Đồ án chuyên ngành tìm hiểu và triển khai sd wan

Đồ án chuyên ngành SD-WAN: Tìm hiểu kiến trúc, lợi ích và triển khai SD-WAN hiệu quả. Phân tích các giải pháp SD-WAN phổ biến hiện nay.

• Tác giả: Nguyễn Hữu Bình
• Người hướng dẫn: ThS. Đặng Ngọc Cường
• Trường học: Đại học Duy Tân
• Chuyên ngành: Kỹ thuật mạng
• Đề tài: Tìm hiểu và triển khai SD-WAN
• Loại tài liệu: Đồ án chuyên ngành
• Năm xuất bản: 2023
• Địa điểm: Đà Nẵng

Mục lục chi tiết

• DANH MỤC HÌNH ẢNH
• DANH MỤC BẢNG BIỂU
• DANH MỤC TỪ VIẾT TẮT
• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ SD-WAN
• 1.1. Giới về SD-WAN
• 1.2. Lịch sử phát triển
• 1.3. Đặc điểm của SD WAN
• 1.4. So sánh SD-WAN và MPLS
• 1.5. Tính năng nổi bật của SD WAN
• 1.5.1. Tính năng tự phục hồi
• 1.5.2. Tính bảo mật cao
• 1.5.3. Tối ưu hóa các ứng dụng
• 1.5.4. Tùy chọn để triển khai
• 1.6. Lợi ích và hạn chế của SD-WAN
• 1.7. Ứng dụng SD-WAN
• 2. CHƯƠNG 2: KIẾN TRÚC MẠNG CISCO SD-WAN
• 2.1. Kiến trúc Cisco SD-WAN (Viptela)
• 2.2. Các thành phần chính
• 2.3. Lợi ích của Cisco SD-WAN Viptela
• 3. CHƯƠNG 3: TRIỂN KHAI SD-WAN
• 3.1. Mô hình mạng hiện tại
• 3.2. Bảng kê chi tiết
• 3.3. Triển khai hệ thống
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Hướng dẫn toàn diện đồ án tìm hiểu và triển khai SD WAN

Đồ án chuyên ngành với chủ đề tìm hiểu và triển khai SD-WAN (Software-Defined Wide Area Network) là một nghiên cứu chuyên sâu về xu hướng công nghệ mạng tiên tiến. Trong bối cảnh chuyển đổi số, các doanh nghiệp phải đối mặt với áp lực quản lý hệ thống mạng ngày càng phức tạp, đặc biệt là khi các ứng dụng dịch chuyển lên nền tảng đám mây. Mạng WAN truyền thống, tiêu biểu là MPLS, bộc lộ nhiều hạn chế về chi phí, tính linh hoạt và khả năng quản trị. Công nghệ SD-WAN ra đời như một giải pháp đột phá, tách biệt mặt phẳng điều khiển (control plane) khỏi mặt phẳng dữ liệu (data plane), cho phép quản lý mạng WAN thông qua phần mềm một cách tập trung và thông minh. Điều này mang lại khả năng tối ưu hóa băng thông, tăng cường bảo mật và cải thiện đáng kể hiệu suất ứng dụng. Nghiên cứu này không chỉ dừng lại ở lý thuyết mà còn đi sâu vào việc áp dụng thực tiễn, cụ thể là kiến trúc Cisco SD-WAN (Viptela). Mục tiêu cốt lõi là nắm vững nguyên tắc hoạt động, phân tích các thành phần chính như vManage, vSmart, vBond, và vEdge, từ đó xây dựng một mô hình triển khai hiệu quả. Đồ án sẽ cung cấp một cái nhìn tổng quan, so sánh chi tiết giữa SD-WAN và MPLS, đồng thời trình bày các bước cấu hình cụ thể. Ý nghĩa khoa học của đề tài nằm ở việc hệ thống hóa kiến thức về một công nghệ mạng hiện đại, trong khi ý nghĩa thực tiễn là cung cấp một giải pháp cụ thể giúp doanh nghiệp nâng cao chất lượng dịch vụ, giảm chi phí vận hành và thích ứng nhanh chóng với sự thay đổi của môi trường kinh doanh. Đây là một tài liệu tham khảo giá trị cho sinh viên và các nhà quản lý mạng muốn cập nhật và ứng dụng công nghệ mới.

1.1. Tổng quan về mục tiêu và ý nghĩa của đề tài SD WAN

Mục tiêu chính của đề tài là nghiên cứu sâu về các nguyên tắc hoạt động cơ bản của công nghệ SD-WAN và khám phá các phương pháp triển khai hiệu quả. Nội dung tập trung vào việc áp dụng SD-WAN để tối ưu hóa hiệu suất mạng, đảm bảo tính linh hoạt và an toàn cho hệ thống. Đề tài cũng giải quyết các thách thức trong việc quản lý mạng WAN phức tạp và đáp ứng yêu cầu ngày càng cao về chất lượng dịch vụ. Về mặt khoa học, nghiên cứu này góp phần mở rộng kiến thức về một trong những xu hướng công nghệ hàng đầu, tạo nền tảng cho các nghiên cứu sâu hơn. Về mặt thực tiễn, việc triển khai SD-WAN giúp doanh nghiệp tối ưu hóa hiệu suất, đảm bảo an toàn và giảm chi phí vận hành, cung cấp một giải pháp cụ thể để nâng cao chất lượng dịch vụ.

1.2. Đối tượng và phạm vi nghiên cứu trong đồ án chuyên ngành

Đối tượng nghiên cứu chính là công nghệ SD-WAN, bao gồm cả lý thuyết về kiến trúc, các thành phần cốt lõi và phương pháp vận hành. Phạm vi nghiên cứu bao quát từ nguyên lý hoạt động, cấu trúc, đến các ứng dụng thực tế. Đồ án đi sâu vào việc triển khai một giải pháp cụ thể là Cisco SD-WAN trong môi trường doanh nghiệp mô phỏng. Quá trình này bao gồm các giai đoạn: lựa chọn giải pháp, thiết kế hệ thống, cấu hình và vận hành. Ngoài ra, đề tài cũng thực hiện đánh giá hiệu quả sau triển khai, phân tích các vấn đề liên quan đến bảo mật và quản lý mạng, đảm bảo một cái nhìn toàn diện và thực tế về giải pháp.

II. Phân tích thách thức của mạng WAN truyền thống so với SD WAN

Mạng WAN truyền thống, đặc biệt là MPLS (Multi-Protocol Label Switching), đã từng là tiêu chuẩn vàng cho kết nối doanh nghiệp nhờ độ tin cậy và chất lượng dịch vụ (QoS) đảm bảo. Tuy nhiên, trong kỷ nguyên đám mây, mô hình này bộc lộ nhiều yếu điểm. Chi phí cho các đường truyền MPLS chuyên dụng là rất cao, đặc biệt khi doanh nghiệp cần mở rộng băng thông hoặc thêm chi nhánh mới. Quy trình triển khai và thay đổi cấu hình thường cứng nhắc, đòi hỏi sự can thiệp từ nhà cung cấp dịch vụ viễn thông và mất nhiều thời gian. Một thách thức lớn khác là kiến trúc hub-and-spoke, trong đó toàn bộ lưu lượng truy cập từ chi nhánh, kể cả lưu lượng lên đám mây (SaaS, IaaS), đều phải đi vòng về trung tâm dữ liệu chính để kiểm tra bảo mật. Điều này tạo ra độ trễ lớn, làm giảm trải nghiệm người dùng và gây lãng phí băng thông. Việc quản lý một mạng lưới gồm nhiều thiết bị phần cứng từ các nhà cung cấp khác nhau cũng rất phức tạp và phân mảnh. Ngược lại, công nghệ SD-WAN giải quyết trực tiếp những vấn đề này. Bằng cách sử dụng các kết nối Internet băng thông rộng chi phí thấp (broadband, 4G/LTE) bên cạnh hoặc thay thế hoàn toàn MPLS, SD-WAN giúp giảm đáng kể chi phí vận hành. Nền tảng quản lý tập trung (vManage) cho phép cấu hình và giám sát toàn bộ mạng từ một giao diện duy nhất, tăng cường tính linh hoạt và giảm thiểu sai sót. Khả năng định tuyến nhận biết ứng dụng cho phép SD-WAN tự động chọn đường truyền tốt nhất cho từng loại lưu lượng, ví dụ ưu tiên lưu lượng video call qua đường truyền có độ trễ thấp nhất, đảm bảo hiệu suất tối ưu. Đây là một sự thay đổi mô hình triệt để, giúp mạng WAN trở nên thông minh, linh hoạt và hiệu quả hơn.

2.1. So sánh chi phí và độ linh hoạt giữa SD WAN và MPLS

Về chi phí, MPLS yêu cầu các liên kết chuyên dụng đắt đỏ, trong khi SD-WAN có thể tận dụng các đường truyền Internet công cộng với chi phí thấp hơn nhiều. Điều này giúp doanh nghiệp tiết kiệm đáng kể ngân sách. Về độ linh hoạt, công nghệ SD-WAN vượt trội hơn hẳn. Việc thay đổi cấu hình mạng hoặc mở rộng chi nhánh mới có thể được thực hiện nhanh chóng thông qua bảng điều khiển trung tâm mà không cần chờ đợi nhà cung cấp dịch vụ. Mạng MPLS lại cứng nhắc, mọi thay đổi đều yêu cầu phiếu dịch vụ và quy trình phức tạp, làm chậm khả năng thích ứng của doanh nghiệp với các yêu cầu kinh doanh mới.

2.2. Vấn đề hiệu suất ứng dụng và bảo mật trên mạng WAN cũ

Trên mạng WAN truyền thống, lưu lượng truy cập các ứng dụng đám mây như Office 365 hay Salesforce thường phải đi vòng về trung tâm dữ liệu, gây ra độ trễ cao và làm giảm hiệu suất. SD-WAN giải quyết vấn đề này bằng cách cho phép các chi nhánh truy cập trực tiếp Internet một cách an toàn (Direct Internet Access - DIA), tối ưu hóa đường đi cho lưu lượng đám mây. Về bảo mật, mô hình truyền thống tập trung bảo mật tại trung tâm, khiến các chi nhánh dễ bị tổn thương. SD-WAN tích hợp các tính năng bảo mật mạnh mẽ như tường lửa, mã hóa IPSec và phân đoạn mạng đầu cuối ngay tại các thiết bị biên (vEdge), đảm bảo an toàn cho toàn bộ hệ thống.

III. Khám phá kiến trúc mạng Cisco SD WAN Viptela chi tiết

Giải pháp Cisco SD-WAN, phát triển từ nền tảng Viptela, là một kiến trúc mạng cấp doanh nghiệp được thiết kế để hỗ trợ quá trình chuyển đổi số. Kiến trúc này được chia thành bốn mặt phẳng (plane) riêng biệt, tạo nên sự linh hoạt và khả năng mở rộng vượt trội. Orchestration Plane chứa thành phần vBond, đóng vai trò là điểm xác thực ban đầu cho tất cả các thiết bị trong mạng, điều phối kết nối giữa các thành phần khác. Management Plane, với trung tâm là vManage, cung cấp giao diện quản lý đồ họa (GUI) tập trung để cấu hình, giám sát và khắc phục sự cố toàn bộ hệ thống. Control Plane được điều khiển bởi vSmart Controller, chịu trách nhiệm thiết lập và duy trì các kết nối an toàn, đồng thời phân phối các chính sách định tuyến và bảo mật xuống các thiết bị biên. Cuối cùng, Data Plane bao gồm các vEdge router (hoặc cEdge), được đặt tại các chi nhánh và trung tâm dữ liệu. Các router này chịu trách nhiệm chuyển tiếp lưu lượng dữ liệu theo chính sách nhận được từ vSmart. Sự tách biệt rõ ràng giữa các mặt phẳng này là yếu tố cốt lõi của công nghệ SD-WAN. Nó cho phép quản trị viên định nghĩa chính sách ở cấp độ cao trên vManage, sau đó vSmart sẽ tự động biên dịch và đẩy các cấu hình tương ứng xuống hàng trăm hoặc hàng ngàn thiết bị vEdge mà không cần can thiệp thủ công. Điều này làm giảm đáng kể độ phức tạp của việc quản lý mạng WAN quy mô lớn và giảm thiểu rủi ro do lỗi cấu hình của con người.

3.1. Vai trò của các thành phần chính vManage vSmart vBond

vManage là Hệ thống Quản lý Mạng (NMS) trung tâm, cung cấp giao diện đồ họa để người quản trị thực hiện mọi tác vụ từ cấu hình thiết bị, tạo chính sách định tuyến, đến giám sát hiệu suất và cảnh báo sự cố. vSmart là bộ não của hệ thống, điều phối thông tin điều khiển, thực thi các chính sách định tuyến và bảo mật trên toàn bộ mạng fabric. vBond hoạt động như một người điều phối, xác thực các thiết bị mới muốn tham gia mạng và hướng dẫn chúng cách kết nối đến vManage và vSmart. Đây là thành phần đầu tiên mà các vEdge router liên lạc khi khởi động.

3.2. Phân tích chức năng của vEdge và các mặt phẳng hoạt động

vEdge là các router biên được triển khai tại các địa điểm từ xa hoặc chi nhánh. Chúng chịu trách nhiệm thực thi các chính sách từ vSmart, thiết lập các đường hầm IPSec an toàn với các vEdge khác và chuyển tiếp dữ liệu người dùng. Về các mặt phẳng, Control Plane (do vSmart quản lý) quyết định đường đi của dữ liệu, trong khi Data Plane (trên vEdge) thực hiện việc chuyển tiếp gói tin theo quyết định đó. Sự tách biệt này cho phép hệ thống có khả năng phục hồi cao; ngay cả khi mất kết nối đến vSmart, các vEdge vẫn có thể tiếp tục chuyển tiếp dữ liệu dựa trên thông tin định tuyến cuối cùng nhận được.

IV. Quy trình triển khai SD WAN cho doanh nghiệp từ A Z

Quá trình triển khai SD-WAN theo mô hình Cisco SD-WAN là một quy trình có cấu trúc, bắt đầu từ việc chuẩn bị và cấu hình các thành phần điều khiển (controllers). Đầu tiên, cần triển khai và cấu hình địa chỉ IP cho các controller: vManage, vBond, và vSmart. Các thành phần này phải có kết nối mạng với nhau và với các router biên. Bước quan trọng tiếp theo là thiết lập một Cơ quan Chứng thực (Certificate Authority - CA) để cấp phát và quản lý chứng chỉ số. Trong mô hình đồ án, vManage được promote lên làm CA, chịu trách nhiệm ký và xác thực chứng chỉ cho tất cả các thành phần khác. Quá trình này đảm bảo rằng chỉ những thiết bị được tin cậy mới có thể tham gia vào mạng SD-WAN, tạo ra một lớp bảo mật nền tảng vững chắc. Sau khi các controller đã được cài đặt chứng chỉ và xác thực lẫn nhau, bước tiếp theo là cấu hình các thiết bị vEdge tại các chi nhánh. Một trong những ưu điểm lớn của công nghệ SD-WAN là khả năng Zero Touch Provisioning (ZTP), cho phép các vEdge tự động tải cấu hình từ vManage khi được kết nối vào mạng lần đầu. Quản trị viên chỉ cần đăng ký số serial của thiết bị trên vManage, và toàn bộ quá trình cấu hình sẽ diễn ra tự động. Cuối cùng, sau khi tất cả các thiết bị đã kết nối và hình thành các control connection, quản trị viên sẽ sử dụng giao diện của vManage để định nghĩa các chính sách kinh doanh, chẳng hạn như chính sách định tuyến dựa trên ứng dụng, chính sách chất lượng dịch vụ (QoS), và các chính sách bảo mật. Các chính sách này sau đó sẽ được vSmart đẩy xuống toàn bộ các vEdge để thực thi.

4.1. Các bước cấu hình cơ bản cho controller SD WAN

Việc cấu hình ban đầu bao gồm việc thiết lập các thông số hệ thống cơ bản cho vManage, vSmart, và vBond như hostname, system-ip, site-id, và organization-name. Đặc biệt, cần đảm bảo organization-name phải nhất quán trên tất cả các thiết bị để chúng có thể nhận diện và giao tiếp với nhau. Sau đó, cấu hình giao diện mạng (VPN 0 cho transport và VPN 512 cho management) để các controller có thể kết nối với nhau và với các vEdge. Cuối cùng là quá trình thiết lập và cài đặt chứng chỉ số để xác thực danh tính các thiết bị.

4.2. Phương pháp đưa vEdge vào mạng và áp dụng chính sách

Để thêm một vEdge router mới, quản trị viên cần đăng ký thông tin thiết bị trên vManage. Khi vEdge khởi động, nó sẽ liên lạc với vBond để được xác thực và nhận thông tin về địa chỉ của vManage và vSmart. Sau khi thiết lập kết nối an toàn với các controller, vEdge sẽ nhận cấu hình và các chính sách đã được định nghĩa sẵn. Quản trị viên có thể tạo các mẫu cấu hình (template) trên vManage và áp dụng chúng cho nhiều thiết bị cùng lúc, giúp đơn giản hóa và chuẩn hóa việc quản lý, đồng thời giảm thiểu chi phí vận hành.

V. Đánh giá ưu nhược điểm sau khi triển khai hệ thống SD WAN

Việc triển khai SD-WAN mang lại nhiều ưu điểm vượt trội cho hạ tầng mạng của doanh nghiệp. Ưu điểm lớn nhất là sự gia tăng đáng kể về hiệu suất và tính linh hoạt. Hệ thống có khả năng tự động lựa chọn đường truyền tối ưu cho từng ứng dụng, đảm bảo các ứng dụng quan trọng như hội nghị truyền hình hay VoIP luôn có chất lượng tốt nhất. Khả năng cân bằng tải trên nhiều kết nối WAN (ví dụ MPLS và Internet broadband) giúp tối ưu hóa việc sử dụng băng thông và tăng khả năng sẵn sàng của hệ thống. Quản lý tập trung thông qua vManage giúp đơn giản hóa việc vận hành, giảm thời gian và công sức cần thiết để cấu hình và giám sát mạng. Khả năng mở rộng cũng là một điểm cộng lớn; việc thêm một chi nhánh mới vào mạng trở nên dễ dàng và nhanh chóng hơn bao giờ hết. Về bảo mật, kiến trúc SD-WAN tích hợp sẵn các tính năng mạnh mẽ như mã hóa đầu cuối, phân đoạn mạng và tường lửa, giúp bảo vệ dữ liệu trên toàn bộ mạng WAN. Tuy nhiên, hệ thống cũng có một số hạn chế cần xem xét. Chi phí đầu tư ban đầu cho các thiết bị và phần mềm chuyên dụng có thể cao hơn so với một số giải pháp WAN truyền thống ở quy mô nhỏ. Việc triển khai và quản lý một hệ thống SD-WAN đòi hỏi đội ngũ kỹ thuật phải có kiến thức và chuyên môn cao về công nghệ mạng mới. Ngoài ra, vấn đề tương thích với các ứng dụng hoặc thiết bị cũ cũng có thể phát sinh, đòi hỏi quá trình kiểm tra và lên kế hoạch kỹ lưỡng trước khi triển khai. Dù vậy, những lợi ích về lâu dài như giảm chi phí vận hành, cải thiện hiệu suất và tăng cường sự linh hoạt thường vượt xa những nhược điểm ban đầu.

5.1. Lợi ích về hiệu suất khả năng mở rộng và bảo mật

Sau khi triển khai, hiệu suất ứng dụng được cải thiện rõ rệt nhờ khả năng định tuyến thông minh. Hệ thống có thể dễ dàng mở rộng bằng cách thêm các vEdge mới mà không cần cấu hình lại toàn bộ mạng. Các tính năng bảo mật tích hợp như mã hóa dữ liệu mạnh mẽ và phân đoạn mạng đầu cuối giúp bảo vệ lưu lượng khỏi các mối đe dọa, kể cả khi sử dụng các đường truyền Internet công cộng, một cải tiến lớn so với việc chỉ dựa vào MPLS.

5.2. Các hạn chế về chi phí kỹ thuật và tính tương thích

Hạn chế chính bao gồm chi phí bản quyền phần mềm và phần cứng chuyên dụng. Hệ thống yêu cầu nhân viên IT có kỹ năng chuyên sâu để quản lý hiệu quả, đặc biệt là trong việc xử lý sự cố phức tạp. Bên cạnh đó, việc đảm bảo hệ thống SD-WAN tương thích hoàn toàn với tất cả các ứng dụng và thiết bị kế thừa trong mạng của doanh nghiệp là một thách thức cần được giải quyết trong giai đoạn lập kế hoạch để tránh gián đoạn hoạt động.

VI. Xu hướng phát triển của công nghệ SD WAN trong tương lai

Tương lai của công nghệ SD-WAN đang hướng đến sự tích hợp sâu hơn với các công nghệ mới nổi khác để tạo ra một kiến trúc mạng toàn diện và thông minh hơn, thường được gọi là SASE (Secure Access Service Edge). SASE kết hợp các khả năng của SD-WAN với các dịch vụ bảo mật dựa trên đám mây, như tường lửa thế hệ mới (NGFW), cổng web an toàn (SWG), và Zero Trust Network Access (ZTNA). Điều này cho phép doanh nghiệp áp dụng các chính sách bảo mật nhất quán cho tất cả người dùng và thiết bị, bất kể họ đang ở đâu, mà không cần phải định tuyến lưu lượng về trung tâm dữ liệu. Một xu hướng khác là việc ứng dụng Trí tuệ nhân tạo (AI) và Học máy (Machine Learning) vào quản lý mạng, hay còn gọi là AIOps. Các nền tảng SD-WAN sẽ ngày càng thông minh hơn trong việc tự động phát hiện các sự cố, dự đoán các vấn đề về hiệu suất và tự động khắc phục trước khi chúng ảnh hưởng đến người dùng. Điều này sẽ giúp giảm bớt gánh nặng cho đội ngũ IT và nâng cao độ tin cậy của mạng. Hơn nữa, việc tối ưu hóa kết nối đến các môi trường đa đám mây (multi-cloud) sẽ tiếp tục là một trọng tâm phát triển. Các giải pháp như Cisco SD-WAN Cloud OnRamp sẽ được cải tiến để đơn giản hóa và tự động hóa việc kết nối an toàn, liền mạch từ chi nhánh đến các nhà cung cấp đám mây lớn như AWS, Azure và Google Cloud. Nhìn chung, triển khai SD-WAN không còn là một lựa chọn mà đang dần trở thành một yêu cầu tất yếu cho các doanh nghiệp muốn duy trì lợi thế cạnh tranh trong kỷ nguyên số.

6.1. Tích hợp SASE Hợp nhất mạng và bảo mật trên đám mây

SASE là bước tiến hóa tiếp theo của SD-WAN, hội tụ chức năng mạng và bảo mật vào một dịch vụ duy nhất được cung cấp từ đám mây. Thay vì triển khai nhiều thiết bị bảo mật riêng lẻ tại mỗi chi nhánh, doanh nghiệp có thể sử dụng một giải pháp SASE để bảo vệ tất cả các kết nối. Điều này giúp đơn giản hóa kiến trúc, giảm chi phí vận hành và cung cấp khả năng bảo mật đồng nhất cho cả người dùng tại văn phòng và người dùng làm việc từ xa.

6.2. Ứng dụng AI và tối ưu hóa kết nối đa đám mây Multi Cloud

Việc tích hợp AI vào vManage sẽ cho phép hệ thống tự động phân tích một lượng lớn dữ liệu mạng trong thời gian thực, từ đó đưa ra các đề xuất thông minh để tối ưu hóa hiệu suất và lập kế hoạch tài nguyên hiệu quả. Đồng thời, các tính năng Cloud OnRamp sẽ tiếp tục được phát triển để cung cấp kết nối trực tiếp, hiệu suất cao và an toàn từ người dùng đến các ứng dụng SaaS và IaaS, giúp cải thiện trải nghiệm và hỗ trợ chiến lược đa đám mây của doanh nghiệp.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin và viễn thông phát triển, các mô hình kết nối diện rộng truyền thống đang bộc lộ nhiều điểm nghẽn khi doanh nghiệp mở rộng quy mô và chuyển dịch dữ liệu lên nền tảng đám mây. Đồ án chuyên ngành "Tìm hiểu và triển khai SD-WAN" của tác giả Nguyễn Hữu Bình (Khoa Kỹ thuật Mạng Máy tính & Truyền thông, Trường Khoa học Máy tính – Đại học Duy Tân, thực hiện tháng 11/2023 dưới sự hướng dẫn của ThS. Đặng Ngọc Cường) xuất phát từ các yêu cầu thực tiễn trong công tác quản trị và tối ưu hóa hạ tầng mạng doanh nghiệp.

Thực trạng mô hình mạng doanh nghiệp được khảo sát trong nghiên cứu bao gồm 4 đơn vị kết nối: Trụ sở chính, Trung tâm Dữ liệu (Data Center), Chi nhánh 1 và Chi nhánh 2. Hệ thống hiện tại sử dụng công nghệ mạng chuyển nhãn đa giao thức (Viettel MPLS) để liên kết giữa các chi nhánh, trang bị tường lửa (Firewall) tại từng điểm và thiết lập vùng DMZ tại trụ sở chính để cung cấp các dịch vụ dùng chung (Mail, Web, DNS). Mô hình này bộc lộ ba vấn đề kỹ thuật lớn:

• Khối lượng công việc quản trị rất lớn do việc cấu hình, kiểm soát và giám sát các đường truyền WAN diễn ra phân tán, làm tăng nguy cơ sai sót trong quá trình vận hành.
• Khó khăn trong việc phát hiện và cô lập, xử lý sự cố tức thời trên các đường liên kết diện rộng.
• Chi phí thuê hạ tầng đường truyền chuyên dụng MPLS từ nhà cung cấp dịch vụ viễn thông rất tốn kém, tạo áp lực tài chính lớn khi lưu lượng dữ liệu tăng cao.

Mục tiêu nghiên cứu của đề tài được xác định gồm ba nhiệm vụ:

1. Nắm bắt các nguyên tắc hoạt động cơ bản của mạng diện rộng định nghĩa bằng phần mềm (SD-WAN) và các phương pháp triển khai hiệu quả.
2. Tập trung áp dụng SD-WAN nhằm tối ưu hóa hiệu suất mạng, bảo đảm tính linh hoạt và an toàn thông tin.
3. Giải quyết các thách thức từ việc quản lý hệ thống mạng phức tạp và đáp ứng các yêu cầu ngày càng cao về chất lượng dịch vụ (QoS) từ phía doanh nghiệp.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Công nghệ SD-WAN, bao gồm lý thuyết nền tảng, các thành phần kiến trúc, giao thức truyền thông và phương thức triển khai, vận hành hệ thống.
• Phạm vi nghiên cứu: Tìm hiểu nguyên lý hoạt động, cấu trúc phân tầng và ứng dụng thực tế của công nghệ; tập trung thực nghiệm thiết kế, lựa chọn thiết bị, cấu hình và khởi tạo (bring-up) giải pháp Cisco SD-WAN (Viptela) cho mô hình doanh nghiệp đa chi nhánh.

Ý nghĩa khoa học và thực tiễn: Đề tài hệ thống hóa kiến trúc mạng định nghĩa bằng phần mềm trong môi trường WAN, đồng thời xây dựng quy trình triển khai thực nghiệm cụ thể (chứng thực CA, cấu hình controller và thiết bị biên), mang lại giải pháp giảm tải vận hành cho đội ngũ quản trị và tiết kiệm chi phí kết nối mạng cho doanh nghiệp.

---

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và tiến trình phát triển của SD-WAN

SD-WAN (Software-Defined Wide Area Network) là kiến trúc mạng WAN ảo hóa cho phép doanh nghiệp kết nối người dùng với ứng dụng an toàn và hiệu quả thông qua việc tách rời lớp điều khiển (Control Plane) khỏi lớp dữ liệu vật lý (Data Plane). Tiến trình phát triển của công nghệ trải qua ba giai đoạn:

• SD-WAN 1.0 (Giải quyết đói băng thông): Tập trung vào tính khả dụng và băng thông chặng cuối bằng cách gộp liên kết (link bonding), phối hợp đường truyền MPLS đắt đỏ với các kết nối Internet dự phòng.
• SD-WAN 2.0 (Định tuyến nhận biết ứng dụng): Phát triển khả năng định tuyến nhận biết ứng dụng (App-aware routing) trên toàn tuyến và ảo hóa cơ chế chuyển đổi dự phòng, giảm phụ thuộc vào các kênh thuê riêng MPLS.
• SD-WAN 3.0 (Mở rộng đám mây): Mở rộng kết nối an toàn từ các chi nhánh mạng trực tiếp đến các môi trường đám mây công cộng (IaaS/SaaS).

Để nâng cao chất lượng dịch vụ mạng, SD-WAN sử dụng các kỹ thuật QoS chuyên sâu nhằm khắc phục hiện tượng mất gói (packet loss) và trễ tín hiệu (jitter):

• Sửa lỗi chuyển tiếp (Forward Error Correction - FEC): Gửi đồng thời nhiều bản sao của cùng một gói dữ liệu để giảm tỷ lệ mất mát thông tin.
• Bộ đệm Jitter (Jitter Buffer): Lưu giữ các gói tin tạm thời và giải phóng theo các chu kỳ thời gian cố định nhằm bù đắp hiện tượng chập chờn khi độ trễ mạng tăng cao.
• Xác nhận tiêu cực (Negative Acknowledgment - NACK): Phát hiện chính xác các gói dữ liệu bị thiếu trên đường truyền và yêu cầu gửi lại nhanh chóng.

Bảng so sánh giữa SD-WAN và MPLS

Dưới đây là bảng tổng hợp các tiêu chí kỹ thuật và vận hành giữa hai công nghệ được trình bày trong đồ án:

Tiêu chí	SD-WAN	MPLS
Độ tin cậy	Phụ thuộc vào Internet công cộng, có thể bị ảnh hưởng bởi các yếu tố bên ngoài.	Đảm bảo bằng các liên kết chuyên dụng, không bị ảnh hưởng bởi Internet công cộng.
Chất lượng dịch vụ (QoS)	Ưu tiên các loại lưu lượng nhất định theo chính sách, không đảm bảo cố định hiệu suất vật lý.	Xác định các lớp dịch vụ (CoS) ưu tiên rõ ràng và cam kết hiệu suất truyền tải.
Bảo mật	Cung cấp bảo mật bằng phần mềm (mã hóa IPsec), có thể gặp rủi ro từ lỗ hổng phần mềm.	Bảo mật ở cấp độ phần cứng bằng mạng riêng tách biệt hoàn toàn với Internet.
Chi phí	Tiết kiệm chi phí đáng kể do tận dụng đa dạng đường truyền Internet thương mại.	Tốn kém chi phí định kỳ rất lớn cho các kênh thuê riêng chuyên dụng.
Khả năng hiển thị và kiểm soát	Cung cấp khả năng hiển thị sâu và kiểm soát chi tiết từng ứng dụng chạy qua mạng.	Không cung cấp tùy chọn tự quản lý chi tiết; phụ thuộc nhà cung cấp viễn thông.
Tính khả dụng	Thích ứng linh hoạt với nhiều điều kiện mạng và tự động chuyển đổi tránh gián đoạn.	Bị gián đoạn trực tiếp khi xảy ra sự cố ngừng hoạt động trên liên kết chuyên dụng.
Tính linh hoạt & mở rộng	Rất linh hoạt, triển khai nhanh qua cấu hình phần mềm và tự động hóa.	Cứng nhắc, yêu cầu quy trình phối hợp và gửi yêu cầu dịch vụ tới nhà mạng.
Quản trị	Quản lý tập trung trên nền tảng đám mây hoặc máy chủ ảo hóa trung tâm.	Quản lý phân tán bởi công ty viễn thông, thiếu bảng điều khiển tập trung cho khách hàng.
Hỗ trợ đám mây	Kết nối trực tiếp và tối ưu hóa đường truyền từ chi nhánh đến dịch vụ đám mây (SaaS/IaaS).	Phải chuyển hướng toàn bộ lưu lượng về trung tâm dữ liệu công ty trước khi ra đám mây.

Phương pháp nghiên cứu

Tác giả sử dụng kết hợp các phương pháp:

• Phương pháp phân tích - tổng hợp tài liệu chuyên ngành về giao thức và tiêu chuẩn kiến trúc mạng Cisco SD-WAN Viptela.
• Phương pháp khảo sát, phân tích hiện trạng hạ tầng mạng doanh nghiệp đa điểm để xác định các thông số kỹ thuật, băng thông và hạn chế vận hành.
• Phương pháp thực nghiệm mô phỏng lab: Thiết kế topo mạng, phân chia không gian địa chỉ IP (Transport VPN 0 và Management VPN 512), cấu hình dòng lệnh (CLI), thiết lập hạ tầng chứng thực số nội bộ (Enterprise CA) bằng OpenSSL và thực hiện quy trình kích hoạt (bring-up) các thành phần điều khiển.

---

Kiến trúc hệ thống mạng Cisco SD-WAN

Kiến trúc Cisco SD-WAN (Viptela) chia tách mạng thành 4 mặt phẳng độc lập (Planes) kết hợp cùng dịch vụ phân tích:

+-----------------------------------------------------------------------+
|                 Management Plane: Cisco vManage (GUI/API)             |
+-----------------------------------------------------------------------+
|               Orchestration Plane: Cisco vBond (NAT/Auth)             |
+-----------------------------------------------------------------------+
|                Control Plane: Cisco vSmart (Routing Policies)         |
+-----------------------------------------------------------------------+
|            Data Plane: Cisco vEdge / cEdge (IPsec Encryption)         |
+-----------------------------------------------------------------------+

1. Mặt phẳng điều phối (Orchestration Plane - vBond): Đóng vai trò là điểm xác thực ban đầu (First Point of Authentication) cho toàn bộ các thiết bị tham gia mạng Fabric. vBond điều phối kết nối ban đầu giữa vManage, vSmart và các router biên vEdge. Do đó, thiết bị này bắt buộc phải sở hữu địa chỉ IP Public hoặc được hỗ trợ NAT để các thành phần khác luôn tìm thấy.
2. Mặt phẳng quản lý (Management Plane - vManage): Hệ thống quản lý mạng tập trung (NMS) cung cấp giao diện đồ họa người dùng (GUI) và REST API. vManage cho phép quản trị viên cấu hình thiết bị, quản lý chính sách tập trung, giám sát cảnh báo và có thể đóng vai trò làm máy chủ cấp phát chứng chỉ số nội bộ (Certificate Authority - CA).
3. Mặt phẳng điều khiển (Control Plane - vSmart): Bộ điều khiển trung tâm chịu trách nhiệm thiết lập bảng định tuyến Fabric, tự động khám phá các nút mạng, phân phối các chính sách định tuyến (Routing Policies) và chính sách nhận biết ứng dụng (App-Aware Policies) xuống các thiết bị Data Plane.
4. Mặt phẳng dữ liệu (Data Plane - vEdge / cEdge): Bao gồm các bộ định tuyến đặt tại các chi nhánh (Branch) hoặc văn phòng từ xa. Thiết bị biên này thiết lập các đường hầm mã hóa IPsec bảo mật trên lớp mạng truyền tải (Underlay), thực thi các chính sách chuyển tiếp gói tin, hỗ trợ cấu hình tự động (Zero Touch Provisioning - ZTP) và tương thích với các giao thức định tuyến nội bộ truyền thống (OSPF, BGP, VRRP).
5. Thành phần phân tích (vAnalytics): Dịch vụ phân tích tùy chọn giúp hiển thị hiệu năng ứng dụng, cơ sở hạ tầng mạng, đưa ra các dự báo và đề xuất nâng cấp hoặc điều chỉnh dung lượng đường truyền WAN.

Hệ thống còn tích hợp công nghệ Cloud onRamp gồm hai cơ chế:

• Cloud onRamp for SaaS: Giám sát liên tục chất lượng tất cả các đường truyền từ văn phòng chi nhánh đến dịch vụ đám mây (Office 365, Salesforce...), chấm điểm trải nghiệm (QoE) theo thang điểm từ 0 đến 10 để tự động chọn tuyến đường có hiệu năng tốt nhất theo thời gian thực.
• Cloud onRamp for IaaS: Tự động khởi tạo và kết nối các router ảo vEdge trên hạ tầng đám mây công cộng (AWS, Microsoft Azure) với mạng SD-WAN nội bộ của doanh nghiệp.

---

Nội dung chính theo từng chương

Chương 1. Tổng quan về SD-WAN

Chương này tập trung trình bày các khái niệm cơ bản về mạng WAN ảo hóa, lịch sử phát triển qua ba thế hệ và phân tích các đặc trưng kỹ thuật nổi bật:

• Khả năng kết nối đa dạng trên nhiều loại đường truyền (Frame Relay, MPLS, Internet băng rộng, mạng không dây LTE/4G).
• Tính năng tự phục hồi (Self-healing): Tự động phát hiện lỗi đường truyền trong thời gian thực và chuyển đổi lưu lượng sang kênh dự phòng không gây gián đoạn dịch vụ.
• Tối ưu hóa ứng dụng thông qua lưu trữ bộ nhớ đệm (caching) và áp dụng các kỹ thuật sửa lỗi FEC, NACK.
• Đánh giá các ưu điểm về quản lý mạng lai, tính linh hoạt (Agility) với Zero Touch Provisioning, tiết kiệm chi phí vận hành; đồng thời chỉ ra các thách thức về bảo mật điểm biên (yêu cầu bổ sung UTM/Firewall) và khó khăn khi quản trị song song nhiều bảng điều khiển nếu dùng các giải pháp bảo mật rời rạc.

Chương 2: Kiến trúc mạng Cisco SD-WAN

Nội dung chương 2 đi sâu vào giải pháp Cisco SD-WAN Viptela:

• Phân tích chi tiết 4 mặt phẳng kiến trúc và chức năng của từng thành phần: vBond, vManage, vSmart, vEdge (thiết bị phần cứng hoặc máy ảo).
• Quy định phân bổ môi trường hoạt động: vManage và vSmart chỉ khả dụng dưới dạng máy ảo (chạy trên ESXi, KVM hoặc đám mây AWS, Azure); trong khi vBond và vEdge có thể triển khai linh hoạt dưới dạng máy ảo hoặc thiết bị phần cứng chuyên dụng.
• Khảo sát các cơ chế định tuyến, mã hóa dữ liệu đầu cuối và bộ tính năng mở rộng kết nối đám mây Cloud onRamp (SaaS và IaaS).

Chương 3: Triển khai SD-WAN

Chương 3 trình bày toàn bộ quá trình áp dụng kỹ thuật vào mô hình doanh nghiệp thực tế:

• Phân tích sơ đồ mạng hiện hữu 4 site kết nối qua Viettel MPLS và lập luận phương án chuyển đổi sang SD-WAN.
• Lập bảng quy hoạch địa chỉ IP cho hệ thống phân vùng mạng (VPN 0 cho Transport WAN và VPN 512 cho Management).
• Lập bảng kê chi tiết thông số kỹ thuật và dự toán chi phí phần cứng mạng đề xuất.
• Thực hiện quy trình cấu hình hệ thống điều khiển qua CLI, xác thực chứng chỉ số OpenSSL Enterprise Root CA và kích hoạt liên kết Fabric thành công giữa vManage, vBond và vSmart.

---

Thiết kế và triển khai thực nghiệm

1. Bảng kê thiết bị phần cứng và dự toán kinh phí

Đồ án thiết lập bảng kê cấu hình phần cứng phục vụ việc nâng cấp mô hình mạng doanh nghiệp:

STT	Tên thiết bị	Thông số kỹ thuật chính	Số lượng	Đơn giá (USD)	Thành tiền (USD)	Mục đích sử dụng
1	Router Cisco ISR4321/K9	2 cổng RJ-45 WAN/LAN 10/100/1000, 1 cổng SFP, RAM 4 GB (mở rộng 8 GB), Flash 4 GB	4	2,370	9,480	Định tuyến mạng, chia địa chỉ IP, cân bằng tải tại các site
2	Firewall Fortinet FortiGate 240D	2 cổng WAN GE RJ45, 40 cổng LAN GE RJ45, 2 cổng DMZ GE SFP, 64 GB Local Storage	4	3,800	15,200	Kiểm soát truy cập, bảo mật và phân vùng an toàn
3	Switch Cisco SG250-50P-K9-EU	48 cổng Gigabit PoE+ (công suất 375W), 2 cổng Gigabit/SFP combo, năng lực chuyển mạch 100 Gbps, 74.41 Mpps	3	1,100	3,300	Kết nối thiết bị đầu cuối (PC, camera, máy in), phân chia VLAN
4	Switch Cisco Catalyst 3560X-24T	24 cổng Gigabit Ethernet, tính năng Layer 3 switching, SVI, Access Control List, static routing, nguồn kép dự phòng	1	1,657	1,657	Định tuyến nội bộ Core/Distribution, phân chia VLAN, cân bằng tải
Tổng			12		29,637

2. Cấu hình cơ bản các Controller

Hệ thống điều khiển được cấu hình chung định danh tổ chức (sdwan.2) và Site ID hệ thống điều khiển (1000):

• Cấu hình vManage:

  • System: host-name vmanage, system-ip 1.1.1.1, site-id 1000, organization-name sdwan.2
  • Giao diện WAN (VPN 0): interface eth0, ip address 10.1.1.1/24, tunnel-interface, allow-service all
  • Giao diện Quản trị (VPN 512): interface eth1, ip address 192.168.1.1/24, no shut

• Cấu hình vSmart:

  • System: host-name vsmart, system-ip 1.1.1.3, site-id 1000, organization-name sdwan.2
  • Giao diện WAN (VPN 0): interface eth0, ip address 10.1.1.3/24, tunnel-interface encapsulation ipsec, allow-service all
  • Giao diện Quản trị (VPN 512): interface eth1, ip address 192.168.1.3/24

• Cấu hình vBond:

  • System: host-name vbond, system-ip 1.1.1.2, site-id 1000, organization-name sdwan.2, local vbond-only
  • Giao diện WAN (VPN 0): interface ge0/0, ip address 10.1.1.2/24, tunnel-interface encapsulation ipsec, allow-service all
  • Giao diện Quản trị (VPN 512): interface eth0, ip address 192.168.1.2/24

• Cấu hình thiết bị biên (vEdge 1, 2, 3):

  • vEdge 1 (Site ID 1): system-ip 2.2.2.1, IP VPN 0: 10.1.1.4/24
  • vEdge 2 (Site ID 2): system-ip 3.3.3.1, IP VPN 0: 10.1.1.5/24
  • vEdge 3 (Site ID 3): system-ip 4.4.4.1, IP VPN 0: 10.1.1.6/24

3. Quy trình thiết lập thẩm quyền chứng chỉ số (Enterprise CA) và xác thực

Hệ thống sử dụng cơ chế xác thực chứng chỉ số (X.509 Certificate) thông qua công cụ OpenSSL trực tiếp trên vManage:

1. Khởi tạo Root CA: Truy cập console vManage qua vshell, tạo khóa riêng RSA 2048-bit (openssl genrsa -out ROOTCA.key 2048), sau đó tạo chứng chỉ gốc tự ký có thời hạn 2000 ngày: openssl req -x509 -new -nodes -key ROOTCA.key -sha256 -days 2000 -out ROOTCA.pem
2. Khai báo CA trên giao diện Web: Đăng nhập portal vManage (https://192.168.1.1:8443), cấu hình mục Controller Certificate Authorization chọn chế độ Enterprise, dán nội dung tệp ROOTCA.pem và lưu cấu hình với Organization Name sdwan.2.
3. Ký và cài đặt chứng chỉ cho vManage: Tạo yêu cầu ký chứng chỉ (CSR) trên GUI để sinh file vmanage_csr. Dùng khóa gốc ký phát hành chứng chỉ: openssl x509 -req -in vmanage_csr -CA ROOTCA.pem -CAkey ROOTCA.key -CAcreateserial -out vmanage.crt -days 2000 -sha256 Cài đặt vmanage.crt lên giao diện quản trị thành công.
4. Xác thực vBond và vSmart: Thêm thiết bị trên vManage (Configuration -> Device -> Controller), tạo file yêu cầu CSR từ giao diện, chuyển file sang console vManage để ký bằng ROOTCA.key (openssl x509...), sau đó import các tệp chứng chỉ hoàn chỉnh (vbond.crt, vsmart_crt) vào hệ thống để đưa các thiết bị vào trạng thái hoạt động chính thức.

---

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

• Hoàn thành cấu hình mạng IP kết nối đa điểm giữa các site chi nhánh, đảm bảo khả năng ping thông suốt giữa các địa chỉ IP WAN.
• Khởi tạo và đồng bộ hóa thành công mạng Fabric điều khiển gồm 3 thành phần trung tâm: vManage (Quản trị), vBond (Điều phối xác thực) và vSmart (Điều khiển định tuyến).
• Thiết lập hệ thống chứng chỉ số nội bộ (Enterprise Root CA) bằng OpenSSL, đảm bảo tính bảo mật và toàn vẹn trong quá trình trao đổi thông tin điều khiển giữa các controller.

Đóng góp của đề tài

• Hệ thống hóa đầy đủ kiến thức lý thuyết về kiến trúc phân tầng, các mặt phẳng chức năng và cơ chế tối ưu hóa QoS của công nghệ SD-WAN.
• Xây dựng bản thiết kế kỹ thuật hoàn chỉnh cho doanh nghiệp đa chi nhánh: Từ sơ đồ hiện trạng, lập bảng quy hoạch địa chỉ IP đến bảng tính kinh phí trang thiết bị chi tiết với tổng mức đầu tư 29,637 USD.
• Cung cấp tài liệu hướng dẫn từng bước (step-by-step) về việc bring-up hệ thống SD-WAN Cisco Viptela trong môi trường lab thực nghiệm.

---

Hạn chế và hướng nghiên cứu tiếp

Hạn chế

• Hệ thống thực nghiệm mới dừng lại ở việc khởi tạo và xác thực thành công các thành phần điều khiển trung tâm (vManage, vSmart, vBond) và cấu hình cơ bản thiết bị biên; chưa triển khai được toàn bộ các tính năng nâng cao do phạm vi kiến thức SD-WAN rất rộng và sự hạn chế về trang thiết bị phần cứng thực tế.

Hướng phát triển

• Tích hợp thêm các giải pháp bảo mật chuyên sâu trên nền tảng đám mây và thiết bị nhúng: Tường lửa thế hệ mới, hệ thống ngăn ngừa xâm nhập (IPS), lọc URL và tích hợp bảo mật qua Cisco Umbrella.
• Thiết lập các chính sách định tuyến nhận biết ứng dụng (Application-aware routing) chi tiết và đo lường SLA thời gian thực nhằm tối ưu hóa chất lượng dịch vụ cho nhân viên làm việc từ xa.
• Mở rộng mô hình kết nối đa đám mây thông qua giải pháp Cisco SD-WAN Cloud OnRamp for CoLocation để hợp nhất và bảo mật lưu lượng giữa nhiều trung tâm dữ liệu và chi nhánh.

---

Giá trị tham khảo

Đồ án là tài liệu tham khảo phù hợp cho:

• Sinh viên chuyên ngành Kỹ thuật Mạng, An toàn Thông tin và Công nghệ Thông tin đang thực hiện đồ án chuyên ngành hoặc khóa luận tốt nghiệp liên quan đến mạng định nghĩa bằng phần mềm (SDN/SD-WAN).
• Kỹ sư mạng, quản trị viên hệ thống mạng doanh nghiệp cần tài liệu tham khảo về quy trình cấu hình bring-up các bộ điều khiển Cisco SD-WAN (Viptela) và phương pháp tạo thẩm quyền chứng chỉ số nội bộ bằng OpenSSL.

---

Câu hỏi thường gặp

1. Kiến trúc Cisco SD-WAN gồm những mặt phẳng nào và nhiệm vụ của từng mặt phẳng là gì?

Kiến trúc Cisco SD-WAN gồm 4 mặt phẳng chính:

• Orchestration Plane (vBond): Điểm xác thực ban đầu, điều phối liên kết giữa các controller và router biên.
• Management Plane (vManage): Giao diện quản trị tập trung (GUI/API), tạo chính sách mạng, cấu hình thiết bị và quản lý chứng chỉ.
• Control Plane (vSmart): Điều khiển thông tin định tuyến, phân phối các chính sách mạng và nhận biết ứng dụng xuống data plane.
• Data Plane (vEdge/cEdge): Các bộ định tuyến biên tại chi nhánh thực hiện chuyển tiếp dữ liệu và mã hóa lưu lượng bằng IPsec.

2. Tại sao vBond Orchestrator bắt buộc phải có địa chỉ IP Public hoặc hỗ trợ NAT?

vBond là điểm tiếp xúc đầu tiên (First Point of Authentication) mà tất cả các thiết bị trong Fabric (vManage, vSmart, vEdge) phải kết nối tới để được xác thực khi tham gia vào hệ thống. Do đó, vBond phải có IP Public tĩnh hoặc cấu hình NAT hợp lệ để mọi thiết bị từ các vị trí mạng khác nhau đều có thể định tuyến và nhìn thấy.

3. Cơ chế Cloud onRamp for SaaS tối ưu hóa đường truyền như thế nào?

Cloud onRamp for SaaS liên tục giám sát chất lượng tất cả các kết nối mạng WAN từ văn phòng chi nhánh đến các ứng dụng đám mây (như Office 365, Salesforce). Mỗi đường dẫn được hệ thống đánh giá theo điểm số "chất lượng trải nghiệm" (QoE) từ 0 đến 10 (10 là tối ưu nhất), từ đó tự động đưa ra quyết định chuyển tiếp lưu lượng theo thời gian thực trên đường truyền có hiệu năng cao nhất.

4. Quy trình xác thực bảo mật giữa các Controller trong đồ án được thực hiện ra sao?

Tác giả sử dụng vManage đóng vai trò là Enterprise Certificate Authority (CA). Quá trình diễn ra gồm: khởi tạo cặp khóa RSA 2048-bit và chứng chỉ gốc ROOTCA.pem (thời hạn 2000 ngày) bằng OpenSSL; khai báo CA lên vManage; sau đó tạo các tệp yêu cầu ký chứng chỉ (CSR) cho từng thiết bị (vManage, vBond, vSmart), thực hiện ký số bằng ROOTCA.key trên console và cài đặt chứng chỉ phát hành (.crt) lên từng thiết bị để hoàn tất xác thực liên kết Fabric.

5. Dự toán chi phí phần cứng được đề xuất cho mô hình doanh nghiệp trong đồ án là bao nhiêu?

Tổng kinh phí phần cứng đề xuất cho hệ thống 4 điểm kết nối là 29,637 USD, bao gồm: 4 Router Cisco ISR4321/K9 (9,480 USD), 4 Firewall Fortinet FortiGate 240D (15,200 USD), 3 Switch Cisco SG250-50P-K9-EU (3,300 USD) và 1 Switch Cisco Catalyst 3560X-24T (1,657 USD).

---

Kết luận

Đồ án chuyên ngành "Tìm hiểu và triển khai SD-WAN" của sinh viên Nguyễn Hữu Bình đã phân tích toàn diện cơ sở lý luận và các thành phần cốt lõi của công nghệ mạng diện rộng định nghĩa bằng phần mềm Cisco SD-WAN (Viptela). Thông qua việc đánh giá hiện trạng mạng MPLS của doanh nghiệp, tác giả đã thiết kế phương án nâng cấp hạ tầng mạng với bảng quy hoạch IP và dự toán phần cứng rõ ràng. Điểm nổi bật của đề tài là việc thực hiện thành công quy trình tạo thẩm quyền chứng chỉ số nội bộ và kích hoạt (bring-up) an toàn hệ thống điều khiển trung tâm (vManage, vSmart, vBond).

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TỔNG QUAN VỀ SD-WAN Trong chương này sẽ giới thiệu tổng quan về công nghệ SD-WAN - một giải pháp mạng đang ngày càng được ưa chuộng trong các doanh nghiệp hiện đại. Đồng thời cũng trình bày các phương pháp nghiên cứu và những đóng góp chính. Bố cục cũng được giới thiệu cho người đọc cái nhìn khái quát trước khi đi vào chi tiết.

Chúng ta sẽ tìm hiểu về lợi ích mà SD-WAN mang lại, cũng như cách thức hoạt động và các yếu tố cần xem xét khi triển khai SD-WAN trong một môi trường doanh nghiệp. Giới về SD-WAN 1. Định Nghĩa SD-WAN được viết tắt của cụm từ Software-Defined Wide-Area-Network được định nghĩa là kiến trúc WAN ảo cho phép doanh nghiệp kết nối người dùng với ứng dụng một cách an toàn và hiệu quả. Giải pháp công nghệ này mang lại sự linh hoạt và tiết kiệm chi phí vô song cho việc kết nối mạng.

Với SD-WAN, các tổ chức có thể cung cấp các ứng dụng phản hồi nhanh hơn, dễ dự đoán hơn với chi phí thấp hơn trong thời gian ngắn hơn so với các dịch vụ MPLS được quản lý mà doanh nghiệp thường sử dụng. CNTT trở nên linh hoạt hơn rất nhiều, triển khai các trang web trong vài phút; tận dụng mọi dịch vụ dữ liệu có sẵn như MPLS , truy cập Internet chuyên dụng (DIA), băng thông rộng hoặc không dây; có thể cấu hình lại các trang web ngay lập tức; và hỗ trợ di chuyển sang đám mây lai dễ dàng hơn. SD-WAN thực hiện điều này bằng cách tách các ứng dụng khỏi các dịch vụ mạng cơ bản bằng lớp phủ ảo dựa trên chính sách. Lớp phủ này giám sát các đặc tính hiệu suất thời gian thực của các mạng cơ bản và chọn mạng tối ưu cho từng ứng dụng dựa trên chính sách cấu hình.

1 Hình 1 SD-WAN 1. Lịch sử phát triển SD-WAN 1.0: Đói băng thông Giai đoạn đầu tiên của quá trình phát triển SD-WAN tập trung vào việc giải quyết các vấn đề về tính khả dụng và băng thông chặng cuối. Các liên kết MPLS mới đắt tiền và cung cấp chậm, đồng thời việc sử dụng bản sao lưu trên Internet có nghĩa là bản sao lưu chỉ được sử dụng trong trường hợp ngừng hoạt động. Bằng cách sử dụng liên kết liên kết, tiền thân SD-WAN có thể kết hợp nhiều loại kết nối khác nhau ở cấp liên kết, cải thiện băng thông ở chặng cuối.0: Sự trỗi dậy của các công ty khởi nghiệp SD-WAN Hạn chế của liên kết liên kết là nó chỉ cải thiện hiệu suất ở chặng cuối.

Để đạt được hiệu suất được cải thiện trên toàn mạng WAN cần có nhận thức định tuyến trong suốt đường dẫn. Các giải pháp SD-WAN ban đầu cung cấp tính năng chuyển đổi dự phòng/dự phòng ảo hóa và định tuyến nhận biết ứng dụng. Với định tuyến nhận biết ứng dụng, SD-WAN có thể không còn phụ thuộc hoàn toàn vào các liên kết MPLS và định tuyến lưu lượng truy cập một cách tối ưu dựa trên loại ứng dụng.0: Vươn tầm Giai đoạn mới nhất của quá trình phát triển SD-WAN tập trung vào việc vượt ra ngoài các địa điểm chi nhánh mạng. Khi các tổ chức ngày càng chuyển tài nguyên sang đám mây, SD-WAN cung cấp giải pháp kết nối an toàn các hoạt động triển khai đám mây này với mạng WAN của doanh nghiệp.

Đặc điểm của SD WAN Khả năng kết nối nhiều loại như Frame relay, MPLS và không dây LTE cao hơn. Tự động lựa đường dẫn động để chia sẻ hay tải về và các hành động khác. Giao điện đẹp hơn. Cấu hình dễ dàng, đơn giản, quản lý ổn định.

Khả năng hỗ trợ VPN và các dịch vụ bên thứ ba như tối ưu hóa WAN, cổng Web, Firewall,… 1. So sánh SD-WAN và MPLS Dưới đây là một bảng để so sánh SD-WAN và MPLS theo các tiêu chí khác nhau: Tiêu chí SD-WAN MPLS Phụ thuộc vào Internet Đảm bảo bằng các liên công cộng, có thể bị ảnh kết chuyên dụng, không Độ tin cậy hưởng bởi các yếu tố bị ảnh hưởng bởi bên ngoài Internet công cộng Có thể ưu tiên các loại Có thể xác định các lớp lưu lượng nhất định, dịch vụ ưu tiên các loại Chất lượng dịch vụ nhưng không đảm bảo lưu lượng nhất định và hiệu suất đảm bảo hiệu suất Cung cấp bảo mật bằng Cung cấp bảo mật ở cấp các liên kết WAN độ phần mềm, có thể bị Bảo mật chuyên dụng, không bị lỗ hổng phần mềm và ảnh hưởng bởi Internet các mối đe dọa mạng công cộng Tiết kiệm chi phí hơn Tốn kém hơn nhiều so Chi phí nhiều so với việc có các với việc sử dụng Internet liên kết chuyên dụng công cộng Không cung cấp các tùy Cung cấp khả năng hiển chọn tự quản lý hoặc Khả năng hiển thị và thị và kiểm soát các ứng đồng quản lý, do công ty kiểm soát ứng dụng dụng chạy qua mạng viễn thông quản lý hoàn toàn Có khả năng thích ứng Có thể bị ảnh hưởng xấu với nhiều điều kiện bởi việc ngừng hoạt Tính khả dụng mạng khác nhau và tránh động của các liên kết tình trạng ngừng hoạt chuyên dụng động mạng Cứng nhắc hơn và yêu Linh hoạt hơn và có khả cầu phiếu dịch vụ với năng thích ứng tốt hơn Tính linh hoạt và khả công ty viễn thông để với những thay đổi khi năng mở rộng thay đổi mạng hoặc yêu các yêu cầu về mạng và cầu tăng trưởng công kinh doanh phát triển suất Quản lý Được quản lý trên nền Được quản lý bởi công 3 tảng đám mây và cung ty viễn thông và không cấp chế độ xem mạng cung cấp chế độ xem tập trung mạng tập trung Cung cấp khả năng hiển Cung cấp khả năng QoS, thị chi tiết của mạng và nhưng thiếu khả năng Kiểm soát xác định các quy tắc và kiểm soát chi tiết như chính sách dành riêng SD-WAN cho ứng dụng Không được thiết kế để Giúp dễ dàng cung cấp cung cấp dịch vụ đám kết nối giữa các vị trí chi mây, buộc các tổ chức Hỗ trợ đám mây nhánh và trung tâm dữ phải chuyển lưu lượng liệu đám mây truy cập qua trung tâm dữ liệu của công ty Cần triển khai một giải Cũng cần triển khai một pháp bảo mật mạng giải pháp bảo mật mạng Bảo mật nâng cao riêng biệt để đảm bảo riêng biệt để đảm bảo rằng mọi lưu lượng truy rằng mọi lưu lượng truy cập đều được bảo vệ cập đều được bảo vệ Bảng 1. So Sánh SD-WAN và MPLS 1. Tính năng nổi bật của SD WAN 1.

Tính năng tự phục hồi Khi mạng bị chết hay mất liên kết, lúc đó sẽ phát hiện khoảng thời gian thực của sự cố mạng đó, sau đó tự động chuyển sang liên kết khác. Tính bảo mật cao Thường bảo mật bằng cách dùng Ipsec. Đây là một trong các yếu tố quan trọng của WAN. Tối ưu hóa các ứng dụng 1.

SD WAN cải thiện ứng dụng bằng việc dùng bộ nhớ đệm hay lưu trữ thông tin truy cập thời điểm gần đây ở bộ nhớ để có thể tăng tốc độ truy cập sau này. Tùy chọn để triển khai Hầu hết các SD WAN đều sẵn có như các thiết bị được định cấu hình sẵn, được đặt tại rìa mạng trong các trung tâm dữ liệu, văn phòng chi nhánh, các địa điểm khác. Ngoài ra còn có các thiết bị ảo hoạt động trên phần cứng mạng hiện có hay thiết bị này được triển khai dưới một thiết bị ảo trên đám mây trong các môi trường. Điều này cho phép các công ty doanh nghiệp hưởng lợi từ dịch vụ SD WAN khi họ di chuyển phân phối ứng dụng từ máy chủ công ty sang dịch vụ dựa trên đám mây 1.

Lợi ích và hạn chế của SD-WAN 1.1 Lợi ích 4 Bởi vì SD-WAN kết hợp các dịch vụ mạng cơ bản của nhiều mạng WAN với nhau, nó có thể sử dụng bất kỳ dịch vụ nào trong số đó để đạt được tối ưu hóa hiệu suất của từng ứng dụng. Các dịch vụ này bao gồm cơ sở hạ tầng vật lý như dịch vụ vận chuyển, dung lượng băng thông và các tính năng bảo mật như cài đặt tường lửa. Cài đặt tối ưu hóa cho từng ứng dụng được xác định bằng cách giám sát hiệu suất ứng dụng và được cấu hình thông qua cài đặt chính sách. Do SD-WAN tồn tại dưới dạng một lớp ảo hóa, nó cung cấp một số lợi thế so với mạng WAN truyền thống, bao gồm: - Rất phù hợp để quản lý mạng lai: SD-WAN cung cấp cho nhân viên CNTT khả năng quản lý các kết nối mạng lai phức tạp bao gồm các trung tâm dữ liệu riêng, đám mây công cộng và thiết bị biên.

Việc kiểm soát tập trung môi trường lai này rất quan trọng đối với các sáng kiến chuyển đổi kỹ thuật số yêu cầu ảo hóa và áp dụng đám mây công cộng - Agility: SD-WAN đơn giản hóa việc quản lý mạng, cho phép nhân viên CNTT giám sát và điều chỉnh lưu lượng truy cập một cách hiệu quả trong thời gian thực để đáp ứng nhanh hơn với nhu cầu kinh doanh. Ngoài ra, việc quản lý đơn giản này cũng cho phép cung cấp tài nguyên mạng nhanh hơn thông qua cung cấp không chạm (ZTP), một tính năng SD-WAN được sử dụng để cấu hình tự động các thiết bị mạng - Hiệu quả và tiết kiệm chi phí: Công nghệ SD-WAN loại bỏ sự cần thiết của nhiều nhiệm vụ vật lý, chẳng hạn như phải đến thăm hoặc cử nhân viên CNTT đến vị trí địa lý của mạng WAN nơi điều khiển của nó cư trú. Điều này dẫn đến chi phí thấp hơn và hiệu quả cao hơn trong việc quản lý mạng. SD-WAN cũng cho phép sử dụng tốt hơn các tài nguyên hiện có.

Ví dụ: một nhân viên CNTT duy nhất có thể sử dụng lớp phần mềm SD-WAN để chuyển lưu lượng truy cập không quan trọng sang các dịch vụ vận chuyển hiệu quả về chi phí hoặc truyền lưu lượng truy cập quan trọng / nhạy cảm thông qua các kết nối MPLS an toàn - Các ứng dụng hiệu suất cao và trải nghiệm người dùng được cải thiện: Thông qua giám sát hiệu suất được thực hiện trong lớp SD-WAN, nhân viên CNTT có thể xác định cài đặt mạng tối ưu cho từng ứng dụng. Sau đó, nhân viên CNTT có thể chuyển hướng lưu lượng truy cập đến các dịch vụ vận chuyển thích hợp và điều chỉnh cài đặt mạng để giảm độ trễ của ứng dụng và cải thiện tính khả dụng cho người dùng cuối. Ví 5 dụ: tài nguyên mạng có thể được cấu hình làm tùy chọn chuyển đổi dự phòng nếu tài nguyên mà ứng dụng quan trọng đang sử dụng đột nhiên không khả dụng.