เข้า Server ได้โดยไม่ต้องเปิด RDP! รู้จัก Azure Bastion

Azure Bastion เป็นบริการด้านความปลอดภัยของ Microsoft ที่ช่วยให้ผู้ดูแลระบบสามารถเชื่อมต่อไปยัง Windows Server 2025 และ Virtual Machine บน Azure ได้โดยไม่ต้องเปิดพอร์ต RDP (3389) หรือ SSH (22) ออกสู่อินเทอร์เน็ต

ปัญหาที่พบในหลายองค์กรคือการเปิดพอร์ต RDP ให้เข้าถึงจากภายนอก ซึ่งกลายเป็นเป้าหมายอันดับต้น ๆ ของการโจมตีแบบ Brute Force และ Ransomware

Azure Bastion ถูกออกแบบมาเพื่อแก้ปัญหานี้โดยเฉพาะ ช่วยให้สามารถ Remote เข้า Server ผ่าน Azure Portal ได้อย่างปลอดภัย โดยไม่ต้องมี Public IP บน Server

① Azure Bastion คืออะไร

Azure Bastion

เป็นบริการ

PaaS Security Service

ของ Microsoft

ที่ช่วย Remote เข้า

• Windows Server
• Linux Server
• Azure VM

ผ่าน Browser

โดยไม่ต้องเปิด RDP หรือ SSH สู่ Internet

② Azure Bastion ทำงานอย่างไร

โครงสร้างการทำงาน

Admin
   │
Azure Portal
   │
Azure Bastion
   │
Windows Server 2025

การเชื่อมต่อทั้งหมดวิ่งผ่าน Azure

โดยตรง

③ ทำไม Azure Bastion ถึงสำคัญ

ข้อดีหลัก

• ไม่ต้องเปิด Port 3389
• ไม่ต้องเปิด Port 22
• ไม่ต้องใช้ Public IP
• ลดความเสี่ยงจาก Brute Force
• เพิ่มความปลอดภัยให้ระบบ

④ สิ่งที่ต้องเตรียม

ก่อนเริ่ม

ต้องมี

• Azure Subscription
• Azure Virtual Network
• Windows Server 2025 VM
• สิทธิ์ Azure Administrator

⑤ เตรียม Virtual Network

Azure Bastion ต้องทำงานภายใน

Virtual Network

ดังนั้นต้องมี VNet ก่อน

หากยังไม่มี

ให้สร้างใหม่

ผ่าน Azure Portal

⑥ สร้าง Azure Bastion Subnet

ภายใน Virtual Network

ต้องสร้าง Subnet ชื่อ

AzureBastionSubnet

โดย Microsoft กำหนดชื่อนี้ไว้

โดยเฉพาะ

⑦ กำหนดขนาด Subnet

Microsoft แนะนำ

อย่างน้อย

/26

หรือใหญ่กว่า

เพื่อรองรับการขยายระบบในอนาคต

⑧ สร้าง Azure Bastion

ใน Azure Portal

ค้นหา

Azure Bastion

จากนั้นเลือก

Create

⑨ กำหนดค่า Bastion

ระบุ

• Subscription
• Resource Group
• Region
• Virtual Network
• AzureBastionSubnet

จากนั้นกด Deploy

⑩ รอการติดตั้ง

Azure จะสร้าง

• Bastion Host
• Public IP
• Secure Gateway

โดยอัตโนมัติ

ใช้เวลาประมาณ

5–10 นาที

⑪ เชื่อมต่อ Windows Server 2025

ไปที่ VM

เลือก

Connect
→ Bastion

Azure จะเปิดหน้าต่าง Remote Desktop

ผ่าน Browser

ทันที

⑫ กรอกบัญชีผู้ดูแลระบบ

กรอก

Administrator

หรือบัญชีที่มีสิทธิ์

จากนั้นกด Connect

⑬ ใช้งาน RDP ผ่าน Browser

หลัง Login สำเร็จ

จะสามารถใช้งาน Desktop

ของ Windows Server 2025

ได้เหมือน Remote Desktop ปกติ

แต่ปลอดภัยกว่า

⑭ ใช้งาน SSH ผ่าน Bastion

Azure Bastion รองรับ

Linux Server

ผ่าน

SSH

เช่นกัน

โดยไม่ต้องเปิด Port 22

⑮ ปิด Public IP ของ VM

เมื่อใช้งาน Bastion

สามารถลบ

Public IP

ออกจาก VM ได้

ช่วยลดพื้นผิวการโจมตี

อย่างมาก

⑯ ใช้งานร่วมกับ NSG

สามารถใช้ร่วมกับ

Network Security Group

เพื่อปิด

• RDP
• SSH

จาก Internet ได้ทั้งหมด

⑰ ใช้งานร่วมกับ Conditional Access

หากใช้ Hybrid Identity

สามารถควบคุม

การเข้าถึง Azure Portal

ผ่าน Conditional Access

และ MFA

ได้อีกชั้นหนึ่ง

⑱ ปัญหาที่พบบ่อย

Connect ไม่ได้

ตรวจสอบ

• Bastion Status
• Virtual Network
• VM Running

Bastion Subnet ไม่ถูกต้อง

ตรวจสอบชื่อ

AzureBastionSubnet

Browser เปิดไม่ได้

ตรวจสอบ Firewall

และ Browser Version

⑲ เปรียบเทียบ Bastion กับ RDP แบบเดิม

รายการ	RDP ปกติ	Azure Bastion
เปิด Port 3389	✔	✖
ใช้ Public IP	✔	✖
Browser Access	✖	✔
ปลอดภัยกว่า	✖	✔
รองรับ MFA	ผ่าน Portal	✔

Azure Bastion เหนือกว่า

ในด้าน Security อย่างชัดเจน

⑳ Best Practices

แนวทางที่แนะนำ

• ใช้ Azure Bastion ทุก VM สำคัญ
• ปิด Public IP ของ VM
• ปิด Port 3389 และ 22
• เปิด MFA
• ใช้ Conditional Access
• ตรวจสอบ Sign-In Logs สม่ำเสมอ

แนวทางเหล่านี้ช่วยลดความเสี่ยงจากการโจมตีได้อย่างมาก

㉑ Azure Bastion เหมาะกับใคร

เหมาะสำหรับ

• องค์กรที่ใช้ Azure VM
• Hybrid Infrastructure
• ระบบ Production
• ระบบที่มีข้อมูลสำคัญ
• องค์กรที่ต้องการ Zero Trust Security

โดยเฉพาะ Windows Server 2025 ที่เปิดใช้งานบน Azure

㉒ สรุป

Azure Bastion เป็นบริการ Remote Access ที่ปลอดภัยของ Microsoft ช่วยให้ผู้ดูแลระบบสามารถเชื่อมต่อ Windows Server 2025 ผ่าน Browser ได้โดยไม่ต้องเปิด RDP หรือ SSH สู่ Internet ลดความเสี่ยงจากการโจมตี เพิ่มความปลอดภัย และสอดคล้องกับแนวทาง Zero Trust Security ในยุค Hybrid Cloud

comsiam แนะนำให้ทุกองค์กรที่ใช้งาน Windows Server 2025 บน Azure เปลี่ยนจากการเปิด RDP สาธารณะมาใช้ Azure Bastion เพราะเป็นหนึ่งในการปรับปรุงด้าน Security ที่เห็นผลชัดเจนที่สุดและทำได้ไม่ยาก

㉓ คำถามชวนคิด

หากวันนี้มี Bot หลายพันตัวสแกนหา Port 3389 บนอินเทอร์เน็ต คุณยังต้องการเปิด RDP ให้เห็นจากภายนอกอยู่หรือควรซ่อน Server ไว้หลัง Azure Bastion?