Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, hạ tầng mạng cục bộ (LAN - Local Area Network) đóng vai trò là "hệ thần kinh trung ương" điều phối mọi luồng trao đổi dữ liệu, ứng dụng nghiệp vụ và giao tiếp nội bộ trong doanh nghiệp. Theo thống kê từ Gartner, sự cố gián đoạn mạng (downtime) gây thiệt hại trung bình cho doanh nghiệp lên tới 5.600 USD/phút. Đồng thời, xu hướng làm việc linh hoạt (hybrid/remote work) hậu đại dịch COVID-19 đặt ra yêu cầu cấp thiết về việc kết nối an toàn từ xa vào tài nguyên nội bộ.

Đề tài tốt nghiệp "Thiết kế và xây dựng mô hình mạng 3 lớp theo tiêu chuẩn Cisco cho doanh nghiệp" (Chuyên ngành: Công nghệ và Kỹ thuật Máy tính, Trường Đại học Sư phạm Kỹ thuật TP.HCM) giải quyết trực tiếp bài toán xây dựng hạ tầng mạng doanh nghiệp quy mô vừa và lớn (>500 nhân sự) đáp ứng toàn diện các tiêu chí: sẵn sàng cao (High Availability), cân bằng tải, bảo mật đa tầng và truy cập từ xa tin cậy.

                  +-------------------------------+
                  |      Edge / ISP Router        |
                  |     (Cisco 2911/K9, NAT/VPN)  |
                  +---------------+---------------+
                                  |
              +-------------------+-------------------+
              |                                       |
    +---------+---------+                   +---------+---------+
    |  Core Switch 1    |===== EtherChannel ===|  Core Switch 2    |
    | (WS-C3560X-24P-L) |      (LACP / PAgP)   | (WS-C3560X-24P-L) |
    +---------+---------+                   +---------+---------+
              | \                                   / |
              |   \--- OSPF / 802.1Q Trunking ---/    |
              |   /                               \   |
    +---------+---------+                   +---------+---------+
    | Distribute SW 1   |===== EtherChannel ===| Distribute SW 2   |
    | (WS-C3560-24PS-S) |       HSRP Active/   | (WS-C3560-24PS-S) |
    |   DHCP Server 1   |         Standby      |   DHCP Server 2   |
    +---------+---------+                   +---------+---------+
              |                                       |
    +---------+---------------------------------------+---------+
    |                Access Layer (Cisco 2960 / SG200-50)       |
    |          VLAN 22 (IT) | VLAN 10 (KD) | VLAN 20 (KT) ...   |
    +-----------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Hầu hết các mạng doanh nghiệp truyền thống gặp phải các nút thắt kỹ thuật nghiêm trọng:

  • Single Point of Failure (SPOF): Lỗi tại một switch trung tâm hoặc router gateway khiến toàn bộ doanh nghiệp tê liệt.
  • Nghẽn cổ chai và bão quảng bá (Broadcast Storm): Thiếu phân đoạn mạng logic khiến bảng MAC bị tràn, suy hao băng thông nghiêm trọng khi vượt quá 200 thiết bị.
  • Lỗ hổng bảo mật tầng truy cập (Layer 2 Vulnerabilities): Nguy cơ bị tấn công giả mạo máy chủ DHCP (Rogue DHCP Server) và tấn công tràn địa chỉ MAC (CAM Table Overflow).
  • Thiếu giải pháp làm việc từ xa an toàn: Nhân viên ngoài văn phòng không thể truy cập an toàn vào cơ sở dữ liệu nội bộ.

Mục tiêu dự án

  1. Thiết kế và tối ưu hóa mô hình mạng phân cấp 3 lớp (Three-Tier Hierarchical Model) theo tiêu chuẩn kiến trúc Cisco Enterprise.
  2. Thiết lập cơ chế dự phòng Gateway mặc định thông qua giao thức HSRP (Hot Standby Router Protocol).
  3. Triển khai định tuyến động OSPF (Open Shortest Path First) đa vùng kết hợp cân bằng tải và dự phòng tuyến truyền dẫn.
  4. Gộp kênh liên kết vật lý tăng băng thông và khả năng chịu lỗi bằng công nghệ EtherChannel (LACP).
  5. Tăng cường an ninh Layer 2 với kỹ thuật Port Security và DHCP Snooping.
  6. Xây dựng dịch vụ mạng riêng ảo IPsec VPN Client-to-Site phục vụ truy cập từ xa.
  7. Mô phỏng, kiểm thử toàn diện kịch bản lỗi và đánh giá hiệu năng trên nền tảng Cisco Packet Tracer.

Phạm vi và giới hạn

  • Phạm vi: 5 phân vùng chức năng phòng ban chuyên biệt (IT, Kinh doanh, Kế toán, Nhân sự, Chăm sóc khách hàng) cùng phân vùng máy chủ dịch vụ nội bộ (Web Server, DNS Server).
  • Giới hạn: Nghiên cứu thực hiện mô phỏng dựa trên tập lệnh hệ điều hành Cisco IOS v15.x với thông số kỹ thuật phần cứng chuẩn của các dòng thiết bị Cisco Catalyst và Cisco Integrated Services Router (ISR).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí kỹ thuật Mô hình mạng phẳng (Flat Network) Mô hình thu gọn (Collapsed Core) Mô hình 3 lớp Cisco (Three-Tier)
Khả năng mở rộng Rất thấp (<100 hosts) Trung bình (100 - 300 hosts) Xuất sắc (>500 - 5.000 hosts)
Dự phòng lỗi (Redundancy) Không có (SPOF tại Core) Hạn chế (Dự phòng tại Switch Core) Toàn diện (Core, Distribution, Gateway)
Kiểm soát lưu lượng & QoS Không hỗ trợ Phức tạp tại Core Switch Tối ưu hóa tại Lớp Distribution
Khả năng cách ly lỗi Kém (Bão Broadcast lan rộng) Trung bình Tối đa hóa (Cách ly theo VLAN/Access)
Bảo mật phân tầng Yếu Trung bình Đa lớp (Layer 2 Security + ACL + VPN)

Phân loại yêu cầu theo mô hình MoSCoW

  • Must-have: Phân vùng VLAN cho 5 phòng ban, dự phòng Gateway bằng HSRP, định tuyến OSPF, cấp phát IP tự động DHCP, NAT Overload ra Internet.
  • Should-have: Tăng băng thông Trunking bằng EtherChannel LACP, chống giả mạo máy chủ DHCP bằng DHCP Snooping, giới hạn truy cập MAC bằng Port Security.
  • Could-have: VPN Client-to-Site tích hợp xác thực AAA nội bộ, máy chủ DNS và HTTP nội bộ.
  • Won't-have: Tích hợp xác thực phần cứng tập trung Cisco ISE 802.1X (dành cho giai đoạn nâng cấp tiếp theo).

Thiết kế hệ thống

1. Kiến trúc phân tầng 3 lớp

  • Lớp lõi (Core Layer): Đóng vai trò xương sống truyền dẫn tốc độ cao, xử lý chuyển mạch gói tin với độ trễ cực thấp. Sử dụng 02 Switch Layer 3 Cisco Catalyst WS-C3560X-24P-L (Switching capacity 160 Gbps, Forwarding rate 41.66 Mpps) kết nối song song.
  • Lớp phân phối (Distribution Layer): Điểm hội tụ của lớp truy cập, chịu trách nhiệm định tuyến giữa các VLAN (Inter-VLAN Routing), thực thi chính sách bảo mật Access List (ACL), cung cấp dịch vụ DHCP và dự phòng Gateway qua HSRP. Sử dụng 02 Switch Layer 3 Cisco Catalyst WS-C3560-24PS-S.
  • Lớp truy cập (Access Layer): Cung cấp kết nối trực tiếp đến máy trạm của người dùng cuối, phân đoạn VLAN, thực thi các tính năng an ninh cổng. Sử dụng Switch Cisco Catalyst 2960-24TT / Cisco Small Business SG200-50.
  • Lớp biên (Edge/WAN Layer): Router Cisco 2911/K9 (512 MB DRAM, hỗ trợ mã hóa phần cứng VPN, NAT/PAT, Firewall).
                      +-------------------+
                      |   VLAN IP Plan    |
                      +---------+---------+
                                |
       +------------------------+------------------------+
       |            |           |           |            |
     VLAN 22      VLAN 10     VLAN 20     VLAN 30      VLAN 40
       IT           KD          KT          NS          CSKH
 172.16.22.0/24 172.16.10.0 172.16.20.0 172.16.30.0  172.16.40.0

2. Kế hoạch định địa chỉ IP và Phân chia VLAN

Phân vùng (Pool) VLAN ID Địa chỉ mạng (Network) Subnet Mask Default Gateway Ảo (HSRP)
Phòng IT 22 172.16.22.0 255.255.255.0 (/24) 172.16.22.254
Phòng Kinh Doanh 10 172.16.10.0 255.255.255.0 (/24) 172.16.10.254
Phòng Kế Toán 20 172.16.20.0 255.255.255.0 (/24) 172.16.20.254
Phòng Nhân Sự 30 172.16.30.0 255.255.255.0 (/24) 172.16.30.254
Chăm Sóc Khách Hàng 40 172.16.40.0 255.255.255.0 (/24) 172.16.40.254
Hệ thống Máy chủ (DMZ) 50 172.16.50.0 255.255.255.0 (/24) 172.16.50.254

Methodology

Quy trình phát triển hệ thống tuân theo phương pháp luận thiết kế mạng doanh nghiệp PPDIOO (Prepare, Plan, Design, Implement, Operate, Optimize) của Cisco:

Giai đoạn Mốc thời gian Hạng mục công việc chính (Deliverables)
Tuần 1 - 2 Khảo sát & Phân tích Xác định nhu cầu băng thông, lập bảng phân rã chức năng 5 phòng ban.
Tuần 3 - 5 Thiết kế kiến trúc Lập sơ đồ Topo logic/vật lý, quy hoạch Subnetting VLSM, chọn BOM thiết bị.
Tuần 6 - 8 Cấu hình mô phỏng Cấu hình VLAN, Trunking 802.1Q, EtherChannel, HSRP, OSPF, DHCP Snooping.
Tuần 9 - 10 Tích hợp dịch vụ biên Cấu hình NAT Overload, IPsec VPN Crypto Map, Port Security, Access Point.
Tuần 11 - 12 Kiểm thử & Tối ưu hóa Kiểm thử kịch bản ngắt link/node, đo lường thời gian hội tụ, nghiệm thu đồ án.

Implementation và kết quả

Development process

Quá trình cấu hình toàn diện hệ thống được thực thi trên môi trường Cisco IOS bằng các khối lệnh tiêu chuẩn:

1. Cấu hình Trunking IEEE 802.1Q và Gộp kênh EtherChannel (LACP)

Tối ưu hóa liên kết giữa Switch Phân phối (DSW1) và Switch Lõi (CSW1) thông qua liên kết Port-Channel luận lý:

! Cấu hình EtherChannel chuẩn LACP trên Switch Distribute 1
DSW1(config)# interface range FastEthernet 0/1 - 2
DSW1(config-if-range)# switchport trunk encapsulation dot1q
DSW1(config-if-range)# switchport mode trunk
DSW1(config-if-range)# channel-group 1 mode active
DSW1(config-if-range)# no shutdown
DSW1(config)# exit

DSW1(config)# interface port-channel 1
DSW1(config-if)# switchport mode trunk
DSW1(config-if)# switchport trunk allowed vlan 10,20,22,30,40,50

2. Cấu hình Dự phòng Gateway HSRP (Hot Standby Router Protocol)

Cấu hình DSW1 làm Active Gateway cho VLAN 22 (Priority 150) và Standby Gateway cho các VLAN chẵn để thực hiện cân bằng tải lưu lượng:

! Cấu hình HSRP trên Interface SVI VLAN 22 tại DSW1
DSW1(config)# interface vlan 22
DSW1(config-if)# ip address 172.16.22.252 255.255.255.0
DSW1(config-if)# standby 22 ip 172.16.22.254
DSW1(config-if)# standby 22 priority 150
DSW1(config-if)# standby 22 preempt
DSW1(config-if)# no shutdown

! Cấu hình HSRP trên Interface SVI VLAN 22 tại DSW2 (Standby Router)
DSW2(config)# interface vlan 22
DSW2(config-if)# ip address 172.16.22.253 255.255.255.0
DSW2(config-if)# standby 22 ip 172.16.22.254
DSW2(config-if)# standby 22 priority 100
DSW2(config-if)# standby 22 preempt

3. Cấu hình Định tuyến động OSPFv2 Đơn vùng (Area 0)

Đảm bảo khả năng hội tụ nhanh và định tuyến tối ưu dựa trên giải thuật Dijkstra:

! Kích hoạt OSPF trên Switch Lõi và đẩy tuyến mặc định ra Internet
CSW1(config)# router ospf 1
CSW1(config-router)# router-id 1.1.1.1
CSW1(config-router)# network 172.16.0.0 0.0.255.255 area 0
CSW1(config-router)# default-information originate
CSW1(config-router)# exit

4. Cấu hình An ninh Layer 2: Port Security và DHCP Snooping

! Bảo vệ cổng truy cập chống cắm thiết bị lạ và tấn công giả mạo MAC
ASW1(config)# interface range FastEthernet 0/1 - 20
ASW1(config-if-range)# switchport mode access
ASW1(config-if-range)# switchport port-security
ASW1(config-if-range)# switchport port-security maximum 1
ASW1(config-if-range)# switchport port-security mac-address sticky
ASW1(config-if-range)# switchport port-security violation shutdown

! Chống tấn công giả mạo DHCP Server bằng DHCP Snooping
ASW1(config)# ip dhcp snooping
ASW1(config)# ip dhcp snooping vlan 10,20,22,30,40
ASW1(config)# interface GigabitEthernet 0/1
ASW1(config-if)# ip dhcp snooping trust

5. Cấu hình IPsec VPN Client-to-Site trên Router Biên (Cisco 2911)

! Thiết lập Phase 1 ISAKMP Policy
Router_ISP(config)# crypto isakmp policy 10
Router_ISP(config-isakmp)# encr aes 256
Router_ISP(config-isakmp)# authentication pre-share
Router_ISP(config-isakmp)# group 2
Router_ISP(config-isakmp)# exit
Router_ISP(config)# crypto isakmp key CiscoVPN2022 address 0.0.0.0 0.0.0.0

! Thiết lập Phase 2 Transform Set và Crypto Map
Router_ISP(config)# crypto ipsec transform-set ESP-AES-SHA esp-aes 256 esp-sha-hmac
Router_ISP(config)# crypto dynamic-map DYN-MAP 10
Router_ISP(config-crypto-map)# set transform-set ESP-AES-SHA
Router_ISP(config-crypto-map)# exit
Router_ISP(config)# crypto map VPN-MAP 10 ipsec-isakmp dynamic DYN-MAP
Router_ISP(config)# interface GigabitEthernet 0/0
Router_ISP(config-if)# crypto map VPN-MAP

Testing và validation

Hệ thống đã trải qua 5 kịch bản kiểm thử nghiêm ngặt trên mô hình giả lập:

  1. Kiểm thử cấp phát động DHCP: 100% các máy trạm thuộc 5 phân vùng VLAN nhận đúng dải IP cấu hình, Subnet Mask, DNS Server và Default Gateway ảo HSRP trong thời gian $< 1.2\text{ s}$.
  2. Kiểm thử chuyển mạch dự phòng HSRP: Giả lập ngắt nguồn (Power Down) đột ngột Switch DSW1. Trạng thái SVI VLAN 22 trên DSW2 tự động chuyển từ Standby sang Active trong vòng $2.8\text{ s}$. Số gói tin mất mát trong quá trình chuyển đổi chỉ từ 1 - 2 gói tin ping (ICMP Request).
  3. Kiểm thử bảo mật Port Security: Thay đổi thủ công địa chỉ MAC trên máy trạm kết nối cổng FastEthernet 0/1 của Access Switch. Cổng ngay lập tức rơi vào trạng thái err-disable (shutdown), ngăn chặn hoàn toàn kết nối trái phép vào hệ thống.
  4. Kiểm thử cân bằng tải và chịu lỗi EtherChannel: Tắt một đường truyền vật lý trong kênh Port-Channel 1. Băng thông tự động giảm từ 200 Mbps xuống 100 Mbps mà không gây rớt bất kỳ session TCP nào đang hoạt động.
  5. Kiểm thử truy cập từ xa IPsec VPN: Máy trạm từ mạng Internet công cộng thiết lập kết nối Client-to-Site thành công với Router biên, ping thông suốt đến IP nội bộ Server 172.16.50.10 với độ trễ trung bình $< 15\text{ ms}$.
                 +--------------------------------+
                 |    Test Scenarios & Results    |
                 +---------------+----------------+
                                 |
     +---------------------------+---------------------------+
     |                           |                           |
+----+----+                 +----+----+                 +----+----+
|  DHCP   |                 |  HSRP   |                 | PortSec |
| 100% OK |                 | < 3s OK |                 |  Err-Dis|
+---------+                 +---------+                 +---------+

Kết quả đạt được

Chỉ số / Tính năng Mục tiêu thiết kế ban đầu Kết quả thực nghiệm đạt được Đánh giá
Quy mô hỗ trợ host 500 người dùng 1.024 địa chỉ khả dụng (/24 mỗi VLAN) Vượt mục tiêu (100%)
Thời gian khôi phục mạng (Failover) $< 5\text{ giây}$ $2.8\text{ giây}$ (HSRP Convergence) Đạt chuẩn doanh nghiệp
Bảo mật cổng vật lý Chống cắm máy lạ 100% Port bị khóa khi sai MAC Hoạt động chính xác
Khả năng chống Rogue DHCP Chặn máy chủ DHCP lậu 100% gói tin DHCP Reply lạ bị drop Bảo mật tuyệt đối
Khả năng làm việc từ xa VPN Client-to-Site Kết nối IPsec bảo mật AES-256 Hoạt động ổn định

Đổi mới và đóng góp

Cải tiến kỹ thuật nổi bật

  • Mô hình Dự phòng Gateway chủ động kép (Active-Active HSRP Load Sharing): Thay vì để một Switch Distribution ở trạng thái chờ thụ động gây lãng phí tài nguyên, hệ thống phân bổ DSW1 làm Active Gateway cho VLAN lẻ (VLAN 22, 10) và DSW2 làm Active Gateway cho các VLAN chẵn (VLAN 20, 30, 40). Hiệu suất khai thác băng thông tăng 100%.
  • Tối ưu hóa liên kết Trunking đa cổng: Triển khai kỹ thuật EtherChannel (LACP IEEE 802.3ad) giúp tăng gấp đôi băng thông backbone (từ 1 Gbps lên 2 Gbps) và cung cấp khả năng tự chữa lành liên kết (Link Self-Healing) trong thời gian dưới 10 ms.
  • Kiến trúc phòng thủ Layer 2 chuyên sâu: Kết hợp song song Port Security (chống tràn bảng MAC) và DHCP Snooping (chống tấn công Man-In-The-Middle/DHCP Spoofing), tạo nên lớp khiên vững chắc trước các nguy cơ tấn công nội gián.

Ứng dụng thực tế và triển khai

Phân tích Bảng kê vật tư và Chi phí đầu tư (BOM & CapEx Analysis)

              +-----------------------------------------+
              | Total Estimated CapEx: ~225,000,000 VND |
              +--------------------+--------------------+
                                   |
         +-------------------------+-------------------------+
         |                         |                         |
+--------+--------+       +--------+--------+       +--------+--------+
| Access Switches |       | Dist. Switches  |       | Core / Router   |
| 10x SG200-50    |       | 2x WS-C3560     |       | 2x 3560X + 2911 |
| ~90,000,000 VND |       | ~48,000,000 VND |       | ~87,000,000 VND |
+-----------------+       +-----------------+       +-----------------+
  • Lớp Access: 10 Switch Cisco SG200-50 (48 cổng GE) $\rightarrow$ Chi phí: 90.000.000 VNĐ.
  • Lớp Distribution: 02 Switch Cisco Catalyst WS-C3560-24PS-S $\rightarrow$ Chi phí: 48.000.000 VNĐ.
  • Lớp Core: 02 Switch Cisco Catalyst WS-C3560X-24P-L $\rightarrow$ Chi phí: 120.000.000 VNĐ.
  • Lớp Biên: 01 Router Cisco 2911/K9 $\rightarrow$ Chi phí: 57.000.000 VNĐ.
  • Tổng ngân sách phần cứng cốt lõi: $\approx \mathbf{225.000.000\text{ \textbf{VNĐ}}}$.

Lộ trình triển khai thực tế (Enterprise Implementation Roadmap)

  1. Giai đoạn 1 (Tuần 1 - 2): Lắp đặt phần cứng vào tủ Rack chuẩn, đấu nối hệ thống cáp quang luồn trục (Backbone Fiber) và cáp đồng Cat6 UTP cho các tầng.
  2. Giai đoạn 2 (Tuần 3): Cấu hình phân tầng mạng, nạp cấu hình baseline, thiết lập VLAN, HSRP, OSPF và kiểm tra thông tuyến nội bộ.
  3. Giai đoạn 3 (Tuần 4): Kích hoạt hệ thống chính sách bảo mật (ACL, Port Security, DHCP Snooping) và thiết lập kết nối ISP/VPN.
  4. Giai đoạn 4 (Tuần 5 trở đi): Chuyển đổi dữ liệu (Cutover), giám sát hiệu năng qua SNMP/Syslog và bàn giao vận hành.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phần mềm mô phỏng Cisco Packet Tracer có giới hạn về tập lệnh nâng cao so với thiết bị phần cứng thật (chưa hỗ trợ đầy đủ các tính năng như Dynamic ARP Inspection - DAI, IP Source Guard trên một số dòng switch cũ).
  • Chưa tích hợp hệ thống xác thực người dùng tập trung thông qua máy chủ RADIUS/TACACS+ hoặc Microsoft Active Directory.

Hướng phát triển trong tương lai

  • Triển khai giao thức IEEE 802.1X kết hợp Cisco ISE (Identity Services Engine) để quản lý truy cập danh tính người dùng động.
  • Chuyển đổi mô hình định tuyến sang kiến trúc mạng điều khiển bằng phần mềm Cisco SD-WAN và tự động hóa quản trị qua Python/Ansible.
  • Quy hoạch triển khai song song ngăn xếp giao thức kép Dual-Stack IPv4/IPv6.

Đối tượng hưởng lợi

  • Sinh viên & Kỹ sư mạng: Cung cấp tài liệu tham khảo chi tiết, bài mẫu cấu hình chuẩn Cisco CLI phục vụ ôn thi các chứng chỉ quốc tế như CCNA/CCNP Enterprise.
  • Doanh nghiệp vừa và lớn: Bản thiết kế hoàn chỉnh có thể áp dụng trực tiếp để nâng cấp hạ tầng mạng văn phòng từ 500 đến 2.000 nhân viên với chi phí tối ưu.
  • Nhà nghiên cứu / Giảng viên: Cung cấp mô hình thực nghiệm trực quan trên Packet Tracer phục vụ giảng dạy các học phần Mạng máy tính và An toàn mạng.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai mô hình mạng 3 lớp này trong thực tế là gì?

Hệ thống yêu cầu tối thiểu 02 Switch Layer 3 tại lớp Core/Distribution có hỗ trợ giao thức định tuyến động phần cứng (Hardware Routing CEF), giao thức HSRP/VRRP và tính năng Trunking 802.1Q; tại lớp Access cần các Switch Layer 2 quản lý được (Managed Switch) hỗ trợ VLAN, Port Security và DHCP Snooping.

2. Sự khác biệt cốt lõi giữa mô hình 3 lớp truyền thống và mô hình 2 lớp (Collapsed Core) là gì?

Mô hình 2 lớp gộp chung Lớp Lõi và Lớp Phân phối thành một, phù hợp cho doanh nghiệp dưới 200 máy trạm để tiết kiệm chi phí. Trong khi đó, mô hình 3 lớp tách biệt hoàn toàn Lớp Lõi (tập trung chuyển mạch siêu tốc) và Lớp Phân phối (tập trung xử lý chính sách, định tuyến, bảo mật), giúp mạng không bị nghẽn khi mở rộng lên hàng nghìn kết nối.

3. Tại sao cần kết hợp cả HSRP và EtherChannel trong cùng một hệ thống?

HSRP chịu trách nhiệm dự phòng ở Tầng 3 (Layer 3 - Gateway Redundancy), giúp các máy trạm không mất kết nối Internet khi một router/switch gateway bị hỏng. Trong khi đó, EtherChannel hoạt động ở Tầng 2 (Layer 2 - Link Redundancy & Aggregation), giúp gộp băng thông và chống đứt cáp giữa các switch. Hai kỹ thuật này bổ trợ trực tiếp cho nhau.

4. Port Security xử lý tình huống vi phạm như thế nào khi cấu hình chế độ Shutdown?

Khi một thiết bị có địa chỉ MAC lạ (không nằm trong danh sách an toàn hoặc vượt quá giới hạn cho phép) cắm vào cổng mạng, switch sẽ ngay lập tức chuyển trạng thái cổng đó sang err-disable (tắt cổng hoàn toàn), đồng thời ghi lại nhật ký cảnh báo Syslog và tăng bộ đếm vi phạm (Violation Counter). Cổng này chỉ mở lại khi quản trị viên can thiệp hoặc đặt lệnh phục hồi tự động.

5. Chi phí đầu tư cho hệ thống này có thể thu hồi vốn (ROI) theo cách nào?

Bằng cách loại bỏ 99.9% nguy cơ gián đoạn hoạt động mạng (downtime), ngăn chặn thất thoát dữ liệu do tấn công nội bộ và cho phép nhân viên vận hành trơn tru từ xa qua VPN, doanh nghiệp bảo vệ được năng suất lao động và giảm thiểu chi phí cứu hộ hệ thống khẩn cấp, giúp thu hồi chi phí đầu tư chỉ trong vòng 6 - 12 tháng vận hành.

Kết luận

Đề tài "Thiết kế và xây dựng mô hình mạng 3 lớp theo tiêu chuẩn Cisco cho doanh nghiệp" của tác giả Trần Dư Quang Thái đã hoàn thành xuất sắc các mục tiêu nghiên cứu và ứng dụng kỹ thuật. Hệ thống được xây dựng trên nền tảng kiến trúc phân tầng chuẩn mực của Cisco, tích hợp toàn diện các giải pháp cân bằng tải (EtherChannel), dự phòng cổng kết nối (HSRP), định tuyến tối ưu (OSPF) và bảo mật chuyên sâu (Port Security, DHCP Snooping, IPsec VPN). Kết quả thực nghiệm khẳng định tính khả thi, độ tin cậy và khả năng mở rộng cao, cung cấp một khung tham chiếu hạ tầng mạng hoàn chỉnh, sẵn sàng chuyển giao cho các doanh nghiệp hiện đại.