# OpenZiti คืออะไร? คู่มือ Zero Trust Overlay Network Open Source สำหรับ SME 2026
ในยุคที่พนักงานทำงานจากนอกออฟฟิศมากขึ้น ระบบ Cloud กระจายอยู่หลาย Region และ Supplier ภายนอกต้องเข้าถึง API ของบริษัท ระบบ VPN แบบเดิมที่วางใจ Network Perimeter เริ่มกลายเป็นจุดอ่อน เพราะเมื่อ Attacker ได้สิทธิ์เข้าเครือข่ายครั้งเดียว ก็สามารถเคลื่อนที่ไปยังบริการภายในได้เกือบทั้งหมด แนวคิด Zero Trust จึงถูกผลักให้เป็นมาตรฐานใหม่สำหรับธุรกิจทุกขนาด
OpenZiti คือหนึ่งในแพลตฟอร์ม Zero Trust Overlay Network แบบ Open Source ที่ได้รับการยอมรับมากที่สุดในเวลานี้ พัฒนาโดยทีม NetFoundry และเป็นโครงการที่เข้าอยู่ใน CNCF Sandbox จุดเด่นคือทำให้ Application สามารถเชื่อมต่อถึงกันได้โดยไม่ต้องเปิด Inbound Port และไม่ต้องไว้ใจเครือข่ายที่วางอยู่เลยแม้แต่น้อย ช่วย SME ไทยประหยัดค่า Firewall/VPN ระดับ Enterprise แต่ยังคงมาตรฐาน Zero Trust ที่หน่วยงานกำกับและลูกค้าองค์กรต้องการ
ในบทความนี้จะพาเจาะแนวคิด OpenZiti, สถาปัตยกรรม, การติดตั้งใช้งานจริง, เปรียบเทียบกับ Tailscale/Cloudflare Tunnel และข้อควรระวังในการนำขึ้น Production
ทำไม VPN แบบเดิมถึงไม่พออีกต่อไป
VPN ประเภท IPSec หรือ SSL VPN ถูกออกแบบมาสำหรับการเชื่อมต่อระหว่าง “สาขา” กับ “สำนักงานใหญ่” ซึ่งมีขอบเขตของเครือข่ายชัดเจน แต่ปี 2026 ธุรกิจไทยเจอความจริงใหม่คือ
ผลคือ VPN เดิมเปิดกว้างเกินจำเป็น ขณะที่ Firewall Rule ก็ซับซ้อนจนดูแลยาก Zero Trust จึงเข้ามาเปลี่ยนวิธีคิดจาก “อยู่ในเครือข่ายคือเชื่อใจได้” เป็น “ทุก session ต้องพิสูจน์ตัวก่อน”
OpenZiti มีแนวคิดอย่างไร
OpenZiti สร้าง Overlay Network ที่วางบน Public Internet โดยใช้หลักสามข้อ
แนวคิดนี้สอดคล้องกับ NIST SP 800-207 Zero Trust Architecture และทำให้การโจมตีแบบ Port Scan, Inbound Exploit แทบหมดความหมาย
สถาปัตยกรรมของ OpenZiti
OpenZiti ประกอบด้วย 4 ส่วนหลัก
ข้อมูลทั้งหมดวิ่งผ่าน mTLS ตั้งแต่ต้นทางถึงปลายทาง จึงถือเป็น End-to-end Encryption ตั้งแต่ระดับ application ไม่ต้องพึ่ง TLS Termination ตรงกลาง
เปรียบเทียบ OpenZiti กับทางเลือกอื่น
| หัวข้อ | OpenZiti | Tailscale | Cloudflare Tunnel |
|--------|----------|-----------|-------------------|
| รูปแบบ | Zero Trust Overlay | Mesh VPN (WireGuard) | Reverse Tunnel |
| Deny-by-default | มี (ระดับ service) | มี (ACL) | ขึ้นกับ Access |
| Self-host | ได้ 100% | ได้ผ่าน Headscale | ไม่ได้ (Cloud) |
| Embedded SDK | มี (Go/Java/.NET/Python) | ไม่มี | ไม่มี |
| License | Apache 2.0 | BSL/ฟรี tier | SaaS |
| เหมาะกับ SME ไทย | ดีมาก | ดี | สะดวกแต่ผูกกับ Cloudflare |
จุดที่ OpenZiti ต่างจากคู่แข่งคือสามารถ ฝังเข้าไปในแอปพลิเคชัน โดยตรง ทำให้ไม่ต้องมี Tunneler แยก ขณะที่ Tailscale และ Cloudflare Tunnel ยังอิงกับ Network-layer อยู่
ขั้นตอนเริ่มใช้ OpenZiti สำหรับ SME
```bash
docker run -d --name ziti-controller -p 1280:1280 openziti/ziti-controller
```
```bash
ziti edge create edge-router thai-er-01 -o thai-er.jwt
ziti-router enroll --jwt thai-er.jwt
```
```bash
ziti edge create identity user pm-pattavee -o pm.jwt
```
```bash
ziti edge create service internal-api --interface tcp:10.0.0.10:8080
```
```bash
ziti edge create service-policy allow-api-read Dial --service-roles '@internal-api' --identity-roles '#dev-team'
```
ใช้เวลาประมาณ 45–90 นาทีสำหรับ MVP ก็สามารถเข้าถึง internal service ได้โดยไม่ต้องเปิด Port ใด ๆ บน Internet
เคสการใช้งานจริงของธุรกิจไทย
ทุกเคสจะเห็น pattern เดียวกันคือ ลดพื้นที่โจมตี (attack surface) และทำให้ log ครบสำหรับ Compliance
ข้อควรระวังและแนวปฏิบัติที่ดี
ข้อพลาดที่พบบ่อยคือทีมลืมว่า Controller ก็เป็น Service เหมือนกัน ต้องมี monitoring, patching และ backup เหมือน Database สำคัญ
สรุปและ Next Step
OpenZiti เหมาะกับธุรกิจไทยที่ต้องการสถาปัตยกรรม Zero Trust แบบจริงจัง โดยไม่ผูกกับ Vendor และคุมค่าใช้จ่ายได้เอง ไม่ว่าจะเป็นบริษัทที่ต้องการปฏิบัติตาม PDPA/ISO 27001 หรือ SME ที่ต้องการให้ Supplier เข้าถึงระบบได้อย่างปลอดภัย ทางนี้คือทางที่ Future-proof
หากทีม ADS FIT สามารถช่วยออกแบบสถาปัตยกรรม Zero Trust สำหรับองค์กรคุณ วางระบบ OpenZiti พร้อม Logging, IAM และเชื่อมกับ Laravel/Next.js ที่ใช้อยู่เดิม ติดต่อเราเพื่อปรึกษาฟรี