Windows Server คืออะไร และใช้งานบน Cloud Server อย่างไร
Windows Server คือระบบปฏิบัติการเซิร์ฟเวอร์ของไมโครซอฟท์ที่องค์กรไทยใช้กับงาน Active Directory, SQL Server, ระบบ .NET และ Remote Desktop การย้ายขึ้นคลาวด์ต้องวางเรื่องไลเซนส์และการเข้าถึงให้ถูกต้อง
- หมวดหมู่
- ระบบปฏิบัติการเซิร์ฟเวอร์
- ติดตั้งบนเซิร์ฟเวอร์เองได้
- ได้
- สเปกเริ่มต้นที่แนะนำ
- 2 vCPU · RAM 4 GB
- ไลเซนส์
- เชิงพาณิชย์ (คิดตามจำนวนคอร์และสิทธิ์การเข้าถึง)
- เว็บทางการ
- เปิดเว็บไซต์
- ISO/IEC 27001
- ISO 22301
- ISO 20000-1
- CSA-STAR
Data Center ในไทย มาตรฐาน TIA-942 Tier 3+ ข้อมูลอยู่ในประเทศไทย
Windows Server คืออะไร
Windows Server ทำงานเป็นชุดบทบาทที่เปิดใช้ตามความต้องการ ทั้งบริการไดเรกทอรีผู้ใช้ เว็บเซิร์ฟเวอร์ IIS บริการไฟล์ และบริการเดสก์ท็อประยะไกล องค์กรจึงใช้เครื่องเดียวหรือหลายเครื่องตามบทบาทที่แยกกัน
บทบาทที่พบมากที่สุดในองค์กรไทยคือ Active Directory ที่เป็นศูนย์กลางบัญชีผู้ใช้และนโยบายเครื่อง ตามด้วย SQL Server สำหรับระบบธุรกิจ และ Remote Desktop สำหรับให้พนักงานเข้าใช้โปรแกรมบนเซิร์ฟเวอร์
ประเด็นที่ต้องวางแผนตั้งแต่ต้นคือไลเซนส์ ซึ่งคิดตามจำนวนคอร์และมีสิทธิ์การเข้าถึงของผู้ใช้แยกอีกส่วน การเลือกจำนวน vCPU และรูปแบบการเข้าถึงจึงกระทบค่าใช้จ่ายโดยตรง
ความสามารถเด่นของ Windows Server
Active Directory
ศูนย์กลางบัญชีผู้ใช้ นโยบายเครื่อง และการยืนยันตัวตนขององค์กร
รองรับ SQL Server และ .NET
เป็นแพลตฟอร์มมาตรฐานของระบบธุรกิจที่พัฒนาบนเทคโนโลยีไมโครซอฟท์
Remote Desktop Services
ให้พนักงานเข้าใช้โปรแกรมบนเซิร์ฟเวอร์จากอุปกรณ์ใดก็ได้
บริการไฟล์และการพิมพ์
จัดการโฟลเดอร์ร่วมและสิทธิ์การเข้าถึงตามผู้ใช้ในโดเมน
Hyper-V ในตัว
สร้างเครื่องเสมือนบนเครื่องเดียวกันได้เมื่อจำเป็น
บทบาทของ Windows Server ที่องค์กรไทยเปิดใช้บ่อยที่สุด
Windows Server ไม่ได้ทำงานเดียว แต่เปิดใช้เป็นบทบาทตามที่องค์กรต้องการ การรู้ว่าแต่ละบทบาททำอะไรช่วยตัดสินใจได้ว่าจะรวมไว้เครื่องเดียวหรือแยกเครื่อง ซึ่งกระทบทั้งความปลอดภัยและค่าไลเซนส์โดยตรง
บทบาทที่เป็นหัวใจที่สุดคือบริการไดเรกทอรี เพราะเป็นศูนย์กลางบัญชีผู้ใช้และนโยบายของเครื่องทั้งองค์กร เมื่อเครื่องนี้มีปัญหา พนักงานจะเข้าเครื่องตัวเองไม่ได้ ระบบที่ยืนยันตัวตนผ่านโดเมนก็ใช้ไม่ได้ตามไปด้วย จึงเป็นบทบาทที่ควรมีสองเครื่องเสมอในองค์กรที่พึ่งมันจริง
สิ่งที่ควรหลีกเลี่ยงคือการรวมทุกบทบาทไว้เครื่องเดียวเพื่อประหยัด เพราะเมื่อเครื่องนั้นต้องรีบูตเพื่อแพตช์ ทุกบริการหยุดพร้อมกัน และเมื่อบริการใดถูกเจาะ ผู้โจมตีจะได้ทุกอย่างในเครื่องนั้นไปพร้อมกัน
- บริการไดเรกทอรี เป็นศูนย์กลางบัญชีผู้ใช้ กลุ่ม และนโยบายเครื่อง ควรมีสองเครื่อง
- บริการไฟล์ จัดการโฟลเดอร์ร่วมและสิทธิ์ตามผู้ใช้ในโดเมน พร้อมเก็บประวัติเวอร์ชันไฟล์
- เว็บเซิร์ฟเวอร์ IIS รองรับเว็บและ API ที่พัฒนาด้วยเทคโนโลยีของไมโครซอฟท์
- บริการเดสก์ท็อประยะไกล ให้พนักงานเข้าใช้โปรแกรมบนเซิร์ฟเวอร์จากอุปกรณ์ใดก็ได้
- บริการ DNS และ DHCP ที่ทำงานคู่กับโดเมนขององค์กร
- Hyper-V สร้างเครื่องเสมือนเพิ่มบนเครื่องเดียวกันเมื่อจำเป็น
ทำไม Remote Desktop ที่เปิดสู่อินเทอร์เน็ตคือความเสี่ยงอันดับหนึ่ง
เหตุแรนซัมแวร์ในองค์กรจำนวนมากมีจุดเริ่มเหมือนกัน คือพอร์ตเดสก์ท็อประยะไกลที่เปิดสู่อินเทอร์เน็ตพร้อมบัญชีที่รหัสผ่านเดาได้ บอตสแกนหาพอร์ตนี้ตลอดเวลาและลองรหัสผ่านอัตโนมัติ เมื่อเข้าได้ก็ยกระดับสิทธิ์แล้วเข้ารหัสข้อมูลทั้งองค์กร
ทางแก้ที่ให้ผลชัดที่สุดไม่ใช่การเปลี่ยนพอร์ตหรือตั้งรหัสผ่านยาวขึ้น แต่คือการไม่เปิดพอร์ตนี้ออกอินเทอร์เน็ตเลย ให้ผู้ใช้เชื่อม VPN เข้ามาก่อนแล้วจึงเข้าเดสก์ท็อประยะไกลจากภายใน วิธีนี้ตัดการสแกนจากภายนอกออกทั้งหมดตั้งแต่ต้นทาง
ถ้าจำเป็นต้องเปิดให้เข้าจากภายนอกจริง ควรวางประตูที่ยืนยันตัวตนหลายชั้นไว้ด้านหน้า จำกัดช่วงไอพีที่เข้าถึงได้ ตั้งนโยบายล็อกบัญชีเมื่อล็อกอินผิดหลายครั้ง และเก็บ Log การเข้าใช้ไว้ตรวจย้อนหลัง
- ให้เข้าถึงผ่าน VPN Gateway เป็นทางเข้าเดียว ไม่เปิดพอร์ต 3389 สู่สาธารณะ
- บังคับการยืนยันตัวตนหลายชั้นสำหรับบัญชีที่เข้าเดสก์ท็อประยะไกลได้
- ตั้งนโยบายล็อกบัญชีและเก็บ Log การเข้าใช้ไว้ตรวจสอบ
- แยกบัญชีผู้ดูแลระบบออกจากบัญชีที่ใช้ทำงานประจำวัน
วางแผนไลเซนส์ให้ตรงกับสเปกเครื่องที่ใช้จริง
ไลเซนส์ของ Windows Server คิดตามจำนวนคอร์ของเครื่อง และบางบทบาทอย่างเดสก์ท็อประยะไกลยังต้องมีสิทธิ์การเข้าถึงของผู้ใช้หรืออุปกรณ์แยกอีกส่วน การเลือกจำนวน vCPU จึงไม่ใช่แค่เรื่องประสิทธิภาพ แต่กระทบค่าใช้จ่ายรายปีโดยตรง
ข้อดีของการรันบนคลาวด์คือปรับจำนวน vCPU ให้พอดีกับที่ไลเซนส์ครอบคลุมได้ ต่างจากการซื้อเซิร์ฟเวอร์ที่มักได้คอร์มากเกินความจำเป็นแล้วต้องจ่ายไลเซนส์ตามนั้นทั้งอายุเครื่อง สำหรับลูกค้าที่ใช้บริการ Cloud Windows Server ของเรา ไลเซนส์ระบบปฏิบัติการรวมมาให้แล้วจึงไม่ต้องจัดหาเอง
สิ่งที่ควรทำก่อนขึ้นระบบจริงคือทำรายการว่าแต่ละเครื่องเปิดบทบาทอะไร มีผู้ใช้เข้าถึงกี่คน และต้องการสิทธิ์แบบใด เพราะการแก้ไลเซนส์หลังใช้งานแล้วยุ่งกว่าและมักแพงกว่าการวางให้ถูกตั้งแต่ต้น
สิ่งที่ต้องเตรียมเมื่อย้ายระบบ Windows เดิมขึ้นคลาวด์
ระบบที่ผูกกับ Windows มักไม่ได้อยู่โดดเดี่ยว แต่พึ่งพาโดเมน ฐานข้อมูล และเครื่องพิมพ์หรืออุปกรณ์ในสำนักงาน การย้ายจึงต้องไล่ดูว่าอะไรคุยกับอะไร แล้วตัดสินใจว่าจะย้ายทั้งชุดหรือย้ายบางส่วนพร้อมเชื่อมกลับมาที่สำนักงานผ่านอุโมงค์ VPN
ลำดับที่ปลอดภัยที่สุดคือย้ายระบบที่พึ่งพาผู้อื่นน้อยที่สุดก่อน เช่น เว็บภายในหรือระบบรายงาน แล้วจึงย้ายฐานข้อมูลและระบบงานหลัก ส่วนบริการไดเรกทอรีมักย้ายท้ายสุดหรือทำเป็นแบบมีเครื่องทั้งสองฝั่งเพื่อไม่ให้พนักงานเข้าเครื่องไม่ได้ระหว่างเปลี่ยน
อีกเรื่องที่ต้องทดสอบจริงคือประสิทธิภาพของโปรแกรมเฉพาะทางที่พนักงานใช้ผ่านเดสก์ท็อประยะไกล เพราะประสบการณ์ใช้งานขึ้นกับความหน่วงของเครือข่ายมากกว่าสเปกเครื่อง การวางเซิร์ฟเวอร์ไว้ใน Data Center ในประเทศจึงให้ผลต่างที่ผู้ใช้รู้สึกได้ทันที
ใช้ Windows Server ทำอะไรได้บ้าง
- Active Directory และบริการไฟล์ขององค์กร
- ระบบธุรกิจที่รันบน SQL Server และ .NET
- เซิร์ฟเวอร์ Remote Desktop ให้พนักงานเข้าใช้โปรแกรมเฉพาะทาง
- ระบบเดิมที่ผูกกับ Windows และต้องย้ายขึ้นคลาวด์โดยไม่เขียนใหม่
สเปก Cloud Server ที่แนะนำ
| ระดับการใช้งาน | vCPU | RAM | Disk |
|---|---|---|---|
| เริ่มต้นบริการเดียวหรือเครื่องทดสอบ | 2 vCPU | 4 GB | NVMe 80 GB |
| แนะนำระบบงานองค์กรทั่วไปหรือ Active Directory | 4 vCPU | 8 GB | NVMe 150 GB |
| งานหนักSQL Server หรือ Remote Desktop ที่มีผู้ใช้จำนวนมาก | 8 vCPU ขึ้นไป | 16 GB ขึ้นไป | NVMe 300 GB ขึ้นไป |
ดูราคาตามสเปกได้ที่ ราคา Cloud Compute หรือให้ทีมงานช่วยประเมินสเปกจากปริมาณผู้ใช้จริงของคุณ
วิธีติดตั้ง Windows Server บน Cloud Server ของ THAI DATA CLOUD
Windows Server ไม่ได้ติดตั้งด้วยคำสั่งบนคอมมานด์ไลน์เหมือนลินุกซ์ แต่สร้างจากอิมเมจแล้วตั้งค่าผ่านหน้าจอจัดการ ด้านล่างคือลำดับงานที่ต้องทำหลังสร้างเครื่องใหม่ โดยเฉพาะเรื่องช่องทางเข้าถึงที่เป็นความเสี่ยงอันดับหนึ่งของระบบนี้
สิ่งที่ต้องเตรียม
- ไลเซนส์ Windows Server ที่ถูกต้องตามจำนวนคอร์
- สิทธิ์การเข้าถึงของผู้ใช้หรืออุปกรณ์ตามรูปแบบการใช้งาน
- ดิสก์ NVMe และ RAM ที่เผื่อพอเพราะระบบใช้ทรัพยากรพื้นฐานมากกว่าลินุกซ์
- ช่องทางเข้าถึงที่ปลอดภัย เช่น VPN แทนการเปิด Remote Desktop สู่อินเทอร์เน็ต
ทดสอบบน Windows Server 2022
- 1
สร้างเครื่องและตั้งค่าเริ่มต้น
สร้าง Cloud Windows Server จากหน้าจัดการ แล้วตั้งชื่อเครื่อง เขตเวลาเป็นกรุงเทพ และเปลี่ยนรหัสผ่านผู้ดูแลระบบทันที
- 2
ห้ามเปิด Remote Desktop สู่อินเทอร์เน็ตโดยตรง
พอร์ต Remote Desktop ที่เปิดสาธารณะเป็นเป้าหมายอันดับต้นของการโจมตีและแรนซัมแวร์ ให้เข้าถึงผ่าน VPN Gateway หรือจำกัดไอพีเท่านั้น
- 3
ติดตั้งอัปเดตทั้งหมด
รัน Windows Update ให้ครบก่อนเริ่มติดตั้งบทบาทหรือแอปใด ๆ และตั้งรอบการอัปเดตอัตโนมัติในช่วงเวลาที่กระทบผู้ใช้น้อยที่สุด
- 4
เปิดบทบาทที่ต้องใช้
เปิดเฉพาะบทบาทที่จำเป็นจริงจากตัวจัดการเซิร์ฟเวอร์ เช่น IIS สำหรับเว็บ หรือบริการไดเรกทอรีสำหรับ Active Directory เพื่อลดพื้นที่การโจมตี
- 5
ตั้งค่า Firewall ของ Windows
กำหนดกฎขาเข้าให้เปิดเฉพาะพอร์ตที่บริการนั้นต้องใช้ และจำกัดช่วงไอพีต้นทางเท่าที่ทำได้
- 6
ตั้งการสำรองข้อมูลและทดสอบกู้คืน
ตั้งสำรองระดับเครื่องหรือระดับข้อมูลตามความสำคัญ ส่งสำเนาไปเก็บนอกเครื่อง และทดสอบกู้คืนจริงตามรอบ
เหตุแรนซัมแวร์ในองค์กรจำนวนมากเริ่มจาก Remote Desktop ที่เปิดสู่อินเทอร์เน็ตพร้อมรหัสผ่านที่เดาได้ การปิดช่องทางนี้คือมาตรการเดียวที่ให้ผลมากที่สุด
พอร์ตที่ต้องเปิดบน Firewall
| พอร์ต | โปรโตคอล | ใช้ทำอะไร |
|---|---|---|
| 3389 | TCP | Remote Desktop (ต้องเข้าผ่าน VPN หรือจำกัดไอพีเท่านั้น) |
| 443 | TCP | เว็บผ่าน IIS ถ้าเปิดบทบาทเว็บเซิร์ฟเวอร์ |
| 1433 | TCP | SQL Server (เปิดเฉพาะวงภายใน) |
| 389 / 636 | TCP | บริการไดเรกทอรี (เฉพาะวงภายใน) |
สิ่งที่ควรทำต่อหลังติดตั้งเสร็จ
- ห้ามเปิดพอร์ต Remote Desktop สู่อินเทอร์เน็ต ให้เข้าผ่าน VPN เท่านั้น
- เปลี่ยนชื่อและตั้งรหัสผ่านที่แข็งแรงให้บัญชีผู้ดูแลระบบ พร้อมเปิดการยืนยันตัวตนหลายชั้นถ้าทำได้
- ติดตั้งแพตช์ประจำเดือนอย่างสม่ำเสมอ
- เปิดเฉพาะบทบาทและฟีเจอร์ที่ใช้จริง
- ตั้งนโยบายล็อกบัญชีเมื่อล็อกอินผิดหลายครั้ง
- สำรองข้อมูลไปเก็บนอกเครื่องและทดสอบกู้คืนจริง
ทำไมควรรัน Windows Server บน Cloud Server ของ THAI DATA CLOUD
Data Center ในประเทศไทย มาตรฐาน ISO/IEC 27001 และ ISO 22301 พร้อมทีมวิศวกรคนไทยดูแลตลอด 24 ชั่วโมง
THAI DATA CLOUD มีบริการ Cloud Windows Server ที่รวมไลเซนส์และดูแลชั้นโครงสร้างพื้นฐานให้
ยกระบบที่ผูกกับ Windows ขึ้นคลาวด์ได้โดยไม่ต้องเขียนใหม่ ทั้ง Active Directory, SQL Server และ .NET
ใช้ VPN Gateway เป็นทางเข้าเดียวแทนการเปิด Remote Desktop สู่อินเทอร์เน็ต
เลือกจำนวน vCPU ให้พอดีกับไลเซนส์ที่มี ช่วยคุมค่าใช้จ่ายส่วนที่แพงที่สุด
คำถามที่พบบ่อยเกี่ยวกับ Windows Server
ไลเซนส์ Windows Server บนคลาวด์คิดอย่างไร
โดยทั่วไปคิดตามจำนวนคอร์ของเครื่อง และมีสิทธิ์การเข้าถึงของผู้ใช้หรืออุปกรณ์แยกอีกส่วนสำหรับบางบทบาท เช่น Remote Desktop บริการ Cloud Windows Server ของเรารวมไลเซนส์ระบบปฏิบัติการมาให้แล้ว จึงไม่ต้องจัดหาเอง
เปิด Remote Desktop ให้พนักงานเข้าจากบ้านได้ไหม
ได้แต่ต้องผ่าน VPN หรือ Remote Desktop Gateway ที่มีการยืนยันตัวตนหลายชั้น การเปิดพอร์ต 3389 สู่อินเทอร์เน็ตโดยตรงเป็นสาเหตุอันดับต้นของเหตุแรนซัมแวร์ในองค์กร
ควรใช้ Windows หรือ Linux
ขึ้นกับซอฟต์แวร์ที่ต้องรัน ถ้าระบบผูกกับ Active Directory, SQL Server หรือแอป .NET รุ่นเก่า ให้ใช้ Windows Server ส่วนงานเว็บและ Container ทั่วไป Linux จะประหยัดค่าไลเซนส์และใช้ทรัพยากรน้อยกว่า
ทางเลือกอื่นที่คล้ายกับ Windows Server
แอปอื่นในหมวด ระบบปฏิบัติการเซิร์ฟเวอร์
บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง
ให้เราติดตั้ง Windows Server ให้ฟรี บน Cloud Server ในไทย
แจ้งความต้องการสั้น ๆ ทีมวิศวกรจะช่วยประเมินสเปก ติดตั้ง และตั้งค่าความปลอดภัยให้พร้อมใช้งาน ปรึกษาฟรี ไม่มีข้อผูกมัด