Bối cảnh và vấn đề nghiên cứu

Trong xu hướng chuyển đổi số và phát triển dịch vụ đám mây, thông tin và hạ tầng truyền thông đóng vai trò cốt lõi trong hoạt động vận hành của các tổ chức kinh doanh. Các ứng dụng doanh nghiệp ngày càng dịch chuyển mạnh mẽ từ mô hình máy chủ cục bộ (on-premises) sang môi trường điện toán đám mây và nền tảng web. Mô hình mạng diện rộng truyền thống (WAN) theo kiến trúc hình sao (hub-and-spoke) dựa trên đường truyền chuyển mạch nhãn đa giao thức (MPLS) bộc lộ nhiều điểm nghẽn nghiêm trọng:

  • Chi phí thuê kênh truyền riêng hàng tháng rất cao nhưng băng thông lại bị hạn chế.
  • Toàn bộ lưu lượng truy cập Internet và ứng dụng web từ chi nhánh đều phải điều hướng về trung tâm dữ liệu hoặc trụ sở chính để kiểm tra an ninh mạng trước khi đi ra ngoài, gây trễ và lãng phí tài nguyên đường truyền.
  • Nhu cầu kết nối làm việc linh hoạt, phân tán sau tác động của đại dịch Covid-19 đòi hỏi hệ thống mạng phải quản trị tập trung, linh hoạt và đảm bảo khả năng mở rộng nhanh chóng.

Từ thực tiễn đó, công nghệ mạng diện rộng định nghĩa bằng phần mềm (SD-WAN - Software-Defined Wide Area Network) kết hợp các cơ chế bảo mật (Secure SD-WAN) được phát triển nhằm tối ưu hóa các liên kết mạng vật lý lai (Hybrid WAN), nâng cao chất lượng dịch vụ và giảm thiểu chi phí vận hành.

Khóa luận tốt nghiệp của tác giả Võ Thành Đạt và Đoàn Nhật Hào (ngành Mạng và An ninh Mạng, Trường Đại học Sư phạm Kỹ thuật TP. Hồ Chí Minh) xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể sau:

  1. Mục tiêu lý thuyết:
    • Nghiên cứu tổng quan kiến trúc mô hình mạng doanh nghiệp phân lớp và bảo mật.
    • Phân tích nguyên lý hoạt động, kiến trúc và ưu nhược điểm của công nghệ mạng định nghĩa bằng phần mềm (SDN).
    • Nghiên cứu cơ chế vận hành của công nghệ SD-WAN và giải pháp Secure SD-WAN của Fortinet.
  2. Nhiệm vụ thực hành:
    • Xây dựng mô hình mạng doanh nghiệp gồm 3 điểm kết nối (1 Trụ sở chính - HQ, 2 Chi nhánh - Branch1 và Branch2) trên môi trường giả lập EVE-NG.
    • Quy hoạch địa chỉ IP và định tuyến luồng dữ liệu nội bộ qua tường lửa FortiGate đóng vai trò làm cổng bảo mật (gateway) và biên mạng cho từng điểm kết nối.
    • Triển khai cân bằng tải truy cập Internet đa đường truyền (ISP1 và ISP2) bằng thuật toán phân chia theo dung lượng (Volume).
    • Thiết lập các quy tắc định tuyến thông minh (SD-WAN rules) để ưu tiên lưu lượng ứng dụng (Facebook) và áp dụng chính sách điều tiết băng thông (Traffic Shaping / QoS) đối với ứng dụng tiêu tốn băng thông (YouTube).
    • Cấu hình mạng riêng ảo động (ADVPN - Auto-Discovery VPN) kết hợp SD-WAN nhằm tạo đường hầm bảo mật giữa các chi nhánh với trụ sở chính và tự động thiết lập đường dẫn tắt (shortcut paths) truyền thông trực tiếp giữa các chi nhánh.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Công nghệ SD-WAN, các cơ chế kiểm soát chất lượng đường truyền, định tuyến thông minh và giải pháp tích hợp bảo mật Secure SD-WAN của hãng Fortinet.
  • Phạm vi nghiên cứu: Nghiên cứu kỹ thuật định tuyến, cân bằng tải, phân luồng ứng dụng và thiết lập đường hầm VPN; triển khai thử nghiệm thực nghiệm trên môi trường giả lập mạng chuyên dụng EVE-NG với hệ thống mạng giả định gồm 3 site doanh nghiệp kết nối qua 2 nhà cung cấp dịch vụ Internet (ISP).

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống giải pháp dựa trên các nền tảng lý thuyết mạng và an ninh mạng tiêu chuẩn:

  • Mô hình mạng doanh nghiệp bảo mật và phân lớp: Mô hình bảo mật 3 vùng phân tách độc lập qua tường lửa gồm vùng mạng nội bộ (LAN), vùng mạng trung lập (DMZ - chứa Web Server, Mail Server, FTP Server), vùng máy chủ dịch vụ (Server Farm - Database, DHCP, DNS, LDAP) và vùng mạng ngoài (Internet). Mô hình phân tầng mạng nội bộ áp dụng kiến trúc 3 lớp kinh điển: Lớp truy cập (Access Layer), Lớp phân phối (Distribution Layer) và Lớp lõi (Core Layer).
  • Kiến trúc mạng định nghĩa bằng phần mềm (SDN): Cơ chế phân tách mặt phẳng điều khiển (Control Plane) khỏi mặt phẳng dữ liệu (Data Plane). Kiến trúc gồm 3 lớp: Lớp ứng dụng (Application Layer), Lớp điều khiển (Control Layer) và Lớp cơ sở hạ tầng (Infrastructure Layer), tương tác qua các giao diện lập trình ứng dụng Northbound API và Southbound API (tiêu biểu như giao thức OpenFlow).
  • Giải pháp Fortinet Secure SD-WAN: Ứng dụng quy trình thiết kế 5 trụ cột (Five-pillar approach) gồm:
    • Underlay: Các đường truyền vật lý hoặc kết nối Internet công cộng (ISP1, ISP2).
    • Overlay: Hệ thống đường hầm IPsec VPN kết nối đa điểm dạng Hub-and-Spoke và ADVPN.
    • Routing: Định tuyến cơ sở kết hợp cân bằng tải đa đường chi phí bằng nhau (ECMP).
    • Security: Kiểm soát an ninh bằng các tính năng tường lửa thế hệ mới (NGFW).
    • SD-WAN Logic: Cấu trúc gồm SD-WAN Zones, SD-WAN Members, Performance SLAs (kiểm tra độ trễ, jitter, mất gói) và SD-WAN Rules (luật lựa chọn đường dẫn theo ứng dụng/dịch vụ).
Trụ cột thiết kế Nội dung triển khai trong mô hình
Underlay 02 đường kết nối Internet độc lập (ISP1 và ISP2) tại mỗi site
Overlay Đường hầm IPsec VPN động (ADVPN) tạo kết nối Hub-and-Spoke và Spoke-to-Spoke
Routing Định tuyến tĩnh và động kết hợp cân bằng tải ECMP qua các cổng thành viên SD-WAN
Security Chính sách tường lửa thế hệ mới (NGFW) trên thiết bị FortiGate tại mỗi gateway
SD-WAN Quản lý SD-WAN zones, Performance SLA giám sát liên kết và SD-WAN rules điều hướng ứng dụng

Phương pháp nghiên cứu:

  • Phương pháp nghiên cứu lý thuyết: Phân tích, tổng hợp tài liệu chuyên ngành về SDN, SD-WAN, giao thức mạng và tài liệu kỹ thuật chính thức từ Fortinet, Cisco và Gartner.
  • Phương pháp thực nghiệm - mô phỏng: Cài đặt và cấu hình hệ thống trên nền tảng ảo hóa mạng EVE-NG (Emulated Virtual Environment - Next Generation). Hệ thống tích hợp các hình ảnh ảo hóa gồm tường lửa FortiOS (FortiGate), Cisco IOL (IOS on Linux), máy chủ Windows Server và máy trạm Windows PC.
  • Nguồn dữ liệu: Dữ liệu kiểm thử thu thập trực tiếp từ các bài đo kiểm luồng lưu lượng (traffic capture), bảng định tuyến, nhật ký sự kiện và công cụ dò tìm đường đi gói tin (tracert) trên môi trường lab thực nghiệm.

Thiết kế và triển khai hệ thống mạng SD-WAN

Hệ thống mạng doanh nghiệp được thiết kế theo cấu trúc phân tán gồm 3 địa điểm vật lý, kết nối thông qua 2 nhà mạng ISP1 và ISP2:

[Chi nhánh 1 (Branch1)] <== ISP1 / ISP2 ==> [Trụ sở chính (HQ)] <== ISP1 / ISP2 ==> [Chi nhánh 2 (Branch2)]
           ^                                                                                     ^
           \==================== Shortcut ADVPN (Spoke-to-Spoke) ===============================/
  • Quy hoạch mạng tại các phân vùng:
    • Trụ sở chính (HQ): Đóng vai trò VPN Hub trung tâm (gồm VPN-Hub1 qua ISP1 và VPN-Hub2 qua ISP2), tiếp nhận kết nối từ các chi nhánh và quản lý các phân đoạn mạng nội bộ.
    • Chi nhánh 1 (Branch1) và Chi nhánh 2 (Branch2): Đóng vai trò VPN Spokes (Spoke1 kết nối về Hub1 qua ISP1, Spoke2 kết nối về Hub2 qua ISP2), đồng thời duy trì kết nối Internet cục bộ (Direct Internet Access).
    • Gateway an ninh: Mỗi site đặt một tường lửa ảo FortiGate làm Default Gateway và thiết bị biên quản lý kết nối WAN.
Vùng mạng / Điểm kết nối Phân đoạn mạng & Chức năng Cổng kết nối & Giao tiếp
Trụ sở chính (HQ) Mạng LAN nội bộ, Phân vùng dịch vụ Server, Gateway kết nối 2 ISP Port LAN, Port WAN1 (ISP1), Port WAN2 (ISP2), Hub1 VPN, Hub2 VPN
Chi nhánh 1 (Branch1) Mạng LAN người dùng chi nhánh 1, Gateway FortiGate Port LAN, Port WAN1 (ISP1), Port WAN2 (ISP2), Spoke1 VPN, Spoke2 VPN
Chi nhánh 2 (Branch2) Mạng LAN người dùng chi nhánh 2, Gateway FortiGate Port LAN, Port WAN1 (ISP1), Port WAN2 (ISP2), Spoke1 VPN, Spoke2 VPN
Môi trường kết nối WAN Hạ tầng mạng công cộng mô phỏng 02 nhà cung cấp dịch vụ Internet độc lập ISP1 (đường truyền chính), ISP2 (đường truyền dự phòng/chia tải)
  • Triển khai các tính năng SD-WAN và an ninh mạng:
    1. Cân bằng tải ra Internet (Volume-based Load Balancing): Gộp các cổng kết nối WAN vào SD-WAN zone và thiết lập thuật toán phân chia lưu lượng theo tỷ lệ dung lượng truyền tải qua 2 đường truyền ISP1 và ISP2.
    2. Định tuyến ứng dụng thông minh (Application-based SD-WAN Rules): Tạo quy tắc nhận diện ứng dụng Facebook; mặc định lưu lượng truy cập Facebook đi qua đường truyền ISP1. Khi ngắt kết nối ISP1 hoặc chất lượng suy giảm, hệ thống tự động chuyển hướng luồng dữ liệu sang ISP2 mà không làm gián đoạn phiên làm việc.
    3. Quản trị chất lượng dịch vụ (QoS & Traffic Shaping): Thiết lập chính sách Traffic Shaping Policy trên tường lửa FortiGate nhằm giới hạn băng thông tiêu thụ khi người dùng trong mạng nội bộ truy cập ứng dụng YouTube.
    4. Định tuyến liên chi nhánh qua ADVPN: Xây dựng cấu trúc đường hầm IPsec Hub-and-Spoke trên cả 2 đường ISP. Khi dữ liệu truyền thông giữa Branch1 và Branch2 phát sinh, cơ chế ADVPN tự động kích hoạt tạo đường dẫn trực tiếp (Shortcut Path) giữa 2 Spoke qua ISP1, tránh việc dữ liệu phải truyền vòng qua Hub tại HQ.

Nội dung chính theo từng chương

Phần Mở đầu

Trình bày tính cấp thiết của đề tài xuất phát từ sự hạn chế của mạng WAN truyền thống và ưu thế của SD-WAN trong bối cảnh các ứng dụng chuyển dịch lên đám mây. Xác định mục tiêu nghiên cứu, nhiệm vụ lý thuyết, nhiệm vụ thực hành, đối tượng và phạm vi nghiên cứu, cùng bảng kết quả dự kiến đạt được và kế hoạch thực hiện đề tài gồm 16 tuần.

Chương 1: Mô hình mạng doanh nghiệp

Nội dung chương tập trung làm rõ hai mô hình nền tảng trong thiết kế hạ tầng mạng:

  • Mô hình mạng bảo mật: Phân tích chi tiết vai trò của 4 phân vùng chức năng gồm Vùng mạng nội bộ (LAN), Vùng mạng trung lập (DMZ), Vùng máy chủ (Server Farm) và Vùng mạng Internet. Tường lửa đóng vai trò chốt chặn kiểm soát toàn bộ luồng thông tin ra vào giữa các vùng nhằm ngăn ngừa tấn công trái phép.
  • Mô hình mạng phân lớp: Trình bày kiến trúc 3 tầng truyền thống gồm Lớp lõi (Core Layer - chuyển mạch tốc độ cao ra WAN), Lớp phân phối (Distribution Layer - định tuyến và kiểm soát chính sách) và Lớp truy cập (Access Layer - kết nối thiết bị đầu cuối của người dùng). Đánh giá ưu điểm về tính sẵn sàng, an ninh và khả năng mở rộng của mô hình, đồng thời chỉ ra giới hạn đáp ứng băng thông khi quy mô trung tâm dữ liệu tăng cao.

Chương 2: Software-Defined Networking (SDN)

Chương 2 cung cấp cơ sở lý luận về mạng định nghĩa bằng phần mềm:

  • Tổng quan và kiến trúc: Phân tích mô hình 3 lớp của SDN (Lớp ứng dụng, Lớp điều khiển với bộ điều khiển tập trung Controller, Lớp cơ sở hạ tầng với các thiết bị chuyển mạch) cùng cơ chế giao tiếp qua Northbound/Southbound API.
  • Cách thức hoạt động: Trình bày cơ chế phân tách giữa Control Plane (ra quyết định định tuyến) và Data Plane (chuyển tiếp gói tin); phân tích cơ chế định tuyến thích ứng (adaptive/dynamic routing) dựa trên sự chỉ đạo từ Controller thay vì các thuật toán phân tán trên từng router truyền thống.
  • Ưu và nhược điểm: Nêu bật các lợi thế về khả năng lập trình mạng linh hoạt, hiển thị bức tranh toàn cảnh (end-to-end visibility), quản trị chính sách tập trung và giảm thiểu chi phí phần cứng chuyên dụng. Phân tích các nhược điểm và thách thức gồm: rủi ro an ninh mạng khi bộ điều khiển tập trung bị tấn công, sự thiếu đồng nhất về tiêu chuẩn công nghệ giữa các hãng sản xuất và rào cản chi phí đầu tư ban đầu.

Chương 3: SD-WAN và giải pháp Secure SD-WAN của Fortinet

Tổng hợp các vấn đề chuyên sâu về công nghệ mạng diện rộng định nghĩa bằng phần mềm:

  • Khái niệm và đặc điểm: Trình bày định nghĩa SD-WAN, khả năng ảo hóa lớp mạng phủ (overlay) trên các đường truyền vật lý (underlay). Nêu 4 đặc điểm bắt buộc của SD-WAN theo định nghĩa của Gartner: hỗ trợ đa dạng kết nối, lựa chọn đường dẫn động, giao diện quản lý trực quan và hỗ trợ dịch vụ mạng/an ninh tích hợp.
  • Giải pháp Secure SD-WAN của Fortinet: Phân tích kiến trúc 3 lớp giải pháp: Quản lý & điều phối (FortiManager, FortiAnalyzer), Kiểm soát/bình diện dữ liệu/bảo mật (FortiGate) và Truy cập mạng (FortiSwitch, FortiAP). Trình bày phương pháp thiết kế Five-pillar (Underlay, Overlay, Routing, Security, SD-WAN) và 4 thành phần logic (SD-WAN Zones, Members, Performance SLAs, SD-WAN Rules).
  • So sánh SD-WAN với MPLS: Đối chiếu chi tiết về mặt kỹ thuật, chi phí, tính linh hoạt và khả năng kiểm soát chất lượng dịch vụ giữa việc sử dụng kênh thuê riêng MPLS và giải pháp SD-WAN đa đường truyền.
  • Các tính năng và hạn chế của SD-WAN: Phân tích 10 tính năng cốt lõi (triển khai không chạm Zero-touch provisioning, tối ưu băng thông, độ tin cậy cao, bảo mật thế hệ mới NGFW, truy cập đám mây trực tiếp...) cùng các hạn chế liên quan đến độ phức tạp khi tự triển khai (DIY) và rủi ro an ninh khi mở rộng điểm tiếp xúc trực tiếp với Internet.

Chương 4: Ứng dụng SD-WAN trong mô hình mạng doanh nghiệp

Nội dung thực nghiệm cốt lõi của khóa luận gồm hai phần:

  • Phân tích và thiết kế hệ thống: Thiết lập sơ đồ không gian mạng mô phỏng gồm Trụ sở chính (HQ) và 2 chi nhánh (Branch1, Branch2). Xây dựng bảng quy hoạch địa chỉ IP chi tiết cho từng phân vùng mạng nội bộ, mạng biên và các cổng WAN kết nối tới 2 ISP.
  • Triển khai và đánh giá tính năng:
    • Cấu hình FortiGate làm cổng chuyển mạch và tường lửa bảo vệ cho từng điểm mạng.
    • Cấu hình cân bằng tải Internet đa đường truyền theo thuật toán Volume trên cả 3 site, kiểm tra phân bổ luồng dữ liệu thực tế.
    • Cấu hình quy tắc SD-WAN rules điều hướng dịch vụ Facebook qua ISP1, thực hiện kiểm thử ngắt kết nối vật lý trên ISP1 để kiểm chứng khả năng tự động chuyển đổi dự phòng (failover) sang ISP2.
    • Cấu hình Traffic Shaping Policy để kiểm soát và giới hạn băng thông truy cập ứng dụng YouTube.
    • Triển khai giải pháp VPN bảo mật: cấu hình Hub1, Hub2 trên HQ; cấu hình Spoke1, Spoke2 trên Branch1 và Branch2; gộp các đường hầm VPN vào SD-WAN zone và cấu hình quy tắc ưu tiên luồng dữ liệu về HQ qua ISP1; kích hoạt tính năng ADVPN và kiểm chứng việc tự động sinh đường dẫn tắt (Shortcut paths) trực tiếp giữa Branch1 và Branch2 qua kết quả lệnh tracert.

Phần Kết luận

Đánh giá tổng kết các kết quả đạt được về mặt nắm vững kiến trúc công nghệ và hoàn thiện hệ thống mô phỏng thực tế. Thẳng thắn chỉ ra các nhược điểm của mô hình và đề xuất các hướng phát triển hoàn thiện trong tương lai.

Kết quả và đóng góp

Khóa luận đã hoàn thành đầy đủ các mục tiêu đề ra, đem lại các kết quả thực nghiệm và giá trị kỹ thuật cụ thể:

  • Kết quả thực nghiệm trên mô hình mạng:
    • Thiết lập thành công mô hình mạng 3 site doanh nghiệp hoàn chỉnh trên nền tảng giả lập EVE-NG, đảm bảo tính cô lập và an toàn cho các phân vùng mạng nội bộ.
    • Vận hành thành công cơ chế cân bằng tải Internet theo thuật toán Volume trên tường lửa FortiGate, cho phép khai thác đồng thời cả 2 liên kết ISP1 và ISP2, nâng cao hiệu suất sử dụng băng thông.
    • Kiểm chứng thành công tính năng điều hướng luồng dữ liệu ứng dụng (SD-WAN rules): ứng dụng Facebook được định tuyến chính xác qua ISP1 và tự động chuyển đổi sang ISP2 khi xảy ra sự cố mất gói trên đường truyền chính.
    • Triển khai chính xác chính sách điều tiết lưu lượng (Traffic Shaping Policy), giới hạn hiệu quả mức băng thông tiêu thụ của ứng dụng YouTube từ các máy trạm chi nhánh.
    • Cấu hình hoàn chỉnh hệ thống mạng riêng ảo ADVPN kết hợp SD-WAN: luồng dữ liệu từ chi nhánh về trụ sở chính ưu tiên đi qua IPsec tunnel trên ISP1; đồng thời khi phát sinh truyền thông giữa Branch1 và Branch2, hệ thống tự động thiết lập đường dẫn tắt (shortcut paths), tối ưu hóa đường đi và giảm tải tài nguyên xử lý cho trụ sở chính (HQ).
Tính năng kỹ thuật Phương thức triển khai Kết quả kiểm thử thực tế
Cân bằng tải WAN SD-WAN Interface, thuật toán chia theo Volume Lưu lượng ra Internet được phân bổ đều qua cả 2 cổng ISP1 và ISP2
Định hướng ứng dụng SD-WAN Rule nhận diện Facebook qua ISP1 Traffic đi qua ISP1; tự động failover sang ISP2 khi ngắt kết nối ISP1
Kiểm soát băng thông Traffic Shaping Policy áp dụng cho YouTube Băng thông truy cập YouTube bị giới hạn theo đúng mức ngưỡng cấu hình
VPN kết hợp SD-WAN ADVPN Hub-Spoke trên 2 ISP, SD-WAN Rule ưu tiên ISP1 Dữ liệu về HQ đi qua VPN ISP1; Spoke-to-Spoke tự sinh Shortcut path
  • Đóng góp của đề tài:
    • Cung cấp tài liệu tổng hợp hệ thống hóa về lý thuyết SDN, SD-WAN và phương pháp thiết kế Five-pillar của giải pháp Fortinet Secure SD-WAN.
    • Xây dựng một kịch bản lab thực hành mẫu trên môi trường ảo hóa EVE-NG, kết hợp đầy đủ giữa định tuyến SD-WAN nâng cao, cân bằng tải đa đường truyền, quản trị QoS theo ứng dụng và triển khai mạng riêng ảo động ADVPN.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận chỉ ra một số hạn chế nội tại và định hướng mở rộng nghiên cứu:

Hạn chế:

  • Hệ thống mới được triển khai và đánh giá trên môi trường giả lập ảo hóa EVE-NG, chưa được thử nghiệm trên các thiết bị phần cứng chuyên dụng thực tế trong môi trường doanh nghiệp quy mô lớn.
  • Mô hình SD-WAN thuộc dạng tự triển khai (DIY) trên từng thiết bị FortiGate riêng lẻ, chưa tích hợp các máy chủ quản trị và phân tích tập trung chuyên dụng như FortiManager và FortiAnalyzer.
  • Chưa triển khai đầy đủ các cấu hình bảo mật nâng cao của tường lửa thế hệ mới (NGFW) như kiểm tra sâu gói tin mã hóa (SSL Inspection), hệ thống phòng chống xâm nhập (IPS) hay kiểm soát truy cập theo định danh người dùng.

Hướng phát triển:

  • Mở rộng quy mô mạng và tích hợp các thành phần quản trị tập trung FortiManager (quản lý cấu hình mẫu, triển khai Zero-touch) và FortiAnalyzer (thu thập nhật ký, phân tích và báo cáo an ninh mạng tập trung).
  • Phát triển mô hình mạng chi nhánh toàn diện (SD-Branch) thông qua việc tích hợp thiết bị chuyển mạch FortiSwitch và điểm truy cập không dây FortiAP.
  • Nghiên cứu và mở rộng giải pháp SD-WAN đa đám mây (Multi-Cloud SD-WAN), kết nối trực tiếp các site doanh nghiệp với các nền tảng điện toán đám mây công cộng (AWS, Microsoft Azure, Google Cloud).
  • Triển khai thử nghiệm các chính sách an ninh mạng chuyên sâu gồm Web Filtering, IPS, Antivirus và SSL Deep Inspection trên toàn bộ luồng lưu lượng SD-WAN.

Giá trị tham khảo

Báo cáo khóa luận là tài liệu tham khảo hữu ích cho các đối tượng và mục đích sau:

  • Sinh viên ngành Mạng máy tính, An ninh mạng và Công nghệ thông tin: Tài liệu cung cấp kiến thức nền tảng và phương pháp luận rõ ràng về kiến trúc mạng doanh nghiệp, cơ chế hoạt động của SDN và công nghệ SD-WAN.
  • Kỹ sư mạng và quản trị viên hệ thống: Tham khảo quy trình thiết kế, sơ đồ kết nối và từng bước cấu hình thực tế các tính năng FortiGate Secure SD-WAN (cân bằng tải, điều hướng ứng dụng, Traffic Shaping, ADVPN).
  • Phần nội dung có giá trị tham khảo cao nhất: Chương 3 (phân tích chi tiết 5 trụ cột thiết kế SD-WAN và các thành phần giải pháp của Fortinet) và Chương 4 (hướng dẫn chi tiết cấu hình thực nghiệm trên EVE-NG và kết quả kiểm thử luồng lưu lượng).

Câu hỏi thường gặp

1. Đề tài sử dụng giải pháp SD-WAN của nhà cung cấp nào và được triển khai trên nền tảng giả lập gì?
Khóa luận sử dụng giải pháp Secure SD-WAN tích hợp trên hệ điều hành FortiOS của hãng Fortinet, được triển khai và kiểm thử thực nghiệm trên nền tảng giả lập mạng ảo hóa EVE-NG kết hợp hình ảnh thiết bị FortiGate, Cisco IOL, Windows Server và Windows PC.

2. Thuật toán nào được sử dụng để cân bằng tải lưu lượng truy cập Internet qua 2 đường truyền ISP?
Đề tài sử dụng thuật toán cân bằng tải phân chia theo dung lượng (Volume-based load balancing) trên giao diện SD-WAN của FortiGate để chia sẻ lưu lượng dữ liệu ra Internet qua cả 2 liên kết ISP1 và ISP2.

3. Cơ chế xử lý của hệ thống như thế nào khi lưu lượng truy cập ứng dụng Facebook gặp sự cố trên đường truyền chính ISP1?
Thông qua quy tắc SD-WAN rule, lưu lượng Facebook được cấu hình ưu tiên đi qua ISP1. Khi đường truyền ISP1 bị ngắt kết nối vật lý hoặc suy giảm chất lượng, hệ thống tự động phát hiện và chuyển hướng luồng dữ liệu sang đường truyền dự phòng ISP2 mà không làm gián đoạn kết nối của người dùng.

4. Tính năng ADVPN trong mô hình mang lại lợi ích gì cho việc truyền thông giữa các chi nhánh?
ADVPN (Auto-Discovery VPN) cho phép các chi nhánh (Branch1 và Branch2) tự động thiết lập đường dẫn tắt (shortcut path) kết nối trực tiếp với nhau thông qua mạng IPsec overlay trên đường ISP1 khi có lưu lượng trao đổi, giúp dữ liệu không cần phải đi vòng qua thiết bị Hub trung tâm tại trụ sở chính (HQ), giảm thiểu độ trễ và tiết kiệm băng thông cho HQ.

Kết luận

Khóa luận tốt nghiệp của tác giả Võ Thành Đạt và Đoàn Nhật Hào đã nghiên cứu toàn diện cơ sở lý thuyết về mạng định nghĩa bằng phần mềm (SDN) và công nghệ Secure SD-WAN của Fortinet. Nhóm tác giả đã thiết kế và triển khai thành công mô hình mạng doanh nghiệp 3 site trên môi trường giả lập EVE-NG với đầy đủ các tính năng cân bằng tải đa đường truyền, định tuyến ứng dụng thông minh, kiểm soát băng thông và mạng riêng ảo động ADVPN. Đề tài cung cấp tài liệu tham khảo có giá trị thực tiễn cao cho sinh viên và kỹ sư trong quá trình tiếp cận và triển khai giải pháp chuyển đổi hạ tầng mạng diện rộng hiện đại.