ในฐานะ ISP คุณถือ "ประตูเน็ต" ของลูกค้าทั้งหมด — ถ้าเราเตอร์หลัก/Mikrotik โดนแฮก ผลกระทบไม่ใช่แค่คุณ แต่ลามถึงลูกค้าทุกราย เราเตอร์ที่ตั้งค่าหลวม ๆ ตกเป็นเหยื่อบอตเน็ต/ถูกยึงได้ง่ายกว่าที่คิด บทความนี้เป็น เช็กลิสต์ความปลอดภัยพื้นฐาน ที่ ISP ทุกเจ้าควรทำ — โฟกัสที่ Mikrotik และพอร์ทัล ทำตามได้เลยไม่ต้องเป็นผู้เชี่ยวชาญ
เหมาะกับ: ISP/เน็ตหมู่บ้านที่ดูแล Mikrotik เอง • คนที่อยากปิดช่องโหว่พื้นฐานก่อนโดนเล่นงาน
1. อัป RouterOS ให้ทันสมัย
ช่องโหว่ที่ถูกใช้โจมตี Mikrotik ส่วนใหญ่ ถูกแก้ในเวอร์ชันใหม่ไปแล้ว — แต่เครื่องที่ไม่เคยอัปยังเปิดช่องไว้
- อัป RouterOS เป็นเวอร์ชันเสถียรล่าสุดสม่ำเสมอ
- ติดตามประกาศช่องโหว่จาก MikroTik
- อัป firmware (RouterBOARD) ด้วย ไม่ใช่แค่ RouterOS
เครื่องที่ตั้งทิ้งไว้ปีโดยไม่อัป = เป้าหมายอันดับแรกของบอตเน็ต
2. รหัสผ่าน + บัญชีผู้ใช้
- เปลี่ยนชื่อ user
adminเป็นชื่ออื่น (กันการเดา user มาตรฐาน) - ตั้ง รหัสยาว สุ่ม ไม่ซ้ำ (ใช้ตัวสร้างรหัส)
- ทำบัญชีแยกต่อคน อย่าใช้ร่วมกัน — รู้ว่าใครทำอะไร
- ปิด/ลบบัญชีที่ไม่ใช้
3. ปิดเซอร์วิสที่ไม่ใช้ (สำคัญสุด)
ไปที่ IP → Services — เปิดเฉพาะที่จำเป็น ปิดที่เหลือ:
# เหลือเฉพาะที่ใช้ + ผูก IP ผู้ดูแล + เปลี่ยนพอร์ต
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set api disabled=yes
set api-ssl disabled=yes
set ssh address=<IP ผู้ดูแล> port=<พอร์ตไม่มาตรฐาน>
set winbox address=<IP ผู้ดูแล>- เปิดแค่ SSH / Winbox และ จำกัดด้วย IP ผู้ดูแล เท่านั้น
- เปลี่ยนพอร์ตจากค่า default (ลด noise การสแกน)
- ปิด MAC-Telnet / MAC-Winbox / MAC-Ping บนเครือข่ายจริง
- ปิด Neighbor Discovery (NDP/CDP) ฝั่ง WAN
- ปิดบริการที่ไม่ใช้: proxy, socks, UPnP, cloud, bandwidth-test
4. Winbox ให้ปลอดภัย
- บังคับ TLS (RouterOS v6.43+):
/ip service set winbox tls-version=only-1.2 - จำกัด Winbox ให้เข้าได้จาก IP/ผ่าน VPN เท่านั้น — ห้ามเปิดโล่งจาก WAN
- อย่าวาง Winbox/หน้าจัดการไว้บนพอร์ตที่อินเทอร์เน็ตทั่วไปเข้าถึง
5. ไฟร์วอลล์ขา WAN
หัวใจคือ บล็อกทุกอย่างที่ไม่ได้ร้องขอจากฝั่ง WAN:
/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input in-interface=<WAN> action=drop comment="drop all WAN input"- อนุญาตเฉพาะ established/related + บริการที่ตั้งใจเปิด
- drop ที่เหลือทั้งหมดจาก WAN
- ปิดอินเทอร์เฟซที่ไม่ได้ใช้ ลดพื้นที่โจมตี
- จำกัดการเข้าถึงหน้าจัดการผ่าน VPN (เช่น WireGuard) แทนเปิดตรง
6. ความปลอดภัยฝั่งพอร์ทัล / Hotspot / RADIUS
ถ้ามี หน้า login Hotspot หรือพอร์ทัลลูกค้า:
| จุด | สิ่งที่ต้องทำ |
|---|---|
| หน้า login พอร์ทัล | ใช้ HTTPS เสมอ (กันดักรหัส) |
| RADIUS secret | ตั้ง secret ยาว/สุ่ม (RADIUS) อย่าใช้คำง่าย |
| หน้า admin ระบบบิล/พอร์ทัล | ซ่อนหลัง VPN/Access ไม่เปิดสาธารณะ |
| ข้อมูลลูกค้า | จำกัดสิทธิ์เข้าถึง + เก็บ log ใครเข้าดู |
7. สำรอง config + เก็บ log
- สำรอง config สม่ำเสมอ และ เข้ารหัสไฟล์ backup (RouterOS รองรับ AES)
- เก็บ backup ไว้นอกเครื่อง (กันเครื่องพัง/โดนล้าง)
- เปิด logging + ส่ง log ออกไปเก็บที่อื่น (syslog) — เวลามีเหตุจะสืบย้อนได้
เช็กลิสต์ความปลอดภัยฉบับย่อ
| ทำแล้ว? | รายการ |
|---|---|
| ☐ | อัป RouterOS + firmware ล่าสุด |
| ☐ | เปลี่ยน user admin + รหัสแข็งแรง |
| ☐ | ปิดเซอร์วิสไม่ใช้ + จำกัด SSH/Winbox ด้วย IP |
| ☐ | Winbox TLS + ไม่เปิด WAN |
| ☐ | ไฟร์วอลล์ drop WAN input + ปิดพอร์ตไม่ใช้ |
| ☐ | พอร์ทัล HTTPS + RADIUS secret แข็งแรง |
| ☐ | backup เข้ารหัส + เก็บ log นอกเครื่อง |
สรุป
ความปลอดภัย ISP ไม่ต้องเริ่มจากของแพง — เริ่มจาก พื้นฐานที่ปิดช่องโหว่ส่วนใหญ่ได้: อัป RouterOS, รหัสแข็งแรง, ปิดเซอร์วิสที่ไม่ใช้ + จำกัด Winbox/SSH ด้วย IP, ตั้งไฟร์วอลล์ drop ขา WAN, ใช้ HTTPS กับพอร์ทัล และสำรอง config แบบเข้ารหัส ทำเช็กลิสต์ข้างบนให้ครบ คุณก็ตัดความเสี่ยงที่พบบ่อยที่สุดไปได้เกือบหมด — เหลือแค่รักษาวินัยอัป/ตรวจสม่ำเสมอ
💡 อยากลดความเสี่ยงโดยไม่ต้องคุมความปลอดภัยทุกชั้นเอง? thaiISP ออกแบบให้หน้าจัดการ/พอร์ทัลอยู่หลังการป้องกันระดับ Cloudflare ผูกสิทธิ์เข้าถึงและ log ไว้ในระบบเดียว (ดูภาพรวมระบบบริหาร ISP) ให้คุณโฟกัสที่ลูกค้า ไม่ใช่ไล่อุดช่องโหว่ — ดูระบบ →