วิธีแยก IoT กล้อง และ Smart Home ออกจาก Wi-Fi หลักบน D-Link

 อุปกรณ์อย่าง กล้องวงจรปิด, Smart TV, Smart Plug, หลอดไฟอัจฉริยะ, Robot Vacuum และ Smart Home เชื่อมต่ออินเทอร์เน็ตตลอดเวลา แต่หลายคนยังนำอุปกรณ์เหล่านี้ไปอยู่ Wi-Fi เดียวกับ Notebook, NAS และมือถือที่เก็บข้อมูลสำคัญ

แนวทางที่ปลอดภัยกว่าคือ แยก IoT ออกจาก Wi-Fi หลัก เพื่อจำกัดสิทธิ์การเข้าถึงอุปกรณ์ภายในเครือข่าย หาก IoT เครื่องใดมีช่องโหว่หรือถูกบุกรุก ผลกระทบจะถูกจำกัดมากขึ้น

Router D-Link บางรุ่นสามารถใช้ Guest Network, Network Isolation หรือ VLAN เพื่อแยกอุปกรณ์ได้ โดยวิธีที่ง่ายที่สุดสำหรับบ้านทั่วไปคือสร้าง Wi-Fi อีกชุดสำหรับ IoT แล้วปิดการเข้าถึง LAN ตามความสามารถของ Router

บทความนี้จาก comsiam จะอธิบายวิธีแยก IoT กล้อง และ Smart Home ออกจาก Wi-Fi หลัก พร้อมข้อควรระวังเรื่องการควบคุมอุปกรณ์จากมือถือ

① ทำไมควรแยก IoT ออกจาก Wi-Fi หลัก

อุปกรณ์ IoT จำนวนมากมีลักษณะต่างจากคอมพิวเตอร์ทั่วไป เช่น

• ทำงานตลอด 24 ชั่วโมง

• เชื่อม Cloud ตลอดเวลา

• Firmware อาจอัปเดตไม่บ่อย

• บางรุ่นมีบริการ Network ภายใน

• ผู้ใช้แทบไม่ตรวจ Security Settings

• อุปกรณ์บางประเภทมีอายุใช้งานหลายปี

ถ้าอุปกรณ์เหล่านี้อยู่ Network เดียวกับ PC หรือ NAS ก็อาจเพิ่ม Attack Surface ของเครือข่ายหลัก

② IoT หมายถึงอุปกรณ์อะไรบ้าง

ตัวอย่างที่พบในบ้าน ได้แก่

• IP Camera

• CCTV Wi-Fi

• Smart TV

• Android TV Box

• Smart Plug

• Smart Bulb

• Smart Switch

• Robot Vacuum

• Doorbell Camera

• Smart Speaker

• Air Conditioner Wi-Fi

• เครื่องฟอกอากาศ

• Smart Lock

อุปกรณ์เหล่านี้มักไม่จำเป็นต้องเข้าถึง Notebook หรือ NAS โดยตรง

③ วิธีแบ่ง Network แบบง่ายสำหรับบ้าน

สามารถแบ่งเป็นสองกลุ่ม

Main Wi-Fi

ใช้กับอุปกรณ์สำคัญ เช่น

• Smartphone

• Notebook

• PC

• NAS

• เครื่องทำงาน

IoT Wi-Fi

ใช้กับ

• กล้อง

• Smart TV

• Smart Plug

• Smart Home

จากนั้นตั้งให้ IoT ออกอินเทอร์เน็ตได้ แต่ไม่สามารถเข้าถึง Main LAN หาก Router รองรับ

④ วิธีง่ายที่สุดบน D-Link คือใช้ Guest Wi-Fi

ถ้า Router ไม่มี VLAN แต่มี Guest Network สามารถนำ Guest Wi-Fi มาใช้เป็น IoT Network ได้

แนวทางคือ

Main Wi-Fi → อุปกรณ์ส่วนตัว

Guest Wi-Fi → IoT

แล้วตั้ง

Guest Access to Local Network = Disabled

หรือชื่อใกล้เคียง

วิธีนี้เหมาะกับบ้านทั่วไปมากที่สุด

⑤ วิธีสร้าง Wi-Fi สำหรับ IoT

ขั้นตอนทั่วไปมีดังนี้

ขั้นตอนที่ 1

เข้า Router Admin

ขั้นตอนที่ 2

เปิดเมนู

Guest Network / Guest Zone

ขั้นตอนที่ 3

Enable Guest Wi-Fi

ขั้นตอนที่ 4

ตั้งชื่อ เช่น

Home-IoT

ขั้นตอนที่ 5

ตั้ง Password คนละชุดกับ Main Wi-Fi

ขั้นตอนที่ 6

ปิด

Access Local Network / LAN Access

ขั้นตอนที่ 7

Save

จากนั้นย้ายอุปกรณ์ IoT ไปเชื่อมกับ SSID ใหม่นี้

⑥ ชื่อ Wi-Fi IoT ควรตั้งอย่างไร

สามารถตั้งชื่อให้จำง่าย เช่น

• Home-IoT

• SmartHome

• Devices

• Home-Devices

ไม่จำเป็นต้องใช้คำว่า Camera หากไม่ต้องการเปิดเผยว่า Network นี้มีกล้อง

ควรหลีกเลี่ยงข้อมูลส่วนตัว เช่นชื่อเต็มหรือบ้านเลขที่

⑦ IoT Password ควรเหมือน Wi-Fi หลักไหม

ไม่ควร

ควรแยกเป็น

• Main Wi-Fi Password

• IoT Wi-Fi Password

• Guest Password

• Admin Password

ถ้ามีหลาย Network

การใช้รหัสคนละชุดช่วยลดผลกระทบหาก Credential ของ IoT ถูกเปิดเผย

⑧ IoT ควรใช้ WPA3 หรือ WPA2

ปัญหาคือ IoT จำนวนมากยังไม่รองรับ WPA3

ดังนั้นอาจต้องใช้

WPA2-Personal + AES

หรือ

WPA2/WPA3 Mixed Mode

ขึ้นอยู่กับอุปกรณ์

ไม่ควรลดลงไปใช้ WEP หรือ WPA รุ่นเก่าเพียงเพื่อให้อุปกรณ์เก่ามากเชื่อมได้

ถ้าอุปกรณ์เก่าจนรองรับ Security ที่ไม่ปลอดภัย ควรพิจารณาเปลี่ยนอุปกรณ์

⑨ ทำไม IoT จำนวนมากใช้ได้เฉพาะ 2.4 GHz

อุปกรณ์ Smart Home จำนวนมากรองรับเฉพาะ

2.4 GHz

เพราะ

• ระยะไกลกว่า

• ทะลุกำแพงดีกว่า

• Hardware ราคาถูกกว่า

• ไม่ต้องการ Bandwidth สูง

ดังนั้น IoT SSID อาจเหมาะกับ 2.4 GHz โดยเฉพาะ

⑩ กล้องจำเป็นต้องใช้ 5 GHz ไหม

ไม่เสมอไป

กล้องบางรุ่นใช้ 2.4 GHz ก็เพียงพอสำหรับ Video Streaming

5 GHz อาจเหมาะเมื่อ

• กล้องรองรับ

• อยู่ใกล้ Router

• ต้องการ Bandwidth สูง

แต่ระยะครอบคลุมอาจน้อยกว่า 2.4 GHz

⑪ ปิด LAN Access แล้ว IoT ยังออก Internet ได้ไหม

โดยทั่วไปได้

แนวคิดคือ

IoT → Internet = Allow

แต่

IoT → Main LAN = Block

อุปกรณ์ยังสามารถเชื่อม Cloud ของผู้ผลิตได้

เช่น

• กล้องดูผ่าน Cloud

• Smart Plug ใช้ App

• Robot Vacuum รับคำสั่งจาก Server

หากระบบนั้นออกแบบให้ทำงานผ่าน Cloud

⑫ ทำไมบาง IoT แยก Network แล้วใช้งานไม่ได้

เพราะอุปกรณ์บางประเภทต้องสื่อสารกับมือถือโดยตรงภายใน LAN

อาจใช้

• Broadcast

• Multicast

• mDNS

• Local Discovery

เมื่อเปิด Isolation ระบบเหล่านี้อาจถูก Block

ทำให้มือถือใน Main Network หา IoT ไม่เจอ

⑬ วิธีแก้เมื่อ App หา Smart Home ไม่เจอ

ลองตรวจว่าอุปกรณ์ใช้ Cloud หรือ Local Control

ถ้าตอน Setup ต้องอยู่ Network เดียวกัน สามารถ

1. เชื่อมมือถือกับ IoT Network ชั่วคราว

2. ตั้งค่าอุปกรณ์

3. กลับมา Main Wi-Fi

4. ทดสอบควบคุมผ่าน Cloud

ถ้ายังใช้ไม่ได้ อุปกรณ์อาจต้องอยู่ Network เดียวกับมือถือ

⑭ Camera ใช้ Guest Network ได้ไหม

ได้ในหลายกรณี โดยเฉพาะกล้องที่ใช้ Cloud หรือ P2P

แต่ถ้าระบบ NVR หรือ NAS ภายในบ้านต้องรับ Video จากกล้องโดยตรง การ Block LAN อาจทำให้บันทึกไม่ได้

จึงต้องดู Architecture ก่อน

⑮ ถ้ามีกล้องกับ NVR ควรแยกอย่างไร

แนวทางที่ดีกว่าคือ

Camera Network → NVR = Allow

แต่

Camera Network → Main User LAN = Block

การทำแบบนี้ต้องใช้ Firewall Rule หรือ VLAN ที่ละเอียดกว่าการใช้ Guest Network ธรรมดา

ถ้า Router บ้านทำไม่ได้ อาจต้องใช้ Router หรือ Switch ที่รองรับ VLAN

⑯ Guest Network กับ VLAN ต่างกันอย่างไร

Guest Network

ใช้ง่าย

เหมาะกับบ้าน

มักมีตัวเลือก Block LAN

VLAN

ควบคุมละเอียดกว่า

สามารถกำหนดได้ว่า

• IoT เข้า Internet ได้

• IoT เข้า NVR ได้

• IoT เข้า NAS ไม่ได้

• Main เข้า IoT ได้

• IoT เข้า Main ไม่ได้

เหมาะกับบ้านขั้นสูงหรือสำนักงาน

⑰ D-Link รุ่นบ้านรองรับ VLAN ไหม

ขึ้นอยู่กับรุ่น

บางรุ่นไม่มี VLAN สำหรับผู้ใช้ทั่วไป

บางรุ่น Business หรือ Access Point อาจรองรับ

• VLAN ID

• SSID to VLAN

• Port VLAN

• Guest VLAN

ต้องตรวจความสามารถของรุ่นที่ใช้งานจริง

⑱ ถ้าไม่มี VLAN ใช้ Guest Network แทนได้ไหม

ได้ในหลายบ้าน

แม้จะไม่ละเอียดเท่า VLAN แต่ช่วยแยก IoT ออกจาก Main Network ได้ระดับหนึ่ง

สิ่งสำคัญคือทดสอบว่า

• IoT ออก Internet ได้

• IoT เข้า Main LAN ไม่ได้

• App ยังใช้งานได้

• Camera ยังทำงาน

⑲ IoT ควรเห็น Router Admin ไหม

ไม่ควร

ถ้าเป็นไปได้ IoT Network ไม่ควรเข้าถึง Management Interface ของ Router

หลังตั้งค่าให้ลองเข้าจากอุปกรณ์ใน IoT Network

เช่น

192.168.0.1

หากยังเข้าได้ ควรตรวจ Management Access และ Isolation เพิ่ม

⑳ IoT ควรเข้าถึง NAS หรือไม่

โดยทั่วไปไม่ควร เว้นแต่มีความจำเป็นเฉพาะ

ตัวอย่างที่จำเป็น เช่น

กล้องบันทึกลง NAS

แต่ Smart Plug หรือหลอดไฟไม่มีเหตุผลต้องเข้าถึง NAS

หลักการคือ

อนุญาตเฉพาะสิ่งที่จำเป็น

㉑ IoT ควรเข้าถึง PC ไหม

โดยทั่วไปไม่

Smart TV กล้อง และ Smart Plug ไม่จำเป็นต้องเข้าถึง PC ส่วนตัว

การ Block การเข้าถึงนี้ช่วยลดโอกาส Lateral Movement หาก IoT เครื่องใดถูกบุกรุก

㉒ Lateral Movement คืออะไร

หมายถึงผู้โจมตีเข้าอุปกรณ์หนึ่งได้แล้วพยายามเคลื่อนต่อไปยังอุปกรณ์อื่นใน Network

ตัวอย่าง

Camera ถูกเจาะ → Scan LAN → พบ NAS → พยายามโจมตี NAS

การแยก Network ช่วยลดเส้นทางลักษณะนี้

㉓ แยก IoT แล้วปลอดภัย 100% ไหม

ไม่

ยังต้องดูแล IoT เองด้วย

เช่น

• เปลี่ยน Password Default

• Update Firmware

• ปิด Remote Access ที่ไม่ใช้

• ปิด UPnP หากไม่จำเป็น

• ใช้ Account Security ที่ดี

Network Segmentation เป็นเพียงหนึ่งชั้น

㉔ Password Default ของกล้องควรเปลี่ยนไหม

ควรเปลี่ยนทันที

โดยเฉพาะอุปกรณ์ที่มาพร้อม Username/Password เริ่มต้น

อย่าใช้

• admin/admin

• admin/12345

• Password จากโรงงาน

ต่อในระยะยาว

㉕ Firmware ของ IoT สำคัญไหม

สำคัญมาก

ไม่ใช่แค่ Firmware Router

ควรอัปเดต

• Camera

• NVR

• Smart TV

• Smart Plug

• Doorbell

• Hub

ตามที่ผู้ผลิตรองรับ

เพราะช่องโหว่อาจอยู่ที่อุปกรณ์ปลายทางเอง

㉖ UPnP ควรเปิดให้ IoT ไหม

ควรประเมินเป็นรายกรณี

UPnP สามารถช่วยอุปกรณ์เปิด Port อัตโนมัติ

แต่หากระบบทำงานผ่าน Cloud โดยไม่ต้อง Port Forward ก็อาจไม่จำเป็น

ถ้าไม่ใช้ ควรพิจารณาปิดเพื่อลด Port Mapping ที่เกิดขึ้นอัตโนมัติ

㉗ กล้องควรเปิด Port Forwarding หรือไม่

ไม่ควรเปิดโดยไม่มีเหตุจำเป็น

การเปิด Web Interface หรือ RTSP ของกล้องตรงสู่อินเทอร์เน็ตเพิ่ม Exposure อย่างมาก

ถ้าต้อง Remote Access ควรพิจารณา

• Cloud ที่ปลอดภัย

• VPN

• ระบบ NVR

• Firewall Rule ที่จำกัด Source

แทนการเปิด Port กว้าง ๆ

㉘ DMZ สำหรับกล้องควรใช้ไหม

โดยทั่วไปไม่ควร

อย่านำ

• Camera

• NVR

• IoT

ไปวาง DMZ เพียงเพื่อให้ Remote Access ง่ายขึ้น

เพราะจะเปิด Traffic จาก WAN ไปยังอุปกรณ์มากเกินความจำเป็น

㉙ Guest Isolation ควรเปิดสำหรับ IoT ไหม

ขึ้นอยู่กับว่า IoT แต่ละเครื่องต้องคุยกันหรือไม่

ถ้า Smart Device ทุกตัวทำงานผ่าน Cloud และไม่ต้องสื่อสารกันเอง สามารถเปิด Client Isolation ได้

แต่ถ้ามี

• Hub

• Controller

• NVR

ที่ต้องคุยกับอุปกรณ์อื่น อาจทำให้ระบบใช้ไม่ได้

จึงควรทดสอบก่อน

㉚ แยก Smart TV ดีไหม

ดีในหลายกรณี

Smart TV เชื่อม Internet และมี Application จำนวนมาก แต่ไม่จำเป็นต้องเข้าถึงข้อมูลสำคัญใน PC หรือ NAS เว้นแต่ใช้ Media Streaming ใน LAN

ถ้าใช้ NAS ดูหนังภายในบ้าน ต้องอนุญาตการสื่อสารที่จำเป็น

㉛ Printer ควรอยู่ Main หรือ IoT

ขึ้นอยู่กับการใช้งาน

ถ้าคอมทุกเครื่องต้อง Print ควรอยู่ใน Network ที่ Main สามารถเข้าถึงได้

ถ้านำ Printer ไป IoT Network ที่ Isolation เข้มงวด คอมอาจหา Printer ไม่เจอ

จึงควรจัด Network ตาม Flow ที่ต้องใช้จริง

㉜ Smart Speaker ควรแยกไหม

แยกได้ แต่ระบบ Casting หรือ Local Discovery อาจมีปัญหา

เช่นมือถือ Main Network หา Speaker ไม่เจอ

ถ้าต้องการแยกแบบละเอียดพร้อมให้ Casting ใช้ได้ อาจต้องใช้ VLAN และ Multicast Rule ที่เหมาะสม

㉝ Smart Home Hub ควรอยู่ Network ไหน

ถ้า Hub เป็นศูนย์กลางของ IoT ควรอยู่ IoT Network เดียวกันกับ Device ที่ต้องควบคุม

แต่ต้องดูว่ามือถือ Main Network ต้องเข้าถึง Hub โดยตรงหรือไม่

หากใช้ Cloud อย่างเดียว มักจัดการง่ายกว่า

㉞ IoT Network ควรมี Internet หรือไม่

ขึ้นอยู่กับอุปกรณ์

อุปกรณ์ Cloud ส่วนใหญ่จำเป็นต้องมี Internet

แต่บางระบบ Local-only อาจไม่จำเป็น

หาก Router หรือ Firewall รองรับการตั้ง Rule ละเอียด สามารถจำกัด Internet ของอุปกรณ์ที่ไม่ต้องใช้ได้

㉟ ควรจำกัด DNS ของ IoT ไหม

สำหรับระบบขั้นสูง สามารถบังคับ IoT ให้ใช้ DNS ที่กำหนดได้

ช่วยเรื่อง

• Monitoring

• Filtering

• Blocking Domain บางประเภท

แต่บ้านทั่วไปไม่จำเป็นต้องตั้งซับซ้อนขนาดนี้

การแยก Network และอัปเดต Firmware สำคัญกว่า

㊱ จำกัด Bandwidth IoT ดีไหม

ดีในบางกรณี

โดยเฉพาะ

• Smart TV

• Camera Cloud

• กล้องหลายตัว

• Device ที่ Update ใหญ่

ถ้า Router รองรับ QoS หรือ Bandwidth Control สามารถจำกัดไม่ให้ IoT ใช้ Bandwidth จนกระทบงานหลัก

㊲ ตรวจ Connected Devices ของ IoT เป็นระยะ

หลังแยก Network ควรรู้ว่า Client ใดควรอยู่ใน IoT Wi-Fi

ตัวอย่าง

• Camera 1

• Camera 2

• TV

• Robot

• Smart Plug

หากพบมือถือหรือ Notebook แปลก ๆ อยู่ใน IoT Network ให้ตรวจว่าใครรู้ Password

㊳ Checklist การแยก IoT บน D-Link

ตั้งค่าตามนี้

1. สร้าง IoT SSID

2. ใช้ Password แยก

3. ใช้ WPA2/WPA3 ที่เหมาะสม

4. ปิด LAN Access

5. ปิด Router Management Access

6. ทดสอบ Cloud App

7. ตรวจ Camera/NVR

8. ปิด WPS หากไม่ใช้

9. ตรวจ UPnP

10. อัปเดต Router Firmware

11. อัปเดต IoT Firmware

12. เปลี่ยน Password Default ของอุปกรณ์

㊴ รูปแบบ Network ที่แนะนำสำหรับบ้านทั่วไป

สามารถแบ่งเป็น

Main

มือถือ Notebook PC NAS

IoT

กล้อง TV Smart Plug Smart Home

Guest

เพื่อน ญาติ ผู้มาติดต่อ

การแบ่งเป็น 3 กลุ่มช่วยให้จัดการ Password และสิทธิ์ได้ง่ายขึ้นมาก

หาก Router ทำ Guest ได้เพียงหนึ่ง Network อาจต้องเลือกระหว่าง Guest หรือ IoT ตามความสำคัญ

㊵ สูตรความปลอดภัยสำหรับ IoT ที่จำง่าย

ใช้หลัก

แยก Network + จำกัด LAN + เปลี่ยน Password + Update Firmware + ไม่เปิด Port โดยไม่จำเป็น

เพียงเท่านี้ก็ช่วยลดความเสี่ยงได้มากกว่าการนำ IoT ทุกเครื่องไปรวมกับ Main Wi-Fi โดยไม่มีข้อจำกัด

คำถามที่พบบ่อย

วิธีแยก IoT ออกจาก Wi-Fi หลัก D-Link ทำอย่างไร?

วิธีง่ายที่สุดคือสร้าง Guest Network สำหรับ IoT ตั้ง Password แยก และปิด Local/LAN Access

กล้องใช้ Guest Wi-Fi ได้ไหม?

ได้ถ้าใช้งานผ่าน Cloud แต่ถ้าต้องเชื่อม NVR หรือ NAS ภายใน LAN ต้องตรวจ Isolation ก่อน

Smart Home แยกแล้วมือถือควบคุมไม่ได้เพราะอะไร?

อุปกรณ์อาจใช้ Local Discovery และต้องอยู่ Network เดียวกัน

IoT ควรใช้ 2.4 GHz หรือ 5 GHz?

IoT จำนวนมากรองรับเฉพาะ 2.4 GHz และมักไม่ต้องการ Bandwidth สูง

Guest Network เหมือน VLAN ไหม?

ไม่เหมือนทั้งหมด VLAN ให้การควบคุม Network ที่ละเอียดกว่า

ต้องเปลี่ยน Password ของกล้องด้วยไหม?

ควรเปลี่ยน Password Default ของอุปกรณ์ทุกเครื่อง

แยก IoT แล้วต้องอัปเดต Firmware อีกไหม?

ต้องทำ เพราะ Network Isolation ไม่ได้แก้ช่องโหว่ในตัวอุปกรณ์

สรุป

วิธีแยก IoT กล้อง และ Smart Home ออกจาก Wi-Fi หลักบน D-Link ที่ง่ายที่สุดสำหรับบ้านทั่วไปคือ

สร้าง Guest/IoT Wi-Fi → ตั้ง Password แยก → ปิด LAN Access → ย้ายอุปกรณ์ IoT ไป Network ใหม่ → ทดสอบการใช้งาน

เป้าหมายคือให้อุปกรณ์ IoT ออก Internet ได้ แต่ไม่สามารถเข้าถึง PC, NAS และอุปกรณ์สำคัญใน Main Network โดยไม่จำเป็น

สำหรับผู้อ่าน comsiam ต้องระวังว่า IoT บางประเภท เช่น กล้องที่บันทึกเข้า NVR หรือ Smart Home ที่ใช้ Local Discovery อาจต้องสื่อสารกับอุปกรณ์ภายใน จึงต้องทดสอบหลังเปิด Isolation ทุกครั้ง

หาก Router รองรับ VLAN จะสามารถแบ่งสิทธิ์ได้ละเอียดกว่า Guest Network แต่สำหรับบ้านทั่วไป การแยก IoT ด้วย Guest Wi-Fi ที่ตั้งค่าอย่างถูกต้องก็เป็นจุดเริ่มต้นที่ดีมากในการเพิ่มความปลอดภัยให้ Router D-Link และเครือข่ายภายในบ้าน