วิธีตั้ง VLAN แยกตาม SSID
การตั้ง VLAN แยกตาม SSID บน Access Point D-Link เป็นวิธีแบ่งเครือข่าย Wi-Fi ออกเป็นคนละกลุ่มอย่างเป็นระบบ เช่น แยก Wi-Fi พนักงาน, Wi-Fi Guest และ Wi-Fi สำหรับอุปกรณ์ IoT ออกจากกัน โดยแต่ละ SSID จะถูกผูกกับ VLAN ID ที่แตกต่างกัน
ตัวอย่างเช่น
Staff Wi-Fi → VLAN 10
Guest Wi-Fi → VLAN 20
IoT Wi-Fi → VLAN 30
วิธีนี้ช่วยเพิ่มความปลอดภัย ลดการปะปนของอุปกรณ์ และทำให้ผู้ดูแลระบบสามารถกำหนดสิทธิ์การเข้าถึงเครือข่ายแต่ละกลุ่มได้ละเอียดขึ้น
หมายเหตุ: ชื่อเมนูและตำแหน่งการตั้งค่า VLAN ของ Access Point D-Link อาจแตกต่างกันตามรุ่นและเฟิร์มแวร์ แต่หลักการตั้งค่าจะใกล้เคียงกัน
VLAN และ SSID เกี่ยวข้องกันอย่างไร
SSID คือชื่อเครือข่าย Wi-Fi ที่ผู้ใช้มองเห็น เช่น Office-WiFi หรือ Guest-WiFi
ส่วน VLAN คือการแบ่งเครือข่ายออกเป็นกลุ่มทางตรรกะ โดยใช้ VLAN ID เป็นตัวระบุ
เมื่อกำหนด VLAN ให้กับ SSID Access Point จะสามารถส่ง Traffic ของแต่ละ SSID ออกไปพร้อม VLAN Tag ผ่านสาย LAN ไปยัง Managed Switch และ Router หรือ Firewall
ตัวอย่างเช่น
| SSID | VLAN ID | การใช้งาน |
|---|---|---|
| Staff-WiFi | 10 | พนักงาน |
| Guest-WiFi | 20 | ลูกค้าและผู้มาติดต่อ |
| IoT-WiFi | 30 | กล้องและอุปกรณ์ IoT |
ดังนั้นอุปกรณ์ที่เชื่อมต่อ Staff-WiFi จะอยู่คนละเครือข่ายกับอุปกรณ์ที่เชื่อมต่อ Guest-WiFi
สิ่งที่ต้องเตรียมก่อนตั้ง VLAN แยกตาม SSID
ก่อนเริ่มตั้งค่า ควรตรวจสอบอุปกรณ์ที่เกี่ยวข้องทั้งหมดก่อน เพราะการกำหนด VLAN ไม่ได้ทำงานเฉพาะบน Access Point เพียงเครื่องเดียว
ควรมีอย่างน้อย
Access Point D-Link ที่รองรับ VLAN หรือ SSID VLAN
Managed Switch ที่รองรับ IEEE 802.1Q
Router หรือ Firewall ที่รองรับ VLAN
DHCP สำหรับแต่ละ VLAN
VLAN ID ที่ต้องการใช้งาน
ความเข้าใจว่า Port ไหนเป็น Trunk และ Port ไหนเป็น Access
ตัวอย่างการออกแบบ
Internet
│
Router / Firewall
│
Managed Switch
│
└── Access Point D-Link
├── Staff-WiFi → VLAN 10
├── Guest-WiFi → VLAN 20
└── IoT-WiFi → VLAN 30
หาก Router, Switch หรือ Access Point ตัวใดตัวหนึ่งไม่รองรับการส่ง VLAN แบบที่ต้องการ ระบบอาจทำงานไม่ครบหรือบาง SSID อาจไม่สามารถรับ IP ได้
วิธีตั้ง VLAN แยกตาม SSID บน Access Point D-Link
① เข้าสู่หน้าจัดการ Access Point
เชื่อมต่อคอมพิวเตอร์เข้ากับเครือข่ายของ Access Point จากนั้นเปิดเว็บเบราว์เซอร์และเข้าสู่ IP Address สำหรับจัดการอุปกรณ์
ใส่ Username และ Password ของผู้ดูแลระบบ แล้วเข้าสู่หน้า Configuration
หากไม่ทราบ IP ของ Access Point สามารถตรวจสอบจาก Router หรือ DHCP Client List ได้
② ตรวจสอบเมนู VLAN และ Wireless
ค้นหาเมนูที่เกี่ยวข้องกับ
Wireless
SSID
VLAN
Network
VLAN Settings
SSID VLAN
ชื่อเมนูอาจไม่เหมือนกันใน Access Point D-Link แต่ละรุ่น
③ กำหนด VLAN ID ให้กับแต่ละ SSID
เลือก SSID ที่ต้องการตั้งค่า แล้วกำหนด VLAN ID
ตัวอย่าง
Staff-WiFi
VLAN ID: 10
Guest-WiFi
VLAN ID: 20
IoT-WiFi
VLAN ID: 30
หลักสำคัญคือ SSID แต่ละกลุ่มควรผูกกับ VLAN ID ที่ถูกต้องและไม่ซ้ำกันโดยไม่มีเหตุผล
④ ตั้งค่า VLAN สำหรับ Staff Wi-Fi
ตัวอย่างการตั้งค่า
SSID: Staff-WiFi
VLAN ID: 10
Security: WPA2/WPA3
Traffic จากผู้ใช้ Staff จะถูกส่งออกจาก Access Point ใน VLAN 10
⑤ ตั้งค่า VLAN สำหรับ Guest Wi-Fi
ตัวอย่าง
SSID: Guest-WiFi
VLAN ID: 20
Security: WPA2/WPA3
Guest จะถูกส่งไปยัง VLAN 20 ซึ่งสามารถกำหนด Firewall ให้เข้าถึงเฉพาะอินเทอร์เน็ตและไม่สามารถเข้าถึงเครือข่ายภายในสำนักงานได้
⑥ ตั้งค่า VLAN สำหรับ IoT
หากมีอุปกรณ์ IoT เช่น กล้องวงจรปิด Smart TV หรืออุปกรณ์ Smart Home สามารถแยกออกเป็นอีก VLAN ได้
ตัวอย่าง
SSID: IoT-WiFi
VLAN ID: 30
Security: WPA2/WPA3
การแยก IoT ออกจากเครือข่ายหลักช่วยลดความเสี่ยง หากอุปกรณ์ใดมีช่องโหว่
ตั้งค่า Port ของ Switch ให้เป็น Trunk
หลังจากตั้ง VLAN บน Access Point แล้ว ต้องตั้งค่า Port ของ Managed Switch ที่เชื่อมต่อกับ Access Point ให้รองรับ VLAN ที่ต้องการ
ตัวอย่าง
Switch Port 10
Mode: Trunk
Allowed VLAN: 10,20,30
เหตุผลคือสาย LAN เส้นเดียวจาก Switch ไปยัง Access Point ต้องสามารถส่ง Traffic ของหลาย VLAN ได้
หาก Port ถูกตั้งเป็น Access VLAN เพียง VLAN เดียว SSID ที่ใช้ VLAN อื่นอาจไม่สามารถทำงานได้
ตั้งค่า VLAN บน Router หรือ Firewall
Router หรือ Firewall ต้องสร้าง Interface หรือ Sub-interface สำหรับ VLAN แต่ละตัว
ตัวอย่าง
VLAN 10
Network: 192.168.10.0/24
Gateway: 192.168.10.1
VLAN 20
Network: 192.168.20.0/24
Gateway: 192.168.20.1
VLAN 30
Network: 192.168.30.0/24
Gateway: 192.168.30.1
จากนั้นกำหนด DHCP ให้แต่ละ VLAN
ตัวอย่าง
VLAN 10 → 192.168.10.100 - 192.168.10.200
VLAN 20 → 192.168.20.100 - 192.168.20.200
VLAN 30 → 192.168.30.100 - 192.168.30.200
เมื่ออุปกรณ์เชื่อมต่อ Wi-Fi ระบบจึงสามารถแจก IP ตาม VLAN ที่กำหนดไว้
ตัวอย่างการตั้งค่าที่แนะนำ
| รายการ | Staff | Guest | IoT |
|---|---|---|---|
| SSID | Staff-WiFi | Guest-WiFi | IoT-WiFi |
| VLAN ID | 10 | 20 | 30 |
| IP Network | 192.168.10.0/24 | 192.168.20.0/24 | 192.168.30.0/24 |
| Gateway | 192.168.10.1 | 192.168.20.1 | 192.168.30.1 |
| DHCP | เปิด | เปิด | เปิด |
| Internet | อนุญาต | อนุญาต | อนุญาต |
| LAN Access | อนุญาตตามนโยบาย | จำกัด | จำกัด |
ค่าข้างต้นเป็นเพียงตัวอย่าง สามารถเปลี่ยน IP Network และ VLAN ID ให้เหมาะกับโครงสร้างเครือข่ายจริงได้
Tagged และ Untagged คืออะไร
ในการทำ VLAN สิ่งที่มักทำให้ผู้เริ่มต้นสับสนคือคำว่า Tagged และ Untagged
Tagged หมายถึง Frame มีข้อมูล VLAN ID ติดไปด้วย ทำให้เครือข่ายสามารถแยก Traffic ของ VLAN ต่าง ๆ บน Link เดียวกันได้
Untagged หมายถึง Traffic ไม่มี VLAN Tag ติดมา โดยอุปกรณ์ปลายทางจะนำไปผูกกับ VLAN ที่กำหนดไว้ที่ Port
สำหรับ Link ระหว่าง Managed Switch กับ Access Point ที่มีหลาย SSID และหลาย VLAN โดยทั่วไปต้องออกแบบให้รองรับ VLAN แบบ Tagged/Trunk ตามความสามารถและรูปแบบการตั้งค่าของอุปกรณ์
Trunk กับ Access ต่างกันอย่างไร
Access Port เหมาะกับอุปกรณ์ที่อยู่ใน VLAN เดียว เช่น คอมพิวเตอร์หรือเครื่องพิมพ์บางประเภท
Trunk Port เหมาะกับการเชื่อมต่อระหว่างอุปกรณ์เครือข่ายที่ต้องส่งหลาย VLAN ผ่านสายเส้นเดียว เช่น
Router ↔ Switch
Switch ↔ Switch
Switch ↔ Access Point
ดังนั้นในกรณีที่ Access Point มีหลาย SSID และแต่ละ SSID ใช้ VLAN แตกต่างกัน Port ที่เชื่อมต่อกับ AP ต้องได้รับการออกแบบให้รองรับ VLAN เหล่านั้น
วิธีตรวจสอบว่าตั้ง VLAN สำเร็จหรือไม่
หลังจาก Apply Configuration แล้ว ให้ทดสอบทีละ SSID
ทดสอบ Staff-WiFi
เชื่อมต่อ Staff-WiFi แล้วตรวจสอบว่าได้รับ IP เช่น
IP: 192.168.10.x
Gateway: 192.168.10.1
ทดสอบ Guest-WiFi
เชื่อมต่อ Guest-WiFi
ควรได้รับ IP ในอีก Subnet เช่น
IP: 192.168.20.x
Gateway: 192.168.20.1
ทดสอบ IoT-WiFi
เชื่อมต่อ IoT-WiFi
ควรได้รับ IP เช่น
IP: 192.168.30.x
Gateway: 192.168.30.1
หากแต่ละ SSID ได้ IP จากคนละ Subnet แสดงว่า VLAN Routing และ DHCP เริ่มทำงานถูกต้อง
Guest VLAN ควรเข้าถึงเครือข่ายภายในหรือไม่
โดยทั่วไป ไม่ควรอนุญาต Guest ให้เข้าถึง LAN ภายในโดยตรง
ตัวอย่าง Firewall Policy
Guest VLAN 20
→ Internet: Allow
→ Office LAN: Deny
→ Management VLAN: Deny
ส่วน Staff VLAN อาจอนุญาตให้เข้าถึง Server หรือ Printer ตามความจำเป็น
การใช้ VLAN เพียงอย่างเดียวไม่ได้หมายความว่าเครือข่ายจะถูกแยกด้านความปลอดภัยอย่างสมบูรณ์ เพราะยังต้องกำหนด Firewall หรือ ACL ระหว่าง VLAN ด้วย
วิธีแก้ปัญหาเมื่อ VLAN แยกตาม SSID ใช้งานไม่ได้
⚠️ SSID เชื่อมต่อได้แต่รับ IP ไม่ได้
ตรวจสอบ
VLAN ID บน SSID ถูกต้องหรือไม่
Switch Port อนุญาต VLAN นั้นหรือไม่
Port ระหว่าง AP กับ Switch เป็น Trunk หรือรูปแบบที่รองรับ VLAN หรือไม่
Router มี Interface ของ VLAN หรือไม่
DHCP ของ VLAN เปิดอยู่หรือไม่
⚠️ ได้ IP ผิดวง
หาก Guest ควรได้ 192.168.20.x แต่กลับได้ 192.168.10.x ให้ตรวจสอบ VLAN ID ของ Guest SSID และการตั้งค่า Switch
อาจเกิดจาก SSID ถูกกำหนด VLAN ผิด หรือ VLAN Tag ถูกตัดระหว่างทาง
⚠️ ได้ IP แต่ใช้อินเทอร์เน็ตไม่ได้
ตรวจสอบ
Default Gateway
DNS
NAT
Firewall Policy
Routing ระหว่าง VLAN กับ WAN
VLAN ทำหน้าที่แบ่งเครือข่าย แต่ไม่ได้สร้าง Internet Access ให้อัตโนมัติ
⚠️ SSID หนึ่งใช้งานได้ แต่อีก SSID ใช้งานไม่ได้
กรณีนี้มักเกิดจาก Switch หรือ Router ไม่ได้อนุญาต VLAN ของ SSID ที่มีปัญหา
ตัวอย่าง
Staff VLAN 10 → ใช้งานได้
Guest VLAN 20 → ใช้งานไม่ได้
IoT VLAN 30 → ใช้งานไม่ได้
ให้ตรวจสอบว่า VLAN 20 และ VLAN 30 ถูกสร้างและ Allowed บนเส้นทางตั้งแต่ AP → Switch → Router/Firewall ครบหรือไม่
⚠️ ตั้ง VLAN แล้วเข้า Access Point ไม่ได้
ต้องระวัง Management VLAN เป็นพิเศษ
หากกำหนด Management VLAN ของ AP ผิด อาจทำให้เครื่องผู้ดูแลไม่สามารถเข้า Web Management ได้
ก่อนเปลี่ยน Management VLAN ควรตรวจสอบโครงสร้าง VLAN และเตรียมช่องทางสำหรับเข้าจัดการอุปกรณ์ไว้ก่อน
ข้อผิดพลาดที่พบบ่อยในการตั้ง VLAN แยกตาม SSID
1. กำหนด VLAN ID ไม่ตรงกัน
เช่น AP ใช้ VLAN 20 แต่ Switch หรือ Router ใช้ VLAN 30 สำหรับ Guest
ระบบจะไม่สามารถส่ง Traffic ไปยังเครือข่ายที่ถูกต้องได้
2. สร้าง VLAN บน AP แต่ไม่สร้างบน Router
การสร้าง VLAN บน Access Point อย่างเดียวไม่เพียงพอ ต้องมีเส้นทางและ Gateway สำหรับ VLAN นั้นด้วย
3. ลืม DHCP
หากไม่มี DHCP อุปกรณ์อาจเชื่อมต่อ Wi-Fi ได้ แต่ไม่ได้รับ IP Address
4. Switch ไม่ Allow VLAN
แม้ AP จะตั้งค่าถูกต้อง แต่ถ้า Switch Port ไม่อนุญาต VLAN นั้น Traffic ก็ไปไม่ถึง Router
5. เปิด VLAN แล้วไม่ได้ตั้ง Firewall
การแบ่ง VLAN ไม่ได้หมายความว่า Traffic ระหว่าง VLAN จะถูกบล็อกเสมอ ต้องกำหนด Firewall หรือ ACL ตามนโยบายความปลอดภัยด้วย
VLAN แยกตาม SSID ต่างจาก Guest Wi-Fi และ Captive Portal อย่างไร
Multiple SSID คือการสร้างชื่อ Wi-Fi หลายชื่อ
SSID + VLAN คือการนำแต่ละชื่อ Wi-Fi ไปผูกกับเครือข่าย VLAN ที่แตกต่างกัน
Guest Wi-Fi คือแนวคิดในการสร้างเครือข่ายสำหรับผู้ใช้งานภายนอก ซึ่งอาจใช้ VLAN เพื่อเพิ่มการแยกเครือข่าย
Captive Portal คือระบบที่ให้ผู้ใช้ผ่านหน้า Login หรือหน้าเงื่อนไขก่อนใช้งานอินเทอร์เน็ต
ดังนั้นระบบจริงสามารถใช้ร่วมกันได้ เช่น
Guest SSID
↓
Guest VLAN 20
↓
Firewall
↓
Captive Portal
↓
Internet
FAQ คำถามที่พบบ่อย
ตั้ง VLAN ให้แต่ละ SSID บน D-Link ได้ทุกรุ่นหรือไม่?
ไม่ใช่ทุกรุ่น ควรตรวจสอบว่า Access Point รุ่นนั้นรองรับ VLAN, 802.1Q หรือ SSID VLAN หรือไม่ รวมถึงตรวจสอบความสามารถของเฟิร์มแวร์ด้วย
SSID เดียวสามารถใช้หลาย VLAN ได้หรือไม่?
โดยทั่วไปการออกแบบพื้นฐานจะกำหนด SSID หนึ่งตัวให้กับ VLAN หนึ่งตัว หากต้องการแยก VLAN ตามกลุ่มผู้ใช้ควรออกแบบ SSID และ VLAN ให้เหมาะกับนโยบายเครือข่าย
ต้องใช้ Managed Switch หรือไม่?
หากต้องส่งหลาย VLAN ระหว่าง Access Point กับ Router/Firewall โดยทั่วไปควรใช้ Managed Switch ที่รองรับ 802.1Q เพื่อควบคุม VLAN ได้อย่างถูกต้อง
VLAN ช่วยเพิ่มความปลอดภัยหรือไม่?
ช่วยแบ่งขอบเขตเครือข่าย แต่ VLAN เพียงอย่างเดียวไม่ใช่ระบบรักษาความปลอดภัยทั้งหมด ควรใช้ Firewall หรือ ACL ควบคุมการสื่อสารระหว่าง VLAN ด้วย
Guest Wi-Fi ควรใช้ VLAN แยกหรือไม่?
สำหรับสำนักงาน โรงแรม ร้านค้า หรือเครือข่ายที่มีผู้ใช้งานจำนวนมาก การแยก Guest ออกเป็น VLAN ต่างหากเป็นแนวทางที่เหมาะสม เพราะสามารถควบคุมสิทธิ์การเข้าถึงเครือข่ายภายในได้ง่ายขึ้น
ต้องตั้ง VLAN บน Access Point อย่างเดียวหรือไม่?
ไม่ต้อง เพราะ VLAN ต้องทำงานสอดคล้องกันตลอดเส้นทาง ตั้งแต่ Access Point, Switch ไปจนถึง Router หรือ Firewall
สรุปวิธีตั้ง VLAN แยกตาม SSID
การตั้ง VLAN แยกตาม SSID บน Access Point D-Link เหมาะสำหรับการแยกเครือข่าย Staff, Guest, IoT หรือกลุ่มผู้ใช้งานอื่น ๆ โดยกำหนด VLAN ID ให้แต่ละ SSID แล้วส่ง Traffic ผ่าน Link แบบ Trunk ไปยัง Managed Switch และ Router/Firewall
ตัวอย่างที่เข้าใจง่ายคือ
Staff-WiFi → VLAN 10 → 192.168.10.0/24
Guest-WiFi → VLAN 20 → 192.168.20.0/24
IoT-WiFi → VLAN 30 → 192.168.30.0/24
หัวใจสำคัญคือ VLAN ID, Switch, Router/Firewall, DHCP และ Firewall Policy ต้องตั้งค่าให้สอดคล้องกันทั้งหมด
หากกำลังวางระบบ Wi-Fi สำหรับสำนักงาน การแยก VLAN ตั้งแต่ต้นจะช่วยให้บริหารผู้ใช้และอุปกรณ์ได้ง่ายขึ้น และช่วยให้การกำหนดสิทธิ์ด้านความปลอดภัยเป็นระบบมากขึ้น สำหรับผู้ที่กำลังวางโครงสร้างเครือข่ายกับ comsiam ควรทำแผน VLAN และ IP Address ก่อนเริ่มตั้งค่าจริง เพื่อป้องกันปัญหา IP ซ้ำหรือ VLAN ผิดในภายหลัง
อีกจุดที่ควรตรวจสอบคือ Management VLAN ของ Access Point เพราะหากตั้งค่าผิดอาจทำให้ไม่สามารถเข้าไปจัดการอุปกรณ์ได้ สำหรับระบบที่มีหลาย Access Point การวาง VLAN และ Trunk ให้ถูกต้องตั้งแต่ต้นจะช่วยให้ขยายเครือข่ายในอนาคตได้ง่ายขึ้น และ comsiam สามารถใช้แนวทางนี้เป็นพื้นฐานในการออกแบบเครือข่าย Wi-Fi ที่แยกผู้ใช้งานอย่างเป็นระบบ
