthernet 0/3)#encapsulation dot1Q 20

Ruijie(config-if-GigabitEthernet 0/3)#exit

(คำอธิบาย) เข้าไปที่ interface ที่เราต้องการ config access port โดยใช้คำสั่ง
Interface GigabitEthernet 0/(portที่เราต้องการ)
ตัวอย่าง interface GigabitEthernet 0/2 – เข้าไปตั้งค่าที่ port GigabitEthernet 2
ใช้คำสั่ง encapsulation dot1Q (ตามด้วย VLANID) ใช้ในการ Tag VLAN หรือกำหนด Port VLAN Access
ตัวอย่าง Encapsulation dot1Q 10 – เป็นกำหนด Port Access VLAN 10

(คำอธิบาย) ใช้คำสั่ง wr สำหรับ save config

Ruijie(config)#exit

Ruijie#wr

Building configuration..

[OK]

Ruijie#

        หนึ่งใน Feature บน ecCloud นั้นได้อัพเดท Feature ขึ้นมาชื่อว่า Perform ping test เพื่อให้อุปกรณ์ Access Point ที่ Online บน ecCloud นั้นสามารถใช้งาน Ping ได้ (ในกรณีที่ไม่สามารถ Remote/VPN/อื่นๆ เข้าไปยัง Site ผ่าน Gateway ได้) หากเราต้องการ Ping ไปยังอุปกรณ์อื่นๆในระบบในกรณีที่อุปกรณ์ปลายทางนั้นไม่สามารถเข้าถึงได้ หรืออยากตรวจสอบมีอุปกรณ์ดังกล่าว Online อยู่ในระบบจริงหรือไม่ เช่น IP Camera, Printer เป็นต้น

ภาพตัวอย่างการเข้าใช้งาน Feature Perform ping test ผ่าน ecCloud

สำหรับหน้า Ping test สามารถ ระบุ Host รวมไปถึง ขนาดของ Packet size และ Count ได้ด้วย

Release Note : https://blog.ignitenet.com/recent-cloud-updates-21

1. ไปที่ VPN and Remote Accesss >> Remote Dial-in User ทำการเลือก Index ที่ยังไม่มีการใช้งาน

2. ทำการตั้งค่า Index user account ดังนี้

          2.1 ทำการ Enable this account
          2.2 เลือกประเภท VPN เป็น IPsecTunnel – IKEv1/IKEv2
          2.3 (ส่วนตั้งค่าเพิ่มเติม) หากต้องการให้ VPN Client ได้รับ IP จาก LAN Subnet ใดให้เลือกที่จุดนี้
          2.4 กด OK เพื่อ Save

3. ไปที่ VPN and Remote Access >> IPsec General Setup

          3.1 ทำการระบุ IPsec General Pre-Shared Key
          3.2 ระบุ Pre-Shared Key ส่วนนี้สำหรับ IPsec XAuth
          3.3 ระบุ OK เพื่อ Save

การตั้งค่าบน Smart VPN Client

4. ทำการเปิดโปรแกรม Smart VPN Client และตั้งค่าดังนี้

          4.1 ไปที่ Profiles
          4.2 ทำการกดปุ่ม Add เพื่อเพิ่ม Profile VPN

5. ตั้งค่า Profile

          5.1 ระบุชื่อ
          5.2 เลือกประเภท VPN เป็น IPsec Tunnel
          5.3 ระบุ IP WAN หรือ DDNS ของ Draytek
          5.4 กด IP Property เพื่อตั้งค่า Remote subnet
          5.5 กด Advanced Options เพื่อตั้งคา Pre-Shared Key

          5.6 ระบุ IP และ Subnet Mask ของ Draytek ของเรา
          5.7 ระบุ Pre-Shared Key ที่เรากำหนดไว้
          5.8 กด OK เพื่อ Save

6. ทดสอบใช้งาน
          6.1 เลือก Profile VPN ที่เราต้องการใช้งาน
          6.2 กด Active เพื่อทำการเชื่อมต่อ

          6.3 (หากลืมกรอก Pre-Shared Key สามารถกรอกที่ส่วนนี้
          6.4 กด OK

VPN Status

ผู้ดูแลระบบสามารถตั้งค่า Mode Sleep LED ได้ 2 วิธีดังนี้

1. สามารถจัดการผ่าน Web CLI ได้เลย

2. สามารถจัดการผ่าน Serial Console Port ที่อยู่บน Access Point Ruijie Series 

และคำสั่งใช้งานสามารถตั้งค่าตามได้ดังนี้

เข้าสู่โหมด config ก่อน

ด้วยคำสั่งAP720-L#configure terminal

หลังจากเข้าสู่โหมด Config สามารถใช้คำสั่งด้านล่างเพื่อตั้งค่า
AP720-L(config)#schedule session 1
AP720-L(config)#schedule session 1 time-range 1 period Sun to Sat time 12:00 to 11:59
AP720-L(config)#schedule session 1 time-range 2 period Sun to Sat time 11:59 to 12:00
AP720-L(config)#quiet-mode session 1

ขั้นตอนสุดท้ายอย่าลืม write เพื่อ Save Running Config ครับ

AP720-L(config)#exit
AP720-L#write

แนะนำการตั้งค่าผ่าน Web CLI

1. ไปที่ Menu MONITORING > DEVICE (AP) > จากนั้นคลิ๊กไปที่ SN ของ Device นั้นๆ

 2. จะมีหน้าต่าง Detail ของ Device ขึ้นมา ให้เลื่อนหาคำว่า Web CLI แล้วคลิ๊กเข้าไป

3. เมื่อหน้าต่าง Web CLI เด้งขึ้นมาให้ เราคลิ๊กในส่วนของ เมนูซ้ายมือ ที่ชื่อ Web CLI  บริเวณซ้ายมือ

4. และจะแสดงหน้าต่างในส่วนของ Command Line ผ่าน Web CLI ใน Command นี้เราสามารถตั้งค่าหรือดูค่าต่างๆด้วยการพิมพ์ Command อื่นๆเพิ่มเติมได้เลย

5. พิมพ๋ Command ตาม Pattern ด้านบน จากนั้น Status LED จะถูกปิดลง (ตัวอย่างดังกล่าวจะตั้งค่า Schdule 2 Profile เนื่องจาก เราไม่สามารถระบุเวลาปิดตั้งแต่เวลา ครบ 24 ชม ได้ เช่น 00:00 - 23:59 และ 23:50 - 00:00 )

Result

Before ก่อนการกำหนดค่า

After หลังจากตั้งค่า จะเห็นได้ว่า LED ดับไปแต่อุปกรณ์ Access Point ยังคงทำงานได้ปกติ

Trick แนะนำ พี่ๆเพื่อนๆสามารถสอบถามการตั้งค่า หรือข้อมูลต่างๆ กับ RITA BOT บน Support | Ruijie (ruijienetworks.com) ได้ตลอดเวลาเลยครับ เช่นกรณีนี้เราอยากปิด LED Status บน Access Point อาจจะพิมพ์ Keyword ที่สื่อถึงการปิด LED ตามภาพด้านล่างเป็นต้น

การตั้งค่าฝั่ง Server

1. ไปที่ Advanced >> SpeedFusion VPN หรือ (PepVPN ในบางรุ่น)

          1.1 ทำการตั้ง Local ID ของฝั่ง Server ห้ามซ้ำกับฝั่ง Branch (กรอบสีแดง)
          1.2 กด Save (กรอบสีส้ม)
          1.3 กด Apply Changes (กรอบสีเหลือง)

2. กด New Profile เพื่อสร้าง VPN Profile

3 .ตั้งค่า VPN Profile ดังนี้

          3.1 ตั้งชื่อ Profile Name และกดติ้ก Enable (กรอบสีแดง)
          3.2 ทำการเลือก Encryption (ในบางรุ่นการเปิด Encryption กับการปิด Encryption ค่า VPN Throughput ไม่เท่ากัน กรอบสีส้ม)
          3.3 ทำการใส่ SpeedFusion VPN Local ID ของฝั่ง Branch และกำหนด Pre-Shared Key (กรอบสีเหลือง)
          3.4 Remote IP Address/Host Names ฝั่ง Server ไม่จำเป็นต้องใส่ (กรอบสีเขียว)
          3.5 สามารถเลือกการกระจายการรับส่งข้อมูลออก ค่าเริ่มต้นเป็น Dynamic Weighted Bonding (กรอบสีฟ้า)
          3.6 สามารถเลือกลำดับความสำคัญของ WAN ในการเชื่อมต่อ (กรอบสีม่วง)
          3.7 กด Save (กรอบสีน้ำเงิน)
          3.8 กด Apply Changes

การตั้งค่า Branch

4. ไปที่ Advanced >> SpeedFusion VPN หรือ (PepVPN ในบางรุ่น)

          4.1 ทำการตั้ง Local ID ของฝั่ง Branch ห้ามซ้ำกับฝั่ง Server (กรอบสีแดง)
          4.2 กด Save (กรอบสีส้ม)
          4.3 กด Apply Changes (กรอบสีเหลือง)

5.กด New Profile เพื่อสร้าง VPN Profile

6. ตั้งค่า VPN Profile ดังนี้

          6.1 ตั้งชื่อ Profile Name และกดติ้ก Enable (กรอบสีแดง)
          6.2 ทำการเลือก Encryption ให้ตรงกับฝั่ง Server (กรอบสีส้ม)
          6.3 ทำการใส่ค่า SpeedFusion VPN Local ID ของฝั่ง Server และระบุ Pre-Shared Key ที่กำหนดไว้ฝั่ง Server (กรอบสีเหลือง)
          6.4 Remote IP Address/Host Names ระบุ IP WAN ของฝั่ง Server (ต้องเป็น IP Public กรอบสีเขียว)
          6.5 สามารถเลือกการกระจายการรับส่งข้อมูลออก ค่าเริ่มต้นเป็น Dynamic Weighted Bonding (กรอบสีฟ้า)
          6.6 สามารถเลือกลำดับความสำคัญของ WAN ในการเชื่อมต่อ (กรอบสีม่วง)
          6.7 กด Save (กรอบสีน้ำเงิน)
          6.8 กด Apply Changes

7.สามารถตรวจสอบการเชื่อมต่อได้โดยไปที่ Status >> SpeedFusion VPN

ตั้งค่า VPN Server (Mikrotik)

1. ไปที่ IP >> IPsec >> เลือกที่แท็บ Profiles

          1.1 ทำการ Add Profile
          1.2 ทำการตั้งชื่อที่ Name
          1.3 เลือก Hash Algorithms เป็น Sha1
          1.4 เลือก Encryption Algorithm เป็น AES-256 และ DH Group เป็น modp 1024
          1.5 ตั้งค่า Lifetime เป็น 8 ชั่วโมง “08:00:00”
          1.6 กด OK

2. ไปที่แท็บ Peers และตั้งค่าดั้งนี้

          2.1 กด Add Peer
          2.2 ทำการตั้งชื่อ Peer Name
          2.3 ระบุ Profile ที่เราสร้างไว้จากหัวข้อที่ 1
          2.4 ตั้งค่า Exchange Mode เป็น Main Mode
          2.5 เอาติ๊กที่ Send INITIAL_CONTACT ออก
          2.6 กด OK

3. ไปที่แท็บ Identities และทำการตั้งค่าดังนี้

          3.1 Add Identity profile
          3.2 เลือก Peer ที่เราสร้างไว้ที่หัวข้อ 2
          3.3 ระบุรหัส Pre Shared Key ที่ Secret
          3.4 กด OK

4. ไปที่แท็บ Proposals และตั้งค่าดังนี้

          4.1 Add Proposal Profile
          4.2 ตั้งชื่อที่ Name
          4.3 ระบุ Auth Algorithms เป็น Sha1
          4.4 ระบุ Encr Algorithms เป็น AES-256 cbc
          4.5 ตั้ง Lifetime เป็น 1 ชั่วโมง
          4.6 เลือก PFS Group เป็น “none”
          4.7 กด OK

5. ไปที่แท็บ Policies และตั้งค่าดังนี้

          5.1 Add Policy Profile
          5.2 เลือก Peer ที่เราสร้างไว้ที่หัวข้อ 2 และ ติ๊กใช้งาน Tunnel
          5.3 ระบุ Src Address (LAN ฝั่ง Mikrotik) และ Dst Address (LAN ฝั่ง Peplink)

          5.4 ไปที่แท็บ Action ของ Policy Profile
          5.5 เลือก Action เป็น encrypt
          5.6 เลือก IPsec Protocols เป็น esp
          5.7 ระบุ Proposal ที่เราสร้างไว้ที่หัวข้อ 4
          5.8 กด OK

6. ไปที่เมนู IP >> Firewall >> ไปที่แท็บ NAT

          6.1 Add NAT Rule
          6.2 ระบุ Src Address (LAN ฝั่ง Mikrotik) และ Dst Address (LAN ฝั่ง Peplink)

          6.3 ไปที่แท็บ Action ของ NAT Rule
          6.4 ระบุ Action เป็น accept
          6.5 กด OK

ตั้งค่า VPN Client (Peplink)
7. ไปที่ Network >> IPsec VPN >> สร้าง Profile ที่ New Profile

8. ทำการตั้งค่า IPsec VPN Profile ดังนี้
          8.1 ตั้งชื่อ Name และ ติ๊ก Active เพื่อเปิดงาน
          8.2 เลือก IKEv1
          8.3 ระบุ IP WAN หรือ DDNS ของ Mikrotik
          8.4 ระบุ Local Network(LAN ฝั่ง Peplink) และ Remote Networks(LAN ฝั่ง Mikrotik)
          8.5 เลือก Mode เป็น Main Mode และ ระบุ Preshared Key ให้ตรงกับที่ตั้งค่าไว้ที่ Mikrotik
          8.6 ตั้งค่า Phase 1 – Proposal เป็น AES-256 & SHA1
                               – DH Group เป็น Group 2 (modp 1024)
                               – SA Lifetime เป็น 28800 sec
          8.7 ตั้งค่า Phase 2 – Proposal เป็น AES-256 & SHA1
                               – PES Group เป็น None
                               – SA Lifetime เป็น 3600 sec
          8.8 ระบุ WAN ที่ใช้ในการเชื่อมต่อ
          8.9 กด Save และ Apply

9. ตรวจสอบ Status VPN
บน Mikrotik ให้ไปที่ IP >> IPsec >> แท็บ Active Peers

บน Peplink ไปที่ Status >> IPsec VPN

1. ไปที่ Diagnostics >> Port Mirror/Packet Capture

          1.1 เลือกเป็น Download.pcap
          1.2 เลือก Port WAN หรือ LAN ที่เราต้องการจะดักจับข้อมูล

2. ส่วนของการตั้งค่าด้านล่าง มีการตั้งค่าดังนี้

          2.1 รูบแปปที่ 1 Capture ALL Packets (ดักจับแพ็คเก็ตทั้งหมด)
                   2.1.1 เลือก Setting เป็น Capture All Packets
                   2.1.2 เลือกระยะเวลาที่ต้องการจะดักจับแพ็คเก็ต (หน่วยเป็นวินาที)

2.2 รูปแบบที่ 2 Capture with Filter (ดักจับแพ็คเก็ตโดยระบุเงื่อนไข)
                2.2.1 เลือก Setting เป็น Capture With Filter
                2.2.2 เลือกระยะเวลาที่ต้องการจะดักจับแพ็คเก็ต (หน่วยเป็นวินาที)
                2.2.3 ระบุ Protocol ที่เราต้องการจะดักจับ – ANY(ทั้งหมด), ICMP(เฉพาะ ICMP Protocol), TCP(เฉพาะ TCP Protocol), UDP(เฉพาะ UDP Protocol), TCP/UDP(เฉพาะTCP/UDP)
                2.2.4 ระบุ IP Address ที่เราต้องการจะดักจับ – ANY(ทั้งหมดทุกไอพี), Customize IP(ระบุเฉพาะไอพีที่เราต้องการ)                                                           

3. กดปุ่ม Start หลังจากเราตั้งค่าเสร็จแล้ว Status จะขึ้นสถานะ Capturing
        สามารถกดหยุดก่อนจะ Capture เสร็จก่อนเวลาด้วยปุ่ม Stop

4. หลังจาก Capture เสร็จแล้วให้เรากดปุ่ม Download เพื่อ Download File .pcap

5. หลังจาก Download Packet มาแล้วให้นำ File ไปเปิดใช้งานร่วมกับ Wireshark เพื่อวิเคราะห์แพ็คเก็ตของเรา

หมายเหตุ: - สามารถ capture packet ได้สูงสุดที่ 200MB. ถ้าระหว่าง Capture Packet ถึง 200MB Draytek จะหยุดการ Capture โดยอัตโนมัติ
          - สามารถเปิด Ticket ปัญหาการใช้งาน Draytek โดยส่ง E-mail มาได้ที่ fae@easynetwork.co.th (หากแนบไฟล์ที่ Packet มาด้วยจะช่วยให้ทีมงานวิเคราะห์ปัญหาได้เร็วมากยิ่งขึ้น)

                    หากเราพูดถึงการลด Broadcast ใน Network เรามักจะนึกถึง VLAN ซึ่ง Function ดังกล่าวจะมีบน Switch L2 Manage ขึ้นไปเช่นกัน และบน Switch Manage / Unmanage (Dip Switch Mode) บางรุ่นมี Function ที่ทำงานคล้าย VLAN นั้นก็คือ Port Isolation นั้นเอง เป็นอีกหนึ่ง Feature ที่ทำงานง่ายเพียงแค่เปิดใช้งาน (Switch Manage) / Unmanage (บางรุ่น) จะมี Mode นี้เช่นกันโดยมีปุ่ม Dip Switch ติดมาด้วย อาจจะเขียน Label ว่า VLAN, Isolated, Port Isolation เป็นต้น

                    ซึ่งหน้าที่ Port Isolation นั้นจะเป็นการลด Broadcast ระหว่าง Host ที่ถูกเชื่อมต่อ จะทำให้ Host ที่เชื่อมต่อระหว่าง Switch ไม่สามารถพูดคุยกันได้แต่ Host จะยังสามารถใช้งานร่วมกับระบบอื่นได้ผ่าน Uplink ของ Switch
เราสามารถนำ Mode ดังกล่าวไปใช้งานได้ในบางรูปแบบ เช่นต่อกับ Hub ที่มี Client จำนวนมาก เพื่อลด Broadcast ไปยังระบบอื่น หรือ Access Point (เนื่องจาก AP นั้นมีการใช้งานเครือข่ายไร้สายซึ่งมี Broadcast จำนวนมากเช่นกัน หากแยก Access Point ออกจากระบบ LAN  จะเป็นการลด Broadcast ทีเ่กิดขึ้นได้อย่างมาก) เป็นต้น

ตัวอย่าง การใช้งาน Switch L2 ปกติจะสามารถสื่อสารได้ทุก Port

ตัวอย่าง การใช้งาน Switch L2 หากเปิด Port Isolation Host ที่เชื่อมต่อไม่จะสามารถสื่อสารได้ทุก Port (ยกเว้น Uplink)

สำหรับเนื้อหาและบทความนี้ ผมจะมาแนะนำในส่วนของการตั้งค่า Port Isolation บน Reyee Switch RG-ES200 Series กันครับ

                    สำหรับการตั้งค่าวันนี้ ผมได้หยิบยก Switch RG-ES216GC ซึ่งตัวนี้เป็น Switch 16 Port ซึ่งจะแตกต่างกับ RG-ES205 หรือ RG-ES209 ที่มี Uplink แยก 1 Port ซึ่งตัวดังกล่าวจะรู้ได้อย่างไรว่า Port ไหนคือ Uplink (ทุกคนคงคิดว่า Port สุดท้ายแน่นอน คือ Port ที่ 16) เด๋วเรามาดูการตั้งค่ากันเลยครับ

                    เริ่มแรกให้ตั้งค่า Switch ให้เรียบร้อย ปกติ Reyee Switch จะรับ DHCP จากระบบ(ในกรณีมี DHCP Server) แต่ถ้าหากไม่มี DHCP Server ในระบบ อุปกรณ์จะมี IP Manage Fallback จะเป็น IP 10.44.77.200/24 เราสามารถเข้าตั้งค่าได้ตามภาพด้านล่าง โดยเชื่อมต่อไปยัง Port ใดก็ได้ 

                    Step 1 ในการตั้งค่า สามารถ Access ผ่าน HTTP ผ่าน IP 10.44.77.200 ได้เลยครับโดย Static IP Laptop/PC ที่ Manage ให้อยู่ในวงเดียวกัน 10.44.77.xxx/24 เป็นต้น (ผมจะขอข้ามการตั้งค่าเบื้องต้นออกไปนะครับ)

                    Step 2 (ภาพประกอบด้านล่าง) ในการตั้งค่า Port Isolation ผู้ใช้งานสามารถเข้าตั้งค่าได้ที่ Menu > Switch Settings 

                    Step 3 (ภาพประกอบด้านล่าง) จะเห็นได้ว่า ในส่วนของการแยก Uplink Port บน Switch ตัวนี้จะเป็น Port 15 และ Port 16 ซึ่งจะทำให้ข้อมูล Packats ยอม Forwarding ผ่านไปได้ ฉะนั้น Port ที่ 1 ถึง Port ที่ 14 จะไม่สามารถสื่อสารกันได้หากเปิดการใช้งาน Isolation

 วิธีการทดสอบ

รูปแบบที่ 1 ทดสอบด้วยการตั้งค่า Default ของ Switch RG-ES216GC โดยมีการเชื่อมต่อ Host กับ Switch ดังนี้

               PC A IP: 10.44.77.222/24 เชื่อมต่อที่ Interface Port 11
               PC B IP: 10.44.77.111/24 เชื่อมต่อที่ Interface Port 10
               และ Uplink ไปยัง Router เชื่อมต่อที่ Interface Port 16

ผลการทดสอบ รูปแบบที่ 1

(ภาพประกอบด้านล่าง) 

PC A สามารถ Ping ไปยัง PC B ได้
PC A สามารถ Ping ไปยัง Internet ภายนอกได้ผ่าน Uplink ไปที่ Router

รูปแบบที่ 2 ทดสอบด้วยการเปิดใช้งาน Function Port Isolation ของ Switch RG-ES216GC โดยมีการเชื่อมต่อ Host กับ Switch ดังนี้

               PC A IP: 10.44.77.222/24 เชื่อมต่อที่ Interface Port 11
               PC B IP: 10.44.77.111/24 เชื่อมต่อที่ Interface Port 10
               และ Uplink ไปยัง Router เชื่อมต่อที่ Interface Port 16

ผลการทดสอบรูปแบบที่ 2 (PC A)

(ภาพประกอบด้านล่าง) 

PC A ไม่สามารถ Ping ไปยัง PC B ได้
PC A สามารถ Ping ไปยัง Internet ภายนอกได้ผ่าน Uplink ไปที่ Router

และผลการทดสอบรูปแบบที่ 2 (PC B)

(ภาพประกอบด้านล่าง) 

PC B ไม่สามารถ Ping ไปยัง PC A ได้
PC B สามารถ Ping ไปยัง Internet ภายนอกได้ผ่าน Uplink ไปที่ Router

1.ไปที่ LAN >> VLAN Configuration 

-ทำการติ๊ก Enable และทำการติ๊กที่ Port ที่เราต้องการทำเป็น Port Trunk โดยให้เลือกเป็นแนวตรงลงมา ดัง Port 2 ในภาพ และทำการ Tag VID ตาม LAN Subnet ที่เราต้องการ (เช่น หากเรา Untag VLAN 8 จะได้ IP จาก Subnet LAN 2 เป็นต้น)

2. หลังจากเราไปสร้าง VLAN เสร็จแล้วไปที่ LAN >> General Setup

- ให้เราทำการเปิดใช้งาน และ สร้าง DHCP Server สำหรับ Subnet ต่าง ๆ ที่เราสร้างบน VLAN ขึ้นมา

ส่วนของ Switch

1. เข้าไป Config Switch โดย IP Default คือ 192.168.1.224 

-Username: admin

-Password: admin

2. หากต้องการเปลี่ยน IP ให้ไปที่ Switch LAN >> General Setup >> Management IP/VLAN

-โดย Default ของ Switch จะรับ DHCP ให้เราทำการเปลี่ยนเป็น Static เพื่อระบุ IP เป็นแบบคงที่
-ระบุ IP Address, Subnet Mask, Gateway, DNS หลังจากนั้นกด Apply

3. ทำการ สร้าง VLAN ID โดยไปที่ Switch LAN >> VLAN Management >> Create VLAN ทำการตั้งค่าดังนี้

-Action เลือกเป็น Add สำหรับเพิ่ม หรือหากต้องการลบให้เลือก Delete (กรอบสีแดง)
-VLAN ID ทำการระบุ VID ที่เราต้องการจะเพิ่มโดยเราจะเพิ่มตามที่สร้างไว้บน Router คือ 8-10 (กรอบสีส้ม) และทำการตั้งชื่อที่ VLAN Name Profile
-กด Apply จะได้ดังกรอบสีเขียวด้านล่าง

4. การกำหนด Port Trunk ของ Switch โดยไปที่ Switch LAN >> VLAN Management >> Interface Setting ตั้งค่าดังนี้

-ทำการเลือก Port ที่เราเชื่อมต่อกับ Router Port 2 ที่เป็น Trunk Port (ในตัวอย่างเป็น Port GE12 ของ Switch) (กรอบสีแดง)
-เลือก Interface VLAN Mode: เป็น Trunk (กรอบสีส้ม)
-ทำการระบุ PVID เป็น 1 (หรือเปลี่ยนตามค่าที่เรากำหนดโดยค่าดังเดิมจะเป็น PVID 1 ) (กรอบสีเหลือง)
-ทำการ Tagged VLAN โดยเราจะทำการ Tag VLAN 8-10 (กรอบสีเขียว)
-หลังจากนั้นกด Apply

5. การกำหนด Port Access ของ Switch โดยจะอยู่หน้าเดียวกันกับ การกำหนด Port Trunk จะทำการตั้งค่าดังนี้

-ทำการเลือก Port ที่เราจะทำเป็น Port Access (กรอบสีแดง)
-ทำการเลือก Interface VLAN Mode เป็น Access (กรอบสีส้ม)
-ทำการระบุ VLAN ที่เราต้องการกำหนดให้เป็น Port Access ที่ PVID (กรอบสีน้ำเงิน)
-กด Apply

(หลังจากเรากำหนด Port Access ครบแล้วจะได้ดังนี้)

6. ทดสอบการใช้งาน หลังจากที่เรากำหนด Port Access และ Port Trunk เสร็จแล้วให้เราทำการทดสอบใช้ PC หรือ Laptop เชื่อมต่อไปยัง Port นั้น ๆ ว่าได้รับ IP ตามที่เรากำหนดหรือไม่

-ทดสอบเชื่อมต่อไปยัง Port GE1-2 : กำหนดเป็น Port Access VLAN 8 จะได้รับ IP 192.168.2.x/24 ดังนี้ภาพด้านล่าง

-ทดสอบเชื่อมต่อ Port GE 3-4 : ได้รับ IP ตามที่เรากำหนด

1.การตั้งค่า Peplink (ต้องเป็น FW 8.0.2 จะมีการเพิ่ม GRE Tunnel)

1.1 เพิ่ม Profile VPN GRE ไปที่ Network >> VPN >> GRE Tunnel >>

          -กด New Profile

1.2 ทำการตั้งค่า Profile ดังนี้

          -ทำการตั้งชื่อ และ Active Profile
          -ระบุ Remote GRE IP Address (WAN IP ของ Draytek2927)
          -ระบุ Tunnel Local IP Address
          -ระบุ Tunnel Remote IP Address
          -เลือก WAN ที่สามารถสื่อสารกับ Router ปลายทางได้ (Draytek2927)
          -ระบุ Remote Networks (LAN IP ของ Router ปลายทางที่เราต้องการสื่อสารด้วย)

1.3 ตรวจเช็คสถานะ GRE โดยไปที่ Dashboard เราจะเห็น สถานะ GRE Tunnel เพิ่มขึ้นมา

2.การตั้งค่า Draytek 2927

2.1 ไปที่ VPN and Remote Access >> Remote Access Control Setup

          -ทำการ Enable PPTP VPN Service

2.2 ไปที่ VPN and Remote Access >> LAN to LAN เลือก Profile ที่ว่าง

          -ทำการ Enable this profile
          -CALL Direction เลือก เป็น GRE Tunnel
          -ระบุ Tunnel Local IP
          -ระบุ Tunnel Remote IP
          -ระบุ Local WAN IP (IP WAN ของ2927)
          -ระบุ Remote WAN IP ของ Router ปลายทาง (IP WAN Peplink)
          -ระบุ Local Network ( LAN ของ 2927)
          -ระบุ Remote Network (LAN IP ของ Router ปลายทางที่เราต้องการสื่อสารด้วย) และกด OK

2.3 ตรวจสอบสถานะการเชื่อมต่อ ไปที่ VPN and Remote Access >> Connection Management

3.ทดสอบ สื่อสาร

3.1 ทำการ Ping จาก Peplink ไปที่ Draytek2927 สามารถสื่อสารกันได้

          1.1 เปิด Browser internet ขึ้นมาหลังจากนั้นทำการระบุ IP ที่ช่อง URL เป็นหมายเลข 192.168.1.1 หลังจากนั้นเราได้หน้า Login ให้เราทำการกรอก Username/Password เป็น admin/admin

           1.2หลังจากเรา Login เข้ามาจะแสดงหน้า Dashboard โดยจะสถานะการทำงานของ WAN, LAN, Wi-Fi, CPU และ Throughput

WAN Setting

2. การตั้งค่า WAN  โดยเข้าไปที่ Network >> WAN >> ทำการเลือก WAN ที่เราต้องการจะแก้ไข

          2.1 ตั้งค่า Connection Setting จะเป็นการตั้งค่าเกี่ยวกับการเชื่อมต่อของ WAN

          -ให้เราระบุรูปแบบการเชื่อมต่อ WAN โดยเลือกที่ Connection Method จะให้เราเลือกดังนี้

                   -DHCP รับ IP จาก DHCP Server
                   -Static IP ให้เราทำการระบุ IP Address, Subnet Mask, Gateway IP, DDNS ด้วย                                ตนเอง
                   -PPPoE ให้เราทำการระบุ Username/Password จากผู้ให้บริการเพื่อใช้งานตัวอย่างหน้าต่าง Config แบบ Static, DHCP, PPPoE

ตัวอย่าง หน้าต่างการตั้งค่า WAN ประเภท Static, DHCP, PPPoE

          2.2 การตั้งค่า Heath

          -โดยในส่วนของ Health Check จะเป็นส่วนของการตรวจสอบคุณภาพ Link ว่าพร้อมใช้งานหรือไม่ ดังนี้
                   -PING ทำงานโดยการที่ PEPLINK ทำการ Ping ไปยัง IP ที่เราระบุหากมีการตอบกลับในเวลาที่กำหนด PEPLINK จะยืนยันว่า Link มีคุณภาพในการใช้งาน
                   -DNS Lookup ทำงานโดยที่ PEPLINK จะทำการงานโดยการเชื่อมต่อไปยัง DNS Server
                   -HTTP ทำงานโดยที่ PEPLINK จะเชื่อมต่อไปยัง URL ที่เรากำหนด เช่น www.easynetwork.co.th

ตรวจสอบสถานการณ์เชื่อมต่อ
          หาก Link up Status จะเป็น สีเขียว หรือกดที่ Details เพื่อแสดงรายละเอียดเพิ่มเติม

LAN Setting (การตั้งค่าแลน)

3. การตั้งค่า LAN โดยเข้าไปที่ Network >> LAN >> Network Setting >> หากเราต้องการแก้ไขให้เลือก Profile ที่อยู่อยู่เช่น Untagged LAN, แต่หากต้องการเพิ่มให้กด New LAN

          3.1 การตั้งค่า LAN

          IP Address = กำหนด IP Address และ Subnet Mask ของ Router
          Name = การตั้งชื่อ Profile ที่เรากำลังตั้งค่า
          VLAN ID = ระบุ VLAN ID ที่เราต้องการ (จำเป็นต้องระบุ)
          DHCP Server = Enable เพื่อเปิดใช้งาน
          IP Range = กำหนดช่วงที่เราต้องการแจก IP Address ให้กับ Client เช่น 192.168.1.100 – 192.168.1.200 เป็นต้น
          DNS Servers – Assign DNS Server = ได้รับ DNS จาก WAN ของ Router โดยอัตโนมัติ
                            –  DNS Server = ระบุ DNS ที่เราต้องการด้วยตนเอง
          DHCP Reservation = เป็นการจอง IP Address โดยระบุคู่ กับ MAC Address

1. ไปที่ Nat >> Port Redirection >> กด Add เพื่อสร้าง Profile

2. ทำการตั้งค่า Profile

          2.1 ทำการตั้งชื่อ Profile และ Enable
          2.2 เลือก Port Redirection Mode เป็น One to One
          2.3 เลือก Interface WAN ที่เราอนุญาตให้เชื่อมต่อเข้ามา (โดยในตัวอย่างเลือกเป้น ALL คือทุก WAN)
          2.4 เลือก Protocol ของ Service ที่ใช้งาน (HTTP และ HTTPS จะเป็น TCP)
          2.5 ตั้งค่า Public Port (โดยตัวนี้เราจะเรียกว่า Port นอก)
          2.6 ระบุ IP และ Port ของเครื่องที่ต้องการ Forward Service ไปให้
          2.7 More Port เป็นการระบุ Port เพิ่มเติมหากเรามีหลาย Service ที่ต้อง Forward ไปที่ IP เดียวกัน
          2.8 กด Apply.

ทดสอบใช้งาน

เรียกด้วย Port 8080

เรียกด้วย Port 8843

2. เลือก Network

3. กด Create LAN Configuration 

4. กำหนดชื่อ Interface Name

5. เลือก Port ที่ต้องการ

6. กำหนดหมายเลข VLAN

7. กำหนดหมายเลข IP Address

8. ระบุ Subnet Mask

9. หากต้องการให้ Router แจก IP Address ให้ทำการ Enable (หากไม่ต้องการ ให้ทำการ Disable และข้ามไปที่ข้อ 13)

10. กำหนดจำนวน IP Address ที่ต้องการให้ Router แจก

11. กำหนด Primary DNS

12. กำหนด Secondary DNS

13. กด Confirm

 เมื่อตั้งค่าเสร็จเรียบร้อย Cloud จะแจ้งเตือนและให้ทำการ Reboot อุปกรณ์ ให้กดปุ่ม Reboot

เมื่อตั้งค่าเสร็จเรียบร้อย จะแสดง Status ดังภาพ

2. เลือก Wireless Setting

3. กด Create Wireless Policy

4. กำหนดชื่อ Policy

5. กำหนดชื่อ SSID ของ WIFI 

6.เลือกโหมดการเข้ารหัส เป็น WPA2-PSK

7. หากต้องการทำ VLAN ที่ SSID ให้เลือก Enable และระบุ VLAN ที่ได้ทำการ Tagged ออกมา หากไม่ต้องการทำ VLAN ให้ข้ามไปข้อที่8

8. ระบุจำนวน Client ที่ต้องการให้ใช้งานต่อ 1 SSID

9. กด Confirm

 เมื่อสร้าง Policy เสร็จเรียบร้อยแล้ว ให้เลื่อนลงมาที่ด้านล่าง จะเจอหัวข้อ Wireless Policy Delivery

10. ให้ทำการเลือก Access Point ที่ต้องการ

11. กด Batch Deliver Wireless Policy

12. เลือก Associated RF เป็น 2.4G

13. เลือก Policy ที่ต้องการ

14. เลือก Associated RF เป็น 5G

15. เลือก Policy ที่ต้องการ

16. กด Confirm 

 17. เมื่ออุปกรณ์ได้รับค่า Policy เรียบร้อยแล้วจะแสดง Status ดังรูป

1.ให้ทำการ Login เข้ามาใน IMS Cloud

2. คลิ๊กที่ email ของเรา (ด้านขวามือบน)

3. เลือกหัวข้อ Unique Cloud Code

4. กดปุ่ม Copy เพื่อคัดลอก Unique Cloud Code และนำไปใส่ยังอุปกรณ์

5. ให้ทำการ Login เข้าไปที่อุปกรณ์ จากนั้นเลือกหัวข้อ Device Settings > IMS Cloud 

6. ติ๊ก Enable IMS Cloud Maintenance

7. ใส่ Unique Cloud Code ที่ได้รับจาก Cloud 

8. ติ๊ก Enable Report

9. กด Confirm

 จากนั้นตั้งค่าให้สวิตซ์สามารถออกอินเตอร์เน็ตได้ โดยการ ทำ Default Route

10. เข้าไปที่หัวข้อ Routing

11. เลือกหัวข้อ Static Routing

12. กด Add

13. กำหนด Destination IP เป็น 0.0.0.0

14. กำหนด Subnet mask เป็น 0.0.0.0

15. กำหนด Next Hop เป็น IP Address ของ Router

16. กด Confirm

และทำการกำหนด DNS เพื่อให้สามารถออกอินเตอร์เน็ตได้

17. เข้ามาที่หัวข้อ Basics > System Summary

18. กดที่รูปดินสอตรงหัวข้อ Device Info

19. เลือกหัวข้อ DNS Assignment Type เป็น Manual

20. กำหนด Primary DNS (8.8.8.8)

21. กำหนด Secondary DNS (8.8.4.4)

22. กด Confirm 

ให้กลับมาที่หน้า Cloud อีกครั้ง เมื่ออุปกรณ์ ถูก Add ขึ้น Cloud ที่ email ของเราด้านขวามือบน จะมีจุดสีแดงขึ้นมา

23. ให้กดที่ email ของเรา

24. เลือกหัวข้อ Device-Joining Alert

25. เลือกอุปกรณ์ที่ต้องการ

26. กด Batch Add Device

27. เลือก Project ที่ต้องการ

28. กด Confirm  

1.ให้ทำการ Login เข้ามาใน IMS Cloud

2. คลิ๊กที่ email ของเรา (ด้านขวามือบน)

3. เลือกหัวข้อ Unique Cloud Code

4. กดปุ่ม Copy เพื่อคัดลอก Unique Cloud Code และนำไปใส่ยังอุปกรณ์

5. ให้ทำการ Login เข้าไปที่อุปกรณ์ จากนั้นเลือกหัวข้อ Maintenance > Cloud Maintenance

6. ติ๊ก Enable Cloud Maintenance

7. ใส่ Unique Cloud Code ที่ได้รับจาก Cloud 

8. ติ๊ก Enable Report

9. กด Save

ให้กลับมาที่หน้า Cloud อีกครั้ง เมื่ออุปกรณ์ ถูก Add ขึ้น Cloud ที่ email ของเราด้านขวามือบน จะมีจุดสีแดงขึ้นมา

10. ให้กดที่ email ของเรา

11. เลือกหัวข้อ Device-Joining Alert

12. เลือกอุปกรณ์ที่ต้องการ

13. กด Batch Add Device

14. เลือก Project ที่ต้องการ

15. กด Confirm  

1.ให้ทำการ Login เข้ามาใน IMS Cloud

2. คลิ๊กที่ email ของเรา (ด้านขวามือบน)

3. เลือกหัวข้อ Unique Cloud Code

4. กดปุ่ม Copy เพื่อคัดลอก Unique Cloud Code และนำไปใส่ยังอุปกรณ์

5. ให้ทำการ Login เข้าไปที่อุปกรณ์ จากนั้นเลือกหัวข้อ Advance > Cloud Maintenance

6. ติ๊ก Enable Cloud Maintenance

7. ใส่ Unique Cloud Code ที่ได้รับจาก Cloud 

8. ติ๊ก Enable Report

9. กด Save

ให้กลับมาที่หน้า Cloud อีกครั้ง เมื่ออุปกรณ์ ถูก Add ขึ้น Cloud ที่ email ของเราด้านขวามือบน จะมีจุดสีแดงขึ้นมา

10. ให้กดที่ email ของเรา

11. เลือกหัวข้อ Device-Joining Alert

12. เลือกอุปกรณ์ที่ต้องการ

13. กด Batch Add Device

14. เลือก Project ที่ต้องการ

15. กด Confirm 

2. กดที่คำว่า Sign up Now เพื่อสมัคร IMS Cloud 

 3. กรอก email ที่ต้องการสมัคร IMS Cloud

4. กด Obtain เพื่อรับรหัสที่ส่งมาให้ที่ email

5. นำ Code ที่ได้รับจาก IP-Com ทาง email มาใส่ในช่อง Enter email verification code

6. กำหนดรหัสผ่าน

7. ยืนยันรหัสผ่านอีกครั้ง

8. กด Sign up

 9. กรอก email ที่ได้ทำการสมัคร IMS Cloud

10. กรอก Password

11. กด Login

1. ผ่าน Wireless โดยปกติแล้วตัว Access Point ของ Mikrotik จะปล่อย SSID ออกมาเป็นชื่อ Mikrotik_(Serial 6 หลักของอุปกรณ์) เราสามารถ ใช้ Laptop เชื่อมต่อผ่าน SSID ได้

 2. ผ่าน Interface Eth ที่เหลือของ Mikrotik หากเราเชื่อมต่อผ่าน Interface แรก (Eth1 PoE in) เราจะไม่สามารถ Access ถึงตัว Access Point ได้และเราจะมองไม่เห็นเนื่องจาก บน Mikrotik ค่า Default จะถูกตั้งต่า Firewall Rule สำหรับการเข้าถึงผ่านขา WAN และส่วนของ Neigbor นั้นจะถูกทำ List Interface ขึ้นมาให้เห็นเฉพาะ LAN List (wlan1 , wlan2 , eth2)  เท่านั้น

Default Config หากไม่ได้ Reset Config ทั้งหมดจะถูกตั้งค่าดังนี้

1. การตั้งค่าจะถูกตั้งค่าใหม่ในส่วนของ Neigbor List โดยถูกทำ List Interface ขึ้นมาให้เห็นเฉพาะ LAN List (wlan1 , wlan2 , eth2)  เท่านั้น

2. Firewall Rule จะเห็นได้ว่าถูกตั้งค่าไว้หลาย Rule หลักๆจะเป็นการ ป้องกันการ Access จากภายนอก

เริ่มการใช้งานครั้งแรกหลังจากเข้าถึง Milkrotik ได้ แนะนำให้ Remove Configuration ทั้งหมด

หรือสามารถเข้าไปที่เมนู System > Reset Configuration > เลือก No Default Configuration จากนั้นกด Reset Configuration เพื่อ Reboot อุปกรณ์

สำหรับการตั้งค่าสำหรับคู่มือนี้ผมจะมาแนะนำในส่วนการตั้งค่า Access Point Bridge Mode กรณีที่มี DHCP Server แจกเข้ามาที่ Interface Eth1 นะครับ ตาม Network Schema ด้านล่าง

Network Schema:

Configuration:

1. สร้าง Bridge ขึ้นมาเพื่อที่จะเชื่อมระหว่าง Interface เข้าร่วมกัน

2. เพิ่ม Interface wlan1, wlan2, ether1 เข้าไปใน Bridge ที่เราสร้างไว้

3. ตั้งค่า Security สำหรับการใช้งาน Wireless ที่เมนู Wireless > Security Profiles จากนั้นกำหนด รูปแบบการยืนยันตัวตน

3.

4. ตั้งค่า Interface wlan (สำหรับ Access Point /Router Mikrotik ส่วนมากที่มี 2 Interface wlan1 จะเป็น 2.4GHz และ wlan2 จะเป็น 5GHz)
- กำหนด Mode: ap bridge
- กำหนด Band: แนะนำให้ใช้งาน 5GHz AC Only
- กำหนด Channel Width: แล้วแต่รูปแบบการใช้งาน ส่วนมากตั้งที่ 80MHz หากต้องการความเร็วหรือพื้นที่ดังกล่าวไม่มีการรบกวนของสัญญาณ
- กำหนด SSID: ตามที่เราต้องการ

5. หากต้องการ Manage ผ่าน IP Address ให้ตั้งค่าได้ที่เมนู IP > Addresses > Add > ใส่ IP Address, Network, Interface ให้เลือกเป็น Bridge ที่เราสร้างเพียงเท่านี้อุปกรณ์ก็สามารถปล่อยสัญญาณ ในโหมด AP Bridge ได้แล้ว

-ทำการSet AP ตัวที่1 เป็น AP Master

-ขั้นแรกตั้ง IP เครื่องคอมเราให้อยู่วง 192.168.2.x แล้วเข้าAP ตัวที่ 1 ผ่าน IP Default ของอุปกรณ์คือ 192.168.2.66 User:admin Password:admin01 กดยอมรับข้อตกลงและเลือกใช้โหมด Point to Point แล้วกด Change

ไปที่ Setting ตรง Network configuration ให้ทำการตั้ง IP เป็น Static และตั้งค่าตามที่เราต้องการ

หลังจากนั้นไปที่ Wireless configuration ทำการตั้งค่า AP ตัวแรกให้เป็น Access Point(ipoll3) และแก้ไขชื่อ SSID และ ตั้งค่า password ตามที่เราต้องการ

เสร็จแล้วอย่าลืมกด Save Change ทางด้านขวามือบน แล้วรอจนกว่า AP จะSave config เสร็จ

หลังจากนั้น ให้ไป config AP

ทำการตั้งค่าAPตัวที่ 2 เป็น Slave
-ขั้นแรกทำการตั้งค่า IP ของ AP ตัวที่ 2

-ที่ Wireless configuration ของ AP ตัวที่ 2 ให้เลือกเป็น Station(WDS/ipoll3) และตั้งค่า SSID กับ Password ให้ตรงกับตัว Master และทำการ Save Change จากนั้นรอจนกว่า AP จะ Save config เสร็จ

-จากนั้นให้กลับไปเชื่อมต่อกับ AP ตัวที่ 1 ทำการตรวจสอบสถานะ หากLink connect กันจะแสดงผลดังภาพตัวอย่าง Status จะแสดงค่า Throughput และคุณภาพของสัญญาณ

Status ฝั่ง Master

Status ฝั่ง Slave

เท่านี้ก็เสร็จสิ้นขั้นตอนการทำ Point to Point แบบง่ายๆ และสามารถนำไปใช้งานได้เลยครับ

VPN Matcher Client to Site

1. ไปที่ https://vpn-matcher.draytek.com ทำการ Login (หากยังไม่มีกดสร้าง Account)

2. ทำการ Add Router โดยทำตามขั้นตอนดังนี้
          2.1 ทำการกดปุ่ม Add device
          2.2 ระบุ Description สำหรับใช้ระบุชื่อตัวอุปกรณ์
          2.3 ระบุ MAC Address ของ Router
          2.4 เลือก Device Model เป็นรุ่นของ Router ที่เราใช้งานอยู่
          2.5 ตั้งค่า Set as VPN Server เป็น Yes
          2.6 ระบุ LAN Subnet ของ Router ที่เราจะ VPN เข้าไป
          2.7 กด Add

3. ทำการ Add PC โดยกดที่ Add Devices (เหมือนกับตอนเพิ่ม Router) และทำการตั้งค่าดังนี้
          3.1 ทำการกดปุ่ม Add device
          3.2 ระบุ Description สำหรับใช้ระบุชื่อตัวอุปกรณ์
          3.3 ระบุ MAC Address PC หรือ Laptop ของเรา
          3.4 เลือก Device Model เป็น PC
          3.5 ระบุ LAN Subnet ของ PC ของเรา (หากไม่แน่ใจว่าได้ IP Subnet อะไร สามารถเรียกใช้งาน cmd ของ windows และใช้คำสั่ง ipconfig เพื่อตรวจสอบ)
          3.6 กด Add

4. ทำการ Copy Router List Key สำหรับระบุในช่อง Authkey บน Router

ตั้งค่า Router : VPN Server

5. ไปที่ VPN and Remote Access >> VPN Matcher Setup

          5.1 ทำการ Enable
          5.2 ทำการระบุ AUTH key โดยให้นำ Router List Key ที่มา Copy มากรอก
          5.3 กด OK 
          5.4 กด Get List

6. หลังจากกด Get List จะมี Device List ขึ้น ให้เรากด Create Profile ที่ PC

7. ทำการตั้งค่า Profile ดังนี้
          7.1 เลือก Profile (โดยส่วนนี้จะใช้งานร่วมกับ User Account Profile ของ Remote Dial-in User)
          7.2 กำหนด Username และ Password
          7.3 กด OK

(หลังจากเราสร้าง Profile จะมี User เพิ่มบน Remote Dial-in User)

8. ไปที่ VPN and Remote Access >> OpenVPN เพื่อ Export OVPN Files สำหรับ ใช้ร่วมกับ Smart VPN Client ทำการตั้งค่าดังนี้

          8.1 เลือก Client Config
          8.2 Remote Server เลือก VPN Matcher
          8.3 Transport Protocol เลือกเป็น TCP
          8.4 Set VPN as Default Gateway เป็น Enable
          8.5 ตั้งชื่อ File Name
          8.6 กด Export

ตั้งค่า PC
9. ทำการเปิดใช้งาน Smart VPN Client และ Add Profile ทำการตั้งค่าดังนี้
          9.1 เลือก VPN Type เป็น OpenVPN
          9.2 กดที่ Advanced Options เปิดใช้งาน VPN Matcher
          9.3 ทำการระบุ AUTH key โดยให้นำ Router List Key ที่มา Copy มากรอก
          9.4 กด Get List แล้วจะมี Pop-up  Device list ขึ้นมา
          9.5 เลือก Router VPN Server ของเรา และกด OK
          9.6 Import OVPN Files ที่เรา Export มาจาก Draytek
          9.7 กรอก Username และ Password ที่เรากำหนดไว้
          9.8 กด OK เพื่อบันทึก

10. ทำการเชื่อมต่อไปยัง Draytek

หากเชื่อมต่อสำเร็จเราจะได้รับ IP จาก Draytek และสามารถสื่อสารภายในเน็ตเวิร์คได้

Network Diagram 

1. ทำการสร้าง User VPN โดยไปที่ VPN and Remote Access >> Remote Dial-in User

2. ทำการตั้งค่า User Account ดังนี้

           2.1 Enable เพื่อเปิดใช้งาน
          2.2 เลือก OpenVPN Tunnel เพื่อเป็นการอนุญาตให้สามารถเชื่อมต่อด้วย OpenVPN ได้
          2.3 กำหนด Username และ Password
          2.4 (ส่วนเพิ่มเติม) กำหนด LAN Subnet Default จะเป็น LAN 1  
          2.5 กด OK เพื่อบันทึก

 3. ไปที่ VPN and Remote Access >> OpenVPN เลือก Title เป็น OpenVPN Server setup ทำการตั้งค่าดังนี้

           3.1 ทำการ Generate Certificates โดยกดที่ปุ่ม Generate (กรอบสีแดง)
          3.2 (ส่วนเพิ่มเติม) หากต้องการเปลี่ยน Port หรือเปิด-ปิด การเชื่อมต่อบน Protocol สามารถตั้งค่าได้ที่กรอบสีเหลือง
          3.3 (ส่วนเพิ่มเติม) ใช้สำหรับตั้งค่าการเข้ารหัสบน OpenVPN.

(หลังจาก Generate เสร็จเราจะได้ค่าดังภาพด้านล่าง)

4. ไปที่ OpenVPN >> Client Config ใช้สำหรับสร้าง OVPN Files สำหรับใช้งานบน Smart VPN Client

           4.1 ทำการตั้งค่า Remote Server
             - IP (เลือกIP WAN Router เพื่อกำหนดว่าจะให้เชื่อมต่อมาที่ IP ใด *ควรเป็น IP Public)
             - Domain คือการกำหนดค่าเป็น DDNS เช่น Draytekvigor.drayddns.com
             - VPN Matcher (สำหรับใช้งานคู่กับ Router DRAYTEK หรือ Smart VPN Client เนื่องจากไม่มี IP Public เป็นฟีเจอร์เฉพาะของ DRAYTEK )
          4.2 กำหนด Protocol ที่ใช้ในการเชื่อมต่อ
          4.3 ทำการตั้งค่า Enable ที่ Set VPN as Default Gateway  
          4.4 ทำการตั้งชื่อ File Names
          4.5 กด Export

การตั้งค่าเครื่อง Client (PC/Laptop)

1. ไปที่ https://openvpn.net/community-downloads/ ทำการ Download และ ติดตั้ง OpenVPN

(ทางเราจะใช้งานเป็น Version 2.4.8)

2. ไปที่ https://www.draytek.com/products/smart-vpn-client/ ทำการ Download และ ติดตั้ง Smart VPN Client

3. เปิดใช้งาน Smart VPN Client และกด Add Profile

4. ทำการตั้งค่า Profile ดังนี้

           4.1 เลือก Type เป็น OpenVPN
          4.2 กดปุ่ม Import
          4.3 เลือก OVPN Files ที่เรา Export มาจาก Draytek Router

           4.4 หลังจาก Import OVPN Files ให้ใส่ Username และ Password ที่เรากำหนดไว้
          4.5 กด OK เพื่อบันทึก.

6. ทำการเชื่อม OpenVPN ไปที่ Draytek Router

          6.1 เลือกที่ Connection
         6.2 เลือก Profile ของ OpenVPN
         6.3 กด Connect.

7. ทดสอบ

หลังจากเชื่อมต่อสำเร็จจะได้รับ IP จาก Draytek

ทดสอบ Ping ไปยัง Router IP 172.29.27.1 สามารถส่งข้อมูลถึง Router ได้

Scenario:

        Scenario นี้จะแสดงการทำงานของ Switch Manage ในรูปแบบการกำหนด VLAN โดยแต่ล่ะ VLAN นั้นจะ Design ให้เหมาะกับการใช้งานแต่ล่ะแผนก เพื่อจำลองการทำงานในรูปแบบการทำงานเมื่อมีความจำเป็นที่จะต้องสื่อสารกันระหว่างตึกและให้ แต่ล่ะแผนกสามารถสื่อสารกันได้ โดยใช้ความ สามารถของ Switch Manage มาจัดการ ทั้งหมดของเนื้อหานี้จะครอบคุมในเรื่องการกำหนดค่าชนิดของ Port สื่อสารไม่ว่าจะเป็น Access Port หรือ Trunk Port

สำหรับการตั้งค่าอุปกรณ์มีดังนี้ (Switch A และ Switch B ตั้งค่าเหมือนกัน)

- กำหนดค่าของ Port 1 - 4 บน Switch ให้เป็น VLAN 10 เพื่อให้ Host A สื่อสารกับ Host B ได้
- กำหนดค่าของ Port 5 - 8 ตั้งค่า ให้เป็น VLAN 20 เพื่อรองรับ แผนกที่จะเกิดขึ้นในอนาคต
- Port 9 - 12 ตั้งค่าให้เป็น VLAN 30 เพื่อให้ Host C สื่อสารกับ Host D ได้
- Port ที่ 16 กำหนดเป็น Port รวม VLAN (Trunk Port) เพื่อที่จะสื่อสารไปยังอุปกรณ์อื่นที่สามารถทำ Trunk Port ได้เช่นกัน

Configure:

1. ในส่วนของการทำ VLAN ให้เข้าไปที่หัวข้อ VLAN > VLAN Setting จากนั้นในส่วนของ VLAN Operation Mode: ให้เลือกเป็น 802.1Q

2. กำหนดการตั้งค่าของ Port ว่าเป็นชนิดใดในหัวข้อ Link Type ตาม Network Schema

ในส่วนของ Port ที่ 1-4 จะเป็น Access Mode โดยการ Untagged VLAN 10,
Port ที่ 6-8 จะเป็น Access Mode โดยการ Untagged VLAN 20,
Port ที่ 9-12 จะเป็น Access Mode โดยการ Untagged VLAN 30,
และ Port ที่ 16 จะเป็น Trunk Mode โดยการ Tagged VLAN 10,20,30

3. เช็คการกำหนดค่าของ Port ในส่วนของ VLAN Table สามารถเข้าไปดูได้ที่ Menu ต่อไปนี้ VLAN > VLAN Table

         ในตารางของ VLAN Table จะบอกว่า VLAN ID หมายเลขใด ถูก Tagged หรือ Untagged ไปที่ Port ใดบ้างในตัวอย่างจะเห็นได้ว่า

VLAN 10 จะถูก Untagged ที่ Port 1,2,3,4 และ Tagged จะถูกกำหนดที่ Port 16
VLAN 20 จะถูก Untagged ที่ Port 5,6,7,8 และ Tagged จะถูกกำหนดที่ Port 16
VLAN 30 จะถูก Untagged ที่ Port 9,10,11,12 และ Tagged จะถูกกำหนดที่ Port 16

ตามตัวอย่างด้านล่าง

        สำหรับการเปลี่ยน IP Address ให้กับอุปกรณ์ Switch Oring ในคู่มือนี้จะพูดถึงการจัดการ IP Address ผ่าน WEB(HTTP) Management ซึ่งอุปกรณ์ Oring มีค่า HTTP IP Address Default คือ 192.168.10.1/24 และสามารถเข้าไปตั้งค่าที่หัวข้อ Basic Setting > IP Setting

        ในส่วนของ DHCP Client นั้นสามารถเปิดรับ IP Address จาก DHCP Server ได้เช่นกัน
หรือกรณีต้องการ Static IP Address ของอุปกรณ์ในส่วนของ DHCP Client: ให้เลือกเป็น Disable จากนั้นให้ระบุ IP Address , Subnet mask, Gateway, DNS ได้เลย

1. ไปที่ Firewall >> Filter Setup เลือก Set 1 Default Data Filter (ในบ้างรุ่นจะเป็น Set ที่ 2 ให้สังเกตที่ Data Filter)

2. เลือก Rule 2 สำหรับการตั้งค่าบล็อคการใช้งานทั้งหมด

3. ทำการตั้งค่า Rule 2 ดังนี้
          3.1 ทำการ Enable เพื่อเปิดใช้งาน (กรอบสีแดง)
          3.2 ตั้ง Comments เพื่อช่วยในการระบุว่า Rule ใช้งานเกี่ยวกับอะไร (เลือกไม่ระบุก็ได้) (กรอบสีส้ม)
          3.3 ตั้งค่า Src, Des, Service Type เป็น Any (กรอบสีเหลือง)
          3.4 เลือก Action Filter เป็น Block If No Further Match (กรอบสีเขียว)
          3.5 กด OK เพื่อบันทึก (กรอบสีน้ำเงิน)

4. ทำการตั้งค่า Filter Rule ที่ 3 สำหรับอนุญาตการใช้งานบ้าง IP Address

5. ทำการตั้งค่าที่ Rule 3 ดังนี้
          5.1 ทำการ Enable เพื่อเปิดใช้งาน (กรอบสีแดง)
          5.2 ตั้ง Comments เพื่อช่วยในการระบุว่า Rule ใช้งานเกี่ยวกับอะไร (เลือกไม่ระบุก็ได้) (กรอบสีส้ม)
          5.3 ตั้งค่า Source IP เป็น IP ที่เราต้องการอนุญาตให้ใช้งานอินเทอร์เน็ตได้ (กรอบสีเหลือง)
          3.4 ระบุ Destination และ Service Type เป็น Any (กรอบสีเขียว)
          3.5 เลือก Action Filter เป็น Block If No Further Match (กรอบสีน้ำเงิน)
          3.6 กด OK เพื่อบันทึก (กรอบสีม่วง)

ตัวอย่าง Filter Rule เมื่อเราตั้งค่าเสร็จแล้ว
(ส่วนของ Rule 1 ให้สังเกต Src IP Dst IP Service Type จะต้องเป็น Any และ Action ต้องเป็น Block If No Further Match
ในส่วนของ Rule 2 ให้สังเกต Src IP เป็น IP ที่เรากำหนด  Dst IP Service Type เป็น Any และ Action เป็น Pass Immediately )

ทดสอบ

IP 172.29.27.12 สามารถส่งข้อมูลไปยังอินเทอเน็ตได้

IP 172.29.27.100 ไม่สามารถส่งข้อมูลไปยังอินเทอเน็ตได้

Switch Edgecore Configuration:

ECS5520-18X (หากสังเกตุตาม Network Schema Switch ECS5520-18X ทั้ง 2 ตัวจะตั้งค่าเหมือนกัน)

1. สร้าง Static Trunk ขึ้นมา

2. ตาม Network Schema จะทำ Multi Peer Link เพื่อทำ MLAG ที่ Interface Port ที่ 15 และ 16 ให้เราตั้งค่าดังนี้
- ปิด Mac Address Learning บน Interface ดังกล่าว
- ปิด Spanning Tree บน Interface ดังกล่าว
- ตั้งค่า Interface ดังกล่าวให้เป็น สมาชิกของ Static Trunk ในตัวอย่างตามภาพประกอบด้านล่างจะกำหนดเป็น channel-group 1

3. ตาม Network Schema ในส่วนของ Interface Port ที่ 1 ของ Switch ECS5520-18X ตัวที่ 1 จะต้อง Uplink ไปยัง Switch ECS4120-28T ดังนั้น Interface Port ดังกล่าวจึงต้องปิด Spanning Tree ด้วยเช่นกัน

4. ตั้งค่า Peer Link ระหว่าง Switch 2 ตัวดังนี้
- สร้าง mlag domain ขึ้นมาและเลือก interface เป็น port-channel ที่เราทำ Static Trunk
- สร้าง group ตาม Static Trunk เพื่อกำหนดว่า Interface Port ใดเป็น Member ของ mlag domain บ้าง

" ในกรณีที่เป็น Peer Link ที่เป็น 1 Peer  จะใช้คำสั่งด้านล่างแทน ( ยกตัวอย่าง Peer Link คือ Interface Port ที่ 16 ) "

ECS4120-28T
1. สร้าง Static Trunk ขึ้นมา

2. ตั้งค่า Interface ดังกล่าวให้เป็น สมาชิกของ Static Trunk ในตัวอย่างตามภาพประกอบด้านล่างจะกำหนดเป็น channel-group 1

คำสั่งเพิ่มเติมเพื่อตรวจสอบ การทำงานของ MLAG
1. ตรวจสอบสถานะการทำงานของ MLAG Domain Peer Link

2. ตรวจสอบสถานะการทำงานของ MLAG Group Domain Member

Full Configuration:

ECS5520-18X ตัวที่ 1 (ฝั่งซ้ายตาม Network Schema)
ECS5520-1#configure
ECS5520-1(config)#interface port-channel 1
ECS5520-1(config-if)#ex
ECS5520-1(config)#
ECS5520-1(config)#interface ethernet 1/15-16
ECS5520-1(config-if)#no mac-learning  
ECS5520-1(config-if)#spanning-tree spanning-disabled
ECS5520-1(config-if)#channel-group 1
ECS5520-1(config-if)#ex
ECS5520-1(config)#
ECS5520-1(config)#interface ethernet 1/1
ECS5520-1(config-if)#spanning-tree spanning-disabled
ECS5520-1(config-if)#ex
ECS5520-1(config)#
ECS5520-1(config)#mlag domain test peer-link port-channel 1
ECS5520-1(config)#mlag group 1 domain test member ethernet 1/1
ECS5520-1(config)#

ECS5520-18X ตัวที่ 2 (ฝั่งขวาตาม Network Schema) ตั้งค่าเหมือนตัวที่ 1
ECS5520-2#configure
ECS5520-2(config)#interface port-channel 1
ECS5520-2(config-if)#ex
ECS5520-2(config)#
ECS5520-2(config)#interface ethernet 1/15-16
ECS5520-2(config-if)#no mac-learning  
ECS5520-2(config-if)#spanning-tree spanning-disabled
ECS5520-2(config-if)#channel-group 1
ECS5520-2(config-if)#ex
ECS5520-2(config)#
ECS5520-2(config)#interface ethernet 1/1
ECS5520-2(config-if)#spanning-tree spanning-disabled
ECS5520-2(config-if)#ex
ECS5520-2(config)#
ECS5520-2(config)#mlag domain test peer-link port-channel 1
ECS5520-2(config)#mlag group 1 domain test member ethernet 1/1
ECS5520-2(config)#

ECS4120-28T
ECS4120#configure
ECS4120(config)#interface port-channel 1
ECS4120(config-if)#ex
ECS4120(config)#
ECS4120(config)#interface ethernet 1/27-28
ECS4120(config-if)#channel-group 1
ECS4120(config-if)#ex
ECS4120(config)#

Firmware Support MLAG ต้องเป็น Version V1.2.10.212 สามารถ Download ได้ที่ Link ต่อไปนี้ครับ http://www.easynetwork.co.th/media/wysiwyg/Article/Edgecore/MLAG_ECS5520-18X/ECS5520_V1.2.10.212.bix

วิธีการทดสอบ ที่ 1

PC A , IP Address 10.10.10.1
PC B, IP Address 10.10.10.88, 10.10.10.89 (จำลองเสมือน Virtualization)
Ping Both IP Address Success 

Reference Wireshake:

Wake-on-LAN คืออะไร?

      “Wake on LAN” คือ ฟีเจอร์ที่ทำให้เราสามารถสั่งเปิดใช้งานเครื่องคอมพิวเตอร์ของเราผ่านระบบเครือข่ายโดยที่เราไม่จำเป็นต้องเดินไปกดปุ่มเปิดเครื่อง โดยในการใช้งาน Wake on LAN จะมีข้อจำกัดในส่วนของเครื่องคอมพิวเตอร์ เครื่องนั้น ๆ จำเป็นจะต้องมีฟีเจอร์นี้ด้วยในการใช้งาน

วิธีการตั้งค่า

1. เข้าไปที่ Bios ของ Laptop แล้วทำการเปิดใช้งาน Wake-On-LAN หลังจากนั้นกด Save

2. หลังจากเปิดเครื่องขึ้นมาให้ไปที่ Device Manager เลือก Card LAN ของเรา แล้วคลิ๊กขวากด Properties

3. หลังจากเปิดหน้า Properties ของ Card LAN ของเราแล้วให้ทำการตั้งค่าดังนี้

3.1 ทำการเลือกแท็บ Advanced

3.2 เลือก Wake on Magic Packet

3.3 ทำการ Enable

3.4 เลือกแท็บ Power Management

3.5 ทำการเปิดใช้งาน Allow this device to wake the computer

3.6 กด OK เพื่อ Save

4. ทำการใช้งาน Wake on LAN บน Draytek โดยไปที่ Application >> Wake on LAN

4.1 เลือก Wake by โดยใช้ MAC Address

4.2 ระบุ MAC Address ของเครื่องที่เราต้องการเปิดใช้งานผ่าน Wake on LAN

4.3 กด Wake Up

1. ไปที่ WAN >> Internet Access. กด Details Page ที่ WAN ที่เราต้องการตั้งค่า

2. ให้เราต้้งค่าที่ Specify a MAC Address และกด OK

2.1 การตั้งค่าหน้า PPPoE

2.2 การตั้งค่าหน้า Static or Dynamic IP

วิธีการตั้งค่า
1. ไปที่ Bandwidth Management >> Sessions Limit ทำการ Enable

2. การตั้งค่าต่าง ๆ บน Sessions Limit โดยการตั้งค่าจะแบ่งออกเป็น 2 ส่วนคือ

2.1 Default Max Sessions – เป็นการจำกัด Session ทั้งหมดภายใน Network ของเรา โดยจะเป็นการจำกัดให้แต่ละคนได้ Session เท่า ๆ กัน ตามที่เรากำหนด ตั้งค่าดังนี้

                    2.1.1 ใส่ค่าลงไปที่ Sessions กด OK เพื่อ Save

(ตัวอย่างการตั้งค่ากำหนดให้แต่ละ User ได้รับค่า Session ที่ 500)

          2.2 Limitation List – เป็นการจำกัด Session เฉพาะกลุ่มหรือบ้าง IP โดยเราสามารถกำหนดให้บ้าง User สามารถได้รับ Session สูงกว่า หรือน้อยกว่าที่เรากำหนดจากส่วนของ Default Max Sessions ได้ โดยมีการตั้งค่าดังนี้

2.3.1 ระบุ IP ที่ Start IP และ End IP (หากต้องการจำกัดแค่ไอพีเดียวให้ใส่ Start และ End เป็นไอพีเดียวกัน) (กรอบสีแดง)
2.3.2 กำหนดค่า Sessions ที่ต้องการจำกัด (กรอบสีส้ม)
2.3.3 กด Add เพื่อเพิ่ม List เข้าไปยังตาราง Limitation list และกด OK เพื่อ Save

2.3.5 หากต้องการแก้ไขให้กดที่ List ที่ต้องการ และทำการตั้งค่าใหม่ หลังจากกำหนดค่าเสร็จแล้วให้กด Edit และกด OK เพื่อ Save

3. การตั้งเวลาสำหรับจำกัด Default Max Session

การตรวจสอบสถานะ และดูการใช้งาน Bandwidth

ไปที่ Diagnostics >> Data Flow Monitor ทำการ Enable

          โดยในส่วนส่วนนี้จะแสดงการใช้ Bandwidth ของแต่ละ IP Address รวมถึงการใช้งาน Sessions ด้วย

ตัวอย่างการตั้งค่า Bandwidth Limit ตาม Network Diagram

        สำหรับข้อดีในการทำ Trunk Port นั้นในมุมระบบเครือข่ายถือว่าช่วยการลดค่าใช้จ่ายในกรณีที่ต้องการเชื่อมต่อ เครือข่ายที่มากกว่า 1 เครือข่ายในระยะทางที่ไกลได้
เช่นกรณีการทำ Office ที่เป็น HQ และ Branch และจำเป็นจะต้องใช้ Network ร่วมกันมากกว่า 1 Network โดยลาก Fiber Optic ข้ามตึก ซึ่งบนอุปกรณ์ประเภท Switch ที่สามารถ Manage ได้นั้นจะสามารถรองรับ Function ดังกล่าว

Network Schema:

และคำสั่ง CLI บน Switch Edgecore ที่ตั้งค่าในส่วนของ Access Port สามารถตั้งได้ตามรูปภาพถัดไปครับ

Switch Edgecore Configuration:

Switch Edgecore ตัวที่ 1 เราจะกำหนด Trunk Port บน Interface ที่ 25-28 ตาม Diagram ครับ

Pattern การใช้คำสั่งดังนี้ครับ
Edgecore-SW1(config)#interface ethernet 1/25-28
Edgecore-SW1(config-if)#switchport mode trunk
Edgecore-SW1(config-if)#switchport allowed vlan add 10,20 tagged
Edgecore-SW1(config-if)#ex

Switch Edgecore ตัวที่ 2 และเราจะกำหนด Trunk Port บน Interface ที่ 25-28 เหมือนตัวที่ 1 ครับ

Pattern การใช้คำสั่ง สำหรับ Switch ตัวที่ 2 ก็เหมือนตัวที่ 1 ดังนี้ครับ
Edgecore-SW2(config)#interface ethernet 1/25-28
Edgecore-SW2(config-if)#switchport mode trunk
Edgecore-SW2(config-if)#switchport allowed vlan add 10,20 tagged
Edgecore-SW2(config-if)#ex

และหากต้องการตรวจสอบการตั้งค่าบน Interface นั้นสามารถใช้คำสั่งต่อไปนี้เพื่อเช็คการทำงานชนิดของ Port รวมไปถึงการ Tagged VLAN, หรือ Untagged VLAN ได้เช่นกันครับ

Pettern การใช้คำสั่ง สำหรับตรวจสอบการตั้งค่าบน Interface ดังนี้ครับ ในกรณีนี้จะเป็น Interface Port ที่ 25 ครับ
Edgecore-SW1#show interfaces switchport ethernet 1/25

        สำหรับอุปกรณ์ Network บางชนิดก็สามารถทำ VLAN เพื่อแบ่งส่วนในการดูแลหรือการจัดกลุ่มผู้ใช้งานตามปลายทางที่อยู่ได้ เช่น บน Access Point บางรุ่นก็สามารถ Untagged VLAN ออกตาม SSID ได้เพื่อให้ผู้ใช้งานเกาะใช้งานแล้วสื่อสารเฉพาะ Network นั้นๆ หรือบน Switch Manage บางรุ่นเองก็เช่นกัน สามารถกำหนด Port สื่อสารให้กับผู้ใช้งานที่เข้าถึง Switch โดยตรงได้ด้วยการกำหนด VLAN วันนี้ผมจะมาแนะนำการตั้งค่า VLAN บน Switch Edgecore กันครับ ซึ่งสำหรับคู่มือนี้ผมจะแนะนำในส่วนของการตั้งค่า Access Port บน Switch Edgecore เป็นหลัก

โดยปกติแล้ว Default VLAN บน Switch จะเป็น VLAN 1 หากดูตามภาพประกอบด้านล่าง Host ที่อยู่ใน Subnet เดียวกันจะสามารถสื่อสารกันได้

        หากเรากำหนด VLAN ที่ต่างกัน ดังภาพตัวอย่างด้านล่างนี้ อุปกรณ์ที่เชื่อมต่อกับ Port ที่กำหนด VLAN 10 และ อุปกรณ์ที่เชื่อมต่อกับ Port ที่กำหนด VLAN 20 จะไม่สามารถสื่อสารกันได้ ถึงแม้จะอยู่ใน Subnet เดียวกัน

และคำสั่ง CLI บน Switch Edgecore ที่ตั้งค่าในส่วนของ Access Port สามารถตั้งได้ตามรูปภาพถัดไปครับ

ในส่วนแรกจะเป็นการสร้าง VLAN บน Database ขึ้นมา

EdgeCore-SW(config)#vlan database
EdgeCore-SW(config-vlan)#vlan 10 name Engineer media ethernet
EdgeCore-SW(config-vlan)#vlan 20 name Marketing media ethernet

ส่วนต่อไปจะเป็นการตั้งค่า Interface ในส่วนกำหนดว่า Interface ใดให้เป็น Mode ใดในกรณีนี้จะเป็น Access Mode

ในส่วนของการตั้งค่า Interface Port ที่ 1 ถึง Interface Port ที่ 12 จะเป็น Access Mode ที่เป็น VLAN 10 

EdgeCore-SW(config)#interface ethernet 1/1-12
EdgeCore-SW(config-if)#switchport mode access
EdgeCore-SW(config-if)#switchport allowed vlan add 10 untagged
EdgeCore-SW(config-if)#switchport native vlan 10
EdgeCore-SW(config-if)#exit

และในส่วนของการตั้งค่า Interface Port ที่ 13 ถึง Interface Port ที่ 24 จะเป็น Access Mode ที่เป็น VLAN 20 

EdgeCore-SW(config)#interface ethernet 1/13-24
EdgeCore-SW(config-if)#switchport mode access
EdgeCore-SW(config-if)#switchport allowed vlan add 20 untagged
EdgeCore-SW(config-if)#switchport native vlan 20
EdgeCore-SW(config-if)#exit

แนะนำให้ปิด Firewall ด้วย

Copy folder package file ที่จะ Upgrade ให้อยู่ใน Folder Netinstall เพื่อความสะดวก

เปิดโปรแกรม Netinstall (แนะนำให้ Run โปรแกรมด้วย Run as administrator)

เข้าไปที่ Net booting จากนั้นจะมีหน้าต่าง Network Booting Settings ให้กำหนดในส่วนของหัวข้อ Client IP Address เป็น IP Address เช่น 192.168.88.1 
และที่ Computer ให้ Static IP Address ให้อยู่ใน Network เดียวกับที่ตั้งบน Netinstall เช่น 192.168.88.2 ด้วย

เมื่อตั้งค่าด้านบนครบแล้ว จะเริ่มขั้นตอน Netinstall

ให้กดปุ่ม (Reset) ค้างไว้ที่ RouterBoard แล้วจึงเปิดอุปกรณ์ และให้สังเกตไฟสถานะ USR หรือ ACT บน RouterBoard ดังนี้ เมื่อสถานะไฟ กระพริบ แล้วไฟติดค้างสักพัก แล้วสถานะไฟจะดับ จังหวะไฟดับค้าง ให้ปล่อยปุ่ม Reset หลังจากนั้นสังเกตที่โปรแกรม Netinstall จะขึ้น Device List ขึ้นมา

เมื่อ Device ขึ้นมาใน List แล้วให้ กด Browse หา Folder Firmware ที่เราเก็บไว้ แล้วให้ Select Device ที่แสดงจากนั้นกด Install เพื่อติดตั้ง Firmware ใหม่

และขั้นตอนสุดท้าย ให้กด Reboot จากนั้นอุปกรณ์ RouterOS จะกลับมาใช้งานใน Firmware ที่เราได้ติดตั้งเข้าไปด้วยวิธีการ Flash ผ่านโปรแกรม Netinstall

1. ไปที่ VPN and Remote Access >> Remote Dial-in user ทำการสร้าง VPN User Profile

     1.1 ทำการ Enable
     1.2 เลือกประเภท VPN เป็น SSL
     1.3 ระบุ Username และ Password จากนั้นกด OK

2.. ให้เราเข้าไป Download Program Smart VPN ที่ https://www.draytek.com/products/utility/

3. หลังจากนั้นให้เราเปิดโปรแกรม Smart VPN เข้าไปที่ หัวข้อ Profile กด Add

4. ทำการตั้งค่า Profile VPN

          4.1 ตั้งค่า Profile (กรอบสีแดง)
          4.2 เลือกประเภทของ VPN เป็น SSL (กรอบสีส้ม)
          4.3 ระบุ IP หรือ Hostname (WAN หรือ DDNS ของ Router) เช่น 10.10.10.1 หรือ Easydemo.drayddns.com เป็นต้น (กรอบสีเขียว)
          4.4 Authentication Type เลือกเป็น Username and Password  ระบุ User Name / Password ที่ Server สร้างไว้ (กรอบสีเหลือง)
          4.5 กด OK 

5. ทำการเชื่อมต่อ VPN โดยกลับมาที่หน้า Connection

          5.1 ทำการเลือก Active Profile
          5.2 กด Connect

6. สถานะ การเชื่อมต่อ VPN หากเชื่อมต่อสำเร็จจะขึ้น Connected

1. ตรวจสอบให้แน่ว่าเราเตอร์เชื่อมต่ออินเทอร์เน็ตและเป็น IP Public จากนั้นเก็บที่อยู่ IP WAN ของเราเตอร์ไว้

2. ไปที่ System Maintenance >> Management page แล้ว enable ที่ Allow management from the Internet และ เปิดใช้งาน HTTPS Server

3. (ส่วนแนะนำ) ให้เปิดใช้งาน Access List from the Internet เพื่อเพิ่มความปลอดภัยในการเข้าถึง Router ของเรา ตั้งค่าดังนี้

          3.1 สร้าง Index IP ที่เราอนุญาตให้เข้าถึง Router โดยไปที่ Objects Setting >> IP Object เลือก Index ที่ว่างอยู่

          3.2 ทำการตั้งค่า Index ดังนี้
                   3.2.1 เลือก Address Type เป็น Single Address
                   3.2.2 ระบุ IP Address ที่เราอนุญาตให้เข้าถึง Router ที่ Start IP Address
                   3.2.3 กด OK เพื่อ Save

          3.3 ไปที่ System Maintenance >> Management ทำการเปิดใช้งาน Access List to Ping และ ระบุ Index ของ IP Object

4. (ส่วนแนะนำ) การเปลี่ยน Port ในการเข้าถึง Router โดยสามารถเปลี่ยนได้ที่ Management Port Setup

5. ทำการทดสอบเข้า Router จากภายนอก โดยการพิม Https://(ตามด้วยIP WAN ของ)

-ก่อนอื่นให้ทำการ Download ตัว Install Firefox และ Flash player20 จากลิ้งด้านล่างนี้ครับ

https://drive.google.com/file/d/16HcRcn-2rxk4vVFXZLcinNZ5w9fp7GkJ/view?usp=sharing

https://drive.google.com/file/d/1sw53VgC443UkoerhpYowCOt9JlzWwW_8/view?usp=sharing

-จากนั้นทำการลบ firefox เวอร์ชั่นล่าสุดออกก่อน เสร็จแล้วทำการ ตัดการเชื่อมกับต่ออินเตอร์เน็ต

-ลง firefox เวอร์ชั่นเก่าแล้วทำการปิด auto update mozilla firefox

-หลังจากนั้นลง Adobeflash player 20

-เมื่อลงเสร็จแล้วก็ให้ run firefox และเข้าเว็บที่จะใช้งาน (ตัวอย่าง web interface ของ deliberant) แล้วทำการ Allow ให้ flash player ทำงาน เมนูจะอยู่ แถว url รูปตัวต่อ ก็จะสามารถใช้งานได้ตามปกติครับ

และอย่าลืมเผลอไปอัพเดตบราวเซอร์เข้าละกันครับ ไม่งั้นต้องทำใหม่อีกรอบครับ ^ ^

( จากรูปเรามี Web Server 3 เครื่อง เราต้องการ Forward Port 80 ในโปรไฟล์เดียว โดยเราจะใช้ Port Redirection ในการ Forward Port )

1. ไปที่ NAT >> Port Redirection, ทำการคลิ๊ก Index ที่ยังไม่มีการใช้งาน

2. ทำการแก้ไข Index

2.1 ทำการ Enable
2.2 เลือก Range mode (ใช้กรณีที่ต้องการ Forward ไปยังหลายๆ เครื่องใช้ Port เดียวกัน)
2.3 ระบุ Service Name เพื่อเป็นการระบุ Service ที่เข้ามา
2.4 เลือก Protocol, สำหรับ HTTP จะเป็น TCP
2.5 ระบุPubic Port จะเป็น Port ที่ใช้เรียกจากภายนอก
2.6 ระบุ Private IP จะเป็น IP ของ Web Server ของเรานั้นเอง
2.7 ระบุPrivate Port จะเป็น Port ของ HTTP Service นั้นคือ Port 80
2.8 คลิ๊ก OK เพื่อ Save

(เงื่อนไขในการใช้ Mode Range เครื่องเราต้องการ Forward Port ต้องมี IP เรียงกัน เช่น 192.168.1.2-192.168.1.4)

 คำอธิบายเสริม : หากเราทำการเรียกเข้ามา โดย http://100.100.100.100:8080, เราจะเข้าไปยัง Web Server ที่ 1 IP 192.168.1.2 แต่ถ้าหากเรา เรียก http://100.100.100.100:8081 เราจะ เข้าไปยัง Web Server ตัวที่ 2 IP 192.168.1.3

วิธีการตั้งค่า Bind IP to MAC สำหรับจองหมายเลข IP

1. ไปที่ LAN >> Bind IP to MAC

          1.1 ทำการ Enable
          1.2 เลือก Mac Address ที่ต้องการจอง IP
          1.3 และ Add เข้าสู่ตาราง IP Bind List

2. หากต้องการแก้ไข IP ที่จะจองให้กับ Mac Address นี้ให้ทำตามขั้นตอนดังนี้

          2.1 เลือก IP ที่อยู่ใน IP Bind List
          2.2 ทำการแก้ไข IP ที่ช่อง IP Address
          2.3 ทำการกด Update เพื่อบันทึกการแก้ไข

            2.4 หลังจากกด Update IP ที่ IP Bind List จะเปลี่ยนไปตามที่เรากำหนดหลังจากนั้นกด OK

3. ทำการทดสอบ

            3.1 วิธีการทดสอบ ทดสอบโดยการปิด DHCP Server

            หรือทำการตั้งค่าให้ DHCP Server แจก IP ตั้งแต่ 100 เป็นต้นไป

            3.2 ทำการถอดสาย และเสียบใหม่เพื่อร้องขอ IP จาก Router ใหม่

จากภาพ หมายเลข IP ที่ได้รับคือหมายเลข IP ที่เราทำการจองไว้ คือ 192.168.1.22 

1. ไปที่ LAN >> LAN Port Mirror

1.1 ทำการ Enable
1.2 เลือก Mirror Port ที่เราต้องการเชื่อมต่อเข้าไปเพื่อดูข้อมูลของพอร์ตอื่น ๆ
1.3 ทำการเลือกว่าจะดูข้อมูลของพอร์ตไหน และ กด OK

2. เปิด Wireshark บนคอมพิวเตอร์ของเรา เลือก Interface Ethernet และ Start

3. เราจะเห็นแพ็คเก็ตจาก WAN 3

4. หลังจากเราได้แพ็คเก็ตตามต้องการให้เรากด Stop button

5. Save File สำหรับดูย้อนหลังเพื่อใช้ในการวิเคราะห์ปัญหาต่าง ๆ

6. ปิดใช้งาน Port Mirror เพื่อใช้งาน LAN ตามปกติ

Inter Routing คือ
          การที่เรากำหนดเส้นทางให้เครือข่ายภายใน (Local Network) แต่ละ Subnet สามารถสื่อสารกันได้ โดยปกติการทำ Multi-subnet หรือ VLAN จะทำการแบ่ง Network ออกจากกันทำให้ไม่สามารถสื่อสารจาก VLAN หนึ่ง ไปยังอีก VLAN หนึ่งได้

วิธีการตั้งค่า

1. ไปที่ LAN >> VLAN Configuration ทำการเปิดใช้งาน VLAN และ สร้าง VLAN สำหรับ LAN Subnet สำหรับ Officer, Server, Guest

2. ไปที่ LAN >> General Setup ทำการตั้งค่า และเปิดใช้งาน LAN 2-4

3. ทำการตั้งค่า Inter-LAN Routing โดยจะทำงานดังนี้

          3.1 หากเราต้องการให้ LAN 2 ซึ่งเป็น LAN ของ Server สามารถสื่อสารกับทุก LAN Subnet ที่เรามียกเว้น LAN 4 (Guest) ให้เราติ๊กที่ LAN 1 และ LAN 3 จาก Subnet LAN 2 ทั้งแนวตั้งและแนวนอน ตามเส้นสีแดง
          3.2 จากเส้นสีส้มเราจะเห็นว่า ไม่มีการติ๊กให้ Subnet LAN 4 สามารถสื่อสารกับ LAN 1-3 ได้

4. ทดสอบการทำงานของ Inter-LAN Routing

          4.1 ทดสอบ Ping จาก Office(192.168.61.0/24) -> Server (192.168.2.0/24) สามารถสื่อสารได้

          4.2 ทดสอบ Ping จาก Guest(172.16.77.0/24) -> Server (192.168.2.0/24) ไม่สามารถสื่อสารได้

หมายเหตุ : Feature VPN Matcher จะพร้อมใช้งานบน Firmware ตั้งแต่ v3.9.2 เป็นต้นไป

VPN Matcher

1. ไปที่ https://vpn-matcher.draytek.com ทำการสร้าง Account

2. ทำการ Log in VPN matcher

     2.1ทำการเพิ่ม Router ของเราที่ Add Device
     2.2 ทำการระบุ MAC address, และ รุ่นให้ตรงกับ Router ของเรา
     2.3 ทำการตั้งค่าเป็น VPN Server เลือกเป็น Yes
     2.4 ทำการระบุ LAN Subnet/Subnet Mask ของฝั่ง Server หลังจากนั้นกด Add

3. ทำการ Copy Router List Key สำหรับระบุในช่อง Authkey บน Draytek

ตั้งค่า Router : VPN Server

4. ไปที่ VPN and Remote Access >> VPN Matcher Setup

          4.1 ทำการ Enable
          4.2 ทำการระบุ VPN Matcher Server: “vpn-matcher.draytek.com” และระบุ Port เป็น 31503
          4.3 ทำการระบุ Account ของเรา และ ในส่วน Authkey ให้นำ Router List Key ที่มา Copy มากรอก จากนั้นกด OK

5. ให้ทำการ Get List เราจะเจอ Router ที่เราทำการ Add ไว้บน VPN Matcher หลังจากนั้นกด Create Profile

6. ทำการตั้งค่า VPN Profile ของฝั่ง VPN Server

     6.1 Select Profile ที่ยังไม่มีการใช้งาน และตั้งชื่อ Profile Name
     6.2 เลือก Direction เป็น Dial-In
     6.3 ทำการระบุ Pre-shared Key สำหรับใช้ยืนยันตนบน VPN Client
     6.4 ทำการระบุ Peer ID: สำหรับใช้ยืนยันตนบน VPN Client
     6.5 ทำการระบุ Local Network/Mask (LAN Subnet ของ Server)
     6.6 ทำการระบุ Remote Network/Mask (LAN Subnet ของ Client)
     6.7 กด OK

(หมายเหตุ จะเชื่อมต่อในรูปแบบของ VPN IPsec)

ตั้งค่า Router: VPN Client (ทำการตั้งค่าเบื้องต้นเหมือนกับ VPN Server ที่หัวข้อ 4 และ 5)

7. ทำการตั้งค่า VPN Profile ของฝั่ง VPN Client

          7.1 Select Profile ที่ยังไม่มีการใช้งาน และตั้งชื่อ Profile Name
          7.2 เลือก Direction เป็น Dial-Out
          7.3 ทำการระบุ Pre-shared Key ที่กำหนดบน VPN Server
          7.4 ทำการระบุ Peer ID: ที่กำหนดบน VPN Server
          7.5 ทำการระบุ Local Network/Mask (LAN Subnet ของ Client)
          7.6 ทำการระบุ Remote Network/Mask (LAN Subnet ของ Server)
          7.7 กด OK

          (หมายเหตุ จะเชื่อมต่อในรูปแบบของ VPN IPsec)

ตรวจสอบสถานะการเชื่อมต่อได้ที่ VPN and Remote Access >> Connection 

วิธีการตั้งค่า

1. ไปที่ Objects Setting >> Keyword Object เลือก Index ที่ยังไม่มีการใช้งาน

2. ทำการตั้งค่า Keyword Object ดังนี้

          2.1 ทำการระบุ Name สำหรับบอกว่า Index นี้ใช้งานเกี่ยวกับอะไร (กรอบสีแดง)
          2.2 ทำการระบุ ชื่อของเว็บไซต์ที่เราต้องการจะบล็อก คือ facebook youtube (โดยในหนึ่ง Index สามารถระบุได้สูงสุด 3 คำ และหากพิมคำแรกเสร็จให้เว้นวรรค(Spacebar) สำหรับพิมคำที่สอง) กรอบสีส้ม
          2.3 กด OK เพื่อ Save Index (กรอบสีเหลือง)

3. ไปที่ CSM >> URL Content Filter Profile เลือก Index ที่ไม่มีการใช้งาน

4. ทำการตั้งค่า URL Content Filter Profile ดังนี้

          4.1 ตั้งชื่อ Profile สำหรับระบุว่าทำงานเกี่ยวกับอะไร (กรอบสีแดง)
          4.2 ทำการติ๊กเปิดใช้งาน Enable URL Access Control (กรอบสีส้ม)
          4.3 เลือก Action เป็น Block (กรอบสีเหลือง)
          4.4 กด Edit เพื่อระบุ Keyword (ชื่อเว็บไซต์ที่เราต้องการบล็อก) กรอบสีฟ้า
          4.5 เลือก Keyword ที่สร้างสำหรับบล็อก Facebook และ Youtube กด OK (กรอบสีเขียว)
          4.6 กด OK เพื่อ Save  (กรอบสีชมพู)

5. ไปที่ DNS Filter เลือก Index ที่ไม่มีการใช้งาน

6. ทำการตั้งค่า DNS Filter Profile ดังนี้

          6.1 ตั้งชื่อ Profile สำหรับระบุว่าทำงานเกี่ยวกับอะไร (กรอบสีแดง)
          6.2 เลือก Profile ที่เราสร้างไว้ของ URL Content Filter (กรอบสีส้ม)
          6.3 เลือก Block Only ที่ Syslog (กรอบสีเหลือง)
          6.4 กด OK เพื่อ SAVE Profile (กรอบสีฟ้า)

7. ไปที่ Firewall >> Filter Setup เลือก Set 1 Default Data Filter

8. เลือก Filter Rule ที่ยังไม่มีการใช้งาน

9. ทำการตั้งค่า Filter Rule ดังนี้

          9.1 ทำการ Enable และตั้ง Comments เพื่อระบุว่าใช้งานเกี่ยวกับอะไร (กรอบสีแดง)
          9.2 ระบุ Source, Destination, Service Type เป็น ANY (กรอบสีส้ม)
          9.3 เลือก Action Filter เป็น Pass Immediately  (กรอบสีเหลือง)
          9.4 เลือก Profile URL Content Filter ที่เราสร้างไว้ (กรอบสีฟ้า)
          9.5 เลือก Profile DNS Filter ที่เราสร้างไว้ (กรอบสีชมพู)
          9.6 กด OK เพื่อ Save  (กรอบสีเขียว)

10. ทดสอบใช้งาน Facebook และ YouTube

          10.1 เข้าใช้งาน Facebook (ไม่สามารถใช้งานได้)

          10.2 เข้าใช้งาน YouTube (ไม่สามารถใช้งานได้)

          10.3 เข้าเว็บไซต์ที่ไม่ได้อยู่ใน Keyword List ของเรา (สามารถเข้าได้)

วิธีการตั้งค่า

1. ทำการตั้งค่า Load Balance โดยไปที่ WAN >> General Setup (Draytek จะถูกตั้งค่าเป็น Load Balance มาจากโรงงานอยู่แล้ว)

2. ทำการระบุค่าความเร็วของแต่ละ WAN ตั้งค่าที่ Line Speed โดยจะมี 2 Mode ดังนี้

          2.1 Auto Detect – โหมดนี้ Draytek จะทำการตั้งค่าความเร็วของ WAN ให้เราอัตโนมัติ โดยขึ้นอยู่กับค่าความเร็วที่ตรวจจับได้ในแต่ละช่วง (ค่านี้จะถูกตั้งค่ามาจากโรงงาน)
          2.2 According to Line Speed – โหมดนี้จะอ้างอิงจากค่าความเร็วตามเราระบุไว้ในแต่ละ WAN

                    2.2.1 ระบุค่าความเร็ว Internet ตามแพ็คเก็ตของ ISP ที่เราซื้อบริการมา

3. เลือก Mode ในการ Load Balance โดยบน Draytek มีเลือกอยู่ 2 แบบดังนี้

          3.1 IP Based – โดยจะทำการจัดสรร User ที่อยู่ในระบบของเราให้ออก WAN ตามค่าน้ำหนัก(Weight) ที่เรากำหนดเช่น มี User 50 เครื่อง และความเร็วอินเทอร์เน็ตที่ WAN 1 = 700 Mbps, WAN 2 = 300 Mbps. Draytek จะจัดสรรให้ User 35 เครื่องไปใช้งานที่ WAN 1 และ 15 เครื่องที่เหลือไปใช้งานที่ WAN 2 นั้นเอง

          3.2 Session Based – โดยโหมดนี้จะทำการแบ่ง Session ในการเชื่อมต่อของเรา และส่งไปยังทุก WAN ทำให้ได้ความเร็วรวมกันของทุก WAN

4. เปรียบเทียบ IP-Based และ Session-Based

วิธีการตั้งค่า

1. ไปที่ WAN >> General Setup เลือก WAN ที่เราต้องการตั้งเป็น Failover

2. ทำการตั้งค่า Failover โดย Failover บน DRAYTEK จะแบ่งเป็น 2 Mode คือ
          2.1 Fails to connect - ทำงานเมื่อ WAN มีปัญหา(กรอบสีเขียว) ตั้งค่าดังนี้
                   2.1.1 เลือก Active Mode เป็น Backup (กรอบสีแดง)
                   2.1.2 เลือก Active When เป็น ANY (ให้เลือก WAN ที่กรอบสีส้ม) หรือ ALL

Any - เมื่อ WAN ใด WAN หนึ่งที่เราเลือกไว้ที่ Backup For เกิดใช้งานให้ไม่ได้ให้ทำงาน

 ALL – เมื่อทุก WAN เกิดใช้งานไม่ได้ให้ทำงาน

2.2 Meet (Any or ALL) of the following conditions – เมื่อ WAN เกิดเงื่อนไขตามที่เรากำหนด ตั้งค่าดังนี้

2.2.1 เลือก Active Mode เป็น Backup (กรอบสีแดง)
2.2.2 เลือกเงื่อนไขในการทำงาน โดยจะมีรายละเอียดดังนี้ (กรอบสีส้ม)

- เลือก ANY (ทำงานเมื่อเงื่อนไขที่เลือกถึงค่าที่เรากำหนด) หรือ ALL (ทุกเงื่อนไขถึงค่าที่เรากำหนด)
- Upload Traffic reaches เมื่อค่า Upload ถึงที่เรากำหนด
- Download Traffic reaches เมื่อค่า Download ถึงที่เรากำหนด
- Latency - เมื่อค่า Latency เกินที่เรากำหนดไว้
- Jitter -  เมื่อค่า Jitter เกินที่เรากำหนดไว้
- Packet Loss – เมื่อมีการส่งข้อมูลตกหล่นกำหนดเป็นเปอร์เซ็นต์

2.2.3 กำหนดให้ทำงานเมื่อใด (Active When) กรอบสีเหลือง

ตัวอย่างการทำงานเมื่อค่า UL/DL ที่ WAN ใด WAN หนึ่ง (Active When Any) ถึงตามที่เรากำหนด

ตัวอย่างการทำงานเมื่อทุก WAN มีการใช้งาน UL/DL ถึงที่เรากำหนด (Active When ALL)

วิธีการตั้งค่า Server (HQ)

1. ไปที่ VPN and Remote Access >> LAN to LAN >> Index ทำการสร้าง VPN Profile สำหรับ VPN Client Branch1 และ Branch2

ตัวอย่างการตั้งค่า Profile Branch1

ตัวอย่างการตั้งค่า Profile Branch2

วิธีตั้งค่า VPN Client (Branch)

2. สร้าง Profile VPN เชื่อมต่อไปยัง VPN Server โดยไปที่ VPN and Remote Access >> LAN to LAN >> Index

3. ตัวอย่างการตั้งค่า VPN Client Branch1 มีรายละเอียดดังนี้

3.1 ทำการ Enable และตั้งชื่อ Profile Name
3.2 ทำการระบุ Call Director เป็น Dial-Out และ เปิดใช้งาน Always on
3.3 เลือกประเภท VPN โดยเลือกเป็น IPsec Tunnel IKEv1
3.4 ทำการระบุ Pre-Shared Key
3.5 ระบุ Server IP = IP WAN ของ VPN Server (ต้องเป็น IP Public)
3.6 เลือก IPsec Security method เป็น High
           

3.6 ระบุ Remote Network = LAN Subnet ของ Draytek2925 (กรอบสีฟ้า)
3.7 ระบุ Local Network = LAN Subnet ของ Draytek2927 (กรอบสีเขียว)
3.8 กด More สำหรับทำ Hub and Spoke

3.9 หลังจาก กด More จะมีหน้าต่างขึ้นมาให้ตั้งค่า ให้ตั้งค่าดังนี้

3.9.1 ระบุ Network IP และ Netmask เป็น LAN Subnet ของ Branch 2
3.9.2 กด Add
3.9.3 กด OK เพื่อ Save

          3.10 กด OK เพื่อ Save VPN Profile ของ Branch1

4. ทำการตั้งค่า VPN Profile ของ Branch2

ตัวอย่างการตั้งค่า VPN Profile ของ Branch2 โดยการตั้งค่าจะคล้ายกับของ Branch 1

ทำการทดสอบ Ping จาก Branch2 >> Branch 1

Client ของ Branch2
IP Address 172.29.25.11

จากรูปจะเห็นว่าเราสามารถส่ง Packet ถึง Branch1 โดยไม่ต้องต่อ VPN กันระหว่าง Branch1 และ Branch2

วิธีการตั้งค่า Server

1. ไปที่ VPN and Remote Access >> LAN to LAN >> Index ที่ว่างอยู่ (กรอบสีแดง)

2. หลังจากเลือก INDEX เพื่อตั้งค่า VPN Profile ฝั่ง Server (กรอบสีเขียวเกี่ยวกับ การตั้งค่า Profile และ ประเภทVPN)

          2.1 ทำการ Enable และตั้งชื่อ Profile Name
          2.2 ทำการระบุ Call Director เป็น Dial-In (กำหนดให้ Draytek เป็น VPN Server) Dial-Out (กำหนดให้ Draytek เป็น VPN Client)
          2.3 เลือกประเภท VPN โดยเลือกเป็น IPsec Tunnel(IKEv1/IKEv2)
          2.4 ระบุ Local Network = LAN Subnet ของ Draytek2927 (กรอบสีแดง)
          2.5 ระบุ Remote Network = LAN Subnet ของ Draytek2925 (กรอบสีส้ม)

3. กาหนด Pre-Shared Key โดยไปที่ VPN and Remote Access >> IPsec General Setup

          3.1 กำหนด General Pre-Shared Key รหัสที่ใช้ในการยืนยันตนในการเชื่อมต่อประเภท IKEv1-2 ของ IPsec
          3.2 กำหนด XAuth User Pre-Shared Key รหัสที่ใช้ในการยืนยันตนในการเชื่อมต่อประเภท XAuth (ใช้ส่วนใหญ่บน Smart Phone)
          3.3 IPsec Security Method – Basic จำนวนที่รองรับก็จะมีมากที่สุดดูจาก DH Group โดยจะลดลงตามความปลอดภัย

วิธีการตั้งค่า VPN Client

4 ทำการตั้งค่า VPN Profile ฝั่ง Client (กรอบสีเขียวเกี่ยวกับ การตั้งค่า Profile และ ประเภทVPN)

          4.1 ทำกำร Enable และตั้งชื่อ Profile Name
          4.2 ทำกำรระบุ Call Director เป็น Dial-Out (กำหนดให้ Draytek เป็น VPN Client) และเปิดใช้งาน Always on
          4.3 เลือกประเภท VPN โดยเลือกเป็น IPsec Tunnel เป็น IKEv2
          4.4 ทำกำรระบุ IP WAN ของ HQ ที่เป็น VPN Server ของเรำในช่อง Server IP (กรอบสีแดง)
          4.5 ทำกำรระบุ Pre-Shared Key ที่เรำกำหนดไว้ที่ HQ (กรอบสีแดง)

          4.6 ระบุ Local Network = LAN Subnet ของ Draytek2927 (กรอบสีแดง)
          4.7 ระบุ Remote Network = LAN Subnet ของ Draytek2925 (กรอบสีส้ม)

5. การตรวจสอบสถานการณ์เชื่อมต่อ

          5.1 โดยไปที่ VPN and Remote Access >> LAN to LAN หากเชื่อมต่อได้ Profile ของเราจะเป็นสีเขียว

          5.2 ไปที่ VPN and Remote Access >> Connection Management

6. ทดสอบ Ping ไปยัง Client Router ฝั่งตรงข้าม

(จากรูปเราทดสอบ ping ไปยัง Client ที่อยู่ภายใน Subnet 172.17.77.0/24 ของ Router ฝั่งตรงข้าม ผลทดสอบสาราถสื่อสำรกับ Client ได้)

1. เข้าไปที่ LAN >> VLAN ทำการ Enable สำหรับเปิดใช้งาน VLAN

          1.1 ทำการเลือก Port1 สำหรับ VLAN 0 และให้ตั้งค่า Subnet เป็น “LAN1”
          1.2 ทำการเลือก Port2 สำหรับ VLAN 1 และให้ตั้งค่า Subnet เป็น “LAN2”
          1.3 ทำการเลือก Port3 สำหรับ VLAN 2 และให้ตั้งค่า Subnet เป็น “LAN3”
          1.4 ทำการเลือก Port4 สำหรับ VLAN 3 และให้ตั้งค่า Subnet เป็น “LAN4”

2. ทำการตั้งค่า LAN >> General Setup “Enable LAN2,LAN3,LAN4

          2.1 ถ้าต้องการเปลี่ยน IP ให้ทำการคลิ๊กที่ Details Page ที่ LAN ที่เราต้องการจะเปลี่ยน

3. ทำการตั้งค่าภายใน LAN แต่ละ Subnet จะมีรายละเอียดการตั้งค่าดังนี้

          3.1 ทำการ Enable
          3.2 ตั้งค่า IP ของ Router ที่ IP Address
          3.3 ตั้งค่าส่วนของ DHCP Server
                   3.3.1 ทำการ Enable Server
                   3.3.2 ระบุ Start IP Address = ไอพีที่เริ่มแจกจ่ายให้กับ Client
                   3.3.3 ระบุ IP Pool Counts = จำนวนหมายเลข IP ที่แจกทั้งหมด
                   3.3.4 ระบุ Gateway IP Address = IP ของ Router แต่ละ LAN Subnet นั้น ๆ
          3.3.4 กด OK เพื่อ Save

ทดสอบใช้งาน
เชื่อมต่อที่ Port 1

เชื่อมต่อที่ Port 2

เชื่อมต่อที่ Port 3

เชื่อมต่อที่ Port 4

วิธีการตั้งค่า

1. ทำการเชื่อมต่อ Draytek กับ Radius Server โดยไปที่ Applications >> RADIUS/TACACS+

            1.1 เลือก External RADIUS
          1.2 ทำการ Enable และระบุ Comments
          1.3 ระบุ IP ของ Radius Server ที่ Primary Server
          1.4 ระบุ Shared Secret ของ Radius Server ที่ Secret
          1.5 กด OK

2. ให้แล้วกด OK อีกรอบ สำหรับ Reboot Router เพื่อให้การตั้งค่าสมบูรณ์

3. ทำการตั้งค่า Hotspot Web Portal โดยไปที่ Hotspot Web Portal >> Profile Setup กดที่ Index

4. ทำการตั้งค่า Profile ดังนี้

4.1 ทำการ Enable เพื่อใช้งาน และระบุ Comments
4.2 เลือก Portal method เป็น Various Hotspot Login
4.3 เลือก Login Method เป็น Login With RADIUS
4.4 กด Save and Next เพื่อไปตั้งค่าในส่วนของ Background

4.5 ทำการตั้งค่า Background และ Login Page Setup ตกแต่งตามที่เราต้องการ

4.6 ตั้งค่า Whitelist โดยส่วนนี้จะเป็นการยกเว้นให้กับ Domain, IP Address หรือ Port ที่เรากำหนดไว้ไม่ให้สามารถใช้งาน Internet ได้เลยไม่ต้องผ่านการ Authentication

4.7 ทำการตั้งค่าเลือก Quota Policy Profile โดยในส่วนนี้เป็นการควบคุมจำนวนอุปกรณ์ที่ใช้งาน จำกัด Bandwidth และ Session ตามที่เรากำหนดไว้ที่ Quota Management (กรอบสีน้ำเงิน)

4.8 ตั้งค่าในส่วนของ Web Portal Options เปิดใช้งาน Captive Portal Detection เพื่อให้เด้งหน้า Login ขึ้นมาอัตโนมัติ

4.9 สำหรับตั้งค่า หลังจาก Login ให้แสดงเป็นหน้าเว็บที่เราต้องการ หรือ แสดงเป็นข้อความ
                   - Fixed URL จะแสดงเว็บใส่ที่เราระบุหลังจาก Login
                   - Bulletin Message จะแสดงข้อความหลังจาก Login

4.10 เลือก LAN Subnet ที่เราต้องการให้ผ่านการ Login ก่อนใช้ Internet และกด Finish

ทดสอบใช้งาน

ตรวจสอบการใช้งาน เราสามารถกดที่ชื่อ User ไปดูรายละเอียดเพิ่มเติม

รายละเอียดการใช้งานของ User

วิธีการตั้งค่า Internal Radius บน Draytek

1.ทำการสร้าง User สำหรับ Radius Server ของเรา โดยไปที่ User Management >> User Profile
          1.1 กดที่ Profile ที่ยังไม่มีการใช้งาน (Profile 1-2 มีการใช้งานเป็นค่าดั้งเดิม)

2. ทำการตั้งค่า User Profile ดังนี้

          2.1 ทำการติ๊ก Enable this account (กรอบสีแดง)
          2.2 ระบุ Username/Password ที่เราต้องการ (กรอบสีส้ม)
          2.3 ทำการเอาติ๊กในส่วนของ Allow Authentication via ออกทั้งหมด โดยเราจะใช้ User นี้สำหรับ 802.1X เท่านั้น (กรอบสีเหลือง)
          2.4 ตั้งค่า Policy กำหนดให้ใช้งานได้แค่ 1 เครื่อง โดยกำหนดที่ Max Login Devices (กรอบสีเขียว) และสามารถกำหนดโควตาการใช้งานได้ที่กรอบสีน้ำเงิน
          2.5 เพิ่ม Profile นี้ให้ใช้งานร่วมกับ Internal RADIUS และ Local 802.1X โดยการติ๊กที่กรอบสีม่วง
          2.6 เลือก Log เป็น ALL (กรอบสีชมพู) และกด OK

3. ไปที่ Applications >> RADIUS/TACACS+ เพื่อเปิดใช้งาน Internal RADIUS ตั้งค่าดังนี้

3.1 กดที่ Internal RADIUS และทำการ Enable เพื่อเปิดใช้งาน (กรอบสีแดง)
3.2 ตั้งค่าที่ RADIUS Client Access List โดยทำการ Enable และ กำหนด Shared Secret (กรอบสีส้ม)

          3.3 เลื่อนลงมาในส่วนของ Authentication เลือก Method ให้รองรับเป็น PAP/CHAP/MS-CHAP/MS-CHAPv2 (กรอบสีเขียว)
          3.4 ทำการการเปิดใช้งาน 802.1X Method ทั้งหมด (กรอบสีน้ำเงิน)

3.5 เลือก User Profile ที่จะใช้งานร่วมกับ RADIUS โดยจะเห็นว่า Profile ที่เราสร้างไว้จะอยู่ในฝั่งของ Authentication List แล้ว

          3.6 กด OK เพื่อ Save

การตั้งค่า WAP2-EAP บน Ignite

1. ทำการ Login เข้าใช้งาน Ignite

2. ทำการกำหนดค่า SSID โดยไปที่ Wireless >> Radio#0: 5 GHz (โดยในส่วนนี้ผมจะทำการกำหนดแค่ในส่วนของคลื่น 5 GHz เท่านั้น

3. ทำการตั้งค่า SSID ดังนี้ โดยเลื่อนลงมาด้านล่างที่ Wireless Networks

            3.1 เลือก SSID 1 และทำการตั้งชื่อ SSID ของเราที่ช่อง SSID (กรอบสีแดง)

3.2 ตั้งค่าส่วนของ Security โดยเลือก Method เป็น WPA2-EAP (กรอบสีแดง)
3.3 กำหนด Encryption (กรอบสีส้ม)
3.4 ตั้งค่า Radius โดย Radius Auth Server – IP Router ของเรา (กรอบสีเขียว)
                                      Radius Auth Secret - ใส่ Shared Secret ที่เรากำหนดไว้

3.5 กำหนด Network Behavior เป็น Bridge to Internet และกด Save (กรอบสีม่วง)

3.6 กด Save และ Apply

ทดสอบใช้งาน

สามารถ Login และใช้งาน Internet ได้

2. เข้าไปยัง DRAYTEK กดที่ Product Registration หลังจากนั้น Router จะทำการ Redirection ไปที่ MyVigor

3. หลังจาก Redirection มาที่ MyVigor จะแสดงหน้าต่างด้านล่างให้ทำการตั้งค่าดังนี้

          3.1 ทำการตั้งชื่อที่ Device Name
          3.2 กด Submit

4. ทำการเปิดใช้งาน DrayDDNS License ทำตามขั้นตอนดังนี้

4.1 เลือก DrayDDNS
4.2 กด Activate

4.3 จะมีหน้าต่างเงื่อนไขการใช้งานให้เราทำการกด Accept

4.4 กด Next

4.5 กด Activate

5.ทำการตั้งชื่อ Domain ของ DrayDDNS ทำตามขั้นตอนดังนี้

5.1 ไปที่ MY PRODUCT ของ My Vigor
5.2 เลือก Router ที่เราพึ่ง Register

5.3 กดที่ Service Status

5.4 กด DrayDDNS
5.5 กดรูปปากกดที่กรอบหัวข้อ 5 เพื่อทำการตั้งชื่อ

5.6 ทำการตั้งชื่อ DDNS Domain ของเรา
5.7 กดเครื่องหมาย ถูก เพื่อ Save

6. ทำการเปิดใช้งาน DDNS บน Draytek Router โดยไปที่ Applications >> Dynamic DNS Setup

         6.1 ทำการ Enable Dynamic DNS Setup
         6.2 เลือก Index ที่ยังไม่มีการใช้งาน

7. ทำการตั้งค่า Index profile

          7.1 ทำการ Enable Dynamic DNS Account และ เลือก Server Provider เป็น DrayDDNS (Global)
          7.2 เลือก Determine WAN IP เป็น Internet IP
          7.3 ระบุ WAN Interfaces ที่จะให้ DDNS ของเราไปเก็บค่า IP
          7.4 ทำการ Sync Domain ที่เราสร้างไว้

7.5 จะมี Pop-up ขึ้นมาให้กด OK

7.6 หลังจากด OK ของ Pop-up จะมีข้อความขึ้นมาให้เรากด OK อีกรอบ

8. ทำการ Reboot Router เพื่อให้ทำการตั้งค่าสมบูรณ์ โดยไปที่ System Maintenance >> Reboot System

8.1 เลือก Using current configuration
8.2 กด Reboot Now

9. ทำการเช็คสถานะ DDNS เข้าไปที่ Dynamic DNS Setup จะเห็นว่าตรง Domain Name จะแสดง DrayDDNS ที่เราสร้างไว้ (กรอบสีแดง)

10. ทำการทดสอบ DDNS โดยการ Ping ไปที่ DrayDDNS ของเราว่าได้ IP ตรงกับ IP Public ที่ WAN ของเราหรือไม่

(ตัวอย่าง IP Public ที่ WAN จะเห็นว่าตรงกับ IP ของรูปภาพด้านบน)

1.ไปที่ LAN >> General Setup ทำการสร้าง Interface สำหรับเชื่อมกันระหว่าง DRAYTEK กับ Router ยี่ห้ออื่นๆ

1.1 การตั้งค่าภายใน LAN2
                        1.1.1 ทำการ Enable
                        1.1.2 เลือกเป็น For Routing Usage
                        1.1.3 กำหนด IP, Subnet mask, และ Disable DHCP Server กด OK

2.ทำการเพิ่ม LAN Subnet 3 โดยเราจะใช้ในการแชร์ Routing ไปยัง Neighbor อื่น

2.1 การตั้งค่าภายใน LAN3
                        2.1.1 ทำการ Enable
                        2.1.2 เลือกเป็น For Routing Usage
                        2.1.3 กำหนด IP, Subnet mask, และ DHCP Server กด OK

3. กำหนด Port DRAYTEK ในส่วนของ VLAN โดยเข้าไปที่  LAN >> VLAN Configuration

            3.1 กำหนด Port 4 บน DRAYTEK ให้เป็น LAN2 ดูจากกรอบสีแดง
            3.2 กำหนด Port 1-3 บน DRAYTEK ให้เป็น LAN3 ดูจากกรอบสีเขียว

4. กำหนดค่า Routing OSPF โดยไปที่ Routing >> OSPF

4.1 ทำการ Enable OSPF และ Profile
4.2 ทำการ Add Interface ขาที่จะใช้เชื่อมต่อระหว่าง Router (LAN2)และ Interface ที่ต้องการแชร์เข้า Routing Table ของ OSPF (LAN3)
4.3 ทำการกำหนด Area ให้ตรงกับ Router ตัวอื่นๆ (โดยในรูปผมกำหนดเป็น Area 1)
4.4 ทำการระบุตัวตน โดย Enable MD5 Auth และกรอก Password 
4.5 ระบุ Key ID เป็น 1 และกด OK

5. วิธีการเช็คสถานะ Routing Table ให้เราเข้าไปที่ Diagnostics >> View Routing Table

6. การกำหนด Policy Route ให้ DRAYTEK สามารถออกอินเทอร์เน็ต ผ่าน OSPF โดยไป
    ที่ Routing >> Load-Balance/Route Policy >> Index 1

            กำหนดค่าดังนี้
             6.1 ทำการ Enable
             6.2 ระบุ Protocol เป็น ANY
                          Source เป็น ANY
                          Destination เป็น ANY
                          Destination Port เป็น ANY
             6.3 ระบุ Interface เป็น LAN2 ( Interface ที่เราทำการเชื่อมต่อกับ Router ตัวอื่น )
             6.4 ระบุ Gateway เป็น Specific Gateway (ระบุ IP Router ฝั่งตรงข้าม)
             6.5 ระบุ Packet Forwarding เป็น Force Routing
             6.6 กด OK

โดยบน Draytek สามารถส่ง Syslog ไปเก็บได้อยู่ 2 แบบ คือ
            1. USB – เราสามารถนำแฟลชไดร์มาเสียบที่พอร์ต USB ของ Draytek เพื่อใช้ในการเก็บ Syslog ได้แต่ก็จะมีข้อจำกัดเรื่องของจำนวนความจุในการเก็บที่รองรับได้น้อย
          2. Syslog Server - โดยเราสามารถให้ Draytek ทำการส่ง Syslog ไปยัง IP ของเครื่อง Server บน Cloud หรือ NAS ภายในเครือข่ายของเราที่มี Syslog Server function ก็ได้ หรือ “เก็บบน PC/NB ของเราก็ได้เพียงแค่ลง Software ของ Draytek ที่ชื่อว่า Syslog Utility”

วิธีการตั้งค่า

การเก็บ Syslog ที่ Syslog Utility บน PC ให้ทำตามขั้นตอนดังนี้

1. ทำการ Download Syslog Utility ลงบน PC หรือ Notebook ของเรา (Link Download)

2. ทำการ Extract File และเปิดใช้งาน SyslogRD.exe

3. ตั้งค่าที่ Router ไปที่ System Maintenance >> Time and Date ทำการตั้งเวลาของ Router ให้ตรงกับเวลาของประเทศไทย

3.1   เลือกที่ Time Zone เลือกเป็น (GMT +07:00) กด OK เพื่อ save

4. ไปที่ System Maintenance >> Syslog / Mail Alert Setup ตั้งค่าดังนี้

4.1 ทำการ Enable (กรอบสีแดง)
          4.2 เปิดการใช้งานการส่ง Syslog ไปยัง Syslog Server (กรอบสีส้ม)
          4.3 ระบุ IP ของ Syslog Server / IP ของ PC ที่ลง Syslog Utility (กรอบสีเขียว)
          4.4 (ส่วนเพิ่มเติม) หากต้องการเปลี่ยน Port ให้ระบุที่ Destination Port (กรอบสีน้ำเงิน)
          4.5 เลือก Log ในส่วนต่าง ๆ ที่เราต้องการจะส่ง (กรอบสีม่วง)
          4.6 กด OK เพื่อ save

5. การดู Log บน Syslog Utility 

5.1 หากมีการส่งข้อมูล Log จะมีการแสดง IP และ รุ่น ของ Router (กรอบสีแดง)
          5.2 สามารถเลือกดูข้อมูล Log ในส่วนต่าง ๆ จากแถบ Log (กรอบสีส้ม)
          5.3 ข้อมูล Log (กรอบสีเขียว)

6. การบันทึก Log บน Syslog Utility ลงบน PC ของเรา

            6.1 กดปุ่ม Database Record (กรอบสีแดง)

          6.2 ทำการ Enable Data Base (กรอบสีแดง)
          6.3 เลือก IP Router ที่เราต้องการบันทึก Log (กรอบสีส้ม)
          6.4 เลือกข้อมูล Log ที่เราต้องการจะเก็บ (กรอบสีเขียว)
          6.5 ติ๊ก No Record Time Limit (ไม่จำกัดระยะเวลาในการบันทึก) และ ติ๊ก Never Clear database (ไม่ต้องการลบ Database) (กรอบสีน้ำเงิน)
          6.6 กด OK เพื่อ Save

7 การเรียกดู Log ย้อนหลังจาก Database บน Syslog Utility

            7.1 กดที่ Database searcher (กรอบสีแดง)

          7.2 กด Load database จาก File ที่เราบันทึกไว้ (กรอบสีแดง)
          7.3. ตั้งวันที่และเวลาที่เราต้องการดู Log ย้อนหลัง (กรอบสีส้ม)
          7.4 กด Search Database (กรอบสีเขียว)
          7.5 หลังจากเรากด Search Syslog Utility จะแสดง Log ขึ้นมา (กรอบสีม่วง)

Scenario:

Scenario นี้จะแสดงการทำงาน RouterOS โดยทำหน้าที่เป็น Gateway ให้กับระบบภายใน 3 แผนก โดยแบ่ง VLAN ตามแผนก และทำหน้าที่เป็น DHCP Server เพื่อกระจาย IP  Address ให้กับอุปกรณ์ที่มาเชื่อมต่อ โดยทั้งหมดจะครอบคุมในเรื่องการทำ Access Port และ Trunk Port

สำหรับการตั้งค่าอุปกรณ์มีดังนี้

- Ether 1 ตั้งค่า DHCP Client สามารถเข้าไปตั้งค่าได้ตามลิ้งคู่มือต่อไปนี้ >>> DHCP Client

- Ether 2 Untagged VLAN 100 และแจก IP Address ให้กับผู้ใช้งาน โดยกำหนดเป็น DHCP Server Network 172.16.10.0/24

- Ether 3 Untagged VLAN 200 และแจก IP Address ให้กับผู้ใช้งาน โดยกำหนดเป็น DHCP Server Network 172.16.20.0/24

- Ether 4 Untagged VLAN 300 และแจก IP Address ให้กับผู้ใช้งาน โดยกำหนดเป็น DHCP Server Network 172.16.30.0/24

และ Ether 5 กำลังเป็น Trunk Port โดยมีการตั้งค่าดังนี้

- Ether 5 Tagged VLAN100, 200, 300

Mikrotik Configuration:

1.) สร้าง Bridge ขึ้นมา ไปที่ Menu Bridge > กด Add + เพิ่มขึ้นมา > สามารถแก้ไขชื่อ Bridge ได้เพื่อให้สอดคล้องกับการเรียกใช้งาน

2.) สร้าง VLAN ขึ้นมาบน Interface Bridge ไปที่ Menu Interfaces > VLAN > กด Add + เพิ่มขึ้นมา

- Name : ระบุชื่อให้สอดคล้องกับการเรียกใช้งาน

- VLAN ID: กำหนด หมายเลข VLAN

- Interface : ให้กำหนดเป็น bridge

และสร้าง VLAN 200, 300 มาให้เหมือนกับ VLAN 100 โดยระบุ Interface เป็น bridge

3.) กำหนด IP Address ให้กับ Interface ไปที่ Menu IP >Addressed > กด Add + เพิ่มขึ้นมา

- ตั้งค่า Address 172.16.10.1/24 กำหนดไปที่ Interface vlan100

- ตั้งค่า Address 172.16.20.1/24 กำหนดไปที่ Interface vlan200

- ตั้งค่า Address 172.16.30.1/24 กำหนดไปที่ Interface vlan300

4.) ตั้งค่า DNS บน Mikrotik ไปที่ Menu IP > DNS

- Server: ใส่ Address ของที่อยู่ DNS Server แนะนำเป็น Address ที่ใช้งานทั่วไปเช่น DNS ของ Google (8.8.8.8)

- Allow Remote Requests: กำหนดให้ Client ที่อยู่ในระบบ ร้องขอ DNS มาที่ Mikrotik

5.) ตั้งค่า DHCP Server ให้กับ VLAN แต่ล่ะ VLAN ไปที่ Menu IP > DHCP Server > DHCP Setup (แนะนำให้ตั้งค่าแบบง่าย) > กำหนด DHCP Server Interface ที่เราต้องการให้แจก IP Address

กด Next

กด Next

กด Next

กด Next

กด Next

กด OK ภาพด้านล่างจะเห็นได้ว่า มีการสร้าง dhcp1 ที่ Interface vlan100 แล้ว

เช่นเดียวกัน ให้เราตั้งค่า DHCP Server บน VLAN อื่นๆให้เรียบร้อย

6.) ตั้งค่า NAT ไปที่ Menu IP > Firewall > NAT > กด Add + เพิ่มขึ้นมา

- Chain: ตั้งค่าเป็น srcnat

- Src. Address: หากไม่ตั้งค่าปล่อยว่าง จะหมายถึงทั้งหมดของ Network (แนะนำให้ตั้งค่าจะดีที่สุด ผู้ดูแลระบบจะได้ทราบขั้นตอนการทำงานของแต่ล่ะ Network ที่เรา Design ขึ้นมา) ตามภาพ กำหนด Network 172.16.10.0/24 สำหรับ vlan100

- Out. Interface: ตั้งค่าเป็น Interface ขาออกของ RouterOS ตาม Scenario กำหนดเป็น Interface Ether1

 ไปที่หัวข้อ Action

- Action: กำหนดเป็น Masquerade เพื่อสวมหน้ากาก LAN ของ Network วงที่เรากำหนดออกสู่ WAN ภายนอก

เช่นเดียวกัน ตั้งค่า NAT ของ Network อื่นๆให้เรียบร้อย

7.) กลับมาที่หัวข้อ Bridge เนื่องจากเราเตรียมพร้อม VLAN / DHCP Server / DNS / NAT ไว้เรียบร้อย ต่อไปจะเป็นการกำหนด Port ของอุปกรณ์ RouterOS ไปที่ Menu Bridge > VLANs > กด Add + ขึ้นมา

- Bridge: กำหนดเป็น Interface bridge ที่เราสร้างขึ้นมา

- VLAN IDs: กำหนดหมายเลข VLAN

- Tagged: กำหนด Interface ที่ต้องการ ทำ Trunk Port ตามภาพจะกำหนดเป็น bridge และ ether5

- Untagged: กำหนด Interface ที่ต้องการ ทำ Access Port ตามภาพจะกำหนดเป็น ether2 สำหรับ vlan100

เช่นเดียวกันกำหนด vlan200 และ vlan300 ให้เรียบร้อย โดยกำหนด

- vlan200 Untagged ที่ Interface ether3 ส่วน Tagged ที่ Interface bridge และ ether5

- vlan300 Untagged ที่ Interface ether4 ส่วน Tagged ที่ Interface bridge และ ether 5 

ตามภาพประกอบด้านล่างนี้

8.) เพิ่ม Interface เข้าไปใน Bridge ที่เราสร้างไว้ ไปที่ Menu Bridge > Ports > กด Add + ขึ้นมา

  8.1 ) สำหรับ ether2 ตาม Scenario จะกำหนดเป็น Access Port VLAN100 

      - Interface: กำหนดเป็น ether2

      - Bridge: กำหมดเป็น bridge

       ไปที่หัวข้อ VLAN กำหนด PVID ให้เป็น 100

  8.2 ) สำหรับ ether3 ตาม Scenario จะกำหนดเป็น Access Port VLAN200 

      - Interface: กำหนดเป็น ether3

      - Bridge: กำหมดเป็น bridge

       ไปที่หัวข้อ VLAN กำหนด PVID ให้เป็น 200

  8.3 ) สำหรับ ether4 ตาม Scenario จะกำหนดเป็น Access Port VLAN300 

      - Interface: กำหนดเป็น ether4

      - Bridge: กำหมดเป็น bridge

       ไปที่หัวข้อ VLAN กำหนด PVID ให้เป็น 300

  8.4 ) สำหรับ ether4 ตาม Scenario จะกำหนดเป็น Trunk Port

      - Interface: กำหนดเป็น ether5

      - Bridge: กำหมดเป็น bridge

       ไปที่หัวข้อ VLAN กำหนด PVID ให้เป็น 1

9.) และขั้นตอนสุดท้าย สำคัญญญญญญญญญญญญญญญญญญญญญญญ !!!! ที่สุด อย่าลืมเปิด Filtering VLAN บน Bridge มิเช่นนั้น VLAN ที่เรากำหนดมาจะไม่ทำงาน

โดยสามารถตั้งค่าโดยการเข้าไปที่ Menu Bridge > Bridge > เลือก bridge ที่เราสร้างไว้ > ไปที่หัวข้อ VLAN

- VLAN Filtering: กด Enable (แนะนำให้ทำขั้นตอนสุดท้ายหลังจากกำหนดค่าหัวข้อ VLANs และ PVID บนหัวข้อ Ports มิเช่นนั้นหากเปิดทำงาน โดยไม่กำหนด PVID และการตั้งค่า Port จะไม่สามารถเข้าถึง Mikrotik ได้ หรือ หากอุปกรณ์มี Interface จำนวนมาก แนะนำให้กำหนดเฉพาะ Port ที่เราจะใช้เท่านั้น ส่วน Port ไหนว่างอยู่ก็ไม่จำเป็นต้องเอาเข้า Bridge)

10.) ทดสอบผลลัพท์

1. ทดสอบ เชื่อมต่อที่ Interface Ether2 อุปกรณ์ได้รับ IP Address 172.16.10.254 และทดสอบ Ping(ICMP) ไปที่ Domain www.google.com

2. ทดสอบ เชื่อมต่อที่ Interface Ether3 อุปกรณ์ได้รับ IP Address 172.16.20.254 และทดสอบ Ping(ICMP) ไปที่ Domain www.google.com

3. ทดสอบ เชื่อมต่อที่ Interface Ether4 อุปกรณ์ได้รับ IP Address 172.16.30.254 และทดสอบ Ping(ICMP) ไปที่ Domain www.google.com

4. สำหรับ Trunk Port ติดตามเอกสารฉบับถัดไปสำหรับการใช้งาน SwOS ร่วมกับ RouterOS ได้เลยครับผม : )

หากผิดพลาดประการใดหรืออธิบายส่วนใดไม่ถูกต้อง ต้องขออภัยมา ณ ที่นี้ ด้วยครับ

Scenario:

สำหรับการเชื่อมต่อ RouterOS ของ Mikrotik ให้ออกสู่ Internet ได้ด้วยการรับ IP Address จากที่อื่น โดยใช้ Function DHCP Client บน Mikrotik

Mikrotik Configuration:

1.) เข้าไปที่ Menu IP > DHCP Client > กด Add + เพิ่มขึ้นมา 

- กำหนด Interface ที่จะรับ IP Address

- กำหนด ให้ Mikrotik รับ DNS หรือ NTP จาก DHCP Server ปลายทางหรือไม่ ( Recommend Disable ให้ไปใส่ DNS,NTP แยกบนตัว Mikrotik แทน )

 2.) ตรวจเช็คอุปกรณ์ว่าได้รับ IP Address หรือไม่ สามารถตรวจสอบได้ที่ Menu IP > Addresses

- จากภาพประกอบด้านล่าง จะเห็นได้ว่า อุปกรณ์ได้รับ IP Address 192.168.222.xx/24 จาก Port Ether1

3.) และขั้นตอนสุดท้าย ให้ทำการทดสอบอุปกรณ์ RouterOS สามารถสื่อสาร Internet ภายนอกได้หรือไม่

หรือทดสอบง่ายๆจากการใช้ CLI ทดสอบ Ping ไปที่ IP Address ที่เป็น Public ก็ได้เช่นกันครับ โดยบน RouterOS สามารถเข้าไปใช้งาน CLI ได้ที่ Menu "New Terminal" ซึ่งอยู่บริเวณซ้ายมือของหน้าต่าง Winbox จากนั้นใช้คำสั่ง ping xxx.xxx.xxx.xxx ได้เลยครับ

เพียงเท่านี้ RouterOS ของเราก็สามารถเชื่อมต่อกับโลกภายนอกได้แล้ว

1. ไปที่ Routing >> Load-Balance/Route Policy >> คลิ๊กที่ Index 1

2. การตั้งค่า Index สำหรับ กำหนด Facebook ไปที่ WAN 1

2.1 ทำการ Enable Index และ ทำการตั้งชื่อที่ Comment (กรอบสีแดง)
2.2 ทำการระบุ Protocol โดยในส่วนนี้เราจะระบุเป็น ANY (หมายถึง ทุก ๆ Protocol นั้นเอง) (กรอบสีส้ม)
2.3 ทำการระบุ Source เป็น ANY (ทั้งหมด หรือ ทุก Subnet IP) (กรอบสีส้ม)
2.4 ทำการระบุ Destination หรือปลายทางโดยเราจะเลือกเป็น Domain Name และ ระบุเป็น Facebook.com (กรอบสีส้ม)
2.5 ทำการเลือก Interface ที่เราต้องการให้ข้อมูลที่เกี่ยวกับ Facebook ไปยัง WAN นั้น ๆ โดยจะเลือกเป็น WAN 1 (กรอบสีเหลือง)
2.6 ระบุ Gateway เป็น Default Gateway
2.7 เลือก Force NAT ที่ Packet Forwarding to WAN/LAN via 
2.8 หากต้องการให้มีเส้นทางสำรองในกรณีที่ WAN 1 มีปัญหาให้เปิดใช้งาน Failover to 
2.9 กด OK เพื่อ Save

3. ทำการเพิ่ม Index ที่ Load-Balance/Route Policy >> คลิ๊กที่ Index 2

4. การตั้งค่า Index สำหรับ กำหนด YouTube ไปที่ WAN 2 

(โดยในส่วนของการตั้งค่า Index YouTube นั้นจะเหมือนกับในส่วนของ Index Facebook โดยจะเปลี่ยนสองส่วนดังนี้)

4.1 Destination เป็น youtube.com (กรอบสีแดง)
4.2 Interface จะเลือกเป็น WAN 2 (กรอบสีส้ม)
4.3 กด OK เพื่อ Save Index

ทดสอบใช้งาน
จากรูปจะเห็นว่า DrayTek IP WAN 1 จะเป็น 10.10.10.10 และ WAN 2 จะเป็น 20.20.20.10

ทดสอบ Traceroute ไป YouTube

ทดสอบ Traceroute ไป Facebook

Scenario:

สำหรับการเชื่อมต่อ RouterOS ของ Mikrotik กับ ISP เพื่อออกสู่ Internet จะต้องยืนยันตนกับทางผู้ให้บริการ โดยมีการตั้งค่ายืนยันตนของ Username และ Password บน PPPoE Client Mode

Mikrotik Configuration:

1.) เข้าไปที่ Menu PPP > Interface กด Add + เพิ่มขึ้นมา > เลือกที่ PPPoE Client

2.) ในส่วนของหน้าแรก General

- Name ให้ระบุให้ชัดเจนในกรณีที่ผู้ดูแลระบบต้องการชื่อที่ตรงกับการใช้งานของ Interface นั้น

- Interface ให้ระบุ Port ที่เชื่อมต่อไปยัง Internet สำหรับ Scenario นี้เชื่อมต่อที่ Interface ether1

3.) ในส่วนของหน้า Dial Out

- Username, Password จากทาง ISP ที่ให้มา

- Use Peer DNS: ในกรณีนี้หาก Enable จะดึง DNS จากผู้ให้บริการมาใช้ ( Recommend Disable ให้ไปใส่ DNS แยกบนตัว Mikrotik แทน )

4.) ในส่วนของหน้า Status จะแสดง Local Address และ Remote Address หาก ยืนยันตัวตนกับ ISP สำเร็จ 

หรือให้สามารถตรวจเช็ค IP Address ที่ ISP กำหนดให้เราได้ที่ Menu IP > Address

และขั้นตอนสุดท้าย ให้ทำการทดสอบอุปกรณ์ RouterOS สามารถสื่อสาร Internet ภายนอกได้หรือไม่

หรือทดสอบง่ายๆจากการใช้ CLI ทดสอบ Ping ไปที่ IP Address ที่เป็น Public ก็ได้เช่นกันครับ โดยบน RouterOS สามารถเข้าไปใช้งาน CLI ได้ที่ Menu "New Terminal" ซึ่งอยู่บริเวณซ้ายมือของหน้าต่าง Winbox จากนั้นใช้คำสั่ง ping xxx.xxx.xxx.xxx ได้เลยครับ

เพียงเท่านี้ RouterOS ของเราก็สามารถเชื่อมต่อกับโลกภายนอกได้แล้ว

WAN Health Check คือ อะไร?
            คือฟังก์ชั่นที่จะช่วยในส่วนของการตรวจสอบคุณภาพของ WAN ว่ามีคุณภาพเพียงพอในการใช้งานหรือไม่ โดยอ้างอิงจากการ Ping Packet ไปยัง IP ปลายทางที่เรากำหนด (ควรเป็น IP Public) หากมีการตอบกลับ Packet กลับตามที่เรากำหนด จะถือว่า WAN ถูกตัดการเชื่อมต่อ ทำให้ Interface WAN Down

วิธีการตั้งค่า
1. ไปที่ WAN >> Internet Access เลือก WAN เราต้องการกำหนด Health Check กด Details Page

2. ทำการตั้งค่า WAN Health Check ไปที่ WAN Connection Detection (กรอบสีแดง)

2.1 เปลี่ยน Mode เป็น Ping Detect (กรอบสีส้ม)
2.2 ทำการกำหนด IP ที่เราจะใช้เป็นตัวกำหนด Ping Check (ควรเป็น IP Public เช่น 8.8.8.8, 8.8.4.4, 1.1.1.1 เป็นต้น) (กรอบสีเขียว)
2.3 กำหนดค่า TTL โดยค่าดังเดิมจะกำหนดเป็น 255 (กรอบสีน้ำเงิน)
2.4 กำหนด Ping Interval (เป็นการกำหนดให้ส่ง Packet ทุก ๆ กี่วิ) (กรอบสีน้ำเงิน)
2.5 กำหนด Ping Retry (จำนวนที่จะส่ง Packet ทั้งหมดกี่ครั้ง) (กรอบสีน้ำเงิน)
2.6 กด OK เพื่อ save

การตั้งค่า
1. ไปที่ LAN >> PPPoE Server ทำการตั้งค่าดังนี้

          1.1 ทำการ Enable
          1.2 กำหนด Primary DNS และ Secondary DNS หลังจากนั้นกด OK

2. ทำการสร้าง PPPoE User Profile โดยไปที่ User Management >> User Profile เลือก Profile ที่ไม่มีการใช้งาน

3. ทำการตั้งค่า Profile ดังนี้

          3.1 ติ๊ก Enable this account เพื่อเปิดใช้งาน (กรอบสีแดง)
          3.2 ระบุ Username กับ Password และ Confirm password (กรอบสีแดง)
          3.3 (ตั้งค่าเพิ่มติม) สามารถกำหนดค่า Idle Timeout (หากไม่มีการใช้งานจะ Log out) และสามารถตั้งเวลาใช้งานร่วมกับ Schedule
          3.4 (ตั้งค่าเพิ่มเติม) สามารถกำหนดค่า จำกัดจำนวนอุปกรณ์ที่ใช้งาน และ จำกัดปริมาณการใช้งานของข้อมูล และกำหนดเวลาการใช้งานได้
          3.5 (ตั้งค่าเพิ่มเติม) Enable MAC Address Binding ใช้สำหรับล็อค User นี้ให้กับ MAC ที่เรากำหนดเท่านั้น
          3.6 ใช้สำหรับ Fix IP ที่ต้องการกำหนดให้เฉพาะ Profile นี้ (กรอบสีม่วง)
          3.7 กด OK เพื่อ save

ทดสอบใช้งาน PPPoE โดยใช้ Router ทำการเชื่อมต่อไปยัง PPPoE Server

จากรูปจะเห็นว่าเราได้รับ IP จาก PPPoE Server

Network Diagram

การตั้งค่า

1. ไปที่ WAN >> General Setup เลือก WAN ที่เราจะท าการ Tag VLAN

2. ทำ การตั้งค่า

2.1 ทำการตั้งค่าในส่วนของ VLAN Tag insertion Customer (กรอบสีส้ม)
2.2 ทำการ Enable (กรอบสีแดง)
2.3 ระบุค่า VLAN (กรอบสีแดง) โดยค่า VLAN จะได้รับจาก ISP (โดยแต่ละผู้ให้บริการจะใช้ ค่า VLAN ไม่เหมือนกัน แนะนำให้ติดต่อ ISP เพื่อสอบถถามค่า VLAN ที่เราต้อง Tag)
2.4 กด OK เพื่อ Save (กรอบสีเขียว)

หมายเหตุ
ความแตกต่างระหว่าง Customer (กรอบสีส้ม) และ Service (กรอบสีน้ำเงิน)
Customer – ใช้งานสำหรับ Tag โดยที่มีกำรใช้งาน service เพียงแค่กำรใช้อินเทอร์เน็ตเท่านั้น และ หากมี Service อย่างอื่นเช่น VoIP, IP TV ให้ใช้งานร่วมกับ Multi-VLAN

Service – ใช้งานในกรณีที่ ISP ส่ง Service ให้เราโดยใช้ Q-in-Q และหากมี Service อื่น ๆ เช่น VoIP, IP TV ให้ใช้งานร่วมกับ Multi-VLAN

3. การตงั้ค่า Multi-VLAN ไปที่ WAN >> Multi-VLAN เลือก Channel ที่ยงัไม่มีการใช้งาน

4. ทำการตั้งค่า VLAN ที่ Multi-VLAN

4.1 ทำการ Enable
4.2 เลือก WAN Type เป็น WAN ที่เราต้องการ Tag VLAN
4.3 ทำการระบุค่า VLAN ที่ VLAN Tag และกด OK

1. ทำการโหลด Program Firmware Upgrade Utility (ตามลิงค์ Download Firmware Upgrade Utility)

2. ทำการโหลด Firmware ของ Model ที่เราต้องการอัพเกรด (Download FW)

3. ทำการเชื่อมต่อ LAN PC ของเรากับ Router และทำการตั้งค่า Static IP PC ของเราดังนี้
3.1 IP address: 192.168.1.10
3.2 Subnet Mask: 255.255.255.0
3.3 Default Gateway: 192.168.1.1 (IP Default ของ Router)
PC/Laptop

4. ทำ TFTP Mode บน Router โดยให้กดปุ่ม Reset ของ Router ค้างไว้และ ทำการเปิด Router อีกครั้ง รอจนเข้า Mode TFTP (สังเกตุได้จาก ไฟสถานะกระพริบเร็ว ๆ )

5. เปิดใช้งาน Firmware Upgrade Utility โดยทำการตั้งค่าดังนี้

5.1 ทำการระบุ Router IP เป็น 192.168.1.1
5.2 เลือก Firmware ที่เราต้องการอัพเกรดที่ Firmware File (กดที่กรอบสีส้มสำหรับเลือก Firmware)
5.3 หลังจากระบุครบแล้วให้ทำการกด Send (กรอบสีเขียว)

6. รอให้ Program Firmware Upgrade Utility ทำงานจนเสร็จ หลังจากนั้น Router จะทำการ Reboot และใช้งานตามโหมดปกติ

1. ทำการสร้าง Remote Access User Accounts โดยไปที่ VPN and Remote Access >> Remote Dial-in User และทำการเลือก Index ที่ต้องการ

2. ทำการตั้งค่า Remote Access User Accounts

2.1 หลังจากเลือก Index ทำการตั้งค่าโดย (สำหรับ Android , PC , Notebook )

- ทำการ Enable this account

- สร้าง Username Password

- เลือกประเภทของ VPN PPTP/L2TP และกด Ok

2.2 หลังจากเลือก Index ทำการตั้งค่าโดย (สำหรับ Mac, IPHONE)

- ทำการ Enable this account

- เลือกประเภทของ VPN IPsec

3. ทำการตั้งค่า General Pre-Shared Key (หากเลือกประเภทเป็น IPsec ต้องมาตั้งค่า Pre-Shared Key ก่อนหากยังไม่เคยตั้งค่า )

4. การตั้งค่า VPN บน Notebook, PC Windows 10

- เข้าไปที่ Network & Internet Setting

- ไปที่ VPN และทาการ Add a VPN connection

- ทำการตั้งค่า VPN

VPN provider = Windows (buit-in)

Connection name = สำหรับคาอธิบาย

Server name or address = IP Public ของ router หรือ DDNS ของ Router

VPN type = ให้เลือกเป็นประเภทที่เราสร้างไว้ใน Router

Type of sign in info = ให้เลือกเป็น User name and Password และทาการกรอก Username แ ละ Password และกด Save

- ทำการ Connect

1. ไปที่ Applications >> Active Directory /LDAP. สำหรับเชื่อมต่อ Draytek เข้ากับ AD/LADP

ทำการ Enableและเลือก Bind Type. โดยจะแยกเป็น 3 ประเภทดังนี้

Simple Mode – โดยปกติจะเป็นตัวเลือกเมื่อ User ทั้งหมดอยู่ในโฟลเดอร์ / ระดับเดียวกัน ใน AD / LDAP Server โดย Router จ ะทำการเชื่อมต่อสำหรับ Authentication เท่านั้น แต่จะไม่มีReaching

Anonymous Mode – ทำงานโดยการ ค้นหาด้วย Anonymous Account (บัญชีผู้ใช้แบบไม่ ระบุตัวตน) หลังจากนั้นทำ การ Authentication (โดยปกติโหมดนี้จะไม่ค่อยถูกใช้งาน เพราะ Windows AD Server จะ ปฏิเสธการ Authentication จาก Anonymous Account เป็นค่าดังเดิมอยู่แล้ว)

Regular Mode – เป็นตัวเลือกเมื่อ มี User อยู่ในโฟลเดอร์ย่อยต่า ง ๆ (Sub Folder) ส่วน ใหญ่จะเหมือนกันกับโหมด Anonymous แต่เซิร์ฟเวอร์จะตรวจสอบสิทธิ์ในการค้นหา ด้วย Regular DN และ Regular Password authentication หรือไม่ ในโหมดนี้Router จะส่ง Bind Request กับ Regular DN และ Regular Password ไปยังเซิร์ฟเวอร์ LDAP / AD เมื่อผ่านการตรวจสอบความถูกต้อง Router จะทำการค้นหาจากนั้นเซิร์ฟเวอร์ LDAP และจะ ค้นหา DN ของผู้ใช้ที่แน่นอนในโฟลเดอร์ย่อยต่าง ๆ

(ในตัวอย่างนี้เราจะใช้Regular mode โดยเราจะมี LDAP Server มี OU People และ OU RD1, RD2, RD3 ภายใต้ OU People และมี User ภายใต้ OU RD1, RD2, RD3 ที่ได้รับอนุญาตสำหรับ การใช้งาน VPN)

2. ทำการตั้งค่า Active Directory / LDAP (Regular Mode)

-ทำการ Enable และเลือก Bind Type เป็น Regular Mode (กรอบสีแดง)

-ทำการระบุ IP ของ LDAP / AD Server ที่ Server Address (กรอบสีส้ม)

-ระบุ DN และ Password ที่ส่วนของ Regular DN และ Regular Password กด Ok
จากนั้น Router จะทำการขอรีสตาร์ท (กรอบสีน้ำเงิน)

(หมายเหตุ: หากเซิร์ฟเวอร์ LDAP ที่คุณมีเป็นเซิร์ฟเวอร์ Windows AD ให้ใช้cn = เริ่มต้น DN เสมอดังในภาพด้านล่าง)

3. สร้าง Profile LDAP Server ไปที่ Active Directory / LDAP Profile เลือก Index ที่ไม่มีการใช้งาน

4. ตั้งค่า AD/LDAP Server Profile

-ตั้งชื่อ Profile ที่ Name (กรอบสีแดง)

-ระบุ Common Name Identifier เป็น CN (กรอบสีส้ม)

-โดยในส่วนของ Base Distinguished Name เราสามารถใช้ไอคอนค้นหาเพื่อป้อนข้อมูล
User ได้เลย (กรอบสีชมพู)

(ในตัวอย่างด้างล่าง เราต้องการอนุญาตให้User ที่อยู่ใน OU RD1, RD2 และ RD3 เข้าถึง VPN ได้ดังนั้นเรา จึงเลือก OU People ที่มี OU RD1, RD2 และ RD3 สำ หรับ Base Distinguished Name จากนั้นกด OK)

5. ทำการตั้งค่า การยืนยันตัวตนสำหรับใช้งาน Remote dial-in โดยใช้ User จาก AD/LDAP ให้ไปที่ VPN and Remote Access >> PPP General Setup

-ทำการเลือก Dial-in PPP Authentication เป็น PAP Only (กรอบสีแดง)

-เลือก AD/LDAP Profile ที่เราสร้างขึ้นมา (กรอบสีส้ม) เปิดใช้งาน AD / LDAP

-เราสามารถเลือกให้ User ที่ VPN เข้าได้จาก IP จาก LAN Subnet ใดที่ (กรอบสีน้ำเงิน)

หลังจากเรากดคลิ๊กที่ "Close All Windows" แล้ว ในส่วนของ Windows ต่างๆที่เราเปิดไว้ก็จะโดยปิดทั้งหมด

ความสำคัญของการตั้งเวลา ทำให้ผู้ดูแลระบบ สามารถจัดการระบบบาง Function ที่ต้องการอิงเรื่องเวลานั้น ให้สอดคล้องกับการทำงาน เช่น Script ที่ทำ Scheduler หรือ การตรวจสอบ Log การทำงาน ในส่วนพวกนี้เราจำเป็นจะต้องใช้ เวลา ในการตรวจสอบการทำงานและสั่งการทำงานเป็นต้น

วันนี้ผมจะมายกตัวอย่างการตั้งค่า Domain ที่เป็น SNTP Server ของ google กันครับ รูปแรกเราจะได้เห็นว่า ในส่วนของ SNTP ผมมีการตั้ง Primary NTP Server เป็น time1.google.com และ Secondary Server เป็น time2.google.com

จากนั้นให้เรากด Apply ทดสอบดู จะเห็นได้ว่า Mikrotik จะทำการ Solve Domain ของ time1.google.com ให้เป็น IP Address 216.239.35.0 ตามภาพที่สองครับ

หลายๆตำราหรือแม้แต่กระทั่งบน Mikrotik Wiki เองก็ตามต่างแนะนำให้เราตั้งความปลอดภัยในส่วนของ Password โดยแนะนำการตั้งค่าดังนี้
- ขั้นต่ำ 12 อักขระ
- รวมตัวเลขสัญลักษณ์ตัวพิมพ์ใหญ่และตัวพิมพ์เล็ก
- ไม่ใช่คำในพจนานุกรมหรือการรวมคำศัพท์ในพจนานุกรม

โดยท่านสามารถใช้ CLI คำสั่งนี้ได้เลยครับ

หรือ

แต่หากข้อแนะนำที่ดีที่สุด ให้สร้าง Account ใหม่ และทำการลบ Account Default ที่เป็น User: admin ออกเพื่อความปลอดภัยที่ดีขึ้นโดย ใช้คำสั่งดังนี้

 ในส่วนของ Winbox สามารถทำตามขั้นตอนด้านล่างดังต่อไปนี้ได้เลยครับ

หาก ในส่วนของการสร้าง Account เราสามารถตั้งค่า Group ให้กับ User นั้นๆได้ ซึ่ง Default จะมีอยู่ 4 Group (api, full, read, write)

หากเราสร้าง Account ที่เป็น Group (Read) ในส่วนการจัดการบน Winbox สิทธิ์ต่างๆจะไม่สามารถ Write คำสั่งได้ แต่จะสามารถดูได้ทุกเมนูว่าในส่วนของการตั้งค่ามีอะไรบ้าง พูดง่ายๆก็ตามชื่อ Group ก็คืออ่านได้อย่างเดียว ผลลัพท์ก็จะได้ตามรูปภาพด้านล่างครับ

หรือเราเองต้องการให้ Account Admin สามารถจัดการบน Web Fig ได้เฉพาะบางเมนู เช่นต้องการให้จัดการได้เฉพาะในส่วนของ Hotspot บน Mikrotik ก็สามารถทำได้ โดยให้เราเข้าไปที่ Web Fig ของ Mikrotik ในแทบ Menu ซ้ายมือจะมี Menu ที่ชื่อว่า "Design Skin" ให้เราเข้ามาที่ Menu นี้

 จากนั้น หมายเลข 1 ให้เรา Custom Menu ตามที่เราต้องการ และสุดท้ายในส่วนหมายเลข 2 ให้เราตั้งชื่อ Skin Template ที่เราตั้งค่าไว้

จากนั้นให้เราตั้ง Profile บน Group ใหม่โดยกำหนดสิทธิ์ และเลือก Skin Template ที่เราสร้างขึ้นมา

และขั้นตอนสุดท้ายสร้าง Account โดยกำหนด Group ให้ตรงตามที่เราตั้งค่า Profile ไว้

หากทดสอบด้วยการ Login ด้วย Account ที่เราผูกไว้กับ Group นั้นๆ เราก็จะได้ Template ตามที่เรากำหนดไว้

 เพียงเท่านี้เราก็สามารถจำกัดผู้ดูแลระบบในการเข้าถึงส่วนต่างๆได้แล้ว

หากเราพูดถึงการ Configure อุปกรณ์ Mikrotik นั้นจำเป็นจะต้อง Configure ผ่านโปรแกรม " Winbox " เป็นหลัก ซึ่งปกติแล้วโปรแกรม Winbox ของ Mikrotik นั้นมีการเชื่อมด้วย 2 รูปแบบ เชื่อมต่อด้วย MAC Address หรือ IP Address

สำหรับวันนี้เราจะมาแนะนำวิธีจัดการ MAC Winbox Server และตั้งค่าในส่วนของ MAC Winbox Server เพื่อเพิ่มความปลอดภัยใน LAN ของ Mikrotik กันครับ

ซึ่งจากภาพประกอบด้านบน เราเห็นได้ว่า เราสามารถกำหนดให้ Remote ด้วย MAC Winbox Server ผ่าน Interface ที่เราต้องการได้

ขั้นตอนแรก ให้เราสร้าง Interface List ขึ้นมาใหม่

ขั้นตอนต่อมาให้เรา เลือก Port ที่ต้องการ อนุญาติ Remote ด้วย MAC Address หากเราเลือก Interface ether 5 ลงไปยัง List ที่เราสร้าง ก็จะมีเพียงแค่ Interface ether 5 เท่านั้นที่จะสามารถ Remote ด้วย MAC Address ได้

 ขั้นตอนที่สอง ให้เราไปกำหนด Interface บน MAC Winbox Server ที่เราสร้างไว้

เพียงเท่านี้ ผู้ใช้งานภายนอกที่ต้องการ Remote ด้วย MAC Winbox ก็จะไม่สามารถ Remote ได้หากไม่ได้เชื่อมต่อกับ Interface ที่เรากดหนดไว้ใน List ถึงแม้จะสามารถสแกนผ่าน Neighbors Discovery Protocols แล้วเห็น MAC Address ก็ตาม

หากผู้ใช้งานลองทดสอบเชื่อมต่อผ่าน Interface ที่เราไม่ได้ตั้งค่าให้เข้าถึงด้วย MAC Winbox Server ได้จะขึ้นตามภาพด้านล่างครับ

เพียงเท่านี้ เราก็สามารถป้องกันผู้ใช้งานที่ไม่พึงประสงค์ที่จะพยายาม Remote เข้ามาผ่าน MAC Winbox Server ได้แล้วครับ

          หากเราพูดถึงการตั้งค่าความปลอดภัยในระบบเครือข่าย วันนี้เราจะมาแนะนำความปลอดภัยในส่วนของการป้องกัน DHCP Server ที่ไม่พึงประสงค์ หรือที่เราเรียกว่า Rogue DHCP เข้ามาในระบบเครือข่ายของท่าน ทำให้อุปกรณ์ของผู้ใช้งานได้รับค่าผิดเพี้ยนไม่ว่าจะเป็น IP Address, Gateway, DNS ซึ่ง Rogue DHCP (Attacker) อาจจะปลอมตัวเป็น Gateway เพื่อดักจับข้อมูลของผู้ใช้งานก็เป็นได้หรือที่เราเรียกว่า Man in the Middle (MITM) หรือแม้แต่กระทั่งผู้ใช้งานเองมีความประสงค์ที่อยากจะกระจายสัญญาณไร้สายให้ครอบคลุมพื้นที่ส่วนตัว จึงมีการจัดซื้อ Router WIFI มาใช้ โดยที่ขาดความรู้การตั้งค่าของอุปกรณ์ จึงมีโอกาสที่ผู้ใช้งานนั้นจะเชื่อมต่อ Port ระหว่างเครือข่ายผิด เช่นเสียบ Port ที่จ่าย DHCP ของ Router WIFI เข้ามาในระบบเครือข่ายของท่าน ทำให้ DHCP ย้อนเข้ามาในระบบ

          ดังนั้นมันจึงมี Feature ที่ชื่อ DHCP Snooping ที่ช่วยป้องกันการแจก DHCP Server ที่ไม่พึงประสงค์เข้ามาในระบบเครือข่าย โดยกำหนดค่า Port บนอุปกรณ์ให้ Port ไหนมีความน่าเชื่อถือ (Trusted) แสดงว่า Port นั้นอนุญาติให้มีการแจก DHCP Server เข้ามา ส่วน Port ไหนที่ไม่มีความน่าเชื่อถือ (Untrusted) ก็จะไม่ถูกตั้งค่าไว้ ซึ่ง Port ดังกล่าวก็จะไม่อนุญาติให้ DHCP Server แจก IP Address เข้ามา

เรามาดูการตั้งค่า บน Switch Ignitenet ที่เป็น Model FNS-PoE-10 กันเลยครับ

สำหรับการตั้งค่าบนหน้า Web Management มีขั้นตอนดังนี้ครับ

ขั้นตอนที่ 1 ในส่วนของ Menu ซ้ายมือ เข้าไปที่ Security > DHCP Snooping > เปิดใช้งาน DHCP Snooping Status เป็น สถานะ ON

ขั้นตอนที่ 2 ให้เปลี่ยน Step: Configure VLAN และให้เราเลือก VLAN ที่ต้องการเปิด DHCP Snooping และให้เราเปิดสถานะ DHCP Snooping Status ให้เป็น ON

 ขั้นตอนสุดท้าย ไปที่ Step: Configure Interface > Port > ให้เราเลือก Port ที่เรารับ DHCP Server เข้ามา แล้วให้เปิดสถานะที่ หัวข้อ Trust Status เป็นสถานะ ON

หรือหากต้องการตั้งค่าผ่าน Command Line Interface (CLI) ก็สามารถตั้งค่าตามคำสั่งด้านล่างนี้ได้เลยครับ

หากเราพูดถึงการ Configure อุปกรณ์ Mikrotik นั้นจำเป็นจะต้อง Configure ผ่านโปรแกรม " Winbox " เป็นหลัก ซึ่งปกติแล้วโปรแกรม Winbox ของ Mikrotik นั้นมีการเชื่อมด้วย 2 รูปแบบ เชื่อมต่อด้วย MAC Address หรือ IP Address

สำหรับการใช้งานภายในรบบเครือข่ายหรือการตั้งค่าเริ่มต้น เราจะต้องเชื่อมต่อระหว่าง Mikrotik และ Laptop,PC ด้วยสาย LAN และเปิดตัวโปรแกรม Winbox ขึ้นมา ซึ่งตัวโปรแกรม Winbox จะมีแถบ Menu ที่ชื่อ Neighbors อยู่ ในหน้านี้จะต้องโปรแกรม Winbox จะสแกนหา MAC Address, IP Address ของอุปกรณ์ Mikrotik ที่เราเชื่อมต่อหรือมีในระบบเครือข่ายอยู่

ที่กล่าวมาข้างต้นจะมีช่องโหว่ในการค้นหาอุปกรณ์ Mikrotik หากผู้ที่มาใช้งานระบบมีความรู้ความเข้าใจการเข้าถึง Mikrotik เช่น ใช้ Mikrotik ในธุรกิจโรงแรม,โรงเรียนเป็นต้น ผู้ใช้งานบางคนอาจจะใช้โปรแกรม Winbox เข้ามาดู MAC Address หรือ IP Address ของ Mikrotik ที่เราตั้งเป็น Gateway และอาจจะถูกโจมตีได้ง่าย ดังนั้น วันนี้เราจะมาแนะนำทุกท่านในการปิดในส่วนของ Neighbors Discovery บน Mikrotik กันครับ

Neighbor Discovery Protocols ช่วยให้เราค้นหาอุปกรณ์ที่เข้ากันได้ (มองเห็นอุปกรณ์ที่เสียบอยู่) ซึ่ง Protocol ดังกล่าวจะมีอยู่ในอุปกรณ์หลากหลายแบรนด์ อย่าง Mikrotik จะเป็น MNDP (Mikrotik Neighbor Discovery Protocols) และ Cisco เอง ก็จะเป็น CDP (Cisco Discovery Protocol) หรือ LLDP (Link Layer Discovery Protocol) ที่อยู่ใน Layer 2 Broadcast Domain โดยทั้งหมดนี้สามารถใช้เพื่อแสดงการเชื่อมต่อของ Network ท่านได้

ภาพแรก เราจะเห็นได้ว่าหากเราไม่ปิด Neighbor Discovery ไว้ เราจะสแกนเจอบนโปรแกรม Winbox

ขั้นตอนแรก ให้เราสร้าง Interface List ขึ้นมาใหม่

ขั้นตอนต่อมาให้เรา เลือก Port ที่ต้องการแสดง Neighbors Discovery Protocols หากเราเลือก Interface ether 1 ลงไปยัง List ที่เราสร้าง ก็จะมีเพียงแค่ Interface ether 1 เท่านั้นที่จะแสดงข้อมูลอุปกรณ์ผ่าน Neighbors Discovery Protocols

ขั้นตอนที่สอง ให้เราไปกำหนด Interface ที่เราสร้างไว้

เพียงเท่านี้เราก็จะมองไม่เห็น Mikrotik แต่เรายังคงสามารถเชื่อมต่อผ่าน MAC Address หรือ IP Address ของ Mikrotik ได้เหมือนเดิม แต่จะไม่แสดงบนหน้าของโปรแกรม Winbox

     การตั้งค่า Captive Portal เพื่อใช้ทำหน้า Authentication ให้เลือกหัวข้อ Captive Portal > Basic Settings จากนั้นเลือก Enable แล้วกด Ok

      เมื่อทำการ Enable แล้ว จะแสดงหน้าสำหรับปรับแต่งหน้าต่างที่แสดง เมื่อ User จะทำการ Authentication

     ให้ทำการเลือก Authentication Type เป็น With username and password เพื่อให้ User ที่จะทำการ Authentication ใส่ Username และ Password ตามที่กำหนด

      Session Timeout Interval เป็นเวลาที่ User สามารถใช้งาน Internet ได้ เมื่อครบกำหนดเวลา User จะต้องทำการ Authentication ใหม่ เพื่อทำการเชื่อมต่อ Internet อีกครั้ง โดยที่

• 0 hour (limit): ไม่มีกำหนดครบเวลา สามารถใช้งานได้โดยไม่มี limit
• 24 hours: User ที่ทำการเชื่อมต่อ Internet สามารถใช้งานได้ 24 ชั่วโมง
• 72 hours: User ที่ทำการเชื่อมต่อ Internet สามารถใช้งานได้ 72 ชั่วโมง
• 168 hours: User ที่ทำการเชื่อมต่อ Internet สามารถใช้งานได้ 168 ชั่วโมง
• Manual: กำหนดเวลาที่ User ที่ทำการเชื่อมต่อ Internet เอง

      Auth User MAC Address Blinding ถ้าทำการเปิด Enable จะเป็นการ Authentication ผ่าน MAC Address

Logo: เป็นการเปลี่ยน Logo โดยจะต้องมีขนาดไม่เกิน 30 KB (จะแสดงเฉพาะในโทรศัพท์มือถือ)

Title: เพิ่มหัวเรื่องที่ต้องการ (จะแสดงเฉพาะในโทรศัพท์มือถือ)

Background Image: เปลี่ยนภาพพื้นหลัง โดยรูปภาพต้องมีขนาดไม่เกิน 200 KB และมีอัตราส่วน ไม่เกิน 16:9

Disclaimer: เพิ่มคำอธิบายเพิ่มเติม

Redirected To: หากต้องการให้ User ไปยังหน้าเว็บที่ต้องการ หลังจากการทำ Authentication สำเร็จ ให้เลือก Specified Page และใส่ URL ที่ต้องการ  

เมื่อทำการตั้งค่าทุกอย่างเสร็จเรียบร้อยให้กด Ok เพื่อบันทึกค่า

เมื่อบันทึกค่าเสร็จเรียบร้อย จะแสดงภาพตัวอย่างที่ด้านขวามือ

     เมื่อทำการปรับแต่งหน้า Authentication สำเร็จแล้ว ให้ทำการเข้าไปที่หัวข้อ User Management เพื่อทำการกำหนด Username และ  Password สำหรับทำการ Authentication

     Authentication-free Host: เป็นการทำ Authentication ผ่าน IP Address หรือ Mac address ที่กำหนด โดยกดปุ่ม Add เลือก Address Type ที่ต้องการ จากนั้นกรอก Address ของอุปกรณ์ที่จะทำการเชื่อมต่อ หากต้องการเพิ่ม Address เพิ่มเติม สามารถ กดปุ่ม “ + ”  ด้านหลังเพิ่มได้เลย จากนั้นกรอกข้อมูล และทำการกดปุ่ม OK เพื่อบันทึกข้อมูล

     User Management: เป็นการกำหนด Username Password สำหรับทำการ Authentication โดยให้ทำการกดปุ่ม Add กำหนด Username และ Password ที่ต้องการ No. of Login Users เป็นจำนวน User ที่สามารถทำการ Authentication ผ่านรหัสนี้ได้ Account Validity Period วันที่หมดอายุการใช้งาน Internet หากต้องการเพิ่ม Username และ Password สามารถ กดปุ่ม “ + ”  ด้านหลัง จากนั้นกรอกข้อมูล และทำการกดปุ่ม OK เพื่อบันทึกข้อมูล

หน้า Authentication ผ่าน Web browser

           หน้า Redirect หลังทำการ Authentication สำเร็จ

     หน้า Authentication ผ่าน Smart Phone และหน้า Redirect หลังทำการ Authentication สำเร็จ

2. ทำการระบุค่า Bandwidth ที่เราต้องการจำกัดแต่ละ User (โดยในส่วนนี้จะใช้งานร่วมกันทุก Subnet)
            -สามารถ ปรับค่าเป็น Kbps/Mbps

3. ถ้าหากต้องการจำกัดเฉพาะ IP/Subnet สามารถระบุได้ที่ Limitation List
            3.1 Start IP – IP หมายเลขแรก เช่น ต้องการจำกัด 100 IP (192.168.1.10-192.168.1.109)
            3.2 End IP – IP หมายเลขสุดท้าย (192.168.1.10-192.168.1.109) 
            3.3 ทำเลือกว่าจะให้ แบ่ง เป็น Each (จำกัด Bandwidth แต่ละคนเท่ากับ หัวข้อที่4.) Shared (ทำการแบ่ง Bandwidth จากที่เรากำหนดที่ หัวข้อที่4.) 3.4-5 ทำการระบุค่า TX (Upload) และ RX (Download) ที่เราต้องการกำหนดเฉพาะ
            3.6 ทำการ Add แล้ว ( ตัวอย่าง : Index1 กำหนดให้จำกัด BW ตั้งแต่ 192.168.1.10-192.168.1.15 ให้ได้รับความเร็ว User ละ Upload 100k Download 100k, ในส่วนของ Index2 กำหนดให้จำกัด BW ตั้งแต่ 192.168.1.20-192.168.1.25 ให้แบ่งความเร็วจากค่าที่กำหนดไว้ที่ 1000k ทั้ง Upload และ Download )

Feature - เพิ่มเติมบน Bandwidth Limit

Smart Bandwidth Limit - ใช้สำหรับควบคุมปริมาณ Bandwidth เรากำหนดเงื่อนไขเพิ่มคือ ถ้าหาก มีการใช้งานเกินค่า Sessions ที่เรากำหนดไว้จะถูกจำกัดความเร็วตามค่า TX/RX ด้านล่าง

Auto-Adjustment – ใช้สำหรับกรณีที่เราต้องการให้ User สามารถใช้งาน Bandwidth ได้มากกว่าเรากำหนดไว้ โดยจะทำงานก็ต่อเมื่อ Bandwidth ในขณะนั้นมีผู้ใช้งานไม่เยอะ เช่น เรากำหนดความเร็วไว้ที่ 10/10 Mbps แต่หาก Router ทำการตรวจสอบว่าในขณะนี้มี Bandwidth เหลือให้ใช้งาน ผู้ใช้งานก็จะได้รับความเร็วมากกว่าที่เรากำหนดไว้

4. การตรวจสอบสถานการณ์ใช้งาน Bandwidth และ Sessions สามารถเข้าไปได้ที่ Diagnostics >> Data Flow Monitor
          - ทำการ Enable Data Flow Monitor

            1.) Fix IP Address ของคอมพิวเตอร์ ให้อยู่ใน Subnet Network เดียวกับ Mesh WIFI

            2.) นำ IP Default หมายเลข 192.168.1.2 กรอกลง Web browser เพื่อเข้าสู่การตั้งค่า Draytek Mesh WIFI - VigorAP 903

            3.) กรอก User name เป็น admin และ Password เป็น admin จากนั้นกด Login 

             เมื่อ Login เข้าสู่ระบบแล้ว จะเข้าสู่หน้า Dashboard โดยจะเป็นหน้าแสดงสถานะของอุปกรณ์

Quick Start Wizard

               Quick Start Wizard เป็นการหน้าการเลือกโหมดอุปกรณ์ โดยจะมีโหมดให้เลือก ดังนี้ Access point, Mesh Root, Mesh Node, Range Extender

              1.) การตั้งค่า MESH WIFIนั้นให้ตั้งค่า VigorAP 903 ในโหมด Mesh Root จากนั้นกด Next

                            - WIFI Name: ชื่อ SSID ที่ต้องการแสดง

                            - WIFI Password: รหัสผ่าน WIFI 

                            - Enable 2nd WIFI: เพิ่มชื่อ SSID ที่ต้องการแสดง

                            - Enable Bandwidth Limit: กำหนดความเร็วการส่งข้อมูลของ Upload และ Download

                            - Enable Station Control: เป็นการกำหนดเวลาการเชื่อมต่อของ Guest Connecting 

              2.) กำหนดรหัสผ่านให้กับอุปกรณ์ใหม่ 

              3.) แสดงสถานะเมื่อการตั้งค่าเสร็จสิ้น 

              4.) จากนั้น VigorAP 903 จะค้นหา VigorAP 802 ให้อัตโนมัติ ให้ทำการเลือกอุปกรณ์ที่ต้องการ จากนั้น กดปุ่ม Apply

Operation Mode

              AP: อุปกรณ์จะทำตัวเป็น Bridge ระหว่างอุปกรณ์ที่มาเชื่อมต่อ และ Wire Ethernet

Network

              MeshRang Extender: VigorAP จะทำตัวเป็น Wireless Repeater ทำให้สามารถขยายพื้นที่สัญญาณให้ครอบคลุมมากยิ่งขึ้น โดยสามารถเป็นได้ทั้ง Access Point Station และ Acess Point ได้ในเวลาเดียวกัน

                            - Mesh Root: VigorAP เชื่อมต่อ gateway ด้วย Ethernet Cable

                            - Mesh Node: เป็นการเชื่อมต่อ Mesh Root ด้วยสัญญาณ Wireless

              Rang Extender: VigorAP จะทำตัวเป็น Wireless Repeater ทำให้สามารถขยายพื้นที่สัญญาณให้ครอบคลุมมากยิ่งขึ้น โดยสามารถเป็นได้ทั้ง Access Point Station และ Acess Point ได้ในเวลาเดียวกัน

การตั้งค่า LAN

                การตั้งค่า LAN สามารถตั้งค่าได้ในหัวข้อ LAN > General Setup

              สามารถรับ IP Address ได้ ด้วยการกดปุ่ม Enable DHCP Client หรือ หากต้องการทำ Static IP Address ให้กำหนด IP Address, Subnet Mask และ Default Gateway และ DNS Server

             เมื่อต้องการให้ Mesh WIFI แจก IP Address ให้กับอุปกรณ์ที่มาเชื่อมต่อ ให้ Enable ที่หัวข้อ Enable Server จากนั้นกำหนดค่าต่าง ๆ ดังนี้

                            - Start IP Address: ค่า IP Address เริ่มต้น

                            - End IP Address: ค่า IP Address สุดท้าย

                            - Subnet Mask: ค่า Subnet Mask

                            - Default Gateway: ค่า Default Gateway

                            - Lease Time: เวลาใช้งานของ IP Address

                            - Primary DNS Server: ค่า DNS หลัก

                            - Secondary DNS Server: ค่า DNS รอง

การเชื่อมต่อ Mesh VigorAP 903 เข้ากับ VigorAP 802

             1.) ตั้งค่า Mesh VigorAP 903 เป็นโหมด Mesh Root จากนั้นเลือกหัวข้อ Mesh > Mesh Setup กดปุ่ม Search เพื่อค้นหา VigorAP 802 ที่ต้องการเชื่อมต่อ

              2.) เมื่ออุปกรณ์ค้นหาเสร็จเรียบร้อย ให้ทำการตั้งค่าชื่ออุปกรณ์ ในช่อง Device Name ของอุปกรณ์ที่ต้องการเชื่อมต่อ จากนั้นติ๊กเครื่องหมายถูกหน้าอุปกรณ์ที่ต้องการ จากนั้นกดปุ่ม Apply

              3.) อุปกรณ์เชื่อมต่อกันเสร็จเรียบร้อย จะแสดงดังภาพ ให้กดที่ปุ่ม OK เพื่อบันทึกค่า

              4.) หากต้องการนำอุปกรณ์ออก ให้เลือกที่อุปกรณ์ที่ต้องการ จากนั้นกดปุ่ม Delete หรือ หากต้องการนำอุปกรณ์ออกทั้งหมดให้กดปุ่ม Reset เพื่อนำอุปกรณ์ที่มาเชื่อมต่อออกทั้งหมด 

              Status ของอุปกรณ์สามารถดูได้ที่หัวข้อ Mesh > Mesh Status ภายในจะแสดงชื่อของอุปกรณ์ที่ได้ทำการตั้งค่าไว้, Mac Address, ชื่อรุ่นอุปกรณ์, โหมดการทำงาน, ชื่อกลุ่ม Mesh ที่ตั้งไว้, Link Status, จำนวน Hop, จำนวนอุปกรณ์ที่มาเชื่อมต่อ (Downlink Number), หมายเลข Mac Address ของอุปกรณ์ที่มาเชื่อมต่อ (Downlink) และช่องสัญญาณ 5G ที่ Mesh ใช้เชื่อมต่อกัน

              ในส่วนนี้จะแสดง Status ของอุปกรณ์ที่มาเชื่อมต่อกับ Mesh VigorAP 903 โดย จะมีไฟสถานะดังนี้

                            - ไฟสถานะสีแดง หมายถึง อุปกรณ์ Offline

                            - ไฟสถานะสีเหลือง หมายถึง อุปกรณ์ Online ทำการเชื่อมต่อแล้ว และรอรับค่า Config

                            - ไฟสถานะสีเขียว หมายถึง อุปกรณ์ Online และรับค่า Config เรียบร้อยแล้ว

              การอัพเดทค่า Config สามารถอัพเดทได้ที่หัวข้อ Mesh > Basic Config Sync จากนั้นเลือกหัวข้อที่ต้องการ โดยจะมีหัวข้อดังนี้ System Maintenance, Wireless LAN (2.4GHz) และ Wireless LAN (5GHz) หรือกด Select All เพื่อเลือกค่า Config ทั้งหมด จากนั้นกด Apply

การตั้งค่า Wireless LAN 2.4 GHz และ 5 GHz

               การตั้งค่า Wireless LAN 2.4GHz สามารถตั้งค่าได้ที่หัวข้อ Wireless LAN (2.4GHz) > General Setup โดยจะสามารถตั้งค่าต่างๆได้ดังนี้

                 การจำกัดจำนวน Client: ให้เลือก Enable Client Limit จากนั้นกรอกจำนวน Client ที่สามารถเชื่อมต่อได้ หากต้องการจำกัด Client ในแต่ละ SSID ให้เลือกหัวข้อ Enable Client Limit per SSID จากนั้นกรอกจำนวน Client ในแต่ละช่อง SSID

                 โหมด และการตั้งค่า Channel

                                  - Mode: มาตราฐาน 802.11/b/g/n

                                  - Channel: เลือกช่อง Channel ที่ต้องการ

                                  - Extension Channel: Channel เพิ่มเติม 

                 การตั้งค่า SSID

                 - การเปิด-ปิดการใช้งาน SSID: เลือกอุปกรณ์ที่ต้องการ จากนั้นกด Enable เพื่อทำการ เปิดใช้งาน หากต้องการปิดการใช้งาน ให้คลิ๊กเครื่องหมายถูกออก

                 - การซ่อน SSID: กดที่ช่อง Hide SSID ของอุปกรณ์ที่ต้องการ เพื่อทำการซ่อน SSID

                 - การเปลี่ยนชื่ออุปกรณ์: กรอกชื่อที่ต้องการในช่อง SSID

                 - Isolate LAN: Client ที่เชื่อมต่อ WIFI SSID เดียวกัน จะไม่สามารถเข้าถึง PC sinv LAN ได้

                 - Isolate Member: Client ที่เชื่อมต่อ WIFI SSID เดียวกัน จะไม่สามารถมองเห็นกันได้

                 - VLAN ID: การ Untag VLAN ให้แต่ละ SSID

                 การตั้งค่า Password ของแต่ละ SSID

                 การตั้งค่า Password สามารถตั้งค่าได้โดยเลือกหัวข้อ Security

                                  1.) เลือก SSID ที่ต้องการ

                                  2.) เลือก โหมดการตั้งค่ารหัสผ่าน

                                  3.) กรอกรหัสผ่านที่ต้องการ

                                  4.) กด OK

                  การอัตราความเร็วการส่งข้อมูล (Transmission Rate)

                  สามารถตั้งค่าได้โดยเลือกหัวข้อ Advance Setting

                 - Channel Bandwidth: การเลือก Channel Bandwidth โดยมีให้เลือกดังนี้ 20 MHz, 40 MHz และ Auto 20/40MHz

                 - Tx Power: เปอร์เซ็นกำลังส่ง

                 - Country Code: ประเทศไทย (TH) หรือหากต้องการเลือกประเทศอื่น สามารถค้นหาได้ที่ https://en.wikipedia.org/wiki/ISO_3166-1_alpha-2#Current_codes

                 - Auto Channel Filtered Out List: เลือกช่อง Channel ที่ต้องการ

                 - Isolate 2.4GHz and 5GHz bands: ผู้ใช้งาน 2.4 GHz จะไม่สามารถติดต่อกับ ผู้ใช้งาน 5 GHz ได้

                  สำหรับการตั้งค่า Wireless Lan 5 GHz สามารถตั้งค่าได้โดยเลือกที่หัวข้อ Wireless Lan (5 GHz) จากนั้นตั้งค่าเช่นเดียวกับ 2.4 GHz ดังที่กล่าวไว้ข้างต้น

2. กำหนดค่า Budget ให้กับ LTE WAN
                 -ทำการ Enable
                 -ระบุ Quota Limit หรือ การจำกัดข้อมูลในการใช้งาน สามารถเลือกเป็น MB/GB
                 -(เพิ่มเติม) ถ้าหากเราต้องการให้ WAN หยุดใช้งานหลังจากครบกำหนดให้ทำการ Enable Shutdown WAN interface (กรอบสีส้ม)
                 -ตั้งวันที่ต้องการให้ Reset ค่า โดยมีให้ระบุเป็น Monthly = จะทำการ Reset ทุกเดือนโดยระบุ วันและเวลาในการ Reset Custom = มีการกำหนดค่าแบบ รอบชั่วโมง หรือ รอบวัน

3. การตั้งค่าแจ้งเตือน 
                 -กำหนดการแจ้งเตือนโดย กดเข้าไปที่ Notification Object

4. ทำการเลือก Index แล้วทำการแก้ไข 
                 -ให้เราทำการระบุ Profile name
                 -ทำการ ติ๊กหัวข้อ Limit Reached ในส่วนของ WAN Budget (โดยจะมีการส่งแจ้งเตือนมาในกรณีที่ข้อมูลใช้งานถึง 95%-100% ของข้อมูลที่เรากำหนด)
                 -กด OK เพื่อบันทึก

5. ให้เรามาตั้งค่าในส่วนของ SMS / Mail Service Object

6. หลังจากเราตั้งค่าเสร็จแล้ว ให้เรากลับมาที่ WAN Budget แล้วทำการระบุ Profile Notification

7. เราสามารถตรวจสอบการใช้งาน Bandwidth ในปัจจุบันด้วยเข้าไปที่ WAN Budget >> Status

คู่มือการตั้งค่า Multiple SSID และ Multiple VLAN บน AP IP-COM ผ่าน Controller

พื้นฐานของความปลอดภัยในเลเยอร์ 2

          ความปลอดภัยในเลเยอร์ 2 ที่ เป็นเลเยอร์ Data Link ใน OSI Model คือหนึ่งในเจ็คเลเยอร์ที่ ออกแบบมาเพื่อสร้างงานร่วมกัน ถ้า มองในเรื่องความปลอดภัย แล้วก็ถือว่าไม่ค่อยดีเท่าไหร่ ถ้ามีการ โจมตีที่เลเยอร์หนึ่งจะไม่เป็นที่ รับทราบของเลเยอร์อื่นที่เหลือเสมอ ไป หากมีการโจมตีเข้ามาที่เลเยอร์ 2 ก่อนส่วนที่เหลือในเครือข่ายของคุณ ก็จะได้ผลกระทบในที่สุด เพราะฉะนั้น เครือข่ายคุณจะ แข็งแกร่งหรือไม่ จึงขึ้นอยู่กับส่วนที่ เป็นจุดอ่อนที่สุดก็คือที่เป็นเลเยอร์ Data Link
          การโจมตีเลเยอร์ 2 นั้นอาจไม่ส่งผลถึงข้อมูลสูญหายหรือถูก ขโมยข้อมูลใดๆ แต่การเสียหายนั้นจะเป็นในรูปแบบของสร้างให้ระบบใช้งานไม่ได้ระบบจะหน่วงๆ ช้าๆ ซึ่งตรงจุดนี้เองสร้างให้ผู้ดูแลระบบต้อง แก้ไขอยู่เรื่อยๆ และบทความนี้จะเน้นไปที่การออกแบบ เลเยอร์ 2 ใน หอพัก อพาร์ทเมนต์ โรงแรม

การเตรียมตัวสร้างTrunk และ VLAN

วัตถุประสงค์

           1. สร้าง Trunk บน Controller และกำหนด VLAN ID
           2. สร้าง SSID Policy และสร้าง VLAN Policy
           3. การ Deploy Configuration ไปที่ AP จากจุดเดียว

1. สร้าง Trunk บน Controller และกำหนด VLAN ID

          กำหนด IP Address ให้อยู่ในวงเดียวกับ VLAN1 จาก Mikrotik ซึ่งจริงๆ ไม่ต้องสร้างอะไรเพราะเรากำหนด VLAN 1 เป็นวงเดียวกับ Controller อยู่แล้ว
          ไปที่เมนู System Tool และแถบ Network ตรงการตั้งค่า VLAN Setting ให้ใส่ VLAN 100 , 200 ไปที่ LAN1 ที่เอาไปต่อกับ Switch ที่สร้าง Trunk มา จากนั้นให้ Reboot 1 ที ครับ

2. สร้าง SSID Policy และสร้าง VLAN Policy

          สร้าง SSID Policy 2 Policy โดยกำหนดค่า VLAN ID ดังภาพ ให ้ตรง กับที่เราต้องการเช่น IT-VL200 เมื่อต่อไวไฟจะได้รับ IP วงของ VLAN200