Bối cảnh và vấn đề nghiên cứu

Trong chiến lược phát triển và mở rộng cơ sở vật chất phục vụ công tác đào tạo tại Trường Đại học Điện Lực, việc xây dựng và đưa vào vận hành các công trình mới là nhiệm vụ trọng tâm. Trong đó, một tòa nhà mới quy mô 10 tầng đã được hoàn thiện xây dựng cơ bản. Tuy nhiên, hạ tầng công nghệ thông tin ban đầu của tòa nhà chỉ mới dừng lại ở mức sơ khai, phục vụ quản lý giám sát tối thiểu với hệ thống camera an ninh và một số máy tính kết nối Internet riêng lẻ. Hạ tầng này chưa được quy hoạch đồng bộ, chưa có sự phân tách rõ ràng giữa các luồng dữ liệu, tiềm ẩn nhiều nguy cơ mất an toàn thông tin khi kết nối trực tiếp ra mạng diện rộng (WAN) và Internet.

Nhằm phát huy công năng của công trình và đáp ứng nhu cầu giảng dạy, học tập, nghiên cứu và quản lý hành chính, đề tài "Thiết kế mạng nội bộ cho tòa nhà 10 tầng tại trường Đại học Điện Lực" được thực hiện với các mục tiêu và yêu cầu kỹ thuật cụ thể:

  1. Mục tiêu nghiên cứu:

    • Xây dựng hệ thống mạng nội bộ (LAN) hoàn chỉnh, ổn định và hiệu năng cao cho tòa nhà 10 tầng, đảm bảo khả năng mở rộng trong tương lai.
    • Cung cấp hạ tầng mạng đáp ứng đồng thời cho cán bộ quản lý, giảng viên, sinh viên và khách mời tiếp cận tài nguyên trực tuyến thuận tiện.
    • Thiết lập cơ chế an toàn thông tin đa lớp, bảo vệ dữ liệu nội bộ và cách ly mạng giám sát an ninh tòa nhà.
    • Đảm bảo hệ thống tuân thủ các khung tiêu chuẩn kỹ thuật an ninh thông tin hiện hành như TCVN 9801-2:2015, TCVN 8051-1:2009 và TCVN 11930:2017.

  2. Yêu cầu kỹ thuật:

    • Đảm bảo kết nối thông suốt từ tòa nhà 10 tầng ra môi trường Internet.
    • Thiết lập liên kết bảo mật với hệ thống mạng nội bộ hiện hữu của nhà trường từ tòa nhà hành chính.
    • Đảm bảo các thiết bị IoT, camera giám sát và thiết bị đầu cuối vận hành liên tục, ổn định và bảo mật.
    • Phân định rõ ràng ba phân vùng mạng chức năng: mạng nội bộ hành chính, mạng phục vụ học tập và mạng an ninh giám sát.

  3. Đối tượng và phạm vi nghiên cứu:

    • Đối tượng nghiên cứu: Kiến trúc hạ tầng mạng máy tính, mô hình định tuyến phân tầng, quy hoạch địa chỉ IPv4, phân chia mạng ảo VLAN, chính sách an toàn thông tin và quy trình quản trị vận hành.
    • Phạm vi không gian: Toàn bộ tòa nhà 10 tầng (bao gồm tầng hầm, tầng 1 đến tầng 9 và sân thượng tầng 10) tại Trường Đại học Điện Lực, cùng liên kết mạng lớp Core tới tòa nhà hành chính.
    • Phạm vi thời gian: Đồ án chuyên đề học phần thực hiện trong khuôn khổ khóa đào tạo 2020 – 2025, hoàn thành báo cáo vào tháng 10 năm 2023.

Cơ sở lý thuyết và phương pháp

Đề tài kết hợp giữa nghiên cứu tiêu chuẩn kỹ thuật an toàn thông tin quốc gia và phương pháp khảo sát, thiết kế hệ thống kỹ thuật thực nghiệm:

  • Khung tiêu chuẩn và nguyên lý áp dụng:

    • TCVN 8051-1:2009: Tiêu chuẩn quốc gia về Quản lý an ninh mạng.
    • TCVN 11930:2017: Tiêu chuẩn quốc gia về Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về hệ thống thông tin theo cấp độ.
    • TCVN 9801-2:2015: Tiêu chuẩn kỹ thuật áp dụng cho hạ tầng mạng tòa nhà.
    • Nguyên tắc đặc quyền tối thiểu (Principle of Least Privilege - POLP): Chỉ cấp phát quyền truy cập vừa đủ cho từng đối tượng người dùng nhằm giảm thiểu rủi ro bảo mật.
    • Các khái niệm và giao thức mạng cốt lõi: Hệ thống quản lý bảo mật thông tin (ISMS), mạng định nghĩa bằng phần mềm (SDN), giám sát từ xa (RMON), giao thức SNMP, cấp phát địa chỉ IP động (DHCP), hệ thống phân giải tên miền (DNS), mạng riêng ảo (VPN), và công nghệ cấp nguồn qua Ethernet (PoE).

  • Phương pháp thu thập và phân tích dữ liệu:

    • Phương pháp quan sát và khảo sát thực địa: Khảo sát chi tiết mặt bằng từng tầng của tòa nhà 10 tầng, thống kê chức năng phòng ban, sức chứa người dùng, hiện trạng cáp quang và các vị trí đã lắp đặt camera giám sát.
    • Phương pháp phỏng vấn điều tra: Xây dựng bộ câu hỏi khảo sát gồm 10 nhóm nội dung dành cho người quản lý tòa nhà và cán bộ phụ trách hạ tầng mạng, tập trung vào: nhân sự quản lý, hiện trạng cấu hình mạng, loại kết nối Internet, chính sách bảo mật, phòng máy chủ, quy trình ứng phó sự cố, hệ thống giám sát, phân quyền người dùng, chia sẻ băng thông và an toàn vật lý.
    • Phương pháp phân tích - thiết kế hệ thống: Phân tầng kiến trúc mạng (Core – Distribution – Access), quy hoạch dải mạng logic (VLAN, Subnet IP), lựa chọn cấu hình thiết bị phần cứng, xây dựng cơ chế kiểm toán (Audit) và quy trình xử lý sự cố.

Thiết kế và triển khai

Hệ thống mạng được thiết kế theo mô hình phân cấp, đảm bảo tính sẵn sàng cao, bảo mật chặt chẽ và khả năng quản trị tập trung:

1. Phân vùng mạng và nhóm người dùng

Hệ thống phân tách thành 3 phân vùng mạng độc lập tương ứng với các nhóm tác nhân và mục đích sử dụng:

Tên phân vùng mạng Nhóm người dùng (Tác nhân) Ước tính số lượng người dùng Thiết bị sử dụng Cơ chế kiểm soát và dịch vụ cung cấp
Mạng nội bộ (Internal Network) Cán bộ hành chính, Giảng viên ~ 50 người dùng Router, Switch, Firewall Kết nối từ tòa hành chính sang tòa nhà 10 tầng qua tường lửa; xác thực tài khoản riêng, lọc địa chỉ MAC; cung cấp truy cập tài nguyên nội bộ và máy chủ hành chính.
Mạng học tập (Educational Network) Sinh viên, Giảng viên, Khách mời 700 ~ 1000 người dùng Router, Switch, Access Points (AP) Kết nối Internet; quản lý tập trung các AP; xác thực mật khẩu; lọc nội dung và giới hạn truy cập web độc hại qua DNS.
Mạng an ninh (Security Network) Nhân viên an ninh tòa nhà, Quản trị viên hệ thống ~ 5 người dùng Router, Switch, Firewall, Camera, Thiết bị IoT Mạng nội bộ độc lập, cách ly hoàn toàn với Internet; chỉ cho phép thiết bị đầu cuối được khóa bảo mật kết nối qua dây cáp; giám sát an ninh tòa nhà 24/24.

2. Quy hoạch VLAN và kiến trúc phân tầng

Mạng phân chia logic thông qua các dải VLAN chuyên biệt tại các tầng:

  • VLAN 10 (kythuat): Dành cho khu vực kỹ thuật, phòng máy chủ và quản trị hệ thống.
  • VLAN 20 (giangvien): Dành cho phòng họp, phòng nghỉ và khu vực làm việc của giảng viên.
  • VLAN 30 (sinhvien): Dành cho các giảng đường học tập của sinh viên.

Kiến trúc liên kết bao gồm:

  • Lớp Core: Kết nối cáp quang giữa tòa nhà 10 tầng và các tòa nhà khác trong khuôn viên trường Đại học Điện Lực.
  • Lớp Distribution: Điều phối lưu lượng toàn bộ tòa nhà 10 tầng.
  • Lớp Access: Phân bổ switch truy cập tại từng tầng để kết nối các máy trạm, camera và Access Point.

3. Danh mục thiết bị phần cứng lựa chọn

Đề tài lựa chọn hệ sinh thái thiết bị phần cứng mạng phù hợp với nhu cầu chịu tải và quản lý tập trung:

STT Tên thiết bị Vai trò kỹ thuật Đặc tính nổi bật
1 TL-SG3428XF Core Switch Switch quản lý với cổng kết nối quang SFP+, hiệu năng cao, định tuyến lớp Core và liên kết giữa các tòa nhà.
2 TL-SG1210MPE Access Layer Switch Switch hỗ trợ PoE (Power over Ethernet), cấp nguồn trực tiếp cho các điểm truy cập Wi-Fi và camera an ninh tại các tầng.
3 EAP265 HD Access Point trong nhà Hỗ trợ chuẩn Wi-Fi băng thông lớn, công nghệ MU-MIMO, chịu tải mật độ cao tại các giảng đường lớn từ tầng 2 đến tầng 9.
4 EAP225-Outdoor Access Point ngoài trời Thiết bị phát Wi-Fi chuẩn công nghiệp ngoài trời, chống chịu thời tiết, phủ sóng khu vực khuôn viên quanh tòa nhà.

4. Giải pháp an ninh và kiểm toán hệ thống

  • An toàn vật lý: Kiểm soát ra vào phòng máy chủ/phòng điều khiển bằng khóa từ và vân tay; lắp đặt camera giám sát và cảm biến ngoài cửa; bố trí tủ mạng (rack) có khóa; trang bị hệ thống PCCC, bình chữa cháy và nguồn điện dự phòng (UPS); thiết lập đường truyền cáp quang dự phòng.
  • An toàn mạng: Áp dụng nguyên tắc POLP; mã hóa dữ liệu quan trọng trước khi lưu trữ; quản lý mật khẩu mạnh theo chu kỳ; nhóm quản trị sử dụng chữ ký điện tử hoặc thẻ khóa bảo mật.
  • Công cụ kiểm toán và giám sát (Audit):
    • Zabbix: Theo dõi trạng thái hoạt động của thiết bị mạng, tải lưu lượng và tự động gửi cảnh báo bất thường qua Email và Telegram.
    • Nessus: Chạy định kỳ các kịch bản dò quét lỗ hổng bảo mật trên toàn hệ thống mạng và thiết bị đầu cuối.
    • Kiểm thử định kỳ: Tổ chức diễn tập tấn công và phòng thủ mạng hàng quý với sự tham gia của sinh viên để đánh giá năng lực bảo vệ của tường lửa và hệ thống phát hiện/ngăn ngừa xâm nhập (IDS/IPS).
    • Sao lưu: Tự động đóng gói và sao lưu bản ghi nhật ký (log files) đã mã hóa lên nền tảng điện toán đám mây.

Nội dung chính theo từng chương

Chương 1: Khảo sát thực trạng cơ sở hạ tầng công nghệ thông tin tòa nhà 10 tầng

Chương 1 tập trung khảo sát hiện trạng thực tế công trình tòa nhà 10 tầng vừa hoàn thiện tại Trường Đại học Điện Lực. Dữ liệu khảo sát cơ sở vật chất và phân bổ không gian được tổng hợp chi tiết:

Khu vực Chức năng bố trí Sức chứa / Quy mô Hiện trạng camera
Tầng hầm Bãi đỗ xe, phòng bảo vệ, phòng kỹ thuật điện, trạm bơm, hạ tầng cáp Nhân viên an ninh, kỹ thuật Đã lắp 6 camera và đầu nối cáp quang về hộp kỹ thuật tầng 1
Tầng 1 Khu giao dịch sinh viên, phòng Kế hoạch tài chính (KHTC), phòng Công tác sinh viên (CTSV), phòng Đào tạo, phòng họp/nghỉ giảng viên, phòng đặt máy chủ và phòng bảo trì KHTC: 10 người
CTSV: 30 người
Đào tạo: 40 người
Phòng họp/nghỉ GV: 10 người		 Đã lắp 3 camera
Tầng 2 - 9 Giảng đường học tập và phòng nghỉ giảng viên tại mỗi tầng Giảng đường 1: 40 SV
Giảng đường 2: 40 SV
Giảng đường 3: 50 SV
Giảng đường 4: 80 SV
Phòng họp/nghỉ GV: 10 người		 Đã lắp 3 camera mỗi tầng
Tầng 10 Sân thượng Khu vực kỹ thuật trên cao Đã lắp 3 camera

Kết quả khảo sát khẳng định hệ thống mạng ban đầu còn rời rạc, mạng camera chưa được cách ly và chưa phân quyền người dùng. Chương này cũng hoàn thành việc xác định 6 nhóm tác nhân (Cán bộ hành chính, Nhân viên an ninh, Giảng viên, Sinh viên, Khách, Quản trị viên) và phân định sơ bộ 3 phân vùng mạng chính.

Chương 2: Phân tích, thiết kế

Chương 2 trình bày toàn bộ giải pháp thiết kế kỹ thuật của hệ thống mạng:

  • Phân tích nhu cầu kỹ thuật: Dự báo nhu cầu mở rộng quy mô sinh viên, khả năng thiết lập thêm các phòng thí nghiệm, phòng thực hành chuyên sâu và yêu cầu quản lý tập trung.
  • Thiết kế mặt bằng và liên kết mạng: Bản vẽ sơ đồ phân bố thiết bị mạng từ tầng hầm đến tầng 9; sơ đồ mạng phân phối (Distribution) và sơ đồ kết nối lớp Core giữa các tòa nhà.
  • Quy hoạch địa chỉ IP và VLAN: Thiết lập các dải mạng con IPv4, Subnet Mask, Gateway và gán VLAN theo chức năng phòng ban (VLAN 10, 20, 30).
  • Thiết kế an toàn đa tầng: Quy định cơ chế an toàn vật lý, an toàn mạng logic, cơ chế cấp quyền truy cập theo nguyên tắc POLP và cơ chế kiểm toán an ninh với Zabbix và Nessus.
  • Thiết kế chính sách và quy trình xử lý sự cố: Xây dựng quy trình ứng phó sự cố an toàn thông tin gồm 4 bước: (1) Thu thập chứng cứ và xác định phạm vi ảnh hưởng; (2) Phân tích, xác định nguồn gốc tấn công và cách ly ngăn chặn; (3) Xử lý gỡ bỏ mã độc, xóa backdoor và khôi phục hệ thống; (4) Kiểm tra, đánh giá toàn diện và lập báo cáo kết thúc ứng cứu sự cố.
  • Dự toán kinh phí: Lập bảng tổng toán chi phí đầu tư trang thiết bị, vật tư và triển khai hệ thống.

Chương 3: Công nghệ sử dụng

Chương 3 đi sâu vào phân tích các thông số kỹ thuật và tính năng của các dòng thiết bị được lựa chọn:

  • Core Switch TL-SG3428XF đóng vai trò trung tâm xử lý dữ liệu và định tuyến quang.
  • Switch truy cập TL-SG1210MPE đảm nhận vai trò phân phối mạng tại từng tầng và cấp nguồn PoE cho các thiết bị đầu cuối.
  • Điểm truy cập Access Point EAP265 HD (trong nhà) và EAP225-Outdoor (ngoài trời) đáp ứng chuẩn Wi-Fi công suất cao, tích hợp quản trị tập trung qua nền tảng SDN và công nghệ ZTP (Zero Touch Provisioning).

Chương 4: Triển khai cài đặt, đánh giá hiệu quả thiết kế

Chương 4 thiết lập kế hoạch thi công, cài đặt cấu hình thiết bị và đối chiếu thiết kế với các bộ tiêu chuẩn quốc gia:

  • Triển khai lắp đặt tủ rack, kéo rải cáp mạng, cấu hình Switch, Router, cấu hình SSID và phân chia VLAN.
  • Đánh giá mức độ đáp ứng các yêu cầu an ninh theo Tiêu chuẩn quốc gia TCVN 8051-1:2009 về Quản lý an ninh mạng.
  • So sánh, kiểm tra các tiêu chí kỹ thuật an toàn hệ thống thông tin theo cấp độ dựa trên Tiêu chuẩn quốc gia TCVN 11930:2017.

Kết quả và đóng góp

  1. Kết quả đạt được:

    • Hoàn thành bản thiết kế chi tiết kiến trúc mạng nội bộ phân tầng cho tòa nhà 10 tầng, đáp ứng nhu cầu sử dụng đồng thời của 700 – 1000 người dùng mạng học tập, 50 cán bộ/giảng viên mạng nội bộ và hệ thống thiết bị an ninh.
    • Thiết lập thành công mô hình phân tách 3 phân vùng mạng độc lập (Nội bộ, Học tập, An ninh), loại bỏ triệt để nguy cơ lộ lọt dữ liệu giám sát an ninh khi kết nối ra Internet.
    • Xây dựng quy hoạch địa chỉ IPv4, cấu hình VLAN (VLAN 10, VLAN 20, VLAN 30) và lựa chọn danh mục thiết bị phần cứng đồng bộ từ Core Switch, Access Switch PoE đến hệ thống Access Point trong nhà và ngoài trời.
    • Xây dựng bộ quy trình ứng phó và xử lý sự cố an ninh mạng 4 bước, kết hợp hệ thống giám sát tự động qua Zabbix và quét lỗ hổng định kỳ qua Nessus.

  2. Giải pháp đề xuất:

    • Áp dụng nguyên tắc POLP trong quản trị phân quyền người dùng và thiết bị.
    • Thiết lập cơ chế kiểm soát truy cập đa lớp (kết hợp mật khẩu, tài khoản định danh và khóa địa chỉ MAC cho mạng nội bộ).
    • Mã hóa toàn bộ dữ liệu nhật ký hệ thống và tự động sao lưu lên dịch vụ đám mây bên thứ ba.

  3. Đóng góp của đồ án:

    • Cung cấp một giải pháp thiết kế mạng thực tế, bám sát mặt bằng và công năng sử dụng của một tòa nhà đại học 10 tầng.
    • Tích hợp việc đánh giá và đối chiếu trực tiếp giải pháp thiết kế với hai tiêu chuẩn quốc gia quan trọng là TCVN 8051-1:2009 và TCVN 11930:2017.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế:
    • Nghiên cứu được thực hiện trong giai đoạn tòa nhà mới hoàn thiện phần cứng cơ bản, do đó dữ liệu đánh giá hiệu năng chủ yếu dựa trên mô hình thiết kế kỹ thuật và các kịch bản thử nghiệm mô phỏng.
    • Thời gian thực hiện đồ án học phần có hạn nên chưa triển khai theo dõi tải mạng thực tế dài hạn trong điều kiện sinh viên học tập kín tất cả các giảng đường từ tầng 2 đến tầng 9.
  • Hướng phát triển tiếp theo:
    • Tiếp tục hoàn thiện cấu hình dự phòng nâng cao (Redundancy) ở lớp Core và Distribution khi nhà trường hoàn thành xây dựng tòa nhà thứ hai trong dự án mở rộng.
    • Nâng cấp băng thông và bổ sung các dải mạng chuyên dụng khi trường đưa vào hoạt động các phòng thí nghiệm, phòng thực hành công nghệ thông tin chuyên sâu.
    • Tích hợp thêm các giải pháp tường lửa thế hệ mới (NGFW) và hệ thống phòng chống thất thoát dữ liệu (DLP).

Giá trị tham khảo

Tài liệu là nguồn tư liệu tham khảo hữu ích cho:

  • Sinh viên ngành Công nghệ thông tin, Quản trị mạng và An toàn thông tin: Tham khảo quy trình khảo sát mặt bằng thực tế, phương pháp thiết kế phân tầng mạng LAN tòa nhà cao tầng, cách thức quy hoạch VLAN và lập dự toán kinh phí đồ án.
  • Quản trị viên mạng và cán bộ kỹ thuật IT tại các cơ quan, trường học: Ứng dụng mô hình phân tách ba phân vùng mạng (nội bộ, học tập, an ninh), cơ chế kiểm soát truy cập theo nguyên tắc POLP và quy trình xử lý sự cố an toàn thông tin theo chuẩn TCVN.

Câu hỏi thường gặp

1. Hệ thống mạng tòa nhà 10 tầng được phân chia thành những phân vùng nào và phục vụ ai?

Hệ thống được chia thành 3 phân vùng mạng riêng biệt:

  • Mạng nội bộ (Internal Network): Phục vụ khoảng 50 cán bộ hành chính và giảng viên xử lý công việc chuyên môn, kết nối bảo mật tới tòa hành chính qua tường lửa.
  • Mạng học tập (Educational Network): Phục vụ 700 – 1000 sinh viên, giảng viên và khách mời truy cập Internet phục vụ học tập, nghiên cứu và hội thảo.
  • Mạng an ninh (Security Network): Phục vụ khoảng 5 nhân sự an ninh và quản trị viên giám sát camera, thiết bị IoT và PCCC; mạng này cách ly hoàn toàn với Internet.

2. Những thiết bị phần cứng chính nào được lựa chọn trong thiết kế?

Hệ thống sử dụng các thiết bị phần cứng gồm: Core Switch TL-SG3428XF (định tuyến quang lớp Core), Access Layer Switch TL-SG1210MPE (Switch PoE phân phối tại các tầng), Access Point trong nhà EAP265 HD (chịu tải cao tại các giảng đường) và Access Point ngoài trời EAP225-Outdoor.

3. Cơ chế bảo mật và phân quyền truy cập trong hệ thống tuân theo nguyên tắc nào?

Hệ thống áp dụng nguyên tắc đặc quyền tối thiểu (POLP - Principle of Least Privilege), chỉ cấp phát quyền truy cập tối thiểu cần thiết theo vai trò của từng nhóm tác nhân. Mạng nội bộ kết hợp xác thực tài khoản, mật khẩu mạnh và đăng ký địa chỉ MAC; nhóm quản trị sử dụng thêm khóa bảo mật/chữ ký điện tử; mạng an ninh chỉ cho phép kết nối vật lý bằng cáp mạng với thiết bị đã định danh.

4. Hệ thống sử dụng các công cụ nào để giám sát, kiểm toán và quét lỗ hổng bảo mật?

Đồ án sử dụng phần mềm Zabbix để giám sát trạng thái thiết bị, lưu lượng mạng và tự động gửi cảnh báo qua Email/Telegram; sử dụng công cụ Nessus để định kỳ dò quét các lỗ hổng bảo mật hệ thống; đồng thời tổ chức diễn tập kiểm thử tấn công – phòng thủ định kỳ hàng quý.

5. Thiết kế của đồ án được đối chiếu với những tiêu chuẩn quốc gia nào?

Thiết kế được đối chiếu và đánh giá tuân thủ theo 3 tiêu chuẩn quốc gia: TCVN 8051-1:2009 (Quản lý an ninh mạng), TCVN 11930:2017 (Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về hệ thống thông tin theo cấp độ) và TCVN 9801-2:2015.

Kết luận

Báo cáo chuyên đề "Thiết kế mạng nội bộ cho tòa nhà 10 tầng tại trường Đại học Điện Lực" đã giải quyết bài toán xây dựng hạ tầng mạng toàn diện cho công trình mới đưa vào sử dụng. Thông qua việc khảo sát kỹ lưỡng mặt bằng thực tế, nhóm tác giả đã đề xuất mô hình phân tầng khoa học, tách biệt ba phân vùng mạng chức năng và lựa chọn cấu hình thiết bị phần cứng tối ưu. Giải pháp không chỉ đảm bảo hiệu năng kết nối cho hàng nghìn người dùng mà còn thiết lập hệ thống chính sách an ninh, giám sát và ứng cứu sự cố đồng bộ, bám sát các tiêu chuẩn an toàn thông tin quốc gia.