Giới thiệu dự án

Trong bối cảnh chuyển đổi số mạnh mẽ, hạ tầng mạng máy tính đóng vai trò là "hệ thần kinh trung ương" điều phối toàn bộ hoạt động vận hành, giao tiếp dữ liệu và bảo mật thông tin của doanh nghiệp. Theo các khảo sát hạ tầng doanh nghiệp, lưu lượng dữ liệu nội bộ và trao đổi liên chi nhánh tăng trưởng bình quân 30-40% mỗi năm, đặt ra yêu cầu cấp thiết về việc xây dựng một hệ thống mạng cục bộ (LAN) và liên mạng diện rộng (WAN) có tính sẵn sàng cao (High Availability), độ trễ truyền dẫn thấp ($<5\text{ ms}$ trong mạng nội bộ) và thời gian hoạt động liên tục (Uptime) đạt tối thiểu $99.9%$.

Đồ án tốt nghiệp "Phân tích thiết kế và quản lý mạng máy tính cho doanh nghiệp" do sinh viên Trần Hải Đăng (Khoa Công nghệ Thông tin, Trường Đại học Quản lý và Công nghệ Hải Phòng) thực hiện dưới sự hướng dẫn của TS. Nguyễn Trọng Thể, tập trung giải quyết bài toán quy hoạch tổng thể hạ tầng công nghệ thông tin cho một doanh nghiệp hiện đại với mô hình trụ sở chính kết hợp các chi nhánh vệ tinh.

                  +-------------------------------+
                  |     ISP / Internet Cloud      |
                  +---------------+---------------+
                                  | (DSL/Serial WAN)
                  +---------------+---------------+
                  |       Edge Router / FW        |
                  +---------------+---------------+
                                  |
            +---------------------+---------------------+
            | (Core Layer)                              | (DMZ Segment)
+-----------+-----------+                   +-----------+-----------+
| Core / Dist Switch    |                   | Web / Mail / FTP Svr  |
+-----------+-----------+                   +-----------------------+
            | (802.1Q Trunking)
+-----------+-----------+
| Access Layer Switches |
+-----+-----------+-----+
      |           |
[VLAN 10: KT] [VLAN 20: KD] ... [WLAN Access Point]

Vấn đề thực tiễn và bài toán đặt ra (Problem Statement)

Các doanh nghiệp vừa và nhỏ (SMEs) thường gặp phải các hạn chế nghiêm trọng trong hạ tầng mạng truyền thống:

  • Nghẽn băng thông và xung đột miền quảng bá (Broadcast Storms): Thiết kế mạng phẳng (Flat Network) không phân tầng khiến các bản tin ARP, DHCP broadcast tràn ngập toàn mạng, làm suy giảm $40-60%$ hiệu năng đường truyền.
  • Lãng phí tài nguyên địa chỉ IP: Áp dụng phân lớp địa chỉ cố định (Classful Addressing A, B, C) dẫn đến thiếu hụt hoặc lãng phí nghiêm trọng không gian địa chỉ IPv4.
  • Lỗ hổng an toàn thông tin: Thiếu tường lửa phân vùng khiến dữ liệu nội bộ dễ bị xâm nhập ngang hàng khi mạng khách (Guest) hoặc thiết bị IoT bị tấn công.
  • Kiểm soát luồng và lỗi kém hiệu quả: Không có cơ chế tối ưu luồng dữ liệu (Data Flow Control) và kiểm soát lỗi (Error Control) dẫn đến tình trạng mất gói (Packet Loss) và trễ truyền thông kéo dài.

Mục tiêu của dự án (Project Objectives)

  1. Khảo sát toàn diện yêu cầu kỹ thuật, mặt bằng vật lý và luồng dữ liệu cho một doanh nghiệp gồm 01 Trụ sở chính (HQ) và 02 Chi nhánh vệ tinh (Branches).
  2. Xây dựng sơ đồ phân cấp 3 lớp chuẩn hóa (Core - Distribution - Access Layer) kết hợp phân vùng an ninh DMZ (Demilitarized Zone).
  3. Thiết kế sơ đồ đánh địa chỉ IP khoa học ứng dụng kỹ thuật chia mạng con theo độ dài mặt nạ thay đổi (VLSM - Variable Length Subnet Mask) và định tuyến liên vùng (CIDR).
  4. Phân tích và làm rõ cơ chế kiểm soát luồng dữ liệu (Stop-and-Wait, Sliding Window Go-Back-N, Selective Repeat ARQ) và phát hiện lỗi kiểm tra vòng dư thừa CRC (Cyclic Redundancy Check).
  5. Mô phỏng, triển khai cấu hình chi tiết và kiểm thử hiệu năng toàn diện trên nền tảng Cisco Packet Tracer.

Kết quả kỳ vọng và chỉ số đo lường (Expected Outcomes & Metrics)

  • Khả năng mở rộng: Đáp ứng kết nối cho $150-500$ thiết bị đầu cuối với khả năng mở rộng thêm $50%$ mà không cần tái cấu trúc topo mạng.
  • Tiết kiệm tài nguyên: Tối ưu hóa không gian địa chỉ IP, giảm thiểu $>45%$ lượng địa chỉ IP dư thừa nhờ VLSM.
  • Độ tin cậy: Tỷ lệ mất gói trong điều kiện tải chuẩn $<0.1%$, thời gian hội tụ định tuyến (Convergence Time) $<3\text{ giây}$.
  • Bảo mật: Phân lập hoàn toàn lưu lượng giữa các phòng ban thông qua VLAN và Access Control Lists (ACLs).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Đánh giá các cấu trúc liên kết mạng (Network Topologies)

Cấu trúc Topo Ưu điểm Nhược điểm Đánh giá mức độ phù hợp
Dạng hình tuyến (Bus) Tiết kiệm cáp, chi phí thi công ban đầu thấp. Dễ tắc nghẽn lưu lượng, đứt cáp chính làm ngưng toàn mạng, khó cô lập lỗi. Không phù hợp với doanh nghiệp hiện đại.
Dạng vòng (Ring / FDDI) Tốc độ truy nhập cao, không xảy ra xung đột dữ liệu (Token passing), FDDI có vòng kép dự phòng. Đứt cáp đơn có thể làm gián đoạn hệ thống, chi phí phần cứng FDDI đắt đỏ. Phù hợp cho mạng trục Backbone đô thị (MAN), không tối ưu cho LAN nội bộ.
Dạng hình sao (Star) Dễ lắp đặt, cấu trúc đơn giản, hỏng một nút không ảnh hưởng đến hệ thống, dễ mở rộng. Phụ thuộc hoàn toàn vào thiết bị trung tâm (Switch/Hub), giới hạn chiều dài cáp $100\text{ m}$. Rất phù hợp cho tầng truy nhập (Access Layer).
Phân cấp mở rộng (Hierarchical) Dễ quản lý, cô lập lỗi nhanh chóng, phân tách broadcast domain, hiệu năng định tuyến cao. Chi phí thiết bị phân tầng cao hơn mạng phẳng. Giải pháp tối ưu nhất cho toàn bộ doanh nghiệp.

Yêu cầu hệ thống theo mô hình MoSCoW

  • Must-have (Bắt buộc): Phân chia VLAN cho từng phòng ban chức năng; Thiết lập định tuyến Inter-VLAN Routing; Cấu hình gán địa chỉ IP động/tĩnh qua VLSM; Kết nối WAN qua Cloud/DSL; Hệ thống máy chủ dịch vụ Web/DNS/DHCP.
  • Should-have (Nên có): Vùng bảo mật DMZ cho Public Servers; Mô hình tường lửa 3 thành phần (Three-Part Firewall System); Mạng không dây Wi-Fi bảo mật SSID/WPA2-Enterprise.
  • Could-have (Có thể có): Quản lý chất lượng dịch vụ QoS cho các luồng dữ liệu nhạy cảm với độ trễ; Thiết lập đường dự phòng WAN Link Redundancy.
  • Won't-have (Chưa triển khai): Cấu hình chuyển mạch nhãn đa giao thức MPLS cao cấp; Tích hợp hệ thống phân tích bảo mật chuyên sâu SIEM.

Thiết kế hệ thống

Kiến trúc phân cấp 3 lớp (Hierarchical Model)

Hệ thống mạng doanh nghiệp được thiết kế theo kiến trúc 3 lớp tiêu chuẩn của Cisco nhằm đảm bảo tính module hóa, linh hoạt và dễ cô lập sự cố:

  1. Lớp lõi (Core Layer): Trục xương sống (Backbone) của hệ thống mạng. Sử dụng các thiết bị chuyển mạch tốc độ cao (Gigabit/10-Gigabit Switches) với nhiệm vụ duy nhất là chuyển tiếp gói tin (Packet Switching) với độ trễ tối thiểu, không thực hiện lọc gói hay can thiệp vào dữ liệu.
  2. Lớp phân tán (Distribution Layer): Đóng vai trò ranh giới trung gian giữa Core và Access. Thực hiện các chính sách định tuyến giữa các VLAN (Inter-VLAN Routing), bộ lọc gói tin (Packet Filtering/ACLs), gom luồng dữ liệu và thiết lập ranh giới định tuyến an ninh.
  3. Lớp truy nhập (Access Layer): Cung cấp kết nối trực tiếp cho người dùng đầu cuối (PCs, Laptops, IP Phones, Printers, Access Points) vào hệ thống mạng. Thực thi các chính sách an toàn cổng (Port Security), kiểm soát truy cập phân đoạn và gắn tag VLAN 802.1Q.
                    +--------------------+
                    |     CORE LAYER     |
                    | (High-Speed Trunk) |
                    +---------+----------+
                              |
                +-------------+-------------+
                |                           |
     +----------+----------+     +----------+----------+
     |  DISTRIBUTION LAYER |     |  DISTRIBUTION LAYER |
     | (Inter-VLAN/Routing)|     |   (QoS / Policies)  |
     +----------+----------+     +----------+----------+
                |                           |
        +-------+-------+           +-------+-------+
        |               |           |               |
     +--+---+        +--+---+    +--+---+        +--+---+
     |ACCESS|        |ACCESS|    |ACCESS|        |ACCESS|
     |SWITCH|        |SWITCH|    |SWITCH|        |SWITCH|
     +--+---+        +--+---+    +--+---+        +--+---+
        |               |           |               |
     [User]          [User]      [User]          [User]

Quy hoạch không gian địa chỉ mạng (VLSM & Subnetting)

Sử dụng dải địa chỉ Private Class C 192.168.1.0/24 kết hợp lớp 10.0.0.0/8 và 172.16.0.0/12 để phân bổ linh hoạt theo nhu cầu quy mô của Trụ sở chính và Chi nhánh:

Phân vùng / Phòng ban Số lượng Host tối đa Địa chỉ Network Subnet Mask (Dạng thập phân) Prefix (CIDR) Default Gateway
HQ - Phòng Ban Giám Đốc 14 192.168.1.0 255.255.255.240 /28 192.168.1.1
HQ - Phòng Kỹ thuật / IT 30 192.168.1.32 255.255.255.224 /27 192.168.1.33
HQ - Phòng Kế toán / NS 62 192.168.1.64 255.255.255.192 /26 192.168.1.65
HQ - Vùng Server / DMZ 14 192.168.1.128 255.255.255.240 /28 192.168.1.129
Chi nhánh 1 (2 Phòng ban) 60 192.168.2.0 255.255.255.192 /26 192.168.2.1
Chi nhánh 2 (3 Phòng ban) 120 192.168.3.0 255.255.255.128 /25 192.168.3.1
Liên kết WAN Serial/Cloud 2 (Point-to-Point) 10.1.1.0 255.255.255.252 /30 10.1.1.1 / 10.1.1.2

Mô hình an ninh bảo mật tường lửa 3 phần (Three-Part Firewall System)

Thiết lập ranh giới bảo mật gồm:

  1. Thiết bị định tuyến ngoài (Outside Router): Kết nối trực tiếp với Internet Cloud / DSL, lọc các gói tin giả mạo IP nguồn, chống DoS/DDoS cơ bản.
  2. Vùng trung lập DMZ (Demilitarized Zone): Đặt các máy chủ dịch vụ công cộng như Web Server, Mail Server, DNS Server. Người dùng từ Internet chỉ được phép truy cập vào DMZ qua các cổng định trước (TCP port 80/443/25/53) mà không thể thâm nhập sâu vào mạng công tác nội bộ.
  3. Thiết bị định tuyến trong (Inside Router/Firewall): Đứng giữa DMZ và LAN nội bộ, kiểm soát chặt chẽ luồng thông tin ra vào mạng sản xuất.

Methodology

Đề tài áp dụng phương pháp thiết kế mạng từ trên xuống (Top-Down Network Design Methodology) kết hợp chu trình PDIOO (Plan, Design, Implement, Operate, Optimize):

  • Giai đoạn 1 - Lập kế hoạch & Khảo sát (Tuần 1 - 3): Thu thập yêu cầu nghiệp vụ, ước lượng lưu lượng mạng đỉnh (Peak Traffic), lập hồ sơ mặt bằng và tiêu chuẩn đi dây cáp mạng (Cat6 UTP, khoảng cách kết nối $\le 90\text{ m}$ từ Patch Panel đến ổ cắm mạng).
  • Giai đoạn 2 - Thiết kế Logic & Vật lý (Tuần 4 - 6): Lựa chọn mô hình phân cấp, quy hoạch địa chỉ IP VLSM, thiết kế sơ đồ VLAN và chiến lược bảo mật DMZ.
  • Giai đoạn 3 - Cấu hình & Triển khai thực nghiệm (Tuần 7 - 9): Xây dựng topo trên Cisco Packet Tracer 8.x, cấu hình Router, Switch, Server, Access Point và thiết lập định tuyến.
  • Giai đoạn 4 - Kiểm thử, Tối ưu & Đánh giá (Tuần 10 - 11): Chạy các kịch bản kiểm tra liên thông, bắt gói tin phân tích PDU, đo lường độ trễ và nghiệm thu hệ thống.

Implementation và kết quả

Development process

Các cơ chế truyền thông và điều khiển kỹ thuật

  1. Quá trình đóng/mở gói dữ liệu (PDU Encapsulation/Decapsulation):

    • Tầng Application: Dữ liệu người dùng dạng Stream.
    • Tầng Transport: Dữ liệu được phân đoạn thành các TCP Segment (hoặc UDP Datagram) gắn thêm Source/Destination Port, Sequence Number, Checksum.
    • Tầng Network: Gắn thêm thông tin IP Header (Source/Destination IP, TTL, Flags DF/MF, Protocol ID) tạo thành IP Datagram.
    • Tầng Data Link: Đóng gói thành Frame với MAC Address và mã kiểm soát lỗi Frame Check Sequence (FCS).
    • Tầng Physical: Chuyển đổi Frame thành chuỗi bit nhị phân truyền trên đường cáp đồng/quang.

  2. Cơ chế điều khiển luồng (Flow Control) và kiểm soát lỗi (Error Control):

    • Stop-and-Wait ARQ: Bên gửi truyền 1 khung và chờ phản hồi ACK. Nếu quá thời gian Time-out mà không nhận được ACK, khung sẽ được tự động gửi lại. Nhược điểm: Hiệu suất đường truyền thấp khi độ trễ lan truyền lớn.
    • Sliding Window (Cửa sổ trượt) - Go-Back-N ARQ: Cho phép truyền liên tục một khối lượng $N$ khung (ví dụ $N=8$) trước khi nhận ACK. Nếu khung $k$ bị lỗi hoặc mất, toàn bộ các khung từ $k$ trở đi trong cửa sổ sẽ được truyền lại.
    • Selective Repeat ARQ: Nâng cấp từ Go-Back-N, bên nhận có bộ đệm lưu các khung đúng thứ tự tiếp theo và chỉ yêu cầu truyền lại duy nhất khung bị lỗi, tối ưu hóa $30-40%$ hiệu suất băng thông trên kênh truyền có độ trễ cao.
    • Thuật toán phát hiện lỗi CRC (Cyclic Redundancy Check): Sử dụng phép chia đa thức nhị phân modulo-2 trên chuỗi bit dữ liệu $M(x)$ với đa thức sinh $G(x)$ chuẩn (ví dụ CRC-32) để tạo ra phần dư $R(x)$ gắn vào đuôi Frame (FCS), đảm bảo phát hiện $100%$ lỗi bit đơn và lỗi chùm có độ dài nhỏ hơn bậc của $G(x)$.

Cấu hình mẫu thiết bị mạng (Cisco IOS CLI Configuration)

Dưới đây là đoạn cấu hình định tuyến liên VLAN (Router-on-a-Stick), kích hoạt DHCP Server và bảo mật cổng (Port Security) được trích xuất từ kịch bản thực nghiệm:

! ========================================================
! CẤU HÌNH ROUTER TRỤ SỞ CHÍNH (HQ-ROUTER)
! Định tuyến Inter-VLAN qua Sub-Interfaces & Cấu hình DHCP
! ========================================================
HQ-Router# configure terminal
HQ-Router(config)# hostname HQ-Gateway

! Cấu hình Sub-interface cho VLAN 10 (Ban Giám Đốc)
HQ-Gateway(config)# interface GigabitEthernet0/0/0.10
HQ-Gateway(config-subif)# encapsulation dot1Q 10
HQ-Gateway(config-subif)# ip address 192.168.1.1 255.255.255.240
HQ-Gateway(config-subif)# no shutdown
HQ-Gateway(config-subif)# exit

! Cấu hình Sub-interface cho VLAN 20 (Phòng Kỹ thuật)
HQ-Gateway(config)# interface GigabitEthernet0/0/0.20
HQ-Gateway(config-subif)# encapsulation dot1Q 20
HQ-Gateway(config-subif)# ip address 192.168.1.33 255.255.255.224
HQ-Gateway(config-subif)# no shutdown
HQ-Gateway(config-subif)# exit

! Cấu hình DHCP Pool cấp phát IP tự động cho VLAN 20
HQ-Gateway(config)# ip dhcp excluded-address 192.168.1.33 192.168.1.40
HQ-Gateway(config)# ip dhcp pool POOL_KYTHUAT
HQ-Gateway(dhcp-config)# network 192.168.1.32 255.255.255.224
HQ-Gateway(dhcp-config)# default-router 192.168.1.33
HQ-Gateway(dhcp-config)# dns-server 192.168.1.130
HQ-Gateway(dhcp-config)# exit

! ========================================================
! CẤU HÌNH SWITCH TRUY NHẬP (ACCESS SWITCH)
! Cấu hình Trunking và Port Security
! ========================================================
HQ-Switch# configure terminal
HQ-Switch(config)# interface GigabitEthernet0/1
HQ-Switch(config-if)# switchport mode trunk
HQ-Switch(config-if)# switchport trunk allowed vlan 10,20,30,40
HQ-Switch(config-if)# exit

! Cấu hình Access Port gắn VLAN và khóa MAC Address bảo mật
HQ-Switch(config)# interface FastEthernet0/2
HQ-Switch(config-if)# switchport mode access
HQ-Switch(config-if)# switchport access vlan 20
HQ-Switch(config-if)# switchport port-security
HQ-Switch(config-if)# switchport port-security maximum 1
HQ-Switch(config-if)# switchport port-security mac-address sticky
HQ-Switch(config-if)# switchport port-security violation restrict
HQ-Switch(config-if)# exit

Testing và validation

Kịch bản kiểm thử và Ma trận kết quả

Kịch bản kiểm thử Phương thức thực hiện Mục tiêu kỳ vọng Kết quả thực nghiệm Đánh giá
Kiểm tra liên thông nội bộ VLAN Gửi ICMP Echo Request giữa 2 PC cùng VLAN 20 Tỷ lệ thành công $100%$, RTT $<1\text{ ms}$ Reply from 192.168.1.35: bytes=32 time<1ms TTL=128 (Success 100%) Đạt
Kiểm tra định tuyến Inter-VLAN Ping từ PC thuộc VLAN 20 sang PC thuộc VLAN 10 Gói tin đi qua Gateway, tỷ lệ thành công $100%$ sau gói ARP đầu Packet: Sent = 4, Received = 4, Lost = 0 (0% loss), RTT ~ 2ms Đạt
Kiểm thử cách ly an ninh Truy cập trái phép từ VLAN Khách sang VLAN Kế toán ACL chặn toàn bộ gói tin TCP/UDP/ICMP Destination Host Unreachable (Bị hủy tại Router) Đạt
Kiểm tra liên kết WAN Chi nhánh Truy vấn dữ liệu từ Branch 1 về Web Server đặt tại DMZ HQ Mở thành công trang HTTP cổng 80 qua kết nối Cloud/DSL HTTP Response code 200 OK, thời gian tải trang $<45\text{ ms}$ Đạt
Kiểm tra Port Security Switch Cắm máy tính giả mạo với địa chỉ MAC lạ vào cổng Fa0/2 Cổng chuyển sang trạng thái cảnh báo, ngắt truyền dữ liệu Bật cờ Violation, chặn toàn bộ gói tin từ MAC lạ Đạt 
                       [CLI Ping Trace Result]
HQ-PC-VLAN20# ping 192.168.1.130 (DMZ Web Server)
Pinging 192.168.1.130 with 32 bytes of data:
Reply from 192.168.1.130: bytes=32 time=2ms TTL=127
Reply from 192.168.1.130: bytes=32 time=1ms TTL=127
Reply from 192.168.1.130: bytes=32 time=1ms TTL=127
Reply from 192.168.1.130: bytes=32 time=1ms TTL=127

Ping statistics for 192.168.1.130:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 1ms, Maximum = 2ms, Average = 1ms

Kết quả đạt được

  • Hoàn thành 100% các tính năng thiết kế: Mô hình hóa thành công cấu trúc mạng LAN phân cấp cho toàn bộ Trụ sở chính và các Chi nhánh.
  • Tối ưu hóa tài nguyên mạng: Triệt tiêu hiện tượng nghẽn broadcast nhờ phân vùng logic VLAN, tiết kiệm được $48%$ không gian địa chỉ so với phương pháp chia mạng cố định thông thường.
  • Thời gian hội tụ và độ ổn định cao: Hệ thống định tuyến ổn định, kết nối xuyên suốt qua hạ tầng giả lập DSL/Cloud WAN.

Đổi mới và đóng góp

Các cải tiến kỹ thuật nổi bật

  1. Kiến trúc mạng phân cấp tích hợp bảo mật DMZ đa tầng: Thay vì thiết kế mạng phẳng đơn giản, đồ án kết hợp mô hình phân cấp 3 lớp của Cisco với mô hình tường lửa 3 phần (Three-Part Firewall System), cô lập hoàn toàn máy chủ dịch vụ ra khỏi các vùng làm việc nội bộ.
  2. Tối ưu hóa không gian địa chỉ bằng thuật toán VLSM đa cấp: Phân bổ địa chỉ chi tiết đến từng cổng kết nối Point-to-Point WAN (sử dụng Subnet Mask /30 chỉ tốn 2 IP khả dụng), loại bỏ hoàn toàn tình trạng lãng phí địa chỉ IP.
  3. Phân tích toán học chuyên sâu về điều khiển luồng và phát hiện lỗi: Làm rõ nguyên lý vận hành của các giao thức tầng liên kết dữ liệu và giao vận (TCP Windowing, Stop-and-Wait ARQ, Go-Back-N, CRC Checksum), tạo cơ sở lý thuyết vững chắc cho việc lựa chọn cấu hình thiết bị.

So sánh giải pháp với các mô hình mạng truyền thống

Tiêu chí kỹ thuật Mạng phẳng truyền thống (Flat Network) Mạng phân lớp cơ bản (Không có DMZ) Giải pháp đề xuất trong đồ án
Phân vùng Broadcast 1 Broadcast Domain duy nhất (Dễ nghẽn mạng) Chia tách theo VLAN Phân tách hoàn toàn theo VLAN và Sub-interfaces
Mức độ an ninh Server Chung dải mạng với User (Rất nguy hiểm) Cô lập VLAN thông thường Phân lập độc lập trong vùng DMZ với 2 lớp lọc gói
Hiệu suất cấp phát IP Dùng Classful IP (Lãng phí $>60%$ địa chỉ) Chia Subnet cố định (FLSM) Ứng dụng VLSM/CIDR (Tiết kiệm $>45%$ IP)
Bảo mật cổng truy nhập Không thiết lập Chỉ dùng mật khẩu cơ bản Port Security (Khóa cứng MAC Sticky + Violated Block)
Khả năng mở rộng chi nhánh Kém, phải cấu hình lại toàn mạng Trung bình Rất cao (Modular Design, dễ dàng cắm thêm Branch)

Ứng dụng thực tế và triển khai

Kịch bản triển khai thực tế (Real-World Use Cases)

Kiến trúc mạng thiết kế trong đồ án hoàn toàn tương thích và sẵn sàng triển khai cho các mô hình:

  • Doanh nghiệp sản xuất - thương mại quy mô vừa ($100-300$ nhân viên): Trụ sở đặt tại trung tâm điều hành kết nối các nhà xưởng, kho vận và chi nhánh bán hàng qua kênh truyền chuyên dụng.
  • Tổ chức giáo dục, trường đại học đa cơ sở: Phân tách mạng quản lý đào tạo, phòng thực hành sinh viên và cổng thông tin điện tử công cộng.
  • Cơ quan hành chính, văn phòng công ty: Yêu cầu bảo mật dữ liệu tài chính, kế toán và phân quyền truy cập nghiêm ngặt.

Phân tích chi phí - lợi ích (Cost-Benefit Analysis & ROI)

  • Chi phí đầu tư phần cứng ước tính:
    • Router biên Cisco 2911/4331: 03 chiếc (~60.000.000 VNĐ)
    • Switch phân phối Layer 3 Cisco Catalyst 3560/3650: 02 chiếc (~45.000.000 VNĐ)
    • Switch truy nhập Layer 2 Cisco Catalyst 2960-24TT: 06 chiếc (~50.000.000 VNĐ)
    • Hạ tầng cáp Cat6, Tủ Rack, Patch Panel, Bộ lưu điện UPS: ~35.000.000 VNĐ
    • Tổng kinh phí ước tính: ~190.000.000 VNĐ.
  • Hiệu quả kinh tế và vận hành (ROI):
    • Giảm $90%$ thời gian chết hệ thống (Network Downtime) do sự cố nghẽn mạng hoặc xung đột IP.
    • Tiết kiệm $40%$ chi phí bảo trì và quản trị mạng hàng năm nhờ khả năng cô lập lỗi nhanh chóng.
    • Thời gian hoàn vốn đầu tư (Payback Period) ước tính đạt từ 8 đến 12 tháng thông qua việc tối ưu hóa hiệu suất làm việc của nhân sự.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Phạm vi thực nghiệm: Mô hình mới dừng lại ở mức độ giả lập trên phần mềm Cisco Packet Tracer, chưa có điều kiện thử nghiệm trên các dòng thiết bị phần cứng vật lý chuyên dụng chịu tải cao.
  • Giao thức định tuyến: Chủ yếu khai thác định tuyến tĩnh (Static Routing) và mô phỏng WAN cơ bản, chưa cấu hình các giao thức định tuyến động nâng cao như OSPF đa vùng (Multi-Area OSPF), EIGRP hay BGP.
  • Dự phòng liên kết: Chưa triển khai các giao thức chống loop và dự phòng cổng nâng cao như Spanning Tree Protocol (STP 802.1D/802.1w) hay HSRP/VRRP (First Hop Redundancy Protocols).

Hướng phát triển và nghiên cứu tiếp theo

  1. Chuyển đổi hạ tầng sang IPv6 Native: Triển khai cơ chế Dual-Stack (IPv4/IPv6) và chuyển đổi hoàn toàn sang kiến trúc địa chỉ IPv6 128-bit với không gian địa chỉ phân cấp vượt trội.
  2. Tích hợp giải pháp mạng diện rộng định nghĩa bằng phần mềm (SD-WAN): Tự động hóa điều phối lưu lượng qua nhiều đường truyền (FTTH, Leased Line, 4G/5G).
  3. Tự động hóa mạng (Network Automation): Viết script Python (Netmiko/Paramiko) hoặc sử dụng Ansible để tự động sao lưu cấu hình và cập nhật chính sách an ninh đồng loạt trên toàn bộ thiết bị mạng.
  4. Ứng dụng kiến trúc Zero Trust Network Access (ZTNA): Tăng cường xác thực đa yếu tố (802.1X, RADIUS/TACACS+) trước khi cho phép thiết bị truy cập vào phân vùng nội bộ.

Đối tượng hưởng lợi

  • Sinh viên chuyên ngành Công nghệ Thông tin / Mạng máy tính: Nắm vững phương pháp luận thiết kế mạng từ khảo sát, tính toán VLSM đến cấu hình CLI thực tế trên thiết bị Cisco.
  • Kỹ sư mạng và Quản trị viên hệ thống (System/Network Administrators): Sử dụng sơ đồ thiết kế và các mẫu tập lệnh CLI chuẩn hóa làm tài liệu tham chiếu trực tiếp khi triển khai mạng doanh nghiệp.
  • Doanh nghiệp vừa và nhỏ (SMEs): Tiếp cận một mô hình kiến trúc mạng chi phí hợp lý, độ tin cậy cao và đảm bảo an toàn thông tin theo chuẩn công nghiệp.
  • Giảng viên và Nhà nghiên cứu: Tài liệu giảng dạy trực quan kết hợp sâu sắc giữa lý thuyết truyền thông dữ liệu (OSI, TCP/IP, ARQ, CRC) và kỹ năng thực hành cấu hình thiết bị.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai kiến trúc mạng này trong thực tế là gì?

Hệ thống yêu cầu tối thiểu: 01 Router có hỗ trợ tính năng Sub-interface (802.1Q encapsulation); 01 Core/Distribution Switch Layer 3; các Switch Layer 2 hỗ trợ phân chia VLAN chuẩn 802.1Q; hạ tầng cáp mạng đồng xoắn đôi chuẩn Cat5e hoặc Cat6 (băng thông 1 Gbps, chiều dài mỗi đoạn $\le 90\text{ m}$).

2. Giới hạn mở rộng (Scalability limits) của hệ thống và giải pháp nâng cấp?

Với thiết kế phân cấp, hệ thống hiện tại có thể mở rộng lên tới 500-1000 người dùng chỉ bằng cách bổ sung thêm Access Switch tại các tầng mà không làm thay đổi cấu trúc định tuyến lõi. Khi quy mô vượt quá 1000 trạm, cần nâng cấp định tuyến tĩnh sang giao thức định tuyến động OSPF và bổ sung thiết bị cân bằng tải (Load Balancer).

3. Khả năng tương thích và tích hợp với hệ thống mạng cũ (Legacy Networks)?

Hệ thống hoàn toàn tương thích ngược với các thiết bị mạng chuẩn IEEE 802.3 Ethernet cũ. Các thiết bị chưa hỗ trợ VLAN có thể được gom vào một VLAN mặc định riêng biệt (Default VLAN 1) thông qua Access Port trên Switch phân phối.

4. Yêu cầu về bảo trì định kỳ và hỗ trợ kỹ thuật vận hành?

Cần thực hiện định kỳ:

  • Sao lưu cấu hình thiết bị (copy running-config startup-config và lưu trữ tệp .cfg lên máy chủ TFTP).
  • Kiểm tra nhật ký Syslog để phát hiện các cảnh báo Port Security hoặc lỗi đường truyền vật lý.
  • Cập nhật bản vá lỗ hổng firmware Cisco IOS định kỳ 6 tháng/lần.

5. Chi phí đầu tư dự toán và lộ trình hoàn vốn (ROI) như thế nào?

Tổng mức đầu tư phần cứng và phụ kiện cho một doanh nghiệp quy mô 1 HQ + 2 Chi nhánh dao động từ 150 đến 250 triệu VNĐ. Nhờ việc giảm thiểu tối đa sự cố gián đoạn mạng, nâng cao năng suất làm việc và tiết kiệm chi phí vận hành, dự án mang lại điểm hòa vốn và bắt đầu sinh lợi sau khoảng 8 đến 12 tháng vận hành thực tế.

Kết luận

Đồ án tốt nghiệp "Phân tích thiết kế và quản lý mạng máy tính cho doanh nghiệp" của sinh viên Trần Hải Đăng đã giải quyết xuất sắc bài toán xây dựng hạ tầng mạng hiện đại, bảo mật và hiệu năng cao cho doanh nghiệp. Thông qua việc kết hợp chặt chẽ giữa lý thuyết nền tảng (Mô hình OSI, Bộ giao thức TCP/IP, Thuật toán kiểm soát luồng Go-Back-N ARQ, Phát hiện lỗi CRC) với kỹ thuật thiết kế mạng thực tiễn (Kiến trúc phân cấp 3 lớp, Phân vùng an ninh DMZ, Quy hoạch địa chỉ VLSM/CIDR), đề tài mang lại giá trị ứng dụng to lớn cho cả môi trường học thuật lẫn sản xuất kinh doanh.

Hạ tầng mạng chuẩn hóa là nền móng cốt lõi cho mọi chiến lược chuyển đổi số doanh nghiệp. Để tìm hiểu chi tiết hơn về các bản vẽ thiết kế, bảng phân bổ IP chi tiết và tập lệnh cấu hình CLI mẫu, bạn đọc có thể tham khảo trực tiếp tài liệu đồ án hoặc liên hệ Khoa Công nghệ Thông tin - Trường Đại học Quản lý và Công nghệ Hải Phòng để được trao đổi chuyên sâu.