Author Archives: Nunt

Windows 11 VDI vs RDS RemoteApp

การออกแบบระบบริโมทแอปหรือทำ Virtual Desktop ให้พนักงานใช้งาน (โดยเฉพาะระบบ Disaster Recovery หรือ DR) เรื่องที่ปวดหัวที่สุดไม่ใช่เรื่อง Technical แต่เป็นเรื่อง “License ของ Microsoft” บทความนี้จะสรุป 3 ประเด็นสำคัญที่คุณต้องรู้ก่อนโดนออดิต!

เลือก RDS RemoteApp ก่อนเสมอ ถ้าเงื่อนไขเอื้ออำนวย: หากเป้าหมายคือการให้พนักงานเข้ามาคีย์ข้อมูล ใช้โปรแกรม ERP หรือโปรแกรมบัญชีในช่วง DR และแอปพลิเคชันนั้นสามารถเปิดพร้อมกันหลายคนบน Windows Server ได้ (Multi-session) ให้เลือก RemoteApp เพราะจะประหยัดงบองค์กรทั้งค่า Resource Hardware และค่า Licensed

  • รูปแบบ: ให้ User ทุกคนล็อกอินเข้ามาแชร์ระบบปฏิบัติการเดียวกัน (Windows Server) แต่ใช้วิธี “ส่งเฉพาะหน้าต่างแอปพลิเคชัน” ไปปรากฏที่หน้าจอเครื่อง User (ไม่ได้เห็น Windows ทั้งย่อย)
  • ข้อดี: ประหยัดทรัพยากร Server และประหยัดค่า License ฝั่ง Client
  • License ที่ต้องใช้ (สำหรับ 50 Users):
    • Windows Server Core License: ตามจำนวน Core จริงของ Server
    • Windows Server CAL (Per User): 50 คีย์
    • Windows RDS CAL (Per User): 50 คีย์

เลือก VDI เมื่อต้องการความ Isolation สูง: ถ้าแอปพลิเคชันไม่รองรับการรันซ้อนกันใน OS เดียวกัน, หรือ User แต่ละคนมีความจำเป็นต้องลงโปรแกรมเฉพาะทางที่ไม่เหมือนกัน, หรือองค์กรต้องการความปลอดภัยขั้นสุดที่ข้อมูลห้ามปะปนกันเด็ดขาด เคสนี้ต้องยอมลงทุนทำ VDI

  • รูปแบบ: มอบคอมพิวเตอร์จำลอง (VM) แยกให้ User แบบ 1 ต่อ 1 (เช่น รัน Windows 11 Enterprise บน Server)
  • ข้อดี: ปลอดภัยสูง ข้อมูลแยกขาดจากกันชัดเจน User สามารถปรับแต่งเครื่องตัวเองได้เหมือนมี PC ส่วนตัว
  • License ที่ต้องใช้ (สำหรับ 50 Users):
    • Windows Server Core License: ตามจำนวน Core จริงของ Server
    • Windows Server CAL (Per User): 50 คีย์
    • Windows RDS CAL (Per User): 50 คีย์
    • Windows Client Access License: ต้องมี Windows 11 Enterprise E3 หรือ Windows VDA 50 คีย์

    Windows 11 Enterprise E3 vs Windows VDA ต่างกันอย่างไร?

    หัวข้อเปรียบเทียบWindows 11 Enterprise E3Windows VDA (Virtual Desktop Access)
    ลักษณะสิทธิ์Upgrade License (ต้องมีสิทธิ์พื้นฐานก่อน)Access License (ซื้อสิทธิ์เข้าใช้งานเพียว ๆ)
    เงื่อนไขเครื่องพนักงาน (Endpoint)บังคับ ต้องมี Windows 10/11 Pro แท้ (OEM/Retail) ผูกติดเครื่องมาก่อนอะไรก็ได้ (Windows Home, Mac, Linux, เครื่องประกอบ หรือ Thin Client)
    สิทธิ์ที่ได้รับอัปเกรด OS เครื่องหลักเป็น Enterprise + ได้สิทธิ์ทำ VDI ได้สูงสุด 4 VMsได้สิทธิ์รีโมทเข้า VDI สูงสุด 4 VMs เท่านั้น (ไม่มีสิทธิ์อัปเกรดเครื่องหลัก)
    เปรียบเทียบราคาถูกกว่า (ประมาณ $7/User/เดือน)แพงกว่า (ประมาณ $11-$13/User/เดือน)
    วิธีเอา Key มา Activateผูกสิทธิ์กับบัญชี Cloud (M365) หรือใช้ MAK/KMS ในองค์กรเข้าไปกดเอาคีย์ KMS / MAK จากหน้า Microsoft 365 Admin Center

    Windows Server Datacenter 2025 AVMA (Automatic Virtual Machine Activation)

    • ใช้ได้เฉพาะถ้า Host เป็น Datacenter Edition ที่ Activate แล้ว
    • VM ไม่ต้องต่อ Internet ไม่ต้องใส่ key Retail
    • แค่ใส่ AVMA Key ตาม Edition ของ Guest OS
    • Host จะทำหน้าที่เป็น Activation authority ให้ VM ผ่าน Hyper-V Integration Services

    ใช้ AVMA Key เดียวกัน

    slmgr /ipk YQB4H-NKHHJ-Q6K4R-4VMY6-VCH67
    slmgr /ato

    Windows FSR to DFSR

    Check DFSR Using

    dfsrmig /getglobalstate

    Change FSR to DFSR

    dfsrmig /setglobalstate 1
    dfsrmig /getmigrationstate
    dfsrmig /setglobalstate 2
    dfsrmig /getmigrationstate
    dfsrmig /setglobalstate 3
    dfsrmig /getmigrationstate

    Stop and Disable File Replication Service

    Aruba VSX, VRRP, Spanning-tree

    Enable VSX and VRRP

    Core 1
    interface lag 100
    description VSX-ISL
    no shutdown
    no routing
    vlan trunk native 1 tag
    vlan trunk allowed all
    lacp mode active

    interface 1/1/49
    no shutdown
    lag 100
    interface 1/1/50
    no shutdown
    lag 100

    interface 1/1/48
    no shutdown
    ip address 10.10.10.1/30

    vsx
    system-mac 00:00:00:00:00:11
    inter-switch-link lag 100
    role primary
    keepalive peer 10.10.10.2 source 10.10.10.1
    vsx-sync vrrp

    interface vlan 100
    ip address 192.168.100.2/24
    vrrp 100 address-family ipv4
    address 192.168.100.1 primary
    priority 110
    no shutdown
    exit

    router vrrp enable

    Core 2
    interface lag 100
    description VSX-ISL
    no shutdown
    no routing
    vlan trunk native 1 tag
    vlan trunk allowed all
    lacp mode active

    interface 1/1/49
    no shutdown
    lag 100
    interface 1/1/50
    no shutdown
    lag 100

    interface 1/1/48
    no shutdown
    ip address 10.10.10.2/30

    vsx
    system-mac 00:00:00:00:00:11
    inter-switch-link lag 100
    role secondary
    keepalive peer 10.10.10.1 source 10.10.10.2
    vsx-sync vrrp

    interface vlan 100
    ip address 192.168.100.3/24
    vrrp 100 address-family ipv4
    address 192.168.100.1 primary
    priority 90
    no shutdown
    exit

    router vrrp enable

    Check Status
    sh vsx status
    sh vrrp
    show vsx configuration inter-switch-link

    Test Failover
    interface vlan 100
    shutdown
    sh vrrp
    Failback
    interface vlan 100
    no shutdown
    sh vrrp

    Spanning-tree
    Core 1
    spanning-tree
    spanning-tree mode mstp
    spanning-tree priority 0

    Core 2
    spanning-tree
    spanning-tree mode mstp
    spanning-tree priority 1

    Multi-chassis LAG
    Core 1 & Core 2
    interface lag 10 multi-chassis
    no shutdown
    no routing
    vlan trunk native 1
    vlan trunk allowed all
    lacp mode active

    interface 1/1/40
    lag 10

    Access Switch
    interface lag 1
    no shutdown
    vlan trunk native 1
    vlan trunk allowed all
    lacp mode active

    interface 1/1/49
    lag 1
    interface 1/1/50
    lag 1

    Knowledge : DNSSEC เพิ่มความปลอดภัยให้ DNS

    DNSSEC (Domain Name System Security Extensions) คือส่วนเสริมด้านความปลอดภัยให้กับระบบ DNS ดั้งเดิมที่ไม่ได้ถูกออกแบบมาเพื่อป้องกันการโจมตี การโจมตี DNS ทั่วไป เช่น DNS Spoofing หรือ Cache Poisoning ทำให้ผู้โจมตีสามารถปลอมแปลงข้อมูล DNS และหลอกให้ผู้ใช้เข้าเว็บไซต์ปลอมได้ DNSSEC เข้ามาแก้ปัญหานี้โดยใช้ ลายเซ็นดิจิทัล และ โครงสร้าง PKI (Public Key Infrastructure)

    DNSSEC ทำงานอย่างไร?

    1. สร้างคู่กุญแจ: แต่ละโซน DNS จะมี กุญแจส่วนตัว (Private Key) สำหรับลงนามข้อมูล และ กุญแจสาธารณะ (Public Key) สำหรับตรวจสอบลายเซ็น
    2. ลงนามดิจิทัล: เมื่อข้อมูล DNS เปลี่ยนแปลง กุญแจส่วนตัวจะถูกใช้สร้าง ลายเซ็นดิจิทัล (RRSIG Record)
    3. ตรวจสอบความถูกต้อง: DNS Resolver จะใช้กุญแจสาธารณะเพื่อตรวจสอบลายเซ็น หากถูกต้องก็มั่นใจว่าข้อมูลนั้นมาจากแหล่งที่เชื่อถือได้และไม่มีการเปลี่ยนแปลง

    กลไกนี้สร้าง “Chain of Trust” (ห่วงโซ่ความน่าเชื่อถือ) ตั้งแต่ Root DNS Server ลงมาจนถึงโดเมนย่อย

    ประโยชน์ของ DNSSEC

    • ป้องกันการปลอมแปลง DNS: มั่นใจได้ว่าข้อมูล DNS ที่ได้รับนั้นถูกต้อง
    • เพิ่มความน่าเชื่อถือ: รับรองความสมบูรณ์ของข้อมูล
    • ลดความเสี่ยงจากการโจมตี: ป้องกันการถูกนำไปเว็บไซต์อันตราย

    การเปิดใช้งาน DNSSEC บน Windows Server 2022 (สำหรับ Internal DNS)

    • สามารถเปิดใช้งานได้เต็มรูปแบบ ผ่าน DNS Manager หรือ PowerShell
    • ขั้นตอน: ติดตั้งบทบาท DNS Server > เปิด DNS Manager > ลงนาม Zone ผ่าน Zone Signing Wizard (สร้าง KSK, ZSK) > เผยแพร่ DS Record ไปยัง Parent Zone (สำหรับโดเมนสาธารณะ)
    • ควรเปิดใช้สำหรับ Internal DNS Server: เพื่อป้องกันการโจมตีภายใน, เพิ่มความสมบูรณ์ของข้อมูล (โดยเฉพาะ Active Directory), และเป็น Best Practices ด้านความปลอดภัย

    Public Key ใน DNSSEC ไม่ต้องออกโดย CA

    • แตกต่างจาก SSL/TLS Certificate: DNSSEC ไม่ได้ใช้ Certificate Authority (CA) มาออก Public Key
    • ใช้ Chain of Trust: ความน่าเชื่อถือของ Public Key ใน DNSSEC มาจากกลไก “Chain of Trust” ที่เริ่มต้นจาก Root DNS Server และมีการลงนามแบบต่อเนื่องเป็นลำดับชั้นลงมา
    • DS Record สำคัญ: DS Record ที่อยู่ใน Parent Zone คือตัวเชื่อมโยงสำคัญที่ทำให้ Chain of Trust สมบูรณ์

    ผู้ให้บริการ DNSSEC และค่าใช้จ่าย

    การที่คุณจะ “ฝาก DNS” ที่รองรับ DNSSEC หมายถึงการที่คุณต้องการให้ผู้ให้บริการ DNS Hosting ของคุณรองรับการตั้งค่า DNSSEC สำหรับโดเมนของคุณ ซึ่งจะทำให้ข้อมูล DNS ของคุณได้รับการลงนามด้วยลายเซ็นดิจิทัล และ DNS Resolver ที่รองรับ DNSSEC จะสามารถตรวจสอบความถูกต้องได้

    1. ผู้จดทะเบียนโดเมน (Domain Registrar):
      • ตัวอย่าง: Namecheap, GoDaddy, Cloudflare Registrar, Gandi, Squarespace (สำหรับ Google Domains เดิม)
      • การรองรับ: ผู้จดทะเบียนโดเมนส่วนใหญ่ในปัจจุบันมักจะรองรับการตั้งค่า DNSSEC สำหรับโดเมนที่คุณจดทะเบียนกับพวกเขา
      • ค่าใช้จ่าย: โดยทั่วไปแล้ว การเปิดใช้งาน DNSSEC บนผู้จดทะเบียนโดเมนจะไม่มีค่าใช้จ่ายเพิ่มเติม หากคุณใช้ DNS Server ของผู้จดทะเบียนนั้นๆ (ซึ่งเป็นค่าเริ่มต้น) แต่ถ้าคุณใช้ DNS Server ภายนอก คุณอาจจะต้องนำค่า DS Record ไปใส่ที่ผู้จดทะเบียนโดเมนของคุณ
    2. ผู้ให้บริการ DNS Hosting โดยเฉพาะ (Dedicated DNS Hosting Providers):
      • ตัวอย่าง: Cloudflare DNS, Amazon Route 53, Google Cloud DNS, NS1, Akamai (Linode DNS)
      • การรองรับ: ผู้ให้บริการเหล่านี้ถูกออกแบบมาเพื่อให้บริการ DNS โดยเฉพาะ และมักจะรองรับ DNSSEC อย่างเต็มรูปแบบ พร้อมเครื่องมือที่ช่วยให้การจัดการ DNSSEC ง่ายขึ้น
      • ค่าใช้จ่าย:
        • Cloudflare DNS: มีบริการ DNS ที่ยอดเยี่ยมและ รองรับ DNSSEC ฟรี สำหรับแผน Free Plan ซึ่งเป็นตัวเลือกที่ได้รับความนิยมอย่างมาก
        • บริการอื่นๆ (มีค่าใช้จ่าย): ผู้ให้บริการรายอื่น ๆ เช่น Amazon Route 53, Google Cloud DNS จะมีค่าใช้จ่ายตามการใช้งาน (Pay-as-you-go) โดยคิดตามจำนวนโซน DNS, จำนวนคำขอ DNS, และฟีเจอร์เพิ่มเติมอื่น ๆ เหมาะสำหรับธุรกิจหรือผู้ที่ต้องการประสิทธิภาพและความสามารถขั้นสูง
    3. ผู้ให้บริการ Web Hosting / VPS Hosting:
      • การรองรับ: หากคุณมีเว็บไซต์และใช้บริการ Web Hosting หรือ VPS Hosting บางผู้ให้บริการอาจมีบริการ DNS Hosting รวมอยู่ด้วย และบางรายก็รองรับ DNSSEC
      • ค่าใช้จ่าย: มักจะ รวมอยู่ในแพ็กเกจ Hosting อยู่แล้ว หรืออาจมีค่าใช้จ่ายเพิ่มเติมเล็กน้อยสำหรับฟีเจอร์เฉพาะ

    การใช้ DNSSEC กับ DNS Resolver สาธารณะ (เช่น 8.8.8.8)

    • ได้รับประโยชน์จากการตรวจสอบ DNSSEC: หากตั้งค่า DNS Resolver ไปที่ 8.8.8.8 (Google Public DNS) คุณจะได้รับประโยชน์จากการ DNSSEC Validation โดยอัตโนมัติ
    • เงื่อนไข: โดเมนที่คุณกำลังเข้าถึง ต้องเปิดใช้งาน DNSSEC ไว้แล้ว ด้วยเช่นกัน
    • หากตรวจสอบไม่ผ่าน: DNS Resolver จะไม่ส่ง IP Address ของโดเมนนั้นกลับมา (เช่น ส่ง SERVFAIL) เพื่อป้องกันการเข้าถึงเว็บไซต์ปลอม

    การป้องกันการโดนปลอม IP จาก DNS ใน Wi-Fi สาธารณะ

    Wi-Fi สาธารณะมีความเสี่ยงสูงต่อ DNS Spoofing คุณสามารถป้องกันได้ด้วยวิธีดังนี้:

    1. ใช้ DNSSEC Validation: ตั้งค่าอุปกรณ์ให้ใช้ DNS Resolver ที่รองรับ DNSSEC (เช่น 8.8.8.8, 1.1.1.1)
    2. ใช้ DNS over HTTPS (DoH) หรือ DNS over TLS (DoT): เข้ารหัสการสื่อสาร DNS ทำให้ยากต่อการดักจับและแก้ไข (รองรับในเบราว์เซอร์และ OS สมัยใหม่)
    3. ใช้ Virtual Private Network (VPN): สร้างอุโมงค์เข้ารหัสสำหรับทราฟฟิกทั้งหมด รวมถึงคำขอ DNS ป้องกันการดักฟังและการเปลี่ยนเส้นทาง
    4. ระมัดระวังในการเชื่อมต่อ: ตรวจสอบชื่อ Wi-Fi, หลีกเลี่ยงการทำธุรกรรมสำคัญ, และใช้ HTTPS เสมอ

    การรวมมาตรการเหล่านี้เข้าด้วยกันจะช่วยเพิ่มความปลอดภัยของคุณอย่างมากเมื่อใช้ Wi-Fi สาธารณะครับ