จากสถาปัตยกรรมแบบแบ่งชั้นสู่การส่งข้อมูลระหว่างเครือข่าย
ขอบเขตของระบบและมาตรฐานอ้างอิง — เนื้อหาวิชานี้ครอบคลุมสี่ชั้นที่ทํางานต่อเนื่องกัน ได้แก่ เครือข่ายสําหรับขนส่งข้อมูล ระบบปฏิบัติการสําหรับบริหารทรัพยากรของเครื่อง เทคโนโลยีจําลองทรัพยากรสําหรับแยกสภาพแวดล้อม และคลาวด์สําหรับจัดสรรบริการผ่านเครือข่ายตามความต้องการ การวิเคราะห์ระบบต้องติดตามเส้นทางตั้งแต่โปรแกรมเรียกบริการของระบบปฏิบัติการ ผ่านเครือข่ายเสมือนหรือจริง ไปยังบริการปลายทางและชั้นจัดเก็บข้อมูล มาตรฐานอินเทอร์เน็ตกําหนดโดยเอกสาร RFC ของ IETF ส่วนแนวคิดคลาวด์ Zero Trust และความมั่นคงปลอดภัยของ Virtualization อ้างอิงเอกสาร NIST ขณะที่รายละเอียดการทํางานของระบบปฏิบัติการและ Container ต้องพิจารณาเอกสารของ Kernel หรือโครงการต้นทางแต่ละระบบ มาตรฐานหนึ่งฉบับมักกําหนดเพียงบางชั้น จึงไม่ควรนําข้อกําหนดของชั้นหนึ่งไปสรุปเป็นพฤติกรรมของระบบทั้งหมด การออกแบบที่ถูกต้องเริ่มจากข้อกําหนดด้านหน้าที่ ประสิทธิภาพ ความพร้อมใช้งาน ความมั่นคงปลอดภัย การกู้คืน และต้นทุน จากนั้นจึงเลือกสถาปัตยกรรมและบริการ
การเพิ่มอุปกรณ์หรือย้ายขึ้นคลาวด์ไม่ทําให้ระบบดีขึ้นโดยอัตโนมัติ หากคอขวดอยู่ที่ฐานข้อมูล การกําหนดสิทธิไม่ถูกต้อง หรือไม่มีข้อมูลสังเกตการณ์เพียงพอสําหรับค้นหาสาเหตุ สถาปัตยกรรมแบบแบ่งชั้นและการห่อหุ้มข้อมูล — แบบจําลอง OSI 7 ชั้น แบ่งหน้าที่เป็น Physical, Data Link, Network, Transport, Session, Presentation และ Application เหมาะสําหรับอธิบายตําแหน่งของหน้าที่และแยกขอบเขตปัญหา ส่วนชุดพิธีสารอินเทอร์เน็ตใช้งานจริงตามแบบ TCP/IP ซึ่งรวมหน้าที่บางชั้นเข้าด้วยกันเป็น Link, Internet, Transport และ Application การเทียบสองแบบจึงเป็นการเทียบหน้าที่ มิใช่การจับคู่หนึ่งต่อหนึ่งทุกกรณี เมื่อโปรแกรมส่งข้อมูล แต่ละชั้นเพิ่มส่วนควบคุมของตน เกิดการห่อหุ้มจากข้อมูลแอปพลิเคชันเป็น Segment หรือ Datagram แล้วเป็น IP Packet และ Link-layer Frame ฝั่งรับตรวจและนําส่วนควบคุมออกย้อนลําดับ ข้อมูลระบุต้นทางปลายทางจึงมีหลายระดับ เช่น Socket ใช้ IP กับ Port ส่วน Frame ใช้ที่อยู่ของชั้นเชื่อมโยงในเครือข่ายเฉพาะช่วง
อุปกรณ์ทํางานตามข้อมูลที่ต้องใช้ Switch ปกติตัดสินใจส่ง Frame จากที่อยู่ MAC ภายในเครือข่ายชั้นสอง Router เลือกเส้นทางจาก Prefix ของ IP และ Firewall บังคับนโยบายจากข้อมูลหลายชั้นตามความสามารถ Load Balancer อาจกระจายการเชื่อมต่อในชั้น Transport หรือเข้าใจโปรโตคอล Application การเรียกอุปกรณ์ด้วยชื่อจึงไม่เพียงพอ ต้องดูชั้นและสถานะที่อุปกรณ์ตรวจจริง Ethernet, Switching, VLAN และเครือข่ายชั้นเชื่อมโยง — Ethernet ส่งข้อมูลเป็น Frame ภายใน Broadcast Domain โดย Switch เรียนรู้ที่อยู่ต้นทางและพอร์ตที่พบ แล้วใช้ฐานข้อมูล Forwarding เพื่อส่ง Frame ที่ทราบปลายทางไปยังพอร์ตที่เหมาะสม หากยังไม่รู้ปลายทางหรือเป็น Broadcast จะกระจายภายในขอบเขตเดียวกัน ฐานข้อมูลนี้เปลี่ยนตามเวลาและเส้นทาง จึงอาจเกิดการกระจายชั่วคราวเมื่ออุปกรณ์ย้ายพอร์ตหรือรายการหมดอายุ VLAN แบ่งเครือข่ายชั้นสองเชิงตรรกะบนอุปกรณ์ร่วมกัน แต่ละ VLAN เป็น Broadcast Domain แยกกัน พอร์ต Access มักเชื่อมอุปกรณ์ปลายทางใน VLAN เดียว ส่วน Trunk ขนส่งหลาย VLAN และใช้ Tag ตาม IEEE
802.1Q การสื่อสารข้าม VLAN ต้องผ่านการ Routing และนโยบายความมั่นคงปลอดภัย ไม่เกิดจาก Switch ชั้นสองเพียงอย่างเดียว เส้นทางซ้ําช่วยให้มีทางเลือกเมื่อ Link เสีย แต่ Loop ชั้นสองอาจทําให้ Broadcast หมุนเวียน Frame ซ้ํา และฐาน MAC สั่นไหว Spanning Tree Protocol สร้างโครงสร้างไร้วงรอบโดยเลือก Root และปิดกั้นบางเส้นทางเชิงตรรกะ การออกแบบต้องกําหนดตําแหน่ง Root ความเร็วการบรรจบ และการป้องกันพอร์ตให้สอดคล้องกับ Topology ไม่ปล่อยให้ค่าเริ่มต้นตัดสินสถาปัตยกรรมโดยบังเอิญ IPv4, Subnet, Routing, NAT และ MTU — IPv4 ใช้ที่อยู่ยาว 32 บิต Prefix ระบุจํานวนบิตของส่วนเครือข่ายตามรูป CIDR เช่น /24 เหลือ 8 บิตสําหรับส่วนภายใน Prefix เดียวกัน การหาช่วงต้องใช้ Subnet Mask แบ่ง Network Address, ช่วงที่ใช้งานตามบริบท และ Broadcast Address แต่กฎจํานวน Host แบบเดิมมีข้อยกเว้น เช่น Link จุดต่อจุด จึงควรพิจารณามาตรฐานและการตั้งค่าของระบบจริง
CIDR ทําให้แบ่งและรวมเครือข่ายได้ยืดหยุ่นกว่า Class แบบเดิม Router เลือกเส้นทางด้วยหลัก Longest Prefix Match คือเลือกเส้นทางที่มี Prefix ตรงกับปลายทางยาวที่สุดก่อน แล้วจึงใช้เกณฑ์ของระบบ Routing เมื่อมีเส้นทางยาวเท่ากัน Default Route ครอบคลุมปลายทางที่ไม่มีเส้นทางเฉพาะกว่า แต่ไม่ยืนยันว่าปลายทางนั้นเข้าถึงได้จริง Static Route เหมาะกับโครงสร้างเล็กหรือเส้นทางคงที่ ส่วน Dynamic Routing แลกเปลี่ยนข้อมูลและคํานวณเส้นทางเมื่อ Topology เปลี่ยน การออกแบบต้องพิจารณาความเร็วในการบรรจบ การสรุป Prefix การป้องกัน Route รั่ว และเส้นทางขากลับ หากขาไปกับขากลับไม่เหมือนกัน อุปกรณ์ที่ตรวจ Connection แบบ Stateful หรือทํา NAT อาจทิ้ง Packet แม้ Router ทุกตัวมีเส้นทาง IPv6 และการทํางานร่วมกับ IPv4 — IPv6 ใช้ที่อยู่ยาว 128 บิตและเขียนเป็นเลขฐานสิบหกแปดกลุ่ม โดยย่อเลขศูนย์นําหน้าและกลุ่มศูนย์ต่อเนื่องได้ตามกฎ ที่อยู่มีขอบเขตต่างกัน เช่น Global Unicast,
Link-local และ Multicast; IPv6 ไม่มี Broadcast แบบ IPv4 การวางแผน Prefix ควรเผื่อการสรุปเส้นทาง การแบ่งพื้นที่ และการขยายระบบ ไม่ออกแบบจากความต้องการประหยัดที่อยู่เป็นหลัก Neighbor Discovery ใช้ ICMPv6 สําหรับค้นหา Router, Prefix, Link-layer Address และตรวจเพื่อนบ้าน แทนบทบาทบางส่วนของ ARP ใน IPv4 เครื่องอาจรับค่าผ่าน Stateless Address Autoconfiguration หรือ DHCPv6 ตามนโยบาย เครือข่ายที่กรอง ICMPv6 ทั้งหมดจะกระทบการทํางานพื้นฐานและ Path MTU จึงต้องกรองตามชนิดและหน้าที่ มิใช่ปิดกั้นเหมือน Traffic ที่ไม่จําเป็น Header หลักของ IPv6 เรียบง่ายขึ้นและใช้ Extension Headers สําหรับหน้าที่เพิ่มเติม Router ระหว่างทางไม่ทํา Fragmentation; ต้นทางใช้ข้อมูล Path MTU และ Fragment Header เมื่อจําเป็น ระบบความมั่นคงปลอดภัยและเครื่องมือตรวจ Packet ต้องรองรับ Extension Headers อย่างถูกต้อง เพราะการตีความลําดับ Header ผิดอาจทําให้บังคับนโยบายไม่ตรงกัน
บริการเครือข่าย ประสิทธิภาพ การวินิจฉัย และความมั่นคง
Transport และบริการเครือข่ายพื้นฐาน — TCP ให้บริการ Byte Stream แบบมี Connection มีลําดับและความเชื่อถือได้ ใช้ Sequence Number, Acknowledgment, Retransmission และ Checksum พร้อม Flow Control เพื่อไม่ให้ผู้ส่งล้น Buffer ผู้รับ และ Congestion Control เพื่อลดภาระเครือข่าย การเปิด Connection ปกติใช้ Three-way Handshake แต่ความสําเร็จของ Handshake ไม่ยืนยันว่าแอปพลิเคชันหรือบริการชั้นบนทํางานถูกต้อง UDP ส่ง Datagram โดยไม่สร้างสถานะ Connection ในตัวโปรโตคอล ไม่รับประกันการส่งถึง ลําดับ หรือการส่งซ้ํา จึงมี Overhead ต่ําและเปิดให้แอปพลิเคชันออกแบบความน่าเชื่อถือเอง การเลือก UDP ไม่ได้แปลว่าข้อมูลไม่ปลอดภัยหรือเร็วกว่าทุกกรณี เช่น QUIC ทํางานบน UDP แต่เพิ่มการเข้ารหัส การควบคุมการสูญหาย และการจัดการ Stream ในชั้นของตน
Port ระบุปลายทางเชิงตรรกะของ Process ร่วมกับ IP และ Transport Protocol จึงต้องระบุทั้ง TCP หรือ UDP หมายเลขที่พบทั่วไป ได้แก่ SSH 22/TCP, DNS 53/UDP และ TCP, HTTP 80/TCP, HTTPS 443/TCP และ UDP เมื่อใช้ HTTP/3, DHCPv4 Server 67/UDP กับ Client 68/UDP การเปิด Port เพียงอย่างเดียวไม่รับรองว่าบริการมี Health หรือกําหนดสิทธิถูกต้อง DNS เป็นฐานข้อมูลชื่อแบบลําดับชั้น Resolver อาจถาม Recursive Server ซึ่งใช้ Cache ตาม TTL และติดต่อ Authoritative Server ตาม Delegation Record ที่สําคัญมี A, AAAA, CNAME, MX, NS, PTR และ TXT ปัญหาชื่อจึงต้องแยกการถาม การตอบจาก Cache การมอบอํานาจ เขตข้อมูล Record ที่คืน และเส้นทางไป Server ไม่สรุปจากการ Ping ชื่อเดียว
ประสิทธิภาพ ความจุ และการวินิจฉัยเครือข่าย — Latency คือเวลาที่ข้อมูลเดินทาง Jitter คือความแปรปรวนของเวลา Loss คือสัดส่วนข้อมูลที่หาย Throughput คืออัตราส่งจริง และ Goodput คือข้อมูลของแอปพลิเคชันที่ใช้ประโยชน์ได้ ค่าทั้งหมดต้องวัดในช่วงเวลา ทิศทาง โปรโตคอล และตําแหน่งที่ชัดเจน ค่าเฉลี่ยอาจซ่อนยอดกระชาก จึงควรดู Percentile, Queue Depth และการกระจายตามเส้นทางหรือกลุ่มผู้ใช้ Bandwidth-delay Product อธิบายปริมาณข้อมูลที่อาจอยู่ระหว่างทางบนเส้นทางหนึ่ง TCP ต้องมี Window เพียงพอจึงใช้ Link ที่ Bandwidth สูงและ Round-trip Time ยาวได้เต็มที่ แต่การเพิ่ม Buffer มากเกินไปอาจเกิด Bufferbloat ทําให้ Delay สูงเมื่อมี Traffic หนาแน่น การควบคุม Queue และ Congestion จึงต้องสมดุลระหว่าง Throughput กับ Response Time
การสูญหายอาจเกิดจาก Congestion, Error ของ Link, Duplex หรือ Speed ไม่ตรง, Wireless Interference, Queue เต็ม หรืออุปกรณ์ใช้ทรัพยากรสูง การส่งซ้ําของ TCP ทําให้ Throughput ลดและเพิ่ม Latency ส่วน Traffic แบบเวลาจริงได้รับผลจาก Jitter กับ Loss โดยตรง การประเมินต้องแยกอาการที่ผู้ใช้พบออกจากสาเหตุในแต่ละชั้น ลําดับวินิจฉัยที่เป็นระบบเริ่มจากกําหนดขอบเขต เวลา และสิ่งที่เปลี่ยน ตรวจ Physical และ Link จากนั้นตรวจ Address, VLAN, ARP หรือ Neighbor, Route, DNS, Transport Connection, TLS และ Application ตามลําดับ เครื่องมือควรรวมสถานะ Interface, Packet Counter, Route, Socket, Name Resolution, Log และ Packet Capture โดยเปรียบเทียบฝั่งปกติกับฝั่งผิดปกติ
ความมั่นคงปลอดภัยของเครือข่ายและ Zero Trust — เป้าหมายพื้นฐานประกอบด้วย Confidentiality, Integrity และ Availability โดยต้องเสริมการยืนยันตัวตน การกําหนดสิทธิ การตรวจสอบย้อนหลัง และการจัดการกุญแจ การแบ่ง Segment ลดขอบเขตการเคลื่อนที่ของผู้โจมตี แต่ไม่มี Segment ใดปลอดภัยจากตําแหน่งเพียงอย่างเดียว นโยบายต้องผูกกับตัวตน สถานะอุปกรณ์ ทรัพยากร และความเสี่ยงของคําขอ TLS 1.3 ปกป้องข้อมูลระหว่างส่งด้วยการเจรจาชุดการเข้ารหัส การยืนยัน Server ผ่าน Certificate และการสร้าง Session Key การตรวจ Certificate ต้องพิจารณา Chain, ชื่อบริการ, อายุ และ Trust Store การมี HTTPS ไม่รับรองว่า Application ปลอดช่องโหว่หรือปลายทางได้รับสิทธิถูกต้อง และการปิดการตรวจ Certificate ทําลายคุณสมบัติสําคัญของ TLS
VPN สร้าง Tunnel ที่ปกป้อง Traffic ระหว่างจุดตามขอบเขตที่กําหนด Remote-access VPN เชื่อมผู้ใช้หรืออุปกรณ์ ส่วน Site-to-site เชื่อมเครือข่าย การเชื่อม VPN สําเร็จไม่ได้ให้สิทธิเข้าถึงทุกทรัพยากรโดยอัตโนมัติ ต้องมีการยืนยันตัวตน การแบ่งสิทธิ Route, DNS, Key Rotation, Monitoring และการตรวจสุขภาพอุปกรณ์ร่วมกัน Firewall แบบ Stateless ตัดสินจาก Packet รายชิ้น ส่วน Stateful ติดตามสถานะ Connection และ Application-aware Gateway อาจตรวจบริบทชั้นบน IDS เน้นตรวจจับและแจ้งเตือน ขณะที่ IPS สามารถป้องกันบนเส้นทาง การกําหนดกฎควรใช้ Default Deny ตามความเหมาะสม ระบุแหล่ง ปลายทาง บริการ ทิศทาง เจ้าของ และวันทบทวน พร้อมทดสอบผลกระทบก่อนนําใช้
- 1ยืนยันขอบเขต อาการ เวลา และผู้ใช้หรือบริการที่ได้รับผล
- 2ตรวจ physical link, interface, address, subnet, route และ DNS ตามลำดับ
- 3วัด latency, packet loss, throughput และการใช้ทรัพยากรจากหลายจุด
- 4แยกปัญหาเส้นทาง ความจุ congestion นโยบาย หรือปลายทางด้วยหลักฐาน
- 5แก้ที่สาเหตุ ทดสอบผลกระทบ และเฝ้าติดตามหลังเปลี่ยนแปลง
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต