Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, hạ tầng mạng cục bộ (Local Area Network – LAN) đóng vai trò là "hệ thần kinh trung ương" điều phối mọi hoạt động vận hành, giao tiếp dữ liệu và ứng dụng nghiệp vụ của doanh nghiệp. Theo các báo cáo an ninh mạng giai đoạn 2024–2026, hơn 62% sự cố rò rỉ dữ liệu tại các doanh nghiệp vừa và nhỏ (SMEs) xuất phát từ cấu trúc mạng phẳng (Flat Network) thiếu phân đoạn an toàn và thiếu cơ chế kiểm soát truy cập phân tầng.

Đề tài "Mô phỏng xây dựng và thiết kế hệ thống mạng LAN. Thực hiện mô hình bảo mật cho công ty" được thực hiện bởi sinh viên Đào Trung Anh dưới sự hướng dẫn của TS. Lê Cường (Khoa Công nghệ Thông tin – Trường Đại học Kiến trúc Hà Nội). Dự án tập trung giải quyết bài toán hạ tầng mạng toàn diện cho Công ty Đầu tư và Phát triển Phần mềm LSD (chi nhánh Hà Nội, diện tích 400 m² tại Phố Nghĩa Đô, Cầu Giấy), nơi đang vận hành hơn 200 thiết bị đầu cuối với các phòng ban chuyên biệt: Software Development, Cloud Engineering, IT Support, Marketing, Nhân sự và Ban Giám đốc.

+-----------------------------------------------------------------------------------+
|                        MÔ HÌNH BẢO MẬT SCREENED SUBNET (DMZ)                      |
|                                                                                   |
|  [ INTERNET ] <---> [ Outside Router ] <---> [ CISCO ASA 5506-X ]                 |
|                                                      |                            |
|                            +-------------------------+-----------------------+    |
|                            |                                                 |    |
|                     (DMZ - Sec: 50)                                  (Inside - Sec: 100)  
|             +--------------+--------------+                          |            |
|             | Web/Email/ERP/DHCP Server   |                  [ Core/Dist Switch ] |
|             +-----------------------------+                          |            |
|                                                    +-----------------+---------+  |
|                                                    |                           |  |
|                                            (Floor 4 - VLAN 30)        (Floor 5 - VLAN 20)
|                                            150 PCs: HR/Marketing      50 PCs: Dev/Cloud/IT
+-----------------------------------------------------------------------------------+

Mục tiêu dự án cụ thể

  1. Khảo sát và thiết kế sơ đồ mạng 3 phân lớp (Hierarchical Model): Bao gồm Core Layer, Distribution Layer và Access Layer nhằm tối ưu băng thông và cô lập lỗi cục bộ.
  2. Thiết lập kiến trúc an ninh Screened Subnet (Vùng mạng phi quân sự - Demilitarized Zone - DMZ): Tách biệt hoàn toàn các dịch vụ công cộng nội bộ (ERP, Email, Web Server) với mạng người dùng nhạy cảm.
  3. Triển khai thiết bị tường lửa thế hệ mới Cisco ASA 5506-X: Áp dụng các chính sách Packet Filtering, Application-Level Gateway, Access Control List (ACL) và kiểm soát lưu lượng phiên kết nối trạng thái (Stateful Inspection).
  4. Chuẩn hóa hạ tầng vật lý và quy chuẩn cáp mạng: Thi công hệ thống cáp xoắn đôi không bọc kim loại (UTP Cat5e/Cat6) bấm theo chuẩn quốc tế EIA/TIA-568A/B trên diện tích 400 m² sàn.
  5. Tối ưu hóa chi phí đầu tư hạ tầng: Xây dựng toàn bộ hệ thống phần cứng và phần mềm máy chủ với ngân sách tối ưu $2,559 USD, đảm bảo khả năng hoàn vốn nhanh và độ ổn định cao.

Phạm vi và giới hạn đề tài

  • Phạm vi: Thiết kế luận lý (Logical Topology), phân bổ địa chỉ IP/Subnetting, cấu hình an ninh tường lửa ASA 5506-X, cấu hình hệ thống máy chủ Windows Server 2022 Datacenter và thi công hạ tầng mạng vật lý 2 tầng (Tầng 4 & Tầng 5).
  • Giới hạn: Hệ thống quản lý tài khoản người dùng ban đầu được tối ưu theo mô hình Workgroup kết hợp định danh tập trung trên Firewall, chưa triển khai toàn diện Active Directory Domain Controller phân tán đa Site do quy mô ban đầu giới hạn dưới 250 nốt mạng.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế tại Công ty Phần mềm LSD cho thấy hệ thống cũ tồn tại nhiều điểm nghẽn nghiêm trọng: 120 máy tính trạm kết nối thông qua 04 switch không quản lý (unmanaged) và 01 hub trung tâm, dây mạng đấu nối tự phát, chung 1 broadcast domain duy nhất dẫn đến hiện tượng broadcast storm thường xuyên, không có cơ chế tường lửa chuyên dụng bảo vệ máy chủ cơ sở dữ liệu.

Tiêu chí phân tích Hệ thống cũ (Trước nâng cấp) Giải pháp đề xuất mới trong đồ án
Kiến trúc mạng Mạng phẳng (Flat Network) Mô hình phân cấp 3 lớp (Hierarchical 3-Layer)
Bảo mật biên & Vùng máy chủ Dùng modem nhà mạng thông thường Cisco ASA 5506-X + Phân vùng DMZ Screened Subnet
Kiểm soát lưu lượng Không có bộ lọc, lưu lượng tự do Packet Filtering + ACL đa tầng theo IP/Port/Giao thức
Chuẩn kết nối cáp Cáp lẫn lộn, suy hao cao UTP Cat5/Cat6 bấm chuẩn EIA/TIA T568A/T568B
Khả năng mở rộng Rất khó mở rộng, dễ treo hệ thống Dễ dàng nâng cấp thêm 100-200 nodes không gián đoạn

Đánh giá kiến trúc an ninh tường lửa

Đồ án phân tích chuyên sâu 3 mô hình kiến trúc Firewall để lựa chọn giải pháp tối ưu:

  1. Dual-Homed Host: Đơn giản nhưng tạo điểm nghẽn lưu lượng (bottleneck) tại máy chủ đại diện; nếu máy chủ bị xâm nhập, toàn bộ mạng nội bộ bị phơi nhiễm.
  2. Screened Host: Kết hợp Router lọc gói với Bastion Host. Độ an toàn cao hơn nhưng vẫn tồn tại rủi ro nếu Bastion Host bị thỏa hiệp, kẻ tấn công có thể truy cập trực tiếp mạng trong.
  3. Screened Subnet (Được lựa chọn): Bổ sung mạng ngoại vi (DMZ) nằm giữa Exterior Router (Access Router) và Interior Router (Choke Router). Cơ chế cô lập phòng thủ theo chiều sâu (Defense-in-Depth) đảm bảo máy chủ công cộng bị tấn công cũng không thể xâm phạm vùng máy trạm nội bộ.
+-----------------------------------------------------------------------+
|                SO SÁNH 3 MÔ HÌNH TƯỜNG LỬA DOANH NGHIỆP               |
|                                                                       |
| [Dual-Homed Host]   : Internet <--> [Dual-Homed Host] <--> LAN        |
| [Screened Host]     : Internet <--> [Screening Router] <--> LAN       |
|                                             |                         |
|                                      [Bastion Host]                   |
| [Screened Subnet]   : Internet <--> [Ext Router] <--> [DMZ]           |
|                                                         |             |
|                                                  [Int Router] <-> LAN |
+-----------------------------------------------------------------------+

Yêu cầu người dùng theo khung MoSCoW

  • Must Have (Bắt buộc): Tách biệt mạng phòng R&D/Cloud với phòng HR/Marketing; hệ thống máy chủ dịch vụ đặt trong vùng DMZ; tường lửa chặn toàn bộ truy cập trái phép từ Internet; thông lượng mạng nội bộ đạt tối thiểu 1 Gbps.
  • Should Have (Nên có): Cơ chế kiểm soát băng thông theo nhóm phòng ban; máy chủ cấp phát IP động DHCP Server độc lập; quản trị thiết bị từ xa qua giao thức an toàn SSH/HTTPS.
  • Could Have (Có thể mở rộng): Tích hợp mạng riêng ảo VPN Site-to-Site và Client-to-Site cho kỹ sư làm việc từ xa; hệ thống giám sát tải mạng qua SNMPv3.
  • Won't Have (Chưa thực hiện ở pha này): Cụm cân bằng tải máy chủ F5 Big-IP đắt tiền; hệ thống chống tấn công DDoS phần cứng chuyên dụng.

Thiết kế hệ thống

Danh mục công nghệ và phiên bản (Technology Stack)

  • Tường lửa phần cứng (NGFW): Cisco ASA 5506-X chạy hệ điều hành Cisco Adaptive Security Appliance Software v9.8+.
  • Thiết bị chuyển mạch (Switch): TP-Link TL-SG1024D 24-Port Gigabit (10/100/1000 Mbps).
  • Thiết bị định tuyến & Không dây: Aruba IAP-345 chuẩn 802.11ac Wave 2 Dual-band.
  • Máy chủ dịch vụ (Server): Dell PowerEdge (CPU Intel Xeon Quad Core X5560 2.4GHz Turbo, 8MB L3 Cache, Chipset Intel 7500, Card RAID Dell SAS6/i chạy RAID 1 dự phòng, 2 cổng mạng Broadcom BCM5716 Gigabit).
  • Hệ điều hành mạng: Windows Server 2022 Datacenter Evaluation Edition, Windows 10 Pro 64-bit cho máy trạm.
  • Hạ tầng cáp vật lý: Cáp xoắn đôi AMP Netconnect Cat-5/Cat-6 UTP 4-pair CMR Solid Cable (305m/thùng) và đầu bấm AMP RJ-45 Modular Plug.
+---------------------------------------------------------------------------------+
|                       SƠ ĐỒ PHÂN BỔ ĐỊA CHỈ IP VÀ VLAN                           |
+------+----------------------+---------------------+---------------+-------------+
| VLAN | Tên phân vùng mạng   | Dải IP Subnet (CIDR)| Default GW    | Bảo mật ASA |
+------+----------------------+---------------------+---------------+-------------+
| 10   | Quản trị hạ tầng     | 192.168.10.0/24     | 192.168.10.1  | Level 100   |
| 20   | Dev / Cloud / IT     | 192.168.20.0/24     | 192.168.20.1  | Level 90    |
| 30   | HR / Marketing       | 192.168.30.0/24     | 192.168.30.1  | Level 80    |
| 40   | Vùng máy chủ DMZ     | 172.16.40.0/24      | 172.16.40.1   | Level 50    |
| --   | Mạng ngoài (Outside) | 203.113.150.0/29    | 203.113.150.1 | Level 0     |
+------+----------------------+---------------------+---------------+-------------+

Phương pháp luận (Methodology)

Dự án áp dụng phương pháp thiết kế mạng phân đoạn logic theo chuẩn Top-Down Network Design kết hợp chu trình triển khai 4 giai đoạn:

[ Khảo sát hạ tầng 400m2 ] 
       │
       ▼
[ Thiết kế Luận lý & IP Planning ]
       │
       ▼
[ Lắp đặt Vật lý & Bấm cáp T568B ]
       │
       ▼
[ Cấu hình ASA 5506-X & Hardening ]
       │
       ▼
[ Đánh giá UAT & Stress Test ]
  1. Khảo sát & Lập kế hoạch (Tuần 1–2): Đo đạc thực địa 400 m² mặt sàn, thống kê 200 điểm mạng, vẽ đường đi dây mạng âm trần và bố trí tủ Rack gắn tường.
  2. Thiết kế luận lý & Lập ngân sách (Tuần 3–4): Quy hoạch bảng địa chỉ IP Subnet, tính toán chi phí chi tiết $2,559 USD.
  3. Thi công vật lý & Cài đặt hệ thống (Tuần 5–7): Thi công kéo cáp AMP Cat5e/Cat6, bấm jack RJ45, lắp đặt máy chủ Dell PowerEdge, switch Gigabit và firewall ASA.
  4. Kiểm thử & Bàn giao (Tuần 8): Đo thông mạch cáp mạng bằng máy test 8-pin, kiểm thử chịu tải I/O và đánh giá độ trễ ICMP.

Triển khai và kết quả

Quá trình thực hiện kỹ thuật

1. Quy chuẩn thi công hệ thống cáp mạng T568A / T568B

Để kết nối giữa các thiết bị khác loại (PC nối Switch) và cùng loại (Switch nối Switch), đồ án chuẩn hóa quy trình 5 bước bấm cáp mạng với đầu nối RJ-45:

  • Chuẩn T568A: 1. Trắng xanh lá - 2. Xanh lá - 3. Trắng cam - 4. Xanh dương - 5. Trắng xanh dương - 6. Cam - 7. Trắng nâu - 8. Nâu.
  • Chuẩn T568B (Ưu tiên thi công mạng công ty LSD): 1. Trắng cam - 2. Cam - 3. Trắng xanh lá - 4. Xanh dương - 5. Trắng xanh dương - 6. Xanh lá - 7. Trắng nâu - 8. Nâu.
  • Quy tắc bấm cáp: Cáp thẳng (Straight-Through: 2 đầu cùng T568B) áp dụng cho PC kết nối Switch; Cáp chéo (Crossover: 1 đầu T568A, 1 đầu T568B) áp dụng cho kết nối trực tiếp Router-Router hoặc PC-PC.
+-----------------------------------------------------------------------+
|                    QUY TRÌNH BẤM ĐẦU CÁP RJ-45 CHUẨN                   |
|                                                                       |
|  [Tuốt vỏ cáp 5cm] -> [Trải & Sắp xếp dây] -> [Cắt bằng còn 1.2cm]    |
|                                 │                                     |
|                                 ▼                                     |
|  [Test máy phát/thu 1-8] <- [Bấm kìm dứt khoát] <- [Đút sâu vào Jack] |
+-----------------------------------------------------------------------+

2. Cấu hình phân vùng an ninh trên tường lửa Cisco ASA 5506-X

Dưới đây là cấu hình phân tách 3 vùng an ninh cốt lõi: inside (mạng nội bộ tin cậy - Security level 100), dmz (vùng máy chủ - Security level 50) và outside (mạng Internet - Security level 0):

! --- Cấu hình cổng giao tiếp mạng trên Cisco ASA 5506-X ---
interface GigabitEthernet1/1
 nameif outside
 security-level 0
 ip address 203.113.150.2 255.255.255.248
 no shutdown
!
interface GigabitEthernet1/2
 nameif inside
 security-level 100
 ip address 192.168.20.1 255.255.255.0
 no shutdown
!
interface GigabitEthernet1/3
 nameif dmz
 security-level 50
 ip address 172.16.40.1 255.255.255.0
 no shutdown

! --- Cấu hình NAT động cho mạng nội bộ ra Internet ---
object network OBJ_INSIDE_SUBNET
 subnet 192.168.0.0 255.255.0.0
 nat (inside,outside) dynamic interface

! --- Cấu hình Access-List (ACL) bảo vệ DMZ và Inside ---
! Cho phép Internet truy cập Web Server (Port 80/443) trong DMZ
access-list OUTSIDE_TO_DMZ extended permit tcp any host 172.16.40.10 eq 80
access-list OUTSIDE_TO_DMZ extended permit tcp any host 172.16.40.10 eq 443
! Cấm hoàn toàn lưu lượng từ Outside và DMZ truy cập tự do vào Inside
access-list DMZ_TO_INSIDE extended deny ip 172.16.40.0 255.255.255.0 192.168.0.0 255.255.0.0
access-group OUTSIDE_TO_DMZ in interface outside
access-group DMZ_TO_INSIDE in interface dmz

3. Cấu hình dịch vụ DHCP trên máy chủ Windows Server 2022

Cấu hình DHCP Scope thông qua PowerShell trên Windows Server 2022 Datacenter:

# Khởi tạo Scope cấp phát IP tự động cho phòng R&D/Cloud (VLAN 20)
Add-DhcpServerv4Scope -Name "VLAN20_Software_Cloud" `
                      -StartRange 192.168.20.50 `
                      -EndRange 192.168.20.200 `
                      -SubnetMask 255.255.255.0 `
                      -State Active

# Cấu hình Router Gateway và DNS Server cho Scope
Set-DhcpServerv4OptionValue -ScopeId 192.168.20.0 `
                            -OptionId 3 -Value 192.168.20.1
Set-DhcpServerv4OptionValue -ScopeId 192.168.20.0 `
                            -OptionId 6 -Value 172.16.40.10, 8.8.8.8

Kiểm thử và đánh giá hiệu năng

Hệ thống được đưa vào kiểm thử toàn diện trên thiết bị thật và mô phỏng:

Kịch bản kiểm thử Công cụ / Phương thức Tiêu chí đạt chuẩn Kết quả thực tế đạt được Đánh giá
Đo thông mạch cáp mạng Thiết bị test cáp 8-Pin LED Sáng đủ 8 đèn theo thứ tự 100% (220/220 đầu bấm cáp đạt chuẩn) Xuất sắc
Độ trễ truyền gói nội bộ ICMP Ping (Buffer 1500 bytes) Round-trip time < 2 ms RTT trung bình 0.45 ms Xuất sắc
Băng thông truyền tải LAN iPerf3 (TCP 10 luồng song song) Throughput > 900 Mbps Đạt 942 Mbps trên nền Gigabit Xuất sắc
Kiểm tra lọc gói Firewall Nmap Port Scanning từ Outside Chặn 100% cổng không mở Chặn toàn bộ quét cổng, chỉ mở port 80/443 DMZ Đạt chuẩn an toàn
Độ ổn định máy chủ Chạy RAID 1 Dell SAS6/i Card Rút thử 1 ổ đĩa cứng Hệ thống hoạt động liên tục không mất dữ liệu Đạt độ sẵn sàng cao

Đổi mới và đóng góp

  1. Ứng dụng thành công mô hình kiến trúc Screened Subnet chi phí thấp: Thay vì đầu tư các hệ thống tường lửa doanh nghiệp lớn đắt đỏ lên tới hàng chục nghìn USD, đồ án kết hợp tối ưu giữa thiết bị Cisco ASA 5506-X thế hệ mới với mô hình phân cấp 3 lớp, tạo ra cấu trúc bảo vệ 3 vùng độc lập (Inside - DMZ - Outside) an toàn tuyệt đối cho doanh nghiệp công nghệ quy mô ~200 nhân sự.
  2. Cân bằng giữa hiệu năng Gigabit và độ trễ cực thấp: Tận dụng triệt để năng lực của Switch TP-Link TL-SG1024D 24-Port kết hợp chuẩn cáp UTP Cat5e/Cat6 bấm chuẩn T568B, nâng thông lượng mạng từ 100 Mbps lên 1000 Mbps (tăng 900% hiệu năng truyền file nội bộ).
  3. Quy trình chuẩn hóa từ thiết kế luận lý đến thi công vật lý: Cung cấp tài liệu hướng dẫn bấm cáp chi tiết, quy chuẩn khoảng cách cắt vỏ dây 1.2 cm, kỹ thuật test thông mạch và bảng phân loại IP Subnetting mạch lạc có tính ứng dụng mẫu cho sinh viên và kỹ sư mạng.

Ứng dụng thực tế và triển khai

Bảng dự toán chi phí đầu tư thiết bị ($2,559 USD)

Hệ thống được thiết kế tối ưu hóa ngân sách thực tế theo bảng khảo sát của đồ án:

STT Thiết bị phần cứng và cấu hình chi tiết Đơn giá ($) Số lượng Thành tiền ($)
1 Máy chủ Dell PowerEdge: CPU Xeon Quad-Core X5560 2.4GHz, RAM 4GB ECC UDIMM 1333MHz, RAID Card SAS6/i (RAID 1), 2x250GB Hot-Plug SATA 3Gbps, Nguồn 525W, Monitor ViewSonic 24", Phím chuột 1,207.50 1 bộ 1,207.50
2 Cụm thiết bị mạng trung tâm: Switch TP-Link TL-SG1024D 24-Port Gigabit, Tường lửa Cisco ASA 5506-X NGFW, Access Point Aruba IAP-345 1,084.00 1 bộ 1,084.00
3 Cáp mạng truyền dẫn: Thùng cáp AMP Cat-5/Cat-6 UTP 4-pair CMR Solid Cable (305 mét/thùng) 46.00 3 thùng 138.00
4 Phụ kiện đấu nối & dụng cụ: Hộp đầu bấm AMP RJ-45 Connector ($30/hộp x 2), Kìm bấm cáp mạng chuyên dụng RJ11/RJ45 ($12), Dao tuốt cáp và hộp test mạng ($57.5) -- 1 gói 129.50
Tổng Toàn bộ hệ thống phần cứng và hạ tầng mạng hoàn chỉnh $2,559.00

Lộ trình triển khai doanh nghiệp (Implementation Roadmap)

[ Tuần 1: Rải cáp âm sàn 400m2 ] ────► [ Tuần 2: Lắp Rack & Đấu nối Switch ]
                                                         │
                                                         ▼
[ Tuần 4: Nghiệm thu & Vận hành ] ◄──── [ Tuần 3: Cấu hình ASA & Máy chủ ]
  • Giai đoạn 1 (Tuần 1): Rải cáp âm sàn và đóng nẹp tường diện tích 400 m² tại Tầng 4 và Tầng 5; cố định các outlet RJ-45 tại từng bàn làm việc.
  • Giai đoạn 2 (Tuần 2): Gắn tủ Rack, bấm đầu dây patch panel, lắp đặt bộ chuyển mạch Switch TP-Link TL-SG1024D và phát sóng Wifi Aruba IAP-345.
  • Giai đoạn 3 (Tuần 3): Cấu hình phân vùng an ninh trên Cisco ASA 5506-X, cài đặt hệ điều hành Windows Server 2022, thiết lập mảng đĩa RAID 1 và phân bổ DHCP Scope.
  • Giai đoạn 4 (Tuần 4): Đánh giá nghiệm thu UAT, rà soát lỗ hổng bằng Nmap và bàn giao quy trình quản trị cho bộ phận IT Support.

Hạn chế và hướng phát triển

Hạn chế hiện tại

  1. Quản trị tài khoản dạng Workgroup: Do định hướng tối ưu hóa chi phí bản quyền và tính đơn giản ban đầu, hệ thống chưa tích hợp Active Directory Domain Services (AD DS) tập trung cho toàn bộ 200 máy trạm.
  2. Băng thông tường lửa phần cứng: Cisco ASA 5506-X đáp ứng tốt quy mô 200–300 users nhưng sẽ gặp giới hạn throughput nếu kích hoạt sâu tính năng Next-Gen IPS/Anti-Malware khi công ty mở rộng vượt 500 nhân sự.

Hướng phát triển nâng cao

  • Nâng cấp Active Directory & Group Policy Objects (GPO): Triển khai Domain Controller trên Windows Server 2022 để kiểm soát chính sách mật khẩu, phân quyền thư mục tệp tin và đẩy phần mềm tự động.
  • Triển khai VPN IPsec/SSL đa điểm: Xây dựng kênh truyền mã hóa bảo mật hỗ trợ nhân viên kỹ thuật truy cập tài nguyên R&D từ xa an toàn.
  • Chuyển đổi sang IPv6 & Giám sát tập trung: Quy hoạch song song Dual-Stack IPv4/IPv6 và tích hợp phần mềm giám sát mã nguồn mở Zabbix/PRTG qua giao thức SNMPv3.

Đối tượng hưởng lợi

  • Sinh viên chuyên ngành CNTT / Mạng máy tính: Tài liệu tham khảo chuẩn mực về đồ án tốt nghiệp với đầy đủ quy trình từ lý thuyết cáp mạng, phân lớp OSI, kiến trúc tường lửa đến câu lệnh cấu hình thực tế.
  • Kỹ sư mạng & Quản trị hệ thống (System/Network Admins): Cung cấp kịch bản cấu hình mẫu cho Cisco ASA 5506-X, thiết lập DMZ và kỹ năng bấm cáp chuẩn T568A/B thực chiến.
  • Doanh nghiệp vừa và nhỏ (SMEs): Khung thiết kế kiến trúc mạng thực tế với chi phí cực kỳ tiết kiệm ($2,559 USD) nhưng vẫn đảm bảo độ tin cậy và an ninh chuẩn doanh nghiệp.
  • Nhà nghiên cứu & Giảng viên: Bộ số liệu benchmark thực tế về độ trễ RTT, băng thông Gigabit và mô hình an ninh Screened Subnet để làm học liệu giảng dạy.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai mô hình mạng này là gì?

Hệ thống yêu cầu 01 thiết bị tường lửa hỗ trợ tối thiểu 3 cổng định tuyến độc lập (như Cisco ASA 5506-X hoặc Fortigate 60F), switch Gigabit hỗ trợ số cổng tương ứng số lượng máy trạm, máy chủ tối thiểu 4 lõi CPU / 4GB ECC RAM chạy RAID 1 và cáp mạng Cat5e/Cat6 nguyên chất.

2. Sự khác biệt cốt lõi giữa bấm cáp chuẩn T568A và T568B là gì? Khi nào dùng cáp chéo?

Chuẩn T568A và T568B khác nhau ở vị trí đảo cặp dây màu Cam và Xanh lá (Pin 1, 2, 3, 6). Khi nối 2 thiết bị khác loại (như PC đến Switch) ta bấm cáp thẳng (cả 2 đầu cùng chuẩn A hoặc cùng chuẩn B). Khi nối 2 thiết bị cùng loại (như PC nối PC, Switch nối Switch không có Auto-MDIX) ta bấm cáp chéo (1 đầu T568A, 1 đầu T568B).

3. Vùng mạng DMZ trong đồ án hoạt động theo nguyên tắc nào?

Vùng DMZ có mức độ an toàn trung gian (Security Level 50), nằm giữa Internet (Level 0) và Mạng nội bộ (Level 100). Nguyên tắc: Cho phép Internet truy cập vào các dịch vụ công cộng trong DMZ (Web/Email) nhưng cấm hoàn toàn lưu lượng từ bên ngoài và từ DMZ khởi tạo kết nối trực tiếp vào vùng Inside.

4. Chi phí $2,559 USD đã bao gồm toàn bộ thiết bị cho 200 người dùng chưa?

Chi phí $2,559 USD bao gồm toàn bộ máy chủ Dell PowerEdge chuyên dụng, tường lửa Cisco ASA, thiết bị chuyển mạch trung tâm, phát Wifi Aruba, 3 thùng cáp AMP (915 mét) và đầy đủ phụ kiện thi công. Máy tính trạm người dùng được tận dụng từ cơ sở vật chất sẵn có của doanh nghiệp.

5. Tại sao đồ án lựa chọn mô hình phân cấp 3 lớp (Hierarchical Model)?

Mô hình 3 lớp (Core, Distribution, Access) giúp phân tách rõ ràng chức năng: lớp Core chuyển mạch tốc độ cao, lớp Distribution thực thi chính sách định tuyến/bảo mật, lớp Access cung cấp cổng cắm cho người dùng. Mô hình này giúp cô lập sự cố, chống nghẽn broadcast và dễ dàng mở rộng thêm phòng ban mới mà không cần thiết kế lại hệ thống.

Kết luận

Đồ án tốt nghiệp "Mô phỏng xây dựng và thiết kế hệ thống mạng LAN. Thực hiện mô hình bảo mật cho công ty" của sinh viên Đào Trung Anh đã hoàn thành xuất sắc các mục tiêu nghiên cứu và ứng dụng thực tiễn. Bằng việc kết hợp hài hòa giữa kiến trúc phân tầng 3 lớp, kỹ thuật thi công cáp chuẩn T568B, giải pháp tường lửa thế hệ mới Cisco ASA 5506-X và phân vùng an ninh Screened Subnet (DMZ), đề tài đã mang lại lời giải toàn diện, ổn định và tối ưu chi phí cho Công ty Phần mềm LSD. Kết quả này không chỉ khẳng định tính đúng đắn về mặt lý thuyết mạng máy tính mà còn là tài liệu tham khảo giàu giá trị thực tế cho các dự án chuyển đổi hạ tầng CNTT doanh nghiệp.