Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh chuyển đổi số và phát triển kinh tế hiện đại, cơ sở hạ tầng mạng máy tính đóng vai trò là xương sống vận hành của các tổ chức và doanh nghiệp. Mọi hoạt động tác nghiệp, trao đổi dữ liệu, ứng dụng dịch vụ và quy trình nghiệp vụ đều được xây dựng và hỗ trợ trên nền tảng mạng cục bộ (LAN). Một hệ thống mạng không hoàn chỉnh có thể dẫn đến hiện tượng nghẽn mạng, gián đoạn thông tin, mất an toàn dữ liệu hoặc thiếu khả năng mở rộng khi doanh nghiệp tăng trưởng. Bên cạnh đó, sau giai đoạn biến động của dịch bệnh COVID-19, nhu cầu làm việc từ xa (remote work) và làm việc linh hoạt đặt ra yêu cầu cấp thiết về việc thiết lập các kênh kết nối an toàn từ bên ngoài vào mạng nội bộ công ty.

Để giải quyết các yêu cầu về tính liên tục, khả năng chịu lỗi, tối ưu hiệu năng và an toàn thông tin cho doanh nghiệp có quy mô vừa và lớn (trên 500 người dùng), tác giả Trần Dư Quang Thái đã thực hiện đồ án tốt nghiệp với đề tài "Thiết kế và xây dựng mô hình mạng 3 lớp theo tiêu chuẩn Cisco cho doanh nghiệp". Đề tài tiếp cận mô hình mạng phân cấp ba lớp (Three-Tier Hierarchical Network Model) chuẩn hóa của Cisco nhằm xây dựng một hệ thống mạng hoàn chỉnh, dự phòng đa tầng và bảo mật.

Theo công bố trong văn bản đồ án, các mục tiêu và nhiệm vụ nghiên cứu cụ thể bao gồm:

  1. Triển khai thiết kế mô hình mạng 3 lớp theo kiến trúc tiêu chuẩn của Cisco.
  2. Tích hợp dịch vụ VPN (Client-to-Site) phục vụ nhu cầu làm việc từ xa của cán bộ nhân viên.
  3. Cấu hình giải pháp dự phòng cổng mặc định (Default Gateway) bằng giao thức HSRP (Hot Standby Router Protocol).
  4. Thiết lập cơ chế dự phòng dịch vụ cấp phát địa chỉ IP động (DHCP) và dự phòng các tuyến định tuyến kết nối ra Internet.
  5. Triển khai giao thức định tuyến động OSPF (Open Shortest Path First) trong toàn bộ mạng nội bộ.
  6. Cấu hình kỹ thuật EtherChannel nhằm gom các cổng vật lý, tăng băng thông truyền tải và tăng tính dự phòng đường truyền.
  7. Triển khai tính năng DHCP Snooping chống giả mạo máy chủ DHCP trong mạng LAN.
  8. Cấu hình tính năng Port Security nhằm ngăn chặn tấn công giả mạo địa chỉ MAC và ngăn chặn thiết bị lạ kết nối trái phép.
  9. Thực hiện mô phỏng, cấu hình và kiểm thử toàn bộ hệ thống thông qua phần mềm Cisco Packet Tracer.
  • Đối tượng nghiên cứu: Mô hình mạng phân cấp 3 lớp tiêu chuẩn Cisco, các thiết bị chuyển mạch (Switch Access, Switch Distribution, Switch Core), thiết bị định tuyến (Router), máy chủ dịch vụ và các giao thức mạng đi kèm.
  • Phạm vi nghiên cứu:
    • Không gian: Hệ thống mạng LAN cho một doanh nghiệp mô phỏng gồm 5 phòng ban chuyên biệt (Công nghệ thông tin - IT, Kinh doanh, Nhân sự, Kế toán, Chăm sóc khách hàng) với quy mô hơn 500 nhân viên; kết hợp kết nối mạng diện rộng Internet và kết nối người dùng làm việc từ xa.
    • Thời gian: Đồ án hoàn thành vào tháng 12 năm 2022 tại Bộ môn Kỹ thuật Máy tính - Viễn thông, Khoa Đào tạo Chất lượng cao, Trường Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh.
  • Giới hạn đề tài: Đề tài tập trung vào việc áp dụng các công nghệ, giao thức mạng độc quyền và tiêu chuẩn trên thiết bị phần cứng của Cisco; việc kiểm thử và đánh giá tính năng được thực hiện hoàn toàn trên môi trường giả lập chuyên dụng Cisco Packet Tracer.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và công nghệ áp dụng

Đồ án xây dựng dựa trên nền tảng lý thuyết mạng máy tính và hệ thống tiêu chuẩn kỹ thuật của hãng Cisco:

  • Mô hình mạng 3 lớp (Three-Tier Hierarchical Network Model):
    • Lớp lõi (Core Layer): Đóng vai trò trục xương sống kết nối tốc độ cao, vận chuyển khối lượng lớn lưu lượng giữa các phân vùng mạng với độ trễ tối thiểu.
    • Lớp phân phối (Distribution Layer): Nằm giữa lớp lõi và lớp truy cập, đảm nhận xử lý chính sách mạng, định tuyến liên VLAN (Inter-VLAN Routing), lọc gói, cân bằng tải, kiểm soát truy cập (Access Control List - ACL) và gom đường truyền.
    • Lớp truy cập (Access Layer): Giao tiếp trực tiếp với các thiết bị đầu cuối của người dùng (máy trạm, máy in, Access Point), thực hiện phân đoạn mạng và kiểm soát an ninh cổng mạng.
  • Kỹ thuật phân đoạn mạng và đường truyền kết nối:
    • VLAN (Virtual Local Area Network): Chia nhỏ miền quảng bá (broadcast domain), tăng cường quản lý và nâng cao bảo mật phân quyền phòng ban.
    • Trunking: Giao thức đóng gói thẻ nhận dạng VLAN qua các đường liên kết giữa các Switch, bao gồm chuẩn quốc tế IEEE 802.1Q (DOT1Q chèn 4 byte vào khung Ethernet) và chuẩn Cisco ISL (chèn 26 byte header cùng 4 byte CRC).
  • Giao thức dự phòng Gateway (HSRP - Hot Standby Router Protocol): Cơ chế định tuyến dự phòng độc quyền của Cisco, cho phép cấu hình một nhóm Router/Layer 3 Switch chia sẻ một địa chỉ IP và MAC ảo làm Default Gateway cho các máy trạm. Trạng thái Active và Standby được xác định thông qua chỉ số ưu tiên (Priority) và cơ chế chiếm quyền (Preemption).
  • Giao thức định tuyến động OSPF (Open Shortest Path First): Giao thức định tuyến trạng thái liên kết (Link-State) hoạt động trên giải thuật Dijkstra (Shortest Path First), tự động xây dựng cơ sở dữ liệu trạng thái đường truyền (LSDB) và tính toán chi phí (Metric = $10^8 / \text{Bandwidth}$) nhằm tìm ra tuyến đường tối ưu trong cùng một vùng (Area).
  • Kỹ thuật gom liên kết EtherChannel: Nhóm gộp từ 2 đến 8 liên kết vật lý (Fast Ethernet, Gigabit Ethernet) thành một liên kết logic duy nhất nhằm nhân băng thông và hỗ trợ cân bằng tải. Hỗ trợ giao thức mở LACP (IEEE 802.3ad) và giao thức Cisco PAgP.
  • Dịch vụ chuyển đổi địa chỉ mạng (NAT) và bảo mật:
    • NAT Overload (PAT - Port Address Translation): Ánh xạ nhiều địa chỉ IP Private trong mạng LAN thành một địa chỉ IP Public duy nhất thông qua việc phân biệt bằng số hiệu cổng (Port) để truy cập Internet.
    • Static NAT: Ánh xạ tĩnh 1-1 giữa địa chỉ IP Private của Web Server nội bộ với địa chỉ IP Public ra ngoài Internet.
    • IPsec VPN (Client-to-Site): Thiết lập đường hầm bảo mật từ máy trạm ngoài Internet kết nối về Router biên của doanh nghiệp, thực thi các thuộc tính an ninh: bảo mật tin cậy (Confidentiality), toàn vẹn dữ liệu (Data Integrity) và xác thực nguồn gốc (Origin Authentication) thông qua ISAKMP Policy, khóa chia sẻ trước (Pre-shared Key) và Crypto Map.
  • Các giải pháp an ninh phân lớp:
    • Port Security: Kiểm soát cổng truy cập trên Switch lớp 2 dựa trên địa chỉ MAC nguồn, thiết lập các mức xử lý vi phạm: Protect (bỏ gói tin vi phạm, không thông báo), Restrict (bỏ gói tin, gửi cảnh báo SNMP/Syslog và tăng bộ đếm), Shutdown (khóa hoàn toàn cổng kết nối).
    • DHCP Snooping: Phân loại các cổng Switch thành cổng tin cậy (Trusted Port - nối tới DHCP Server hợp lệ) và cổng không tin cậy (Untrusted Port), chặn đứng các gói tin DHCP Offer/Reply giả mạo từ tin tặc.
    • Giao thức quản trị bảo mật SSH (Secure Shell): Hoạt động tại cổng TCP 22, mã hóa toàn bộ dữ liệu quản trị từ xa thay thế cho giao thức Telnet dạng văn bản thuần (Clear text).

Phương pháp nghiên cứu và nguồn dữ liệu

  • Phương pháp phân tích và thiết kế hệ thống: Khảo sát yêu cầu vận hành của doanh nghiệp quy mô trên 500 người dùng, phân tích lưu lượng, xây dựng sơ đồ phân cấp logic và cấu trúc địa chỉ IP phù hợp.
  • Phương pháp thực nghiệm mô phỏng: Ứng dụng phần mềm Cisco Packet Tracer để giả lập kiến trúc phần cứng, cấu hình chi tiết các dòng lệnh CLI (Command-Line Interface) và thực hiện các kịch bản kiểm thử kết nối, chuyển mạch dự phòng và an ninh mạng.

Thiết kế và triển khai hệ thống mạng

Phân tích yêu cầu và lựa chọn thiết bị phần cứng

Để đáp ứng khối lượng truyền tải cho 5 phòng ban (khoảng 100 thiết bị trên mỗi phòng ban) cùng các tính năng dự phòng nâng cao, tác giả xây dựng bảng danh mục phần cứng đề xuất cho hệ thống:

Phân lớp mạng Dòng thiết bị đề xuất Số lượng Thông số kỹ thuật chính Đơn giá ước tính (VNĐ) Thiết bị dùng trong mô phỏng
Lớp truy cập (Access) Cisco Small Business SG200-50 10 48 cổng RJ-45 Gigabit, 2 cổng SFP Combo, bảng MAC 8000 địa chỉ, hỗ trợ VLAN, Port Security 9.000.000 Cisco Catalyst C2960-24TT
Lớp phân phối (Distribution) Cisco Catalyst WS-C3560-24PS-S 02 Switch Layer 3, 24 cổng 10/100/1000, 4 cổng SFP 1G, Switching Capacity 88 Gbps, RAM 4G, Flash 2G 24.000.000 Cisco Catalyst WS-C3560-24PS-S
Lớp lõi (Core) Cisco Catalyst WS-C3560X-24P-L 02 Switch Layer 3 hiệu năng cao, 24 cổng Gigabit, Switching Capacity 160 Gbps, DRAM 256 MB, Flash 128 MB 60.000.000 Cisco Catalyst WS-C3560-24PS-S
Bộ định tuyến biên (Router ISP/VPN) Cisco 2911/K9 01 2U Modular, DRAM 512 MB, Flash 256 MB, hỗ trợ định tuyến OSPF/BGP, tăng tốc mã hóa phần cứng VPN, NAT 57.000.000 Cisco 2911 Router

Quy hoạch phân bổ địa chỉ IP và VLAN

Doanh nghiệp được chia thành 5 phân vùng mạng nội bộ (VLAN) tương ứng với 5 bộ phận chức năng, quản lý bởi các Switch Distribution:

Phòng ban Tên phân vùng (Pool) Định danh VLAN (VLAN ID) Địa chỉ mạng (Network Address) Mặt nạ mạng (Subnet Mask)
Công nghệ thông tin IT VLAN 22 172.x.x.x Theo chuẩn phân lớp quy hoạch
Nhân sự NS Khởi tạo trên Switch 172.x.x.x Theo chuẩn phân lớp quy hoạch
Chăm sóc khách hàng CSKH Khởi tạo trên Switch 172.x.x.x Theo chuẩn phân lớp quy hoạch
Kinh doanh KD Khởi tạo trên Switch 172.x.x.x Theo chuẩn phân lớp quy hoạch
Kế toán KT Khởi tạo trên Switch 172.x.x.x Theo chuẩn phân lớp quy hoạch

Kiến trúc cấu hình kỹ thuật

  1. Cấu hình phân vùng và trung kế: Khởi tạo danh sách VLAN trên toàn bộ hệ thống Switch; thiết lập chế độ đường truyền switchport mode trunk chuẩn 802.1Q trên các liên kết kết nối giữa Access Switch, Distribution Switch và Core Switch.
  2. Cấu hình Gateway dự phòng (HSRP): Triển khai HSRP trên các interface VLAN của hai Switch Distribution (DSW1 và DSW2). DSW1 được gán Priority cao hơn để đóng vai trò Active Gateway cho một số VLAN, DSW2 đóng vai trò Standby (và ngược lại đối với các VLAN khác nhằm tối ưu cân bằng tải).
  3. Cấp phát IP động (DHCP): Thiết lập DHCP Server trực tiếp trên các Switch Distribution, khai báo dãy địa chỉ loại trừ (Excluded Addresses) dành cho các Interface VLAN, địa chỉ Gateway ảo và máy chủ cố định.
  4. Gom liên kết (EtherChannel): Gom các cổng liên kết vật lý giữa Distribution Switch và Core Switch thành các Port-Channel logic sử dụng giao thức thương lượng LACP/PAgP.
  5. Định tuyến OSPF và NAT: Kích hoạt OSPF Area 0 giữa Core Switch và Router biên; quảng bá tuyến mặc định (default-information originate) từ Router ISP vào vùng OSPF; cấu hình ACL và NAT Overload trên cổng ra Internet; cấu hình Static NAT trỏ địa chỉ IP Public vào Web Server nội bộ.
  6. Bảo mật và truy cập từ xa:
    • Cấu hình Port Security trên các cổng Access: gán số lượng MAC tối đa là 1, bật tính năng mac-address sticky, thiết lập hành động vi phạm switchport port-security violation shutdown.
    • Bật tính năng ip dhcp snooping, kích hoạt trên các VLAN người dùng và thiết lập cổng Uplink là cổng tin cậy (ip dhcp snooping trust).
    • Cấu hình IPsec VPN trên Router 2911: thiết lập chính sách ISAKMP (mã hóa 3DES/AES, xác thực SHA/MD5, nhóm Diffie-Hellman), cấu hình xác thực người dùng cục bộ (AAA/Local) và gán Crypto Map vào giao tiếp ngoài.
    • Kích hoạt dịch vụ Web (HTTP), phân giải tên miền (DNS) và thiết lập mạng không dây (Wireless Access Point) có bảo mật mật mã truy cập.

Nội dung chính theo từng chương

Chương 1: Tổng quan

Chương 1 trình bày tính cấp thiết của việc xây dựng cơ sở hạ tầng mạng máy tính đối với sự sống còn của doanh nghiệp. Tác giả xác định rõ các mục tiêu cần đạt, nội dung triển khai, đối tượng và phạm vi nghiên cứu xoay quanh mô hình 3 lớp của Cisco, đồng thời chỉ ra giới hạn nghiên cứu khi áp dụng cho phân khúc doanh nghiệp vừa và lớn với các thiết bị mạng đồng bộ.

Chương 2: Cơ sở lý thuyết

Chương 2 cung cấp hệ thống lý thuyết toàn diện về mạng cục bộ LAN, chi tiết kiến trúc mô hình phân cấp 3 lớp của Cisco (Lớp lõi, Lớp phân phối, Lớp truy cập) và các lợi ích vượt trội về hiệu năng, khả năng mở rộng, quản lý sự cố và dự phòng. Chương này đi sâu vào nguyên lý hoạt động của các giao thức và công nghệ chủ chốt: VLAN, Trunking (802.1Q, ISL), HSRP, OSPF, EtherChannel, NAT Overload, VPN (phân loại, chức năng bảo mật), DHCP, SSH, Port Security (các chế độ phạt Protect, Restrict, Shutdown), DHCP Snooping và giới thiệu công cụ mô phỏng Cisco Packet Tracer.

Chương 3: Thiết kế hệ thống

Chương 3 tập trung vào việc mô hình hóa yêu cầu doanh nghiệp 5 phòng ban (>500 nhân viên). Tác giả tiến hành phân tích chi tiết thông số kỹ thuật, bảng giá thị trường và lựa chọn các dòng thiết bị: Switch Access (SG200-50), Switch Distribution (WS-C3560-24PS-S), Switch Core (WS-C3560X-24P-L) và Router ISP/VPN (Cisco 2911/K9). Chương này xây dựng sơ đồ mạng tổng thể, quy hoạch bảng địa chỉ IP và trình bày từng khối mã lệnh cấu hình thực tế cho VLAN, Trunking, HSRP, DHCP, EtherChannel, OSPF, NAT, Port Security, DHCP Snooping, VPN IPsec, Web Server, DNS Server và Wireless Access Point.

Chương 4: Kết quả và đánh giá

Chương 4 ghi lại các kết quả kiểm thử thực nghiệm trên phần mềm Cisco Packet Tracer qua các kịch bản kiểm tra:

  • Cấp phát IP: Các máy trạm của 5 phòng ban nhận đúng địa chỉ IP động, Subnet mask, Default Gateway ảo và DNS server.
  • Định tuyến và liên lạc: Kiểm tra ping thành công giữa các VLAN khác nhau (giữa máy trạm phòng IT với phòng Chăm sóc khách hàng, Nhân sự, Kinh doanh, Kế toán).
  • Kết nối Internet và cân bằng tải: Máy trạm nội bộ và Web Server kết nối thành công ra Internet ngoài; lưu lượng đi qua các hướng khác nhau theo đúng thiết lập định tuyến OSPF.
  • Dự phòng Gateway HSRP: Thực hiện ngắt kết nối trên Switch Distribution 1 (DSW1), toàn bộ lưu lượng của VLAN IT tự động chuyển đổi sang đi qua Switch Distribution 2 (DSW2) mà không gây đứt gãy dịch vụ.
  • Truy cập VPN từ xa: Máy tính giả lập đóng vai trò người dùng tại quán cà phê ngoài Internet quay số VPN thành công vào Router 2911 và truy cập trực tiếp vào máy trạm thuộc VLAN IT trong mạng LAN công ty.
  • Bảo mật cổng: Thay đổi địa chỉ MAC của thiết bị kết nối vào cổng f0/1, Switch lập tức phát hiện vi phạm và chuyển trạng thái cổng sang shutdown.
  • An ninh DHCP Snooping: Hệ thống ngăn chặn thành công máy chủ DHCP giả mạo phát IP sai lệch trên các cổng không tin cậy.
  • Dịch vụ mạng: Kiểm tra truy cập Web Server qua cả mạng LAN và mạng ngoài Internet; các máy tính xách tay kết nối thành công vào mạng không dây Wifi nội bộ.

Chương 5: Kết luận và hướng phát triển

Chương 5 tóm tắt các hạng mục đã hoàn thành của đồ án so với mục tiêu đề ra ban đầu, đánh giá mức độ ổn định của hệ thống mạng mô phỏng và vạch ra các hướng mở rộng, nâng cấp trong tương lai khi đưa vào môi trường thực tế.

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

  1. Vận hành đầy đủ mô hình phân cấp: Thiết kế và mô phỏng thành công mạng LAN 3 lớp cho doanh nghiệp 5 phòng ban, đáp ứng nhu cầu kết nối cho hơn 500 người dùng với băng thông tối ưu nhờ EtherChannel.
  2. Khả năng dự phòng cao: Triển khai thành công HSRP trên lớp phân phối. Thực nghiệm chứng minh khi Switch DSW1 gặp sự cố ngắt kết nối, Switch DSW2 ngay lập tức tiếp quản vai trò Active Gateway, duy trì luồng dữ liệu ra Internet liên tục cho các máy trạm.
  3. Mở rộng kết nối làm việc từ xa: Thiết lập thành công kênh truyền IPsec VPN Client-to-Site trên Router Cisco 2911, cho phép nhân viên truy cập an toàn tài nguyên mạng nội bộ từ các mạng công cộng bên ngoài.
  4. Tăng cường an ninh đa lớp:
    • Tính năng Port Security tự động khóa cổng (Shutdown) khi có thiết bị mang địa chỉ MAC trái phép kết nối vào hệ thống.
    • DHCP Snooping thiết lập phân quyền cổng tin cậy/không tin cậy, ngăn ngừa triệt để nguy cơ tấn công Man-in-the-Middle từ máy chủ DHCP giả.
  5. Dịch vụ mạng tích hợp: Cấu hình hoàn chỉnh hệ thống máy chủ nội bộ (Web Server, DNS Server) kết hợp hạ tầng mạng không dây (Wifi Access Point), cho phép phân giải tên miền và truy cập trang web nội bộ từ cả bên trong mạng LAN lẫn bên ngoài Internet thông qua Static NAT.

Đóng góp của đề tài

  • Cung cấp một tài liệu thiết kế kỹ thuật hoàn chỉnh, chi tiết từ khâu khảo sát lựa chọn thiết bị, tính toán chi phí phần cứng đến cấu hình từng dòng lệnh CLI cho các giao thức mạng phức tạp.
  • Đưa ra giải pháp tổng thể giải quyết đồng thời ba bài toán lớn của mạng doanh nghiệp: Hiệu năng & Khả năng mở rộng (mô hình 3 lớp, EtherChannel), Độ tin cậy & Tính liên tục (HSRP, OSPF dự phòng), và An toàn thông tin & Kết nối linh hoạt (Port Security, DHCP Snooping, IPsec VPN).

Hạn chế và hướng nghiên cứu tiếp

Hạn chế được ghi nhận

  • Toàn bộ quá trình triển khai, cấu hình và đánh giá chỉ được thực hiện trên môi trường mô phỏng phần mềm (Cisco Packet Tracer), chưa được triển khai và đo kiểm trực tiếp trên hệ thống thiết bị phần cứng vật lý thực tế.
  • Phần mềm Packet Tracer bị giới hạn một số tính năng và dòng lệnh nâng cao so với hệ điều hành Cisco IOS thực tế, dẫn đến việc phải thay thế một số mã thiết bị mô phỏng (ví dụ: sử dụng Catalyst C2960 thay cho SG200-50).
  • Hệ thống chỉ tương thích và tối ưu đối với các dòng thiết bị của hãng Cisco do sử dụng một số giao thức và công nghệ độc quyền (HSRP, PAgP, ISL).
  • Chi phí đầu tư phần cứng theo thiết kế ban đầu tương đối cao, chỉ phù hợp với các doanh nghiệp có quy mô vừa và lớn hoặc ngân sách đầu tư công nghệ thông tin dồi dào.

Hướng phát triển tiếp theo

  • Mở rộng triển khai cấu hình và đo kiểm trên các thiết bị phần cứng thật trong môi trường doanh nghiệp thực tế để đánh giá chính xác độ trễ và lưu lượng truyền tải thực.
  • Nghiên cứu và triển khai bổ sung các giải pháp tường lửa chuyên dụng (như Cisco ASA Firewall) để tăng cường khả năng lọc gói tin và phát hiện/ngăn ngừa xâm nhập (IDS/IPS).
  • Mở rộng kiến trúc mạng kết nối đa chi nhánh thông qua các công nghệ VPN nâng cao như Site-to-Site VPN hoặc Dynamic Multipoint VPN (DMVPN).
  • Tích hợp thêm các cơ chế quản lý băng thông nâng cao (QoS - Quality of Service) để ưu tiên lưu lượng cho các ứng dụng thời gian thực như VoIP và hội nghị truyền hình.

Giá trị tham khảo

Đồ án là tài liệu tham khảo có giá trị chuyên môn cao đối với:

  • Sinh viên chuyên ngành: Sinh viên ngành Công nghệ thông tin, Kỹ thuật Máy tính, Mạng máy tính và Truyền thông dữ liệu đang thực hiện đồ án môn học, đồ án tốt nghiệp hoặc ôn luyện các chứng chỉ mạng quốc tế của Cisco (CCNA, CCNP Enterprise).
  • Kỹ sư và quản trị trị mạng: Đội ngũ kỹ sư mạng tại các doanh nghiệp vừa và lớn có thể tham khảo phương pháp quy hoạch địa chỉ IP, kiến trúc mạng phân cấp 3 lớp, cách thức dự phòng Gateway (HSRP), gom liên kết (EtherChannel) và triển khai IPsec VPN phục vụ làm việc từ xa.
  • Phần giá trị nhất: Quy trình thiết kế chi tiết tại Chương 3 và các bước cấu hình CLI mẫu được giải thích rõ ràng cho từng giao thức, cùng kịch bản kiểm thử lỗi mạng thực nghiệm tại Chương 4.

Câu hỏi thường gặp

1. Tại sao đồ án lại lựa chọn mô hình mạng phân cấp 3 lớp thay vì mô hình mạng phẳng hay mạng 2 lớp?
Mô hình 3 lớp của Cisco phân chia rõ ràng chức năng thành Lớp truy cập (Access), Lớp phân phối (Distribution) và Lớp lõi (Core). Kiến trúc này giúp cách ly sự cố, tối ưu hóa lưu lượng, dễ dàng mở rộng mạng khi số lượng người dùng vượt trên 500 mà không làm ảnh hưởng đến cấu trúc mạng lõi, đồng thời hỗ trợ triển khai linh hoạt các chính sách định tuyến và an ninh.

2. Cơ chế dự phòng cổng mặc định (Default Gateway) bằng giao thức HSRP hoạt động như thế nào khi một Switch Distribution gặp sự cố?
Trong điều kiện bình thường, Switch DSW1 (có Priority cao hơn) đóng vai trò Active Gateway tiếp nhận và chuyển tiếp gói tin từ máy trạm ra ngoài; Switch DSW2 đóng vai trò Standby. Hai switch liên tục trao đổi gói tin Hello. Khi DSW1 gặp sự cố ngừng hoạt động, DSW2 không nhận được tín hiệu Hello sẽ tự động chuyển trạng thái từ Standby sang Active, tiếp quản địa chỉ IP và MAC ảo của Default Gateway, giúp các máy trạm tiếp tục truy cập mạng mà không bị gián đoạn.

3. Kỹ thuật gom đường truyền EtherChannel mang lại lợi ích gì cho hệ thống mạng của doanh nghiệp?
EtherChannel cho phép bó từ 2 đến 8 cổng kết nối vật lý thành một cổng logic duy nhất. Kỹ thuật này giúp nhân tổng băng thông truyền tải giữa Switch Distribution và Switch Core, ngăn ngừa hiện tượng nghẽn cổ chai dữ liệu, đồng thời tăng tính dự phòng: nếu một đường cáp vật lý trong bó bị đứt, lưu lượng sẽ tự động chuyển qua các đường còn lại trong vòng vài mili-giây mà không làm gián đoạn liên kết và không bị Spanning Tree Protocol (STP) chặn cổng.

4. Dịch vụ VPN Client-to-Site được cấu hình trên thiết bị nào và giải quyết bài toán gì cho doanh nghiệp?
VPN Client-to-Site được cấu hình trực tiếp trên Router biên Cisco 2911/K9 bằng giao thức IPsec (kết hợp ISAKMP Policy và mã hóa dữ liệu). Dịch vụ này cho phép các nhân viên làm việc từ xa (như tại nhà hoặc quán cà phê) thiết lập kênh truyền bảo mật qua Internet để truy cập vào các máy trạm và máy chủ nội bộ trong mạng LAN công ty một cách an toàn.

5. Port Security trên Switch Access xử lý thế nào khi phát hiện thiết bị lạ cắm vào mạng?
Trong đồ án, Port Security được cấu hình ở chế độ vi phạm Shutdown. Switch ghi nhớ địa chỉ MAC hợp lệ của máy trạm được gán cố định cho cổng. Khi phát hiện một địa chỉ MAC lạ kết nối vào cổng (hoặc có hành vi giả mạo MAC), cổng mạng đó sẽ ngay lập tức bị ngắt kết nối (chuyển sang trạng thái err-disabled/shutdown), gửi cảnh báo và chặn đứng truy cập trái phép vào mạng LAN.

Kết luận

Đồ án tốt nghiệp của tác giả Trần Dư Quang Thái đã hoàn thành toàn diện việc thiết kế, xây dựng và đánh giá mô hình mạng 3 lớp theo tiêu chuẩn Cisco cho doanh nghiệp quy mô trên 500 người dùng. Nghiên cứu tích hợp thành công các giải pháp mạng và an ninh cốt lõi bao gồm định tuyến OSPF, dự phòng HSRP, gom kênh EtherChannel, bảo mật Port Security, DHCP Snooping và truy cập từ xa IPsec VPN. Kết quả thực nghiệm trên phần mềm Cisco Packet Tracer chứng minh hệ thống vận hành ổn định, có độ sẵn sàng cao và đáp ứng tốt các tiêu chuẩn kỹ thuật hạ tầng mạng doanh nghiệp hiện đại.