Cloudflare Mesh คืออะไร? พร้อมวิธีตั้งค่าเชื่อมสำนักงานใหญ่ สาขา และพนักงานนอกออฟฟิศแบบทำตามได้จริง



หลายบริษัทเริ่มต้นจากสำนักงานเพียงแห่งเดียว แต่เมื่อธุรกิจเติบโต ระบบไอทีก็มักกระจายออกไป บางบริษัทมีสาขาหลายจังหวัด บางแห่งมี Server อยู่ที่สำนักงานใหญ่และมีระบบสำรองอยู่บน Cloud ขณะที่พนักงานบางส่วนต้องทำงานจากบ้านหรือเดินทางไปต่างประเทศ

เมื่อทุกสถานที่ต้องใช้ข้อมูลร่วมกัน คำถามสำคัญคือ จะเชื่อมระบบทั้งหมดเข้าหากันอย่างไรให้ปลอดภัย เสถียร และไม่ต้องเปิด Server ภายในองค์กรออกสู่อินเทอร์เน็ตโดยตรง

วิธีที่นิยมใช้กันมานานคือ Site-to-Site VPN โดยติดตั้ง Firewall หรือ Router ที่แต่ละสาขา แล้วสร้างช่องทางเชื่อมต่อระหว่างกัน วิธีนี้ยังใช้งานได้ดี แต่เมื่อจำนวนสาขาเพิ่มขึ้น การตั้งค่า การดูแลเส้นทาง การเปลี่ยนผู้ให้บริการอินเทอร์เน็ต และการแก้ปัญหาเมื่อ Public IP เปลี่ยน อาจซับซ้อนขึ้นอย่างรวดเร็ว

Cloudflare Mesh เป็นอีกทางเลือกหนึ่งที่ช่วยให้สำนักงานใหญ่ สาขา Cloud Server และเครื่องของพนักงานเชื่อมต่อถึงกันผ่านเครือข่ายของ Cloudflare โดยแต่ละฝั่งเป็นผู้เริ่มเชื่อมต่อออกไปเอง จึงไม่จำเป็นต้องเปิดพอร์ตรอรับการเชื่อมต่อจากอินเทอร์เน็ต และในหลายกรณีไม่จำเป็นต้องมี Public IP ประจำที่แต่ละสาขา

บทความนี้ไม่ได้เขียนเพื่อเล่าข่าวเปิดตัวเพียงอย่างเดียว แต่จะพาเริ่มตั้งแต่การวางแผนระบบ การเตรียมเครื่อง การสร้าง Mesh Node การเพิ่มเส้นทางของแต่ละสาขา การเชื่อม Notebook ของพนักงาน และการตรวจสอบปัญหาที่พบบ่อย โดยใช้คำอธิบายที่เข้าใจง่ายและลดคำศัพท์เฉพาะที่ไม่จำเป็น

Cloudflare Mesh คืออะไรแบบเข้าใจง่าย

ลองนึกภาพว่าบริษัทมีสำนักงานใหญ่ที่กรุงเทพฯ สาขาที่เชียงใหม่ และ Server บน Cloud ทั้งสามแห่งใช้อินเทอร์เน็ตคนละผู้ให้บริการและมีวง Network ภายในของตนเอง

ถ้าใช้ VPN แบบเดิม แต่ละสถานที่อาจต้องรู้ Public IP ของอีกฝั่ง ต้องตั้งค่ารหัสเข้ารหัสให้ตรงกัน ต้องเปิด Firewall และต้องกำหนดว่าเส้นทางใดจะวิ่งผ่าน Tunnel ใด หากมีหลายสาขา จำนวนการเชื่อมต่อและจำนวนค่าที่ต้องดูแลก็จะเพิ่มขึ้นตามไปด้วย

Cloudflare Mesh เปลี่ยนแนวทางเป็นการให้แต่ละสถานที่ติดตั้งเครื่องตัวกลางขนาดเล็ก เรียกว่า Mesh Node เครื่องนี้จะเชื่อมต่อออกไปยัง Cloudflare จากนั้น Cloudflare จะช่วยส่งข้อมูลไปยังปลายทางที่ถูกต้องตาม Route ที่เรากำหนดไว้

อุปกรณ์ที่เข้าร่วม Mesh ไม่ว่าจะเป็น Node หรือเครื่องของพนักงาน จะได้รับหมายเลข IP ส่วนตัวสำหรับใช้ภายใน Mesh โดยค่าเริ่มต้นอยู่ในช่วง 100.96.0.0/12 หมายเลขนี้เปรียบเสมือนเบอร์ภายในที่ใช้เรียกหาอุปกรณ์แต่ละเครื่องผ่านเครือข่ายของ Cloudflare

การสื่อสารไม่ได้จำกัดเฉพาะเว็บไซต์ แต่รองรับการใช้งานทั่วไปของระบบเครือข่าย เช่น Ping, SSH, Remote Desktop, File Sharing, โปรแกรมบัญชี, Database และ API ภายใน โดยรองรับ TCP, UDP และ ICMP

Cloudflare Mesh ต่างจาก Cloudflare Tunnel อย่างไร

ชื่อของทั้งสองบริการอาจทำให้สับสน เพราะต่างก็เชื่อมระบบภายในองค์กรเข้ากับ Cloudflare แต่จุดประสงค์หลักไม่เหมือนกัน

หัวข้อCloudflare TunnelCloudflare Mesh
เหมาะกับงานแบบใดนำบริการบางอย่าง เช่น เว็บไซต์หรือระบบหลังบ้าน ไปให้ผู้ใช้เข้าผ่านชื่อโดเมนเชื่อมอุปกรณ์ Server และวง Network หลายแห่งให้สื่อสารกันได้ทั้งไปและกลับ
โปรแกรมที่ใช้เป็นตัวเชื่อมcloudflaredCloudflare One Client หรือ warp-cli บน Linux
การเรียกใช้งานมักเรียกผ่าน Hostname หรือบริการที่กำหนดเรียกผ่าน Mesh IP, Private IP, CIDR Route หรือ Private Hostname
เหมาะกับ Site-to-Siteทำได้บางรูปแบบ แต่ไม่ใช่จุดประสงค์หลักออกแบบมารองรับการเชื่อมแบบสองทางและ Site-to-Site โดยตรง
การใช้งานจาก Notebookผู้ใช้เข้า Application ที่เผยแพร่ผ่าน Cloudflare AccessNotebook เข้าร่วม Mesh และเข้าถึง Node หรือวง Network หลัง Node ได้

ในระบบจริงสามารถใช้ทั้งสองอย่างร่วมกันได้ ตัวอย่างเช่น ใช้ Cloudflare Tunnel สำหรับเปิดระบบแจ้งงานผ่านเว็บให้พนักงานเข้าใช้งานด้วยชื่อโดเมน และใช้ Cloudflare Mesh สำหรับให้ฝ่าย IT เชื่อมต่อไปยัง Server, NAS, Printer หรืออุปกรณ์ภายในแต่ละสาขา

Cloudflare Mesh เหมาะกับสถานการณ์ใด

บริษัทมีหลายสาขาและไม่มี Public IP

อินเทอร์เน็ตของบางสาขาอาจอยู่หลัง CGNAT หรือผู้ให้บริการไม่ได้มอบ Public IP ให้ หากใช้ VPN แบบที่ต้องรอรับการเชื่อมต่อจากอินเทอร์เน็ต อาจต้องซื้อ Fixed IP เพิ่ม แต่ Mesh Node เป็นฝ่ายเชื่อมต่อออกไปยัง Cloudflare จึงลดการพึ่งพา Public IP และไม่ต้องทำ Port Forward จากภายนอกเข้ามายัง Node

มีทั้ง Server ที่สำนักงานและ Server บน Cloud

องค์กรอาจมี Active Directory, NAS หรือระบบบัญชีอยู่ที่สำนักงานใหญ่ แต่มี Web Server หรือระบบสำรองอยู่บน AWS, Azure, Google Cloud หรือ VPS สามารถติดตั้ง Mesh Node ในแต่ละ Network แล้วกำหนด Route ให้ทั้งสองฝั่งติดต่อกันผ่าน Private IP ได้

พนักงานทำงานนอกสำนักงาน

พนักงานติดตั้ง Cloudflare One Client บน Windows, macOS, Linux, iOS หรือ Android แล้วลงทะเบียนเข้ากับองค์กร เครื่องจะได้รับ Mesh IP และสามารถเข้าถึงทรัพยากรที่องค์กรอนุญาตไว้ได้

ต้องการเตรียม DR Site

หากมีระบบสำรองอยู่คนละสถานที่ สามารถเชื่อม DR Site เข้ากับ Mesh ไว้ล่วงหน้า เมื่อเกิดเหตุจึงปรับ Route, DNS หรือปลายทางของ Application ตามแผน DR โดยไม่ต้องเริ่มสร้าง VPN ใหม่ในช่วงที่ระบบหลักมีปัญหา

ต้องการเพิ่มสาขาใหม่โดยไม่แก้ VPN ทุกคู่

ในระบบที่เชื่อมแบบจุดต่อจุด การเพิ่มสาขาใหม่อาจต้องแก้ค่าที่สำนักงานใหญ่หรือหลายสาขา แต่ใน Mesh เราสร้าง Node ใหม่ ประกาศวง Network ของสาขานั้น และเพิ่ม Route ที่จำเป็นผ่าน Dashboard กลาง

สิ่งที่ Cloudflare Mesh ไม่ได้แทนทั้งหมด

  • Mesh ไม่ได้ทำให้อินเทอร์เน็ตเร็วขึ้นโดยอัตโนมัติ ความเร็วสูงสุดยังขึ้นอยู่กับ Internet Upload และ Download ของแต่ละฝั่ง ระยะทาง คุณภาพเส้นทาง และประสิทธิภาพของเครื่อง Node
  • Mesh ไม่ได้แทน Firewall ภายในองค์กร เรายังต้องกำหนด Firewall Rule ที่ Server, Router และระบบปฏิบัติการ
  • Mesh ไม่ได้แทนการสำรองข้อมูล หาก Server เสียหรือข้อมูลถูกลบ Tunnel ที่ดีเพียงใดก็ไม่สามารถกู้ข้อมูลกลับมาได้
  • ระบบที่ต้องการ QoS, การควบคุม WAN แบบละเอียด หรือ SLA เฉพาะทาง อาจยังเหมาะกับ SD-WAN, MPLS หรือโซลูชัน Enterprise อื่น
  • ไม่ควรเปิดให้ทุกอุปกรณ์เข้าถึงทุกระบบ ควรใช้ Policy จำกัดตามผู้ใช้ อุปกรณ์ IP และ Port ที่จำเป็น

ตัวอย่างระบบที่จะใช้ในบทความ

สถานที่วง NetworkIP ของ Mesh Node ในวง LANอุปกรณ์ตัวอย่าง
สำนักงานใหญ่ กรุงเทพฯ10.10.10.0/2410.10.10.20File Server 10.10.10.50
สาขาเชียงใหม่10.20.20.0/2410.20.20.20Server 10.20.20.50
พนักงานนอกสำนักงานรับ Mesh IP จาก Cloudflareไม่ต้องมี Node ประจำเครื่องNotebook Windows หรือ macOS

เป้าหมายคือให้เครื่องในสำนักงานใหญ่เข้าถึง Server สาขาได้ เครื่องในสาขาเข้าถึง File Server ที่สำนักงานใหญ่ได้ และ Notebook ของพนักงานเข้าถึงระบบที่ได้รับอนุญาต โดยไม่ต้องเปิดพอร์ตจากอินเทอร์เน็ตเข้ามายัง Server ภายใน

สิ่งที่ต้องเตรียมก่อนเริ่ม

บัญชี Cloudflare

ต้องมีบัญชี Cloudflare และเปิดใช้งาน Cloudflare One หรือ Zero Trust สำหรับองค์กร ระบบจะให้กำหนด Team Name ซึ่งใช้ตอนนำเครื่องพนักงานเข้าร่วมองค์กร

เครื่อง Linux สำหรับแต่ละสาขา

Mesh Node ทำงานบน Linux สามารถใช้เครื่องจริง Virtual Machine หรือ Server ขนาดเล็กที่เปิดทำงานตลอดเวลาได้ สำหรับการทดลอง Ubuntu Server 24.04 เป็นตัวเลือกที่เข้าใจง่าย

  • เชื่อมต่อ LAN ของสาขาได้
  • ออกอินเทอร์เน็ตได้
  • กำหนด IP ภายในแบบคงที่
  • เปิดใช้งานตลอดเวลาที่ต้องการให้สาขาเชื่อมถึงกัน
  • ไม่ควรติดตั้งบน Domain Controller หรือ DNS Server หลัก
  • ไม่ควรรัน VPN Client ตัวอื่นบนเครื่องเดียวกันในช่วงเริ่มต้นทดสอบ

สิทธิ์ตั้งค่า Static Route

หากต้องการให้เครื่องทั้งวง LAN ใช้งาน Mesh โดยไม่ติดตั้ง Client ทุกเครื่อง Router ของแต่ละสาขาต้องสามารถเพิ่ม Static Route ได้ Static Route คือป้ายบอกทางให้ Router รู้ว่า หากต้องการไป Network ของอีกสาขา ต้องส่งข้อมูลไปที่ Mesh Node เครื่องใด

วง IP ของแต่ละสาขาต้องไม่ซ้ำกัน

สำนักงานใหญ่และสาขาไม่ควรใช้วงเดียวกัน เช่น ทั้งสองฝั่งใช้ 192.168.1.0/24 เพราะระบบจะไม่รู้ว่าปลายทางอยู่ฝั่งใด ควรวางแผนเป็นสำนักงานใหญ่ 10.10.10.0/24, สาขาแรก 10.20.20.0/24, สาขาที่สอง 10.30.30.0/24 และ Cloud 10.40.40.0/24

ตรวจสอบช่วง Mesh IP

Cloudflare ใช้ช่วง 100.96.0.0/12 เป็น Mesh IP โดยค่าเริ่มต้น หากองค์กรใช้ช่วงดังกล่าวอยู่แล้วต้องปรับ Device IP Range ก่อนนำระบบมาใช้งานจริง

ภาพรวมขั้นตอนการตั้งค่า

  1. เปิด Cloudflare Dashboard และเข้า Networking > Mesh
  2. ใช้ Setup Wizard เพื่อเตรียมบัญชี
  3. สร้าง Mesh Node สำหรับสำนักงานใหญ่
  4. ติดตั้ง Cloudflare One Client บน Ubuntu
  5. ประกาศ Route ของวงสำนักงานใหญ่
  6. สร้าง Node ที่สาขา
  7. ประกาศ Route ของวงสาขา
  8. เพิ่ม Static Route บน Router ทั้งสองฝั่ง
  9. ปรับ Split Tunnel ให้ Route ของอีกสาขาวิ่งผ่าน Cloudflare
  10. ทดสอบ Ping และบริการจริง
  11. ติดตั้ง Client ให้ Notebook ของพนักงาน
  12. สร้าง Policy จำกัดสิทธิ์
  13. เพิ่ม Node สำรองหากต้องการ High Availability

ขั้นตอนที่ 1: เปิดใช้งาน Cloudflare Mesh

  1. เข้าสู่ Cloudflare Dashboard
  2. เลือก Account ที่ต้องการใช้งาน
  3. ไปที่ Networking
  4. เลือก Mesh
  5. กด Add a node
  6. ตั้งชื่อ Node เช่น BKK-HQ-MESH01
  7. กด Create node

หากเป็นการเปิดใช้งานครั้งแรก Cloudflare จะแสดง Setup Wizard เพื่อเตรียม Device Enrollment, Device Profile, Mesh IP และ Gateway Proxy สำหรับบัญชีใหม่ Wizard จะช่วยสร้างค่าพื้นฐานให้อัตโนมัติ แต่ถ้าบัญชีใช้งาน Zero Trust อยู่ก่อนแล้ว ระบบจะไม่เขียนทับค่าที่มีอยู่ ผู้ดูแลจึงควรตรวจสอบ Profile เดิมด้วย

ขั้นตอนที่ 2: เตรียม Ubuntu Server

ตัวอย่างนี้ใช้ Ubuntu Server 24.04 และกำหนด IP ของเครื่องสำนักงานใหญ่เป็น 10.10.10.20

อัปเดตระบบ
sudo apt update
sudo apt upgrade -y

ตรวจสอบ IP
ip address

ทดสอบ Gateway
ping -c 4 10.10.10.1

ทดสอบอินเทอร์เน็ต
ping -c 4 1.1.1.1

ทดสอบ DNS
ping -c 4 cloudflare.com

หาก Ping 1.1.1.1 ได้แต่ cloudflare.com ไม่ได้ แสดงว่ามีปัญหาที่ DNS ควรแก้ให้เรียบร้อยก่อนติดตั้ง Mesh

Mesh Node ควรใช้ IP เดิมเสมอ เพราะ Router จะชี้ Static Route มาที่ IP นี้ หาก IP เปลี่ยน เส้นทางระหว่างสาขาจะหยุดทำงาน สามารถจอง IP ผ่าน DHCP Reservation ที่ Router หรือกำหนด Static IP ที่ Ubuntu ก็ได้

ขั้นตอนที่ 3: ติดตั้ง Cloudflare One Client บน Ubuntu

หลังสร้าง Node ใน Dashboard ระบบจะแสดงคำสั่งติดตั้งที่มี Token ของ Node อยู่แล้ว ควรคัดลอกจาก Dashboard โดยตรง

เพิ่มกุญแจและ Repository
curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | sudo gpg --yes --dearmor -o /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(. /etc/os-release && echo $VERSION_CODENAME) main" | sudo tee /etc/apt/sources.list.d/cloudflare-client.list

ติดตั้งโปรแกรม
sudo apt-get update
sudo apt-get install -y cloudflare-warp

เปิด IP Forwarding
printf 'net.ipv4.ip_forward = 1\nnet.ipv6.conf.all.forwarding = 1\nnet.ipv6.conf.all.accept_ra = 2\n' | sudo tee /etc/sysctl.d/99-zzz-cloudflare-warp-connector.conf
sudo sysctl --system

ลงทะเบียน Node
sudo warp-cli connector new <NODE-TOKEN>
sudo warp-cli connect

แทนที่ <NODE-TOKEN> ด้วย Token จริง ห้ามนำ Token ไปโพสต์ในบทความ รูปหน้าจอสาธารณะ หรือส่งให้บุคคลที่ไม่เกี่ยวข้อง

ตรวจสอบสถานะ
warp-cli status

จากนั้นกลับไปหน้า Networking > Mesh ตรวจสอบว่า Node แสดง Online และมี Mesh IP

ขั้นตอนที่ 4: เพิ่ม Route ของสำนักงานใหญ่

  1. ไปที่ Networking > Mesh
  2. เลือก BKK-HQ-MESH01
  3. เปิดส่วน Routes
  4. กด Add route
  5. ใส่ CIDR เป็น 10.10.10.0/24
  6. ตรวจว่า Route ชี้ไป Node ที่สำนักงานใหญ่
  7. บันทึก

Route นี้บอก Cloudflare ว่า หากต้องการไปยัง IP ในวง 10.10.10.0/24 ให้ส่งข้อมูลมาที่ Node ของสำนักงานใหญ่ หากองค์กรใช้ Subnet Mask ต่างจาก 255.255.255.0 ต้องใส่ CIDR ให้ตรงกับระบบจริง

ขั้นตอนที่ 5: สร้าง Node ที่สาขาเชียงใหม่

  1. สร้าง Node ชื่อ CNX-BRANCH-MESH01
  2. ติดตั้ง Cloudflare One Client บน Ubuntu ที่มี IP 10.20.20.20
  3. เปิด IP Forwarding
  4. ลงทะเบียนด้วย Token ของ Node สาขา
  5. สั่ง warp-cli connect
  6. ตรวจว่า Node Online
  7. เพิ่ม Route 10.20.20.0/24 ให้ชี้มาที่ Node นี้

ขั้นตอนที่ 6: เพิ่ม Static Route ที่สำนักงานใหญ่

DestinationNext Hopความหมาย
10.20.20.0/2410.10.10.20ข้อมูลไปสาขาให้ส่งผ่าน Mesh Node ที่สำนักงานใหญ่
100.96.0.0/1210.10.10.20ข้อมูลไป Mesh IP ให้ส่งผ่าน Mesh Node

ชื่อเมนูของ Router แต่ละยี่ห้ออาจต่างกัน เช่น Static Route, Routing Table, Advanced Routing หรือ Policy & Routing แต่ค่าหลักเหมือนกัน คือ Destination Network และ Next Hop

  1. เข้า Omada Controller และเลือก Site
  2. ไปที่ Settings
  3. เปิด Transmission หรือ Routing ตามเวอร์ชัน
  4. เลือก Static Route
  5. สร้าง Route ไป 10.20.20.0/24
  6. กำหนด Next Hop เป็น 10.10.10.20
  7. สร้าง Route ไป 100.96.0.0/12
  8. กำหนด Next Hop เป็น 10.10.10.20
  9. บันทึกและตรวจว่า Route เป็น Active

ขั้นตอนที่ 7: เพิ่ม Static Route ที่สาขาเชียงใหม่

DestinationNext Hopความหมาย
10.10.10.0/2410.20.20.20ข้อมูลไปสำนักงานใหญ่ให้ส่งผ่าน Mesh Node ที่สาขา
100.96.0.0/1210.20.20.20ข้อมูลไป Mesh IP ให้ส่งผ่าน Mesh Node

Route ต้องมีทั้งขาไปและขากลับ หากตั้งเฉพาะสำนักงานใหญ่ให้ไปถึงสาขา แต่ไม่ได้ตั้งสาขาให้ตอบกลับ ข้อมูลอาจไปถึงปลายทางแต่คำตอบกลับผิดทาง ทำให้เปิดบริการไม่ได้

ขั้นตอนที่ 8: ตรวจสอบ Split Tunnel

Split Tunnel เป็นตัวกำหนดว่า Traffic ใดส่งผ่าน Cloudflare และ Traffic ใดออกตาม Network ปกติ

  • Include Mode ส่งผ่าน Cloudflare เฉพาะวงที่ระบุ
  • Exclude Mode ส่งผ่าน Cloudflareเกือบทั้งหมด ยกเว้นวงที่ระบุว่าไม่ให้ผ่าน

สำหรับ Mesh Node การใช้ Include Mode มักเข้าใจง่าย เพราะส่งผ่าน Cloudflare เฉพาะ Mesh IP และวงของสาขาอื่น

สำนักงานใหญ่ควร Include

  • 100.96.0.0/12
  • 10.20.20.0/24
  • 100.80.0.0/16 หากใช้ Hostname Routing
  • 2606:4700:0cf1:4000::/64 หากใช้ Hostname Routing ผ่าน IPv6

สาขาควร Include

  • 100.96.0.0/12
  • 10.10.10.0/24
  • 100.80.0.0/16 หากใช้ Hostname Routing
  • 2606:4700:0cf1:4000::/64 หากใช้ Hostname Routing ผ่าน IPv6

หาก Profile ใช้ Exclude Mode ให้ตรวจว่า 100.64.0.0/10 ไม่ได้ถูก Exclude จนทำให้ Mesh IP วิ่งออกทาง Network ปกติ

ขั้นตอนที่ 9: ทดสอบ Site-to-Site

ทดสอบ Node ไป Node ด้วย Mesh IP

ping -c 4 <MESH-IP-ของ-NODE-สาขา>

ทดสอบ Local IP ของ Node สาขา

ping -c 4 10.20.20.20

ทดสอบ Server หลัง Node

ping -c 4 10.20.20.50

ทดสอบจากเครื่องใน LAN

Windows
ping 10.20.20.50
tracert 10.20.20.50

macOS หรือ Linux
ping 10.20.20.50
traceroute 10.20.20.50

ควรทดสอบทีละชั้น หาก Mesh IP ใช้งานได้แต่ Private IP ไม่ได้ ให้ตรวจ CIDR Route, Split Tunnel, IP Forwarding, Static Route ขากลับ และ Firewall ของปลายทาง

ทดสอบ Port จริง

  • SSH Port 22
  • Remote Desktop Port 3389
  • SMB Port 445
  • HTTPS Port 443
  • Database ตามระบบ เช่น 1433, 3306 หรือ 5432

Windows PowerShell
Test-NetConnection 10.20.20.50 -Port 443

macOS หรือ Linux
nc -zv 10.20.20.50 443

Ping ไม่ตอบไม่ได้แปลว่าบริการเสียเสมอไป เพราะบาง Server ปิด ICMP แต่ Port ที่ใช้งานจริงยังเชื่อมต่อได้

ขั้นตอนที่ 10: เชื่อม Notebook ของพนักงาน

Windows และ macOS

  1. ดาวน์โหลดและติดตั้ง Cloudflare One Client
  2. เปิดโปรแกรม
  3. เลือก Zero Trust Security
  4. ใส่ Team Name ขององค์กร
  5. เข้าสู่ระบบตามวิธีที่ผู้ดูแลกำหนด
  6. ยืนยันการลงทะเบียน
  7. ตรวจว่า Client แสดง Connected

iOS และ Android

  1. ติดตั้ง Cloudflare One Agent
  2. เปิดแอปและยอมรับนโยบาย
  3. ใส่ Team Name
  4. เข้าสู่ระบบ
  5. อนุญาตให้ติดตั้ง VPN Profile
  6. เปิดสถานะ Connected

Device Profile ของ Notebook ต้องส่ง 100.96.0.0/12 และวงภายในที่ผู้ใช้ต้องเข้าถึงผ่าน Cloudflare ไม่ควร Include ทุกวงโดยไม่จำเป็น

ตั้ง Policy ให้พนักงานเข้าถึงเฉพาะระบบที่จำเป็น

กลุ่มผู้ใช้ปลายทางPortสิทธิ์ตัวอย่าง
ฝ่ายบัญชี10.10.10.60443 และ Port โปรแกรมบัญชีระบบบัญชีเท่านั้น
พนักงานทั่วไป10.10.10.50445File Server
ฝ่าย ITวง Server ที่กำหนด22, 443, 3389ดูแลระบบตามหน้าที่
VendorServer เครื่องเดียวPort ที่ระบุอนุญาตชั่วคราว

หลักที่ควรใช้คืออนุญาตเท่าที่จำเป็น หากพนักงานต้องใช้ File Server เพียงเครื่องเดียว ไม่ควรเปิดทั้งวง Network และทุก Port

การเข้าถึง Synology NAS ผ่าน Mesh

NAS ไม่จำเป็นต้องติดตั้ง Cloudflare One Client โดยตรง หากอยู่หลัง Mesh Node และประกาศ CIDR Route ของวง LAN แล้ว Notebook หรืออีกสาขาสามารถเข้าถึง NAS ผ่าน Private IP ได้

  • DSM: https://10.10.10.50:5001
  • Windows SMB: \\10.10.10.50\ชื่อโฟลเดอร์
  • macOS SMB: smb://10.10.10.50/ชื่อโฟลเดอร์

ควรอนุญาตเฉพาะ Port ที่ต้องใช้ และไม่ควรปิด Firewall ของ NAS ทั้งหมดเพื่อแก้ปัญหา

การเชื่อม Cloud Server กับสำนักงาน

หลักการเหมือนการเพิ่มสาขา เพียงติดตั้ง Linux VM เป็น Mesh Node ใน VPC หรือ Virtual Network ของ Cloud Provider

  1. สร้าง Linux VM ใน Cloud Network
  2. ติดตั้ง Cloudflare One Client และลงทะเบียนเป็น Node
  3. เพิ่ม Route ของ Cloud Network ใน Cloudflare
  4. ปรับ Split Tunnel ให้รู้จักวงสำนักงาน
  5. เพิ่ม Route Table ของ Cloud Provider ให้คำตอบกลับผ่าน Mesh Node
  6. เปิด IP Forwarding หรือปิด Source/Destination Check ตามข้อกำหนดของ Provider
  7. กำหนด Security Group เฉพาะ Port ที่ต้องใช้

การใช้ Private Hostname แทน IP

Cloudflare รองรับ Hostname Route เพื่อให้เรียกชื่อ เช่น fileserver.internal.example.com หรือ erp.internal.example.com แทนการจำเลข IP เหมาะกับ Application ที่ IP อาจเปลี่ยนหรือผู้ใช้ไม่ควรจำเลข IP

ก่อนใช้ควรตรวจว่า Mesh Node ใช้ Client เวอร์ชันที่รองรับ เปิด Gateway Proxy และ Device Profile Include 100.80.0.0/16 รวมถึง IPv6 ที่ Cloudflare กำหนด

การทำ High Availability

หากมี Node เพียงเครื่องเดียว เมื่อเครื่องนั้นเสียหรืออัปเดต ระบบของสาขาจะเชื่อมผ่าน Mesh ไม่ได้ Cloudflare Mesh รองรับ Replica แบบ Active–Passive เครื่องหนึ่งทำงานและอีกเครื่องรอสำรอง

  1. เตรียม Linux เครื่องที่สองใน Network เดียวกัน
  2. กำหนด IP คงที่ เช่น 10.10.10.21
  3. ไปที่ Networking > Mesh
  4. เลือก Node เดิม
  5. กด Add a replica
  6. คัดลอกคำสั่งและ Token
  7. ติดตั้ง Client บนเครื่องสำรอง
  8. ตรวจว่าเครื่องหนึ่งเป็น Active และอีกเครื่องเป็น Passive

ต้องระวังว่า Static Route บน Router มักชี้ Next Hop เป็น Local IP ของ Node หาก Active เปลี่ยนจาก 10.10.10.20 ไป 10.10.10.21 แต่ Router ยังชี้เครื่องเดิม การ Failover ฝั่ง Cloudflare อย่างเดียวอาจไม่พอ จึงควรวางแผน Virtual IP, VRRP, Multiple Next Hop หรือ Health Check ที่ Router เพิ่มเติม

การใช้ Internet สองเส้น

แบบที่ 1: Node เดียว ให้ Router ทำ WAN Failover

Router ตรวจสอบ WAN หาก WAN1 ล่มให้สลับ Default Route ไป WAN2 ส่วน Mesh Node ยังใช้ Local IP เดิม วิธีนี้ดูแลง่ายและเหมาะกับองค์กรทั่วไป

แบบที่ 2: Replica สองเครื่อง แยก WAN

ติดตั้ง Replica สองเครื่อง แล้วใช้ Policy Route บน Firewall บังคับเครื่องแรกออก WAN1 และเครื่องที่สองออก WAN2 วิธีนี้ช่วยแยกความเสียหายของทั้ง Node และ WAN แต่ต้องวางแผน Next Hop ฝั่ง LAN ให้สลับตาม Active Replica ได้

ควรทดสอบการปิด WAN1, ปิด WAN2, ปิด Active Node และ Restart Router พร้อมบันทึกเวลาที่ระบบกลับมาใช้งานได้

Firewall ที่ต้องตรวจสอบ

Ubuntu Mesh Node

sudo ufw status verbose

ไม่ควรปิด Firewall ถาวร ควรเปิดเฉพาะ Traffic ที่ต้อง Forward

Windows

Windows อาจปิดกั้น Traffic ขาเข้าจาก 100.96.0.0/12 ต้องสร้าง Inbound Rule สำหรับ Protocol และ Port ที่ต้องใช้ เช่น RDP TCP 3389 โดยจำกัด Source IP

NAS

เพิ่ม Source IP ของวงสาขาหรือ Mesh IP พร้อม Port เช่น 445, 5001 หรือ Port ของ Backup Application

Firewall ระหว่าง VLAN

หาก Node อยู่ VLAN Server แต่ปลายทางอยู่ VLAN อื่น ต้องมี Inter-VLAN Rule อนุญาตด้วย Static Route อย่างเดียวไม่สามารถข้าม Firewall Rule ได้

ปัญหาที่พบบ่อย

Node Offline

  • ตรวจอินเทอร์เน็ตและ DNS
  • รัน warp-cli status
  • ตรวจเวลาเครื่อง
  • ตรวจ Firewall ขาออก
  • ตรวจ Token

Ping Mesh IP ได้ แต่เข้า Private IP ไม่ได้

  • ตรวจ CIDR Route
  • ตรวจ Split Tunnel
  • ตรวจ IP Forwarding
  • ตรวจ Static Route ขากลับ
  • ตรวจ Firewall ปลายทาง

Node คุยกันได้ แต่ LAN คุยไม่ได้

  • ตรวจ Static Route ที่ Router
  • ใช้ traceroute
  • ตรวจ Forwarding Rule
  • ตรวจ Route กลับที่ปลายทาง

Notebook ลงทะเบียนแล้วแต่เข้า Mesh ไม่ได้

  • ตรวจ Client Connected
  • ตรวจ 100.96.0.0/12 ใน Split Tunnel
  • ตรวจ Gateway Policy
  • ตรวจ Windows Firewall

มี VPN Client หลายตัว

Tailscale, WireGuard, OpenVPN, AnyConnect, GlobalProtect หรือโปรแกรมอื่นอาจแย่งกันควบคุม Routing Table สำหรับการทดสอบควรปิด VPN อื่น Restart เครื่อง แล้วตรวจใหม่

ติดตั้งบน DNS Server แล้ว DNS มีปัญหา

Cloudflare แนะนำไม่ให้รัน Mesh Node บน Active Directory DNS, Pi-hole, Unbound, BIND หรือ dnsmasq ควรสร้าง Linux VM แยกใน Subnet เดียวกัน

ใช้ Tunnel และ Mesh บนเครื่องเดียวกันแล้ว Tunnel หลุด

สามารถรันร่วมกันได้ แต่ต้องตั้ง Split Tunnel เพื่อยกเว้น Hostname และ IP ที่ cloudflared ใช้ สำหรับองค์กรทั่วไป การแยกคนละ VM จะดูแลง่ายกว่า

แนวทางด้านความปลอดภัย

  • ใช้เครื่อง Node สำหรับงานนี้โดยเฉพาะ
  • อัปเดต Ubuntu และ Cloudflare One Client สม่ำเสมอ
  • เก็บ Node Token เป็นความลับ
  • เปิด MFA ให้ผู้ดูแล
  • กำหนดสิทธิ์ผู้ดูแลตามหน้าที่
  • ตรวจ Gateway Logs
  • เปิดเฉพาะ Port ที่จำเป็น
  • จัดทำ Network Diagram และรายการ Route

แผน Rollback สำหรับการติดตั้งครั้งแรก

  1. Backup Config Router และ Firewall ก่อนเพิ่ม Route
  2. บันทึกรายการ Static Route ที่เพิ่ม
  3. ทดสอบเฉพาะเครื่อง IT ก่อน
  4. หากมีปัญหา ให้ปิด Route ใหม่
  5. สั่ง sudo warp-cli disconnect ที่ Node
  6. คืนค่า Split Tunnel
  7. ตรวจว่าเส้นทางเดิมกลับมาทำงาน
  8. เก็บ Log และ traceroute วิเคราะห์ก่อนทดสอบรอบถัดไป

แนวทางนำไปใช้จริง

ระยะที่ 1: Proof of Concept

  • สร้าง Node สองสถานที่
  • ประกาศเฉพาะวงทดสอบ
  • อนุญาตเฉพาะฝ่าย IT
  • ทดสอบ Ping, SSH, HTTPS และ File Transfer
  • วัด Latency และความเร็ว

ระยะที่ 2: Pilot

  • เพิ่มผู้ใช้กลุ่มเล็ก
  • สร้าง Policy ตามแผนก
  • ทดสอบ Windows, macOS และโทรศัพท์
  • ทดสอบ WAN Failover
  • ทดสอบ Restart Node และ Router

ระยะที่ 3: Production

  • เพิ่ม Replica สำหรับสาขาสำคัญ
  • เปิด Monitoring และ Alert
  • กำหนดรอบ Patch
  • ย้าย Application ทีละระบบ
  • เก็บ VPN เดิมเป็นทางสำรองช่วงแรก
  • ทบทวน Policy หลังใช้งาน

ข้อดี

  • ไม่ต้องมี Public IP ทุกสาขา
  • ไม่ต้องเปิด Port จากอินเทอร์เน็ตเข้า Node
  • เพิ่ม Node และ Route จาก Dashboard กลาง
  • รองรับเครื่องพนักงานและโทรศัพท์
  • รองรับ TCP, UDP และ ICMP
  • ใช้ Zero Trust Policy จำกัดสิทธิ์ได้
  • รองรับ HA แบบ Active–Passive
  • เริ่มทดลองได้โดยไม่รื้อระบบเดิม

ข้อจำกัด

  • Mesh Node ต้องใช้ Linux
  • ยังต้องเข้าใจ Route และ Static Route พื้นฐาน
  • วง IP ซ้ำกันระหว่างสาขาจะมีปัญหา
  • Firewall ปลายทางยังต้องเปิดรับ Traffic
  • VPN Client หลายตัวอาจชนกัน
  • HA ฝั่ง LAN อาจต้องใช้ความสามารถ Router เพิ่มเติม
  • ประสิทธิภาพจริงขึ้นอยู่กับอินเทอร์เน็ตและเครื่อง Node
  • เมนูและความสามารถอาจเปลี่ยนตามการอัปเดต

จำนวน Node และแผนใช้งาน

Cloudflare ระบุว่า Mesh รองรับสูงสุด 50 Mesh Nodes ต่อ Account ตาม Account Limit ปัจจุบัน และประกาศว่าเริ่มต้นใช้งานได้ฟรีสูงสุด 50 Nodes และ 50 Users ภายใต้เงื่อนไขของ Cloudflare One

ก่อนนำไปใช้เชิงธุรกิจควรตรวจ Pricing และ Account Limits อีกครั้ง เพราะจำนวนผู้ใช้ การเก็บ Log, Support และฟีเจอร์ Zero Trust บางรายการอาจต่างกันตามแผน

คำถามที่พบบ่อย

แต่ละสาขาต้องมี Public IP หรือไม่

ไม่จำเป็นในหลายกรณี เพราะ Node เป็นฝ่ายเชื่อมต่อออกไปยัง Cloudflare

ต้องเปิด Port Forward หรือไม่

ไม่ต้องเปิด Port Forward จากอินเทอร์เน็ตเข้ามาที่ Node สำหรับการเชื่อม Mesh ตามปกติ

ใช้แทน IPSec VPN ได้เลยหรือไม่

แทนได้ในหลาย Use Case แต่ควรทดลอง Application จริง วัดประสิทธิภาพ ตรวจ Policy และมี Rollback Plan ก่อนยกเลิก VPN เดิม

ติดตั้ง Node บน Windows Server ได้หรือไม่

Windows เข้าร่วมเป็น Client ได้ แต่ Node ที่ประกาศวง Network ใช้ Linux ตามเอกสารปัจจุบัน

ใช้กับ Synology NAS ได้หรือไม่

ได้ โดยวาง NAS หลัง Mesh Node และประกาศ CIDR Route ของวง NAS

ใช้กับ Active Directory ได้หรือไม่

เข้าถึง Domain Controller ผ่าน Route ได้ แต่ไม่ควรติดตั้ง Mesh Node บน Domain Controller หรือ DNS Server โดยตรง

สามารถให้ทุกสาขาคุยกันทั้งหมดได้หรือไม่

ทำได้ แต่ควรแบ่งสิทธิ์ตามหน้าที่ ไม่ควรเปิดทุก Port และทุกวงโดยไม่มี Policy

Cloudflare Mesh เร็วกว่าการเชื่อมตรงเสมอหรือไม่

ไม่รับประกันทุกเส้นทาง ความเร็วจริงขึ้นอยู่กับ ISP, Latency, Packet Loss, เครื่อง Node และ Application จึงต้องทดสอบจากสถานที่จริง

ควรเลือก Tunnel หรือ Mesh

หากต้องการเปิด Web Application ผ่านชื่อโดเมน ใช้ Tunnel เหมาะกว่า หากต้องการให้ Server, Notebook และหลาย Network สื่อสารด้วย Private IP และ Protocol ทั่วไป ใช้ Mesh เหมาะกว่า หลายองค์กรใช้ร่วมกัน

Checklist ก่อนเปิดใช้งานจริง

  • วง IP ของทุกสาขาไม่ซ้ำกัน
  • Mesh Node ใช้ IP คงที่
  • Node ทุกตัว Online
  • เพิ่ม CIDR Route ครบ
  • Split Tunnel ครบทุกวง
  • Router มี Static Route ขาไปและขากลับ
  • เปิด IP Forwarding บน Linux
  • Firewall เปิดเฉพาะ Port ที่ต้องใช้
  • ทดสอบจาก Node, LAN และ Remote Client
  • ทดสอบ WAN และ Node Failover
  • มี Backup Config และ Rollback Plan
  • เปิด MFA
  • เก็บ Node Token อย่างปลอดภัย
  • บันทึก Network Diagram และผู้รับผิดชอบ

สรุป

Cloudflare Mesh เป็นทางเลือกใหม่สำหรับองค์กรที่ต้องการเชื่อมสำนักงานใหญ่ สาขา Cloud Server และเครื่องพนักงานเข้าหากัน โดยไม่ต้องเปิดระบบภายในรับการเชื่อมต่อจากอินเทอร์เน็ตโดยตรง และไม่จำเป็นต้องมี Public IP ประจำทุกสถานที่

การเริ่มต้นแบ่งเป็นขั้นตอนชัดเจน ได้แก่ สร้าง Mesh Node, ประกาศ Route, ตั้ง Static Route ที่ Router, ปรับ Split Tunnel และเปิด Firewall เฉพาะส่วนที่จำเป็น

จุดสำคัญไม่ใช่เพียงทำให้ Ping ถึง แต่คือการวางสิทธิ์ให้เหมาะสม ตรวจเส้นทางขากลับ แยก Node ออกจาก DNS Server และเตรียมระบบสำรองสำหรับสาขาที่มีความสำคัญ

องค์กรควรเริ่มจาก Proof of Concept ขนาดเล็กโดยไม่รื้อ VPN เดิม เมื่อตรวจสอบว่าโปรแกรมจริงทำงานได้ ความเร็วเหมาะสม Policy ถูกต้อง และทีมงานดูแลได้ จึงค่อยขยายไปยังสาขาอื่น

แหล่งข้อมูลอ้างอิง

  • https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-mesh/
  • https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-mesh/get-started/
  • https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-mesh/routes/
  • https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-mesh/client-devices/
  • https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-mesh/high-availability/
  • https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-mesh/tips/
  • https://developers.cloudflare.com/cloudflare-one/account-limits/
  • https://blog.cloudflare.com/mesh/

หมายเหตุ: ตรวจสอบข้อมูล ณ วันที่ 26 กรกฎาคม 2026 ชื่อเมนู ขั้นตอนติดตั้ง ข้อจำกัด และความสามารถอาจเปลี่ยนในอนาคต ควรตรวจเอกสารล่าสุดก่อนติดตั้งในระบบ Production

ต้องการปรึกษาผู้เชี่ยวชาญ หรือขอใบเสนอราคา สามารถติดต่อได้ที่
E-Mail: [email protected]
Line@: @sync.co.th

ทางบริษัทฯ ขอสงวนสิทธิ์ในการรับผิดชอบใด ๆ อันเนื่องจากข้อผิดพลาดทางการพิมพ์ (ผิด/ตก)
*** สงวนสิทธิ์ในบทความนี้ โดย บริษัท ซิงค์เทค โซลูชั่น จำกัด ห้ามมิให้คัดลอก ดัดแปลง ทำซ้ำ โดยไม่ได้รับอนุญาตจากทางบริษัทเป็นลายลักษณ์อักษร ***