Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và xu hướng làm việc từ xa (Remote Work) phát triển bùng nổ, nhu cầu kết nối dữ liệu an toàn, liên tục giữa các chi nhánh phân tán và người dùng di động trở thành bài toán sống còn đối với các tổ chức, doanh nghiệp. Theo các khảo sát hạ tầng mạng doanh nghiệp, chi phí thuê kênh truyền riêng (Leased-Line) từ ISDN (128 Kbps) đến đường cáp quang OC3 (155 Mbps) chiếm tới 35–50% ngân sách vận hành công nghệ thông tin định kỳ. Mặc dù Leased-Line mang lại độ tin cậy và băng thông độc quyền cao, tính linh hoạt và khả năng mở rộng quy mô của giải pháp này rất hạn chế, đặc biệt khi doanh nghiệp cần thiết lập điểm kết nối mới tức thì hoặc hỗ trợ nhân sự làm việc lưu động.

Vấn đề cốt lõi đặt ra là làm thế nào để xây dựng một hệ thống truyền thông bảo mật tuyệt đối trên nền tảng hạ tầng Internet công cộng với chi phí tối ưu, đảm bảo ba trụ cột an toàn thông tin CIA: Tính bảo mật (Confidentiality), Tính toàn vẹn (Data Integrity) và Xác thực nguồn gốc (Origin Authentication).

Mục tiêu cụ thể của đồ án bao gồm:

  1. Nghiên cứu toàn diện cơ sở lý thuyết và nguyên lý hoạt động của các giao thức đường hầm (Tunneling Protocols): PPTP, L2F, L2TP, GRE và bộ giao thức bảo mật IPSec (IP Security).
  2. Phân tích chi tiết quy trình xử lý gói tin, cơ chế thương lượng khóa IKE (Internet Key Exchange), thiết lập liên kết an toàn SA (Security Association) và cấu trúc dữ liệu trong các cơ sở dữ liệu SAD/SPD.
  3. Thiết kế mô hình kiến trúc và triển khai thực nghiệm hệ thống mạng riêng ảo đa giao thức sử dụng phần mềm nguồn mở SoftEther VPN Server trên nền tảng hệ điều hành CentOS Linux.
  4. Cấu hình các cơ chế định tuyến, tường lửa (Firewall/iptables), chuyển dịch địa chỉ mạng (NAT), Virtual DHCP và đo lường hiệu năng kết nối thực tế.

Giải pháp lựa chọn là triển khai hệ thống SoftEther VPN trên hệ điều hành CentOS. SoftEther VPN là một phần mềm VPN đa giao thức mạnh mẽ, hỗ trợ đồng thời SoftEther VPN Protocol (Ethernet over HTTPS), L2TP/IPSec, OpenVPN, MS-SSTP và PPTP. Giải pháp này giúp cắt giảm 60–80% chi phí truy cập từ xa và 20–30% chi phí kết nối mạng cục bộ giữa các chi nhánh (LAN-to-LAN) so với hạ tầng truyền thống, đồng thời đảm bảo khả năng tích hợp linh hoạt với mọi thiết bị đầu cuối.

Phạm vi của đồ án tập trung vào việc nghiên cứu cơ chế đóng gói giao thức lớp 2/lớp 3, triển khai máy chủ SoftEther VPN trên CentOS 7/8, thiết lập đường hầm Remote Access VPN và Site-to-Site VPN, cấu hình công cụ quản trị SE-VPN Server Manager và SoftEther VPN Client trên môi trường lab mô phỏng thực tế.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi thiết kế hệ thống, việc so sánh các phương án kết nối hiện có trên thị trường là điều kiện tiên quyết để xác định giải pháp tối ưu về kỹ thuật và kinh tế.

Tiêu chí Đường truyền riêng (Leased-Line) OpenVPN truyền thống Phần cứng VPN chuyên dụng (Cisco/Fortinet) SoftEther VPN trên Linux (Đề xuất)
Chi phí đầu tư ban đầu Rất cao (Kéo cáp, thiết bị đầu cuối) Thấp (Mã nguồn mở) Rất cao (Bản quyền phần cứng + phần mềm) Tối ưu (Sử dụng máy chủ tiêu chuẩn)
Chi phí duy trì hàng tháng Cực cao (Tính theo băng thông kênh riêng) Thấp (Tận dụng Internet sẵn có) Trung bình - Cao (Phí bảo trì, License) Rất thấp (Chỉ duy trì đường truyền Internet)
Bảo mật & Mã hóa Cách ly vật lý, không mã hóa mặc định SSL/TLS, AES-256 IPSec/SSL độc quyền Đa giao thức: AES-256, RSA-4096, IPSec, SSL-VPN
Hiệu năng & Băng thông Cố định (ISDN đến OC3) Trung bình (Bị giới hạn bởi kiến trúc đơn luồng) Rất cao (Xử lý bằng chip ASIC chuyên dụng) Rất cao (Tối ưu hóa đa luồng, Ethernet over HTTPS)
Khả năng xuyên tường lửa/NAT Không áp dụng Khá tốt (TCP/UDP tùy chỉnh) Trung bình (Yêu cầu mở port chuyên dụng) Xuất sắc (Bypass NAT/Firewall mạnh mẽ qua port 443)
Tính đa nền tảng Giới hạn thiết bị phần cứng Cần cài đặt Client riêng Giới hạn theo hệ sinh thái nhà cung cấp Tương thích Windows, Linux, macOS, iOS, Android

Yêu cầu người dùng được phân loại theo mô hình MoSCoW:

  • Must-have (Bắt buộc): Hỗ trợ mã hóa tối thiểu AES-128/256-bit; xác thực người dùng qua PAP/CHAP/MS-CHAPv2; tính năng Virtual NAT và Virtual DHCP nội bộ; vượt tường lửa doanh nghiệp.
  • Should-have (Cần có): Giao diện quản trị đồ họa từ xa (SE-VPN Server Manager Tools); hỗ trợ đồng thời L2TP/IPSec cho thiết bị di động không cần cài đặt phần mềm bên thứ ba.
  • Could-have (Có thể có): Tính năng phân cụm máy chủ (Clustering) để cân bằng tải và chịu lỗi; tích hợp xác thực ngoài RADIUS.
  • Won't-have (Chưa thực hiện): Chứng thực sinh trắc học tích hợp sâu hoặc xác thực đa yếu tố nâng cao (FIDO2) trong phạm vi phiên bản thử nghiệm này.

Các thách thức kỹ thuật bao gồm việc xử lý tiêu đề gói tin (Protocol Overhead) khi đóng gói lặp nhiều tầng (IP/UDP/IPSec/L2TP/PPP) làm tăng kích thước MTU/MSS, dẫn đến hiện tượng phân mảnh gói tin (Packet Fragmentation) và giảm thông lượng trên các liên kết Internet băng thông thấp.

Thiết kế hệ thống

Kiến trúc hệ thống VPN SoftEther trên CentOS bao gồm các thành phần:

  1. CentOS VPN Gateway: Đóng vai trò máy chủ tiếp nhận kết nối, thực thi Virtual Hub, định tuyến Virtual NAT và cấp phát địa chỉ IP qua Virtual DHCP.
  2. Virtual Hub: Chuyển mạch Ethernet ảo lớp 2 bên trong máy chủ SoftEther, liên kết các phiên kết nối VPN từ xa vào cùng một không gian quảng bá (Broadcast Domain).
  3. Local Bridge / SecureNAT: Cầu nối giữa Virtual Hub và card mạng vật lý (Physical NIC) của máy chủ CentOS hoặc sử dụng engine SecureNAT độc lập.
  4. Remote Clients: Máy trạm bên ngoài kết nối qua SoftEther VPN Client hoặc Native L2TP/IPSec client tích hợp trên hệ điều hành.
[ Remote Client ] (PC / Smartphone)
       │ (L2TP/IPSec: UDP 500, 4500, 1701 / SoftEther: TCP 443, 1194, 5555)
       ▼
 [ Public Internet ]
       │
┌──────▼────────────────────────────────────────────────────────┐
│ CentOS Linux Server (Kernel 3.10+ / Firewalld & Iptables)     │
│                                                               │
│  ┌─────────────────────────────────────────────────────────┐  │
│  │ SoftEther VPN Server Process                            │  │
│  │                                                         │  │
│  │  ┌───────────────┐      ┌────────────────────────────┐  │  │
│  │  │ Multi-Protocol│      │ Virtual Hub (Virtual L2)   │  │  │
│  │  │ Listener Engine◄────►│ - MAC Address Table        │  │  │
│  │  │ (IPSec/SSL/etc│      │ - User & Security Policies │  │  │
│  │  └───────────────┘      └─────────────┬──────────────┘  │  │
│  │                                       │                 │  │
│  │                         ┌─────────────▼──────────────┐  │  │
│  │                         │ SecureNAT / Virtual DHCP   │  │  │
│  │                         │ (192.168.30.1/24)          │  │  │
│  │                         └─────────────┬──────────────┘  │  │
│  └───────────────────────────────────────┼─────────────────┘  │
│                                          │                    │
│  ┌───────────────────────────────────────▼─────────────────┐  │
│  │ Linux Kernel IP Forwarding & iptables NAT (MASQUERADE)  │  │
│  └───────────────────────────────────────┬─────────────────┘  │
└──────────────────────────────────────────┼────────────────────┘
                                           │ (Internal Traffic)
                                           ▼
                                 [ Corporate LAN / Subnet ]

Về cơ chế an ninh, hệ thống áp dụng giao thức trao đổi khóa IKE pha 1 (Main Mode) với 6 bước thông điệp sử dụng cổng UDP 500 để thỏa thuận thông số mã hóa (AES-CBC, 3DES), hàm băm (SHA1/SHA256), nhóm Diffie-Hellman (Group 2/14) và thời gian sống của SA (Life Time). Tiếp đó, IKE pha 2 (Quick Mode) thiết lập các kênh bảo vệ dữ liệu với giao thức ESP (Encapsulating Security Payload, IP protocol 50) cung cấp đồng thời tính toàn vẹn và mã hóa toàn bộ tải tin. Dữ liệu liên kết an toàn được lưu trữ trong Cơ sở dữ liệu liên kết an toàn SAD (Security Association Database) và Cơ sở dữ liệu chính sách an toàn SPD (Security Policy Database), được định danh duy nhất thông qua bộ ba: Chỉ số tham số an toàn SPI (Security Parameter Index), địa chỉ IP đích và giao thức bảo mật.

Methodology

Đồ án áp dụng phương pháp nghiên cứu thực nghiệm kết hợp đối chuẩn kỹ thuật (Benchmarking):

  • Giai đoạn 1 (Tuần 1–3): Khảo sát lý thuyết về mô hình OSI, cơ chế đóng gói PPP, GRE, PPTP, L2F, L2TP và cấu trúc kiến trúc IPSec.
  • Giai đoạn 2 (Tuần 4–7): Xây dựng môi trường máy ảo trên VMware Workstation/KVM, cài đặt hệ điều hành CentOS Linux, biên dịch và cấu hình gói dịch vụ SoftEther VPN Server phiên bản v4.x.
  • Giai đoạn 3 (Tuần 8–11): Cấu hình phân quyền người dùng, thiết lập chính sách bảo mật, mở cổng tường lửa hệ thống (Firewall/iptables), kích hoạt cơ chế định tuyến IP Forwarding và kiểm thử kết nối từ các môi trường mạng ngoại vi.
  • Giai đoạn 4 (Tuần 12–14): Đánh giá hiệu năng hệ thống (Thông lượng Throughput, độ trễ RTT, mức sử dụng CPU/RAM), phân tích rủi ro an ninh và tổng hợp tài liệu kỹ thuật.

Chiến lược quản trị rủi ro:

Rủi ro kỹ thuật Mức độ Biện pháp giảm thiểu
Xung đột dải địa chỉ IP giữa mạng Client và Virtual Subnet Cao Sử dụng dải mạng VPN chuyên dụng độc lập (ví dụ 192.168.30.0/24)
Bị chặn cổng UDP 500/4500 trên một số ISP công cộng Trung bình Kích hoạt cơ chế SoftEther SSL-VPN qua cổng chuẩn TCP 443 (HTTPS)
Lỗi rò rỉ DNS/IP (DNS/IP Leak) trên máy trạm Cao Cấu hình tự động đẩy DNS Server nội bộ qua Virtual DHCP của SoftEther
Tải CPU cao khi xử lý mã hóa nhiều phiên đồng thời Trung bình Kích hoạt tính năng tăng tốc phần cứng AES-NI trong Linux Kernel

Implementation và kết quả

Development process

Quá trình triển khai máy chủ VPN SoftEther trên CentOS được thực hiện tuần tự qua các bước cấu hình lõi:

1. Chuẩn bị môi trường hệ điều hành và biên dịch mã nguồn: Cài đặt các gói công cụ phụ thuộc (gcc, make, glibc, openssl-devel) và biên dịch SoftEther VPN Server.

# Cập nhật hệ thống và cài đặt gói bổ trợ
yum update -y && yum groupinstall "Development Tools" -y
yum install gcc zlib-devel openssl-devel readline-devel ncurses-devel -y

# Tải và giải nén mã nguồn SoftEther VPN Server
tar -zxvf softether-vpnserver-v4.38-9760-rtm-linux-x64-64bit.tar.gz
cd vpnserver && make

# Phân quyền thực thi và khởi tạo dịch vụ
cd .. && mv vpnserver /usr/local/
chmod 600 /usr/local/vpnserver/*
chmod 700 /usr/local/vpnserver/vpnserver
chmod 700 /usr/local/vpnserver/vpncmd

2. Cấu hình chuyển tiếp gói tin Kernel và Tường lửa (iptables): Kích hoạt chuyển tiếp gói tin IP Forwarding trong Linux Kernel để cho phép máy chủ định tuyến lưu lượng giữa Virtual Hub và mạng vật lý:

# Kích hoạt IP Forwarding vĩnh viễn
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

# Mở các cổng dịch vụ trên Firewall (Iptables / Firewalld)
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --permanent --add-port=1194/udp
firewall-cmd --permanent --add-port=500/udp
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-port=1701/udp
firewall-cmd --permanent --add-port=5555/tcp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

3. Cấu hình Virtual Hub, Người dùng và L2TP/IPSec qua công cụ dòng lệnh vpncmd:

# Thiết lập mật khẩu quản trị và tạo Virtual Hub
vpncmd localhost /SERVER /CMD ServerPasswordSet
vpncmd localhost /SERVER /CMD HubCreate VPN_HUB /PASSWORD:HubPass123

# Tạo người dùng và gán mật khẩu xác thực MS-CHAPv2
vpncmd localhost /SERVER /HUB:VPN_HUB /CMD UserCreate user01 /GROUP:none /REALNAME:none /NOTE:none
vpncmd localhost /SERVER /HUB:VPN_HUB /CMD UserPasswordSet user01 /PASSWORD:UserSecret@2021

# Kích hoạt tính năng SecureNAT (Bao gồm Virtual NAT và Virtual DHCP)
vpncmd localhost /SERVER /HUB:VPN_HUB /CMD SecureNatEnable
vpncmd localhost /SERVER /HUB:VPN_HUB /CMD NatEnable

# Kích hoạt L2TP over IPSec và thiết lập Pre-Shared Key (PSK)
vpncmd localhost /SERVER /CMD IPsecEnable /L2TP:yes /L2TPRAW:yes /ETHERIP:no /PSK:VpnPreSharedKey2021 /DEFAULTHUB:VPN_HUB

Testing và validation

Môi trường kiểm thử được thiết lập với máy chủ chạy CentOS 7.9 (x86_64, 2 vCPU, 4GB RAM, Virtual NIC 1Gbps) và các máy trạm thử nghiệm chạy Windows 10, Ubuntu Linux và thiết bị Android 11 thông qua đường truyền Internet công cộng (FTTH 100 Mbps).

Bộ kịch bản kiểm thử:

  1. Kiểm thử xác thực: Kiểm tra khả năng đăng nhập của người dùng hợp lệ và từ chối truy cập đối với thông tin xác thực sai hoặc khóa PSK không khớp.
  2. Kiểm thử định tuyến và cấp phát IP: Đảm bảo Client nhận đúng dải IP 192.168.30.10 - 192.168.30.200, Gateway 192.168.30.1, phân giải tên miền qua DNS nội bộ thành công.
  3. Đo lường thông lượng và độ trễ bằng iperf3 và ping:
Tham số đo kiểm Kết nối Internet trực tiếp (Không VPN) SoftEther SSL-VPN (Cổng 443) L2TP/IPSec VPN (Mã hóa AES-256)
Độ trễ trung bình (RTT) 12.4 ms 15.2 ms 16.8 ms
Độ biến thiên trễ (Jitter) 0.8 ms 1.4 ms 2.1 ms
Tỷ lệ mất gói (Packet Loss) 0.00% 0.01% 0.02%
Tốc độ Tải xuống (Download) 94.6 Mbps 88.2 Mbps (93.2% gốc) 81.4 Mbps (86.0% gốc)
Tốc độ Tải lên (Upload) 91.2 Mbps 85.0 Mbps (93.2% gốc) 78.5 Mbps (86.0% gốc)
Mức chiếm dụng CPU máy chủ 2.1% 8.5% (100 phiên đồng thời) 14.2% (100 phiên đồng thời)

Kết quả đạt được

Hệ thống đã hiện thực hóa 100% các chức năng đề ra ban đầu:

  • Thiết lập thành công hạ tầng máy chủ VPN SoftEther hoạt động ổn định trên CentOS Linux.
  • Đóng gói và bảo vệ dữ liệu truyền tải theo mô hình đường hầm IPSec và SSL, triệt tiêu nguy cơ nghe lén (Sniffing), tấn công giả mạo (Spoofing) hay tấn công phát lại (Replay Attacks) thông qua số thứ tự tuần tự trong tiêu đề ESP.
  • Triển khai thành công ứng dụng quản trị SE-VPN Server Manager với giao diện trực quan, cho phép theo dõi phiên làm việc theo thời gian thực (Real-time Session Monitoring), quản lý băng thông trên từng người dùng và cấu hình NAT/DHCP linh hoạt chỉ bằng vài cú nhấp chuột.
  • Kết nối thành công các máy trạm từ xa vào mạng LAN nội bộ, cho phép truy xuất tài nguyên máy chủ file (SMB/NFS), cơ sở dữ liệu nội bộ và các dịch vụ Web Intranet an toàn.

Đổi mới và đóng góp

Đồ án mang lại các đóng góp kỹ thuật và cải tiến thực tiễn:

  1. Kiến trúc đa giao thức hợp nhất (Multi-Protocol Convergence): Khắc phục triệt để nhược điểm của các giải pháp truyền thống vốn chỉ chạy một giao thức duy nhất (chẳng hạn như OpenVPN thuần túy hoặc PPTP đơn thuần). SoftEther trên CentOS cho phép cùng một Virtual Hub tiếp nhận đồng thời nhiều luồng giao thức khác nhau (L2TP/IPSec, SoftEther Protocol, SSTP, OpenVPN), tối ưu hóa tài nguyên phần cứng và đơn giản hóa công tác quản trị.
  2. Kỹ thuật đóng gói Ethernet over HTTPS tối ưu: Ứng dụng giao thức độc quyền của SoftEther giúp biến đổi toàn bộ gói tin Ethernet lớp 2 thành các luồng HTTPS chuẩn (TCP cổng 443). Nhờ đó, lưu lượng VPN hoàn toàn vô hình trước các hệ thống kiểm soát gói tin chuyên sâu (Deep Packet Inspection - DPI) và vượt qua các tường lửa/NAT nghiêm ngặt nhất mà không cần mở các dải cổng nhạy cảm như GRE (Protocol 47) hay ESP (Protocol 50).
  3. Cơ chế SecureNAT độc lập: Tích hợp bộ định tuyến ảo Virtual NAT và Virtual DHCP trực tiếp bên trong không gian ứng dụng (User-Space) của SoftEther, loại bỏ sự phụ thuộc phức tạp vào cấu hình định tuyến kernel hoặc các thiết bị định tuyến ngoại vi đắt tiền.
  4. Hiệu quả kinh tế vượt trội: Tiết kiệm 100% chi phí bản quyền phần mềm so với các thiết bị mạng thương mại độc quyền, giảm 70% thời gian thiết lập và cấu hình hệ thống mạng liên chi nhánh cho doanh nghiệp vừa và nhỏ.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

Hệ thống VPN SoftEther triển khai trên CentOS đáp ứng hiệu quả ba kịch bản cốt lõi trong doanh nghiệp:

  1. Mạng riêng ảo truy cập từ xa (Remote Access VPN): Cung cấp kênh truyền mã hóa cho toàn bộ nhân sự làm việc từ xa, văn phòng lưu động kết nối trực tiếp về trung tâm dữ liệu công ty để làm việc với các hệ thống ERP, CRM, File Server nội bộ.
  2. Mạng riêng ảo nội bộ liên chi nhánh (Intranet Site-to-Site VPN): Kết nối mạng LAN giữa Trụ sở chính (Headquarters) và các Chi nhánh/Nhà máy (Branch Offices) qua kết nối Internet thông thường, thay thế hoàn toàn đường truyền Leased-Line tốn kém.
  3. Mạng riêng ảo mở rộng (Extranet VPN): Cung cấp quyền truy cập giới hạn, có phân vùng an ninh cho các đối tác chiến lược, nhà cung cấp hoặc khách hàng vào các ứng dụng chỉ định mà không làm lộ toàn bộ cấu trúc mạng nội bộ.

Hướng dẫn triển khai và Cấu hình mẫu

Yêu cầu hệ thống tối thiểu:

  • Phần cứng máy chủ (Server): 1 Core CPU (hỗ trợ tập lệnh AES-NI), 1GB RAM, 10GB dung lượng ổ cứng, 1 cổng kết nối mạng 100/1000 Mbps.
  • Hệ điều hành: CentOS 7/8 hoặc Rocky Linux / AlmaLinux 64-bit.
  • Phía máy trạm (Client): Hỗ trợ mọi hệ điều hành phổ biến (Windows, macOS, Linux, Android, iOS) sử dụng kết nối VPN tích hợp sẵn hoặc SoftEther VPN Client.

Thiết lập tập lệnh quản lý dịch vụ hệ thống (systemd):

Tạo file dịch vụ tại /etc/systemd/system/vpnserver.service:

[Unit]
Description=SoftEther VPN Server
After=network.target network-online.target

[Service]
Type=forking
ExecStart=/usr/local/vpnserver/vpnserver start
ExecStop=/usr/local/vpnserver/vpnserver stop
KillMode=process
Restart=on-failure

# Điều chỉnh giới hạn tài nguyên hệ thống
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

Kích hoạt và khởi động dịch vụ:

systemctl daemon-reload
systemctl enable vpnserver
systemctl start vpnserver
systemctl status vpnserver

Khắc phục sự cố thường gặp (Troubleshooting Guide):

  • Lỗi 1: Không thể kết nối L2TP/IPSec từ Windows phía sau NAT (Lỗi 809).
    • Nguyên nhân: Windows mặc định không hỗ trợ IPSec NAT-Traversal cho L2TP.
    • Khắc phục: Tạo khóa Registry AssumeUDPEncapsulationContextOnSendRule với giá trị 2 tại đường dẫn HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent, sau đó khởi động lại máy trạm.
  • Lỗi 2: Client kết nối thành công nhưng không truy cập được Internet.
    • Nguyên nhân: Chưa bật IP Forwarding hoặc thiếu luật iptables POSTROUTING.
    • Khắc phục: Thực thi iptables -t nat -A POSTROUTING -s 192.168.30.0/24 -j MASQUERADE và kiểm tra sysctl net.ipv4.ip_forward đạt giá trị 1.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

Mặc dù hệ thống đạt hiệu quả vận hành cao, đồ án vẫn còn một số điểm giới hạn:

  • Tải xử lý CPU với dữ liệu đa phương tiện: Khi truyền tải các luồng dữ liệu thời gian thực có băng thông lớn (Video 4K Streaming, VoIP mật độ cao), cơ chế mã hóa/giải mã liên tục làm tăng đáng kể độ trễ vi mô và mức tiêu thụ tài nguyên CPU máy chủ nếu không có card gia tốc phần cứng chuyên dụng.
  • Sự phụ thuộc vào chất lượng kết nối ISP: Do hoạt động hoàn toàn trên mạng Internet công cộng, chất lượng dịch vụ QoS (Quality of Service) không thể được cam kết tuyệt đối như mạng Leased-Line trong trường hợp đứt cáp quang biển hoặc nghẽn mạng cục bộ tại phía nhà cung cấp dịch vụ Internet.
  • Xác thực tập trung: Hệ thống thử nghiệm hiện tại quản lý người dùng cục bộ (Local Users Database), chưa liên kết trực tiếp với hệ thống thư mục tập trung của doanh nghiệp.

Hướng phát triển trong tương lai

  1. Tích hợp giải pháp xác thực tập trung: Mở rộng kết nối xác thực qua giao thức RADIUS (Remote Authentication Dial-In User Service) hoặc Microsoft Active Directory / OpenLDAP để đồng bộ tài khoản người dùng tự động trong toàn doanh nghiệp.
  2. Triển khai kiến trúc dự phòng và cân bằng tải (High Availability & Clustering): Cấu hình mô hình Dynamic Virtual Hub Clustering với 2 hoặc nhiều máy chủ SoftEther để tự động chuyển đổi dự phòng (Failover) và chia sẻ tải khi số lượng phiên truy cập đồng thời vượt ngưỡng 1.000 kết nối.
  3. Tích hợp xác thực hai yếu tố (2FA/MFA): Bổ sung lớp xác thực mã động OTP (One-Time Password) qua Google Authenticator hoặc tin nhắn SMS để nâng cao tiêu chuẩn an toàn cho các truy cập đặc quyền.
  4. Nghiên cứu triển khai giao thức WireGuard: Đánh giá và tích hợp bổ sung giao thức WireGuard chạy trực tiếp trong không gian Kernel Linux nhằm tăng cường thông lượng và giảm độ trễ tối đa.

Đối tượng hưởng lợi

Hệ thống và tài liệu kỹ thuật của đồ án mang lại giá trị thiết thực cho nhiều nhóm đối tượng:

  • Sinh viên chuyên ngành Mạng máy tính & ATTT: Cung cấp tài liệu tham khảo chi tiết, từ lý thuyết đóng gói gói tin lớp 2/3, cấu trúc giao thức IKE/IPSec đến các bước cấu hình thực hành trực quan trên hệ điều hành Linux.
  • Kỹ sư mạng & Quản trị hệ thống (System/Network Admins): Cung cấp quy trình triển khai chuẩn (Standard Operating Procedure - SOP), các mẫu script cấu hình tường lửa, dịch vụ hệ thống và hướng dẫn khắc phục sự cố thực tế giúp tiết kiệm hàng chục giờ nghiên cứu thử nghiệm.
  • Doanh nghiệp vừa và nhỏ (SMBs): Sở hữu giải pháp mạng riêng ảo chi phí bằng 0 về mặt bản quyền phần mềm, tận dụng hạ tầng máy chủ sẵn có để xây dựng môi trường làm việc từ xa an toàn, chuyên nghiệp, bảo mật dữ liệu sản xuất kinh doanh.
  • Các nhà nghiên cứu ứng dụng: Cung cấp dữ liệu đối chuẩn hiệu năng thực nghiệm (Latency, Jitter, Throughput, CPU Load) giữa các giao thức đường hầm khác nhau trên môi trường mạng thực tế.

Câu hỏi thường gặp

1. Yêu cầu phần cứng và hạ tầng mạng tối thiểu để triển khai SoftEther VPN là gì?

Máy chủ chỉ cần cấu hình phần cứng tối thiểu: 1 vCPU (khuyến nghị có hỗ trợ tập lệnh phần cứng AES-NI), 1GB RAM, 10GB ổ cứng trống và kết nối mạng có địa chỉ IP tĩnh công cộng (Public Static IP) hoặc sử dụng dịch vụ Dynamic DNS (DDNS) tích hợp sẵn của SoftEther để các máy trạm bên ngoài có thể định vị máy chủ.

2. Hệ thống có khả năng mở rộng (Scalability) tối đa bao nhiêu người dùng đồng thời?

Trên một máy chủ tiêu chuẩn (4 vCPU, 8GB RAM), SoftEther VPN Server có thể phục vụ ổn định từ 500 đến 1.500 kết nối đồng thời với băng thông xử lý lên đến hàng Gbps. Khi nhu cầu mở rộng vượt quá ngưỡng này, quản trị viên có thể kích hoạt tính năng Virtual Hub Clustering để mở rộng quy mô theo chiều ngang (Horizontal Scaling) mà không làm gián đoạn dịch vụ.

3. Làm thế nào để tích hợp hệ thống SoftEther VPN với hạ tầng mạng doanh nghiệp sẵn có?

SoftEther hỗ trợ tính năng Local Bridge. Quản trị viên chỉ cần bắc cầu Virtual Hub với card mạng vật lý đang kết nối vào switch nội bộ của công ty. Khi đó, máy trạm từ xa sẽ nhận địa chỉ IP trực tiếp từ máy chủ DHCP vật lý của doanh nghiệp và trở thành một nút mạng bình đẳng trong mạng LAN nội bộ.

4. Chi phí bảo trì và yêu cầu vận hành hệ thống định kỳ bao gồm những gì?

Hệ thống mã nguồn mở hoàn toàn miễn phí bản quyền. Chi phí vận hành chỉ bao gồm tiền điện, bảo trì phần cứng máy chủ và phí thuê bao đường truyền Internet hàng tháng. Công tác vận hành định kỳ rất đơn giản: sao lưu file cấu hình vpn_server.config, cập nhật các bản vá lỗi bảo mật của hệ điều hành CentOS và theo dõi dung lượng file log.

5. Thời gian hoàn vốn đầu tư (ROI) khi chuyển đổi từ Leased-Line sang SoftEther VPN là bao lâu?

Đối với một doanh nghiệp quy mô 3 chi nhánh và 50 nhân viên làm việc từ xa, việc chuyển từ đường truyền Leased-Line truyền thống sang hệ thống SoftEther VPN trên đường truyền Internet băng thông rộng thông thường giúp tiết kiệm từ 30 đến 70 triệu VNĐ chi phí đường truyền mỗi tháng. Thời gian hoàn vốn đầu tư toàn bộ hệ thống máy chủ ban đầu thường chỉ mất từ 1 đến 3 tháng.

Kết luận

Đề tài tốt nghiệp "Nghiên cứu và triển khai mạng riêng ảo sử dụng SoftEther trên CentOS" đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm đề ra. Thông qua việc phân tích sâu sắc các giao thức đường hầm (PPTP, L2F, L2TP, GRE, IPSec) và trực tiếp cấu hình triển khai giải pháp SoftEther VPN Server, đề tài đã chứng minh tính khả thi, độ tin cậy và hiệu năng vượt trội của mô hình mạng riêng ảo mã nguồn mở.

Giải pháp không chỉ giải quyết triệt để bài toán kinh tế trong việc cắt giảm chi phí thuê kênh truyền riêng đắt đỏ mà còn mang lại môi trường truyền thông bảo mật cấp độ cao cho doanh nghiệp trong kỷ nguyên làm việc số hóa. Với khả năng tương thích đa nền tảng, cơ chế vượt tường lửa thông minh và hiệu năng định tuyến xuất sắc, hệ thống VPN SoftEther trên CentOS là một mô hình giải pháp hạ tầng mạng tiêu biểu, sẵn sàng để ứng dụng rộng rãi và chuyển giao công nghệ vào thực tiễn sản xuất kinh doanh của các tổ chức và doanh nghiệp.