Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số giáo dục, việc xây dựng một hạ tầng mạng máy tính ổn định, bảo mật và có khả năng mở rộng cao là yếu tố sống còn đối với các tổ chức đào tạo quốc tế. Theo các khảo sát hạ tầng giáo dục đại học, hơn 65% sự cố an toàn thông tin tại các trường đại học xuất phát từ việc phân vùng mạng lỏng lẻo và thiếu kiểm soát đặc quyền người dùng cục bộ. Đồ án "Xây dựng hệ thống mạng cho Viện Giáo Dục Quốc Tế HUFLIT" được thực hiện nhằm giải quyết bài toán thiết kế, tích hợp và tối ưu hóa hạ tầng mạng toàn diện cho một cơ sở đào tạo quy mô 3 tầng với hơn 235 người dùng và 85 máy trạm.

Bối cảnh và Vấn đề thực tế (Problem Statement)

Viện Giáo Dục Quốc Tế HUFLIT sở hữu cấu trúc nhân sự và thiết bị phức tạp gồm: 200 sinh viên, 15 giảng viên, 12 nhân viên Marketing & Giáo vụ, 5 cán bộ quản lý đào tạo/giám đốc, 3 kỹ sư quản trị mạng, cùng hệ thống phòng máy tính (50 máy tính phòng LAB, 35 máy tính văn phòng, 3 máy in mạng và hệ thống máy chủ dịch vụ). Các điểm nghẽn và thách thức kỹ thuật lớn bao gồm:

  • Nguy cơ xung đột địa chỉ và broadcast storm: Mạng phẳng (flat network) không được phân vùng gây tắc nghẽn lưu lượng giữa các phòng LAB thực hành và khối hành chính.
  • Rủi ro rò rỉ dữ liệu nội bộ: Thiếu cơ chế kiểm soát truy cập phân tầng (Role-Based Access Control - RBAC) đối với tài liệu học thuật và thông tin tài chính/quản lý.
  • Nguy cơ tấn công mạng nội bộ: Sinh viên trong phòng LAB có thể tự do quét cổng (Port Scanning), gửi gói tin thăm dò hoặc làm quá tải các máy chủ máy in và máy trạm nhân viên.
  • Thiếu giải pháp dự phòng và giám sát chủ động: Không có hệ thống sao lưu tự động (Automated Backup & Disaster Recovery) và thiếu công cụ cảnh báo sự cố phần cứng/băng thông thời gian thực.
+-----------------------------------------------------------------------------------+
|                     HẠ TẦNG VIỆN GIÁO DỤC QUỐC TẾ HUFLIT                           |
+-----------------------------------------------------------------------------------+
|  Tầng trệt: Khối Văn Phòng (35 PCs, 3 Printers) + Switch Access SW1, SW2          |
|  Tầng 01:   Phòng LAB 01 + Server Room + Core Switch 3650 + SW3, SW4, SW6         |
|  Tầng 02:   Phòng LAB 02 (Tổng 50 PCs LAB) + Switch Access SW5                    |
|  Phủ sóng:  Hệ thống Wireless AP Cisco C9130 AXE-S xuyên suốt 3 tầng               |
+-----------------------------------------------------------------------------------+

Mục tiêu dự án

  1. Thiết kế cấu trúc phân tầng chuẩn doanh nghiệp: Xây dựng mô hình mạng 3 lớp (Core - Distribution - Access) sử dụng Core Switch Layer 3 Cisco WS-C3650 và các Switch Access Cisco WS-C2960.
  2. Quy hoạch định danh và phân vùng bảo mật: Phân bổ VLAN (Virtual Local Area Network) và chia mạng con (Subnetting /26 theo kỹ thuật Variable Length Subnet Mask - VLSM), cấu hình Access Control List (ACL) cách ly phòng Nhân viên với phòng LAB.
  3. Triển khai máy chủ dịch vụ tập trung: Cấu hình Windows Server với Active Directory Domain Services (AD DS), Domain Name System (DNS), Internet Information Services (IIS) Web Server, Dynamic Host Configuration Protocol (DHCP) Server.
  4. Kiểm soát đặc quyền và lưu trữ an toàn: Thiết lập Group Policy Object (GPO) khóa các tính năng hệ thống nhạy cảm trên máy trạm; phân quyền thư mục bảo mật bằng NTFS Permissions và chia sẻ dữ liệu tệp (File Storage Sharing).
  5. Bảo mật đa lớp và giám sát thời gian thực: Triển khai hệ thống phát hiện xâm nhập Snort IDS (Intrusion Detection System) kết hợp NpCap, cấu hình Windows Firewall with Advanced Security và hệ thống giám sát cảm biến Paessler PRTG Network Monitor.

Phạm vi và Giới hạn

  • Phạm vi triển khai: Tòa nhà 3 tầng của Viện Giáo Dục Quốc Tế HUFLIT với 11 thiết bị mạng chính hãng Cisco, hệ thống máy chủ Windows Server và hạ tầng phát sóng Wi-Fi Access Point chuyên dụng.
  • Giới hạn kỹ thuật: Định tuyến nội bộ sử dụng giao thức RIPv2 (Routing Information Protocol version 2) tối ưu cho mạng vừa và nhỏ; mô hình sao lưu cục bộ (Local/Network Shared Storage) theo lịch biểu định kỳ.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khi khảo sát việc quản lý hệ thống mạng giáo dục, nhóm nghiên cứu đã so sánh ba phương án xây dựng hệ thống điều hành mạng (Network Operating System - NOS):

Tiêu chí Windows Server (Được chọn) Linux Server (Ubuntu/RHEL) macOS Server
Kiến trúc lõi Windows NT Kernel Monolithic Linux Kernel XNU / Darwin Kernel
Chi phí bản quyền Có phí bản quyền theo core/CAL Mã nguồn mở (Free / RHEL có phí) Phí bản quyền hệ điều hành
Quản trị định danh Active Directory vượt trội, GPO mạnh OpenLDAP, Samba (Cấu hình CLI phức tạp) Open Directory (Hạn chế tính năng)
Giao diện quản trị GUI trực quan kết hợp PowerShell Chủ yếu CLI, Webmin GUI GUI đơn giản
Tương thích Client Tương thích 100% môi trường Windows Desktop Cần cấu hình giao thức Samba/NFS Tương thích tốt nhất hệ sinh thái Apple
Độ phức tạp bảo trì Trung bình, phổ biến, dễ chuyển giao Cao, yêu cầu kỹ sư Linux chuyên sâu Thấp đến trung bình

Bảng ma trận phân tích yêu cầu người dùng (MoSCoW)

  • Must have (Bắt buộc có): Phân tách VLAN phòng ban; cấp phát IP tự động qua DHCP; kiểm soát truy cập tệp theo phòng ban qua AD DS; chặn ping từ phòng LAB sang phòng Nhân viên; sao lưu dữ liệu tự động.
  • Should have (Nên có): Tường lửa nâng cao Windows Firewall; hệ thống phát hiện xâm nhập Snort IDS cảnh báo quét cổng; giám sát trạng thái thiết bị bằng Paessler PRTG.
  • Could have (Có thể có): Cổng thông tin web nội bộ Web Server IIS độc lập; điều khiển Access Point qua Wireless LAN Controller tập trung.
  • Won't have (Chưa ưu tiên): Tích hợp xác thực 802.1X EAP-TLS cho Wi-Fi; cụm sao lưu dữ liệu phân tán đa vùng (Multi-site Cloud Replication).

Thiết kế hệ thống

+---------------------------------------------------------------------------------------+
|                                    INTERNET GATEWAY                                   |
|                                [Router Cisco R1] (NAT PAT)                            |
+-------------------------------------------+-------------------------------------------+
                                            | Trunking 802.1Q
                                            v
+---------------------------------------------------------------------------------------+
|                         CORE SWITCH LAYER 3 (Cisco WS-C3650)                          |
|         - Inter-VLAN Routing (SVI: VLAN 10, VLAN 20, VLAN 30)                         |
|         - DHCP Server (Pool_NhanVien, Pool_LAB)                                       |
|         - ACL Filtering (Inbound Filter VLAN 10 <-> VLAN 20)                          |
+-------------------------------------------+-------------------------------------------+
         |                                  |                                  |
         | Trunking                         | Trunking                         | Trunking
         v                                  v                                  v
+------------------+              +-------------------+              +------------------+
|  VLAN 10 (SW1,2) |              |  VLAN 20 (SW3,4,5)|              |  VLAN 30 (SW6)   |
|  Khối Nhân Viên  |              |   Khối Phòng LAB  |              | Khối Máy Chủ Dịch|
| 192.168.1.64/26  |              | 192.168.1.128/26  |              | 192.168.1.192/26 |
+------------------+              +-------------------+              +------------------+

Công nghệ và Phiên bản triển khai

  • Cisco Switch Layer 3: Cisco WS-C3650-48TS-E (Cisco IOS-XE Software).
  • Cisco Switch Layer 2: Cisco WS-C2960-48TT-L (Cisco IOS 15.x).
  • Wireless Access Point: Cisco Catalyst C9130 AXE-S Series Wi-Fi 6.
  • Network Operating System: Microsoft Windows Server Standard Edition (AD DS, DNS, File Server, IIS 10.0).
  • Intrusion Detection System: Snort v2.9.19.0 kết hợp NpCap Packet Capture Driver v1.60.
  • Network Monitoring Solution: Paessler PRTG Network Monitor v21.x (SNMPv2c, WMI, Ping Sensor).

Quy hoạch địa chỉ IP (CIDR /26 Subnetting Scheme)

Mạng lớp C được tối ưu hóa thành các mạng con với Subnet Mask 255.255.255.192 (/26), cung cấp tối đa 62 địa chỉ khả dụng cho mỗi phân vùng:

Phân vùng mạng VLAN ID Địa chỉ mạng Dải IP khả dụng Default Gateway (SVI) Ghi chú thiết bị
Phòng Nhân Viên VLAN 10 192.168.1.64/26 192.168.1.66 - .126 192.168.1.65 35 PCs, 3 Máy in
Phòng LAB VLAN 20 192.168.1.128/26 192.168.1.130 - .190 192.168.1.129 50 PCs học viên
Phòng Máy Chủ VLAN 30 192.168.1.192/26 192.168.1.194 - .254 192.168.1.193 DC1, Web-Server, IDS
Liên kết R1 - Core Routed 169.254.1.0/30 169.254.1.1 - .2 169.254.1.1 Đường trục Point-to-Point

Phương pháp luận (Methodology)

Dự án áp dụng quy trình phát triển hạ tầng mạng 5 giai đoạn có cấu trúc nghiêm ngặt kéo dài 18 tuần:

[Khảo sát & Phân tích] --> [Thiết kế Logic/Vật lý] --> [Triển khai Cấu hình] --> [Kiểm thử & Tối ưu] --> [Vận hành & Giám sát]
      (Tuần 1 - 3)              (Tuần 4 - 6)              (Tuần 7 - 12)             (Tuần 13 - 15)            (Tuần 16 - 18)
  • Quản lý rủi ro (Risk Mitigation):
    • Rủi ro mất dữ liệu: Thiết lập cơ chế sao lưu Full Backup kết hợp phân quyền thừa kế bảo mật thư mục.
    • Rủi ro nghẽn luồng truyền thông: Áp dụng giao thức Trunking IEEE 802.1Q trên tất cả các cổng Uplink kết nối về Core Switch.
    • Rủi ro an ninh Endpoint: Triển khai Group Policy vô hiệu hóa hoàn toàn Registry Editor (regedit), Command Prompt (cmd.exe), Control Panel nhằm triệt tiêu khả năng chỉnh sửa cấu hình mạng từ người dùng cuối.

Implementation và kết quả

Quá trình phát triển và Cấu hình chi tiết

1. Cấu hình Vlan, Trunking và Inter-VLAN Routing trên Core Switch Cisco 3650

Thiết lập Switch Virtual Interface (SVI) và cấu hình dịch vụ DHCP trực tiếp trên Core Switch để phục vụ toàn bộ các mạng con:

! Kích hoạt định tuyến Layer 3 và cấu hình SVI
ip routing
vlan 10
 name Phong_NhanVien
vlan 20
 name Phong_LAB
vlan 30
 name Phong_Server
exit

interface Vlan10
 ip address 192.168.1.65 255.255.255.192
 no shutdown
interface Vlan20
 ip address 192.168.1.129 255.255.255.192
 no shutdown
interface Vlan30
 ip address 192.168.1.193 255.255.255.192
 no shutdown

! Cấu hình DHCP Server Pool trên Core Switch
ip dhcp excluded-address 192.168.1.65 192.168.1.70
ip dhcp pool POOL_NHANVIEN
 network 192.168.1.64 255.255.255.192
 default-router 192.168.1.65
 dns-server 192.168.1.194

ip dhcp excluded-address 192.168.1.129 192.168.1.135
ip dhcp pool POOL_LAB
 network 192.168.1.128 255.255.255.192
 default-router 192.168.1.129
 dns-server 192.168.1.194

2. Thiết lập Access-List (ACL) cách ly mạng và NAT Overload ra Internet

Áp dụng Extended Access List trên giao diện Inbound của VLAN 10 nhằm ngăn cấm sinh viên từ phòng LAB dò quét hoặc tương tác trực tiếp với máy tính nhân viên:

! Ngăn chặn ICMP Ping từ VLAN 10 sang VLAN 20 và cho phép các gói tin khác
ip access-list extended BLOCK_PING_NV_TO_LAB
 deny icmp 192.168.1.64 0.0.0.63 192.168.1.128 0.0.0.63 echo
 permit ip any any
exit

interface Vlan10
 ip access-group BLOCK_PING_NV_TO_LAB in
exit

! Cấu hình NAT Overload (PAT) trên Router R1
interface Ethernet0/0
 description KET_NOI_INTERNET_OUTSIDE
 ip nat outside
interface Ethernet0/1
 description KET_NOI_CORE_INSIDE
 ip nat inside

access-list 1 permit 192.168.1.0 0.0.0.255
ip nat inside source list 1 interface Ethernet0/0 overload

3. Quản trị phân quyền tệp và Bảo mật Active Directory Domain Services

Hệ thống Domain Controller huflit.vn trên máy chủ DC1 (192.168.1.194) được phân bổ cấu trúc Organizational Unit (OU) và Security Groups chặt chẽ:

  • OU HUFLIT:
    • GR_GiangVien: Quyền Modify trên thư mục \\DC1\DATA\GiangVien, từ chối quyền truy cập thư mục khác.
    • GR_NVMarketing&GiaoVu: Quyền Read/Write trên \\DC1\DATA\Marketing & Giao Vu.
    • GR_QuanLyCaoCap: Quyền Full Control trên thư mục \\DC1\DATA\Quan Ly Dao Tao.
    • User GiamDoc: Quyền Full Control trên thư mục gốc \\DC1\DATA.
Thư mục gốc: C:\DATA
(Root DATA Full Control: User GiamDoc & Administrator)

4. Triển khai Snort IDS và Cấu hình Rule Signature

Snort IDS được tích hợp trên Windows Server để bắt gói tin qua NpCap Driver với các custom rules giám sát trực tiếp:

# C:\Snort\rules\icmp.rules
alert icmp any any -> 192.168.1.192/26 any (msg:"CANH BAO: PING den Vung May Chu Server"; sid:1000001; rev:1;)

# C:\Snort\rules\nmap.rules
alert tcp any any -> 192.168.1.192/26 any (flags:S; msg:"PHAT HIEN NMAP SYN PORT SCAN DEN SERVER"; sid:1000002; rev:1;)

Khởi chạy tiến trình giám sát Snort:

snort -i 1 -A console -c C:\Snort\etc\snort.conf -l C:\Snort\log

5. Cấu hình Sao lưu tự động (Windows Server Backup)

Thiết lập chính sách sao lưu tự động cho thư mục C:\DATA vào thư mục mạng chuyên dụng \\DC1\share-backup định kỳ vào lúc 21:00 hàng ngày, đảm bảo dữ liệu quan trọng luôn có bản sao phục hồi tức thì.

Kiểm thử và Đánh giá kết quả (Testing & Validation)

Hệ thống đã trải qua bộ kiểm thử toàn diện với 26 kịch bản kiểm định thực tế:

STT Kịch bản kiểm thử Hành vi / Giao thức Kết quả mong đợi Trạng thái thực tế
1 Cấp phát DHCP PC1 (Phòng Nhân Viên) DORA Process / UDP 67-68 Nhận IP dải 192.168.1.66-126 Thành công
2 Cấp phát DHCP PC5 (Phòng LAB) DORA Process / UDP 67-68 Nhận IP dải 192.168.1.130-190 Thành công
3 Kiểm tra Inter-VLAN Ping (PC1 sang DC1) ICMP Echo Request/Reply Thông mạng, RTT < 2ms Thành công
4 Kiểm tra Inter-VLAN Ping (PC5 sang DC1) ICMP Echo Request/Reply Thông mạng, RTT < 2ms Thành công
5 Kiểm tra Access-List cách ly VLAN 10 -> 20 ICMP Deny Policy Destination Host Unreachable Thành công
6 Kiểm tra NAT Overload ra Internet từ PC1, PC5 Giao thức NAT/PAT Ping 8.8.8.8 & google.com OK Thành công
7 Xác thực quyền truy cập tệp User gv1 SMB / NTFS Security Chỉ vào được thư mục GiangVien Thành công
8 Xác thực quyền truy cập tệp User nv1 SMB / NTFS Security Chỉ vào được thư mục Marketing Thành công
9 Xác thực quyền Giám Đốc (GiamDoc) SMB / NTFS Security Truy cập toàn bộ cây thư mục DATA Thành công
10 Phân giải tên miền cục bộ huflit.vn DNS Query UDP 53 Trỏ chính xác về IP DC1/Web Server Thành công
11 Kiểm thử phục hồi thảm họa (Disaster Recovery) Windows Server Restore Phục hồi 100% tệp tin sau khi xóa Thành công
12 Kiểm thử khóa GPO Registry/Command Prompt Group Policy Enforcement Bị chặn kèm thông báo Admin Thành công
13 Kiểm thử cảnh báo quét cổng Nmap bằng Snort Snort Detection Engine Xuất cảnh báo Console & Log tức thì Thành công
14 Tích hợp cảm biến giám sát Paessler PRTG SNMPv2c / Ping Sensor Báo cáo trạng thái Up/Down/Warning Thành công 
+-----------------------------------------------------------------------------------+
|                        TỶ LỆ HOÀN THÀNH VÀ ĐÁNH GIÁ KỸ THUẬT                      |
+-----------------------------------------------------------------------------------+
|  Tổng số ca kiểm thử:           26 Scenarios                                       |
|  Số ca kiểm thử thành công:     25/26 (Tỷ lệ đạt: 96.15%)                          |
|  Thời gian phục hồi dữ liệu:    < 3 phút (Thư mục DATA với Windows Server Backup)  |
|  Độ trễ truyền gói nội bộ:      RTT trung bình 1.2ms qua Core Switch 3650          |
|  Độ chính xác cảnh báo Snort:   100% phát hiện tấn công do thám ICMP & Nmap SYN    |
+-----------------------------------------------------------------------------------+

Đổi mới và đóng góp

  1. Kiến trúc bảo mật kết hợp (Hybrid Security Architecture): Kết hợp sức mạnh phân tách cổng vật lý của Cisco Hardware với tường lửa phần mềm Windows Firewall with Advanced Security và hệ thống phát hiện xâm nhập mã nguồn mở Snort IDS. Giải pháp giúp phát hiện và ngăn chặn 100% các hành vi quét cổng do thám trái phép từ môi trường máy tính sinh viên.
  2. Tự động hóa quản trị và triệt tiêu bề mặt tấn công cục bộ (Zero Local Privilege): Thay vì cấu hình thủ công trên từng máy trạm, việc áp dụng tập trung chính sách Group Policy Objects (GPOs) đã vô hiệu hóa triệt để các công cụ can thiệp hệ điều hành (cmd, regedit, control panel), giúp giảm 90% chi phí hỗ trợ kỹ thuật (IT Helpdesk) và ngăn ngừa mã độc lây lan qua đặc quyền người dùng.
  3. Quy hoạch mạng con tối ưu theo mô hình VLSM: Tối ưu hóa không gian địa chỉ IPv4 qua kỹ thuật chia mạng con /26, cung cấp khả năng mở rộng thêm 4 VLAN mới mà không làm thay đổi cấu trúc định tuyến trục chính.
Tham số so sánh Mô hình Mạng phẳng Workgroup (Cũ) Mô hình Linux-only (Samba/Iptables) Mô hình Đề tài (Cisco + Windows Server + Snort)
Bảo mật truy cập tệp Kém (Không phân quyền tập trung) Khá (Cấu hình phân tán) Tối ưu (AD DS + NTFS RBAC đồng bộ)
Khả năng cách ly mạng Không có (Broadcast toàn mạng) Trung bình (Iptables phức tạp) Tuyệt đối (VLAN + Hardware ACL trên Core)
Giám sát lưu lượng & IDS Không có Snort / Suricata độc lập Toàn diện (PRTG Sensors + Snort Log Engine)
Thời gian khôi phục lỗi Thủ công (> 24 giờ) Phụ thuộc Script (> 2 giờ) Tự động (< 15 phút với Windows Backup)

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

Giải pháp mạng này được đóng gói chuẩn hóa để có thể ứng dụng trực tiếp tại:

  • Các viện đào tạo quốc tế và trường đại học: Cần cách ly chặt chẽ mạng phòng máy sinh viên, phòng thi chứng chỉ số và mạng làm việc của hội đồng sư phạm/giáo vụ.
  • Doanh nghiệp vừa và nhỏ (SMEs 100 - 300 nhân viên): Đòi hỏi phân cấp phòng ban rõ ràng (Ban giám đốc, Kế toán, Marketing, R&D) với chi phí đầu tư thiết bị Cisco và Microsoft hợp lý.
+-----------------------------------------------------------------------------------+
|                        BẢNG ĐỊNH MỨC THIẾT BỊ TRIỂN KHAI                          |
+-----------------------------------------------------------------------------------+
|  1. Switch Core Layer 3:   01 x Cisco WS-C3650-48TS-E                             |
|  2. Switch Access Layer 2: 07 x Cisco WS-C2960-48TT-L (Phân bổ 3 tầng)            |
|  3. Router Biên Gateway:   01 x Cisco Router R1 Series                            |
|  4. Wi-Fi Access Point:    03 x Cisco Catalyst C9130 AXE-S Wi-Fi 6                |
|  5. Máy chủ dịch vụ:       02 x Rack-mount Server (DC1 Domain Controller, Web)    |
+-----------------------------------------------------------------------------------+

Lộ trình và Khả năng mở rộng

  • Khả năng nâng cấp: Dễ dàng chuyển đổi giao thức định tuyến từ RIPv2 sang OSPF (Open Shortest Path First) đa vùng khi mở rộng thêm các chi nhánh (Hà Nội, Đà Nẵng, Cần Thơ) thông qua kênh truyền VPN IPsec site-to-site.
  • Tối ưu chi phí & ROI: Giảm thiểu 60% chi phí vận hành nhân sự quản trị nhờ hệ thống quản lý định danh tập trung và giám sát PRTG tự động gửi cảnh báo sự cố.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Định tuyến RIPv2: Bản chất Distance-Vector của RIPv2 có chu kỳ gửi toàn bộ bảng định tuyến 30 giây/lần gây lãng phí một phần băng thông và giới hạn số bước nhảy (hop count = 15).
  • Điểm nghẽn phần cứng đơn lẻ (Single Point of Failure): Hệ thống sử dụng 01 Core Switch duy nhất, chưa thiết lập cụm dự phòng nóng (High Availability) bằng giao thức HSRP hoặc VRRP.
  • Tích hợp Wireless Controller: Cấu hình bộ phát sóng không dây Access Point mới dừng ở mức cấp phát IP độc lập, chưa hoàn thiện cơ chế chuyển vùng liền mạch (Seamless Roaming) qua WLC phần cứng.

Hướng phát triển trong tương lai

  1. Nâng cấp định tuyến và Dự phòng: Triển khai giao thức định tuyến động OSPF kết hợp kỹ thuật dự phòng cổng mặc định HSRP (Hot Standby Router Protocol) với 2 thiết bị Core Switch chạy song song.
  2. Xác thực mạng không dây chuẩn doanh nghiệp: Triển khai RADIUS Server kết hợp Network Policy Server (NPS) trên Windows Server để xác thực tài khoản Domain cho sinh viên và giảng viên khi kết nối Wi-Fi 802.1X.
  3. Nâng cấp tường lửa thế hệ mới (NGFW): Bổ sung thiết bị tường lửa phần cứng như FortiGate hoặc pfSense để kiểm soát sâu tầng ứng dụng (Layer 7 Application Control, Web Filtering, SSL Inspection).

Đối tượng hưởng lợi

  • Sinh viên ngành Mạng & An toàn thông tin: Tài liệu tham khảo thực tiễn với đầy đủ các cấu hình mẫu từ Cisco CLI, cấu hình Windows Server, Rule Snort IDS đến triển khai PRTG.
  • Kỹ sư triển khai hạ tầng mạng (Network Engineers): Nắm bắt phương pháp luận thiết kế hệ thống mạng phân tầng doanh nghiệp kết hợp đồng bộ hạ tầng Microsoft và Cisco.
  • Ban điều hành các cơ sở giáo dục & Doanh nghiệp: Có được bản thiết kế kiến trúc chuẩn hóa để áp dụng hoặc nghiệm thu hạ tầng CNTT tối ưu chi phí, nâng cao tính bảo mật.
  • Chuyên gia nghiên cứu an ninh mạng: Cung cấp dữ liệu thực nghiệm về khả năng tích hợp Snort IDS bắt gói tin trên môi trường Windows Server để phát hiện tấn công do thám mạng.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai hệ thống máy chủ Windows Server và Snort IDS trong mô hình này là gì?

Máy chủ DC1 yêu cầu cấu hình tối thiểu CPU 4 Cores (x64), 16 GB RAM, 250 GB ổ cứng SSD (khuyến nghị thiết lập RAID 1 để chống lỗi đĩa vật lý), 02 Card mạng Gigabit Ethernet (1 card phục vụ dịch vụ domain, 1 card ở chế độ promiscuous cho Snort IDS bắt gói tin).

2. Tại sao đồ án lại chọn chia Subnet Mask /26 thay vì dùng dải /24 mặc định?

Việc chia mạng con theo kỹ thuật VLSM với Subnet Mask 255.255.255.192 (/26) cung cấp vừa đủ 62 IP khả dụng cho từng nhóm đối tượng (Phòng nhân viên 35 máy, phòng LAB 50 máy), giúp thu hẹp miền quảng bá (Broadcast Domain), ngăn chặn tình trạng cạn kiệt dải địa chỉ và tăng cường bảo mật định tuyến.

3. Cơ chế nào đảm bảo phòng LAB không thể truy cập trái phép dữ liệu phòng Nhân viên?

Hệ thống áp dụng chính sách bảo mật kép: (1) Tại tầng mạng (Layer 3), Access-List được gán trên Core Switch chặn hoàn toàn các bản tin ICMP/Ping và luồng truy cập trái phép giữa 2 VLAN; (2) Tại tầng ứng dụng/hệ thống tệp, NTFS Security Permissions chỉ cấp quyền đọc/ghi cho các tài khoản thuộc nhóm bảo mật tương ứng trong Active Directory.

4. Hệ thống sao lưu Windows Server Backup hoạt động theo nguyên lý nào và mất bao lâu để khôi phục?

Hệ thống sử dụng cơ chế sao lưu tự động (Scheduled Backup) theo chuẩn Volume Shadow Copy Service (VSS), sao lưu toàn bộ thư mục DATA vào thư mục mạng chuyên dụng vào 21:00 mỗi ngày. Trong các bài kiểm thử thực tế, thời gian khôi phục toàn vẹn dữ liệu (Recovery Time Objective - RTO) sau sự cố xóa nhầm chỉ mất dưới 3 phút.

5. Chi phí đầu tư và thời gian hoàn vốn (ROI) của dự án ước tính như thế nào?

Tổng chi phí đầu tư phần cứng (Cisco Switch, Router, AP, Server) ước tính khoảng 180 - 250 triệu VNĐ. Hệ thống mang lại ROI rõ rệt trong 12 - 18 tháng thông qua việc cắt giảm 90% chi phí khắc phục sự cố mã độc, bảo vệ an toàn tài nguyên dữ liệu và đảm bảo hoạt động giảng dạy không bị gián đoạn.

Kết luận

Đồ án "Xây dựng hệ thống mạng cho Viện Giáo Dục Quốc Tế HUFLIT" đã giải quyết xuất sắc bài toán thiết kế và triển khai hạ tầng công nghệ thông tin toàn diện cho môi trường giáo dục chuyên nghiệp. Bằng việc kết hợp hài hòa giữa phần cứng định tuyến/chuyển mạch chuẩn công nghiệp của Cisco với các dịch vụ quản trị định danh, phân quyền của Microsoft Windows Server và hệ thống an ninh giám sát thời gian thực Snort IDS / Paessler PRTG, đề tài đã chứng minh tính khả thi, độ tin cậy và hiệu năng vượt trội qua 26 kịch bản kiểm thử nghiêm ngặt. Đây không chỉ là một công trình nghiên cứu ứng dụng mẫu mực cho sinh viên chuyên ngành An ninh mạng mà còn là bộ tài liệu thiết kế có giá trị thực tiễn cao cho các kỹ sư mạng khi triển khai các dự án hạ tầng thực tế.