Bối cảnh và vấn đề nghiên cứu
Trong xu thế toàn cầu hóa và hội nhập quốc tế, nhu cầu trao đổi, chia sẻ và lưu trữ thông tin nội bộ cũng như giữa các chi nhánh, đối tác kinh doanh của doanh nghiệp ngày càng tăng cao. Hoạt động sản xuất kinh doanh đòi hỏi một hạ tầng công nghệ thông tin (CNTT) vững mạnh, vận hành ổn định và liên tục để triển khai các dịch vụ, ứng dụng phục vụ vận hành và bảo vệ các nguồn dữ liệu trọng yếu. Song song với đó, việc kiểm tra và thực thi các quy định về quyền sở hữu trí tuệ, bản quyền phần mềm tại Việt Nam ngày càng được thắt chặt. Đối với các doanh nghiệp vừa và nhỏ, việc đầu tư kinh phí lớn cho các bản quyền hệ điều hành và phần mềm thương mại tạo ra áp lực tài chính đáng kể. Do đó, việc ứng dụng các giải pháp phần mềm mã nguồn mở (Open Source) với các ưu điểm về tiết kiệm chi phí, tính an toàn, bảo mật và khả năng tùy biến linh hoạt trở thành một hướng tiếp cận thực tiễn.
Đề tài "Quản trị các dịch vụ mạng doanh nghiệp sử dụng giải pháp mã nguồn mở" do sinh viên Lê Đức Duy (MSSV: 11110290) và Bùi Nguyên Phúc (MSSV: 11110243), lớp 11110CLC, ngành Công nghệ Thông tin, Khoa Đào tạo Chất lượng cao thuộc Trường Đại học Sư phạm Kỹ thuật TP. Hồ Chí Minh thực hiện dưới sự hướng dẫn của Th.S Nguyễn Đăng Quang (tháng 01/2016).
Nhiệm vụ nghiên cứu của đồ án được xác định theo văn bản gồm 3 nội dung:
- Tìm hiểu các dịch vụ trên hệ điều hành mã nguồn mở cần áp dụng cho các doanh nghiệp vừa và nhỏ.
- Cài đặt và cấu hình các dịch vụ trên theo sơ đồ mạng của một doanh nghiệp.
- Quản trị các dịch vụ mạng đã triển khai.
Mục tiêu cụ thể của đề tài bao gồm:
- Tìm hiểu và nghiên cứu về các dịch vụ mạng sẽ triển khai cho doanh nghiệp.
- Thiết kế hệ thống mạng ổn định, đảm bảo hiệu quả làm việc của hệ thống luôn xuyên suốt.
- Cài đặt và cấu hình các dịch vụ mạng cho hệ thống mạng đã thiết kế trên nền tảng mã nguồn mở.
Đối tượng và phạm vi nghiên cứu:
- Đối tượng nghiên cứu: Các dịch vụ mạng nền tảng hoạt động trên hệ điều hành Linux bao gồm: dịch vụ phân giải tên miền (DNS), dịch vụ cấp phát địa chỉ IP động (DHCP), dịch vụ thư điện tử (Mail Server), dịch vụ web (Web Server Apache), dịch vụ truyền nhận tập tin (FTP Server VSFTPD), hệ thống tường lửa lọc gói và dịch địa chỉ mạng (Netfilter/Iptables, NAT) cùng dịch vụ ủy quyền bộ đệm (Squid Proxy Server).
- Phạm vi không gian và quy mô ứng dụng: Mô hình hệ thống mạng được thiết kế phục vụ cho doanh nghiệp vừa và nhỏ có quy mô dưới 100 máy tính.
- Môi trường thực nghiệm: Hệ thống được xây dựng, triển khai và kiểm thử hoàn toàn trên môi trường máy ảo sử dụng phần mềm VMware Workstation chạy hệ điều hành Linux.
Cơ sở lý thuyết và phương pháp
Khóa luận xây dựng hệ thống giải pháp dựa trên nền tảng lý thuyết mạng máy tính chuẩn hóa và các giao thức mạng quốc tế (RFC):
-
Khung lý thuyết và mô hình công nghệ:
- Mô hình mạng: Mô hình tương tác mạng Client - Server và cấu trúc không gian tên miền phân cấp hình cây đảo ngược.
- Hệ điều hành nền tảng: Linux (phân phối CentOS/Unix) với nhân Linux tích hợp framework Netfilter.
- Dịch vụ phân giải tên miền (DNS): Phân giải thuận (FQDN sang IP) qua bản ghi A/CNAME, phân giải nghịch (IP sang FQDN) qua nhánh
in-addr.arpa với bản ghi PTR, cùng các bản ghi quản trị vùng SOA, NS, MX (độ ưu tiên 16-bit).
- Dịch vụ cấp phát cấu hình động (DHCP): Chu trình trao đổi gói tin 4 bước (Discover, Offer, Request, Ack) qua cổng UDP 67/68; cơ chế tự động làm mới thời gian thuê (lease time) ở mốc 50% thời gian; chuyển tiếp truy vấn qua router bằng DHCP Relay Agent.
- Dịch vụ Thư điện tử (Mail): Giao thức chuyển thư SMTP (RFC 821, TCP port 25), giao thức truy xuất hộp thư POP3 (TCP port 110) và IMAP; chuẩn định dạng đa phương tiện MIME; kiến trúc tích hợp phần mềm gồm Postfix (Mail Transfer Agent - MTA), Dovecot (Mail Access Agent - MAA), giao diện SquirrelMail (Webmail viết bằng PHP4), cùng các lớp bảo mật kiểm tra danh sách đen DNS-Base Blocklists (RBL/DNSBL), phân tích thư rác SpamAssassin và quét mã độc ClamAV.
- Dịch vụ Web: Máy chủ HTTP Apache hỗ trợ tiêu chuẩn HTTP/1.1 qua cổng TCP 80, kiến trúc xử lý đa tiến trình/đa tiểu trình (multi-processing/multi-threading).
- Tường lửa và NAT: Cấu trúc Netfilter/Iptables gồm 4 bảng (
filter, nat, mangle, conntrack); các cơ chế lọc theo chuỗi (INPUT, FORWARD, OUTPUT, PREROUTING, POSTROUTING); kỹ thuật chuyển đổi địa chỉ mạng (Source NAT, Destination NAT, Masquerade, Port Address Translation/PAT).
- Dịch vụ Proxy Cache & FTP: Phần mềm Squid Proxy (cổng mặc định 3128) thực hiện lưu trữ tạm (caching) dữ liệu HTTP/FTP/SSL/DNS và lọc kiểm soát truy cập; dịch vụ VSFTPD (Very Secure FTP Daemon) hỗ trợ truyền tập tin theo hai chế độ kết nối Active (cổng 21 lệnh, cổng 20 dữ liệu từ server) và Passive (client khởi tạo kết nối cả 2 cổng dữ liệu và điều khiển).
-
Phương pháp nghiên cứu:
- Phương pháp nghiên cứu lý thuyết: Khảo sát, phân tích và tổng hợp nguyên lý hoạt động của các dịch vụ mạng từ tài liệu chuyên môn (gồm giáo trình Hệ Điều Hành UNIX, Thiết Kế Mạng, Mạng Căn Bản) và các tài liệu kỹ thuật về quản trị hệ thống Linux trên Internet.
- Phương pháp thực nghiệm - mô phỏng: Ứng dụng phần mềm ảo hóa VMware để dựng cấu hình mạng đa máy chủ, cài đặt trực tiếp các gói phần mềm mã nguồn mở từ package RPM và cấu hình các tệp tin dịch vụ, sau đó thực hiện các bài kiểm thử chức năng (test cases) theo từng kịch bản vận hành thực tế.
-
Nguồn dữ liệu: Tài liệu tiêu chuẩn RFC, giáo trình chuyên ngành mạng máy tính, mã nguồn và tài liệu cấu hình chính thức của các phần mềm mã nguồn mở (Apache, BIND, Postfix, Dovecot, Squid, Iptables, VSFTPD) cùng hệ thống bản ghi nhật ký (log files) sinh ra trong quá trình thử nghiệm.
Thiết kế và triển khai hệ thống dịch vụ mạng
Hệ thống mạng doanh nghiệp được thiết kế theo cấu trúc phân cấp, sử dụng một máy chủ Linux đóng vai trò Router kiêm Firewall làm cổng biên kết nối giữa mạng nội bộ (LAN) và Internet. Toàn bộ các dịch vụ mạng nội bộ và dịch vụ công cộng được thiết lập trên môi trường ảo hóa VMware.
+-------------------------------+
| Mạng Internet |
| (Địa chỉ IP Public giả định) |
+---------------+---------------+
|
[Card mạng eth0]
+---------------+---------------+
| LINUX ROUTER / FIREWALL |
| - Iptables (SNAT/DNAT) |
| - Squid Proxy (Port 3128)|
+---------------+---------------+
[Card mạng eth1]
| (192.168.1.1)
+-------------------------+-------------------------+
| | |
+-------+-------+ +-------+-------+ +-------+-------+
| DHCP & DNS | | MAIL SERVER | | WEB & FTP |
| SERVER | | - Postfix | | SERVER |
| - DHCP Server | | - Dovecot | | - Apache HTTP |
| - DHCP Relay | | - SpamAssassin| | - VSFTPD |
| - BIND Master | | - ClamAV | +---------------+
+---------------+ | - SquirrelMail|
+---------------+
Quy trình triển khai kỹ thuật được thực hiện qua các khối chức năng:
-
Khối hạ tầng định danh và cấp phát (DNS & DHCP):
- Thiết lập DHCP Server cấp phát dải địa chỉ IP động nội bộ, cấu hình thông số Gateway, DNS Server và thời gian thuê mặc định (8 ngày). Thiết lập DHCP Relay Agent nhằm cho phép chuyển tiếp gói tin
DHCPDiscover/DHCPRequest giữa các phân đoạn mạng qua router.
- Cấu hình DNS Server (BIND) bao gồm DNS Master và DNS Secondary; khai báo cơ sở dữ liệu vùng (Zone) với đầy đủ các bản ghi SOA, NS (
dnsserver.com, serverlinux.com), bản ghi A, CNAME, PTR cho phân giải nghịch và bản ghi MX (độ ưu tiên 10 trỏ về mailserver.com).
-
Khối dịch vụ ứng dụng nội bộ và truyền thông (Web, Mail, FTP):
- Web Server Apache: Cài đặt dịch vụ chạy trên cổng 80, thiết lập thư mục lưu trữ mã nguồn HTML, phân quyền hệ thống và thiết lập cơ chế xác thực người dùng (username/password) khi truy cập vào trang quản trị (admin).
- Mail Server: Cài đặt và liên kết Postfix (MTA), Dovecot (MAA), SquirrelMail (Webmail), cấu hình tệp cấu hình chính để định tuyến gửi nhận thư điện tử; tích hợp SpamAssassin đánh giá điểm spam dựa trên tiêu đề/nội dung và ClamAV để phát hiện, cách ly mã độc đính kèm.
- FTP Server: Cài đặt VSFTPD, thiết lập chính sách phân quyền truy cập tập tin dựa trên User và File Permission của Linux; cấu hình các tham số hỗ trợ truyền dữ liệu theo chế độ Active và Passive.
-
Khối bảo mật, định tuyến và kiểm soát truy cập (Iptables & Squid):
- Cấu hình tường lửa Iptables phân định các bảng
filter và nat. Thiết lập quy tắc chuyển đổi địa chỉ nguồn (SNAT / Masquerade) trên chuỗi POSTROUTING qua card mạng eth0 để các máy trong mạng LAN (dải IP Private 192.168.1.0/24) truy cập Internet thông qua IP Public (192.168.1.179).
- Cấu hình quy tắc chuyển đổi địa chỉ đích (DNAT / Port Forwarding) trên chuỗi
PREROUTING để chuyển hướng các luồng truy cập dịch vụ từ bên ngoài Internet vào các máy chủ ứng dụng nội bộ.
- Thiết lập luật
REDIRECT trong Iptables chuyển tiếp toàn bộ lưu lượng web (cổng 80) của mạng LAN sang cổng 3128 của máy chủ Proxy Squid (Transparent Proxy).
- Cấu hình Squid Proxy quản lý bộ đệm lưu trữ (cache) và thiết lập danh sách kiểm soát truy cập (ACL) nhằm ngăn chặn người dùng mạng nội bộ truy cập các địa chỉ web bị cấm (như
facebook.com).
Nội dung chính theo từng chương
Chương 1: Tổng quan về đề tài
Chương 1 trình bày bối cảnh chuyển dịch công nghệ trong thời kỳ hội nhập, tính cấp thiết của việc xây dựng hệ thống mạng doanh nghiệp ổn định, liên tục và an toàn dữ liệu. Tác giả chỉ ra vấn đề chi phí bản quyền phần mềm và đề xuất giải pháp ứng dụng hệ điều hành mã nguồn mở Linux nhằm tối ưu hóa ngân sách cho doanh nghiệp vừa và nhỏ. Chương này xác định rõ 3 mục tiêu nghiên cứu, phương pháp tiếp cận qua lý thuyết kết hợp thực nghiệm mô phỏng trên VMware, và giới hạn phạm vi áp dụng cho mạng doanh nghiệp dưới 100 máy tính.
Chương 2: Tổng quan về các dịch vụ trên Linux
Chương 2 cung cấp toàn bộ nền tảng lý thuyết chi tiết về các dịch vụ mạng được lựa chọn:
- Cơ chế phân giải tên miền (DNS): Phân tích cấu trúc phân cấp cây domain toàn cầu, hệ thống tên miền cấp cao nhất (Top-Level Domain - TLD) và phân vùng quản lý tên miền quốc gia (ví dụ
.vn). Trình bày chi tiết cơ chế phân giải tên sang IP thông qua Root Name Server và cơ chế phân giải ngược từ IP sang tên qua miền in-addr.arpa. Định nghĩa cấu trúc, cú pháp và chức năng của các loại bản ghi DNS cốt lõi: SOA, NS, A, CNAME, MX và PTR.
| Tên miền TLD |
Mô tả chức năng |
.com |
Các tổ chức, công ty thương mại |
.org |
Các tổ chức phi lợi nhuận |
.net |
Các trung tâm hỗ trợ về mạng |
.edu |
Các tổ chức giáo dục |
.gov |
Các tổ chức thuộc chính phủ |
.mil |
Các tổ chức quân sự |
.int |
Các tổ chức thành lập bởi các hiệp ước quốc tế |
-
Dịch vụ cấp phát địa chỉ IP động (DHCP): Phân tích quy trình 4 bước xin cấp phát IP giữa DHCP Client và Server (DHCPDiscover -> DHCPOffer -> DHCPRequest -> DHCPAck) trên cổng UDP 67/68. Trình bày cơ chế tự động gia hạn thời gian thuê (lease time mặc định 8 ngày, tự động gửi yêu cầu unicast xin cấp lại khi đạt 50% thời gian thuê) và nguyên lý hoạt động của thực thể trung gian DHCP Relay Agent giúp chuyển tiếp gói tin yêu cầu qua các router.
-
Dịch vụ Thư điện tử (Mail): Trình bày nguyên lý hoạt động của hệ thống máy chủ thư điện tử, chuẩn định dạng dữ liệu đa phương tiện MIME và các giao thức truyền nhận: SMTP (cổng TCP 25) cùng bảng tập lệnh điều khiển (HELO, MAIL FROM, RCPT TO, DATA, RSET, VRFY, EXPN, HELP, QUIT); giao thức POP3 (cổng TCP 110) cùng bảng lệnh (USER, PASS, STAT, RETR, DELE, LAST, LIST, RSET, TOP, NOOP, QUIT); giao thức IMAP. Phân tích chức năng của các phần mềm Postfix (MTA), Dovecot (MAA), SquirrelMail (Webmail) và giải pháp phòng chống thư rác, mã độc qua cơ chế danh sách đen DNS-Base Blocklists (RBL/UCE), phần mềm lọc nội dung SpamAssassin và trình diệt virus ClamAV.
-
Dịch vụ Web (Apache): Giới thiệu nguyên lý giao tiếp HTTP trên cổng 80, mô hình xử lý yêu cầu GET/POST giữa Web Browser và Web Server theo các cơ chế đa tiến trình (multi-processing) và đa tiểu trình (multi-threading), khả năng mở rộng linh hoạt của máy chủ Apache.
-
Tường lửa Iptables và kỹ thuật NAT: Phân tích kiến trúc Netfilter/Iptables với 4 bảng dữ liệu (filter, nat, mangle, conntrack) và các chuỗi xử lý gói tin (INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING). Trình bày chi tiết bảng các Target và trạng thái kết nối gói tin (NEW, ESTABLISHED, RELATED, INVALID).
| Target |
Ý nghĩa |
Tùy chọn / Mô tả hành vi |
ACCEPT |
Chấp nhận gói tin |
Ngừng xử lý chuỗi, chuyển gói tin cho ứng dụng tiếp theo. |
DROP |
Hủy bỏ gói tin |
Ngừng xử lý và âm thầm hủy gói tin (không gửi phản hồi cho client). |
REJECT |
Loại bỏ gói tin |
Hủy gói tin và gửi lại thông điệp ICMP thông báo lỗi hoặc gói TCP-Reset. |
LOG |
Ghi nhận nhật ký |
Gửi thông tin gói tin đến dịch vụ syslog để lưu trữ và theo dõi. |
DNAT |
Dịch địa chỉ đích |
Thay đổi IP đích (--to-destination), dùng trong port forwarding. |
SNAT |
Dịch địa chỉ nguồn |
Thay đổi IP nguồn (--to-source), dùng khi máy trong LAN truy cập ra ngoài. |
MASQUERADE |
Đóng giả địa chỉ |
Tương tự SNAT nhưng tự động lấy địa chỉ IP của giao tiếp mạng đi ra ngoài. |
Phân loại các kỹ thuật NAT: NAT một - một, NAT một - nhiều, NAT nhiều - một (NAPT / Masquerade), NAT nhiều - nhiều; phân biệt chi tiết giữa Source NAT (SNAT tĩnh và SNAT động), Destination NAT (DNAT) và Port Address Translation (PAT/PNAT/Redirect).
- Dịch vụ Proxy Squid và FTP: Phân tích vai trò trung gian lưu đệm (proxy-caching) của Squid trên cổng 3128, các giao thức hỗ trợ (HTTP, FTP, SSL, DNS lookup caching), cơ chế chia sẻ bộ đệm (Cache Exchange). Đối với FTP, phân tích nguyên lý truyền dữ liệu qua phần mềm VSFTPD ở 2 chế độ kết nối Active và Passive.
Chương 3: Giới thiệu về mô hình mạng và cài đặt các dịch vụ trên máy ảo
Chương 3 trình bày toàn bộ quá trình hiện thực hóa mô hình mạng doanh nghiệp trên môi trường máy ảo VMware:
- Thiết kế sơ đồ mạng: Thiết lập hệ thống máy chủ dịch vụ và các máy khách kiểm thử, cấu hình phân bổ địa chỉ IP tĩnh cho các máy chủ và IP động cho các phân đoạn mạng LAN.
- Cài đặt và cấu hình cụm dịch vụ:
- DHCP & DHCP Relay Agent: Khai báo dải IP cấp phát
range, subnet mask, default gateway, domain name servers; cấu hình tệp tin của tác nhân chuyển tiếp DHCP Relay và khởi chạy dịch vụ.
- DNS Server: Cài đặt gói BIND, tạo các tập tin cấu hình vùng phân giải thuận và nghịch cho vùng quản trị, cấu hình máy chủ DNS Secondary đồng bộ cơ sở dữ liệu từ DNS Master.
- Web Server Apache: Cài đặt gói dịch vụ, tạo trang web nội bộ, thiết lập các chỉ thị phân quyền trong tệp cấu hình và kích hoạt chức năng chứng thực người dùng khi truy cập thư mục quản trị
admin.
- Mail Server: Cài đặt Postfix, cấu hình tham số
myhostname, mydomain, mynetworks; cài đặt Dovecot kích hoạt dịch vụ POP3/IMAP; triển khai SquirrelMail trên nền Apache/PHP; cấu hình tích hợp bộ lọc SpamAssassin và trình quét virus ClamAV vào quy trình xử lý thư của Postfix.
- Tường lửa Iptables & NAT: Thiết lập kịch bản cấu hình các chính sách mặc định; viết các quy tắc lọc gói tin; thiết lập SNAT chia sẻ kết nối Internet qua interface
eth0 và quy tắc DNAT chuyển tiếp cổng dịch vụ; cấu hình chuyển hướng cổng 80 sang cổng 3128.
- Squid Proxy: Cài đặt từ gói RPM, xác lập các thư mục mặc định, định nghĩa quy tắc kiểm soát truy cập (ACL) chặn các dải địa chỉ và tên miền không mong muốn.
- FTP Server: Cài đặt VSFTPD, cấu hình tệp tin
vsftpd.conf cho phép hoặc giới hạn người dùng cục bộ, cấu hình chế độ Active/Passive.
- Quy trình kiểm tra hoạt động (Testing): Ghi nhận kết quả kiểm thử thực tế qua các ảnh chụp màn hình minh chứng: máy trạm nhận IP từ DHCP Server; phân giải tên miền chính xác qua lệnh
nslookup; truy cập trang web nội bộ và chứng thực thành công vào trang admin; gửi nhận email thành công qua Webmail; hệ thống phát hiện và đánh dấu thư spam, phát hiện file nhiễm virus; truy xuất dịch vụ Webmail và FTP từ máy mạng ngoài thông qua NAT; máy trạm bị chặn thành công khi cố gắng truy cập trang facebook.com.
Chương 4: Kết luận – Hướng phát triển
Chương 4 tổng kết các hạng mục công việc đã hoàn thành, đối chiếu với các mục tiêu ban đầu đề ra, đồng thời thẳng thắn chỉ ra các điểm còn hạn chế của đề tài và đề xuất các định hướng nâng cấp trong tương lai.
Kết quả và đóng góp
Kết quả chính đạt được
Toàn bộ các mục tiêu đặt ra ban đầu đã được nhóm tác giả hiện thực hóa và kiểm chứng thành công trên môi trường thực nghiệm ảo hóa VMware:
- Dịch vụ DHCP & DNS: Cấp phát địa chỉ IP tự động, đồng bộ và ổn định cho toàn bộ máy trạm nội bộ; cơ chế DHCP Relay Agent hoạt động chính xác qua router; DNS Server phân giải hai chiều nhanh chóng và chính xác cho các tên miền dịch vụ nội bộ (Web, Mail, FTP).
- Dịch vụ Web & FTP: Web Server Apache vận hành thông suốt qua cổng 80, hệ thống kiểm soát quyền truy cập trang quản trị bằng chứng thực người dùng hoạt động hiệu quả; FTP Server (VSFTPD) hỗ trợ chia sẻ, phân quyền truyền nhận tập tin tin cậy ở cả hai chế độ Active và Passive.
- Hệ thống Mail Server an toàn: Triển khai thành công hệ thống thư điện tử hoàn chỉnh trên nền Linux kết hợp Postfix, Dovecot và giao diện Webmail SquirrelMail; hệ thống kiểm tra và phát hiện thành công thư rác qua SpamAssassin cũng như quét, cô lập mã độc qua trình quét virus ClamAV.
- An ninh mạng, NAT và kiểm soát người dùng: Tường lửa Netfilter/Iptables định tuyến và chuyển đổi địa chỉ mạng (SNAT) thành công cho các máy trong mạng LAN truy cập Internet qua một địa chỉ IP Public duy nhất (
192.168.1.179); kỹ thuật DNAT cho phép người dùng từ mạng ngoài truy cập trực tiếp vào các máy chủ nội bộ; máy chủ Squid Proxy kết hợp luật REDIRECT chặn thành công việc truy cập các trang mạng xã hội (như facebook.com) theo chính sách quản trị của doanh nghiệp.
Giải pháp và kiến nghị của tác giả
- Khuyến nghị các doanh nghiệp vừa và nhỏ tại Việt Nam chuyển dịch sang sử dụng các giải pháp hệ điều hành và dịch vụ mạng mã nguồn mở Linux nhằm tối ưu hóa chi phí đầu tư hạ tầng CNTT và triệt để tuân thủ luật bản quyền phần mềm.
- Đề xuất mô hình thiết kế mạng phân lớp kết hợp định tuyến và tường lửa Iptables cùng Proxy Server để vừa bảo vệ hệ thống bên trong vừa kiểm soát hiệu quả việc sử dụng băng thông của nhân viên.
- Thường xuyên duy trì việc cập nhật cơ sở dữ liệu nhận dạng virus của ClamAV và danh sách máy chủ thư rác (RBL/DNSBL) để nâng cao khả năng bảo vệ hệ thống thư điện tử doanh nghiệp.
Đóng góp tự nêu của đề tài
- Hệ thống hóa đầy đủ cơ sở lý thuyết chuyên sâu về các dịch vụ mạng chuẩn hóa trên nền tảng hệ điều hành mã nguồn mở Linux.
- Xây dựng một tài liệu hướng dẫn kỹ thuật chi tiết, thực tế từ khâu thiết kế sơ đồ, quy trình cài đặt, cấu hình từng dòng lệnh, đến phương pháp kiểm thử và xử lý sự cố cho toàn bộ các dịch vụ mạng thiết yếu trong một doanh nghiệp quy mô nhỏ (<100 máy).
Hạn chế và hướng nghiên cứu tiếp
Hạn chế của đề tài
- Môi trường thử nghiệm: Toàn bộ hệ thống mới chỉ được triển khai và đánh giá trên môi trường máy ảo (VMware Workstation), chưa được triển khai và đo kiểm trực tiếp trên các thiết bị phần cứng mạng vật lý chuyên dụng.
- Quy mô và điều kiện tải: Kịch bản kiểm thử mới dừng lại ở quy mô mô phỏng mạng nhỏ (dưới 100 máy), chưa tiến hành các bài đo kiểm về khả năng chịu tải cao, kiểm thử khả năng xử lý khi có số lượng lớn kết nối đồng thời hoặc đánh giá hiệu năng đường truyền trong thời gian dài.
- Tính năng nâng cao: Các chính sách an toàn thông tin trên tường lửa Iptables và Squid Proxy mới được thiết lập ở mức cơ bản; chưa triển khai các giải pháp dự phòng, cân bằng tải (Load Balancing) và tính sẵn sàng cao (High Availability - HA) cho các dịch vụ cốt lõi.
Hướng phát triển tiếp theo
- Triển khai thử nghiệm và chuyển giao mô hình hệ thống vào môi trường mạng vật lý thực tế của một doanh nghiệp vừa và nhỏ để kiểm chứng hiệu năng vận hành thực tế.
- Tích hợp dịch vụ quản lý thư mục và xác thực người dùng tập trung (như OpenLDAP hoặc NIS) để thống nhất tài khoản quản trị trên toàn bộ các dịch vụ mạng (Mail, Web, FTP, VPN).
- Nâng cấp hệ thống bảo mật bằng cách kết hợp tường lửa Iptables với các hệ thống phát hiện và ngăn chặn xâm nhập chuyên sâu (IDS/IPS như Snort hoặc Suricata).
- Xây dựng các cơ chế tự động sao lưu dữ liệu (Backup) định kỳ và tích hợp công cụ giám sát trạng thái hệ thống mạng tập trung (như Nagios, Cacti hoặc Zabbix).
Giá trị tham khảo
Đồ án tốt nghiệp là tài liệu tham khảo có giá trị ứng dụng thực tiễn cao:
- Đối tượng thụ hưởng:
- Sinh viên chuyên ngành Công nghệ thông tin, Kỹ thuật mạng máy tính, Truyền thông dữ liệu và An toàn thông tin đang thực hiện các đồ án môn học, chuyên đề mạng hoặc khóa luận tốt nghiệp.
- Các kỹ sư hệ thống, quản trị viên mạng (System/Network Administrator) tại các doanh nghiệp vừa và nhỏ đang tìm kiếm giải pháp xây dựng, quản trị hệ thống mạng nội bộ tiết kiệm chi phí bản quyền.
- Nội dung giá trị nhất để tham khảo:
- Toàn bộ Chương 2 và Chương 3: Cung cấp khung lý thuyết chuẩn xác cùng tài liệu hướng dẫn thực hành cấu hình từng bước chi tiết cho các dịch vụ DNS (BIND), DHCP, Mail (Postfix + Dovecot + SquirrelMail + SpamAssassin + ClamAV), Apache Web Server, VSFTPD, kịch bản lệnh Iptables (SNAT, DNAT, Port Forwarding) và Squid Proxy Server.
Câu hỏi thường gặp
1. Quá trình cấp phát địa chỉ IP của dịch vụ DHCP trong đồ án diễn ra qua các bước nào và thời gian thuê mặc định là bao lâu?
Quá trình cấp phát địa chỉ IP giữa DHCP Client và Server diễn ra theo 4 bước tuần tự:
- Bước 1 (IP Lease Request): Client phát quảng bá gói tin
DHCPDiscover (IP nguồn 0.0.0.0, IP đích 255.255.255.255) kèm địa chỉ MAC.
- Bước 2 (IP Lease Offer): DHCP Server phản hồi gói
DHCPOffer chứa địa chỉ MAC client, IP đề xuất, Subnet Mask, thời gian thuê và IP của server.
- Bước 3 (IP Lease Selection): Client gửi lại gói
DHCPRequest xác nhận chấp nhận IP được cấp.
- Bước 4 (IP Lease Acknowledgement): Server gửi gói
DHCPAck hoàn tất việc cấp phát cấu hình.
Thời gian thuê (lease time) mặc định là 8 ngày; sau khi sử dụng được 50% thời gian thuê, client sẽ tự động gửi gói DHCPRequest unicast trực tiếp tới server để xin gia hạn lại địa chỉ IP.
2. Hệ thống Mail Server trong đồ án được xây dựng từ những phần mềm mã nguồn mở nào và giải pháp bảo mật thư điện tử gồm những gì?
Hệ thống Mail Server được tích hợp từ các thành phần: Postfix đóng vai trò tác nhân chuyển thư (MTA), Dovecot đóng vai trò tác nhân truy xuất thư (MAA hỗ trợ POP3/IMAP) và SquirrelMail đóng vai trò giao diện Webmail viết bằng PHP4. Về bảo mật, hệ thống tích hợp 3 cơ chế: sử dụng danh sách đen thời gian thực DNSBL/RBL để chặn các máy chủ gửi spam; tích hợp SpamAssassin phân tích tiêu đề và nội dung thư để đánh dấu thư rác; tích hợp phần mềm diệt virus ClamAV chạy đa luồng để quét và ngăn chặn mã độc lây lan qua tệp tin đính kèm.
3. Tường lửa Iptables trong đồ án có cấu trúc gồm những bảng và chuỗi nào, và kỹ thuật SNAT được cấu hình nhằm mục đích gì?
Iptables gồm 4 bảng: bảng filter (chứa các chuỗi INPUT, OUTPUT, FORWARD), bảng nat (chứa các chuỗi PREROUTING, POSTROUTING, OUTPUT), bảng mangle (chứa các chuỗi PREROUTING, POSTROUTING, INPUT, OUTPUT, FORWARD) và bảng conntrack. Kỹ thuật SNAT (Source NAT) được cấu hình trên chuỗi POSTROUTING của card mạng eth0 nhằm thay đổi địa chỉ IP nguồn của các gói tin từ dải mạng nội bộ private (192.168.1.0/24) thành địa chỉ IP Public duy nhất (192.168.1.179), cho phép nhiều máy tính trong mạng LAN chia sẻ kết nối Internet đồng thời che giấu cấu trúc mạng nội bộ.
4. Máy chủ Proxy Squid trong đồ án hoạt động trên cổng dịch vụ nào và đóng vai trò gì trong việc quản trị mạng doanh nghiệp?
Squid Proxy hoạt động mặc định trên cổng TCP 3128. Trong đồ án, Squid đóng vai trò là một máy chủ ủy quyền lưu đệm (proxy-caching) tiếp nhận các yêu cầu truy cập web từ máy trạm, lưu dữ liệu trả về vào bộ đệm đĩa cứng để phục vụ cho các yêu cầu lặp lại, giúp tiết kiệm băng thông và tăng tốc độ truy xuất mạng; đồng thời Squid được cấu hình danh sách kiểm soát truy cập (ACL) kết hợp lệnh REDIRECT của Iptables để thực hiện chặn truy cập vào các trang web không mong muốn (cụ thể là facebook.com).
5. Dịch vụ FTP (VSFTPD) trong đồ án hoạt động theo những chế độ nào và sự khác biệt về cổng kết nối giữa chúng là gì?
Dịch vụ VSFTPD hỗ trợ hai chế độ kết nối:
- Chế độ Active (Chủ động): Client dùng cổng ngẫu nhiên N (>1024) kết nối tới cổng 21 của Server để điều khiển, sau đó Server chủ động dùng cổng 20 để khởi tạo kết nối ngược lại cổng dữ liệu N+1 của Client.
- Chế độ Passive (Thụ động): Client mở 2 cổng ngẫu nhiên (>1024), cổng thứ nhất kết nối cổng 21 của Server để gửi lệnh
PASV, sau đó Client tự khởi tạo kết nối dữ liệu từ cổng thứ hai tới một cổng ngẫu nhiên (>1024) do Server chỉ định, giúp giải quyết vấn đề tường lửa chặn các kết nối từ ngoài vào Client.
Kết luận
Đồ án tốt nghiệp "Quản trị các dịch vụ mạng doanh nghiệp sử dụng giải pháp mã nguồn mở" của sinh viên Lê Đức Duy và Bùi Nguyên Phúc đã nghiên cứu và triển khai thành công một mô hình hạ tầng mạng hoàn chỉnh cho doanh nghiệp vừa và nhỏ trên nền tảng ảo hóa VMware. Đề tài tích hợp đồng bộ các dịch vụ mạng thiết yếu gồm DNS, DHCP, Web Apache, Mail Server (Postfix, Dovecot, SquirrelMail, SpamAssassin, ClamAV), FTP Server (VSFTPD), tường lửa Iptables kết hợp NAT và máy chủ ủy quyền Squid Proxy. Kết quả thực nghiệm đã minh chứng tính khả thi, tính an toàn và hiệu quả vận hành của các giải pháp mã nguồn mở, mang lại giá trị tham khảo kỹ thuật hữu ích cho công tác quản trị mạng và tối ưu hóa chi phí đầu tư CNTT.
