Thiết Kế và Xây Dựng Mô Hình Mạng 3 Lớp Theo Tiêu Chuẩn Cisco Cho Doanh Nghiệp

Mô hình mạng 3 lớp Cisco là một tiêu chuẩn quan trọng trong thiết kế và xây dựng hệ… 107 trang · Trường Đại Học Sư Phạm Kỹ Thuật Thành Phố Hồ Chí Minh · 2022.

• Tác giả: Trần Dư Quang Thái
• Người hướng dẫn: Ths. Huỳnh Hoàng Hà
• Trường học: Trường Đại Học Sư Phạm Kỹ Thuật Thành Phố Hồ Chí Minh
• Chuyên ngành: Công Nghệ Và Kỹ Thuật Máy Tính
• Đề tài: Thiết Kế Và Xây Dựng Mô Hình Mạng 3 Lớp Theo Tiêu Chuẩn Cisco Cho Doanh Nghiệp
• Loại tài liệu: đồ án tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• DANH MỤC CÁC TỪ VIẾT TẮT
• DANH MỤC BẢNG
• DANH MỤC HÌNH
• MỤC LỤC
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. MỤC TIÊU ĐỀ TÀI
• 1.2. NỘI DUNG NGHIÊN CỨU
• 1.3. GIỚI HẠN ĐỀ TÀI
• 1.4. ĐỐI TƯỢNG VÀ PHẠM VI NGHIÊN CỨU
• 1.4.1. Đối tượng nghiên cứu
• 1.4.2. Phạm vi nghiên cứu
• 1.5. BỐ CỤC QUYỂN BÁO CÁO
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. HỆ THỐNG MẠNG LAN
• 2.1.1. Thành phần cơ bản của hệ thống mạng LAN
• 2.1.2. Phạm vi kết nối của mạng LAN
• 2.1.3. Hệ thống mạng LAN trong doanh nghiệp
• 2.2. MÔ HÌNH MẠNG 3 LỚP CỦA CISCO
• 2.2.1. Lớp lõi (Core Layer)
• 2.2.2. Lớp phân phối (Distribute Layer)
• 2.2.3. Lớp truy cập (Access Layer)
• 2.2.4. Lợi ích của mô hình phân cấp ba lớp của Cisco
• 2.3. KỸ THUẬT VLAN và TRUNKING
• 2.3.1. Kỹ thuật VLAN
• 2.3.2. Kỹ thuật Trunking
• 2.4. HSRP VÀ DỰ PHÒNG GATEWAY
• 2.5. ĐỊNH TUYẾN ĐỘNG OSPF
• 2.5.1. Hoạt động của OSPF
• 2.6. KỸ THUẬT ETHERCHANNEL
• 2.6.1. Giới thiệu về kỹ thuật Etherchannel
• 2.6.2. Điều kiện cấu hình EtherChannel
• 2.6.3. Phân phối lưu lượng trong EtherChannel – Cân bằng tải
• 2.6.4. Phân loại EtherChannel
• 2.7. KỸ THUẬT NAT OVERLOAD
• 2.7.1. Nhiệm vụ của NAT
• 2.7.2. Phân loại NAT
• 2.7.3. Ưu và nhược điểm của NAT
• 2.8. KỸ THUẬT VPN
• 2.8.1. Phân loại VPN
• 2.8.2. Chức năng của VPN
• 2.8.3. Ưu điểm của VPN
• 2.9. KỸ THUẬT DHCP
• 2.9.1. Giới thiệu về kỹ thuật DHCP
• 2.9.2. Nguyên lý hoạt động của DHCP
• 2.9.3. Ưu điểm của DHCP
• 2.10. KỸ THUẬT SSH
• 2.11. KỸ THUẬT PORT SECURITY
• 2.12. KỸ THUẬT DHCP SNOOPING
• 2.12.1. Giới thiệu về DHCP Snooping
• 2.12.2. Nguyên lý hoạt động của DHCP Snooping
• 2.13. PHẦN MỀM MÔ PHỎNG CISCO PACKET TRACER
• 3. CHƯƠNG 3: THIẾT KẾ HỆ THỐNG
• 3.1. YÊU CẦU CỦA HỆ THỐNG
• 3.2. PHÂN TÍCH YÊU CẦU VÀ LỰA CHỌN THIẾT BỊ
• 3.2.1. Lựa chọn thiết bị lớp truy cập
• 3.2.2. Lựa chọn thiết bị lớp phân phối
• 3.2.3. Lựa chọn thiết bị lớp lõi
• 3.2.4. Lựa chọn thiết bị Router ISP
• 3.3. MÔ HÌNH DOANH NGHIỆP VÀ ĐỊA CHỈ IP ĐƯỢC SỬ DỤNG TRONG HỆ THỐNG
• 3.4. SƠ ĐỒ MẠNG LAN CHO DOANH NGHIỆP
• 3.5. MÔ HÌNH MÔ PHỎNG HỆ THỐNG MẠNG CHO DOANH NGHIỆP
• 3.6. CẤU HÌNH CHO HỆ THỐNG
• 3.6.1. Cấu hình VLAN, TRUNKING
• 3.6.2. Cấu hình HSRP
• 3.6.3. Cấu hình định DHCP
• 3.6.4. Cấu hình Etherchannel
• 3.6.5. Cấu hình định tuyến động OSPF
• 3.6.6. Cấu hình NAT
• 3.6.7. Cấu hình Port Security
• 3.6.8. Cấu hình DHCP Snooping
• 3.6.9. Cấu hình VPN
• 3.6.10. Cấu hình SSH
• 3.6.11. Cấu hình WEB Server
• 3.6.12. Cấu hình Access Point
• 4. CHƯƠNG 4: KẾT QUẢ VÀ ĐÁNH GIÁ
• 4.1. Kiểm tra dịch vụ cấp IP động DHCP
• 4.2. Kiểm tra kết nối giữa các VLAN giữa các phòng ban
• 4.3. Kiểm tra kết nối Internet và cân bằng tải hệ thống
• 4.4. Kiểm tra dịch vụ dự phòng gateway HSRP
• 4.5. Kiểm tra kết nối VPN Client to Site cho thiết bị ngoài văn phòng công ty truy cập vào hệ thống mạng LAN công ty
• 4.6. Kiểm tra tính năng bảo mật Port Security và DHCP Snooping
• 4.7. Kiểm tra các dịch vụ WIFI và WEB
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Mô Hình Mạng 3 Lớp Cisco Cho Doanh Nghiệp

Mô hình mạng 3 lớp Cisco là một tiêu chuẩn quan trọng trong thiết kế và xây dựng hệ thống mạng cho doanh nghiệp. Mô hình này giúp tối ưu hóa hiệu suất, bảo mật và khả năng mở rộng của mạng. Việc áp dụng mô hình này không chỉ giúp doanh nghiệp tiết kiệm chi phí mà còn nâng cao hiệu quả hoạt động. Đặc biệt, trong bối cảnh công nghệ thông tin phát triển nhanh chóng, việc xây dựng một hệ thống mạng ổn định và bảo mật là điều cần thiết.

1.1. Lợi ích của Mô Hình Mạng 3 Lớp

Mô hình mạng 3 lớp mang lại nhiều lợi ích cho doanh nghiệp như khả năng mở rộng linh hoạt, quản lý dễ dàng và bảo mật cao. Các lớp trong mô hình này bao gồm lớp truy cập, lớp phân phối và lớp lõi, mỗi lớp có chức năng riêng biệt giúp tối ưu hóa hiệu suất mạng.

1.2. Tầm quan trọng của Mạng Máy Tính trong Doanh Nghiệp

Mạng máy tính đóng vai trò quan trọng trong việc kết nối các thiết bị và ứng dụng trong doanh nghiệp. Nó giúp đảm bảo thông tin được truyền tải nhanh chóng và chính xác, từ đó nâng cao hiệu quả công việc và giảm thiểu rủi ro trong quá trình hoạt động.

II. Vấn Đề và Thách Thức Khi Thiết Kế Mạng Doanh Nghiệp

Khi thiết kế mạng cho doanh nghiệp, nhiều thách thức cần được giải quyết như bảo mật, khả năng mở rộng và tính ổn định. Những vấn đề này có thể ảnh hưởng đến hiệu suất và độ tin cậy của hệ thống mạng. Do đó, việc lập kế hoạch cẩn thận và lựa chọn thiết bị phù hợp là rất quan trọng.

2.1. Thách Thức Về Bảo Mật Mạng

Bảo mật mạng là một trong những thách thức lớn nhất mà doanh nghiệp phải đối mặt. Các mối đe dọa từ bên ngoài và bên trong có thể gây ra thiệt hại nghiêm trọng. Việc triển khai các biện pháp bảo mật như tường lửa, VPN và Port Security là cần thiết để bảo vệ hệ thống.

2.2. Khả Năng Mở Rộng Hệ Thống Mạng

Khả năng mở rộng là yếu tố quan trọng trong thiết kế mạng. Doanh nghiệp cần một hệ thống có thể dễ dàng mở rộng khi có nhu cầu tăng trưởng. Mô hình mạng 3 lớp của Cisco cho phép doanh nghiệp mở rộng mà không làm giảm hiệu suất của mạng.

III. Phương Pháp Thiết Kế Mạng 3 Lớp Hiệu Quả

Thiết kế mạng 3 lớp hiệu quả đòi hỏi sự kết hợp giữa công nghệ và chiến lược. Việc lựa chọn thiết bị, cấu hình và triển khai các dịch vụ mạng là rất quan trọng. Các phương pháp như sử dụng VLAN, HSRP và OSPF sẽ giúp tối ưu hóa hiệu suất mạng.

3.1. Cấu Hình VLAN và Trunking

Việc sử dụng VLAN giúp phân chia mạng thành các phân đoạn nhỏ hơn, từ đó cải thiện hiệu suất và bảo mật. Kỹ thuật Trunking cho phép truyền tải nhiều VLAN qua một liên kết vật lý, giúp tiết kiệm băng thông.

3.2. Triển Khai HSRP và Dự Phòng Gateway

HSRP (Hot Standby Router Protocol) là một giải pháp dự phòng giúp đảm bảo tính sẵn sàng của gateway. Khi một router gặp sự cố, HSRP sẽ tự động chuyển đổi sang router dự phòng, đảm bảo kết nối không bị gián đoạn.

IV. Ứng Dụng Thực Tiễn Của Mô Hình Mạng 3 Lớp

Mô hình mạng 3 lớp Cisco đã được áp dụng thành công trong nhiều doanh nghiệp, giúp cải thiện hiệu suất và bảo mật. Các ứng dụng thực tiễn cho thấy rõ lợi ích của việc triển khai mô hình này, từ việc quản lý mạng đến bảo mật thông tin.

4.1. Kết Quả Nghiên Cứu Từ Các Doanh Nghiệp

Nhiều doanh nghiệp đã áp dụng mô hình mạng 3 lớp và ghi nhận sự cải thiện rõ rệt về hiệu suất và bảo mật. Các nghiên cứu cho thấy rằng việc triển khai mô hình này giúp giảm thiểu rủi ro và tăng cường khả năng phục hồi của hệ thống.

4.2. Các Tình Huống Thực Tế Khi Triển Khai

Trong quá trình triển khai, nhiều doanh nghiệp đã gặp phải các tình huống khó khăn như sự cố thiết bị hoặc tấn công mạng. Tuy nhiên, nhờ vào mô hình mạng 3 lớp, họ đã có thể khắc phục nhanh chóng và hiệu quả.

V. Kết Luận và Hướng Phát Triển Mô Hình Mạng

Mô hình mạng 3 lớp Cisco không chỉ là một tiêu chuẩn thiết kế mà còn là một giải pháp hiệu quả cho doanh nghiệp. Việc áp dụng mô hình này sẽ giúp doanh nghiệp nâng cao hiệu suất, bảo mật và khả năng mở rộng. Hướng phát triển trong tương lai sẽ tập trung vào việc tích hợp công nghệ mới và cải tiến quy trình quản lý mạng.

5.1. Tương Lai Của Mô Hình Mạng 3 Lớp

Mô hình mạng 3 lớp sẽ tiếp tục phát triển để đáp ứng nhu cầu ngày càng cao của doanh nghiệp. Việc tích hợp công nghệ mới như IoT và AI sẽ mở ra nhiều cơ hội mới cho hệ thống mạng.

5.2. Đề Xuất Các Giải Pháp Cải Tiến

Để tối ưu hóa mô hình mạng, doanh nghiệp cần xem xét các giải pháp cải tiến như nâng cấp thiết bị, tối ưu hóa cấu hình và triển khai các công nghệ bảo mật tiên tiến. Điều này sẽ giúp đảm bảo hệ thống mạng luôn hoạt động hiệu quả và an toàn.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong hoạt động của doanh nghiệp hiện đại, cơ sở hạ tầng mạng máy tính đóng vai trò là xương sống vận hành. Mọi thiết bị, phần mềm nghiệp vụ và quy trình giao tiếp nội bộ đều phụ thuộc vào tính sẵn sàng, tốc độ truyền dẫn và độ an toàn của hệ thống mạng LAN. Đối với các đơn vị có quy mô từ vừa đến lớn, sự gián đoạn kết nối hay các lỗ hổng an ninh mạng đều có thể dẫn đến thiệt hại về kinh tế và đình trệ vận hành. Thêm vào đó, bối cảnh đại dịch COVID-19 đặt ra yêu cầu cấp thiết về việc hỗ trợ nhân viên làm việc từ xa (remote work) thông qua các kết nối an toàn vào mạng nội bộ công ty.

Nhằm giải quyết bài toán trên, đồ án tốt nghiệp ngành Công nghệ và Kỹ thuật Máy tính tại Trường Đại học Sư phạm Kỹ thuật TP. Hồ Chí Minh (thực hiện bởi sinh viên Trần Dư Quang Thái, dưới sự hướng dẫn của ThS. Huỳnh Hoàng Hà, tháng 12/2022) đã nghiên cứu đề tài: "Thiết kế và xây dựng mô hình mạng 3 lớp theo tiêu chuẩn Cisco cho doanh nghiệp".

Đề tài xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể như sau:

1. Triển khai mô hình kiến trúc mạng phân cấp 3 lớp theo tiêu chuẩn của Cisco nhằm tối ưu hóa hiệu năng và khả năng mở rộng.
2. Tích hợp giải pháp mạng riêng ảo VPN Client to Site phục vụ nhu cầu truy cập dữ liệu và làm việc từ xa an toàn cho nhân viên.
3. Cấu hình dịch vụ HSRP (Hot Standby Router Protocol) để thiết lập cơ chế dự phòng cổng mạng mặc định (Default Gateway).
4. Thiết lập dự phòng máy chủ cấp phát địa chỉ IP động DHCP và dự phòng các đường định tuyến kết nối Internet.
5. Triển khai giao thức định tuyến động OSPF (Open Shortest Path First) trong toàn bộ hệ thống nội bộ.
6. Cấu hình kỹ thuật EtherChannel nhằm gộp các liên kết vật lý, gia tăng băng thông và cung cấp khả năng chịu lỗi tại các đường kết nối trọng yếu.
7. Triển khai tính năng DHCP Snooping nhằm ngăn chặn hành vi giả mạo DHCP Server trong mạng cục bộ.
8. Triển khai tính năng Port Security trên các cổng chuyển mạch lớp truy cập để chống tấn công giả mạo địa chỉ MAC và ngăn chặn thiết bị lạ.
9. Thực hiện mô phỏng, cấu hình và đánh giá toàn diện hệ thống trên phần mềm Cisco Packet Tracer.

Đối tượng nghiên cứu của đồ án là mô hình mạng máy tính phân cấp 3 lớp áp dụng cho doanh nghiệp quy mô vừa và lớn (thiết kế điển hình cho hơn 500 người dùng với 5 phòng ban nghiệp vụ). Phạm vi nghiên cứu tập trung vào cấu hình các thiết bị phần cứng mạng Cisco (Router, Switch Core, Switch Distribute, Switch Access) và mô phỏng trên phần mềm chuyên dụng. Giới hạn nghiên cứu bao gồm việc sử dụng các công nghệ, giao thức mạng tiêu chuẩn và độc quyền của Cisco, do đó mô hình chỉ áp dụng tối ưu trên hệ sinh thái thiết bị Cisco và toàn bộ quá trình kiểm thử được thực nghiệm trong môi trường giả lập Cisco Packet Tracer.

Cơ sở lý thuyết và phương pháp

Đề tài xây dựng giải pháp dựa trên nền tảng lý thuyết mạng phân cấp và các tiêu chuẩn công nghệ mạng viễn thông của Cisco:

• Mô hình mạng phân cấp 3 lớp (Three-Tier Hierarchical Network Model):
  • Lớp lõi (Core Layer): Đóng vai trò xương sống truyền dẫn, vận chuyển lưu lượng dữ liệu lớn giữa các phân vùng mạng với tốc độ cao nhất và độ trễ cực nhỏ; đòi hỏi cơ chế dự phòng nghiêm ngặt.
  • Lớp phân phối (Distribute Layer): Nằm giữa lớp truy cập và lớp lõi, đảm nhiệm chức năng định tuyến giữa các mạng ảo (Inter-VLAN routing), thực thi các chính sách mạng (policies), lọc gói tin qua danh sách kiểm soát truy cập (ACL), quản lý chất lượng dịch vụ (QoS) và cân bằng tải.
  • Lớp truy cập (Access Layer): Kết nối trực tiếp các thiết bị đầu cuối (máy trạm, máy in, máy chủ, điểm truy cập không dây) vào hệ thống mạng; cung cấp các cổng truy cập được phân chia theo mạng LAN ảo.
• Các kỹ thuật và giao thức mạng triển khai:
  • Kỹ thuật phân chia VLAN và Trunking: Sử dụng Port-based VLAN để cô lập các miền quảng bá (broadcast domain), nâng cao tính bảo mật giữa các bộ phận; áp dụng chuẩn đóng gói Trunking IEEE 802.1Q (DOT1Q) chèn 4 byte vào khung Ethernet và chuẩn Cisco ISL chèn 26 byte Header cùng 4 byte CRC.
  • Giao thức dự phòng Default Gateway (HSRP): Tạo cổng gateway ảo đại diện cho nhóm router/switch layer 3. Một thiết bị đóng vai trò Active xử lý chuyển tiếp gói tin, thiết bị còn lại ở trạng thái Standby; tiến trình bầu chọn căn cứ vào độ ưu tiên (Priority) hoặc địa chỉ IP cao nhất.
  • Định tuyến trạng thái liên kết OSPF: Hoạt động dựa trên thuật toán Dijkstra để xác định đường đi ngắn nhất (Shortest Path Tree); duy trì bảng cơ sở dữ liệu trạng thái đường truyền (LSDB) đồng nhất trong cùng một vùng (Area); gửi gói tin Hello định kỳ 10 giây/lần đến địa chỉ multicast 224.0.0.5; chỉ số Metric (Cost) được tính bằng công thức $10^8/\text{Bandwidth (bps)}$.
  • Kỹ thuật gộp kênh EtherChannel: Ghép từ 2 đến 8 liên kết vật lý (Fast Ethernet, Gigabit Ethernet) thành một kênh luận lý duy nhất để nâng cao băng thông và dự phòng sự cố. Phân phối lưu lượng thực hiện qua thuật toán băm (Hash) dựa trên địa chỉ IP nguồn/đích, địa chỉ MAC hoặc chỉ số cổng TCP/UDP. Hỗ trợ giao thức mở LACP (IEEE 802.3ad) và giao thức Cisco PAgP với các chế độ On, Active/Desirable, Passive/Auto.
  • Dịch vụ chuyển đổi địa chỉ mạng (NAT): Triển khai Static NAT ánh xạ 1-1 cho các máy chủ công khai (Web Server) và NAT Overload (PAT) ánh xạ nhiều địa chỉ IP riêng (Private IP) sang một địa chỉ IP công cộng (Public IP) bằng cách gán các cổng khác nhau.
  • Mạng riêng ảo (VPN): Triển khai mô hình Remote Access VPN (Client to Site), áp dụng bộ giao thức IPsec, chính sách bảo mật ISAKMP (ISAKMP Policy, ISAKMP Key) và bảng ánh xạ mã hóa (Crypto Map) nhằm đảm bảo ba mục tiêu: bảo mật tin cậy (Confidentiality), toàn vẹn dữ liệu (Data Integrity) và chứng thực nguồn gốc (Origin Authentication).
  • Giao thức cấp phát cấu hình động (DHCP): Vận hành theo quy trình trao đổi 4 bước (Discover, Offer, Request, ACK).
  • Bảo mật lớp truy cập: Giao thức SSH (chạy trên cổng TCP 22) thay thế Telnet để mã hóa dữ liệu quản trị từ xa; Port Security bảo vệ cổng vật lý dựa trên địa chỉ MAC với 3 hình thức xử phạt vi phạm (Protect, Restrict, Shutdown); DHCP Snooping phân định cổng tin cậy (Trusted Port) và cổng không tin cậy (Untrusted Port) nhằm triệt tiêu nguy cơ tấn công máy chủ DHCP giả mạo.

Về mặt phương pháp nghiên cứu, tác giả sử dụng phương pháp phân tích yêu cầu kỹ thuật thực tế của doanh nghiệp, thiết kế kiến trúc hệ thống mạng, tính toán phân hoạch không gian địa chỉ IP và thực nghiệm mô phỏng toàn diện trên phần mềm Cisco Packet Tracer.

Nguồn dữ liệu của nghiên cứu bao gồm các tài liệu kỹ thuật, chuẩn thiết kế mạng phân cấp của hãng Cisco và thông số phần cứng của các dòng thiết bị mạng chuyên dụng.

Thiết kế và triển khai hệ thống kỹ thuật

Kiến trúc phân tầng và lựa chọn thiết bị

Hệ thống được thiết kế phục vụ một doanh nghiệp tiêu chuẩn có quy mô hơn 500 nhân sự, phân bổ thành 5 phòng ban: Công nghệ thông tin (IT), Kinh doanh (KD), Nhân sự (NS), Kế toán (KT) và Chăm sóc khách hàng (CSKH). Trung bình mỗi phòng ban vận hành khoảng 100 thiết bị kết nối. Cấu trúc phần cứng được quy hoạch qua từng tầng:

Tầng mạng	Thiết bị đề xuất thực tế	Số lượng	Thiết bị dùng trong mô phỏng	Chức năng kỹ thuật chính
Lớp truy cập (Access)	Cisco SG200-50 (48 port 1Gbps, 2 combo SFP)	10	Cisco Catalyst C2960-24TT	Kết nối thiết bị đầu cuối, chia VLAN, cấu hình Port Security, DHCP Snooping
Lớp phân phối (Distribute)	Cisco WS-C3560-24PS-S (Switch Layer 3)	02	Cisco WS-C3560-24PS-S	Cấp phát DHCP, định tuyến liên VLAN, chạy dự phòng HSRP, định tuyến OSPF
Lớp lõi (Core)	Cisco WS-C3560X-24P-L (Switch Layer 3)	02	Cisco WS-C3560-24PS-S	Chuyển mạch tốc độ cao, định tuyến lưu lượng giữa các phân vùng mạng, chạy OSPF
Biên mạng (Edge / ISP)	Cisco 2911/K9 Router	01	Cisco 2911 Router	Định tuyến ngoại vi, chuyển đổi địa chỉ NAT Overload/Static, đóng vai trò VPN Server

Về dự toán kinh phí phần cứng trong văn bản: 10 Switch lớp truy cập SG200-50 có chi phí 90.000.000 VNĐ (đơn giá 9.000.000 VNĐ/thiết bị); 2 Switch lớp phân phối WS-C3560-24PS-S có chi phí 48.000.000 VNĐ (đơn giá 24.000.000 VNĐ/thiết bị); 2 Switch lớp lõi WS-C3560X-24P-L có chi phí 120.000.000 VNĐ (đơn giá 60.000.000 VNĐ/thiết bị); 1 Router Cisco 2911/K9 có chi phí 57.000.000 VNĐ.

Quy hoạch không gian địa chỉ IP và phân đoạn mạng

Hệ thống sử dụng dải mạng lớp B riêng 172.16.0.0/16 để phân chia cho các VLAN phòng ban, mỗi phòng ban sử dụng một mặt nạ mạng /24:

Phòng ban	Tên Pool DHCP	Mã VLAN	Địa chỉ mạng (Network)	Mặt nạ mạng (Subnet Mask)
Công nghệ thông tin	IT	22	172.16.22.0	255.255.255.0
Nhân sự	NS	23	172.16.23.0	255.255.255.0
Chăm sóc khách hàng	CSKH	24	172.16.24.0	255.255.255.0
Kinh doanh	KD	25	172.16.25.0	255.255.255.0
Kế toán	KT	26	172.16.26.0	255.255.255.0

Các đường kết nối giữa hai Switch phân phối (DSW1, DSW2) và Switch Core được cấu hình EtherChannel (Port-channel 1 ghép các cổng f0/4, f0/5) và thiết lập dải địa chỉ mạng kết nối chuyên dụng.

Quy trình cấu hình và triển khai dịch vụ

1. Cấu hình chuyển mạch Lớp 2 và Trunking: Khởi tạo 5 VLAN (22 đến 26) trên toàn bộ hệ thống Switch Distribute và Switch Access. Thiết lập đường Trunking 802.1Q trên các giao tiếp kết nối giữa Access và Distribute. Cấu hình gán cổng truy cập (Access port) theo từng dải cổng cho máy trạm.
2. Cấu hình dự phòng Gateway (HSRP): Thiết lập hai nhóm HSRP trên giao diện ảo SVI của Switch Distribute 1 (đóng vai trò Active Gateway cho các VLAN lẻ/chẵn tùy biến) và Switch Distribute 2 (đóng vai trò Standby Gateway). Thiết bị đầu cuối nhận địa chỉ Gateway ảo làm cổng mặc định.
3. Cấu hình DHCP và loại trừ địa chỉ: Khởi tạo các dải cấp phát IP (DHCP Pool) cho từng VLAN trực tiếp trên Switch lớp 3. Thiết lập danh sách các địa chỉ IP tĩnh không cấp phát (excluded-address) dùng cho máy chủ và giao diện quản trị mạng.
4. Cấu hình EtherChannel: Bó các giao tiếp vật lý song song giữa Switch Distribute và Switch Core thành nhóm cổng Port-channel luận lý nhằm tăng gấp đôi băng thông liên kết và chống tạo vòng lặp mạng.
5. Cấu hình định tuyến OSPF và Default Route: Kích hoạt OSPF trên các Switch Lớp 3 (Core và Distribute) trong cùng một vùng (Area 0). Quảng bá tất cả các mạng con nội bộ vào bảng OSPF. Thiết lập tuyến đường mặc định (Default Route 0.0.0.0 0.0.0.0) hướng ra ngoài Internet và quảng bá tuyến đường này vào vùng định tuyến OSPF (default-information originate).
6. Cấu hình NAT: Trên Router biên, cấu hình Static NAT ánh xạ địa chỉ IP công cộng của nhà mạng tới máy chủ Web nội bộ trong vùng dịch vụ; áp dụng Dynamic NAT Overload (PAT) kết hợp Access Control List (ACL) cho phép toàn bộ máy trạm thuộc 5 phòng ban chuyển đổi địa chỉ để truy cập Internet.
7. Cấu hình an ninh mạng Lớp 2: Kích hoạt Port Security trên các cổng Access của switch với số lượng địa chỉ MAC tối đa cho phép là 1, đặt chế độ xử lý vi phạm là Shutdown (tự động vô hiệu hóa cổng khi phát hiện thay đổi địa chỉ MAC trái phép). Kích hoạt tính năng DHCP Snooping trên các VLAN, thiết lập cổng kết nối về phía Switch Distribute/DHCP Server là Trusted, các cổng người dùng là Untrusted.
8. Cấu hình VPN Client to Site và dịch vụ bổ trợ: Khởi tạo xác thực người dùng AAA trên Router biên; định cấu hình thông số bảo mật ISAKMP Policy (mã hóa, hàm băm, nhóm Diffie-Hellman), thiết lập ISAKMP Key và liên kết qua Crypto Map; cài đặt địa chỉ IP cho máy chủ Web, kích hoạt dịch vụ HTTP/DNS và cấu hình điểm truy cập mạng không dây Access Point (SSID, mật khẩu mã hóa) cho thiết bị di động.

Nội dung chính theo từng chương

Chương 1: Tổng quan

Chương 1 trình bày tính cấp thiết của đề tài trong bối cảnh các doanh nghiệp phụ thuộc hoàn toàn vào hạ tầng mạng cục bộ để trao đổi dữ liệu. Tác giả phân tích lý do lựa chọn mô hình mạng 3 lớp theo tiêu chuẩn Cisco nhờ các đặc tính cân bằng tải, dự phòng phần cứng và bảo mật nhiều lớp. Chương này làm rõ 9 mục tiêu nghiên cứu cụ thể, xác định đối tượng áp dụng là các doanh nghiệp quy mô vừa và lớn trên 500 người dùng, đồng thời nêu rõ giới hạn nghiên cứu về mặt công nghệ (đặc thù phần cứng Cisco) và môi trường thực nghiệm giả lập trên Cisco Packet Tracer.

Chương 2: Cơ sở lý thuyết

Chương 2 cung cấp bức tranh lý thuyết đầy đủ về hạ tầng mạng LAN và các kỹ thuật chuyên sâu của Cisco. Tác giả phân tích cấu trúc chức năng của mô hình 3 lớp (Core, Distribute, Access); chi tiết hóa nguyên lý hoạt động của VLAN, hai chuẩn Trunking (IEEE 802.1Q và Cisco ISL); cơ chế chuyển mạch dự phòng của HSRP; thuật toán định tuyến trạng thái liên kết OSPF kèm cách tính chỉ số Metric dựa trên băng thông; kỹ thuật gộp kênh EtherChannel (giao thức LACP, PAgP và giải thuật cân bằng tải băm nhị phân); cơ chế biên dịch địa chỉ NAT (Static, Dynamic, Overload); kiến trúc mạng riêng ảo VPN (mã hóa dữ liệu, đảm bảo tính toàn vẹn và xác thực nguồn gốc); tiến trình cấp phát IP động qua 4 bước của DHCP; phương thức quản trị từ xa an toàn SSH cổng 22. Đồng thời, chương 2 phân tích cơ chế hoạt động cùng 3 hình thức xử phạt của Port Security (Protect, Restrict, Shutdown) và nguyên lý ngăn chặn máy chủ DHCP lậu qua tính năng DHCP Snooping.

Chương 3: Thiết kế hệ thống

Chương 3 là phần trọng tâm về kỹ thuật, trình bày quy trình chuyển đổi các yêu cầu thực tiễn của doanh nghiệp 500 nhân sự thành một thiết kế mạng hoàn chỉnh. Tác giả thực hiện phân tích và lựa chọn cụ thể từng mã thiết bị phần cứng (Switch SG200-50 cho lớp Access, Switch WS-C3560-24PS-S cho lớp Distribute, Switch WS-C3560X-24P-L cho lớp Core và Router 2911/K9 cho biên mạng), đi kèm bảng thông số kỹ thuật chi tiết và hạch toán chi phí đầu tư. Chương này đưa ra sơ đồ đấu nối mạng tổng thể, quy hoạch không gian địa chỉ mạng cho 5 phòng ban (VLAN 22 đến 26 thuộc dải 172.16.0.0/16) và bảng ánh xạ địa chỉ IP cho từng cổng kết nối liên tầng. Tiếp đó, tác giả trình bày tuần tự các khối lệnh cấu hình đã triển khai trong Cisco Packet Tracer: cấu hình VLAN, Trunking, định tuyến liên VLAN, HSRP, DHCP Server, EtherChannel, OSPF, NAT tĩnh/động, Port Security, DHCP Snooping, VPN IPsec, SSH, máy chủ Web, DNS và Access Point.

Chương 4: Kết quả và đánh giá

Chương 4 ghi nhận dữ liệu thực nghiệm thu được sau khi hoàn thành triển khai mô phỏng. Toàn bộ kịch bản kiểm thử được chụp ảnh minh chứng từ giao diện dòng lệnh (CLI) và máy trạm: kiểm tra việc nhận đúng địa chỉ IP động của từng phòng ban qua lệnh ipconfig; kiểm tra khả năng định tuyến thông suốt giữa các VLAN bằng lệnh ping; kiểm tra lộ trình gói tin đi ra Internet qua lệnh traceroute nhằm chứng minh tính năng cân bằng tải; kiểm thử cơ chế dự phòng HSRP khi giả lập sự cố ngắt kết nối tại Switch Distribute 1; kiểm thử đăng nhập và truyền tải gói tin qua VPN Client-to-Site từ máy trạm bên ngoài mạng công ty; kiểm tra khả năng khóa cổng tức thì của Port Security khi thay đổi địa chỉ MAC và khả năng ngăn chặn gói tin trả lời từ DHCP server lạ thông qua DHCP Snooping; kiểm tra truy cập dịch vụ Web/DNS từ cả hai môi trường mạng nội bộ và Internet.

Chương 5: Kết luận và hướng phát triển

Chương 5 tóm tắt các kết quả đạt được đối chiếu với các mục tiêu đề ra ban đầu, khẳng định tính khả thi của mô hình mạng 3 lớp chuẩn Cisco trong việc đảm bảo tính sẵn sàng, an toàn dữ liệu và khả năng mở rộng cho doanh nghiệp. Bên cạnh đó, chương này chỉ ra các hạn chế hiện tại do phụ thuộc vào môi trường mô phỏng và đề xuất các định hướng nghiên cứu tiếp theo để hoàn thiện hệ thống trong môi trường phần cứng thực tế.

Kết quả và đóng góp

Kết quả thực nghiệm chính

Toàn bộ các tính năng kỹ thuật được kiểm thử trên mô phỏng Cisco Packet Tracer đều đạt kết quả theo đúng mục tiêu thiết kế ban đầu:

1. Cấp phát địa chỉ IP tự động: Máy trạm tại 5 phòng ban (IT, NS, CSKH, KD, KT) thực hiện gửi yêu cầu DHCP thành công và nhận chính xác địa chỉ IP, Subnet Mask, Default Gateway theo đúng dải mạng tương ứng với VLAN đã quy hoạch (ví dụ máy trạm phòng IT nhận IP thuộc mạng 172.16.22.0/24).
2. Định tuyến liên VLAN và thông suốt nội bộ: Kiểm tra giao tiếp giữa các phân vùng mạng khác nhau (thực nghiệm gửi gói tin ICMP giữa PC phòng IT và PC phòng CSKH) cho tỷ lệ thành công 100%, chứng minh bảng định tuyến trên Switch Lớp 3 vận hành chính xác.
3. Truy cập Internet và cân bằng tải: Máy trạm các phòng ban và máy chủ Web Server kết nối thành công ra môi trường mạng Internet bên ngoài thông qua kỹ thuật NAT. Dữ liệu truy vết tuyến đường (traceroute) chứng minh lưu lượng từ các VLAN khác nhau được phân phối qua các đường truyền khác nhau trên hai Switch Distribute, thực hiện cân bằng tải đường truyền.
4. Khả năng chuyển đổi dự phòng Gateway (HSRP): Khi thực hiện ngắt kết nối vật lý trên Switch Distribute 1 (thiết bị đang giữ vai trò Active), Switch Distribute 2 tự động chuyển trạng thái từ Standby lên Active trong thời gian thực. Gói tin từ máy trạm VLAN IT vẫn tiếp tục ra được Internet thông qua đường dự phòng mà không làm gián đoạn liên lạc.
5. Bảo mật lớp truy cập (Port Security & DHCP Snooping): Khi thay đổi địa chỉ MAC của thiết bị kết nối vào cổng f0/1 trên Switch Access, cơ chế xử phạt Shutdown lập tức kích hoạt, chuyển trạng thái cổng sang tắt hoàn toàn, ngăn chặn việc xâm nhập mạng trái phép. Dịch vụ DHCP Snooping ngăn chặn thành công các gói tin DHCP Reply xuất phát từ cổng Untrusted.
6. Kết nối làm việc từ xa (VPN Client-to-Site): Thực nghiệm từ máy tính người dùng kết nối tại mạng ngoài (mô phỏng mạng quán cà phê kết nối Internet) thực hiện quay số VPN với tài khoản được xác thực qua AAA. Kết nối VPN thiết lập thành công, cho phép máy trạm bên ngoài truy cập và gửi gói tin ICMP thông suốt tới máy trạm thuộc VLAN IT trong mạng LAN nội bộ công ty.
7. Dịch vụ Web, DNS và mạng không dây: Người dùng trong mạng nội bộ và người dùng từ Internet đều truy cập thành công trang Web công ty thông qua tên miền được phân giải bởi DNS Server; thiết bị di động kết nối Wi-Fi qua Access Point nhận IP tự động và truy cập Internet bình thường.

Đóng góp của đề tài

• Xây dựng hoàn chỉnh hồ sơ thiết kế kỹ thuật mạng 3 lớp chuẩn hóa cho doanh nghiệp quy mô hơn 500 người dùng, tích hợp đồng bộ các giải pháp về tính sẵn sàng cao, tối ưu băng thông và bảo mật mạng.
• Cung cấp cấu hình mẫu chi tiết cho đầy đủ các giao thức cốt lõi của Cisco (HSRP, OSPF, EtherChannel, PAT/Static NAT, IPsec VPN, Port Security, DHCP Snooping) có thể ứng dụng trực tiếp vào việc triển khai hoặc giảng dạy thực hành mạng máy tính.
• Đưa ra giải pháp kết hợp hiệu quả giữa dự phòng hạ tầng tại chỗ và khả năng mở rộng làm việc từ xa an toàn trong bối cảnh phương thức làm việc linh hoạt sau đại dịch.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế của đề tài:
  • Hệ thống mới dừng lại ở mức độ thiết kế và thực nghiệm mô phỏng trên phần mềm Cisco Packet Tracer, chưa được triển khai và kiểm chứng trên hệ thống thiết bị phần cứng vật lý thực tế.
  • Các kịch bản kiểm thử trong phần mềm mô phỏng chưa phản ánh hết các yếu tố vật lý thực tế như suy hao đường truyền, độ trễ biến thiên cao khi nghẽn mạch thực sự hoặc các dòng tấn công mạng phức tạp vượt ngoài tính năng của phần mềm.
  • Chi phí đầu tư phần cứng theo thiết kế tương đối cao, chỉ phù hợp với các đơn vị quy mô vừa và lớn có ngân sách hạ tầng dồi dào; đồng thời hệ thống phụ thuộc vào các công nghệ đặc thù của hãng Cisco.
• Hướng nghiên cứu tiếp theo:
  • Triển khai thực tế mô hình trên hệ thống thiết bị phần cứng thật của Cisco để đo đạc chính xác các thông số về thông lượng (Throughput), độ trễ (Latency) và thời gian hội tụ thực tế của HSRP và OSPF.
  • Tích hợp thêm các giải pháp an ninh mạng nâng cao như tường lửa chuyên dụng (Cisco ASA/Firepower), hệ thống ngăn ngừa xâm nhập (IPS/IDS) và giải pháp quản lý truy cập mạng tập trung (Cisco ISE).
  • Nghiên cứu ứng dụng công nghệ mạng điều khiển bằng phần mềm (SDN) và tự động hóa quản trị mạng (Network Automation) trên hạ tầng mạng doanh nghiệp.

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho sinh viên chuyên ngành Công nghệ thông tin, Kỹ thuật Máy tính, An toàn Thông tin và Mạng máy tính - Viễn thông đang thực hiện đồ án môn học, khóa luận tốt nghiệp hoặc ôn luyện các chứng chỉ quản trị mạng quốc tế (như Cisco CCNA, CCNP).

Các phần nội dung có giá trị ứng dụng thực tiễn cao bao gồm:

• Phương pháp tính toán và phân bổ dải địa chỉ IP cho các phòng ban doanh nghiệp kết hợp cấu hình DHCP Server và định tuyến liên VLAN trên Switch Lớp 3.
• Các tập lệnh cấu hình hoàn chỉnh cho cơ chế dự phòng cổng mạng HSRP, gộp kênh EtherChannel và định tuyến động OSPF.
• Quy trình từng bước thiết lập kết nối VPN Client-to-Site qua IPsec trên dòng Router Cisco và kỹ thuật siết chặt an ninh mạng nội bộ bằng Port Security và DHCP Snooping.

Câu hỏi thường gặp

1. Trong đồ án, kỹ thuật nào được sử dụng để chống gián đoạn dịch vụ khi một trong hai Switch phân phối (Distribute) gặp sự cố? Đề tài sử dụng giao thức HSRP (Hot Standby Router Protocol). Kỹ thuật này cấu hình một Default Gateway ảo dùng chung cho cả hai Switch Distribute (một Switch giữ vai trò Active, một Switch giữ vai trò Standby). Khi Switch Active gặp sự cố ngừng hoạt động, Switch Standby sẽ lập tức tiếp quản địa chỉ Gateway ảo và chuyển tiếp các gói tin của mạng LAN ra bên ngoài mà không làm đứt đoạn kết nối của người dùng.

2. Port Security trong đồ án được cấu hình với hình thức xử phạt nào và phản ứng của hệ thống khi có vi phạm ra sao? Hệ thống lựa chọn hình thức xử phạt Shutdown. Khi phát hiện địa chỉ MAC lạ kết nối vào cổng (khác với địa chỉ MAC hợp lệ đã được lưu), Switch Access sẽ lập tức tăng số đếm vi phạm, gửi thông báo cảnh báo và thực hiện khóa hoàn toàn cổng mạng đó (chuyển sang trạng thái err-disabled/shutdown), ngăn chặn toàn bộ lưu lượng của thiết bị vi phạm đi vào mạng.

3. Tại sao tác giả lại chọn Switch Lớp 3 (WS-C3560-24PS-S) thay vì Router cho tầng phân phối (Distribute Layer)? Tác giả lựa chọn Switch Lớp 3 vì thiết bị này đáp ứng đầy đủ các tính năng kỹ thuật mà tầng phân phối yêu cầu (định tuyến tốc độ cao giữa các VLAN, chạy HSRP, cấp phát DHCP và định tuyến OSPF) nhưng lại có ưu thế vượt trội về mật độ cổng kết nối và giá thành kinh tế hơn nhiều so với việc đầu tư các bộ định tuyến Router chuyên dụng.

4. Dịch vụ VPN Client-to-Site trong hệ thống được cấu hình trên thiết bị nào và sử dụng phương thức xác thực gì? Dịch vụ VPN Client to Site được triển khai trực tiếp trên thiết bị Router Cisco 2911/K9 (đóng vai trò biên mạng kết nối ISP). Dịch vụ này sử dụng giao thức IPsec, cấu hình chính sách bảo mật ISAKMP (ISAKMP Policy và ISAKMP Key), kết hợp với dịch vụ xác thực tài khoản AAA trên Router để cấp quyền truy cập cho nhân viên từ xa.

5. Kỹ thuật EtherChannel được thiết lập giữa các tầng nào trong sơ đồ mạng và nhằm mục đích gì? EtherChannel được thiết lập trên các liên kết kết nối giữa Switch Distribute và Switch Core (nhóm các cổng f0/4, f0/5 thành giao diện luận lý Port-channel 1). Mục đích là nhân đôi băng thông truyền dẫn giữa hai tầng chuyển mạch, cân bằng tải lưu lượng qua thuật toán băm (Hash) và tạo cơ chế dự phòng tự động khi một trong các đường truyền vật lý bị đứt.

Kết luận

Đồ án "Thiết kế và xây dựng mô hình mạng 3 lớp theo tiêu chuẩn Cisco cho doanh nghiệp" của tác giả Trần Dư Quang Thái đã hoàn thành toàn diện các mục tiêu đề ra về mặt thiết kế kiến trúc và mô phỏng kỹ thuật. Công trình giải quyết triệt để các bài toán thực tiễn của một doanh nghiệp 500 nhân sự thông qua việc kết hợp đồng bộ mô hình phân cấp 3 lớp, các cơ chế dự phòng HSRP/EtherChannel, định tuyến OSPF, bảo mật lớp truy cập và kết nối VPN làm việc từ xa. Toàn bộ các chức năng cấu hình đều được kiểm chứng hoạt động chính xác và ổn định trên phần mềm mô phỏng Cisco Packet Tracer, tạo nên một tài liệu kỹ thuật có giá trị tham khảo ứng dụng cao cho việc thiết kế và quản trị hạ tầng mạng doanh nghiệp.

Trích đoạn nội dung tài liệu

Chương 1 : Tổng quan Ở chương này nhóm sẽ giới thiệu sơ lược, tính cấp thiết đề tài, mục tiêu đề tài, giới hạn, đối tượng và phạm vi nghiên cứu của đề tài. - Chương 2 : Cơ sở lý thuyết. Giới thiệu các lý thuyết về mô hình hệ thống mạng LAN và các giao thức, chuẩn truyền, phần mềm được dùng trong hệ thống. - Chương 3 : Thiết kế hệ thống Giới thiệu về sơ đồ hệ thống mạng, các bước thực hiện trong hệ thống, cài đặt thông số cho thiết bị.

- Chương 4 : Kết quả và đánh giá Giới thiệu kết quả mô hình thi công hệ thống và đánh giá hoạt động của hệ thống. - Chương 5 : Kết luận và hướng phát triển CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 2. HỆ THỐNG MẠNG LAN Mạng cục bộ hay còn gọi là mạng LAN (Local Area Network) là sự kết hợp các thiết bị nhằm tạo thành một hệ thống mạng tại một khu vực nhất định như công ty, trường học,nhà riêng,… Hệ thống mạng sẽ cho phép các thiết bị thuộc hệ thống có thể chia sẻ dữ liệu (tập tin, hình ảnh…) một cách nhanh chóng và dễ dàng hơn. Thành phần cơ bản của hệ thống mạng LAN Một mạng LAN cơ bản gồm 5 thành phần: - Máy chủ (Server) - Máy trạm (Client) - Các thiết bị ghép nối (Router, Switch, Hub, Repeater, Access Point) - Cáp mạng (Cable) - Card mạng (Network Interface Card- NIC) 3 2.

Phạm vi kết nối của mạng LAN Mạng LAN thường được sử dụng để kết nối các thiết bị máy tính trong công ty, trường học, bệnh viện, nhà riêng do có phạm vi kết nối chỉ trong bán kính 100m. Để kết nối khoảng cách xa hơn thông thường sẽ sử dụng WAN, INTERNET để trao đổi thông tin. Hệ thống mạng LAN trong doanh nghiệp. Hệ thống mạng LAN là 1 hệ thống cực kỳ quan trọng trong một doanh nghiệp.

Đóng góp vai trò to lớn trong truyền nhận, lưu trữ và bảo mật dữ liệu cho công ty. Cho nên khi xây dựng 1 hệ thống mạng LAN cho doanh nghiệp đòi hỏi các thiết bị bên trong hệ thống phải đảm bảo đầy đủ các tính năng cơ bản và bảo mật cho hệ thống. Hệ thống sẽ sử dụng các thiết bị bao gồm như: switch, router, server… Hình 2. 1: Mô hình mạng LAN cơ bản 2.2 MÔ HÌNH MẠNG 3 LỚP CỦA CISCO Đối với một hệ thống mạng việc đảm bảo tính ổn định, tính dự phòng và tính bảo mật cao là vô cùng quan trọng.

Do đó Cisco đã đề xuất một mô hình mạng phân cấp 3 lớp ( Three-Tier hierarchical Network model) gồm 3 lớp: Lớp lõi (Core Layer), lớp phân phối (Distribute Layer) và lớp truy cập (Access Layer). 2: Mô hình mạng 3 lớp tiêu chuẩn của Cisco 2. Lớp lõi (Core Layer) Lớp lõi bao gồm các bộ định tuyến lớn nhất, nhanh nhất và đắt nhất với số kiểu máy cao nhất và lớp lõi được coi là xương sống của mạng đóng vai trò liên kết giữa các lớp mạng của lớp phân phối và lớp truy cập. Các bộ định tuyến lớp lõi cần tốc độ vận chuyển dữ liệu trên mạng càng nhanh càng tốt.

Nếu có sự cố xảy ra ở lớp lõi, sẽ dẫn đến các người dùng trong mạng LAN đều bị ảnh hưởng. Vì vậy, triển khai dự phòng tại lớp lõi là hết sức cần thiết. Do lớp lõi vận chuyển một số lượng lớn dữ liệu, nên phải đáp ứng được độ trễ cực nhỏ. Lớp phân phối (Distribute Layer) Lớp phân phối nằm giữa lớp truy cập và lớp lõi đóng vai trò kết nối lớp truy cập và lớp lõi, giúp cho lớp lõi được giảm tải rất nhiều trong quá trình truyền nhận thông tin trong mạng.

Chức năng chính của lớp phân phối là xử lý các dịch vụ: định tuyến (routing), lọc gói (filtering), truy cập mạng WAN, tạo access list,. Lớp phân phối đóng vai trò xác định đường nhanh nhất, tối ưu nhất để truyền các gói tin để đáp ứng các yêu cầu của người dùng. Lớp phân phối đóng vai trò thực hiện các chính sách (policies) cho mạng, cung cấp định tuyến giữa các VLAN, bảo mật và QoS. Lớp truy cập (Access Layer) Lớp truy cập bao gồm các switch được kết nối với các thiết bị đầu cuối (Máy tính, Máy in, Máy chủ, v.

Switch lớp truy cập đảm bảo rằng các gói được gửi đến các thiết bị đầu cuối. Lợi ích của mô hình phân cấp ba lớp của Cisco Lợi ích chính của mô hình phân cấp ba lớp của Cisco là nó giúp thiết kế, triển khai và duy trì một mạng lưới phân cấp có thể mở rộng, đáng tin cậy, tiết kiệm chi phí. Hiệu suất tốt hơn: Mô hình mạng ba lớp của Cisco cho phép tạo các mạng hiệu suất cao Quản lý & khắc phục sự cố tốt hơn: Mô hình mạng ba lớp của Cisco cho phép quản lý mạng tốt hơn và cách ly các nguyên nhân gây ra sự cố mạng. Ứng dụng và tạo bộ lọc/chính sách tốt hơn: Mô hình mạng ba lớp của Cisco cho phép ứng dụng tạo bộ lọc/chính sách tốt hơn.

Khả năng mở rộng tốt hơn: Mô hình mạng ba lớp của Cisco cho phép chúng tôi đáp ứng hiệu quả sự phát triển trong tương lai. Dự phòng tốt hơn: Mô hình mạng ba lớp của Cisco cung cấp khả năng dự phòng tốt hơn. Nhiều liên kết trên nhiều thiết bị cung cấp khả năng dự phòng tốt hơn. Nếu một switch bị hỏng, chúng ta có một con đường thay thế khác để đến đích.

KỸ THUẬT VLAN và TRUNKING 2. Kỹ thuật VLAN VLAN (Virtual Local Area Network) được hiểu là một mạng LAN ảo, là một nhóm máy tính kết nối cùng một mạng nhưng không ở gần nhau. VLAN cho phép sử dụng tài nguyên trong hệ thống mạng một cách hiệu quả hơn, bằng cách tạo nhiều mạng LAN ảo trong cùng một mạng cục bộ sẽ giúp giảm tiểu miền quảng bá, đồng thời tạo thuận lợi cho việc quản lí mạng cục bộ lớn hơn. Phân loại VLAN: VLAN có thể được phân loại dựa theo 3 cách sau: - Phân loại theo Port (Port-based VLAN) : gán cho mỗi cổng của switch một VLAN xác định (mặc định là VLAN 1), là cách cấu hình đơn giản và thông dụng nhất.

- Phân loại theo địa chỉ MAC (MAC address based VLAN): Mỗi địa chỉ MAC của thiết bị được gán cho một VLAN xác định, cách cấu hình này khó quản lý và tốn nhiều thời gian nên rất ít khi được sử dụng. 6 - Phân loại theo giao thức (Protocol-based VLAN): Mỗi địa chỉ logic hay địa chỉ IP sẽ được gán cho một VLAN xác định, tương tự như phân loại theo địa chỉ MAC, cách cấu hình này cũng không được sử dụng phổ biến. Ưu điểm của VLAN - Tiết kiệm băng thông cho hệ thống mạng: VLAN chia mạng LAN thành nhiều đoạn (segment) nhỏ và sẽ có một vùng quảng bá (broadcast domain) riêng cho mỗi VLAN. Khi có gói tin quảng bá (broadcast), gói tin đó sẽ được truyền duy nhất trong VLAN tương ứng, từ đó giúp tiết kiệm băng thông của hệ thống mạng.

- Tăng khả năng bảo mật: Do các thiết bị ở các VLAN khác nhau không thể truy nhập vào nhau (trừ khi ta sử dụng router nối giữa các VLAN). - Dễ dàng thêm hay bớt máy tính vào VLAN: cấu hình cổng cho máy đó vào VLAN mong muốn đã có thể thêm một máy tính vào VLAN. 3: Các VLAN được sử dụng trong một hệ thống mạng 2. Kỹ thuật Trunking Trunking là một đường đấu nối duy nhất giữa các VLAN trên Switch này kết nối với các VLAN trên Switch còn lại để thực hiện trao đổi dữ liệu.

Điều này tránh gây ra sự lãng phí và dễ dàng hơn trong việc sửa chữa, bảo trì sau này. Các chuẩn Trunking trong thường được sử dụng gồm: 7 -Kỹ thuật trunking DOT1Q và chuẩn IEEE: Trunking DOT1Q sẽ tiến hành chèn 4 byte phía sau địa chỉ Source của Ethernet Frame. Dữ liệu chèn gọi là DOT1Q Hình 2. 4: Kỹ thuật Trunking 802.1Q -Kỹ thuật trunking ISL và chuẩn Cisco: Kỹ thuật này là chỉ chạy trên thiết bị của Cisco, Truking ISL sẽ tiến hành chèn thêm 26 byte Header và 4 byte CRC kiểm tra lỗi để hoàn thiện Ethernet Frame đầy đủ.

5: Kỹ thuật Trunking ISL 2. HSRP VÀ DỰ PHÒNG GATEWAY HSRP (Hot Standby Router Protocol) là một giao thức chuẩn của hãng Cisco, hoạt động dựa trên việc cho phép nhiều router (hoặc switch layer 3) với ý tưởng cho các router (switch layer 3) cùng tham gia cung cấp default – gateway cho các mạng nằm trên một mạng LAN. Các router (switch) này sẽ cùng nhau xây dựng một router ảo (hay gateway ảo) và các mạng trên LAN sẽ được cấu hình trỏ default – gateway về gateway ảo thay vì các gateway thực. 6: Các host đầu cuối trỏ gateway về router ảo.

MộtitrongihaiirouterithamigiaiHSRP tạo ra routeriảoithựcihiệniviệcichuyển gói tinitừitrongiLANiđiiraingoài, router còn lại sẽ làm nhiệm vụ dự phòng. Router chính gọiilàiActiveivàirouteridựiphòngiđượcigọiilàiStandby. Khi router chính down, router dự phòng sẽ chuyển trạng thái từ Standby sang Active và tiếp tục đảminhậninhiệmivụ chuyểnitiếpigói tiniđiiraingoàiichoiLAN. Giá trị Priority đóng vai trò là tiêuichíiđểibầuichọniActiveichoimột group HSRP, router có PriorityicaoinhấtisẽiđượcibầuichọnilàmiActive, router cóiPriority thấpihơnisẽiđượcibầuilà Standby.

Trườngihợpinhiềuirouter có cùng Priority, bầu chọn địa chỉiIPisẽiđượcisửidụng, routerivới IPicaoinhấtisẽilàiActive,irouterivớiiIPithấpihơnisẽ là Standby 2. ĐỊNH TUYẾN ĐỘNG OSPF 2. Khái niệm OSPF(Open Shortest Path Frst)iđượcisửidụngitrongicácimạngidoanhinghiệp lớn. CácirouterichạyiOSPFisẽigửiicácitrạngitháiikếtinốiicủainóichoitấticảicácirouter trongicùngivùng (area).

Sauikhiitraoiđổi, cácirouterisẽicùnginhauiđưairaibảngicơisở dữiliệuicácitrạngitháiiđườngikếtinối (Link State Database – LSDB) với nhau. Dựa vàoiđóicácirouteritìmiraiđườngiđiingắninhất (Shortest Path Tree) nhờivàoichạyigiải thuật Dijkstra và đưa ra bảng định tuyến. Hoạt động của Ospf Chọn Router – id: Khi router chạy OSPF cần có 1 giá trị dùng để định danh cho router là Router – id. Router – id có định dạng của một địa chỉ IP.

9 Thiết lập quan hệ láng giềng (neighbor) RouterichạyiOSPFisẽigửiigóiitinihelloiraitấticảicácicổngichạyiOSPF (mặc định 10s/lần). Góiitininàyisẽiđượcigửiiđếniđịaichỉ 224. Góiitin helloinàyisẽitìmikiếmilángigiềng, thiếtilậpivàiduyitrìimốiiquanihệ này cho các router. Trao đổi LSDB (Link State Database – LSDB) LSDB là bảng cơ sở dữ liệu các trạng thái đường kết nối, router sẽ căn cứ vào đó để tính toán định tuyến.

LSDB giữa các router cùng vùng phải hoàn toàn giống nhau. Tính toán xây dựng bảng định tuyến Metric = cost = 108/Bandwidth (đơn vị bps) - Ethernet (BW = 10Mbps) → cost = 10 - Fast Ethernet (BW = 100Mbps) → cost = 1 - Serial (BW = 1. KỸ THUẬT ETHERCHANNEL 2. Giới thiệu về kỹ thuật Etherchannel EtherChannelilàikỹithuậtinhómihaiihayinhiềuiđườngikếtinốiivậtilýi(Link Aggregation) thànhimộtiđườngiảoiduyinhấti(Logic)icóiPortiảo, nhằmimụciđíchităng tốciđộitruyềnidữiliệuivàităngikhảinăngidựiphòng (Redundancy) cho hệ thống.

CônginghệiEtherChannelicóithểibóitừi2iđếni8ilinkiFE,iGE,i10Geithànhi1ilinkilogic al, switch khi đó xem portithuộciEtherChannel lài1iportiduyinhất. Switchihoặcithiếtibịiởi2iđầuiEtherChanneliphảiihiểuivàisửidụngicônginghệ EtherChanneliđểiđảmibảoihoạtiđộngiđúngivàichốngiloop.iNếuichỉicói1iđầuisửidụng EtherChannel,icòniđầuibênikiaikhôngisửidụngithìicóithểigâyirailoop. Lưu lượng qua các đường kết nối thuộc EtherChannel phụ thuộc vào phương pháp cân bằng tải mà switch sử dụng và mẫu lưu lượng trong mạng. Nếu một trong các kết nối thuộc EtherChannel bị down thì lưu lượng sẽ tự động được chuyển sang đường kết nối khác trong channel chỉ trong vòng vài mili giây.

Khi kết nối up trở lại thì lưu lượng được phân bố lại như cũ.