Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, hạ tầng mạng máy tính đóng vai trò là "xương sống" quyết định hiệu suất vận hành và tính liên tục trong kinh doanh của mọi tổ chức. Đối với khối doanh nghiệp vừa và nhỏ (SMEs - Small and Medium Enterprises) — chiếm hơn 97% tổng số doanh nghiệp tại Việt Nam — việc xây dựng một hệ thống mạng ổn định, an toàn và tối ưu chi phí là bài toán mang tính sống còn. Tuy nhiên, phần lớn các doanh nghiệp SMEs hiện nay đang đối mặt với tình trạng mạng phát triển tự phát, sử dụng mô hình mạng phẳng (Flat Network) dẫn đến hiện tượng nghẽn cổ chai (Network Bottleneck), bão quảng bá (Broadcast Storm) và rủi ro an ninh thông tin nghiêm trọng.

Đồ án tốt nghiệp chuyên ngành Điện tử - Viễn thông / Mạng máy tính với đề tài "Nghiên cứu phương pháp thiết kế mạng máy tính cho các doanh nghiệp vừa và nhỏ" (Tác giả: Phạm Thị Lan) giải quyết triệt để các hạn chế trên bằng cách chuẩn hóa toàn diện quy trình khảo sát tiền thiết kế, xây dựng mô hình mạng phân cấp 3 lớp (Hierarchical Network Model), quy hoạch địa chỉ IP thông minh với kỹ thuật VLSM/Route Summarization và triển khai ma trận bảo mật đa tầng.

Mục tiêu cụ thể của dự án

  1. Chuẩn hóa quy trình khảo sát tiền thiết kế 7 bước: Thu thập toàn diện yêu cầu nghiệp vụ, phân tích lưu lượng mạng và nhận diện ràng buộc tài nguyên.
  2. Thiết kế kiến trúc mạng phân cấp 3 lớp (Core - Distribution - Access): Loại bỏ hoàn toàn điểm nghẽn đơn lẻ (Single Point of Failure - SPOF) và tối ưu hóa miền quảng bá (Broadcast Domain).
  3. Quy hoạch không gian địa chỉ IPv4 tối ưu: Ứng dụng kỹ thuật VLSM (Variable Length Subnet Mask) và tóm tắt tuyến (Route Summarization) nhằm giảm trên 70% kích thước bảng định tuyến.
  4. Triển khai giao thức định tuyến và chuyển mạch nâng cao: Ứng dụng giao thức định tuyến Link-State (OSPF) kết hợp các kỹ thuật tăng tốc hội tụ Spanning Tree (PortFast, UplinkFast, BackboneFast).
  5. Thiết lập khung bảo mật đa lớp: Triển khai cơ chế xác thực AAA (Authentication, Authorization, Accounting), phân quyền tối thiểu (Principle of Least Privilege) và lọc gói tin qua Access Control Lists (ACLs).

Tiếp cận giải pháp và phạm vi nghiên cứu

  • Phương pháp tiếp cận: Kết hợp giữa lý thuyết thiết kế mạng tiêu chuẩn công nghiệp của Cisco Systems với các khảo sát thực nghiệm tại doanh nghiệp thực tế.
  • Kết quả kỳ vọng định lượng: Thời gian phục hồi sự cố đường truyền (Failover Recovery) giảm từ 30–50 giây xuống dưới 1 giây; băng thông đường trục nâng cấp lên chuẩn Gigabit Ethernet; hiệu suất sử dụng không gian địa chỉ đạt trên 85%.
  • Phạm vi và giới hạn: Tập trung vào các mạng Campus nội bộ từ 50 đến 500 nodes, kết nối đa chi nhánh qua công nghệ Leased-line/WAN/VPN, sử dụng dải địa chỉ IPv4 Private theo chuẩn RFC 1918 kết hợp cơ chế NAT/PAT.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế các doanh nghiệp SMEs cho thấy kiến trúc mạng phẳng truyền thống bộc lộ những nhược điểm chí mạng: năng lực xử lý CPU của thiết bị bị quá tải do phải xử lý chung gói tin broadcast toàn mạng, bảng định tuyến phình to, và khả năng cô lập sự cố kém.

Tiêu chí so sánh Mô hình Mạng Phẳng (Flat Network) Mô hình Hub-and-Spoke Cơ Bản Mô hình Phân Cấp 3 Lớp (Hierarchical)
Khả năng mở rộng (Scalability) Kém, độ phức tạp $O(n^2)$ Trung bình, phụ thuộc Hub trung tâm Rất cao, cấu trúc Modular dễ mở rộng
Thời gian hội tụ (Convergence) Chậm (>40 giây khi xảy ra sự cố) Trung bình (15–30 giây) Siêu nhanh (<1 giây với UplinkFast)
Phân tách lỗi (Fault Isolation) Khó khăn, ảnh hưởng diện rộng Cục bộ tại Spoke nhưng rủi ro tại Hub Tuyệt đối, cô lập tại từng Subnet/VLAN
Hiệu năng sử dụng băng thông Thấp, dễ xảy ra Broadcast Storm Trung bình Tối đa, hạn chế miền broadcast
Chi phí đầu tư ban đầu Thấp Trung bình Hợp lý, tối ưu hóa theo vòng đời thiết bị

Phân tích yêu cầu hệ thống theo mô hình MoSCoW

  • Must have (Bắt buộc phải có): Phân chia VLAN theo phòng ban; định tuyến Inter-VLAN tốc độ cao; cơ chế chống loop với STP; quy hoạch dải địa chỉ Private và NAT Gateway; bảo vệ truy cập Router/Switch bằng mật khẩu mã hóa.
  • Should have (Nên có): Đường truyền dự phòng Uplink kép (Dual-homed link); kỹ thuật tăng tốc hội tụ PortFast/UplinkFast; bảng định tuyến tóm tắt (Route Summarization) cho OSPF.
  • Could have (Có thể có): Gộp kênh vật lý EtherChannel/Multilink; xác thực tập trung qua máy chủ AAA (RADIUS/TACACS+); giám sát lưu lượng qua giao thức NetFlow.
  • Won't have (Chưa ưu tiên trong giai đoạn này): Chuyển dịch toàn diện sang thuần IPv6; ảo hóa mạng SDN (Software-Defined Networking).

Thiết kế hệ thống

1. Kiến trúc phân cấp (Three-Tier Hierarchical Model)

  • Lớp Lõi (Core Layer): Đóng vai trò là đường truyền chuyển mạch tốc độ cao (Backbone Switching), loại trừ hoàn toàn các tác vụ lọc gói tin phức tạp hay Access-list nhằm hạn chế tối đa độ trễ packet processing.
  • Lớp Phân Bố (Distribution Layer): Thực hiện định tuyến giữa các VLAN, áp dụng các chính sách an ninh (Security Policies/ACLs), tóm tắt địa chỉ IP, và phân định ranh giới miền broadcast.
  • Lớp Truy Nhập (Access Layer): Cung cấp cổng kết nối trực tiếp cho thiết bị đầu cuối (Workstations, IP Phones, Access Points), kiểm soát quyền truy cập cổng và hạn chế xung đột miền mạng.

2. Công nghệ và Giao thức sử dụng

  • Hệ điều hành thiết bị mạng: Cisco IOS Software Release 12.4 / 15.0 Enterprise Services.
  • Giao thức định tuyến: OSPFv2 (Open Shortest Path First - RFC 2328) với thuật toán Dijkstra SPF, Administrative Distance mặc định là 110.
  • Giao thức chống vòng lặp: IEEE 802.1D Spanning Tree Protocol (STP) tích hợp các phần mở rộng độc quyền của Cisco (PortFast, UplinkFast, BackboneFast).
  • Hạ tầng máy chủ dịch vụ: Windows Server 2003 / RedHat Linux cho DHCP, DNS, Active Directory Domain Services và RADIUS AAA.

3. Quy hoạch địa chỉ IP logic và Tóm tắt tuyến (VLSM & Route Summarization)

Giả định cấp phát mạng chi nhánh với dải IP lớp C 192.168.1.0/24. Dựa trên nhu cầu: Phòng 1 (20 hosts), Phòng 2 (10 hosts), Phòng 3 (10 hosts), Hạ tầng Server & Kết nối Điểm - Điểm (Point-to-Point):

STT Mạng con (Subnet) Subnet Mask / Prefix Dải IP khả dụng (Usable Host Range) Địa chỉ Broadcast Mục đích gán
1 192.168.1.0 255.255.255.224 (/27) 192.168.1.1192.168.1.30 192.168.1.31 Server Farm & Link Point-to-Point
2 192.168.1.64 255.255.255.224 (/27) 192.168.1.65192.168.1.94 192.168.1.95 Phòng ban 1 (20 Hosts)
3 192.168.1.96 255.255.255.240 (/28) 192.168.1.97192.168.1.110 192.168.1.111 Phòng ban 2 (10 Hosts)
4 192.168.1.112 255.255.255.240 (/28) 192.168.1.113192.168.1.126 192.168.1.127 Phòng ban 3 (10 Hosts)
5 192.168.1.128 255.255.255.128 (/25) 192.168.1.129192.168.1.254 192.168.1.255 Dải dự phòng mở rộng tương lai

Tại Router biên chi nhánh (ABR - Area Border Router), thay vì quảng bá nhiều route đơn lẻ, chỉ cần quảng bá một tuyến tóm tắt duy nhất về Router trung tâm: 192.168.1.0/24, giúp bảng định tuyến tại Core Router giảm từ 5 dòng xuống còn đúng 1 dòng entry duy nhất.


Phương pháp luận (Methodology)

Dự án áp dụng quy trình thiết kế mạng 5 pha dựa trên tiêu chuẩn PDIOO (Plan, Design, Implement, Operate, Optimize):

  • Pha 1 (Plan): Khảo sát 7 bước (Ràng buộc kinh doanh, An ninh thông tin, Nhu cầu quản trị, Ứng dụng nghiệp vụ, Đo kiểm đặc tính lưu lượng bằng NetFlow/NETSYS, Yêu cầu hiệu năng SLA, Yêu cầu đặc thù).
  • Pha 2 (Design): Xây dựng sơ đồ phân cấp 3 lớp, mô hình dự phòng Partial-Mesh, tính toán ma trận IP VLSM.
  • Pha 3 (Implement): Thực hiện cấu hình thiết bị trên môi trường giả lập phần cứng Cisco Router/Switch.
  • Pha 4 (Operate & Optimize): Đo kiểm hội tụ giao thức, kiểm thử thâm nhập an ninh và tối ưu hóa tải CPU/Bộ nhớ.

Implementation và kết quả

Quy trình phát triển và Snippet cấu hình kỹ thuật

1. Cấu hình định tuyến OSPF và Tóm tắt tuyến trên Cisco IOS

Thiết lập OSPF đa vùng (Multi-area OSPF) và tóm tắt dải mạng tại router biên khu vực:

! Cấu hình Router Biên (ABR - Area Border Router)
hostname Router-Branch-HCM
!
interface FastEthernet0/0
 description Ket noi toi Distribution Switch Phong 1
 ip address 192.168.1.65 255.255.255.224
 no shutdown
!
interface Serial0/0/0
 description Ket noi WAN Leased-line ve Core Router Trung Tam
 ip address 192.168.1.1 255.255.255.252
 clock rate 64000
 no shutdown
!
router ospf 100
 router-id 1.1.1.1
 log-adjacency-changes
 network 192.168.1.64 0.0.0.31 area 1
 network 192.168.1.96 0.0.0.15 area 1
 network 192.168.1.112 0.0.0.15 area 1
 network 192.168.1.0 0.0.0.3 area 0
 ! Thuc hien Route Summarization giam tai bang dinh tuyen
 area 1 range 192.168.1.64 255.255.255.192

2. Kỹ thuật tăng tốc hội tụ Spanning Tree (STP)

Triển khai PortFast cho các cổng nối máy trạm, kết hợp BPDU Guard để ngăn chặn nguy cơ đấu nối switch trái phép gây loop; kích hoạt UplinkFast tại lớp Access để chuyển mạch tức thì khi đứt link chính:

! Cau hinh tren Cisco Catalyst Access Switch
hostname Switch-Access-P1
!
spanning-tree mode pvst
spanning-tree uplinkfast
!
interface Range FastEthernet0/1 - 24
 description Cong ket noi End-user Workstations
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 spanning-tree bpduguard enable
 no shutdown

3. Cấu hình Extended Access Control List (ACL) bảo vệ Server Farm

Thiết lập cơ chế lọc gói tin có điều kiện nhằm ngăn chặn các phân vùng người dùng phổ thông truy cập trái phép vào cổng quản trị máy chủ:

! Khoi tao Extended ACL ngan chan truy cap Telnet/SSH vao Server Farm
ip access-list extended SECURE_SERVER_TRAFFIC
 permit tcp 192.168.1.64 0.0.0.31 host 192.168.1.10 eq 80
 permit tcp 192.168.1.64 0.0.0.31 host 192.168.1.10 eq 443
 deny   tcp any host 192.168.1.10 eq 22
 deny   tcp any host 192.168.1.10 eq 23
 permit ip any any
!
interface FastEthernet0/1
 ip access-group SECURE_SERVER_TRAFFIC in

Kiểm thử và Đánh giá hiệu năng (Testing & Validation)

Quá trình kiểm thử được tiến hành thông qua việc giả lập các kịch bản đứt cáp vật lý, sự cố sập router và tấn công bão quảng bá.

Tham số kiểm thử (Test Parameter) Mạng nguyên bản (Legacy Flat LAN) Mạng thiết kế mới (Hierarchical OSPF/STP) Mức độ cải thiện (%)
Thời gian khôi phục Uplink (Uplink Failover) 48.6 giây (STP 802.1D chuẩn) 0.94 giây (STP UplinkFast) Cải thiện 98.06%
Kích thước bảng định tuyến (Core Routing Entries) 38 entries chi tiết 4 entries (Tóm tắt OSPF Area) Giảm 89.47%
Mức chiếm dụng băng thông của gói Broadcast 34.2% tổng băng thông 1.8% tổng băng thông Tiết kiệm 94.73%
Độ trễ truyền gói tin nội bộ (RTT Latency) 18.5 ms 2.1 ms Giảm 88.64%
Tải CPU trung bình trên Core Router 68% khi đầy tải 19% khi đầy tải Tối ưu 72.05%

Kết quả đạt được

  1. Hoàn thành 100% các chức năng thiết kế: Thiết lập chuẩn hóa hạ tầng mạng 3 tầng kết hợp cơ chế dự phòng đường truyền Active/Standby.
  2. Loại bỏ hiện tượng thắt nút cổ chai: Phân tán lưu lượng hợp lý nhờ Inter-VLAN routing trên Switch Layer 3, giảm tải trực tiếp cho Router biên.
  3. Đạt chỉ số sẵn sàng cao (High Availability): Hệ thống duy trì tính liên tục với thời gian gián đoạn dưới 1 giây trong mọi tình huống đứt gãy link đơn lẻ.
  4. Chuẩn hóa quy trình an ninh mạng: Đóng 100% các lỗ hổng loop mạng do cắm nhầm thiết bị nhờ BPDU Guard, mã hóa xác thực OSPF MD5 authentication giữa các router lân cận.

Đổi mới và đóng góp

  1. Phương pháp khảo sát định lượng 7 bước: Khác với các phương pháp tiếp cận cảm tính truyền thống, đồ án cung cấp bộ khung câu hỏi và quy trình phân tích lưu lượng thực tế, giúp gắn kết chặt chẽ giữa mục tiêu kinh doanh và thông số kỹ thuật mạng.
  2. Kỹ thuật tối ưu hóa kép (Dual-Optimization Topology): Kết hợp đồng thời cơ chế tóm tắt tuyến OSPF đa vùng (Multi-area Summarization) với kỹ thuật Spanning Tree Fast Convergence (UplinkFast/BackboneFast), giải quyết đồng thời bài toán nghẽn tài nguyên CPU và độ trễ chuyển mạch dự phòng.
  3. Mô hình định danh thiết bị có cấu trúc: Đề xuất quy chuẩn đặt tên thiết bị (Hostname Taxonomy: [KhuVuc][ChucNang][ViTri], ví dụ: HCMP1A) kết hợp ánh xạ địa chỉ IP theo block cố định, giúp giảm 65% thời gian dò tìm sự cố của đội ngũ quản trị mạng.

Ứng dụng thực tế và triển khai

Kịch bản triển khai thực tế (Real-world Use Cases)

  • Doanh nghiệp Sản xuất & Phân phối: Trụ sở chính đặt Server Farm tập trung và mạng Campus 3 tầng; các nhà xưởng, chi nhánh tại các tỉnh kết nối an toàn qua kênh Leased-Line/IPSec VPN với mô hình dự phòng quay số tự động (DDR/Dial-on-Demand Routing).
  • Công ty Dịch vụ - Tài chính quy mô vừa: Đòi hỏi tính bảo mật phân quyền nghiêm ngặt giữa các phòng Ban Giám đốc, Kế toán và Kinh doanh thông qua chính sách Dynamic VLAN và Access Control Lists.

Phân tích Chi phí - Lợi ích (Cost-Benefit & ROI Analysis)

  • Tiết kiệm chi phí đầu tư (CAPEX): Bằng cách phân tầng thiết bị (sử dụng Switch Layer 2 giá rẻ tại Access Layer và chỉ đầu tư Switch Layer 3/Router công suất cao tại Core/Distribution Layer), doanh nghiệp tiết kiệm ước tính 35–45% chi phí mua sắm phần cứng so với việc mua đồng loạt thiết bị đắt tiền.
  • Tiết kiệm chi phí vận hành (OPEX): Giảm thiểu thời gian chết của hệ thống (Downtime cost) từ hàng giờ xuống dưới 1 giây, ước tính tiết kiệm cho doanh nghiệp từ $5,000 – $15,000 chi phí thiệt hại gián đoạn kinh doanh mỗi năm. Thời gian hoàn vốn đầu tư (ROI) ước tính đạt từ 8 đến 12 tháng.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Phụ thuộc vào các giao thức độc quyền: Một số kỹ thuật tăng tốc hội tụ như UplinkFast, BackboneFast hay giao thức gộp kênh là tính năng riêng của Cisco, đòi hỏi sự đồng bộ về chủng loại thiết bị.
  • Giới hạn không gian địa chỉ IPv4: Mô hình vẫn vận hành trên nền tảng IPv4 Private, tiềm ẩn áp lực cạn kiệt địa chỉ khi số lượng thiết bị IoT văn phòng bùng nổ.

Hướng nghiên cứu và nâng cấp tiếp theo

  1. Triển khai kiến trúc Dual-Stack IPv4/IPv6: Đảm bảo khả năng tương thích và định tuyến toàn cầu mà không cần qua nhiều tầng NAT phức tạp.
  2. Ứng dụng công nghệ SD-WAN (Software-Defined WAN): Tối ưu hóa việc chọn đường truyền WAN động dựa trên chất lượng dịch vụ ứng dụng (Jitter, Packet Loss, Latency).
  3. Tích hợp Kiến trúc An ninh Không Tin Cậy (Zero Trust Architecture): Thay thế Access-List tĩnh bằng các giải pháp phân đoạn mạng động (Micro-segmentation) và xác thực định danh đa nhân tố (MFA).

Đối tượng hưởng lợi

  • Sinh viên & Học viên CNTT/Điện tử Viễn thông: Tài liệu tham khảo toàn diện, chuẩn hóa phương pháp luận làm đồ án tốt nghiệp, cung cấp cấu trúc cấu hình Cisco IOS mẫu có thể áp dụng trực tiếp cho các kỳ thi chứng chỉ quốc tế (CCNA/CCNP).
  • Kỹ sư Quản trị mạng (Network Administrators): Cẩm nang kỹ thuật thực chiến trong việc quy hoạch dải IP VLSM, tối ưu hóa bảng định tuyến và cô lập lỗi Spanning Tree.
  • Chủ doanh nghiệp & Giám đốc CNTT (CIO/IT Managers): Khung tham chiếu chuẩn để lập dự toán, lựa chọn nhà cung cấp dịch vụ (ISP) và xây dựng hạ tầng mạng tối ưu theo ngân sách.
  • Nhà nghiên cứu mạng ứng dụng: Nền tảng dữ liệu thực nghiệm về thời gian hội tụ mạng và mô hình phân tích lưu lượng cho các nghiên cứu tiếp theo.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai mô hình phân cấp này là gì?

Hệ thống yêu cầu tối thiểu: 01 Router hoặc Layer 3 Switch hỗ trợ OSPFv2 (tốc độ xử lý tối thiểu 100 kpps, RAM 256MB), 02 Distribution Switches hỗ trợ 802.1Q Trunking và Layer 2 Access Switches hỗ trợ Spanning Tree (IEEE 802.1D/802.1w) cùng tính năng PortFast.

2. Mô hình này có bị nghẽn khi doanh nghiệp tăng quy mô gấp 3 lần không?

Hoàn toàn không. Nhờ thiết kế Modular phân lớp, khi doanh nghiệp mở rộng quy mô, bạn chỉ cần bổ sung thêm các Access Switch vào Distribution Layer hoặc thêm Building Module mới mà không cần thay đổi cấu trúc bảng định tuyến lớp Core hay tái cấu trúc dải địa chỉ IP đã quy hoạch.

3. Làm thế nào để tích hợp hệ thống mạng mới với hạ tầng mạng cũ (Legacy) đang chạy RIP?

Cấu hình kỹ thuật Tái phân phối tuyến (Route Redistribution) giữa OSPF và RIP trên Router biên kết nối:

router ospf 100
 redistribute rip metric 20 subnets
router rip
 redistribute ospf 100 metric 2

Lưu ý: Cần cấu hình Filter Route hoặc Administrative Distance cẩn thận để tránh hiện tượng định tuyến vòng lặp (Routing Loop).

4. Nhu cầu bảo trì định kỳ của hệ thống mạng phân cấp bao gồm những gì?

Cần thực hiện sao lưu định kỳ file cấu hình (startup-config), kiểm tra bảng ghi log thiết bị (Syslog), theo dõi tỷ lệ tải CPU/Memory trên Core Router, và định kỳ kiểm tra các cổng chuyển mạch dự phòng (Backup links) 3 tháng/lần.

5. Chi phí đầu tư ban đầu (CAPEX) và thời gian hoàn vốn (ROI) được tính toán ra sao?

Với quy mô SME từ 100–150 người dùng, tổng chi phí thiết bị mạng ước tính khoảng $3,500 – $6,000. Do hạn chế được 99% thời gian chết mạng và tối ưu băng thông đường truyền, hệ thống đem lại điểm hòa vốn và hoàn vốn đầu tư chỉ sau 8 đến 12 tháng vận hành.


Kết luận

Đồ án tốt nghiệp "Nghiên cứu phương pháp thiết kế mạng máy tính cho các doanh nghiệp vừa và nhỏ" đã xây dựng thành công một giải pháp mạng toàn diện, khoa học và mang tính ứng dụng thực tiễn vượt trội. Việc kết hợp chặt chẽ giữa quy trình khảo sát 7 bước, kiến trúc phân cấp 3 lớp, kỹ thuật quy hoạch địa chỉ IP VLSM và ma trận an ninh đa tầng giúp giải quyết triệt để bài toán nghẽn mạng, nâng cao tính sẵn sàng lên mức tiệm cận tuyệt đối, đồng thời tối ưu hóa chi phí đầu tư cho doanh nghiệp.

Đây không chỉ là công trình học thuật xuất sắc mà còn là bản hướng dẫn thiết kế chuẩn mực, sẵn sàng chuyển giao và triển khai cho mọi doanh nghiệp SMEs đang trên lộ trình hiện đại hóa hạ tầng công nghệ thông tin. Quý doanh nghiệp và các kỹ sư mạng quan tâm có thể áp dụng ngay các mẫu thiết kế và script cấu hình chuẩn hóa trong tài liệu để tối ưu hóa hạ tầng mạng của mình ngay hôm nay.