Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, hạ tầng mạng nội bộ tại các cơ quan, tổ chức giáo dục và doanh nghiệp phải đối mặt với áp lực kép: đảm bảo an toàn thông tin trước các nguy cơ tấn công từ không gian mạng, đồng thời tối ưu hóa băng thông và kiểm soát năng suất làm việc của người dùng. Theo các báo cáo an ninh mạng doanh nghiệp, hơn 60% lưu lượng truy cập Internet trong giờ làm việc tại các văn phòng không phục vụ trực tiếp cho mục đích nghiệp vụ, gây lãng phí tài nguyên đường truyền và tiềm ẩn rủi ro lây nhiễm mã độc (malware), phần mềm gián điệp thông qua các website độc hại.

Thực trạng trên đặt ra bài toán cấp thiết: làm thế nào để xây dựng một cổng kiểm soát mạng trung gian (Gateway Proxy) có khả năng định danh chính xác người dùng, phân quyền truy cập chi tiết, lưu trữ đệm (caching) để tăng tốc độ phản hồi và cung cấp nhật ký kiểm toán (audit logs) trực quan mà không phát sinh chi phí bản quyền đắt đỏ?

Đề tài "Nghiên Cứu Xác Thực Người Dùng và Giám Sát Hệ Thống Mạng" do nhóm nghiên cứu tại Khoa Công nghệ Thông tin – Trường Đại học Kỹ thuật - Công nghệ Cần Thơ thực hiện (dưới sự hướng dẫn của ThS. Nguyễn Văn Trí) tập trung giải quyết toàn diện bài toán này.

+-------------------------------------------------------------------------------+
|                             MÔ HÌNH HỆ THỐNG TỔNG QUAN                        |
|                                                                               |
|  [ LAN Clients ] (CLI01 / CLI02)                                              |
|         │                                                                     |
|         ▼ (Port 3128 - Basic Auth: basic_ncsa_auth)                           |
|  [ Squid Proxy Gateway ] (SRV01: CentOS 7 Kernel 3.10)                        |
|    ├── BIND DNS Server (Port 53 - squidproxy.net)                             |
|    ├── Access Control Lists (ACL Engine: Blacklist / Time / Size 10MB)        |
|    ├── Memory & Disk Cache (cache_mem 2500MB / aufs storage)                  |
|    └── SARG Reporting Engine & Cache Manager (Apache httpd / Port 80)         |
|         │                                                                     |
|         ▼ (NAT Masquerade / IP Forwarding)                                    |
|  [ Internal Servers ] (SRV02: Web / vsftpd)  ◄───►  [ Internet WAN ]          |
+-------------------------------------------------------------------------------+

Mục tiêu dự án

  1. Xây dựng hạ tầng Proxy Gateway tập trung: Triển khai dịch vụ Squid Proxy trên nền tảng hệ điều hành Linux CentOS 7, đóng vai trò trạm trung chuyển kiểm soát toàn bộ kết nối từ mạng nội bộ (LAN) ra Internet.
  2. Thiết lập cơ chế xác thực người dùng bắt buộc: Triển khai phương thức Basic Authentication thông qua module basic_ncsa_auth, yêu cầu định danh tài khoản trước khi cấp quyền định tuyến HTTP/HTTPS.
  3. Hoạch định chính sách Access Control Lists (ACL): Thiết lập hệ thống quy tắc đa tầng gồm danh sách đen (Blacklist Domain), giới hạn khung giờ truy cập ngoài giờ hành chính (08:00 - 17:59), giới hạn dung lượng tải tệp (reply_body_max_size 10 MB) và kiểm soát cổng/giao thức.
  4. Tự động hóa giám sát và phân tích log: Tích hợp công cụ Squid Analysis Report Generator (SARG) và Cache Manager Interface (cachemgr.cgi) trên nền web server Apache HTTPD, phân tích nhật ký access.log thành các báo cáo đồ thị trực quan theo chu kỳ tự động.

Phạm vi và kết quả kỳ vọng

  • Phạm vi triển khai: Hệ thống Lab ảo hóa chuẩn doanh nghiệp gồm dải mạng LAN 10.0.0.0/24, máy chủ Gateway/DNS SRV01 (10.0.0.11), máy chủ dịch vụ nội bộ SRV02 (10.0.0.12) và các máy trạm kiểm thử CLI01 (10.0.0.21), CLI02 (10.0.0.22).
  • Chỉ số đo lường kỳ vọng: Tiết kiệm 25% - 40% băng thông truy cập nhờ cơ chế RAM/Disk Caching; ngăn chặn 100% các kết nối trái phép hoặc chưa qua xác thực; rút ngắn thời gian điều tra sự cố an ninh mạng từ nhiều giờ xuống dưới 5 phút thông qua báo cáo trực quan SARG.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi triển khai, các giải pháp quản lý lưu lượng và định tuyến mạng phổ biến được đặt lên bàn cân so sánh để xác định công nghệ tối ưu:

Tiêu chí so sánh Squid Proxy (Đề tài lựa chọn) Nginx Forward Proxy Định tuyến Router NAT thuần túy Tường lửa thương mại (Fortinet/Palo Alto)
Cơ chế Caching Web Chuyên sâu (RAM + Disk Caching, ICP/HTCP) Giới hạn (Chủ yếu tối ưu Reverse Proxy) Không hỗ trợ Có hỗ trợ (Module phụ trợ)
Xác thực người dùng Đa dạng (NCSA, LDAP, Kerberos, RADIUS) Hạn chế (Cần module phụ hoặc Lua script) Không có (Chỉ lọc theo IP/MAC) Rất mạnh (Tích hợp AD/LDAP chuyên sâu)
Bộ lọc ACL linh hoạt Rất cao (Domain, Mime, Time, Size, Regex) Trung bình (Cấu hình qua file phức tạp) Thấp (Chỉ lọc IP, Port, Protocol) Rất cao (Lọc Layer 7, App Control)
Báo cáo phân tích log Trực quan qua SARG, Calamaris, CacheMgr Cần tích hợp ELK Stack / Grafana Syslog thô, khó phân tích người dùng Có sẵn Dashboard cao cấp
Chi phí triển khai 0 VNĐ (Mã nguồn mở GPL) 0 VNĐ (Bản Community) 0 VNĐ (Có sẵn trên OS) Rất đắt (Phần cứng + License hàng năm)

Phân tích yêu cầu theo mô hình MoSCoW

  • Must have (Bắt buộc phải có): Phân giải tên miền cục bộ qua BIND DNS; cơ chế xác thực Basic Auth qua file cơ sở dữ liệu squid_users; chặn dải IP lạ và các website thuộc danh mục cấm; kiểm soát dung lượng tải tối đa 10MB.
  • Should have (Nên có): Lập lịch báo cáo SARG tự động hàng giờ qua Crontab; giao diện quản trị Web Cache Manager thời gian thực; phân quyền theo thời gian biểu làm việc.
  • Could have (Có thể có): Liên kết nhiều máy chủ Proxy thông qua giao thức Internet Cache Protocol (ICP - Port 3130) bằng chỉ thị cache_peer.
  • Won't have (Chưa thực hiện ở giai đoạn này): Giải mã tầng sâu gói tin SSL/TLS (SSL-Bump with Dynamic Cert Generation) nhằm đảm bảo hiệu năng tối đa của máy chủ trong môi trường tài nguyên phần cứng thử nghiệm.

Thiết kế hệ thống

Kiến trúc mạng được thiết kế theo cấu hình Dual-Homed Gateway nhằm cách ly hoàn toàn vùng mạng LAN nội bộ với môi trường WAN Internet:

                  +--------------------------------+
                  |         WAN / INTERNET         |
                  +--------------------------------+
                                  │
                                  │ (NAT / Default Gateway)
                                  ▼
                   [Card eth0: DHCP/NAT Internet]
                  +--------------------------------+
                  |       GATEWAY SERVER (SRV01)   |
                  |     CentOS 7 (Kernel 3.10)     |
                  |  - BIND DNS Server (Port 53)   |
                  |  - Squid Proxy (Port 3128)     |
                  |  - Apache HTTPD (Port 80)      |
                  |  - SARG Report Generator       |
                  +--------------------------------+
                   [Card eth1: 10.0.0.11 /24]
                                  │
      ┌───────────────────────────┴───────────────────────────┐
      │                                                       │
      ▼ (10.0.0.12)                                           ▼ (10.0.0.21 - 10.0.0.22)
+-------------------------------+               +-------------------------------+
|    SERVICES SERVER (SRV02)    |               |       LAN CLIENT WORKSTATIONS  |
|  - Apache Web Server (Port 80)|               |  - CLI01: 10.0.0.21           |
|  - VSFTPD Server (Port 20-21) |               |  - CLI02: 10.0.0.22           |
+-------------------------------+               +-------------------------------+

Thông số kỹ thuật của các thành phần (Technology Stack)

  • Hệ điều hành nền tảng: CentOS Linux release 7.9.2009 (Core), Kernel Linux version 3.10.0-1160.el7.x86_64.
  • Dịch vụ Proxy Cache: Squid Cache Version 3.5.20, biên dịch hỗ trợ các module --enable-auth-basic=DB,LDAP,NCSA,PAM, --enable-external-acl-helpers, --enable-removal-policies=heap,lru.
  • Dịch vụ phân giải tên miền (DNS): BIND 9 (named) version 9.11.4-P2-RedHat-9.11.4-26.P2.el7_9.15.
  • Dịch vụ Web & CGI: Apache HTTP Server (httpd) version 2.4.6.
  • Dịch vụ truyền tệp nội bộ: VSFTPD (Very Secure FTP Daemon) version 3.0.2.
  • Công cụ phân tích báo cáo: SARG (Squid Analysis Report Generator) version 2.4.0.

Phương pháp luận triển khai (Methodology)

Quy trình nghiên cứu và thực nghiệm được tiến hành tuần tự theo 4 giai đoạn chuẩn hóa kỹ thuật:

  1. Giai đoạn 1 - Chuẩn bị hạ tầng & Định tuyến mạng: Cấu hình địa chỉ IP tĩnh trên card mạng eth1, kích hoạt tính năng chuyển tiếp gói tin net.ipv4.ip_forward = 1 trong Kernel, thiết lập chính sách Masquerade trên Tường lửa (firewalld).
  2. Giai đoạn 2 - Triển khai dịch vụ lõi (DNS & Internal Web/FTP): Cấu hình BIND phân giải thuận/nghịch cho domain squidproxy.net, tạo bản ghi A, CNAME, PTR cho toàn bộ máy chủ và máy trạm; cấu hình Web Server và FTP Server trên SRV02 để phục vụ kiểm thử truyền tải dữ liệu.
  3. Giai đoạn 3 - Xây dựng chính sách Squid Proxy & Cơ chế chứng thực: Cài đặt dịch vụ Squid, định cấu hình cổng lắng nghe 3128, tích hợp module basic_ncsa_auth, tạo tệp dữ liệu mật khẩu mã hóa bằng htpasswd, định nghĩa hệ thống biến ACL kiểm soát truy cập và kích thước đối tượng tải.
  4. Giai đoạn 4 - Giám sát, Khai thác Log và Tối ưu hóa: Cài đặt biên dịch SARG từ mã nguồn, tạo Virtual Directory trên Apache để xuất bản báo cáo HTML, thiết lập tác vụ định kỳ Crontab và thực hiện các câu lệnh điều tra mã độc qua tệp access.log.

Triển khai thực tế và kết quả đạt được

Quy trình cài đặt và cấu hình chi tiết

1. Định cấu hình hạt nhân và tường lửa định tuyến

Kích hoạt khả năng chuyển tiếp IPv4 trong tệp cấu hình hệ thống /etc/sysctl.conf và nạp tức thời vào Kernel:

# Bật IP Forwarding trên SRV01
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
echo "net.ipv6.conf.all.disable_ipv6 = 1" >> /etc/sysctl.conf
sysctl -p

# Cấu hình NAT Masquerade qua Firewalld
sudo firewall-cmd --permanent --zone=public --add-masquerade
sudo firewall-cmd --permanent --zone=public --add-port=53/tcp
sudo firewall-cmd --permanent --zone=public --add-port=53/udp
sudo firewall-cmd --permanent --zone=public --add-port=3128/tcp
sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --reload

2. Thiết lập BIND DNS Server cho vùng squidproxy.net

Cấu hình tập tin phân giải thuận /var/named/fwd.squidproxy.net nhằm đảm bảo tính toàn vẹn định danh hệ thống:

$TTL 1D
@ IN SOA srv01.squidproxy.net. root.squidproxy.net. (
        0       ; serial
        1D      ; refresh
        1H      ; retry
        1W      ; expire
        3H )    ; minimum
IN NS srv01.squidproxy.net.
IN NS srv02.squidproxy.net.

squidproxy.net. IN A 10.0.0.11
srv01           IN A 10.0.0.11
srv02           IN A 10.0.0.12
KhangNH         IN A 10.0.0.21
LinhNTT         IN A 10.0.0.22
www             IN CNAME srv01.squidproxy.net.

3. Cấu hình lõi Squid Proxy và bộ quy tắc ACL

Tập tin cấu hình chính /etc/squid/squid.conf được tinh chỉnh nhằm thực thi xác thực bắt buộc và áp đặt các hạn mức mạng:

# Cổng dịch vụ lắng nghe
http_port 3128

# Cấu hình bộ nhớ đệm RAM và ổ đĩa
cache_mem 2500 MB
maximum_object_size_in_memory 512 KB
cache_dir ufs /var/spool/squid 10000 16 256

# Thiết lập chương trình xác thực Basic Authentication (NCSA)
auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/squid_users
auth_param basic children 5 startup=2 idle=1
auth_param basic realm Squid Proxy Authentication System - CTUT
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive on

# Định nghĩa Access Control Lists (ACLs)
acl authen_user_proxy proxy_auth REQUIRED
acl lan_group src 10.0.0.0/24
acl blacklisted_sites dstdomain .facebook.com .youtube.com .tiktok.com
acl office_hours time M T W H F 08:00-17:59
acl http_port port 80
acl https_port port 443

# Giới hạn kích thước gói dữ liệu tải về tối đa 10MB
reply_body_max_size 10485760 all

# Thực thi chính sách truy cập (Thứ tự ưu tiên từ trên xuống dưới)
http_access deny blacklisted_sites
http_access allow authen_user_proxy lan_group office_hours
http_access allow authen_user_proxy lan_group
http_access deny all

Khởi tạo danh sách người dùng được phép xác thực thông qua tiện ích htpasswd:

# Tạo mới file mật khẩu với người dùng đầu tiên
htpasswd -c -b /etc/squid/squid_users squidproxy.khangnh5 MatKhau@2023#
# Bổ sung các tài khoản kế tiếp
htpasswd -b /etc/squid/squid_users squidproxy.linhntt2 MatKhau@2023#
htpasswd -b /etc/squid/squid_users squidproxy.baonh4 MatKhau@2023#
chmod 640 /etc/squid/squid_users
chown root:squid /etc/squid/squid_users

4. Cấu hình tự động hóa phân tích Log với SARG

Biên dịch SARG từ mã nguồn và cấu hình tệp /usr/local/etc/sarg.conf để xuất bản kết quả báo cáo qua Virtual Directory của Apache:

access_log /var/log/squid/access.log
output_dir /var/www/html/squid-reports
date_format e
overwrite_report yes
records_without_userid reverse
graphs yes

Thiết lập Crontab hệ thống để tự động tổng hợp dữ liệu sau mỗi 60 phút:

# Thiết lập lịch chạy tự động SARG vào phút thứ 0 của mỗi giờ
(crontab -l 2>/dev/null; echo "0 * * * * /usr/local/bin/sarg -x >/dev/null 2>&1") | crontab -

+-------------------------------------------------------------------------------+
|              SARG: MÔ HÌNH BÁO CÁO PHÂN TÍCH NHẬT KÝ SQUID                    |
|                                                                               |
|  [ File: /var/log/squid/access.log ] ──► [ SARG Parser Engine (-x) ]          |
|                                                     │                         |
|  ┌──────────────────────────────────────────────────┴──────────────────────┐  |
|  ▼                                                  ▼                      ▼  |
| [ Top Users / Traffic ]                     [ Sites & URLs ]      [ Denied Logs ]
| ├── squidproxy.khangnh5 (189.2 MB)          ├── google.com        ├── facebook|
| ├── squidproxy.linhntt2 (122.0 MB)          ├── github.com        └── youtube |
| └── squidproxy.baonh4   (19.4 MB)           └── wikipedia.org                 |
+-------------------------------------------------------------------------------+

Kiểm thử và kết quả đánh giá thực nghiệm

Quá trình kiểm thử được tiến hành trên các trạm máy khách CLI01 và CLI02 nhằm xác thực tính chính xác của toàn bộ cơ chế bảo vệ:

+-----------------------------------------------------------------------------------+
|                        BẢNG TỔNG HỢP KIỂM THỬ TÍNH NĂNG                           |
+----+----------------------------+-----------------------+-------------------------+
| STT| Kịch bản kiểm thử          | Hành vi dự kiến       | Kết quả thực tế         |
+----+----------------------------+-----------------------+-------------------------+
| 01 | Truy cập Web không Auth    | Chặn mã HTTP 407      | Hiển thị Prompt Đăng nhập|
| 02 | Nhập User/Pass hợp lệ      | Cho phép định tuyến   | Truy cập Internet OK    |
| 03 | Truy cập Blacklist Domain  | Chặn mã HTTP 403      | Access Denied Banner    |
| 04 | Download tệp kích thước 25M| Ngắt luồng ở mức 10MB | Transfer Aborted        |
| 05 | Trích xuất báo cáo SARG    | Tạo trang HTML đồ họa | Đầy đủ biểu đồ cột/bảng |
+----+----------------------------+-----------------------+-------------------------+

Biểu đồ phân phối lưu lượng người dùng (Tổng hợp từ SARG):
User: khangnh5  [========================================] 189.2 MB (57.2%)
User: linhntt2  [==========================]               122.0 MB (36.9%)
User: baonh4    [====]                                      19.4 MB ( 5.9%)

Phân tích điều tra an toàn mạng qua Command-line

Bên cạnh giao diện web SARG, quản trị viên có thể sử dụng các lệnh shell tối ưu để truy vết sự cố an ninh trực tiếp từ tệp access.log:

# 1. Phát hiện các yêu cầu truy cập chứa từ khóa tấn công nguy hiểm
grep -i -E 'hack|phreak|malware|virus|shell|backdoor|exploit' /var/log/squid/access.log

# 2. Liệt kê top các địa chỉ IP nguồn gửi yêu cầu nhiều nhất tới hệ thống
awk '{print $3}' /var/log/squid/access.log | sort | uniq -c | sort -nr | head -n 10

# 3. Lọc toàn bộ các yêu cầu xuất phát từ các IP nằm ngoài dải mạng LAN 10.0.0.0/24
awk '$3 !~ /^10\./ {print $3, $7, $9}' /var/log/squid/access.log | sort -u

Đổi mới và đóng góp kỹ thuật

  1. Chuẩn hóa kiến trúc phòng thủ Gateway chi phí thấp: Đề tài đã xây dựng một giải pháp hoàn chỉnh từ tầng hạ tầng mạng cơ bản (chuyển tiếp gói tin, tường lửa Masquerade) đến dịch vụ ứng dụng tầng cao (DNS BIND, Web Caching, FTP Gateway) mà hoàn toàn không phát sinh chi phí phần mềm thương mại.
  2. Cơ chế điều khiển truy cập sâu (Granular ACL Orchestration): Phối hợp đồng thời 4 lớp kiểm soát: Định danh người dùng (Basic Authentication) + Giới hạn thời gian (Time-based ACL) + Bộ lọc tên miền/nội dung (Domain/Pattern Filtering) + Kiểm soát kích thước phản hồi (reply_body_max_size), tạo nên lớp lá chắn vững chắc trước các cuộc tấn công chiếm dụng tài nguyên mạng.
  3. Giải pháp kiểm toán nhật ký toàn diện (Dual-layer Auditing): Kết hợp khả năng quản trị thời gian thực thông qua Apache Cache Manager Interface và hệ thống báo cáo tĩnh đa chiều của SARG (phân tách rõ danh sách trang web truy cập, trang web bị từ chối, tỷ lệ cache hit/miss và biểu đồ phân bổ theo từng mốc thời gian).

Ứng dụng thực tế và khả năng triển khai

Tình huống triển khai thực tế (Use Cases)

  • Khối Cơ quan hành chính & Doanh nghiệp vừa và nhỏ (SMEs): Ngăn chặn nhân viên truy cập mạng xã hội, xem video streaming trong giờ làm việc; quản lý định danh truy cập của từng nhân sự mà không cần đầu tư các thiết bị phần cứng tường lửa UTM đắt đỏ.
  • Trường Đại học, Cao đẳng & Viện nghiên cứu: Phục vụ phòng thực hành máy tính với hàng trăm máy trạm kết nối đồng thời. Cơ chế Cache đệm của Squid giúp giảm tải đường truyền Internet chính lên đến 35%, đặc biệt hiệu quả khi nhiều sinh viên cùng tải về các bộ tài liệu, giáo trình hoặc bản cập nhật phần mềm giống nhau.
+-------------------------------------------------------------------------------+
|                     LỘ TRÌNH TRIỂN KHAI DOANH NGHIỆP                          |
|                                                                               |
| [Tuần 1: Khảo sát] ──► [Tuần 2: Cài đặt OS/DNS] ──► [Tuần 3: Squid & ACL]    |
|   - Đánh giá tải         - CentOS 7 Hardening         - NCSA Authentication   |
|   - Định tuyến LAN       - BIND 9 Zone Files          - Blacklist & Bandwidth |
|                                                              │                |
| [Tuần 5: Vận hành] ◄── [Tuần 4: Giám sát & GPO] ◄────────────┘                |
|   - Phân tích SARG       - SARG Automation                                    |
|   - Tinh chỉnh Cache     - Triển khai Windows GPO Proxy                       |
+-------------------------------------------------------------------------------+

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phương thức mã hóa Basic Authentication: Mặc dù dễ cấu hình và tương thích với mọi trình duyệt, Basic Auth sử dụng cơ chế mã hóa Base64 cho header Authorization. Nếu không kết hợp với đường truyền bảo mật (SSL/TLS), gói tin có thể bị phân tích nếu mạng nội bộ xảy ra hiện tượng nghe lén (Sniffing/ARP Poisoning).
  • Kiểm soát lưu lượng HTTPS: Cấu hình Squid trong đề tài tập trung vào chặn miền HTTPS thông qua kết nối CONNECT. Việc lọc nội dung chi tiết bên trong luồng HTTPS (URL path, MIME type) cần kích hoạt tính năng giải mã động ssl-bump, đòi hỏi cấp phát và cài đặt chứng chỉ CA nội bộ trên từng máy trạm.

Hướng phát triển tiềm năng

  • Nâng cấp hệ thống xác thực tập trung: Tích hợp Squid với máy chủ Microsoft Active Directory / FreeIPA thông qua giao thức Kerberos hoặc LDAP (squid_ldap_auth), cho phép triển khai cơ chế Đăng nhập một lần (Single Sign-On - SSO).
  • Tích hợp công cụ quét mã độc trực tiếp trên luồng: Kết hợp module C-ICAP và phần mềm diệt virus ClamAV để tự động quét toàn bộ các file được tải về trước khi chuyển tiếp tới máy khách.

Đối tượng hưởng lợi

+-------------------------------------------------------------------------------+
|                             ĐỐI TƯỢNG HƯỞNG LỢI                               |
|                                                                               |
|  [ Sinh viên & Người học CNTT ]    ──► Cung cấp tài liệu thực hành mạng Linux |
|  [ Quản trị viên hệ thống (SysAdmin)] ──► Mẫu cấu hình chuẩn hóa BIND & Squid  |
|  [ Doanh nghiệp vừa và nhỏ (SMEs)] ──► Giải pháp Gateway bảo mật 0 đồng       |
|  [ Nhà nghiên cứu an toàn thông tin] ──► Phương pháp trích xuất Log Analytics |
+-------------------------------------------------------------------------------+
  • Sinh viên chuyên ngành Mạng máy tính & CNTT: Nắm vững phương pháp thiết lập hệ thống định tuyến, dịch vụ phân giải tên miền BIND, cấu hình Proxy Server và quản trị hệ điều hành máy chủ Linux chuẩn doanh nghiệp.
  • Quản trị viên hệ thống (System Administrators): Sở hữu bộ khung cấu hình mẫu hoàn chỉnh, dễ dàng tái sử dụng để xây dựng cổng Gateway an toàn cho cơ quan hoặc doanh nghiệp.
  • Chủ doanh nghiệp & Giám đốc CNTT (CIO): Tối ưu hóa chi phí vận hành hạ tầng mạng, đảm bảo tuân thủ chính sách sử dụng tài nguyên công nghệ và hạn chế tối đa nguy cơ thất thoát dữ liệu.

Câu hỏi thường gặp (FAQ)

1. Yêu cầu cấu hình phần cứng tối thiểu để triển khai giải pháp trong thực tế là gì?

Đối với doanh nghiệp quy mô 50 - 150 người dùng đồng thời, máy chủ Proxy cần tối thiểu CPU 2 Cores (tần số 2.0 GHz trở lên), 4GB - 8GB RAM (để phân bổ ít nhất 2GB - 4GB cho cache_mem) và ổ cứng thể rắn SSD dung lượng 120GB trở lên (sử dụng chuẩn lưu trữ aufs hoặc diskd để tối ưu tốc độ đọc/ghi cache ngẫu nhiên).

2. Squid Proxy có thể mở rộng (Scale-up / Scale-out) khi số lượng người dùng vượt quá 1.000 máy trạm không?

Hoàn toàn có thể. Khi mở rộng quy mô lớn, hệ thống áp dụng kỹ thuật cân bằng tải thông qua giao thức Internet Cache Protocol (ICP) hoặc Cache Array Routing Protocol (CARP) bằng cách khai báo chỉ thị cache_peer để kết nối một cụm (Cluster) gồm nhiều máy chủ Squid phân cấp (Parent/Sibling Proxy).

3. Làm thế nào để tự động áp đặt cấu hình Proxy trên hàng loạt máy trạm người dùng?

Trong môi trường doanh nghiệp sử dụng Windows Domain, quản trị viên có thể triển khai chính sách Group Policy Object (GPO) hoặc xuất bản tập tin cấu hình tự động WPAD (Web Proxy Auto-Discovery Protocol) thông qua bản ghi DNS wpad.squidproxy.net kết hợp tệp wpad.dat trên Web Server.

4. Quy trình bảo trì và xoay vòng tệp nhật ký (Log Rotation) được thực hiện như thế nào để tránh tràn ổ cứng?

Squid cung cấp sẵn tham số dòng lệnh squid -k rotate. Kết hợp với tiện ích logrotate mặc định trên CentOS 7 (tại /etc/logrotate.d/squid), hệ thống sẽ tự động nén, lưu trữ các file access.log, cache.log theo tuần/tháng và xóa các bản ghi cũ quá 90 ngày.

5. Chi phí triển khai giải pháp và thời gian hoàn vốn đầu tư (ROI)?

Giải pháp sử dụng 100% phần mềm mã nguồn mở miễn phí (CentOS 7, BIND, Squid, Apache, SARG), do đó chi phí bản quyền là 0 VNĐ. Doanh nghiệp chỉ cần đầu tư phần cứng máy chủ hoặc tận dụng máy ảo sẵn có trên nền tảng Proxmox/VMware. Thời gian hoàn vốn (ROI) đạt được ngay trong 1-2 tháng đầu tiên thông qua việc tiết kiệm 30% chi phí nâng cấp gói cước băng thông Internet và hạn chế rủi ro gián đoạn công việc do virus/mã độc.

Kết luận

Đề tài "Nghiên Cứu Xác Thực Người Dùng và Giám Sát Hệ Thống Mạng" đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm: xây dựng thành công trạm Gateway Squid Proxy trên nền tảng CentOS 7, thiết lập hạ tầng phân giải tên miền BIND DNS chuẩn mực, áp đặt hệ thống kiểm soát quyền truy cập chi tiết qua Access Control Lists (ACL), bảo vệ định danh người dùng qua Basic Authentication và tự động hóa công tác giám sát, phân tích nhật ký lưu lượng thông qua công cụ SARG trực quan.

Kết quả thực nghiệm khẳng định tính khả thi, độ ổn định và giá trị thực tiễn to lớn của giải pháp trong việc tối ưu hóa hiệu năng mạng và nâng cao năng lực an toàn thông tin cho các tổ chức, doanh nghiệp hiện đại.