เครือข่าย zero-trust สำหรับกลุ่มโรงพยาบาล 9 สาขา
แทนที่ VPN concentrator ตัวเดียวที่เคยล่มทั้งกลุ่ม ด้วย overlay network ที่แบ่งสิทธิ์ตามบทบาท และ onboard สาขาใหม่ได้ใน 3 นาที
- ลูกค้า
- กลุ่มโรงพยาบาล · 9 สาขา
- บทบาท
- ที่ปรึกษาเครือข่าย
- ระยะเวลา
- 6 สัปดาห์
- เทคโนโลยี
- ZeroTier, OIDC, OPNsense
9
สาขาที่เชื่อมต่อ
3 min
เวลา onboard สาขา
0
single point of failure
01 — โจทย์
VPN concentrator ตัวเดียวรองรับทุกสาขา เมื่อล่มทำให้ทั้งกลุ่มเข้าถึงระบบ HIS ไม่ได้ และการเพิ่มสาขาใหม่ใช้เวลาหลายวัน
02 — แนวทาง
ออกแบบ overlay network ที่แบ่งโซนตามบทบาท (คลินิก, สำนักงาน, ผู้ดูแลระบบ) ใช้ flow rules จำกัดพอร์ตและปลายทาง พร้อม SSO สำหรับผู้ใช้ roaming
03 — ผลลัพธ์
ไม่มีการหยุดชะงักจาก concentrator อีก ทีม IT เพิ่มสาขาใหม่ได้เองใน 3 นาที และผ่านการตรวจสอบของฝ่ายกำกับดูแล
เทคโนโลยี
ZeroTierOIDCOPNsenseZabbix
หลักการ
ทุกคนไม่ควรเข้าถึงทุกอย่าง ผู้ป่วยไม่ควรถูกจำกัดสิทธิ์เพราะ VPN ล่ม และการเพิ่มสาขาไม่ควรต้องรอทีมส่วนกลาง
flow rules ที่ใช้
text
# clinical network: HIS only, no outbound internet
action: accept
src: clinical devices (10.20.0.0/24)
dst: his-server (10.20.99.10) ports 443, 1521
# admin network: scoped SSH
action: accept
src: admins (10.20.50.0/25)
dst: all servers port 22, 443สิ่งที่ต้องทำต่อ
- เปิด MFA ที่ identity provider
- ทบทวนสมาชิกทุกไตรมาส
- เก็บ log การ join/leave ไว้อย่างน้อยหนึ่งปี