ก่อนเริ่ม
- สถานที่ใช้แพ็กเกจ Wi-Fi องค์กร และมี ผู้ใช้องค์กร อย่างน้อยหนึ่งรายชื่อ (สร้างผู้ใช้เอง นำเข้า CSV หรือเชื่อม Microsoft 365 / Google Workspace)
- Access Point ที่รองรับ WPA2-Enterprise หรือ WPA3-Enterprise และตั้ง RADIUS server ได้ เช่น UniFi, Omada, Aruba, Ruckus, Cisco, MikroTik
- เลือกว่า Access Point จะส่ง RADIUS ไปที่ไหน: เครื่อง Hotspot ที่สถานที่ (พนักงานต่อได้แม้เน็ตหลุด) หรือ RADIUS ของสถานที่บน Cloud (ไม่ต้องมีเครื่อง Hotspot)
ใช้ แบบซื้อขาด? ตั้ง 802.1X ที่หน้าผู้ดูแลของเครื่อง เมนู 802.1X แทน (ดูหัวข้อด้านล่าง) ไม่ต้องใช้ Console
1. ตั้งค่ารายชื่อผู้ใช้
- ไปที่ Identity แล้วเปิดรายชื่อ
- ที่ กลุ่ม ตั้งจำนวนอุปกรณ์ต่อคนและความเร็ว ถ้าต้องการแยกพนักงานแต่ละกลุ่มไปคนละวง ใส่ VLAN (802.1X) ของกลุ่มนั้น
- ที่ส่วน Wi-Fi องค์กร (WPA2/WPA3-Enterprise) ใส่ ชื่อ Wi-Fi ขององค์กร (SSID) ให้ตรงกับชื่อที่จะตั้งใน Access Point ส่วน ชื่อเซิร์ฟเวอร์ (EAP) ใช้ค่าที่ระบบให้ได้เลย แล้วกด บันทึก
- ที่สถานที่ที่จะใช้ กด ใช้ที่นี่ เพื่อให้คนในรายชื่อนี้เข้าได้
| วิธีที่เครื่องพนักงานใช้ | ใครใช้ได้ | พนักงานใส่อะไร |
|---|---|---|
| PEAP (MSCHAPv2) | ผู้ใช้ที่สร้างในรายชื่อ | ชื่อผู้ใช้และรหัสผ่าน |
| EAP-TTLS (PAP) | ผู้ใช้ที่สร้างในรายชื่อ | ชื่อผู้ใช้และรหัสผ่าน |
| EAP-TLS (ใบรับรอง) | ทุกคน รวมคนที่เข้าด้วย Microsoft หรือ Google | ไม่ต้องใส่อะไร ใช้ใบรับรองจากหน้าตั้งค่าสำหรับพนักงาน |
2. เปิด 802.1X ที่สถานที่
เปิดสถานที่ แท็บ ใครเข้าได้ แล้วเปิดสวิตช์ในส่วน Wi-Fi องค์กร (802.1X) ระบบจะแสดงค่าที่ต้องใส่ใน Access Point:
| ช่องใน Access Point | ใช้เครื่อง Hotspot | ใช้ RADIUS บน Cloud |
|---|---|---|
| Security | WPA2-Enterprise หรือ WPA3-Enterprise | WPA2-Enterprise หรือ WPA3-Enterprise |
| RADIUS server (Authentication) | IP ของเครื่อง Hotspot ฝั่ง Access Point พอร์ต UDP 1812 | wifi.thailandhosting.com พอร์ต UDP 1812 (มี IP ให้สำหรับอุปกรณ์ที่ใส่ชื่อไม่ได้) |
| RADIUS accounting | IP เดียวกัน พอร์ต UDP 1813 | ไม่ต้องตั้ง |
| RADIUS secret | รหัสลับที่แสดงในส่วน 802.1X | RADIUS secret ของสถานที่ (เดียวกับแท็บติดตั้งอุปกรณ์) |
| NAS-Identifier | ไม่ต้องใส่ | ใส่ตามแท็บ ติดตั้งอุปกรณ์ ถ้ามีช่อง |
| Dynamic VLAN | เปิด ถ้าใช้ VLAN ตามกลุ่ม | เปิด ถ้าใช้ VLAN ตามกลุ่ม |
- เครื่อง Hotspot: Access Point ต้องอยู่ในวงที่เครื่อง Hotspot ดูแล (ฝั่ง LAN) เครื่องรับ RADIUS จากวงนั้นเท่านั้น ตั้ง RADIUS accounting ด้วย เพื่อให้สิทธิ์หมดทันทีเมื่อเครื่องออกจาก Wi-Fi
- RADIUS บน Cloud: รอให้ข้อความขึ้นว่า RADIUS เฉพาะองค์กรนี้ทำงานอยู่ก่อน ระหว่างที่ยังไม่พร้อม รหัสและบัญชีผู้ใช้ยังล็อกอินผ่านหน้าล็อกอินได้ แต่ WPA2/WPA3-Enterprise ยังใช้ไม่ได้ Access Point ต้องออกอินเทอร์เน็ตทาง UDP 1812 ได้
- ถ้ากด สร้างรหัสใหม่ รหัสลับเดิมใช้ไม่ได้ทันที ต้องใส่รหัสใหม่ใน Access Point ทุกตัว
- VLAN ตามกลุ่มต้องมีบนสวิตช์ด้วย ถ้าให้เครื่อง Hotspot แจก IP ในวงนั้น ติดตั้งเครื่องด้วย
--vlanหมายเลขเดียวกัน
3. ตั้งค่าเครื่องพนักงาน
ทางที่ง่ายที่สุดคือส่งลิงก์ หน้าตั้งค่าสำหรับพนักงาน (อยู่ในหน้ารายชื่อผู้ใช้) ให้พนักงาน เข้าสู่ระบบด้วยชื่อผู้ใช้หรือบัญชี Microsoft / Google ของบริษัท เลือกเครื่อง แล้วดาวน์โหลดไฟล์ตั้งค่า เครื่องจะต่อ Wi-Fi องค์กรด้วยใบรับรอง (EAP-TLS) ได้เอง หน้านี้ใช้ได้เมื่อตั้งชื่อ Wi-Fi และเปิด 802.1X ที่สถานที่อย่างน้อยหนึ่งแห่งแล้ว
- iPhone, iPad, Mac: ดาวน์โหลดโปรไฟล์ แล้วเปิด ตั้งค่า › ดาวน์โหลดโปรไฟล์แล้ว › ติดตั้ง
- Android: ดาวน์โหลดไฟล์ใบรับรองและจดรหัสของไฟล์ ติดตั้งที่ ตั้งค่า › ความปลอดภัย › การเข้ารหัสและข้อมูลเข้าสู่ระบบ › ติดตั้งใบรับรอง › ใบรับรอง Wi-Fi แล้วต่อ Wi-Fi ด้วย EAP: TLS และใส่โดเมนตามที่หน้าแสดง
- Windows: ดับเบิลคลิกไฟล์ › ผู้ใช้ปัจจุบัน › ใส่รหัสของไฟล์ แล้วเลือก Wi-Fi ขององค์กร › เชื่อมด้วยใบรับรอง
- ใบรับรองใช้ได้ 1 ปี ดูและกด ยกเลิก ใบรับรองของเครื่องที่หายหรือพนักงานที่ลาออกได้ในหน้ารายชื่อผู้ใช้ เครื่องนั้นจะต่อไม่ได้อีก
ถ้าจะใช้ชื่อผู้ใช้และรหัสผ่าน (PEAP) ให้เลือก Wi-Fi ขององค์กร แล้วตั้ง EAP: PEAP, Phase 2: MSCHAPv2, ใส่ชื่อผู้ใช้และรหัสผ่านจากรายชื่อ และโดเมนตาม ชื่อเซิร์ฟเวอร์ (EAP) ถ้าหน้าจัดการบอกว่าใบรับรองของเซิร์ฟเวอร์เชื่อถือได้ทั่วไป Android เลือก “ใช้ใบรับรองของระบบ” ส่วน iPhone, Mac และ Windows กดยืนยันครั้งแรกครั้งเดียว ถ้าไม่ใช่ ให้ติดตั้งใบรับรอง CA จากหน้าจัดการก่อน
แบบซื้อขาด: 802.1X บนเครื่องของคุณ
- ที่หน้าผู้ดูแลของเครื่อง เมนู 802.1X กด เปิด 802.1X เครื่องจะสร้าง CA ใบรับรองเซิร์ฟเวอร์ และ RADIUS Secret ให้เอง ผู้ใช้บนเครื่องและ Active Directory ใช้ได้ทันที
- ใส่ ชื่อ Wi-Fi (SSID) และตรวจ ชื่อเซิร์ฟเวอร์ แล้วบันทึก
- ที่ Access Point ตั้ง SSID เป็น WPA2/WPA3-Enterprise ใส่ RADIUS server เป็น IP ของเครื่องในวงที่ Access Point อยู่ พร้อมพอร์ตและ Secret ตามที่หน้า ตั้งค่าที่ Access Point แสดง
- ตั้งค่าเครื่องพนักงาน: ดาวน์โหลด CA หรือโปรไฟล์ iPhone/Mac (ชื่อ+รหัสผ่าน) จากหน้าเดียวกัน หรือกด ออกใบรับรองอุปกรณ์ (EAP-TLS) แล้วส่งไฟล์และรหัสผ่านไฟล์ให้เจ้าของเครื่องทางช่องทางที่ปลอดภัย
- PEAP-MSCHAPv2 ใช้ได้กับผู้ใช้ที่สร้างบนเครื่อง ผู้ใช้ที่สร้างก่อนเปิด PEAP ต้องเปลี่ยนรหัสผ่านหนึ่งครั้ง ผู้ใช้ Active Directory ใช้ EAP-TTLS หรือใบรับรองแทน
- ใบรับรองอุปกรณ์อายุ 2 ปี คนละไม่เกิน 5 เครื่อง (เกินแล้วใบเก่าสุดถูกเพิกถอน) เพิกถอนได้ที่ ใบรับรองอุปกรณ์
- ถ้าบริษัทมี CA ที่อุปกรณ์เชื่อถืออยู่แล้ว (เช่น AD CS) อัปโหลดใบรับรองเซิร์ฟเวอร์และ Private key แบบ PEM แทนของเครื่องได้
อย่ากดยอมรับใบรับรองที่ชื่อไม่ตรงกับ ชื่อเซิร์ฟเวอร์ (EAP) และบน Android อย่าเลือก “ไม่ตรวจสอบ” เพราะอาจเป็น Wi-Fi ปลอมที่ดักรหัสผ่านพนักงาน
ถ้าเจอปัญหา
เปิดสวิตช์ 802.1X ไม่ได้
สถานที่ต้องเป็น Wi-Fi องค์กร และเลือกรายชื่อผู้ใช้องค์กรแล้ว (กด ใช้ที่นี่) ถ้าใช้ Access Point ของคุณเองต้องรอให้ RADIUS เฉพาะองค์กรพร้อมก่อน
เครื่องพนักงานต่อไม่ได้ ไม่มีข้อความ
ตรวจ RADIUS server, พอร์ต และ secret ใน Access Point ให้ตรงทุกตัวอักษร ถ้าใช้เครื่อง Hotspot ตรวจว่า Access Point อยู่ฝั่ง LAN ของเครื่อง ถ้าใช้ Cloud ตรวจว่า Access Point ออกอินเทอร์เน็ตทาง UDP 1812 ได้
ใส่รหัสถูกแต่ต่อไม่ได้
ตรวจว่าผู้ใช้ยังไม่ถูกระงับหรือหมดอายุ ใช้อุปกรณ์ครบจำนวนของกลุ่มหรือยัง และเลือก PEAP กับ MSCHAPv2 ถูกต้อง คนที่เข้าด้วย Microsoft หรือ Google ใช้รหัสผ่านกับ PEAP ไม่ได้ ต้องใช้ใบรับรองจากหน้าตั้งค่าสำหรับพนักงาน
ต่อได้แต่ไม่ได้ IP หรือได้ผิดวง
ถ้าใช้ VLAN ตามกลุ่ม Access Point ต้องเปิด Dynamic VLAN และสวิตช์ต้องส่ง VLAN นั้นถึง Access Point และมี DHCP ในวงนั้น