Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và xu hướng Công nghiệp 4.0, hạ tầng mạng doanh nghiệp đóng vai trò huyết mạch trong việc duy trì hoạt động sản xuất, kinh doanh và bảo mật dữ liệu. Theo các báo cáo khảo sát hạ tầng CNTT doanh nghiệp sản xuất tại Việt Nam, hơn 65% sự cố gián đoạn quy trình đến từ suy hao đường truyền cáp vật lý và tắc nghẽn cục bộ do thiếu giải pháp dự phòng (Redundancy). Đồ án tốt nghiệp "Hoàn thiện thiết kế hệ thống mạng cho doanh nghiệp" do sinh viên Lê Minh Đức (MSSV: 19110192) thực hiện dưới sự hướng dẫn của ThS. Nguyễn Đăng Quang tại Khoa Đào tạo Chất lượng cao – Trường Đại học Sư phạm Kỹ thuật TP.HCM (HCMUTE) đã giải quyết toàn diện bài toán nâng cấp hạ tầng mạng cho Công ty TNHH Sản xuất và Kinh doanh giày da iShoes.

+-------------------------------------------------------------------------+
|                 BỐI CẢNH HẠ TẦNG CÔNG TY ISHOES                         |
|                                                                         |
|  [Khu Hành Chính] <====== 200m (CAT6 S/FTP BC) ======> [Khu Nhà Xưởng]  |
|  - 4 Phòng ban (Giám đốc, IT, Kế toán, KD)             - 3 Phân xưởng   |
|  - FortiGate 301E + Cisco Catalyst 9500                - Firepower 2130 |
|  - Wi-Fi Marketing & 802.1X RADIUS                     - WLC 9800-40    |
+-------------------------------------------------------------------------+

Điểm nghẽn hạ tầng (Problem Statement)

Hệ thống mạng ban đầu của Công ty iShoes bộc lộ nhiều hạn chế nghiêm trọng khi doanh nghiệp mở rộng quy mô:

  • Suy hao vật lý và nghẽn băng thông: Sử dụng chuẩn cáp mạng lỗi thời CAT5 UTP CCA (lõi nhôm mạ đồng, không bọc giáp chống nhiễu), khi kéo dài trên cự ly 200m giữa khu hành chính và khu nhà xưởng sinh ra hiện tượng suy hao tín hiệu mạnh, mất gói (packet loss) liên tục.
  • Điểm nghẽn đơn độc (Single Point of Failure): Mọi liên kết mạng giữa các tầng đều là kết nối đơn (single link), không có cơ chế dự phòng định tuyến hay gộp băng thông, khiến toàn bộ phân xưởng ngừng hoạt động mỗi khi một mắt xích gặp sự cố.
  • Thiếu hụt hạ tầng mạng không dây: Không có hệ thống Wi-Fi nội bộ phân quyền, buộc nhân viên phải tháo dây cáp LAN cắm vào máy tính xách tay cá nhân (Laptop), làm suy yếu tính toàn vẹn cấu trúc và gia tăng nguy cơ xung đột IP/mã độc.
  • Hiệu năng trạm làm việc thấp: Mô hình Thin Client (VCloudpoint) không đủ năng lực tính toán xử lý các phần mềm đồ họa thiết kế mẫu giày tại Xưởng 1 và điều khiển máy CNC sản xuất tại Xưởng 2. Hệ điều hành trên các máy trạm tồn tại quá nhiều tiến trình rác (bloatware/telemetry).
  • Lỗ hổng an toàn thông tin: Tường lửa cũ (Juniper SSG5) đã hết vòng đời hỗ trợ (EOL), thiếu hệ thống kiểm soát truy nhập AAA/RADIUS, không có hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS) và chưa áp dụng chính sách phân tầng an ninh (Defense-in-Depth).

Mục tiêu dự án

  1. Tái cấu trúc mạng LAN: Thay thế toàn bộ tuyến cáp trục bằng chuẩn CAT6 S/FTP BC (lõi đồng nguyên chất bọc kim chống nhiễu từng đôi), nâng cấp Core Switch Cisco Catalyst 9500 và Router Cisco ISR4461.
  2. Xây dựng mạng WLAN tập trung: Quy hoạch vùng phủ sóng chuẩn qua Ekahau Site Survey, triển khai Cisco Catalyst 9800-40 WLC với chuẩn xác thực WPA2/WPA3-Enterprise qua RADIUS Server, kết hợp Wi-Fi Marketing tại khu vực Lễ tân.
  3. Thiết lập kiến trúc an ninh nhiều lớp: Tích hợp tường lửa thế hệ mới (NGFW) FortiGate 301E tại vùng Core và Cisco Firepower 2130 IPS/IDS tại khu nhà xưởng; triển khai bảo vệ cổng truy cập (Port Security), Access Control Lists (ACLs) và giải pháp phòng chống mã độc Kaspersky Endpoint Security Advanced.
  4. Tối ưu hóa máy trạm và dịch vụ quản trị tập trung: Nâng cấp hệ thống Workstation chuyên dụng; tùy biến hệ điều hành Windows 10/11 Pro for Workstations (Debloat, tinh chỉnh Registry, giảm DPC Latency); chuẩn hóa Active Directory Domain Services (AD DS), DFS-R Backup, WSUS và hệ thống giám sát cảnh báo thời gian thực Zabbix qua Telegram Bot.

Phạm vi và giới hạn triển khai

  • Phạm vi: Trụ sở làm việc gồm 4 phòng ban khối hành chính (Giám đốc, IT, Kế toán, Kinh doanh) và 3 phân xưởng sản xuất (Xưởng 1: Thiết kế; Xưởng 2: Sản xuất; Xưởng 3: Kiểm tra chất lượng KCS & Đóng gói) cách nhau 200m.
  • Giới hạn: Tập trung vào kiến trúc mạng nội bộ Layer 2/Layer 3, an ninh mạng và dịch vụ máy chủ hệ thống; không can thiệp vào mã nguồn phần mềm ERP/sản xuất chuyên biệt của đối tác thứ ba.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí Hệ thống cũ (Juniper SSG5 / CAT5 CCA) Hệ sinh thái nâng cấp (FortiGate + Cisco + Windows Server)
Băng thông & Vật lý Cáp CAT5 UTP CCA (100 Mbps), suy hao cao, dễ nhiễu điện từ công nghiệp. Cáp CAT6 S/FTP BC (1000/10000 Mbps), chống nhiễu kép, lõi đồng nguyên chất 100%.
Tính sẵn sàng (HA) Liên kết đơn (Single link), không có cơ chế chuyển lỗi dự phòng. Gộp kênh EtherChannel (LACP), giao thức dự phòng Gateway HSRP, Backup Server DFS-R.
Mạng không dây Không có (Nhân viên dùng Router cá nhân hoặc tháo dây LAN). Hệ thống WLAN tập trung qua WLC Cisco 9800-40, xác thực RADIUS 802.1X, Wi-Fi Marketing.
Hệ thống bảo mật Tường lửa lọc gói tĩnh Juniper SSG5, không có IDS/IPS, thiếu Port Security. NGFW FortiGate 301E + Cisco Firepower 2130 IDS/IPS, Dynamic ARP Inspection, 802.1X, ACLs.
Quản trị hệ điều hành Máy trạm cài đặt tự do, tồn tại bloatware/telemetry gây chậm CPU. Windows Pro for Workstations Debloat, tối ưu DPC Latency, khóa Group Policy, WSUS tập trung.

Ma trận ưu tiên yêu cầu người dùng (MoSCoW)

  • Must have (Bắt buộc): Chuyển đổi cáp CAT6 S/FTP; nâng cấp NGFW FortiGate 301E; chia tách VLAN phân quyền phòng ban; chứng thực người dùng qua Active Directory & RADIUS; triển khai máy trạm đồ họa cho Xưởng 1 và Xưởng 2.
  • Should have (Nên có): Dự phòng liên kết HSRP và LACP; hệ thống giám sát Zabbix đẩy cảnh báo sự cố qua Telegram; cơ chế triển khai bản vá WSUS nội bộ.
  • Could have (Có thể có): Wi-Fi Marketing tích hợp cổng chào giới thiệu sản phẩm tại tiền sảnh.
  • Won't have this time (Chưa thực hiện): Chuyển đổi sang công nghệ mạng định nghĩa bằng phần mềm (SD-WAN) trên toàn bộ chi nhánh ngoài tỉnh.

Thiết kế hệ thống

                                [ INTERNET / ISP ]
                                        │
                         [ Gateway Router: Cisco ISR4461 ]
                                        │
                         [ NGFW: Fortinet FortiGate 301E ]
                                        │
                        [ Core Switch: Cisco Catalyst 9500 ]
                                  ├── (LACP / EtherChannel)
        ┌─────────────────────────┴─────────────────────────┐
        │ [Khu Vực Hành Chính]                              │ [Khu Vực Nhà Xưởng (200m)]
 ┌──────┴──────┐                                     ┌──────┴──────┐
 │Access Switch│                                     │  Firepower  │ (Cisco FP 2130 IDS/IPS)
 └──────┬──────┘                                     └──────┬──────┘
        ├── PCs (Ban GĐ, IT, KT, KD)                 ┌──────┴──────┐
        ├── VoIP Phones (VLAN 40)                    │Dist. Switch │ (Cisco Catalyst 3850)
        └── APs (Stand-alone/Lobby Marketing)        └──────┬──────┘
                                                            ├── WLC Cisco 9800-40
                                                            ├── Server Farm (AD DS, RADIUS, Zabbix)
                                                            ├── Access Switches (Xưởng 1, 2, 3)
                                                            └── APs (Managed via CAPWAP / 802.1X)

Quy hoạch phân chia địa chỉ IP và VLAN

+----------------------------------------------------------------------------------------+
|                      QUY HOẠCH IP SUBNET VÀ ACTIVE DIRECTORY SCHEMA                    |
+---------+------------------+--------------------+----------------+---------------------+
| Subnet  | Dải Địa Chỉ IP   | Subnet Mask        | Cấp Cho Vùng   | Ghi Chú VLAN        |
+---------+------------------+--------------------+----------------+---------------------+
| Net #0  | 10.0.0.0/27      | 255.255.255.224    | Core Network   | Hạ tầng Core Switch |
| Net #1  | 10.0.0.32/26     | 255.255.255.192    | Hành Chính     | VLAN 10, 20, 30, 40 |
| Net #7  | 10.0.0.64/27     | 255.255.255.224    | AP Xưởng 1     | VLAN 70 (WLAN)      |
| Net #8  | 10.0.0.96/27     | 255.255.255.224    | AP Xưởng 2     | VLAN 80 (WLAN)      |
| Net #9  | 10.0.0.128/27    | 255.255.255.224    | AP Xưởng 3     | VLAN 90 (WLAN)      |
| Net #10 | 10.0.0.160/27    | 255.255.255.224    | Dự phòng       | Mở rộng tương lai   |
+---------+------------------+--------------------+----------------+---------------------+

Cấu trúc Directory Schema (Active Directory Domain Services)

  • Domain Root: dc=ishoes,dc=com
  • Organizational Units (OUs):
    • ou=pgiamdoc,dc=ishoes,dc=com (Quản trị tài khoản Ban Giám Đốc)
    • ou=pketoan,dc=ishoes,dc=com (Quản trị nhóm Kế toán & Dữ liệu tài chính)
    • ou=pkinhdoanh,dc=ishoes,dc=com (Nhóm Kinh doanh & Truyền thông)
    • ou=pit,dc=ishoes,dc=com (Tài khoản Quản trị viên & Kỹ thuật)
    • ou=pphanxuong,dc=ishoes,dc=com (Tài khoản máy trạm và công nhân 3 phân xưởng)

Phương pháp luận (Methodology)

Dự án áp dụng phương pháp triển khai mạng phân kỳ theo mô hình PPDIOO (Plan, Prepare, Design, Implement, Operate, Optimize) của Cisco:

  1. Khảo sát & Lập mô hình: Đo đạc suy hao sóng không dây thực tế bằng phần mềm Ekahau Site Survey Pro; vẽ bản đồ mô phỏng Heatmap phân bổ vị trí các AP.
  2. Thử nghiệm phòng Lab: Mô phỏng cấu hình định tuyến EIGRP, Access Control Lists (ACLs), cân bằng tải và xác thực RADIUS trên môi trường giả lập trước khi cấu hình lên thiết bị phần cứng thật.
  3. Triển khai song song (Parallel Run): Thiết lập hệ thống cáp CAT6 S/FTP và cấu hình Server Farm mới song song với hệ thống mạng cũ; thực hiện chuyển đổi dịch vụ (Cutover) ngoài giờ làm việc để giảm thiểu thời gian gián đoạn (Downtime).
  4. Kiểm tra & Đánh giá an ninh: Tiến hành kiểm thử thâm nhập nội bộ (Internal Penetration Testing), quét lỗ hổng dịch vụ và đo lường độ trễ DPC Latency trên từng Workstation.

Implementation và kết quả

Quá trình phát triển và cấu hình kỹ thuật

1. Cấu hình định tuyến và dự phòng cổng mạng (Cisco IOS-XE)

Triển khai giao thức định tuyến EIGRP giữa Core Switch và Router phân xưởng, kết hợp gộp kênh EtherChannel (LACP) và dự phòng Gateway HSRP:

! Cau hinh EtherChannel LACP tren Core Switch Catalyst 9500
interface Range TenGigabitEthernet1/0/1 - 2
 description == TRUNK-TO-DISTRIBUTION-LACP ==
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,70,80,90
 channel-group 1 mode active
 no shutdown
exit

! Cau hinh HSRP tren Switch Layer 3 (VLAN 10 - Phong Ke Toan)
interface Vlan10
 description == GATEWAY-PHONG-KE-TOAN ==
 ip address 10.0.0.33 255.255.255.224
 standby 10 ip 10.0.0.62
 standby 10 priority 110
 standby 10 preempt
 standby 10 authentication md5 key-string iShoesSecure2024
exit

! Cau hinh Port Security khoa dia chi MAC tai Access Switch
interface FastEthernet0/1
 description == CLIENT-STATIC-ACCESS ==
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict
 no shutdown
exit

2. Kịch bản Debloat và tối ưu hóa hệ điều hành máy trạm (PowerShell)

Nhằm triệt tiêu tình trạng nghẽn CPU và giảm thiểu độ trễ tương tác phần cứng (DPC Latency) phục vụ chạy phần mềm CAD/CAM thiết kế mẫu giày, kịch bản PowerShell tự động hóa được xây dựng:

<#
.SYNOPSIS
    Kich ban Debloat va toi uu Registry cho Windows 10/11 Pro for Workstations tai iShoes.
#>
# 1. Go bo cac goi ung dung rac (Bloatware / Provisioned Packages)
$BloatwareList = @(
    "Microsoft.BingNews",
    "Microsoft.GetHelp",
    "Microsoft.Getstarted",
    "Microsoft.MicrosoftSolitaireCollection",
    "Microsoft.People",
    "Microsoft.SkypeApp",
    "Microsoft.XboxApp",
    "Microsoft.YourPhone",
    "Microsoft.ZuneVideo"
)
ForEach ($App in $BloatwareList) {
    Get-AppxPackage -Name $App -AllUsers | Remove-AppxPackage -ErrorAction SilentlyContinue
    Get-AppxProvisionedPackage -Online | Where-Object DisplayName -EQ $App | Remove-AppxProvisionedPackage -Online -ErrorAction SilentlyContinue
}

# 2. Vo hieu hoa tien trinh Telemetry va theo doi cua Microsoft
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection" -Name "AllowTelemetry" -Type DWord -Value 0
Stop-Service -Name "DiagTrack" -ErrorAction SilentlyContinue
Set-Service -Name "DiagTrack" -StartupType Disabled

# 3. Tinh chinh Registry giam DPC Latency & toi uu GPU Priority
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Multimedia\SystemProfile" -Name "NetworkThrottlingIndex" -PropertyType DWord -Value 0xffffffff -Force
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Multimedia\SystemProfile" -Name "SystemResponsiveness" -PropertyType DWord -Value 0 -Force
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Multimedia\SystemProfile\Tasks\Games" -Name "GPU Priority" -PropertyType DWord -Value 8 -Force
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Multimedia\SystemProfile\Tasks\Games" -Name "Priority" -PropertyType DWord -Value 6 -Force
Write-Output "[+] Tối ưu hóa hệ thống máy trạm hoàn tất thành công!"

3. Giám sát tự động hóa qua Zabbix và Telegram API

Cấu hình Trigger trên Zabbix Server 6.0 LTS theo dõi trạng thái giao diện mạng Core qua giao thức SNMPv3. Khi băng thông vượt ngưỡng 85% hoặc phát hiện cổng mạng Down, thông điệp JSON tự động gửi tới bot Telegram của đội ngũ IT:

{
  "chat_id": "-100192837465",
  "parse_mode": "Markdown",
  "text": "🚨 *CẢNH BÁO HẠ TẦNG MẠNG ISHOES*\n- *Thiết bị:* {HOST.NAME}\n- *Vị trí:* Core Server Farm\n- *Sự cố:* {EVENT.NAME}\n- *Mức độ:* {EVENT.SEVERITY}\n- *Thời gian:* {EVENT.TIME} {EVENT.DATE}\n- *Hành động:* Vui lòng kiểm tra cổng quang Trunk liên kết phân xưởng."
}

Kiểm thử và đánh giá hiệu năng (Testing & Validation)

[Khảo sát Ekahau Heatmap] ──> Cường độ tín hiệu: -45 dBm đến -60 dBm
[Đo kiểm Iperf3 Core-to-Workstation] ──> Thông lượng: 942 Mbps (CAT6 S/FTP)
[Kiểm thử DPC Latency (Latencymon)] ──> Độ trễ giảm: 1050µs ──> 142µs
[Đánh giá thời gian chuyển mạch HSRP] ──> Failover Downtime < 1.8 giây

  1. Mô phỏng vùng phủ sóng vô tuyến (Ekahau Heatmap):

    • Khu vực văn phòng khối hành chính: Đạt cường độ tín hiệu trung bình từ -35 dBm đến -45 dBm (vượt chuẩn tối thiểu -65 dBm cho VoIP/Video Conference).
    • Khu vực 3 phân xưởng sản xuất: Sử dụng 7 bộ phát chuẩn công nghiệp, tín hiệu tại các vị trí làm việc xa nhất đạt mức -58 dBm đến -60 dBm, đảm bảo không xuất hiện vùng chết (dead zones).

  2. Đo kiểm thông lượng và suy hao truyền dẫn:

    • Sử dụng công cụ Iperf3 kiểm thử trên đường truyền 200m giữa Core Switch và Switch Nhà xưởng 1. Cáp CAT6 S/FTP BC đạt tốc độ truyền tải trung bình 942 Mbps (so với mức 68 Mbps chập chờn của cáp CAT5 UTP CCA cũ).

  3. Độ ổn định hệ điều hành máy trạm:

    • Đo kiểm qua công cụ LatencyMon: Độ trễ thực thi tiến trình DPC (Deferred Procedure Call) của máy trạm thiết kế giảm từ 1050 µs xuống còn 142 µs, loại bỏ hoàn toàn hiện tượng nghẽn khung hình khi xử lý file đồ họa giày 3D kích thước lớn.

Kết quả đạt được

Hạng mục mục tiêu ban đầu Kết quả thực tế đạt được Đánh giá mức độ hoàn thành
Băng thông mạng phân xưởng Tăng từ 100 Mbps lên 1 Gbps (1000 Mbps) trên đường trục nội bộ. Đạt 100% mục tiêu thiết kế.
Tính sẵn sàng của hệ thống Chuyển mạch dự phòng Gateway tự động < 2 giây qua HSRP. Vượt chỉ tiêu (Zero-downtime thực tế).
Phủ sóng mạng không dây 10 AP phân bổ theo chuẩn Ekahau, chịu tải 150 thiết bị đồng thời. 100% diện tích làm việc phủ sóng tốt.
An ninh thông tin doanh nghiệp Khóa cứng 100% cổng mạng bằng Port Security; chặn 99.8% mã độc từ USB/Web. Đạt chứng nhận an toàn thông tin nội bộ.
Thời gian đáp ứng trạm làm việc Giảm 40% dung lượng RAM chiếm dụng sau Debloat; khởi động OS < 12 giây. Năng suất làm việc phòng thiết kế tăng 35%.

Đổi mới và đóng góp

Điểm đột phá kỹ thuật

  1. Thiết kế an ninh mạng đa tầng (Multi-Layered Security Architecture): Kết hợp chặt chẽ giữa lọc gói biên (FortiGate 301E NGFW), phát hiện xâm nhập tầng sâu nội bộ (Cisco Firepower 2130 IDS), phân tách VLAN/ACLs trên Layer 3 Switch, và kiểm soát truy nhập danh tính người dùng thông qua giao thức IEEE 802.1X/RADIUS.
  2. Phương pháp khảo sát vô tuyến có độ chính xác cao: Thay vì bố trí điểm truy cập (AP) theo kinh nghiệm cảm tính, đề tài ứng dụng phần mềm chuyên dụng Ekahau Site Survey Pro để dựng mô hình 3D, phân tích vật liệu tường, tính toán độ hấp thụ sóng để tối ưu hóa vị trí lắp đặt và phân kênh (Channel Planning) chống nhiễu đồng kênh (Co-channel interference).
  3. Tùy biến chuyên sâu hệ điều hành máy trạm công nghiệp: Đưa giải pháp hệ điều hành tùy biến (Custom Windows LTSC Mode) vào hạ tầng doanh nghiệp: tắt các dịch vụ nền không sử dụng, gỡ bỏ telemetry giám sát người dùng của bên thứ ba, và tinh chỉnh bộ điều khiển (Driver) tối ưu tài nguyên phần cứng cho các tác vụ sản xuất đồ họa.
+-----------------------------------------------------------------------------------------+
|                        SO SÁNH CẢI TIẾN HIỆU NĂNG HỆ THỐNG                              |
|                                                                                         |
| Băng thông trục:   [=== 100 Mbps (Cũ)                                                ]  |
|                    [================================================= 1000 Mbps (Mới)] (+900%) |
|                                                                                         |
| Độ trễ DPC Driver: [============================== 1050 µs (Cũ)                      ]  |
|                    [==== 142 µs (Mới)                                                ] (-86.4%) |
|                                                                                         |
| RAM trống khởi động: [======= 3.2 GB Free (Cũ)                                       ]  |
|                      [================================ 6.8 GB Free (Mới)             ] (+112.5%)|
+-----------------------------------------------------------------------------------------+

So sánh với các giải pháp hiện hành

Tiêu chí so sánh Mô hình mạng truyền thống (Workgroup / Flat Network) Mô hình Cloud hoàn toàn (Pure Cloud SD-WAN) Mô hình đề xuất của Đề tài (On-Premises Hybrid Enterprise)
Chi phí đầu tư (CAPEX) Thấp ban đầu nhưng chi phí bảo trì (OPEX) rất cao. Chi phí thuê bao dịch vụ hàng tháng rất cao theo user. Tối ưu hóa: Tận dụng phần cứng sẵn có, mua sắm chọn lọc.
Tính bảo mật & Riêng tư Kém; dễ bị nghe lén dữ liệu nội bộ và lây nhiễm chéo. Phụ thuộc vào cam kết bảo mật của nhà cung cấp Cloud. Cao nhất: Dữ liệu thiết kế lưu trữ tại chỗ, bảo vệ đa tầng.
Khả năng hoạt động Offline Kém ổn định khi phát sinh xung đột địa chỉ IP. Mất toàn bộ quyền truy cập và kiểm soát khi đứt cáp quang biển. Hoạt động độc lập 100% trong mạng LAN nội bộ khi mất kết nối ISP.
Khả năng tùy biến OS Không có; người dùng tự cài đặt gây mất kiểm soát. Quản trị qua Intune cơ bản, không tối ưu sâu Driver. Tùy biến sâu tận Kernel/Registry, phân phối qua WSUS & GPO.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

  • Phân xưởng 1 (Thiết kế mẫu giày): Các trạm Workstation cấu hình mạnh kết nối trực tiếp với Domain Controller thông qua phân vùng VLAN 70. Kỹ sư mở và chỉnh sửa các tệp mẫu 3D có dung lượng hàng gigabyte trực tiếp từ Server lưu trữ nội bộ với tốc độ đường truyền ổn định không bị trễ hay giật lag.
  • Phân xưởng 2 (Dây chuyền sản xuất tự động): Các máy điều khiển sản xuất nhận lệnh thiết kế đã duyệt từ Xưởng 1 theo thời gian thực thông qua đường truyền mạng công nghiệp có bọc chống nhiễu điện từ.
  • Quản đốc và Nhân viên di động: Quản đốc di chuyển giữa các phân xưởng với máy tính bảng hoặc điện thoại thông minh, hệ thống WLAN tự động chuyển vùng sóng (Fast Roaming) mượt mà, xác thực liền mạch qua RADIUS Server.
+-------------------------------------------------------------------------------+
|                       LỘ TRÌNH TRIỂN KHAI VÀ CHI PHÍ                          |
|                                                                               |
| [Giai đoạn 1] ──> Khảo sát, thiết kế & mua sắm vật tư (Tuần 1 - 2)            |
| [Giai đoạn 2] ──> Kéo cáp CAT6 S/FTP & lắp đặt tủ Rack phòng IT (Tuần 3 - 4)  |
| [Giai đoạn 3] ──> Cấu hình Core Switch, Firewall, AD DS, RADIUS (Tuần 5 - 6)  |
| [Giai đoạn 4] ──> Triển khai AP, Workstations & Kiểm thử bàn giao (Tuần 7 - 8)|
+-------------------------------------------------------------------------------+

Phân tích chi phí và hiệu quả đầu tư (ROI)

  • Tổng ngân sách đầu tư: ~245,000,000 VNĐ (Bao gồm cáp mạng CAT6 S/FTP BC, máy chủ Dell PowerEdge, thiết bị mạng Cisco/Fortinet, máy trạm Workstation và bản quyền bảo mật Kaspersky).
  • Giá trị kinh tế thu lại (Cost-Benefit Analysis):
    • Giảm thiểu triệt để thời gian chết do sự cố mạng (trước đây trung bình mất 4 giờ/tháng ~ thiệt hại khoảng 30,000,000 VNĐ chi phí nhân công và gián đoạn dây chuyền).
    • Tăng tốc độ luân chuyển file thiết kế và sản xuất lên 35%, rút ngắn chu kỳ hoàn thiện sản phẩm mẫu từ 5 ngày xuống còn 3.5 ngày.
    • Thời gian hoàn vốn (ROI): Ước tính đạt điểm hòa vốn sau 8.2 tháng vận hành chính thức.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  1. Rào cản bản quyền thiết bị phần cứng thật: Quá trình thử nghiệm các tính năng nâng cao trên thiết bị chuyên dụng (như Cisco Firepower Management Center hay FortiGuard Subscription đầy đủ) phải kết hợp giữa thiết bị vật lý sẵn có và môi trường mô phỏng phần mềm.
  2. Khả năng mở rộng chi nhánh từ xa: Hệ thống mạng hiện tại được tối ưu hóa cho mô hình trụ sở đơn điểm kết hợp nhà xưởng liền kề (200m), chưa xây dựng kiến trúc Dynamic Multipoint VPN (DMVPN) kết nối liên tỉnh.

Hướng phát triển trong tương lai

  • Triển khai kiến trúc SD-WAN: Xây dựng kết nối mạng diện rộng ứng dụng phần mềm nhằm liên kết hệ thống các cửa hàng bán lẻ của iShoes trên toàn quốc về trung tâm dữ liệu trụ sở chính.
  • Nâng cấp mô hình Zero Trust Network Access (ZTNA): Thay thế giải pháp VPN truyền thống bằng ZTNA tích hợp trên FortiClient để kiểm soát chặt chẽ an toàn thiết bị của nhân viên làm việc từ xa (Work From Home).
  • Ứng dụng AI trong quản trị mạng (AIOps): Tích hợp công cụ phân tích lưu lượng dựa trên học máy (Machine Learning) để tự động phát hiện các bất thường trong hành vi người dùng và ngăn chặn tấn công zero-day.

Đối tượng hưởng lợi

+-------------------------------------------------------------------------------+
|                             ĐỐI TƯỢNG HƯỞNG LỢI                               |
+-------------------+-----------------------------------------------------------+
| Nhóm đối tượng    | Giá trị và lợi ích định lượng                             |
+-------------------+-----------------------------------------------------------+
| Doanh nghiệp      | - Tốc độ mạng tăng 10 lần (100 Mbps -> 1000 Mbps).        |
| (iShoes)          | - Độ sẵn sàng đạt 99.9%, hoàn vốn đầu tư trong 8.2 tháng. |
+-------------------+-----------------------------------------------------------+
| Kỹ sư / Quản trị  | - Tiếp cận mô hình chuẩn hóa Cisco + Fortinet + Windows.  |
| mạng (NetAdmin)   | - Tự động hóa giám sát lỗi qua Zabbix & Telegram Bot.     |
+-------------------+-----------------------------------------------------------+
| Sinh viên CNTT    | - Tài liệu tham khảo đồ án mạng doanh nghiệp thực chiến.  |
| & Nghiên cứu      | - Kịch bản tối ưu hóa OS và phân chia Subnet chi tiết.    |
+-------------------+-----------------------------------------------------------+
  • Doanh nghiệp ứng dụng: Nhận được bản thiết kế hệ thống mạng hoàn chỉnh, có tính ứng dụng thực tế cao, loại bỏ hoàn toàn các điểm nghẽn kỹ thuật và nâng cao vị thế bảo mật thông tin nội bộ.
  • Kỹ sư vận hành hệ thống: Nắm bắt được quy trình chuẩn hóa từ thiết kế sơ đồ vật lý, cấu hình phân tầng logic (VLAN, EIGRP, HSRP) đến kỹ thuật đóng gói hệ điều hành chuyên dụng phục vụ công nghiệp.
  • Sinh viên ngành Mạng máy tính & CNTT: Bộ tài liệu cung cấp cái nhìn toàn diện từ lý thuyết đến thực hành, phương pháp khảo sát vô tuyến với Ekahau, cách thiết kế Schema Active Directory và giải pháp kết hợp linh hoạt giữa nguồn mở (Zabbix) và thương mại (Fortinet, Cisco).

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai giải pháp quản trị tập trung là gì?

Máy chủ quản trị (Server Farm) cần trang bị tối thiểu CPU 8 Cores / 16 Threads (Intel Xeon Silver hoặc tương đương), 32 GB RAM DDR4 ECC, ổ cứng SSD NVMe chuẩn Enterprise chạy RAID 1/10 để cài đặt hệ điều hành ảo hóa (VMware ESXi hoặc Microsoft Hyper-V), phân bổ tài nguyên cho Windows Server 2016 (AD DS/DNS/DHCP/WSUS) và máy ảo Linux Ubuntu chạy Zabbix Server.

2. Giới hạn mở rộng của cấu trúc mạng thiết kế là bao nhiêu thiết bị?

Với cấu trúc chia Subnet và quy hoạch IP hiện tại (sử dụng dải Private IP Class A 10.0.0.0/8 kết hợp Subnetting chi tiết), hệ thống mạng có khả năng mở rộng trực tiếp thêm 3 phân xưởng mới và đáp ứng đồng thời hơn 500 người dùng/thiết bị đầu cuối mà không cần tái cấu trúc lại bảng định tuyến lõi.

3. Giải pháp tích hợp thế nào vào các hệ thống mạng cũ sẵn có của doanh nghiệp?

Quy trình chuyển đổi áp dụng mô hình phân kỳ: Tận dụng các thiết bị Access Switch cũ còn hoạt động tốt tại các phòng ban hành chính ít yêu cầu băng thông cao, kết nối về hệ thống Core Switch mới thông qua các cổng Trunk được phân chia VLAN cô lập. Việc chuyển dịch tài khoản người dùng sang Active Directory Domain mới được thực hiện tự động qua tập lệnh migration script.

4. Chi phí và quy trình bảo trì hệ thống định kỳ diễn ra như thế nào?

Chi phí vận hành hàng năm (OPEX) chỉ chiếm khoảng 8-10% chi phí đầu tư ban đầu, chủ yếu dành cho gia hạn bản quyền phần mềm diệt virus Kaspersky và chứng chỉ dịch vụ bảo mật FortiGuard. Quy trình bảo trì được tự động hóa: Quản trị viên chỉ cần phê duyệt các bản vá lỗi được kiểm thử trước trên WSUS trước khi đồng loạt đẩy xuống client vào cuối tuần.

5. Tại sao doanh nghiệp nên dùng cáp CAT6 S/FTP BC thay vì CAT6 UTP thông thường?

Môi trường nhà xưởng sản xuất giày da chứa nhiều động cơ máy may, máy ép nhiệt và đường dây điện 3 pha công suất lớn sinh ra trường điện từ (EMI) mạnh. Cáp CAT6 S/FTP BC (bọc lá nhôm từng đôi xoắn và bọc lưới đồng tổng thể kèm lõi đồng nguyên chất) giúp triệt tiêu hoàn toàn hiện tượng nhiễu xuyên âm (Crosstalk) và suy hao tín hiệu trên cự ly kéo dài 200 mét giữa hai khu vực.

Kết luận

Đồ án tốt nghiệp "Hoàn thiện thiết kế hệ thống mạng cho doanh nghiệp" của sinh viên Lê Minh Đức đã giải quyết triệt để và toàn diện các bài toán tồn đọng về hiệu suất, độ tin cậy và an toàn thông tin tại Công ty TNHH Sản xuất và Kinh doanh giày da iShoes. Thông qua việc kết hợp chuẩn hóa hạ tầng truyền dẫn vật lý (CAT6 S/FTP BC), thiết kế mạng lõi phân tầng hiện đại (Cisco Catalyst, FortiGate NGFW, Cisco Firepower IDS), quy hoạch vô tuyến chính xác bằng công cụ chuyên dụng Ekahau và tối ưu hóa sâu hệ điều hành máy trạm, đề tài đã mang lại giá trị thực tiễn to lớn cho hoạt động sản xuất kinh doanh của doanh nghiệp.

Đây là công trình nghiên cứu và ứng dụng có giá trị tham khảo học thuật lẫn thực tiễn cao cho các kỹ sư mạng, quản trị viên hệ thống và sinh viên chuyên ngành Công nghệ Thông tin đang tìm kiếm giải pháp hoàn thiện hạ tầng mạng doanh nghiệp vừa và lớn.