สวัสดีครับสมาชิกทุก ๆ คน วันนี้ผมมีเรื่องราวของระบบปฏิบัติการ Windows เวอร์ชั่นหน้ามาเล่าให้ฟังครับ นับจากการเปิดตัว Windows 10 มาปีกว่า ๆ ทาง MS ก็ได้เตรียมต่อยอดเพื่อปูทางสู่ Modern Windows ข่าวที่ออกมาล่าสุด ปี 2019 เราน่าจะเห็น Windows เวอร์ชั่นใหม่ซึ่งมี codename ว่า Polaris

Windows "Polaris" จะใช้เทคโนโลยี Windows Core OS (WOS) และ CShell ซึ่งเริ่มใน Windows 10 ส่งผลให้ Windows เวอร์ชั่นหน้าจะเป็น Modulars OS เต็มรูปแบบ มีการตัด Legacy Component ออก ส่งผลให้ขนาดตัวของระบบปฏิบัติการก็จะเล็กลง (LightWeight OS) ซึ่งช่วยลดการใช้ทรัพยากรเครื่องด้วย และประโยชน์ของ Modulars OS คือ การที่ Windows สามารถไปอยู่ในทุก platform ไม่ว่าจะเป็น Server , Desktop , Notebook , Mobile , IoT Device, XBox ได้ง่ายขึ้น โดยไม่ต้องแยก version เหมือนในปัจจุบัน (มีใครรู้บ้างครับว่า Windows 10S มีทั้งหมดกี่เวอร์ชั่น อะไรบ้าง) การอัพเดท(หรืออัพเกรด)โปรแกรมก็ทำได้ง่ายขึ้น และยังทำให้ Manufacture สามารถสร้าง Module เฉพาะของตัวเอง เพื่อส่งมอบให้ลูกค้า (คงคล้าย ๆ กับระบบปฏิบัติการ Android ที่แต่ละค่ายก็จะมีรายละเอียดของ UI ที่แตกต่างกันไป)

แนวโน้มที่ผมอยากพูดถึง ซึ่งนักพัฒนาและแอดมินอย่างเราควรทราบ นั้นคือ ทิศทางของ application ที่จะรันบน Windows เวอร์ชั่นหน้า ทาง MS จะสนับสนุน Universal Windows Platform; UWP อย่างเต็มตัว เราจะเห็นได้จาก Windows 10 ที่ทาง MS เองก็พยายามผลักดัน UWP app อย่างเต็มที่ เช่น หน้าจอสำหรับเซตค่าต่าง ๆ Windows ที่ทำออกมาเป็น UWP ควบคู่กับ Control Panel แบบเก่า หรือ App ที่เป็นฟีเจอร์ใน Windows ก็เป็น UWP มากขึ้น เช่น Mail Client, Calendar, Weather , Calculator หรือแม้กระทั่ง Paint3D (นี่แหละครับคือสาเหตุที่ทาง MS ยกเลิกการพัฒนาโปรแกรมยอดฮิตอมตะนิรันดร์กาลอย่าง Paint) ซึ่งนักพัฒนาเองคงต้องเตรียมตัวครับ

อนาคตของ Win32 App นั้นทาง MS เองก็ยังไม่บอกว่าทิศทางของ Win32 Application จะเป็นอย่างไร แต่นักวิเคราะห์ก็เชื่อกันว่า แนวโน้มของ Win32 App ทาง MS คงจะสนับสนุนโดยการไปรันใน local virtualization ซึ่งทำให้ผมนึกถึงตอนที่เปลี่ยนจาก Windows XP มาเป็น Windows 7 แล้วมี Tools ตัวหนึ่งชื่อ Windows XP Mode เพื่อให้เราสามารถลง App เก่าจาก Windows 9x สามารถรันบน Windows 7 ครับ

อนาคตกำลังจะมา!!!

ผมขอเสริมเรื่อง ram กับ hdd แล้วกันน่ะครับ เพราะตอนนี้ที่ รพ. opd visit  1000+ ต่อวัน สำหรับ จันทร์ - ศุกร์ ตอนนี้ที่ใช้อยู่ก็ RAM144GB (แต่ยังใช้ hosxp 3) ครับ อาทิตย์กว่าๆ การใช้งานก็มีล้นมาพื้นที่ swap แล้วครับ ต้อง restart service อย่างน้อยเดือนละครั้ง หรือถ้าล้นมาใช้พื้นที่ swap เยอะก็จำเป็นต้อง restart service เพราะไม่อยากให้ระบบค้าง ส่วนอีกทีใกล้ๆ กันเพิ่งขึ้น hosxp 4xe รพท.บางละมุง ชลบุรี ก็แรม 128gb ครับ เห็นบ่นๆ ว่ามีช้าบางจังหว่ะและอาจจะมีค้างบ้างถ้ามีการส่งออก 43แฟ้ม แนะนำว่า ram ควร 128GB เป็นขั้นต่ำถ้าข้อมูล opd visit เยอะ ส่วน hdd ถ้าเป็นไปได้ sas 15k ดีกว่าครับ เป็นอย่างต่ำ แต่ถ้าเล่นได้ ssd จะเยี่ยมเลย 10k มีผลกับระบบเยอะเลยครับ เพราะเดิมตอนที่ รพ. ผมเองขึ้นระบบใหม่ๆ ก็ใช้ sas 15k เหมือนกัน แต่ความจุมันน้อยและประจวบเหมาะกับเปลี่ยน server ใหม่ แต่ตัวใหม่ใช้ sas 10k มีผลเยอะเหมือนกัน ช่วงที่เปลี่ยน server sas 15k ราคาค่อนข้างสูง แต่ปัจจุบัน ราคาพอสมเหตุสมผลหน่อยครับ

ใช้ RAM เยอะเหมือนกันนะครับ ผมเองก็ไม่เคยใช้ Hosxp มาก่อน เลยไม่ทราบว่าอัตราการบริโภคเยอะมากถึงขนาดนี้ ที่รพ.ใช้ MS SQL Server ผู้ป่วย OPD ต่อวันประมาณสองพันกว่า ๆ ไอพีดีอีกสี่ร้อยกว่าเตียง ก็ไม่บริโภคเยอะถึงขนาดนี้ครับ ผมลองหาหนังสือมาแนะนำ ชื่อ High Performance MySQL ครับ
http://shop.oreilly.com/product/0636920022343.do
ลองไปหาอ่านกันดูนะครับ เพราะในส่วนของ MS SQL จะมีเครื่องมือชื่อ Database Engine Tuning Advisor เป็นตัวเก็บ log เพื่อนำข้อมูลมาประกอบการจูนครับ ผมเองไม่ทราบว่าบน MySQL จะมีเครื่องมือแบบนี้หรือเปล่า ลองศึกษาดูนะครับ

ไม่รู้จะเข้ามาตอบช้าเปล่านะครับ
1. ถ้าการระบุยี่ห้อ จะเป็นการถูกร้องว่า lock spec การใช้คำว่า Intel Xeon จะถือว่าเป็นการ lock spec ไหมครับ โดยส่วนตัว ผมไม่เคยเขียนระบุขนาดนี้นะครับ ถ้าจะเขียนคงเพียงแต่ใช้คำว่า หน่วยประมวลผลกลาง ขนาดไม่น้อยกว่า 8 แกน, ความเร็วในการประมวลผลต่อแกนไม่น้อยกว่า 2.4 GHz, มีขนาดของ memory cache ไม่น้อยกว่า 20 MB ครับ
2. ข้อ 2 ตัดทิ้งครับ เพราะมันไม่ใช่สาระสำคัญครับ
3. แรมจำเป็นต้องใช้ถึง 64 GB เลยหรือครับ คือผมไม่เคยใช้ Hosxp จริง ๆ และไม่เคยใช้ MySQL ในสเกลใหญ่ ๆ  คือที่ถามเพราะคิดว่า ถ้า RAM ของ server มันแพงครับ ถ้าลดสเปกให้เหมาะสมกับการใช้งาน มันจะช่วยลดค่าใช้จ่ายของรพ.ครับ
4. ถ้าเป็นไปได้ เลือกรุ่นที่มี RAID Controller ที่มี Memory Cache สัก 2 - 4 GB ครับ มีประโยชน์เยอะมากครับ เพิ่ม IOP ได้เยอะครับ อันนี้ประสบการณ์ตรงครับ
5. อ่าน ๆ สเปกแล้วใจคอจะเอามาลง vSphere ใช่ไหมครับ งั้นเพิ่มอีกสักข้อว่า สามารถติดตั้งเพื่อใช้งานร่วมกับ VMWare vShpere เวอร์ชั่น 5.5 ได้เป็นอย่างน้อย ได้อย่างมีประสิทธิภาพครับ ผมเคยเจอ RAID Controller ถูก ๆ ครับ ไม่รองรับ VMWare พอเริ่มติดตั้ง vShpere กลายเป็นมองไม่เป็น RAID Group (จริง ๆ เพราะ VMWare เขาไม่รู้จัก ต้องมาใส่ Driver ลงใน vSphere ซึ่งก็ยากพอควรครับ)
6. ข้อ 11 แนะนำให้ถอดออกครับ อ่านแล้วพอเดาว่าเขียนล๊อคเพื่อ Dell ครับ (เดาล้วนครับ ถ้าผิดขออภัยมา ณ ที่นี้ครับ)
7. อ่านข้อ 12 แล้วยิ่งรู้สึกว่าเขียนล๊อคเพื่อ Dell ครับ เพราะในบรรดา server ขนาดเล็กถึงกลาง ยี่ห้อหลักในบ้านเรา (HP, Dell, IBM) คนที่ทำตามข้อ 11 และ 12 ก็คงจะมีแต่ Dell ยี่ห้อเดียวครับ (ถ้าผิดขออภัยมา ณ ที่นี้ครับ)
8. อ่านข้อ 13 ผมขอเดาได้ว่า จขกท. เลือก Dell R530 ใช่ไหมครับ เพราะยี่ห้อเดียวที่เขียนคำว่า Service Tag คือ Dell ครับ (ความหมายของคำนี้ จะเทียบเท่ากับ Serial Number ของ HP และ Machine Number ของ IBM ครับ)
9. ถึงข้อนี้ ข้อที่ผมแนะนำให้ถอดออกคือ 11, 12, 13 ครับ เพราะมันล๊อคเพื่อ Dell ครับ และก็ไม่ใช่สาระสำคัญของ Server
10. ข้อ 15, 16 แนะนำให้ถอดออกครับ ไม่ใช่สาระสำคัญ
11. จขกท.จะเอา Server ตัวนี้ไป run อะไรครับ งานที่ต้องไป run มัน crisis ระดับไหนครับ ถ้าเอาไป run web รพ. ซึ่งล่มสักวันสองวันได้ ก็คงไม่มีปัญหา แต่ถ้าไป run DB ของรพ. แนะนำให้เปลี่ยนประกันจาก NBD เป็น 24 x 7 ครับ

อีกฟีเจอร์หนึ่งที่น่าสนใจของ Windows 10 คือการแชร์โปรแกรมอัพเดท Windows ให้แก่เครื่องอื่น ๆ ในเครือข่าย

ทำการเปิด Windows Update -> เลือก Advance Option -> เลือก Choose how updates are delivered -> เลื่อนปุ่ม on และกำหนดขอบเขตว่าจะแชร์ให้แก่เครื่องอื่นเฉพาะใน LAN ของเรา หรือ แชร์ให้แก่เครื่องอื่น ๆ ใน LAN และใน Internet

ฟีเจอร์นี้มีประโยชน์คือ ทำให้เครื่องอื่น ๆ ที่เหลือไม่จำเป็นต้องดาวน์โหลดไฟล์อัพเดท Windows ตรงจาก Server ของ MS ซึ่งก็เป็นการลดภาระของทาง MS และช่วยลดการใช้แบนด์วิธอินเตอร์เน็ตของเราด้วยครับ ซึงถ้ามองกันดี ๆ มันคือการใช้เทคนิคการแชร์ไฟล์แบบ P2P มาใช้นั้นเองครับ นอกจากช่วยเพิ่มความเร็วในการดาวน์โหลดตัวอัพเดท Windows และลดการใช้แบนด์วิธอินเตอร์เน็ตแล้ว สำหรับองค์กรขนาดเล็กหรือขนาดกลาง การใช้วิธีดังกล่าว ก็ยังช่วยให้ admin มีความจำเป็นน้อยลงในการติดตั้ง WSUS Server เพื่อแจกจ่ายไฟล์อัพเดท Windows ให้แก่เครื่องในองค์กร (จากประสบการณ์ สำหรับองค์กรที่มีเครื่องคอมพิวเตอร์มากกว่า 50 เครื่องขึ้นไป ควรมี WSUS Server ครับ)

ก็เป็นอีกฟีเจอร์หนึ่งที่น่าสนใจที่เอามาเล่าสู่กันฟังครับ

http, https ครับ แต่อาจจะต้องบริหารจัดการผ่าน UTM อาจจะต้องดูในส่วนของ app control ครับ

@udomchok ... น่าปวดหัวครับ

ได้รับข่าวอย่างไม่เป็นทางการว่า ทางกระทรวงจะแจก L3 Switch ให้รพ.สเปกคราว ๆ คือ
- L3 Managed Switch
- 24 Port 1Gb Ethernet
- 4 Port 1Gb Fiber
- 2 Port 10Gb Fiber
- QoS / POE / ACL / Port Mirroring / Flow Control / Jumbo Frame / Stacking / VLAN Managed / DHCP / Route Mapping
เท่าที่ดู ๆ แล้วถ้าเป็นรพช.หรือรพท.ขนาดเล็ก สามารถเอาไปทำเป็น core switch ได้สบาย ๆ เลยครับ

พี่จะย้ายมาหรือครับ จะได้รีบบอกทางผู้ใหญ่เลยครับ  ผมจะได้วางมือ

สำหรับใครที่อยากเขียน app บน android อยากแนะนำหนังสือน่าอ่าน Android Studio Application Development สอนการเขียนโปรแกรมด้วย Android Studio ( http://developer.android.com/sdk/installing/studio.html ) ผมวางไว้บน Dropbox ใครสนใจเข้าไป dl ดูนะครับ
https://www.dropbox.com/s/1vqokxqaoafyb49/Android%20Studio%20Application%20Development.pdf

มีชื่อว่า Getting Started with SQL Server 2012 Cube Development
สำนักพิมพ์ PACKT Publishing
แนะนำให้ใครที่เป็น SQL Server 2012 หรือต้องการทำ Data Warehouse โดยใช้ SQL Server 2012 ให้อ่านเล่มนี้ครับ อธิบายเข้าใจง่าย อ่านจบรับรองว่าเขียน MDX ได้แน่นอนครับ

169.254.x.x เป็น IP ที่เกิด APIPA IP Address ของ windows ครับ เกิดขึ้นเมื่อเครื่อง client ไม่สามารถรับ IP จาก DHCP Server ได้ด้วยเหตุผลต่าง ๆ เช่น
- IP เต็ม
- DHCP Server เจ๋ง
- Network Device มีปัญหาจน client ไม่สามารถติดต่อกับ server ได้
- Network Config ผิด เช่น VLAN Gateway , IP Helper ผิดครับ
- ติด malware
ลองค่อย ๆ ไล่ดูนะครับ ของผมที่เคยเจอบ่อย เป็นเพราะ IP เต็มครับ ก็มีหลายสาเหตุน่ะ แต่ที่เคยเจอ ก็เพราะตั้ง lease time นานเกินไปครับ 

กลับมารีวิวต่อครับ
สิ่งที่เห็นสิ่งแรก คือ ปุ่มสตาร์ทกลับมาแล้วครับ แถมกลับมาคราวนี้แจ่มกว่าเติม แจ่มกว่าอย่างไร
1. ปกติเมนูสตาร์ทจะมีลายพื้นเฉพาะเป็นของตัวเอง คราวนี้เราสามารถกำหนดให้มันโปร่งแสง เห็นทะลุไปถึง wallpaper ของเราได้
2. ปกติเวลาเราเปิด windows 8 ขึ้นมาครั้งแรก จะเห็นเจ้าเมนูสตาร์ทก่อนใครเลย มาเวอร์ชั่นนี้ เราสามารถกำหนดได้ว่า จะให้แสดง desktop ก่อน เหมือน windows เวอร์ชั่นเก่า ๆ ก็ได้ครับ คงถูกใจใครหลายคนเลยครับ (รวมทั้งผมด้วย)
3. มาคราวนี้เมนูสตาร์ทจะไม่มีการสร้าง shortcut ไว้ก่อน ไม่ว่าเราจะลงโปรแกรมอะไร เราจะต้องไปสั่ง pin to start menu มันถึงจะโผล่ขึ้นมาให้
4. สีพื้นของ icon โปรแกรมต่าง ๆ บนเมนูสตาร์ทก็โดดเด่นมาก (แต่ดูแลก็รำคาญเหมือนกัน)
5. มีการจัดหมวดหมู่โปรแกรมอย่างชัดเจนขึ้นเมื่อเทียบกับ windows 8
6. สามารถสร้าง group ของ icon โปรแกรมซึ่ง pin อยู่บนเมนูสตาร์ท

ปัญหาแรกที่คุณจะเจอ คือ ปัญหา compatibility ซึ่งจะบอกเลยว่าบางโปรแกรมถึงขึ้นไม่ทำงานหรือติดตั้งไม่ได้เลยครับ ที่ผมเจอก็คือ Kaspersky Internet Security ขนาดว่าดาวน์โหลดเวอร์ชั่นล่าสุดแล้ว (kis14.0.0.4651en-th) ก็ยังลงไม่ได้ครับ ต้องตามไปหาเวอร์ชั่นที่เป็น patch b (14.0.0.4651.5096) จาก server ของอเมริกา จึงจะสามารถติดตั้งได้
อีกตัวหนึ่งที่เจอคือ winrar ครับ เวอร์ชั่น 4.2 หมดสิทธิ์ติดตั้งครับ ความจริงติดตั้งได้ แต่ทำงานร่วน ๆ ช้า ๆ ไงไม่รู้ครับ ต้องไปเอาเวอร์ชั่น 5 มาถึงจะจบปัญหา
เดี่ยวว่าง ๆ จะมีรีวิวมาบอกเล่ากันอีกครับ

ขณะนี้ MS ได้ปล่อย Windows 8.1 ให้ผู้ใช้งานได้ทำการ Update Free แล้วน่ะครับ แต่ไม่ได้ปล่อยมาตาม update service เหมือนเคยครับ แต่กลับปล่อยอยู่บน store ครับ ขนาดไฟล์ติดตั้งประมาณ 3.6 GB ครับ ใครที่ใช้ Windows 8 อยู่ก็สามารถเข้าไปอัพเดทกันได้แล้วนะครับ ใครที่ใช้เวอร์ชั่น pirate อยู่ แล้วสามารถอัพเดทได้บอกหน่อยนะครับ เพราะเห็นข่าวว่าไม่ได้

1. Transfer the Schema Master Role
Use the Active Directory Schema Master snap-in to transfer the schema master role. Before you can use this snap-in, you must register the Schmmgmt.dll file.


Register Schmmgmt.dll1. Click Start, and then click Run.
2. Type regsvr32 schmmgmt.dll in the Open box, and then click OK.
3. Click OK when you receive the message that the operation succeeded.

Transfer the Schema Master Role
1. Click Start, click Run, type mmc in the Open box, and then click OK.
2. On the File, menu click Add/Remove Snap-in.
3. Click Add.
4. Click Active Directory Schema, click Add, click Close, and then click OK.
5. In the console tree, right-click Active Directory Schema, and then click Change Domain Controller.
6. Click Specify Name, type the name of the domain controller that will be the new role holder, and then click OK.
7. In the console tree, right-click Active Directory Schema, and then click Operations Master.
8. Click Change.
9. Click OK to confirm that you want to transfer the role, and then click Close.



2. Transfer the Domain Naming Master Role
1. Click Start, point to Administrative Tools, and then click Active Directory Domains and Trusts.
2. Right-click Active Directory Domains and Trusts, and then click Connect to Domain Controller.

NOTE: You must perform this step if you are not on the domain controller to which you want to transfer the role. You do not have to perform this step if you are already connected to the domain controller whose role you want to transfer.
3. Do one of the following: • In the Enter the name of another domain controller box, type the name of the domain controller that will be the new role holder, and then click OK.

-or-
• In the Or, select an available domain controller list, click the domain controller that will be the new role holder, and then click OK.
 
4. In the console tree, right-click Active Directory Domains and Trusts, and then click Operations Master.
5. Click Change.
6. Click OK to confirm that you want to transfer the role, and then click Close.



3 - 5. Transfer the RID Master, PDC Emulator, and Infrastructure Master Roles
1. Click Start, point to Administrative Tools, and then click Active Directory Users and Computers.
2. Right-click Active Directory Users and Computers, and then click Connect to Domain Controller.

NOTE: You must perform this step if you are not on the domain controller to which you want to transfer the role. You do not have to perform this step if you are already connected to the domain controller whose role you want to transfer.
3. Do one of the following: • In the Enter the name of another domain controller box, type the name of the domain controller that will be the new role holder, and then click OK.

-or-
• In the Or, select an available domain controller list, click the domain controller that will be the new role holder, and then click OK.
 
4. In the console tree, right-click Active Directory Users and Computers, point to All Tasks, and then click Operations Master.
5. Click the appropriate tab for the role that you want to transfer (RID, PDC, or Infrastructure), and then click Change.
6. Click OK to confirm that you want to transfer the role, and then click Close.

ผมเขียน Diagram นี้ขึ้นมา ตามข้อมูลที่เจ้าของกระทู้ให้ไว้ คือ มีทรัพยากรได้แก่
1.Fortigate : ผมไม่รู้ว่าเป็น fortigate รุ่นไหน จุดประสงค์การใช้งานเป็นอย่างไร แต่ผมเดาว่าน่าจะรุ่นไม่ใหญ่มาก ผมมองว่ามันคือ UTM ซึ่งน่าจะเอาไปวางขวางหน้า Server เพื่อช่วย protect server ครับ
2.Endian : เข้าใจว่าคงเป็น Endian Server ซึ่งทำหน้าที่เป็น Internet Gateway Server; IG ผมจะเลือกจะเอาไว้ที่หน้าบ้านนะครับ เพื่อควบคุมการจราจรทั้งหมด
3.DMZ : เข้าใจว่าเจ้าของกระทู้คงอยากทำ DMZ Zone เพื่อวาง Web Server หรือ Server อื่น ๆ ที่เอาไว้ติดต่อ Internet
4.WAN1/2 : เข้าใจว่าที่รพ.เสิงสาง คงเช่า Internet มา 2 วงจร ซึ่งผมไม่ขอพูดถึงนะครับ ผมจะขอพูดถึงเฉพาะเรื่องในบ้านเท่านั้น


การแบ่ง IP / Subnet ผมแบ่งออกเป็นกลุ่มต่าง ๆ ตามชนิดและหน้าที่ของอุปกรณ์โดยแยกจาก Subnet นะครับ

1.กลุ่มของอุปกรณ์ Network ผมหมายถึงอุปกรณ์ Network ทุกตัวที่มีใช้ในโรงพยาบาล เช่น switch ,accesss point เป็นต้น ผมไม่รู้ว่าที่รพ.เสิงสางมีอุปกรณ์กลุ่มนี้ทั้งหมดกี่ชิ้น แต่ผมเดาก่อนนะครับว่าคงไม่น่าเกิน 30 ชิ้น ผมขออนุญาตตั้งตัวเลขไว้ที่ไม่เกิน 30 ชิ้นนะครับ ผมเลือกใช้ ip 192.168.0.1/27 (255.255.255.224)

2.จาก Diagram จะเห็นว่าผมวาง Core Switch ไว้สองตัว เพื่อทำ HA อันนี้เป็น Optional นะครับ แล้วแต่ทางเจ้าของกระทู้ว่าสนใจอยากทำ HA ไหม

3.Endian Server โดยประสบการณ์ส่วนตัว ผมมักใช้เลข IP คนละชุดกับ Internal Network โดยส่วนใหญ่ผมจะใช้ 172.16.0.0 ซึ่งตรงจุดนี้ผมเข้าใจว่าในส่วนของ IG คิดว่าที่รพ.เสิงสางคงมีแค่ Endian แค่ตัวเดียวเป็นแบบ AIO Server ผมจึงเลือกใช้ 172.16.0.1/30 (255.255.255.252) เพื่อจำกัด Host ไว้ที่ 2 เครื่อง หรือถ้าเจ้าของกระทู้แน่ใจว่า Network Group นี้จะมีแค่ Endian แค่ตัวเดียวจะใช้ 172.16.0.1/32 เลยก็ได้นะครับ จะได้ไม่ต้อง Broadcast เยอะแต่ก็ค่อนข้างจะแน่นมากๆๆ

4.DMZ Server Zone  จากข้อ 2 ผมแนะนำให้ใช้ IG เป็นคนแยก Zone ระหว่าง DMZ Zone, Internet Zone, และ Internal Zone เพื่อความปลอดภัย ในกรณีที่มีการ Attack จากข้างนอกเข้ามา ก็จะไม่เข้าถึง Internal Zone โดยทันที แต่จาก Diagram จะดูเหมือนว่าผมเชื่อมต่อจาก IG เข้ามาสู่ Core Switch แล้วจึงวิ่งไปที่ DMZ Server Zone ตรงนี้ผมใช้ความสามารถของ Core Switch ในการแยก VLAN และทำ route ครับ ผมลืมบอกไป แนวทางที่ผมวางอยู่บนพื้นฐาน Core Switch ต้องเป็น L3 Managed และ Access Switch ต้องเป็น L2 Managed เท่านั้นนะครับ

5.DMZ Server Zone ผมเลือกใช้ IP 172.16.1.1/28 (255.255.255.240) ซึ่งจะทำให้เจ้าของกระทู้สามารถรองรับ Server DMZ ได้ถึง 14 เครื่อง ซึ่งคงพอกับการใช้งาน ตรงจุดนี้ผมขอออกตัวก่อนว่า ผมเป็นคนหนึ่งซึ่งไม่ชอบการวาง IP Group ให้กว้างเข้าไว้ แม้ว่า Switch ในปัจจุบันอาจจะมีประสิทธิภาพสูงมาก แต่ผมยังคงชอบที่จะเซ็ต IP Group ให้เหมาะสมกับการใช้งานจริงมากกว่า

6.Internal Server Zone  ผมแยกไปเป็น VLAN ใหม่ครับ สำหรับ Internal Server โดยเอา IP Gateway ไปวางไว้ที่ Fortigate ซึ่งจะเห็นว่าผมแยก IP ของ Fortigate เป็น 2 เลข คือ 192.168.0.2/27 เป็น IP สำหรับ Manage ตัว Fortigate และ 192.168.1.1/28 เป็น IP Gateway สำหรับ Internal Server Zone เพื่อให้ทุก Connection ที่จะวิ่งเช้าหา Internal Server จะต้องผ่านการกรองที่ Fortigate ก่อน ซึ่งจะเป็นการเพิ่มความปลอดภัยให้กับ Server แต่อย่าลืมนะครับ การทำวิธีนี้สิ่งสำคัญ คือ เจ้าของกระทู้ต้องเช็คดูเรื่องของ Through-put ของ Fortigate เมื่อเปิดทุกฟังก์ชั่นเต็มที่แล้วจะเหลือประมาณเท่าไร เพราะจะมีผลมากนะครับ ซึ่งถ้าได้ประมาณสัก 1 – 2 Gbps ผมคิดว่าไม่น่าจะมีปัญหา เพราะที่รพ.เอา IPS ขนาด 2 Gbps มาวางขวาง Server ทั้งหมดก็ไม่มีผลต่อประสิทธิภาพมากเท่าไร

7.Client Zone เราก็แบ่ง VLAN ต่าง ๆ อาจจะแบ่งจากหน่วยงานหรือแบ่งเป็น Zone ก็ได้นะครับ ก็แล้วแต่ว่าที่รพ.เสิงสางจะมีนโยบายอย่างไร อย่างที่รพ.ของผม เรามีนโยบายที่ต้องการแยกโซนระหว่าง HIS กะ Office ออกจากกัน เพื่อความปลอดภัยในระบบของ HIS และแยกโซน Wifi ออกไปเพื่อให้บริการเจ้าหน้าที่ในรพ.โดยไม่ให้มายุ่งเกี่ยวกับระบบต่าง ๆ ในรพ. (ประมาณว่าเข้ามาแล้วเข้าสู่ระบบ Authenticate เพื่อออกสู่ Internet ออกไปไม่ต้องมายุ่งเกี่ยวอะไรในรพ.) หลักการแบ่ง VLAN ก็จะคล้าย ๆ กับระดับของ Server ที่ผมพูดมาข้างต้น คือ
     a.   แบ่ง IP ออกเป็นกลุ่มต่าง ๆ มีการกำหนด Subnet ตามความเหมาะสมของขนาด Network
     b.สร้าง Interface IP บน Core Switch เพื่อให้ IP Gateway ของทุก VLAN ซึ่งหาก resource ของ  Fortigate พอมีเหลือ เราอาจเอามาขวางการ route ข้าม VLAN ต่าง ๆ น่าสนใจครับ แต่ถ้าคิดว่าไม่มีเหลือ เราก็ใช้ ACL ของ Core Switch เป็นตัวควบคุมครับ (แต่อาจจะสู้ Firewall ไม่ได้)

8.จากที่อธิบายมาทั้งหมดการเขียนกฎการ route เป็นสิ่งที่สำคัญมากครับ เพราะจะเห็นว่าผมมีการแยก
Network Group ต่าง ๆ ออกโดยแยกตาม IP และ Subnet ดังนั้นเจ้าของกระทู้ต้องทำความเช้าใจในการเขียนเส้นทางการ route ให้ถูกต้องนะครับเพราะไม่นั้นมันจะเกิดปัญหา เช่น client มองไม่เห็น Internal Server หรือมองไม่เห็น IG เป็นต้น

9.หลักการออกแบบดังกล่าวก็ไม่จบนะครับ ยังคงต้องมีเรื่องของ Policy ของระบบโดเมนมาเกี่ยวข้องด้วย แต่ก็คิดว่าคงพอจะเป็นหลักให้เจ้าของกระทู้ไปใช้ออกแบบได้ครับ

ขอรายละเอียดมากกว่านี้ครับ เช่น fortigate รุ่นไหน อัพเดทถึงไหน จะแบ่งทั้งหมดกี่วง มี server กี่ตัว นโยบายการใช้งานเป็นไงบ้าง เช่น ห้ามโซน his เล่นเน็ตเป็นต้น

อยากให้อธิบายปัญหาหน่อยครับ มี switch กี่ตัว, เซ็ตแบบไหนไว้ครับ

สำหรับใครที่ใช้ Sophos Endpoint Security แล้วต้องการติดตั้งบน Windows Server 2012 และ Windows 8 ให้ทำตามวิธีดังนี้
1. ถ้าใครติดตั้งแบบ Stand Alone ให้ไป dl ไฟล์ escw_102_sa_sfx จากหน้าเว็บของ Sophos มาติดตั้งได้ครับ โดยใช้ username & password ของท่าน แต่มีข้อแม้ว่า
   - Windows Server 2012 ติดตั้งได้เฉพาะ Antivirus & Patch นะครับ
   - Windows 8 ไม่แนะนำให้ติดตั้ง Sophos Firewall ครับ
2. ถ้าใครติดตั้งผ่าน Enterprise Console (ผ่าน AD)
   2.1. ไป dl sec_521_sfx มาติดตั้งลงบน server ที่ทำหน้าที่เป็น console server แต่มีเงื่อนไขว่าเวอร์ชั่นปัจจุบันต้องเป็น 5.1 เท่านั้นนะครับ ใครที่มีเวอร์ชั่นต่ำกว่า เช่น 4.x ต้องทำการ update ขึ้นมาเป็น 5.0 ก่อนแล้วอัพเดทเป็น 5.1 แล้วค่อยอัพเป็น 5.2 ซึ่งตัวอัพเดทแต่ละเวอร์ชั่นมีอยู่ในเว็บของ Sophos ครับ
   2.2. หลังจากอัพเดทเสร็จแล้วให้รีสตาร์ท server ก่อน
   2.3. กลับเข้ามาที่ Sophos Endpoint Console อีกครั้ง กดปุ่ม Update Manager
   2.4. ตรงช่อง Software Subscriptions จะมีปุ่ม Add อยู่ข้าง ๆ ด้านล่างจะมีคำว่า Recommended อยู่ ให้คลิกขวาที่คำว่า Recommended แล้วเลือก View/Edit Subscription
   2.5. ตำแหน่ง Windows 2000 and above เดิมจะเป็น 10.0 Recommended ให้แก้เป็น 10.2 Recommended แล้วกด OK
   2.6. ตรงช่อง Update managers จะมีชื่อ server อยู่ ให้คลิกขวา เลือกเมนู update now โปรแกรมจะทำการ dl ไฟล์อัพเดทมาให้เราโดยอัตโนมัติ
   2.7. หลังจากนั้นเราก็สามารถติดตั้ง Sophos Endpoint บน Client ที่เป็น Windows Server 2012 และ Windows 8 ได้แล้วครับ
   2.8. client เดิมที่เป็น Windows 7, Windows Server 2008 R2 หรือเวอร์ชั่นที่ต่ำกว่า ที่เดิมอาจจะใช้เวอร์ชั่น 10.0 ก็จะถูกอัพเดทโปรแกรมให้เปลี่ยนมาเป็น 10.2 ด้วยนะครับ หลังจากที่มีการเรียกไฟล์อัพเดทจาก server

เปลี่ยนมาใช้ Sophos เกือบปี ก็ดีนะครับ เบาเครื่องดี เวลาทำ Full Scan ไม่ค่อยกระทบต่อประสิทธิภาพของเครื่องสักเท่าไร ไม่เหมือน Kaspersky ค่อนข้างหน่วงเครื่องมาก เรื่องประสิทธิภาพเท่าที่อ่านรีวิวก็โอเคครับ รีวิวของ Gartner ปี 2013 ในกลุ่มของ Enterprise Endpoint Security อยู่ในกลุ่ม leader พอ ๆ กับ Kaspersky และดีกว่า Trend Micro แต่เป็นด้อยกว่าเมื่อเทียบกับ Mcafee และ Symantec ซึ่งผมก็โอเคนะ ชอบใจฟีเจอร์หลาย ๆ เรื่อง โดยเฉพาะการ lock removeable drive ถึงกับสามารถระบุ flash drive ที่อนุญาตให้ใช้งานได้ และการ lock app ที่น่าสนใจ และที่โอเคคือปัญหา Positive False เจอน้อยครับ เท่าที่ลองใช้มา เจอแค่ตัวเดียวคือโปรแกรมของสกส. (ได้ยินว่ามีปัญหาทุกค่าย) อ้อข้อเสียอีกเรื่องที่ไม่ค่อยโสภาสักเท่าไร คือ พี่แกเล่นลบ Crack & Keygen ของผมละเรียบ ปกติเจ้า Kaspersky ยังข้าม Keygen นะครับ แต่ Sophos จัดการไม่เหลือ ....

สร้าง iSCSI Target ไปเชื่อมกับ Window Server

ลองไปได้มา 3 vol ตามรูปเลยครับ

ไปสร้าง volume ก่อน

หน้าแรกครับ 

เสร็จแหละ reboot เครื่องเลย

พอดีผมต้องการหาโปรแกรมพวก opensource storage น่าสนใจสักตัว มาทำ storage เพื่อติดตั้งระบบ SSB เพราะไม่อยากซื้อ Storage Hardware ตอนนี้ เลยลองเอามาเทียบ 3 ตัวมี OpenNAS, OpenFiler, OpenMediavault โดยมีเงื่อนไขว่าจะต้องทำ iSCSI target เพื่อ mount drive เข้ากับ Windows Server พอลองไปลองมาก็มาถูกใจเจ้าตัว OpenFiler (http://www.openfiler.com) เท่าที่ลองผมว่ามันโอเคในระดับหนึ่ง (ระดับของความเป็นของฟรี) แม้ว่าจะมีฟีเจอร์เทียบเท่าพวก Storage Hardware ไม่ได้ เช่นทำ Replicate ไม่ได้, HA ไม่ได้ (จริง ๆ ก็ทำได้น่ะ แต่เป็นออพชั่นเสียเงินเพิ่ม) แต่หลัก ๆ แล้ว ผมว่าโอเคเลยน่ะ ยิ่งสำหรับองค์กรขนาดเล็กถึงขนาดกลาง ที่ต้องการเพียง storage ธรรมดา ๆ และไม่อยากลงทุนมาก ผมว่าเจ้า OpenFiler น่าจะเป็น solution ที่น่าสนใจ ...
เริ่มจากเราต้องมีเซิร์ฟเวอร์ครับ ก็ดูขนาดของ HDDs และ IOPs ของ HDDs ตามความต้องการใช้งานจริง ๆครับ ส่วนสเปกเครื่องกินไม่เยอะเท่าไรครับ ตามข้อมูลในเว็บ เขาระบุ cpu 1.6GHz , ram >= 2GB , พท.HDDs  10GB สำหรับลงตัวโปรแกรมและทำ swap ซึ่งผมจะใช้ VMWare ในการลงโปรแกรมตามรูปเลยครับ

deployment tool : เครื่องมือที่ใช้ในการ deploy software ครับ ก็แปลง่าย ๆ คือ เอาไว้ติดตั้ง software ครับ (แต่จริง ๆ คำว่า deploy นั่นมีกิจกรรมมากกว่านี้ครับ เช่น release, install, update, build เป็นต้น)  กำลังจะหา tool ใหม่มาช่วย deploy software ในรพ.

ในทัศนคติของผมน่ะ ถามว่าจำเป็นต้องใช้ FC ไหม ? ผมคิดว่าต้องดูระยะทางเป็นหลักครับ ถ้าอยู่ในระยะที่ UTP ยังไปได้ ผมคิดว่าก็ไม่มีเหตุผลอะไรที่จะต้องลงทุนลากสาย FC เพราะค่าใช้จ่ายที่สูงมาก ๆ แล้วอย่าลืมนะครับ การใช้ FC มันไม่ได้จบแค่ค่าลากสายอย่างเดียว มันยังต้องมีอุปกรณ์ GBIC หัวท้ายก่อนเข้า Switch อีก แล้วอีกอย่างสาย UTP ดี ๆ (เช่นของ AMP หรือ Panduit) การส่งข้อมูลระยะทาง 60 - 80 เมตร ไม่ทำให้สัญญาณ drop มากครับ เคยทดสอบเอาของ AMP ยาวประมาณ 80 เมตรมาลองทดสอบดู ก็วิ่งใกล้ ๆ ที่ 1Gbps  c]tเอาเข้าจริง ๆ การจะทดสอบว่าวิ่งได้เต็ม 1Gbps จริงไหม ก็ต้องดูวิธีการทดสอบ, ชนิดของ NIC และขนาดของ package ที่ใช้ทดสอบครับ ดังนั้นผมจึงถือว่า สายดังกล่าว สามารถรับส่งข้อมูลได้ที่ระดับความเร็ว 1Gbps ได้จริง และจึงสรุปว่าแทบไม่ต่างอะไรกับ FC   
ถ้าผมจะมอง ผมมองที่วิธีการออกแบบและ implement ระบบเครือข่ายมากกว่าการจะมานั่งซีเรียสเรื่องสายสัญญาณครับ เอาง่าย ๆ น่ะครับ
- เครือข่ายที่วางนับตั้งแต่ server วิ่งไป client ต้องผ่านทั้งหมดกี่ hop
- อุปกรณ์ที่มีอยู่หน้าตาเป็นอย่างไร รองรับการ implement อย่างไรได้บ้าง
- รูปแบบการออกแบบโครงข่ายของเครือข่าย
ถ้าวางกันดี ๆ ผมเชื่อว่าเครือข่ายคอมพิวเตอร์ไม่ใช่ปัญหาของการรับส่งข้อมูลอย่างแน่นอน
ปล.ลืมบอกไป
1.ตรวจสอบปัญหาเรื่อง malware ด้วยนะครับ ไม่ใช้ทำ network สุดยอด แต่มาตกมาตายเพราะ malware ในเซิร์ฟเวอร์
2. ว่าง ๆ แวะมาเยี่ยมมาคุยกันครับเผื่อจะได้พูดคุยแลกเปลี่ยนประสบการณ์กัน