Network Training Center

คอมพิวเตอร์หลายร้อยเครื่องใช้ Public IP เดียวกันได้อย่างไร และ Router รู้ได้อย่างไรว่าข้อมูลขากลับต้องส่งไปที่เครื่องไหน?
เบื้องหลังการแยก Traffic เหล่านี้อยู่ใน Translation Table ที่ Router สร้างขึ้นสำหรับแต่ละ Flow
จากตอนที่ 1 เราได้เห็นว่า ACL ใช้ตรวจสอบและจำแนก Traffic รวมถึงหลักเลือก Interface และ Direction ให้ตรงกับ Traffic Flow
ในตอนนี้ ACL จะถูกนำมาใช้ในอีกบริบทหนึ่ง คือเลือก Source Network ที่ต้องเข้าสู่กระบวนการแปลง Address ก่อนส่ง Traffic ออกสู่อินเทอร์เน็ต
ภายในองค์กร อุปกรณ์จำนวนมากใช้งาน Private IP เช่น
192.168.10.5
192.168.10.6
192.168.10.7
Address ในช่วง Private IP สามารถนำไปใช้ซ้ำในเครือข่ายภายในของหลายองค์กร และโดยปกติจะไม่ถูกส่งต่อบน Public Internet
เมื่อต้องเชื่อมต่อออกสู่อินเทอร์เน็ต Router จึงแปลง Source Address ผ่านกระบวนการ Network Address Translation หรือ NAT
NAT มีหลายรูปแบบ โดยสองแนวคิดที่ควรแยกให้ออกคือ Dynamic NAT และ PAT
Dynamic NAT จับคู่ Inside Local Address กับ Address จาก NAT Pool แบบหนึ่งต่อหนึ่งในช่วงที่ Translation ทำงานอยู่
หาก Address ใน Pool ถูกใช้งานครบ อุปกรณ์ภายในรายใหม่ต้องรอจนกว่าจะมี Address ว่าง
ส่วน PAT หรือ NAT Overload เปิดให้อุปกรณ์หลายเครื่องแชร์ Global Address เดียวกัน
สำหรับ TCP และ UDP Router จะใช้หมายเลข Port ร่วมกับ Address และ Protocol เพื่อแยกแต่ละ Flow ส่วน Traffic อย่าง ICMP จะใช้ Identifier ที่เกี่ยวข้องแทน Port
ตัวอย่าง Configuration เริ่มจาก ACL ที่ระบุกลุ่ม Private IP
access-list 10 permit 192.168.10.0 0.0.0.255
จากนั้นนำ ACL ไปอ้างอิงในคำสั่ง NAT
ip nat inside source list 10 interface GigabitEthernet0/0 overload
คำสั่งนี้กำหนดให้ Router นำ Inside Source Address ที่ตรงกับ ACL 10 ไปแปลงเป็น IP Address ของ Interface GigabitEthernet0/0 ระหว่างส่ง Traffic จากฝั่ง Inside ไปยังฝั่ง Outside
Keyword overload เปิดให้หลาย Inside Local Address ใช้ Inside Global Address เดียวกัน โดย Router แยกแต่ละ Flow ผ่านหมายเลข Port หรือ Identifier ที่เกี่ยวข้อง
เพื่อให้ NAT ทำงานตรงตามเส้นทาง Interface แต่ละฝั่งต้องได้รับบทบาทที่ถูกต้อง
Interface ทางเครือข่ายภายในกำหนดเป็น
ip nat inside
Interface ที่เชื่อมต่อออกสู่เครือข่ายภายนอกกำหนดเป็น
ip nat outside
เมื่อเครื่อง 192.168.10.5 เปิด Connection ออกสู่อินเทอร์เน็ต Router จะสร้าง Translation Entry เชื่อมโยง Address และ Port ฝั่ง Inside เข้ากับค่าที่ใช้บนฝั่ง Outside
เราสามารถเปิดดู Translation Table ที่ Router ใช้บันทึกและติดตามแต่ละ Flow ได้ด้วยคำสั่ง
show ip nat translations
ภายในตารางจะพบ Address สำคัญ 4 รูปแบบ
Inside Local
IP Address จริงของอุปกรณ์ภายใน ตามที่ใช้งานอยู่ใน Local Network
Inside Global
IP Address ที่ Router ใช้แทนอุปกรณ์ภายใน เมื่อ Traffic ออกไปปรากฏบนเครือข่ายภายนอก
Outside Global
IP Address ของอุปกรณ์ปลายทาง ตามที่ปรากฏอยู่บนเครือข่ายภายนอก
Outside Local
IP Address ของอุปกรณ์ปลายทาง ตามที่อุปกรณ์ภายในมองเห็น
ในระบบที่ไม่มีการแปลง Address ของฝั่ง Outside ค่า Outside Local และ Outside Global มักเป็น Address เดียวกัน
สำหรับ PAT Router จะติดตามทั้ง Address, Protocol และ Identifier ของแต่ละ Flow
Router อาจคง Source Port เดิมไว้หากยังไม่เกิดความซ้ำกัน หรือเลือกหมายเลขอื่นเพื่อให้ Translation แต่ละรายการแยกจากกันได้
เมื่อ Response Packet เดินทางกลับมา Router จะค้นหา Translation Entry ที่ตรงกัน ก่อนแปลง Address กลับและส่งต่อไปยัง Inside Local Address ของเครื่องต้นทาง
PAT จึงรองรับหลาย Flow ผ่าน Public IP เดียวได้ ภายใต้ทรัพยากรและ State ที่ Router ต้องติดตามอย่างต่อเนื่อง
หาก Translation Table หรือหมายเลข Port ที่ใช้งานได้เริ่มไม่เพียงพอ รวมถึงกรณี Routing, Return Path หรือบทบาท Inside/Outside ถูกกำหนดคลาดเคลื่อน การเชื่อมต่อก็อาจสะดุดได้
เมื่อ NAT มีปัญหา ลำดับการตรวจสอบต่อไปนี้ช่วยให้ทีมไล่หาสาเหตุได้เป็นขั้นตอน
1. ระบุ Expected Flow ให้ชัด ทั้ง Source, Destination, Protocol และ Port
2. ตรวจสอบ Routing และ Default Route ว่า Traffic ออกผ่าน Interface ที่คาดไว้
3. ยืนยันบทบาท ip nat inside และ ip nat outside ของแต่ละ Interface
4. ตรวจสอบว่า ACL Match กับ Source Network ที่ต้องการแปลง
5. ตรวจสอบคำสั่ง NAT รวมถึง Address หรือ Interface ที่ใช้เป็น Inside Global
6. สร้าง Traffic ทดสอบ แล้วดู Translation Table และ NAT Statistics
7. หากเกิด Translation แล้ว ให้ตรวจสอบ Return Path, ACL, Firewall และ Policy ที่เกี่ยวข้อง
คำสั่งหลักที่ใช้ตรวจสอบ ได้แก่
show ip nat translations
show ip nat statistics
show access-lists
show ip route
หากยังไม่มี Translation Entry เกิดขึ้น จุดที่ต้องไล่ดูก่อนคือ ACL Match กับ Source Network หรือไม่ Traffic วิ่งผ่าน Router ตัวนั้นหรือเปล่า และ Interface ถูกกำหนดเป็น NAT Inside/Outside ตรงฝั่งหรือยัง
หาก Translation เกิดขึ้นแล้ว แต่ปลายทางยังสื่อสารกลับมาไม่ได้ ให้ตรวจสอบ Routing, Return Path, Default Route และ Security Policy ตามเส้นทางต่อ
Command ช่วยยืนยันว่าอุปกรณ์ถูกกำหนดให้ทำอะไร ส่วนการ Troubleshoot ต้องติดตามต่อว่า Packet เริ่มจากจุดใด ผ่าน Interface ไหน ถูกแปลง Address ช่วงใด และผลลัพธ์เริ่มคลาดจากที่คาดตรงไหน
คนดูแลระบบจึงต้องเชื่อมข้อมูลจาก Routing Table, ACL, Interface Configuration และ Translation Table เข้าด้วยกัน เพื่อมองเห็นพฤติกรรมของ Traffic เป็นลำดับ แทนการตรวจสอบ Command แยกทีละส่วน
เพราะในระบบจริง NAT ไม่ได้ทำงานแยกจาก Routing, Switching หรือ Security Policy
ACL อาจ Match ถูกต้อง แต่ Traffic วิ่งออกผิด Interface
NAT อาจสร้าง Translation Entry แล้ว แต่ Return Path กลับมาไม่ถึง
หรือ Configuration ทุกบรรทัดดูปกติ ขณะที่ Packet ไม่ได้ผ่านอุปกรณ์ตัวที่ทีมกำลังตรวจสอบ
การแก้ปัญหา Network จึงต้องอาศัยทั้งความเข้าใจพื้นฐานและวิธีตรวจสอบหลักฐานจากอุปกรณ์ เพื่อค่อยๆ จำกัดขอบเขตของสาเหตุให้แคบลง
สองตอนนี้ชวนให้เห็นว่า ACL และ NAT ไม่ได้ทำงานแยกจากกัน แต่เชื่อมอยู่ใน Traffic Flow เดียวกัน ตั้งแต่การเลือก Packet ที่ต้องตรวจสอบ ไปจนถึงการแปลง Address และส่งข้อมูลกลับถึงเครื่องต้นทาง
เมื่อเข้าใจความเชื่อมโยงเหล่านี้ การตรวจสอบปัญหาจะไม่หยุดอยู่ที่การจำ Command แต่เริ่มไล่หาสาเหตุจากเส้นทางและพฤติกรรมของ Traffic ได้เป็นขั้นตอน
พื้นฐานลักษณะนี้เป็นส่วนหนึ่งของหลักสูตร Implementing and Administering Cisco Solutions (CCNA) ซึ่งช่วยจัดระบบความเข้าใจตั้งแต่ Network Fundamentals, Switching, Routing และ IP Services ไปจนถึง Security Fundamentals และ Network Automation
ผู้เรียนจะได้เชื่อมโยง Command เข้ากับ Traffic Flow ผ่านการฝึกปฏิบัติ ตั้งแต่การกำหนดค่า ตรวจสอบผลลัพธ์ ไปจนถึงการวิเคราะห์ปัญหาจากข้อมูลที่อุปกรณ์แสดงออกมา
รายละเอียดรอบอบรม
17–21 สิงหาคม 2569 / 14–18 กันยายน 2569
ค่าอบรมพิเศษ 33,150 บาท ยังไม่รวม VAT 7%
จากราคาปกติ 51,000 บาท
สมัครอบรมได้ที่: https://trainingcenter.co.th/shared/Course/CCNA-V2/
เปิดอบรมทั้งรูปแบบ Public Training ได้แก่ Classroom และ Virtual Classroom รวมถึง In-House Training สำหรับองค์กรที่ต้องการพัฒนาทักษะทีมงานตามบริบทของระบบภายใน
สอบถามเพิ่มเติมผ่าน LINE: -LINE

Data Center ใหญ่ขึ้น Network ยิ่งซับซ้อน มาดูกันว่า Cisco ACI ช่วยให้การจัดการ Network เป็นระบบขึ้นได้อย่างไร
จากเดิมที่ผู้ดูแลระบบต้องคอนฟิก Switch หลายจุด ไล่เช็กทีละอุปกรณ์ และดูแล Policy แยกกันหลายส่วน Cisco ACI เข้ามาช่วยเปลี่ยนวิธีจัดการ Data Center Network ให้เป็นระบบมากขึ้น ผ่านแนวคิด Software-Defined Networking หรือ SDN
Cisco ACI คือแนวทางการออกแบบและบริหาร Network ใน Data Center ที่ขยับจากการมอง Network เป็นเพียงสายเชื่อมต่อระหว่างอุปกรณ์ ไปสู่การผูก Network เข้ากับความต้องการของ Application มากขึ้น
เมื่อระบบขยายใหญ่ขึ้น งานที่เคยดูแลได้ด้วยการคอนฟิกทีละอุปกรณ์จึงเริ่มกลายเป็นภาระ ทั้งด้านเวลา ความสม่ำเสมอของ Policy และความเสี่ยงจาก Human Error
Cisco ACI หรือ Application Centric Infrastructure จึงเข้ามาช่วยให้การบริหารจัดการ Network ใน Data Center ทำได้จากศูนย์กลาง ผ่านซอฟต์แวร์ Controller ที่ชื่อว่า APIC หรือ Application Policy Infrastructure Controller
ถ้าเปรียบให้ง่ายขึ้น APIC ทำหน้าที่เหมือน “ศูนย์กลางด้าน Policy และ Management” ของระบบ ACI
ผู้ดูแลระบบสามารถกำหนดนโยบายจากจุดเดียว เช่น Application กลุ่มไหนควรสื่อสารกับกลุ่มไหนได้บ้าง ต้องแยก Segment อย่างไร ต้องควบคุม Traffic แบบไหน จากนั้น APIC จะกระจาย Policy ไปยัง ACI Fabric เพื่อให้ Leaf และ Spine Switch ทำงานตามนโยบายที่กำหนดไว้
ก่อนจะเห็นภาพว่า ACI จัดการระบบอย่างไร ลองแยกบทบาทของ Network ออกเป็น 2 ส่วนหลักก่อน
1) Control Plane
ส่วนที่ใช้คิด คำนวณ และแลกเปลี่ยนข้อมูลเส้นทาง เพื่อให้ระบบรู้ว่าข้อมูลควรวิ่งไปทางไหน
2) Data Plane
ส่วนที่รับส่ง Packet จริง ทำหน้าที่ส่งข้อมูลจากต้นทางไปยังปลายทางตามข้อมูลที่ระบบเรียนรู้ไว้
ใน ACI Fabric การรับส่งข้อมูลเกิดขึ้นผ่านโครงสร้าง Fabric ที่ออกแบบให้ Leaf และ Spine ทำงานร่วมกันผ่านสถาปัตยกรรมแบบ Spine-Leaf Architecture ซึ่งเหมาะกับ Data Center ที่มี Traffic ภายในจำนวนมาก โดยเฉพาะ East-West Traffic หรือการสื่อสารระหว่าง Server, Application และ Workload ภายใน Data Center เดียวกัน
โครงสร้าง Spine-Leaf ประกอบด้วย
Leaf Switches
Switch ชั้นล่างที่เชื่อมต่อกับ Server, Storage, Firewall หรืออุปกรณ์ปลายทางต่างๆ
Spine Switches
Switch ชั้นบนที่เชื่อม Leaf ทุกตัวเข้าด้วยกัน ทำหน้าที่เป็นแกนกลางความเร็วสูงของ Fabric
ข้อดีของโครงสร้างนี้คือ Traffic ระหว่าง Server จะวิ่งผ่านจำนวน Hop ที่สั้นและสม่ำเสมอกว่าเดิม ช่วยลดความซับซ้อนของเส้นทาง และรองรับการขยายระบบได้ง่ายขึ้น เมื่อต้องเพิ่ม Server หรือ Workload ใหม่ องค์กรสามารถขยาย Fabric เช่น เพิ่ม Leaf เพื่อรองรับอุปกรณ์ปลายทาง และวางแผนเพิ่ม Spine ได้ตามความเหมาะสม โดยไม่ต้องรื้อโครงสร้างทั้งหมด
อีกจุดที่ทำให้ Cisco ACI แตกต่างจาก Network แบบเดิม คือแนวคิด Policy-Based Automation
แทนที่จะตั้งค่าตาม Port, VLAN หรือ IP Address แบบแยกส่วน ACI ให้ผู้ดูแลระบบกำหนด Policy ตามกลุ่มของ Application เช่น Web, App, Database หรือกลุ่ม Workload ที่มีหน้าที่คล้ายกัน
จากนั้นจึงกำหนดว่าแต่ละกลุ่ม “ควรคุยกับใคร” “คุยผ่าน Protocol อะไร” และ “ต้องถูกควบคุมด้าน Security อย่างไร”
ผลลัพธ์คือทีมสามารถจัดการ Network ผ่าน Policy ที่สัมพันธ์กับบทบาทของ Application มากขึ้น เช่น Web, App หรือ Database แทนการบริหารแบบแยกอุปกรณ์ทีละส่วน
มุมนี้สำคัญมากสำหรับองค์กรที่ต้องดูแล Data Center ขนาดใหญ่ เพราะช่วยลดงานคอนฟิกซ้ำๆ ลดโอกาสผิดพลาด และเปิดทางให้ทีมออกแบบ Micro-segmentation หรือการแบ่งโซนความปลอดภัยย่อยๆ ได้เป็นระบบมากขึ้น เพื่อช่วยจำกัดขอบเขตของความเสี่ยงหากเกิดเหตุการณ์ผิดปกติภายในระบบ
หากทีมต้องการต่อยอดจากความเข้าใจพื้นฐาน ไปสู่การใช้งาน Cisco ACI ในบริบท Data Center จริง สิ่งที่ต้องเข้าใจจะครอบคลุมตั้งแต่ ACI Fabric, Spine-Leaf, Policy Model, Packet Forwarding, การเชื่อมต่อกับ Network เดิม ไปจนถึง Monitoring และ Troubleshooting
หัวข้อเหล่านี้คือแกนหลักของหลักสูตร
Implementing Cisco Application Centric Infrastructure (DCACI)
หลักสูตรนี้เหมาะกับผู้ที่ต้องการเข้าใจ Cisco ACI ตั้งแต่โครงสร้างพื้นฐาน การออกแบบและจัดการ Policy การเชื่อมต่อทั้ง Layer 2 และ Layer 3 รวมถึงการบูรณาการกับ Virtualization Platform อย่าง VMware
นอกจากนี้ยังให้ความสำคัญกับการตรวจสอบและแก้ปัญหาในระบบจริง เพราะการใช้ ACI ให้เกิดประโยชน์ไม่ได้จบแค่การ Deploy แต่ทีมต้องเข้าใจวิธีติดตามสถานะ วิเคราะห์ปัญหา และแก้ไขเมื่อระบบเริ่มซับซ้อนขึ้น
หากมีพื้นฐาน Network ระดับ CCNA เช่น Routing, Switching, VLAN, Subnetting และเข้าใจแนวคิด Virtualization มาบ้าง จะช่วยให้เรียนรู้ Cisco ACI ได้เร็วขึ้น และเห็นภาพการนำไปใช้กับงานจริงชัดเจนกว่าเดิม
มินิควิซเช็กความชัวร์
อุปกรณ์ใดที่เปรียบเสมือน “ศูนย์กลางด้าน Policy และ Management” ของระบบ Cisco ACI?
A. Spine Switch
B. Leaf Switch
C. APIC Controller
D. Border Leaf
ลองคอมเมนต์คำตอบไว้ได้เลยค่ะ เดี๋ยว NTC มาเฉลยพร้อมเหตุผลในคอมเมนต์
หากองค์กรของคุณกำลังวางแผนพัฒนาทักษะทีมด้าน Data Center Network, SDN หรือ Cisco ACI
NTC ในฐานะ Cisco Authorized Partner พร้อมช่วยให้คำปรึกษา วาง Roadmap หลักสูตร และแนะนำแนวทางอบรมที่เหมาะกับเป้าหมายของทีม
สอบถามรอบอบรม หรือปรึกษาเพิ่มเติมได้ที่ LINE: -LINE