# Teleport คืออะไร? คู่มือ Open-Source Identity-Aware Access Proxy Zero Trust สำหรับ SME ไทย 2026
ในยุคที่พนักงาน Remote Work และระบบกระจายไปบน Multi-Cloud, Kubernetes, และ On-Prem พร้อมกัน — การจัดการสิทธิ์เข้าถึง SSH, Database, Internal Web App ด้วย Static Password หรือ SSH Key ที่ไม่หมดอายุ กลายเป็นช่องโหว่ใหญ่ที่สุดของ SME
Teleport คือ Open-Source Identity-Aware Access Proxy ที่รวม SSH, Kubernetes, Database, Web App, Windows Desktop เข้าไว้ที่ Gateway เดียว ปลดล็อคแนวคิด Zero Trust ด้วย Short-Lived Certificate + Single Sign-On + Session Recording — ทั้งหมดในแพ็กเกจเดียว ฟรี และ Self-Host ได้
บทความนี้จะอธิบายว่า Teleport ทำงานอย่างไร, แตกต่างจาก SSH Bastion / Jump Host แบบเดิมตรงไหน, ขั้นตอน Deploy บน SME และตัวอย่างการใช้จริงในปี 2026
ปัญหาที่ Teleport มาแก้
ลองนึกภาพ SME ไทยทั่วไปที่มี:
ปัญหาที่เกิดขึ้นบ่อย:
| ปัญหา | ความเสี่ยง |
|---|---|
| SSH Key ของพนักงานเก่ายังอยู่ในเครื่อง | คนที่ลาออกแล้วยังเข้าได้ |
| ใช้ Password ฐานข้อมูลร่วมกัน | ไม่รู้ใคร DELETE ข้อมูล |
| ไม่มี Audit Log ว่าใครรัน Command อะไร | สอบสวนเหตุการณ์ไม่ได้ |
| VPN เปิด Tunnel กว้างเกินจำเป็น | Lateral Movement ง่าย |
Teleport แก้ปัญหานี้ด้วย Identity-Aware Access — ทุกการเชื่อมต่อต้องผูกกับ Identity (จาก Google Workspace, Microsoft Entra, Okta) และได้ Certificate อายุสั้นมาก (default 12 ชั่วโมง) เป็นครั้ง ๆ ไป
สถาปัตยกรรมของ Teleport
Teleport มีคอมโพเนนต์หลัก 3 ส่วน:
ทุก Server, Kubernetes Cluster, Database จะ register ตัวเองกับ Auth Service ผ่าน Reverse Tunnel — แปลว่าไม่ต้องเปิด SSH Port (22) ออกอินเทอร์เน็ตเลย ลด Attack Surface ได้มหาศาล
คุณสมบัติเด่นของ Teleport (Open-Source Edition)
เปรียบเทียบกับโซลูชันอื่น
| Feature | Teleport OSS | Bastion + SSH Key | AWS SSM | OpenVPN / WireGuard |
|---|---|---|---|---|
| Identity-Aware | ✅ | ❌ | ⚠️ | ❌ |
| Short-Lived Cert | ✅ | ❌ | ✅ | ❌ |
| Session Recording | ✅ | ❌ | ✅ | ❌ |
| Multi-Protocol | ✅ (SSH, K8s, DB, Web) | ❌ | ⚠️ (SSH only) | ⚠️ (Network) |
| Self-Hosted ฟรี | ✅ | ✅ | ❌ (AWS-only) | ✅ |
| Audit Log | ✅ | ❌ | ✅ | ⚠️ |
| Cost (10 nodes) | $0 | $0 | $0 | $0 |
จุดเด่นของ Teleport คือ เป็น Open-Source แท้ (Apache 2.0 license) สามารถใช้ฟรีไม่จำกัดจำนวน Node ใน Self-Hosted Edition และเป็น Multi-Protocol จริงไม่ใช่แค่ SSH
How-to: Deploy Teleport บน SME ใน 6 ขั้นตอน
ตัวอย่าง Setup สำหรับองค์กรที่มี 20 servers + 1 Kubernetes Cluster:
1. ติดตั้ง Teleport Cluster (Auth + Proxy รวมกัน)
```bash
curl https://goteleport.com/static/install.sh | bash -s 16.0.0
sudo teleport configure -o /etc/teleport.yaml \
--cluster-name=teleport.adsfit.co.th \
--public-addr=teleport.adsfit.co.th:443 \
--acme --acme-email=ops@adsfit.co.th
sudo systemctl enable --now teleport
```
2. ตั้งค่า DNS + TLS ผ่าน Let's Encrypt อัตโนมัติด้วย flag `--acme`
3. เชื่อมต่อ SSO กับ Google Workspace (สำหรับทีมที่ใช้ Gmail org อยู่แล้ว)
```yaml
auth_service:
authentication:
type: oidc
second_factor: webauthn
```
4. ติดตั้ง Agent บน Server แต่ละเครื่อง
```bash
sudo teleport node configure \
--auth-server=teleport.adsfit.co.th:443 \
--token=<token> > /etc/teleport.yaml
sudo systemctl enable --now teleport
```
5. เพิ่ม Kubernetes Cluster
```bash
helm install teleport-agent teleport/teleport-kube-agent \
--set roles=kube,db \
--set proxyAddr=teleport.adsfit.co.th:443 \
--set authToken=<kube-token>
```
6. กำหนด Role-Based Access
```yaml
kind: role
metadata:
name: dev-readonly
spec:
allow:
logins: [readonly]
node_labels:
env: ['staging']
kubernetes_groups: ['view']
db_users: ['readonly']
```
หลังจาก Deploy เสร็จ ผู้ใช้แค่รัน `tsh login --proxy=teleport.adsfit.co.th` แล้วใช้ `tsh ssh user@hostname` ทดแทน `ssh -i key.pem` ได้ทันที
Best Practices สำหรับ Production
สรุป — ทำไม Teleport ถึงเหมาะกับ SME ไทย 2026
Teleport ทำให้ SME สามารถสร้างมาตรฐาน Zero Trust Access แบบ Enterprise ได้โดยใช้ Open-Source ฟรี ไม่ต้องเสียค่า License Per User เหมือน BeyondTrust, CyberArk หรือ AWS SSM ที่ผูกอยู่กับ Cloud Provider เดียว
จุดที่น่าสนใจ:
หากองค์กรของคุณยังใช้ SSH Key + Password Excel + VPN แบบเดิม ลอง Pilot Teleport บน Staging Environment สัก 1 สัปดาห์ คุณจะรู้สึกถึงความแตกต่างทั้งในด้านความปลอดภัยและ Developer Experience
ทีม ADS FIT พร้อมช่วย SME ไทย Plan, Deploy และ Operate Teleport Cluster ตามมาตรฐาน Production ตั้งแต่ Day 1 — [ติดต่อเรา](/#contact) เพื่อรับคำแนะนำเฉพาะองค์กร หรืออ่านบทความที่เกี่ยวข้อง เช่น คู่มือ WireGuard VPN, Authentik SSO, และ OpenSSH Bastion Hardening