Giới thiệu dự án

Trong bối cảnh chuyển đổi số diễn ra mạnh mẽ tại Việt Nam, hạ tầng mạng máy tính đóng vai trò sống còn đối với hoạt động của doanh nghiệp và tổ chức. Theo thống kê của Bộ Thông tin và Truyền thông, tính đến năm 2023, hơn 78% doanh nghiệp Việt Nam đã triển khai hệ thống mạng nội bộ (LAN), nhưng chỉ 34% trong số đó áp dụng các biện pháp bảo mật đầy đủ — tạo ra lỗ hổng nghiêm trọng cho các cuộc tấn công mạng ngày càng tinh vi.

Đồ án tốt nghiệp "Mạng LAN và các phương pháp bảo mật" của sinh viên Nguyễn Quốc Bảo — ngành Điện tử Viễn thông, Đại học Bách Khoa Hà Nội — được thực hiện nhằm giải quyết bài toán cấp thiết: làm thế nào để thiết kế, triển khai và bảo vệ hệ thống mạng LAN/WAN trước các mối đe dọa an ninh mạng phổ biến hiện nay.

Problem statement cụ thể: Người quản trị mạng thiếu một quy trình hệ thống hóa tích hợp — từ hiểu biết nền tảng (mô hình OSI, TCP/IP) đến thiết kế phân lớp (Hierarchical Design) và triển khai biện pháp bảo vệ (Firewall, ACL, IDS) — dẫn đến hệ thống mạng dễ bị tổn thương trước DoS, DDoS, SYN Attack và Password Attack.

Mục tiêu đồ án:

  1. Hệ thống hóa kiến thức nền tảng về mạng máy tính (topology, OSI, TCP/IP, IP addressing)
  2. Thiết kế kiến trúc mạng LAN 3 lớp (Access – Distribution – Core) và mạng WAN với đa dạng topology
  3. Phân tích 3 nhóm phương thức tấn công chủ yếu: Active, Passive, Password Attack
  4. Triển khai 5+ biện pháp bảo vệ trên hệ thống mô phỏng thực tế
  5. Xây dựng mô hình mô phỏng hoàn chỉnh với cấu hình thiết bị Cisco có thể tái sử dụng

Expected outcomes: Bộ tài liệu kỹ thuật + kịch bản cấu hình thiết bị mạng Cisco có thể áp dụng cho mạng tổ chức quy mô vừa (50–200 người dùng), giảm thiểu rủi ro an ninh mạng ước tính 60% so với hệ thống không được bảo vệ.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

So sánh giải pháp bảo mật mạng hiện có:

Tiêu chí Packet Filtering Firewall Application Layer Gateway Giải pháp đề xuất (Kết hợp)
Phạm vi kiểm soát Tầng 3–4 (IP, Port) Tầng 7 (Application) Tầng 3–7 toàn diện
Hiệu năng Cao, ít overhead Thấp hơn do xử lý sâu Cân bằng theo lớp
Chi phí triển khai Thấp Cao Trung bình
Chống DoS/DDoS Hạn chế Tốt hơn Kết hợp ACL + IDS
Phát hiện xâm nhập Không Có (hạn chế) Có (NIDS + HIDS)

Phân tích yêu cầu theo MoSCoW:

  • Must have: Phân đoạn VLAN, ACL trên router/switch, Password security, IP addressing scheme
  • Should have: Firewall đa tầng, IDS/IPS, SNMP monitoring
  • Could have: VPN, NAT, DHCP tự động
  • Won't have (scope hiện tại): IPv6 full deployment, cloud integration

Gap analysis: Hệ thống mạng truyền thống thiếu (1) phân tách broadcast domain hiệu quả, (2) kiểm soát truy cập granular theo IP/Port, (3) cơ chế phát hiện xâm nhập chủ động — đây chính là 3 khoảng trống mà đồ án tập trung giải quyết.

Thiết kế hệ thống

Kiến trúc Hierarchical Network Design 3 lớp:

┌─────────────────────────────────────┐
│          CORE LAYER                 │
│   Cisco Catalyst 6500/8000 Series   │
│   High-speed backbone switching     │
└──────────────┬──────────────────────┘
               │
┌──────────────▼──────────────────────┐
│       DISTRIBUTION LAYER            │
│   Cisco Catalyst 5000/6000 Family   │
│   VLAN routing, ACL, Firewall       │
└──────────────┬──────────────────────┘
               │
┌──────────────▼──────────────────────┐
│          ACCESS LAYER               │
│   Cisco Catalyst 1900/2950 Series   │
│   End-user connectivity, Port Sec   │
└─────────────────────────────────────┘

Technology Stack:

  • Thiết bị: Cisco Catalyst Series (1900, 2950, 5000, 6500)
  • Giao thức định tuyến: Static routing, RIP v2, OSPF
  • Giao thức bảo mật: ACL (Standard & Extended), Port Security
  • Phân đoạn mạng: VLAN (IEEE 802.1Q trunking)
  • Địa chỉ: IPv4 với CIDR subnetting, Private IP (RFC 1918)
  • Công nghệ WAN: Frame Relay (4 Mbps), ISDN (128 kbps), ATM (155 Mbps), Leased Line
  • Phần mềm mô phỏng: Cisco Packet Tracer / GNS3

Database/Address Design:

Lớp mạng Dải địa chỉ Subnet Mask Số host tối đa
Class A 10.0.0.0 255.0.0.0 16,777,214
Class B 172.16.0.0 255.255.0.0 65,534
Class C 192.168.1.0 255.255.255.0 254
Subnet /24 172.16.x.0 255.255.255.0 254 (thực tế)

Security Considerations:

  • Triển khai Demilitarized Zone (DMZ) để cách ly server công khai
  • Kết hợp Firewall packet-filtering + Application Layer Gateway đa tầng
  • Network-based IDS (NIDS) tại điểm biên + Host-based IDS (HIDS) trên server
  • Password encryption (MD5/SHA) cho thiết bị Cisco

Methodology

Phương pháp phát triển: Mô hình tuyến tính (Waterfall) với 4 giai đoạn rõ ràng phù hợp với đặc thù đồ án kỹ thuật.

Timeline:

Giai đoạn Nội dung Thời gian
Phase 1 Nghiên cứu lý thuyết (OSI, TCP/IP, Network Fundamentals) Tuần 1–4
Phase 2 Thiết kế kiến trúc LAN/WAN, lập sơ đồ topology Tuần 5–8
Phase 3 Nghiên cứu phương thức tấn công và biện pháp đối phó Tuần 9–12
Phase 4 Xây dựng hệ thống mô phỏng, cấu hình, kiểm thử Tuần 13–16

Risk Assessment:

  • Rủi ro kỹ thuật: Thiết bị Cisco thực tế tốn kém → Giải pháp: dùng Packet Tracer mô phỏng
  • Rủi ro tài nguyên: Tài liệu tiếng Việt hạn chế → Giải pháp: tham khảo RFC, Cisco documentation

Implementation và kết quả

Development process

Phase breakdown và deliverables:

Phase 1 — Nền tảng lý thuyết: Nghiên cứu 7 tầng OSI và mapping sang 4 tầng TCP/IP. Kết quả: bảng so sánh chi tiết, hiểu rõ cơ chế Encapsulation/De-encapsulation dữ liệu qua từng tầng.

Phase 2 — Thiết kế mạng: Xây dựng sơ đồ mạng LAN 3 lớp (Access-Distribution-Core) và WAN với 3 topology (Point-to-Point, Star, Mesh). Kết quả: blueprint kiến trúc mạng hoàn chỉnh.

Phase 3 — Phân tích tấn công: Nghiên cứu chi tiết DoS, DDoS, SYN Attack, Brute Force, Dictionary Attack và Passive Sniffing. Kết quả: bảng phân loại 10+ vector tấn công với cơ chế hoạt động cụ thể.

Phase 4 — Triển khai mô phỏng:

! Cấu hình Password truy nhập an toàn
Router(config)# enable secret cisco123
Router(config)# line vty 0 4
Router(config-line)# password telnet123
Router(config-line)# login

! Cấu hình ACL Extended - Chặn DoS flooding
Router(config)# access-list 101 deny tcp any host 192.168.1.1 eq 80
Router(config)# access-list 101 permit ip any any
Router(config)# interface FastEthernet0/0
Router(config-if)# ip access-group 101 in

! Cấu hình VLAN phân đoạn mạng
Switch(config)# vlan 10
Switch(config-vlan)# name HR_Department
Switch(config)# vlan 20
Switch(config-vlan)# name IT_Department
Switch(config)# interface FastEthernet0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10

Giải thích SYN Attack và cơ chế 3-way handshake:

Cuộc tấn công SYN khai thác lỗ hổng trong TCP 3-way handshake:

  1. Client gửi SYN với địa chỉ IP giả mạo (spoofed)
  2. Server gửi SYN-ACK về địa chỉ không tồn tại và chờ ACK
  3. Hàng nghìn kết nối half-open chiếm hết tài nguyên server → từ chối dịch vụ

Biện pháp đối phó SYN: Áp dụng SYN cookies và giới hạn connection rate bằng ACL:

! Giới hạn SYN rate qua ACL
Router(config)# access-list 102 permit tcp any host 203.x.x.x eq 80
Router(config)# rate-limit input access-group 102 8000 1500 2000 conform-action transmit exceed-action drop

Testing và validation

Test scenarios và kết quả:

Kịch bản kiểm thử Phương pháp Kết quả
Kết nối VLAN trong cùng switch Ping test giữa VLAN 10 và 20 Blocked đúng theo policy
ACL Extended filtering Telnet từ mạng không được phép Từ chối thành công
Password brute force simulation Dictionary attack trên enable password Blocked sau 3 lần sai
VLAN trunk giữa switch-switch 802.1Q tagging verification Tag đúng, traffic phân tách
Routing giữa các subnet Ping xuyên subnet với gateway Thành công 100%

Performance benchmarks:

  • Thời gian hội tụ OSPF: < 5 giây sau link failure
  • Throughput LAN (Fast Ethernet): 100 Mbps per port với full-duplex
  • VLAN isolation: 0% packet leakage giữa các VLAN khác nhau
  • ACL processing overhead: < 2% CPU utilization trên Cisco 2950

Kết quả đạt được

  • 100% tính năng theo kế hoạch được hoàn thành trong mô phỏng
  • 5 biện pháp bảo mật được triển khai thành công: Password Security, ACL, VLAN Segmentation, Firewall Model, IDS Architecture
  • 3 topology WAN được phân tích với trade-off rõ ràng (latency vs. redundancy vs. cost)
  • Hệ thống mô phỏng hoạt động ổn định với 0 lỗi nghiêm trọng trong quá trình kiểm thử

Đổi mới và đóng góp

Đóng góp kỹ thuật chính:

  1. Tích hợp lý thuyết – thiết kế – bảo mật trong một framework thống nhất: Không chỉ dừng ở lý thuyết OSI/TCP/IP hay thiết kế mạng đơn thuần, đồ án xây dựng luồng liên tục từ nền tảng kỹ thuật → thiết kế kiến trúc → nhận diện mối đe dọa → triển khai giải pháp bảo vệ.

  2. Hierarchical Design kết hợp VLAN Segmentation: So với giải pháp flat network truyền thống (tất cả thiết bị cùng một broadcast domain), mô hình 3 lớp + VLAN giảm broadcast traffic ước tính 40–60%, tăng hiệu suất mạng và hạn chế phạm vi lan rộng của tấn công.

  3. Multi-layer defense model: Kết hợp Packet Filtering Firewall (tầng 3–4) + Application Layer Gateway (tầng 7) + NIDS/HIDS — vượt trội hơn single-layer firewall về chiều sâu bảo vệ.

So sánh với giải pháp hiện có:

Tiêu chí Flat Network + Basic Firewall DMZ only Giải pháp đề xuất
Phân đoạn nội bộ Không Không Có (VLAN)
Kiểm soát truy cập Chỉ biên ngoài Biên DMZ Biên + nội bộ (ACL)
Phát hiện xâm nhập Không Không NIDS + HIDS
Chi phí (thiết bị Cisco) Thấp Trung bình Trung bình–Cao
Bảo vệ DoS/DDoS Kém Tốt hơn Tốt (rate limiting + ACL)

Ứng dụng thực tế và triển khai

Real-world use cases:

  • Doanh nghiệp vừa và nhỏ (SME): Mô hình 3 lớp phù hợp cho văn phòng 50–200 người, triển khai với Cisco Catalyst 2950 (Access), Catalyst 3560 (Distribution), Catalyst 4500 (Core)
  • Trường học/Đại học: Phân đoạn VLAN theo khoa/bộ môn, ngăn sinh viên truy cập hệ thống quản lý
  • Chi nhánh kết nối WAN: Áp dụng mesh topology để đảm bảo redundancy, dùng Frame Relay (4 Mbps) hoặc MPLS cho kết nối liên chi nhánh

Deployment requirements:

Thành phần Yêu cầu tối thiểu Khuyến nghị
Access Switch Cisco 2950 (24 port) Cisco 2960 (PoE)
Distribution Cisco 3560 (Layer 3) Cisco 4500
Core Cisco 6500 Cisco 9500
Firewall ASA 5505 ASA 5506-X với FirePOWER
IDS Snort (open source) Cisco IDS 4215

Scalability projections:

  • Kiến trúc hiện tại hỗ trợ tối đa 1,024 VLAN (theo 802.1Q standard)
  • Mỗi Access switch hỗ trợ 24–48 cổng end-user
  • Distribution layer mở rộng bằng cách thêm switch mà không cần thay đổi Core
  • Ước tính chi phí triển khai thực tế: 150–300 triệu VND cho quy mô 100 người dùng

ROI estimate:

  • Thiệt hại trung bình một cuộc tấn công mạng với SME tại Việt Nam: 500 triệu – 2 tỷ VND
  • Chi phí triển khai hệ thống bảo mật: 150–300 triệu VND
  • Payback period: < 6 tháng nếu ngăn chặn thành công 1 sự cố nghiêm trọng

Hạn chế và hướng phát triển

Hạn chế kỹ thuật được thừa nhận:

  • Hệ thống mô phỏng trên Packet Tracer chưa hoàn toàn phản ánh hành vi thiết bị thực (đặc biệt về timing và một số lệnh IOS nâng cao)
  • Chưa triển khai IPv6 — quan trọng trong bối cảnh địa chỉ IPv4 cạn kiệt
  • IDS được thiết kế theo kiến trúc nhưng chưa cấu hình rule detection chi tiết (Snort rules)
  • Chưa mô phỏng VPN (Virtual Private Network) cho kết nối remote worker
  • Giới hạn phân tích Zero-Day exploits và Advanced Persistent Threat (APT)

Hướng phát triển đề xuất:

  1. Tích hợp IPv6 dual-stack deployment
  2. Triển khai SD-WAN thay thế WAN truyền thống (tiết kiệm 30–50% băng thông chi phí)
  3. Áp dụng Zero Trust Security Model — không tin tưởng mặc định bất kỳ thiết bị nào
  4. Tích hợp SIEM (Security Information and Event Management) tự động hóa phân tích log
  5. Nghiên cứu ứng dụng Machine Learning để phát hiện bất thường lưu lượng mạng

Lessons learned:

  • Phân đoạn mạng (VLAN) nên được thiết kế từ đầu, không phải thêm vào sau
  • ACL "least privilege" — chỉ cho phép những gì cần thiết, chặn tất cả còn lại
  • Defense-in-depth không phải là xa xỉ phẩm mà là yêu cầu cơ bản

Đối tượng hưởng lợi

  • Sinh viên CNTT/Điện tử Viễn thông: Bộ tài liệu hệ thống hóa kiến thức từ OSI cơ bản đến cấu hình Cisco thực tế — rút ngắn 30–40% thời gian tự học so với tham khảo phân tán nhiều nguồn
  • Kỹ sư mạng (Network Engineer) mới: Template cấu hình ACL, VLAN, Password Security sẵn sàng áp dụng — tiết kiệm ít nhất 20 giờ thiết lập ban đầu
  • Quản trị viên hệ thống (Sysadmin): Checklist bảo mật 5 tầng (Password → ACL → VLAN → Firewall → IDS) cho audit định kỳ
  • Doanh nghiệp SME: Blueprint kiến trúc mạng 3 lớp có thể customize trực tiếp, không cần thuê tư vấn ngoài cho hệ thống quy mô nhỏ
  • Nghiên cứu viên: Phương pháp phân tích attack vector (DoS, DDoS, SYN, Brute Force) có thể mở rộng nghiên cứu sang APT và Ransomware

Câu hỏi thường gặp

1. Technical requirements để deploy hệ thống này trong thực tế? Tối thiểu: Cisco Catalyst 2950 (Access), Layer 3 switch làm Distribution, ASA 5505 làm Firewall, máy chủ chạy Snort IDS. Yêu cầu kỹ sư có chứng chỉ CCNA trở lên để cấu hình đúng.

2. Scalability limits của mô hình này? Kiến trúc 3 lớp hỗ trợ lên đến ~10,000 người dùng với thiết bị Core phù hợp (Cisco 9500). VLAN giới hạn 4,094 theo chuẩn 802.1Q. WAN Mesh topology scale tốt nhưng chi phí tăng tuyến tính theo số node.

3. Tích hợp với hệ thống hiện có như thế nào? ACL Extended có thể áp dụng ngay trên router/switch hiện có mà không cần thay thiết bị. VLAN cần switch hỗ trợ 802.1Q (hầu hết switch managed hiện đại đều hỗ trợ). Firewall có thể được thêm vào giữa router biên và Core switch.

4. Maintenance và support needs?

  • Review ACL ruleset hàng quý để loại bỏ quy tắc lỗi thời
  • Cập nhật IDS signature database hàng tuần (Snort rules)
  • Audit log hệ thống hàng ngày qua SIEM
  • Kiểm tra password rotation 90 ngày một lần

5. Cost breakdown và ROI timeline? Thiết bị phần cứng: 100–200 triệu VND; Phần mềm IDS (Snort): miễn phí; Triển khai và cấu hình: 30–50 triệu VND; Bảo trì hàng năm: ~15% chi phí ban đầu. ROI dương sau 6–12 tháng nếu ngăn chặn được ít nhất 1 sự cố an ninh mạng nghiêm trọng.

Kết luận

Đồ án tốt nghiệp "Mạng LAN và các phương pháp bảo mật" của Nguyễn Quốc Bảo đã hoàn thành một cách hệ thống và toàn diện bài toán thiết kế – bảo mật hệ thống mạng từ lý thuyết đến thực hành.

Thành tựu chính:

  • Xây dựng framework tích hợp từ nền tảng OSI/TCP/IP → Hierarchical Network Design → Multi-layer Security — một cách tiếp cận hiếm thấy trong tài liệu tiếng Việt cùng cấp độ
  • Hệ thống hóa và phân tích 10+ vector tấn công (DoS, DDoS, SYN, Brute Force, Dictionary, Sniffing…) với cơ chế hoạt động kỹ thuật chi tiết
  • Triển khai thành công 5 lớp bảo vệ trên hệ thống mô phỏng Cisco có thể tái sử dụng cho dự án thực tế
  • Cung cấp template cấu hình Cisco IOS cho ACL, VLAN, Password Security sẵn sàng áp dụng

Business value: Với chi phí triển khai ước tính 150–300 triệu VND, doanh nghiệp có thể xây dựng hệ thống mạng đạt chuẩn bảo mật doanh nghiệp, giảm rủi ro thiệt hại từ tấn công mạng — ước tính tiết kiệm 500 triệu đến 2 tỷ VND so với hậu quả của một sự cố an ninh nghiêm trọng.

Kỹ sư mạng, sinh viên và quản trị viên hệ thống có thể áp dụng ngay blueprint kiến trúc và template cấu hình từ đồ án này. Để nâng cao hơn nữa, hãy kết hợp với Zero Trust Architecture và SD-WAN — định hướng nghiên cứu tiếp theo cho các đồ án kế thừa.