Giới thiệu dự án

Sự bùng nổ của chuyển đổi số và xu hướng dịch chuyển hạ tầng lên Multi-Cloud (AWS, Azure, Google Cloud) cùng mô hình làm việc phân tán đã đặt ra bài toán hóc búa cho các kiến trúc mạng WAN truyền thống. Theo báo cáo từ Gartner, hơn 70% lưu lượng truy cập doanh nghiệp hiện nay hướng về các ứng dụng SaaS và dịch vụ đám mây công cộng thay vì tập trung tại các Data Center truyền thống.

Mô hình định tuyến Hub-and-Spoke cổ điển trên nền đường truyền chuyển mạch nhãn đa giao thức (MPLS - Multiprotocol Label Switching) bộc lộ rõ các điểm nghẽn nghiêm trọng: chi phí băng thông đắt đỏ ($300–$1,000/tháng cho mỗi đường truyền 10–50 Mbps), hiện tượng "hairpinning/tromboning" làm tăng độ trễ (latency > 120ms) khi toàn bộ lưu lượng internet tại chi nhánh phải quay vòng về trụ sở chính trước khi ra ngoài, và sự thiếu linh hoạt trong điều phối lưu lượng theo thời gian thực.

       [ Kiến trúc Truyền thống (MPLS) ]                    [ Kiến trúc Đề xuất (Fortinet Secure SD-WAN) ]
  Branch ---> (MPLS) ---> HQ/DC ---> Internet/Cloud     Branch ---> (Direct Internet Access / SD-WAN) ---> Cloud
  Nhược điểm: Nghẽn cổ chai tại HQ, chi phí cao         Ưu điểm: Điều hướng thông minh, giảm trễ 65%, tối ưu 50% chi phí

Đề tài "Ứng dụng công nghệ SD-WAN trong mô hình mạng doanh nghiệp" (Khóa luận tốt nghiệp Kỹ sư CNTT chuyên ngành Mạng và An ninh mạng, Trường Đại học Sư phạm Kỹ thuật TP.HCM - SVTH: Võ Thành Đạt, Đoàn Nhật Hào; GVHD: TS. Huỳnh Nguyên Chính) giải quyết triệt để các tồn tại trên bằng giải pháp Mạng diện rộng điều khiển bằng phần mềm (SD-WAN - Software-Defined Wide Area Network) kết hợp công nghệ Tường lửa thế hệ mới (NGFW - Next-Generation Firewall) trên nền tảng Fortinet FortiOS.

Mục tiêu đề tài

  1. Thiết kế kiến trúc mạng doanh nghiệp đa điểm (Multi-site Enterprise) chuẩn bảo mật 3 lớp (Core, Distribution, Access và phân vùng DMZ/Server Farm) gồm 1 Trụ sở chính (HQ) và 2 Chi nhánh (Branch 1, Branch 2).
  2. Triển khai kiến trúc kết nối WAN Hybrid đa nhà mạng (Dual-ISP: ISP1 & ISP2) tại từng site, loại bỏ sự phụ thuộc vào đường truyền riêng đắt đỏ.
  3. Ứng dụng giải pháp Fortinet Secure SD-WAN để tự động cân bằng tải (ECMP/Volume-based Load Balancing), điều hướng ứng dụng thông minh (Application Steering) và kiểm soát chất lượng dịch vụ (QoS/Traffic Shaping).
  4. Xây dựng mạng riêng ảo động tự khám phá (ADVPN - Auto-Discovery VPN) trên nền IPsec Overlay, cho phép thiết lập shortcut tunnels trực tiếp giữa các Spoke-to-Spoke, giảm tải xử lý cho Hub.
  5. Đánh giá, đo lường hiệu năng và khả năng chuyển mạch dự phòng (Failover) khi xảy ra suy hao mạng (Jitter, Latency, Packet Loss) trên môi trường ảo hóa EVE-NG.

Phạm vi và giới hạn

  • Phạm vi nghiên cứu: Giải pháp Secure SD-WAN tích hợp trên hệ điều hành FortiOS, giao thức định tuyến động BGP/OSPF, cơ chế đo kiểm Performance SLA, cấu hình ADVPN IKEv2.
  • Môi trường thử nghiệm: Giả lập toàn diện trên EVE-NG Pro/Community với các nút mạng FortiGate-VM64, Cisco IOL Router/Switch, Windows Server 2019 và Windows 10 client.
  • Giới hạn: Nghiên cứu tập trung vào mô hình tự triển khai (DIY Enterprise SD-WAN), chưa tích hợp bộ điều khiển tập trung đám mây FortiManager/FortiAnalyzer và mạng di động 4G/5G vật lý.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Doanh nghiệp đa chi nhánh hiện nay đứng trước 3 lựa chọn kiến trúc WAN chính:

Tiêu chí kỹ thuật MPLS Truyền thống IPsec VPN Site-to-Site thuần Fortinet Secure SD-WAN
Chi phí đường truyền Rất cao ($300–$1,200/tháng/site) Thấp (Tận dụng Broadband Internet) Rất thấp đến trung bình (Tối ưu hóa Dual-ISP)
Hiệu suất & Độ trễ Ổn định nhưng trễ cao khi ra SaaS Biến động mạnh, không kiểm soát trễ Tối ưu hóa thời gian thực qua Performance SLA
Tính linh hoạt định tuyến Định tuyến tĩnh / Dynamic cơ bản Cố định theo Metric/Distance Nhận diện ứng dụng L7, SLA động, Multi-path
Kiến trúc VPN Spoke-to-Spoke Phụ thuộc mạng Core nhà mạng Full-Mesh thủ công phức tạp ($O(n^2)$) ADVPN tự động tạo Shortcut Tunnels ($O(n)$)
Bảo mật tích hợp Không có (cần mua thêm Firewall rời) Chỉ mã hóa lớp 3 (IPsec) Tích hợp sẵn NGFW, IPS, Web Filter, SSL Inspection
Cơ chế Failover Chậm (Vài chục giây theo routing timer) Dựa vào DPD/Keepalive (10–30s) Sub-second failover (< 1s, không đứt session)

Phân tích yêu cầu theo mô hình MoSCoW

  • Must have (Bắt buộc có): Kết nối Internet dự phòng 2 đường ISP1/ISP2 tại mỗi site; Cân bằng tải phiên truy cập; IPsec ADVPN Hub-and-Spoke giữa HQ và 2 chi nhánh; Tự động failover khi 1 ISP mất kết nối; Quản trị bảo mật phân vùng LAN, DMZ, WAN.
  • Should have (Nên có): Điều hướng ứng dụng nhạy cảm (SaaS, Facebook, CRM) ưu tiên qua ISP chất lượng cao; Giới hạn băng thông (QoS/Traffic Shaping) cho ứng dụng giải trí (YouTube, Video Streaming); Thiết lập Performance SLA giám sát Jitter, Latency, Packet Loss.
  • Could have (Có thể có): Thiết lập Full-Mesh động tự động xóa shortcut khi hết session để tiết kiệm tài nguyên RAM thiết bị; Phân tích log chi tiết qua Syslog.
  • Won't have (Chưa thực hiện đợt này): Tích hợp Zero-Touch Provisioning (ZTP) thông qua FortiDeploy trên nền tảng Cloud.

Thiết kế hệ thống

Kiến trúc phân tầng bảo mật kết hợp SD-WAN 5-Pillar Approach (Underlay, Overlay, Routing, Security, SD-WAN Intelligence):

graph TD
    subgraph HQ_Datacenter ["Trụ sở chính (HQ)"]
        FGT_HQ["FortiGate-VM HQ (Hub)"]
        LAN_HQ["LAN HQ: 172.16.10.0/24"]
        DMZ_HQ["DMZ Web/Mail: 172.16.20.0/24"]
        FGT_HQ --- LAN_HQ
        FGT_HQ --- DMZ_HQ
    end

    subgraph WAN_Underlay ["Underlay Transport Network"]
        ISP1["ISP 1: 100.64.1.0/24 (High-Speed Fiber)"]
        ISP2["ISP 2: 100.64.2.0/24 (Backup Broadband)"]
    end

    subgraph Branch_1 ["Chi nhánh 1 (Branch 1)"]
        FGT_BR1["FortiGate-VM BR1 (Spoke 1)"]
        LAN_BR1["LAN BR1: 192.168.10.0/24"]
        FGT_BR1 --- LAN_BR1
    end

    subgraph Branch_2 ["Chi nhánh 2 (Branch 2)"]
        FGT_BR2["FortiGate-VM BR2 (Spoke 2)"]
        LAN_BR2["LAN BR2: 192.168.20.0/24"]
        FGT_BR2 --- LAN_BR2
    end

    FGT_HQ ===|Port 1| ISP1
    FGT_HQ ===|Port 2| ISP2
    FGT_BR1 ===|Port 1| ISP1
    FGT_BR1 ===|Port 2| ISP2
    FGT_BR2 ===|Port 1| ISP1
    FGT_BR2 ===|Port 2| ISP2

    FGT_BR1 -.->|ADVPN Dynamic Shortcut| FGT_BR2

Quy hoạch phân vùng mạng (IP Addressing Scheme)

  • Trụ sở chính (HQ):
    • Vùng LAN: 172.16.10.0/24 (Gateway: 172.16.10.1)
    • Vùng DMZ (Web/FTP Server): 172.16.20.0/24 (Gateway: 172.16.20.1)
    • Vùng Server Farm: 172.16.30.0/24
  • Chi nhánh 1 (Branch 1): Vùng LAN 192.168.10.0/24 (Gateway: 192.168.10.1)
  • Chi nhánh 2 (Branch 2): Vùng LAN 192.168.20.0/24 (Gateway: 192.168.20.1)
  • Mạng WAN Underlay:
    • ISP1 Transit: 100.64.1.0/24 (HQ: .1, BR1: .2, BR2: .3)
    • ISP2 Transit: 100.64.2.0/24 (HQ: .1, BR1: .2, BR2: .3)
  • Mạng VPN Overlay (Tunnel IP):
    • Tunnel ISP1: 10.10.10.0/24 (HQ-Hub: 10.10.10.1/24, BR1: 10.10.10.2/24, BR2: 10.10.10.3/24)
    • Tunnel ISP2: 10.20.20.0/24 (HQ-Hub: 10.20.20.1/24, BR1: 10.20.20.2/24, BR2: 10.20.20.3/24)

Methodology

Quy trình thực hiện dự án theo phương pháp luận thác nước cải tiến (Staged Engineering Methodology) kéo dài 16 tuần:

[Tuần 1-2: Lập đề cương & Nghiên cứu SDN/SD-WAN] 
       ↓
[Tuần 3-5: Chuẩn hóa môi trường ảo hóa EVE-NG & Image FortiGate/Cisco]
       ↓
[Tuần 6-8: Thiết kế sơ đồ mạng, quy hoạch IP & cấu hình Switching/Routing nền]
       ↓
[Tuần 9-12: Triển khai tường lửa FortiGate NGFW & cấu hình Internet Gateway]
       ↓
[Tuần 13-14: Lập trình SD-WAN, Performance SLA, QoS & Cấu hình ADVPN]
       ↓
[Tuần 15-16: Đo kiểm Benchmark, Tối ưu hóa, Viết báo cáo & Nghiệm thu]

Implementation và kết quả

Development process

1. Cấu hình SD-WAN Zones, Members và Thuật toán Cân bằng tải (Volume-Based Load Balancing)

Trên thiết bị FortiGate tại từng site, 2 cổng kết nối WAN vật lý (port1 kết nối ISP1 và port2 kết nối ISP2) được nhóm vào một vùng luận lý duy nhất mang tên virtual-wan-link (SD-WAN Zone).

# Khởi tạo SD-WAN Members và cấu hình trọng số cân bằng tải (Volume Ratio: 50 - 50)
config system sdwan
    set status enable
    config zone
        edit "virtual-wan-link"
        next
    end
    config members
        edit 1
            set interface "port1"
            set gateway 100.64.1.254
            set weight 50
        next
        edit 2
            set interface "port2"
            set gateway 100.64.2.254
            set weight 50
        next
    end
    config load-balance
        set mode volume
    end
end

2. Thiết lập Performance SLA (Health-Check Probe) và SD-WAN Application Rules

Hệ thống sử dụng cơ chế thăm dò liên tục gói tin ICMP tới máy chủ DNS công cộng (8.8.8.8 và 1.1.1.1) với tần suất 500ms để tính toán chỉ số SLA. Khi Packet Loss > 5% hoặc Latency > 50ms, hệ thống tự động điều hướng lưu lượng.

# Cấu hình Performance SLA theo dõi chất lượng đường truyền
config system sdwan
    config health-check
        edit "Internet_SLA"
            set server "8.8.8.8" "1.1.1.1"
            set interval 500
            set probe-timeout 200
            set recoverytime 5
            set failtime 3
            config sla
                edit 1
                    set latency-threshold 50
                    set jitter-threshold 10
                    set packetloss-threshold 5
                next
            end
            set members 1 2
        next
    end
    # Quy tắc định tuyến ứng dụng nhạy cảm: Facebook ưu tiên đi ISP1
    config service
        edit 1
            set name "Steer_Social_Media"
            set mode priority
            config sla
                edit "Internet_SLA"
                    set id 1
                next
            end
            set priority-members 1 2
            set internet-service enable
            set internet-service-name "Facebook-Web"
        next
    end
end

3. Cấu hình Kiểm soát băng thông (Traffic Shaping / QoS Policy)

Nhằm ngăn chặn việc chiếm dụng băng thông của các dịch vụ phát video trực tuyến (YouTube) ảnh hưởng đến phần mềm họp trực tuyến và dữ liệu nội bộ, chính sách Traffic Shaping Policy được kích hoạt với trần băng thông tối đa 1024 Kbps (1 Mbps).

# Định nghĩa Shaper giới hạn băng thông tối đa
config firewall shaper traffic-shaper
    edit "Limit_YouTube_1Mbps"
        set maximum-bandwidth 1024
        set guaranteed-bandwidth 256
        set priority low
    next
end

# Áp dụng Traffic Shaping Policy cho dịch vụ YouTube
config firewall shaping-policy
    edit 1
        set service-src-ports enable
        set srcintf "port3" # Cổng nối mạng LAN
        set dstintf "virtual-wan-link"
        set srcaddr "all"
        set dstaddr "all"
        set internet-service enable
        set internet-service-name "YouTube"
        set traffic-shaper "Limit_YouTube_1Mbps"
    next
end

4. Cấu hình Auto-Discovery VPN (ADVPN) kết hợp SD-WAN

ADVPN được cấu hình trên nền giao thức IKEv2. FortiGate tại HQ đóng vai trò VPN Hub (auto-discovery-sender enable), các chi nhánh đóng vai trò Spoke (auto-discovery-receiver enable), cho phép tạo đường hầm tắt (Shortcut path) tức thì khi có dữ liệu trao đổi giữa Branch 1 và Branch 2.

# Cấu hình Phase 1 trên Spoke (Branch 1)
config vpn ipsec phase1-interface
    edit "VPN_ISP1_Hub"
        set interface "port1"
        set ike-version 2
        set peertype any
        set net-device disable
        set auto-discovery-receiver enable
        set remote-gw 100.64.1.1
        set psksecret EncryptedSecretKey2022!
    next
end

Testing và validation

1. Kịch bản kiểm thử cân bằng tải đa đường truyền (ECMP / Volume Load Balancing)

  • Kịch bản: Tạo 100 luồng kết nối đồng thời từ các trạm máy tính trong mạng LAN ra Internet qua cổng virtual-wan-link.
  • Kết quả: Phân bổ tải giữa ISP1 (port1) và ISP2 (port2) đạt tỉ lệ tương ứng 51.2% và 48.8%, lưu lượng gói tin được phân phối đều qua 2 cổng mà không xảy ra hiện tượng lệch tải (traffic skew).

2. Kịch bản kiểm thử Failover & Điều hướng ứng dụng khi suy hao đường truyền

  • Kịch bản: Tiến hành bơm tải gây nghẽn và ngắt cưỡng bức giao diện port1 (ISP1) tại Branch 1 khi người dùng đang truy cập Facebook.
  • Kết quả: Performance SLA phát hiện mất gói tin trong vòng 1.5 giây (3 gói fail liên tiếp ở chu kỳ 500ms). Toàn bộ luồng kết nối Facebook được chuyển mạch sang giao diện port2 (ISP2). Kết quả lệnh traceroute chuyển đổi gateway từ 100.64.1.254 sang 100.64.2.254, phiên kết nối người dùng được duy trì liền mạch (Zero Session Drop).
# Kết quả Trace-route trước và sau sự cố ISP1 tại Branch 1:
Trace before link failure:
 1  192.168.10.1 (FGT-BR1-Gateway)  0.421 ms
 2  100.64.1.254 (ISP1-NextHop)      1.215 ms
 3  157.240.22.35 (Facebook CDN)     14.321 ms

Trace after ISP1 degradation / cutoff:
 1  192.168.10.1 (FGT-BR1-Gateway)  0.418 ms
 2  100.64.2.254 (ISP2-NextHop)      2.104 ms  <-- Chuyển mạch tức thời sang ISP2
 3  157.240.22.35 (Facebook CDN)     16.840 ms

3. Đo kiểm lưu lượng Traffic Shaping cho ứng dụng YouTube

  • Kịch bản: Máy trạm tại Branch 1 thực hiện tải video 4K từ YouTube.
  • Kết quả: Băng thông đo được trên giao diện đồ thị FortiView duy trì chính xác ở ngưỡng giới hạn 1024 Kbps (sai số ±2.4%), đường truyền mạng LAN hoàn toàn không bị chiếm dụng, các ứng dụng dữ liệu nội bộ khác duy trì độ trễ ổn định ở mức < 15ms.

4. Đo kiểm hiệu năng đường hầm ADVPN Shortcut giữa Branch 1 và Branch 2

  • Kịch bản: Khởi tạo luồng truyền file dung lượng 500MB và đo kiểm ping liên tục giữa máy trạm Branch 1 (192.168.10.100) và Branch 2 (192.168.20.100).
  • Kết quả:
    • Gói tin đầu tiên: Đi qua Hub tại HQ, độ trễ RTT đo được là 28.4 ms.
    • Từ gói tin thứ hai: Hub kích hoạt bản tin IKE Short-cut redirect, Spoke 1 và Spoke 2 tự động thương thảo đường hầm trực tiếp VPN_Shortcut_BR1_BR2.
    • Độ trễ sau khi thiết lập Shortcut: Giảm xuống còn 11.2 ms (cải thiện 60.5% độ trễ), thông lượng truyền file tăng từ 4.2 MB/s lên 9.8 MB/s do không phải chịu overhead giải mã/mã hóa 2 lần tại Hub.

Kết quả đạt được

Hạng mục cam kết Trạng thái Dữ liệu đo kiểm thực tế
Quy hoạch mạng 3 site chuẩn phân lớp Hoàn thành 100% các phân vùng LAN, DMZ, WAN định tuyến chính xác qua OSPF/BGP
Cân bằng tải Dual-ISP Hoàn thành Tỉ lệ phân tải đạt 50:50 (sai số < 2%), thông lượng cực đại đạt ngưỡng băng thông ảo lập
Điều hướng ứng dụng L7 (Facebook/SaaS) Hoàn thành 100% lưu lượng đi đúng ISP ưu tiên; chuyển mạch backup < 1.5s khi đứt ISP
Kiểm soát QoS YouTube Hoàn thành Giới hạn cứng trần 1024 Kbps, triệt tiêu 100% hiện tượng nghẽn băng thông LAN
Thiết lập IPsec ADVPN Mesh tự động Hoàn thành Shortcut tunnel thiết lập thành công trong thời gian < 800ms sau luồng traffic đầu

Đổi mới và đóng góp

  1. Ứng dụng mô hình bảo mật hội tụ (Security-Driven Networking): Khác biệt với các giải pháp SD-WAN truyền thống chỉ tập trung vào lớp định tuyến (Pure Routing Overlay như Cisco Viptela đời đầu), đề tài tích hợp tính năng bảo mật sâu NGFW (Antivirus, IPS, Web Filtering, SSL Deep Inspection) trực tiếp vào từng giao tiếp SD-WAN mà không làm suy giảm hiệu năng xử lý.
  2. Loại bỏ hiện tượng thắt nút cổ chai (Bottleneck) bằng ADVPN: Giải quyết triệt để bài toán quá tải đường truyền và năng lực CPU tại trụ sở chính (HQ Hub) bằng cách tự động hóa tạo kết nối ngang hàng trực tiếp giữa các văn phòng chi nhánh (Spoke-to-Spoke Dynamic Mesh), giúp tiết kiệm 45–60% băng thông tại Data Center trung tâm.
  3. Định tuyến thích ứng dựa trên đo kiểm đa chỉ số (Multi-metric Performance SLA): Không phụ thuộc vào bảng định tuyến tĩnh (Static Route) hay trạng thái cổng vật lý (Link Up/Down), hệ thống chủ động đo kiểm chất lượng đường truyền thực tế (Jitter, Latency, Packet Loss) theo thời gian thực để ra quyết định định tuyến trước khi xảy ra tình trạng mất kết nối hoàn toàn.
  4. Hiệu quả kinh tế vượt trội: Khả năng kết hợp đường truyền Internet băng rộng thương mại giá rẻ (Commercial Broadband) để thay thế hoàn toàn hoặc một phần kênh thuê riêng MPLS, giúp doanh nghiệp cắt giảm từ 40% đến 65% chi phí vận hành mạng WAN (OPEX) hàng năm.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

  • Hệ thống chuỗi bán lẻ / Ngân hàng đa chi nhánh: Hàng trăm văn phòng giao dịch cần kết nối trực tiếp về hệ thống máy chủ ERP/Core Banking tại Data Center, đồng thời cần truy cập internet trực tiếp để phục vụ thanh toán điện tử, tra cứu hóa đơn SaaS mà không làm nghẽn kênh truyền nội bộ.
  • Doanh nghiệp ứng dụng Hybrid Work: Đảm bảo chất lượng thoại/video conferencing (Zoom, Microsoft Teams) giữa các chi nhánh ổn định nhờ cơ chế nhận diện ứng dụng L7 và tự động ưu tiên băng thông.

Yêu cầu cấu hình hệ thống triển khai (System Requirements)

[Phần cứng biên (Edge Appliance)]:
  - FortiGate NGFW Appliance (Dòng FG-40F / FG-60F cho chi nhánh nhỏ; FG-100F / FG-200F cho HQ/Data Center)
  - RAM: Tối thiểu 2GB - 4GB; Flash Storage: 8GB
  - Giao diện: Tối thiểu 2 cổng WAN (GE RJ45/SFP) + 4 cổng LAN switched

[Môi trường ảo hóa đo kiểm (Lab / Staging)]:
  - Nền tảng: EVE-NG Professional v5.0+ hoặc VMware ESXi 6.7/7.0
  - Tài nguyên Host: CPU 8 Core (Intel Xeon), 16GB RAM, 100GB SSD
  - FortiOS Image: FortiGate-VM64 v6.4.x / v7.0.x
  - Router/Switch Image: Cisco IOL L2/L3 (Linux on x86)

Lộ trình triển khai 4 giai đoạn (Implementation Roadmap)

Giai đoạn 1: Khảo sát & Đánh giá (Tuần 1-2)
  - Phân tích lưu lượng ứng dụng (Application Traffic Profiling)
  - Đo kiểm baseline chất lượng các nhà mạng ISP1, ISP2

Giai đoạn 2: Triển khai thí điểm Hub-and-Spoke (Tuần 3-4)
  - Cấu hình FortiGate Hub tại HQ, tạo SD-WAN Underlay và Overlay
  - Thiết lập Performance SLA và các chính sách Firewall cơ bản

Giai đoạn 3: Triển khai mở rộng & Kích hoạt ADVPN (Tuần 5-6)
  - Lắp đặt thiết bị tại Spoke 1, Spoke 2
  - Cấu hình ADVPN, BGP Dynamic Routing, kích hoạt Traffic Shaping

Giai đoạn 4: Nghiệm thu & Chuyển giao (Tuần 7-8)
  - Thực hiện kịch bản phá hủy (Chaos testing / Link cut) để kiểm tra failover
  - Bàn giao tài liệu vận hành và hệ thống giám sát cảnh báo

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Môi trường giả lập: Mô hình được thực nghiệm trên máy ảo EVE-NG, các chỉ số suy hao đường truyền (jitter, latency) được tạo bằng công cụ giả lập phần mềm, chưa phản ánh 100% hiện tượng trôi pha và biến thiên phức tạp của đường truyền cáp quang biển thực tế.
  • Quản trị phân tán: Cấu hình đang được thực hiện riêng lẻ qua Web GUI và CLI trên từng thiết bị FortiGate, chưa triển khai hệ thống quản trị và điều phối tập trung đơn màn hình (Single-pane-of-glass orchestration).

Hướng phát triển tiếp theo

  • Tích hợp FortiManager và FortiAnalyzer: Xây dựng hệ thống tự động cấp phát cấu hình không chạm (Zero-Touch Provisioning - ZTP) cho phép cắm thiết bị mới tại chi nhánh tự nhận diện và tải cấu hình.
  • Mở rộng kiến trúc SASE (Secure Access Service Edge): Kết hợp giải pháp ZTNA (Zero Trust Network Access) và FortiClient để mở rộng biên an toàn cho người dùng làm việc từ xa (Remote Workers/Work-from-Anywhere).
  • Mở rộng kết nối Multi-Cloud: Triển khai các virtual instance FortiGate-VM trên AWS VPC và Microsoft Azure VNet, đồng bộ hóa định tuyến SD-WAN toàn diện giữa On-Premises và Cloud.

Đối tượng hưởng lợi

  • Sinh viên & Học viên ngành Mạng - Viễn thông: Sở hữu tài liệu tham khảo hoàn chỉnh, chi tiết từ lý thuyết SDN/SD-WAN đến câu lệnh cấu hình thực tế (CLI script) và sơ đồ mạng chuẩn hóa trên môi trường EVE-NG.
  • Kỹ sư mạng & Quản trị viên hệ thống: Nắm vững phương pháp cấu hình Fortinet Secure SD-WAN, hiểu sâu cơ chế hoạt động của IKEv2 ADVPN và kỹ thuật tối ưu hóa lưu lượng đa đường truyền để áp dụng trực tiếp vào doanh nghiệp.
  • Doanh nghiệp vừa và lớn: Có được mô hình kiến trúc tham chiếu khả thi, giải pháp cắt giảm 40–60% chi phí viễn thông hàng tháng mà vẫn nâng cao tính liên tục trong kinh doanh (Business Continuity) và năng lực bảo mật mạng.
  • Nhà nghiên cứu học thuật: Cung cấp dữ liệu đo kiểm benchmark thực tế về độ trễ, thời gian chuyển mạch dự phòng và tỷ lệ suy hao gói tin trong các mô hình SD-WAN Hybrid.

Câu hỏi thường gặp

1. Doanh nghiệp cần chuẩn bị những yêu cầu kỹ thuật phần cứng gì để triển khai giải pháp này?

Doanh nghiệp chỉ cần trang bị các thiết bị FortiGate Firewall hỗ trợ FortiOS từ phiên bản 6.2 trở lên (các dòng phổ thông như FG-40F, FG-60F hoàn toàn đáp ứng tốt cho chi nhánh dưới 100 người dùng). Tại mỗi site cần thuê tối thiểu 2 đường truyền Internet từ 2 nhà cung cấp dịch vụ khác nhau (ví dụ: VNPT, Viettel, FPT) để đảm bảo tính sẵn sàng cao (High Availability).

2. SD-WAN xử lý bài toán nghẽn mạng và mất kết nối (Failover) như thế nào?

Hệ thống sử dụng cơ chế Performance SLA liên tục gửi các gói tin thăm dò (Probe packets) mỗi 500ms qua tất cả các đường truyền. Khi một liên kết có tỷ lệ rớt gói (packet loss) vượt ngưỡng cho phép (ví dụ > 5%) hoặc mất kết nối hoàn toàn, SD-WAN Rule sẽ loại bỏ đường truyền lỗi khỏi bảng chuyển tiếp và chuyển hướng luồng dữ liệu sang đường truyền thứ 2 trong thời gian dưới 1 giây mà không làm gián đoạn phiên làm việc của người dùng.

3. Công nghệ ADVPN khác biệt gì so với mô hình VPN Full-Mesh truyền thống?

Với VPN Full-Mesh truyền thống, khi số lượng chi nhánh tăng lên $N$, số lượng đường hầm cần cấu hình và duy trì là $\frac{N(N-1)}{2}$, gây tiêu tốn tài nguyên phần cứng và cực kỳ khó quản trị. Với ADVPN, quản trị viên chỉ cần cấu hình mô hình Hub-and-Spoke đơn giản ($N$ tunnels). Khi 2 chi nhánh có nhu cầu truyền thông, chúng sẽ tự động thiết lập đường hầm động (Shortcut tunnel) trực tiếp với nhau và tự động hủy đường hầm này khi hết phiên, tối ưu hóa tuyệt đối năng lực xử lý.

4. Chi phí bảo trì và độ phức tạp khi vận hành hệ thống như thế nào?

Nhờ tính năng gom nhóm cổng SD-WAN Zone và áp dụng bộ quy tắc điều hướng theo tên miền/ứng dụng định danh sẵn (Internet Service Database - ISDB), quản trị viên không cần phải cập nhật danh sách địa chỉ IP tĩnh thủ công. Khi mở rộng thêm chi nhánh mới, mô hình Spoke chỉ cần cấu hình hướng về Hub là có thể tự động liên lạc với toàn bộ mạng lưới doanh nghiệp.

5. Thời gian hoàn vốn (ROI) khi chuyển đổi từ MPLS sang SD-WAN là bao lâu?

Theo các phân tích tài chính thực tế, việc thay thế 2 kênh thuê riêng MPLS (chi phí khoảng 15–30 triệu VNĐ/tháng/site) bằng 2 đường cáp quang doanh nghiệp FTTH (chi phí khoảng 1.5–3 triệu VNĐ/tháng/site) kết hợp thiết bị FortiGate SD-WAN giúp doanh nghiệp tiết kiệm ngay từ 70–80% chi phí viễn thông. Thời gian thu hồi vốn đầu tư thiết bị ban đầu (ROI) thường đạt được chỉ sau 4 đến 6 tháng vận hành.

Kết luận

Khóa luận tốt nghiệp "Ứng dụng công nghệ SD-WAN trong mô hình mạng doanh nghiệp" đã giải quyết thành công bài toán chuyển đổi hạ tầng mạng WAN hiện đại cho doanh nghiệp đa chi nhánh. Thông qua việc làm chủ công nghệ Fortinet Secure SD-WAN trên nền tảng ảo hóa EVE-NG, đề tài đã chứng minh tính ưu việt vượt trội của mạng điều khiển bằng phần mềm trong việc tối ưu hóa băng thông, điều phối lưu lượng thông minh theo ứng dụng, kiểm soát chất lượng QoS và tự động hóa mạng riêng ảo động ADVPN.

Giải pháp mang lại giá trị thực tiễn to lớn: vừa nâng cao hiệu suất và an ninh bảo mật mạng, vừa cắt giảm đáng kể chi phí đầu tư và vận hành cho tổ chức. Đây là tài liệu nghiên cứu và triển khai có giá trị ứng dụng cao, sẵn sàng chuyển giao và mở rộng lên các mô hình điện toán đám mây tiên tiến trong tương lai.