Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, hạ tầng mạng đóng vai trò là xương sống truyền thông cho mọi tổ chức và doanh nghiệp. Sự gia tăng của các ứng dụng nghiệp vụ như phần mềm quản lý doanh nghiệp (ERP, CRM), hệ thống thư điện tử, dịch vụ web, cùng các dịch vụ truyền thông thời gian thực như thoại IP (Voice), truyền hình hội nghị (Video Conferencing) và sao lưu dữ liệu đòi hỏi hạ tầng mạng phải đáp ứng các tiêu chuẩn khắt khe về băng thông, độ tin cậy và chất lượng dịch vụ (QoS). Việc thiết kế một hệ thống mạng không hợp lý sẽ dẫn đến khó khăn trong quản trị, bảo trì, mở rộng và khắc phục sự cố phát sinh.

Trên thị trường thiết bị mạng, các giải pháp từ các hãng viễn thông lớn như Cisco tuy đáp ứng toàn diện về mặt kỹ thuật nhưng lại có chi phí đầu tư phần cứng và bản quyền phần mềm rất cao. Điều này tạo ra rào cản tài chính đáng kể đối với các doanh nghiệp vừa và nhỏ (SMB). Do đó, việc tìm kiếm và ứng dụng các dòng thiết bị mạng tầm trung có hiệu năng mạnh mẽ, tính năng chuyên sâu và chi phí hợp lý là một yêu cầu cấp thiết trong thực tiễn. Hãng MikroTik cung cấp hệ sinh thái thiết bị định tuyến (Router) và chuyển mạch (Switch) vận hành trên nền tảng hệ điều hành RouterOS và SwitchOS, đáp ứng đầy đủ các yêu cầu của hệ thống mạng lõi với mức đầu tư tối ưu.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài bao gồm:

  1. Nghiên cứu tổng quan về kiến trúc mạng doanh nghiệp, bao gồm các mô hình kết nối, cấu trúc mạng Intranet, mạng Campus phân cấp và công nghệ mạng riêng ảo (VPN).
  2. Khảo sát chi tiết nền tảng phần cứng RouterBOARD, bộ định tuyến, bộ chuyển mạch của MikroTik cùng các tính năng quản trị của hệ điều hành RouterOS và SwitchOS; đồng thời so sánh đặc tính kỹ thuật với các giải pháp của hãng khác.
  3. Thiết kế sơ đồ mạng, quy hoạch địa chỉ IP và thực hiện triển khai thực nghiệm mô hình mạng doanh nghiệp sử dụng thiết bị MikroTik trên phần mềm mô phỏng GNS3 và máy ảo GNS3 VM, kiểm thử các tính năng phân vùng mạng, định tuyến, bảo mật tường lửa, kết nối VPN từ xa và quản lý băng thông.

Đối tượng nghiên cứu là thiết bị mạng MikroTik (Router, Switch, hệ điều hành RouterOS, SwitchOS) và mô hình kiến trúc mạng doanh nghiệp. Phạm vi nghiên cứu tập trung vào việc thiết kế và cấu hình hệ thống mạng phân cấp kết hợp vùng mạng trung lập (DMZ), mạng nội bộ (LAN) cho các phòng ban, phân luồng đường truyền Internet, thiết lập tường lửa và quản lý lưu lượng cho một doanh nghiệp vừa và nhỏ trong môi trường mô phỏng.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đồ án dựa trên các tiêu chuẩn thiết kế mạng máy tính hiện đại:

  • Mô hình kiến trúc mạng 3 lớp (Hierarchical Network Model): Bao gồm lớp Lõi (Core Layer), lớp Phân phối (Distribution Layer) và lớp Truy cập (Access Layer), kết hợp với mô hình mạng Module (Enterprise Edge, ISP Edge, DMZ, Server Farm, Management, LAN).
  • Mô hình luồng lưu lượng mạng: Phân tích sự chuyển dịch từ quy tắc truyền thống 80/20 (80% lưu lượng nội bộ, 20% lưu lượng qua backbone) sang quy tắc 20/80 trong các mạng Campus hiện đại, khi phần lớn lưu lượng hướng ra ngoài mạng biên hoặc các trung tâm dữ liệu.
  • Công nghệ phân đoạn mạng và định tuyến: Kỹ thuật chia mạng LAN ảo (VLAN theo chuẩn IEEE 802.1Q), định tuyến liên VLAN (Inter-VLAN Routing), định tuyến mạch ảo (Virtual Routing and Forwarding - VRF), định tuyến tĩnh và cân bằng tải PCC (Per Connection Classifier).
  • Công nghệ mạng riêng ảo (VPN) và bảo mật: Cơ chế đường hầm (Tunnel mode) và truyền tải (Transport mode); các giao thức đường hầm như PPTP, L2TP, IPsec, OpenVPN; hệ thống tường lửa kiểm soát gói tin theo chuỗi (Input, Forward, Output), dịch địa chỉ mạng (NAT) và lọc gói tin lớp ứng dụng (Layer 7).

Phương pháp nghiên cứu được tác giả áp dụng bao gồm:

  • Phương pháp phân tích - tổng hợp lý thuyết: Thu thập, phân tích tài liệu kỹ thuật từ nhà sản xuất MikroTik, các tiêu chuẩn mạng quốc tế (RFC 2131 cho DHCP, chuẩn 802.1Q,...) và các tài liệu chuyên ngành về thiết kế mạng doanh nghiệp.
  • Phương pháp so sánh, đối chiếu: Đánh giá các mô hình mạng (Client-Server, Peer-to-Peer, Hybrid) và so sánh đặc tính kỹ thuật, chi phí đầu tư giữa thiết bị MikroTik và Cisco.
  • Phương pháp thực nghiệm mô phỏng: Ứng dụng phần mềm mô phỏng mạng GNS3 tích hợp GNS3 VM để giả lập hệ thống RouterOS, tiến hành xây dựng sơ đồ topo mạng, cấu hình các dịch vụ mạng lõi và kiểm thử chức năng truyền thông, bảo mật và chất lượng dịch vụ.

Nguồn dữ liệu nghiên cứu được trích xuất từ tài liệu hướng dẫn kỹ thuật chính thức của MikroTik, tài liệu tham khảo chuyên ngành mạng máy tính và kết quả ghi nhận từ các kịch bản kiểm thử trên môi trường mô phỏng.

Thiết kế và triển khai hệ thống

Hệ thống mạng doanh nghiệp trong đồ án được thiết kế theo cấu trúc mạng phân cấp kết hợp module hóa, đáp ứng yêu cầu phân tách quyền hạn truy cập giữa các phòng ban và bảo vệ máy chủ dịch vụ.

                                  [ INTERNET ]
                                   /        \
                            (WAN 1)          (WAN 2)
                                   \        /
                            [ ROUTER MIKROTIK ]
                            /        |        \
                (ether3)   /         |         \ (ether4)
                          /     (PPTP VPN)      \
                 [ SWITCH L3 ]               [ SW DMZ ]
                 /     |     \                   |
            (Trunk) (Trunk) (Trunk)        [ Web Server ]
              /        |        \
     [ SWL2-1 ]    [ SWL2-2 ]   [ SWL2-3 ]
         |             |            |
   (VLAN Giamdoc) (VLAN Marketing) (VLAN Daotao / Ketoan)

Sơ đồ mạng tổng thể bao gồm các phân vùng chức năng:

  • Biên doanh nghiệp (Enterprise Edge): Sử dụng Router MikroTik kết nối ra ngoài thông qua 2 đường truyền Internet (WAN1 và WAN2). Router đảm nhận chức năng cấp phát DHCP, định tuyến liên VLAN, phân luồng truy cập WAN, cân bằng tải, quản lý tường lửa và làm máy chủ PPTP VPN.
  • Vùng mạng trung lập (DMZ): Tách biệt trên một cổng vật lý riêng (ether4) của Router, kết nối qua Switch DMZ tới máy chủ Web Server, cho phép người dùng từ Internet truy cập dịch vụ mà không đe dọa an toàn của mạng LAN nội bộ.
  • Vùng phân phối và truy cập nội bộ (LAN): Kết nối qua cổng ether3 của Router đến Switch Layer 3 (SWL3) và phân bổ xuống các Switch Layer 2 (SWL2-1, SWL2-2, SWL2-3). Các phòng ban được chia thành các VLAN độc lập: VLAN Giám đốc (Giamdoc), VLAN Kế toán (Ketoan), VLAN Marketing và VLAN Đào tạo (Daotao).
Phân vùng mạng Giao diện Router / Switch Vai trò và chính sách áp dụng
WAN 1 & WAN 2 ether1, ether2 Kết nối 2 đường truyền Internet, cấu hình NAT (Masquerade) và định tuyến dự phòng
VLAN Giamdoc SWL2-1 (Access / Trunk) Phân đoạn mạng ưu tiên, định tuyến riêng đi ra Internet qua đường WAN1
VLAN Ketoan SWL2-3 (Access / Trunk) Mạng nội bộ bảo mật, bị chặn quyền truy cập trực tiếp ra Internet bằng Firewall
VLAN Marketing SWL2-2 (Access / Trunk) Mạng người dùng nghiệp vụ, áp dụng chính sách giới hạn băng thông (Queue)
VLAN Daotao SWL2-3 (Access / Trunk) Phân đoạn mạng phục vụ đào tạo, kiểm soát lưu lượng kết nối liên phòng ban
Vùng DMZ (Web) ether4 / SW DMZ Lưu trữ Web Server, cho phép truy cập từ xa qua VPN và dịch vụ ngoài
VPN Pool PPTP Server Binding Cấp địa chỉ IP cho người dùng làm việc từ xa kết nối vào mạng nội bộ qua Proxy-ARP

Quy trình cấu hình và triển khai kỹ thuật được tiến hành theo các bước:

  1. Thiết lập môi trường mô phỏng: Cài đặt phần mềm GNS3, tích hợp máy ảo GNS3 VM, nạp phiên bản RouterOS vào danh sách thiết bị giả lập và tạo dự án mạng mới.
  2. Cấu hình Router lõi: Khởi tạo tài khoản quản trị; thiết lập các giao diện ảo Bridge (Bridge VLAN cho mạng LAN và Bridge DMZ); gán các cổng vật lý ether3 cho LAN và ether4 cho DMZ; cấu hình địa chỉ IP cho các cổng WAN1, WAN2; kích hoạt Source NAT (Masquerade); thiết lập DNS Server.
  3. Cấu hình phân vùng và định tuyến VLAN: Tạo các VLAN trên Router; gán địa chỉ IP tương ứng cho từng VLAN (Ketoan, Giamdoc, Marketing, Daotao); cấu hình DHCP Server độc lập trên từng giao diện VLAN; cấu hình bảng định tuyến tĩnh phân luồng cho phép riêng biệt VLAN Giám đốc đi ra ngoài Internet qua cổng WAN1.
  4. Cấu hình hệ thống chuyển mạch (Switching): Tạo Bridge và thêm các cổng kết nối, thiết lập các VLAN tương ứng trên Switch Layer 3 và các Switch Layer 2 (SWL2-1, SWL2-2, SWL2-3, SW DMZ), cấu hình cổng trunking chuyển tiếp gắn thẻ (tag) 802.1Q.
  5. Cấu hình dịch vụ truy cập từ xa (Remote Access VPN): Khởi tạo dải địa chỉ IP cho người dùng VPN; tạo hồ sơ (profile) và nhóm người dùng; kích hoạt dịch vụ PPTP Server; tạo tài khoản xác thực (username/password); kích hoạt chế độ Proxy-ARP trên cổng mạng để người dùng VPN sau khi xác thực có thể kết nối thông suốt tới Web Server và các tài nguyên nội bộ.
  6. Thực thi chính sách tường lửa (Firewall Rules): Cấu hình chặn truy cập các trang web theo địa chỉ IP và danh sách từ khóa chỉ định; thiết lập luật ngăn chặn toàn bộ máy tính thuộc phòng Kế toán kết nối ra mạng Internet; thiết lập luật kiểm soát giao thức ICMP (chặn phòng Giám đốc ping sang phòng Đào tạo, đồng thời cho phép Web Server ping đến phòng Đào tạo).
  7. Quản lý lưu lượng và bảo trì hệ thống: Tạo các quy tắc Simple Queue để giới hạn băng thông truyền dẫn tối đa cho các mạng LAN; thực hiện tạo tệp tin sao lưu cấu hình (Backup file), tải về máy tính và kiểm thử quá trình phục hồi hệ thống (Restore).

Nội dung chính theo từng chương

Chương 1: Tổng quan về mạng doanh nghiệp

Chương 1 hệ thống hóa toàn bộ lý thuyết nền tảng về hạ tầng mạng máy tính dành cho tổ chức và doanh nghiệp. Tác giả làm rõ khái niệm mạng doanh nghiệp là xương sống truyền thông kết nối các thiết bị, phòng ban và nhóm làm việc; phân tích vai trò của hệ thống thông tin cả về mặt đối ngoại (thu thập thông tin giá cả, thị hiếu, thị trường) và đối nội (liên kết phòng ban, quản lý sản xuất kinh doanh).

Về thành phần vật lý, chương phân loại chi tiết:

  • Thiết bị đầu cuối: Máy chủ (Server với các loại: Database, File, Mail, Print, Web, Application) và máy trạm (Workstation với tính năng đa nhiệm, độ tin cậy cao qua RAM ECC, khả năng tản nhiệt và nâng cấp dễ dàng).
  • Thiết bị truyền dẫn: Phân tích đặc tính kỹ thuật, ưu và nhược điểm của cáp xoắn đôi (STP, UTP từ loại 1 đến loại 6, cáp FTP), cáp đồng trục và cáp sợi quang (cáp đơn mode - single mode và đa mode - multi mode).
  • Thiết bị kết nối: Điểm truy cập không dây (Access Point), Card mạng (NIC), Bộ khuếch đại (Repeater), Bộ tập trung (Hub - Active Hub, Smart Hub), Cầu nối (Bridge), Bộ chuyển mạch (Switch Layer 2 hoạt động theo bảng MAC, Switch Layer 3 hỗ trợ bảng định tuyến IP) và Bộ định tuyến (Router hoạt động trên hai mặt phẳng Control Plane và Forwarding Plane).

Chương 1 cũng so sánh chi tiết ba mô hình mạng cơ bản thông qua bảng tổng hợp các chỉ tiêu kỹ thuật:

Chỉ tiêu đánh giá Mô hình Khách - Chủ (Client-Server) Mô hình Ngang hàng (Peer-to-Peer) Mô hình Lai (Hybrid)
Độ an toàn và bảo mật Cao nhất, quản trị viên điều chỉnh quyền truy cập Kém, phụ thuộc vào mức chia sẻ của từng máy Cao gần như Client-Server
Khả năng cài đặt Khó cài đặt, yêu cầu kỹ thuật Dễ cài đặt Khó cài đặt
Đòi hỏi phần cứng/phần mềm Cần máy chủ chuyên dụng, hệ điều hành mạng Không cần máy chủ riêng, phần cứng bổ sung rất ít Cần máy chủ, hệ điều hành mạng chuyên dụng
Quản trị mạng Bắt buộc phải có quản trị mạng Không cần quản trị mạng tập trung Bắt buộc phải có quản trị mạng
Xử lý và lưu trữ tập trung Có Không Có
Chi phí cài đặt Cao Thấp Cao

Ngoài ra, chương đi sâu vào cấu trúc mạng Intranet; phân tích các vấn đề vận hành của mạng Campus (hiện tượng đụng độ - collision, miền đụng độ, miền quảng bá - broadcast domain, băng thông) và các giải pháp giải quyết bằng phân đoạn mạng qua Bridge, Router, Switch và VLAN. Tác giả trình bày cấu trúc phân tầng 3 lớp (Core, Distribution, Access), mô hình mạng Module hóa, cùng công nghệ mạng riêng ảo VPN (các chế độ Tunnel/Transport mode, các thuộc tính xác thực - toàn vẹn - bảo mật, các loại VPN Site-to-Site/Remote Access và các giao thức PPTP, L2TP, IPsec, OpenVPN).

Chương 2: Thiết bị MikroTik

Chương 2 tập trung giới thiệu và đánh giá hệ sinh thái sản phẩm của MikroTik – công ty thành lập năm 1996 tại Riga, Latvia. Tác giả phân tích lịch sử phát triển của hệ điều hành RouterOS (từ năm 1997, trải qua các phiên bản v3, v4, v5, v6 trên nền nhân Linux) và nền tảng phần cứng RouterBOARD (từ năm 2002).

Hệ thống sản phẩm phần cứng và hệ điều hành của MikroTik được phân tích chi tiết:

  • Hệ điều hành: RouterOS (đầy đủ tính năng định tuyến, tường lửa, VPN, QoS, Hotspot) và SwitchOS/SwOS (hệ điều hành chuyên dụng cho switch quản trị, cấu hình qua web với phiên bản 1.17 và phiên bản 2).
  • Các dòng Router tiêu biểu:
    • Dòng hEX và hEX S (5 cổng Gigabit Ethernet, cổng SFP, hỗ trợ PoE, CPU Dual Core 880 MHz, RAM 256 MB, giấy phép RouterOS L4).
    • Dòng PowerBox series (bộ định tuyến ngoài trời, 5 cổng Ethernet 10/100 Mbps, CPU 650 MHz, RAM 64 MB, cấp nguồn qua PoE).
    • Dòng RB2011 (tiêu biểu là RB2011UiAS-2HnD với CPU Atheros 600 MHz MIPS, RAM 128 MB, 5 cổng Gigabit, 5 cổng Fast Ethernet, lồng SFP, tích hợp Wi-Fi 802.11bgn, màn hình LCD cảm ứng, RouterOS L5).
    • Dòng Cloud Core Router (CCR) dành cho hệ thống lớn (tiêu biểu là CCR1009-7G-1C-PC và CCR1009-7G-1C-1S+PC sử dụng CPU đa lõi Tilera 9 nhân, cổng SFP+ 10 Gbps, RAM từ 1 GB đến 2 GB, tích hợp nguồn kép dự phòng, đạt thông lượng xử lý lên tới 51,5 triệu gói tin/giây).
  • Các dòng Switch: RB260GS, Cloud Router Switch CRS109-8G-1S-2HnD-IN, CRS312-4C + 8XG-RM.

Chương 2 làm rõ các tính năng nâng cao của RouterOS:

  1. Định tuyến: Hỗ trợ IPv4 (RIP, OSPF, BGP), IPv6 (Ripng, OSPFv3, BGP), MPLS và công nghệ mạch ảo VRF cho phép chạy nhiều bảng định tuyến độc lập trên cùng một thiết bị.
  2. DHCP Server: Tuân thủ RFC 2131, hỗ trợ xác thực và cấp phát qua máy chủ RADIUS với đầy đủ tham số NAS, Framed-IP-Address, Rate-Limit, Session-Timeout.
  3. Bonding Interface: Nhóm nhiều liên kết vật lý tăng tốc độ và dự phòng với các chế độ Active-Backup (chịu lỗi), Balance-RR (cân bằng tải gói tin vòng tròn) kết hợp cơ chế giám sát liên kết bằng ARP hoặc MII.
  4. Tường lửa (Firewall): Hoạt động theo 3 chuỗi mặc định (Input xử lý gói tin đến router, Forward xử lý gói tin đi qua router, Output xử lý gói tin do router khởi tạo), hỗ trợ NAT, kiểm tra trạng thái kết nối và lọc nội dung Layer 7.
  5. Cân bằng tải: Sử dụng thuật toán phân loại kết nối PCC (Per Connection Classifier) để chia đều luồng lưu lượng ra các đường truyền Internet.
  6. Quản lý mạng công cộng (Hotspot Gateway): Hỗ trợ mô hình AAA qua RADIUS/User Manager, trang chào đăng nhập, tính năng Walled Garden cho phép truy cập các trang web được chỉ định mà không cần đăng nhập.
  7. Máy chủ Web Proxy: Hỗ trợ ủy thác thông thường (Regular), ủy thác trong suốt (Transparent), danh sách kiểm soát truy cập (Access List) và lưu bộ nhớ đệm (Cache Access List).

Chương 2 cũng trình bày các phương thức quản trị thiết bị (giao diện đồ họa Winbox, giao diện web WebFig, giao diện dòng lệnh CLI qua Telnet/SSH) và bảng câu lệnh phổ biến (Bảng 2-1). Tác giả so sánh thiết bị MikroTik với Cisco, khẳng định MikroTik sở hữu lợi thế vượt trội về mặt chi phí đầu tư trên cùng một mức hiệu năng, hệ điều hành đồng nhất giữa các phân khúc, phù hợp với doanh nghiệp vừa và nhỏ.

Chương 3: Triển khai thiết bị MikroTik cho mạng doanh nghiệp

Chương 3 là phần thực nghiệm kỹ thuật của đồ án, hiện thực hóa các giải pháp lý thuyết vào sơ đồ mạng cụ thể:

  • Thiết kế mô hình chức năng (Hình 3-1) và sơ đồ hệ thống mạng tổng thể (Hình 3-2).
  • Lựa chọn thiết bị MikroTik phù hợp cho hạ tầng mạng lõi và mạng phân phối của doanh nghiệp.
  • Lập bảng quy hoạch địa chỉ IP (Bảng 3-1) cho toàn bộ hệ thống gồm dải mạng WAN, vùng DMZ, các VLAN nội bộ (Giamdoc, Ketoan, Marketing, Daotao) và dải cấp phát cho người dùng VPN.
  • Triển khai cấu hình từng bước trên môi trường ảo hóa GNS3 kết hợp GNS3 VM:
    • Cấu hình Router: Khởi tạo tài khoản quản trị, thiết lập các Bridge giao tiếp, cấu hình địa chỉ IP các cổng WAN, cấu hình NAT Masquerade, cấu hình cấp phát DHCP Server cho từng VLAN, cấu hình DNS và kiểm tra kết nối Internet thành công.
    • Cấu hình phân luồng: Tạo đường ảo và bảng định tuyến riêng để ép toàn bộ lưu lượng của phòng Giám đốc đi qua đường WAN1.
    • Cấu hình hệ thống Switch: Tạo Bridge, gán cổng và cấu hình truyền nhận VLAN trên Switch Layer 3 (SWL3) và các Switch Layer 2 (SWL2-1 cho Giamdoc, SWL2-2 và SWL2-3 cho Marketing/Daotao/Ketoan, Switch DMZ cho Web Server).
    • Cấu hình và kiểm thử VPN PPTP: Tạo dải IP VPN, nhóm người dùng, kích hoạt PPTP Server, tạo tài khoản người dùng, bật chế độ proxy-arp trên cổng WAN; kiểm thử máy khách kết nối VPN từ xa thành công và truy cập được vào máy chủ Web cũng như mạng nội bộ.
    • Cấu hình và kiểm thử Tường lửa: Kiểm tra IP trang web, áp dụng quy tắc lọc chặn các trang web chỉ định; cấu hình chặn từ khóa; cấu hình luật cấm toàn bộ phòng Kế toán truy cập ra Internet; cấu hình chính sách kiểm soát gói tin ICMP (máy chủ Web ping được phòng Đào tạo, phòng Giám đốc bị chặn ping vào phòng Đào tạo).
    • Cấu hình quản lý băng thông: Thiết lập hàng đợi Simple Queue, gán dải mạng LAN cần quản lý và áp dụng chính sách giới hạn tốc độ truyền tải tối đa.
    • Sao lưu và phục hồi: Tạo tệp tin Backup cấu hình trên thiết bị, tải về máy tính lưu trữ an toàn và thực hiện quy trình Restore khôi phục trạng thái hoạt động của hệ thống.

Kết quả và đóng góp

Đồ án đã đạt được các kết quả kỹ thuật và đóng góp thực tiễn sau:

  1. Kết quả thực nghiệm mô phỏng:

    • Xây dựng thành công hệ thống mạng doanh nghiệp hoàn chỉnh trên nền tảng GNS3 và GNS3 VM với Router và Switch MikroTik giả lập.
    • Triển khai thành công cơ chế cấp phát địa chỉ động DHCP độc lập cho từng phân đoạn mạng VLAN, định tuyến thông suốt giữa các phòng ban.
    • Hiện thực hóa chính sách phân luồng Internet, cho phép tách riêng luồng truy cập của phòng Giám đốc ra đường WAN1 cố định, tăng tính ổn định cho người dùng ưu tiên.
    • Thiết lập thành công kênh truyền kết nối từ xa qua PPTP VPN với chế độ proxy-arp, cho phép người dùng từ bên ngoài truy cập an toàn vào Web Server vùng DMZ và các tài nguyên nội bộ.
    • Thực thi chính xác các chính sách bảo mật của tường lửa: chặn truy cập website theo tên miền/từ khóa, cách ly hoàn toàn phòng Kế toán khỏi Internet để đảm bảo an toàn dữ liệu, kiểm soát lưu lượng ICMP giữa các phân vùng.
    • Áp dụng thành công chính sách giới hạn băng thông mạng nội bộ qua Queue và kiểm nghiệm hoàn chỉnh quy trình sao lưu (Backup) - phục hồi (Restore) cấu hình hệ thống.

  2. Giải pháp đề xuất:

    • Đề xuất mô hình thiết kế mạng phân cấp kết hợp module hóa và vùng DMZ tối ưu cho phân khúc doanh nghiệp vừa và nhỏ, sử dụng thiết bị MikroTik làm thiết bị định tuyến lõi và chuyển mạch trung tâm.
    • Đưa ra quy trình quy hoạch địa chỉ IP và triển khai cấu hình chi tiết, giúp doanh nghiệp dễ dàng mở rộng mạng lưới, bảo trì và kiểm soát phân quyền mà không phát sinh chi phí đầu tư lớn cho phần cứng cao cấp.

  3. Đóng góp kỹ thuật:

    • Cung cấp một tài liệu hướng dẫn kỹ thuật có tính ứng dụng cao, hệ thống hóa đầy đủ từ cơ sở lý thuyết mạng phân cấp đến các thao tác cấu hình thực tế trên hệ điều hành RouterOS thông qua cả giao diện đồ họa Winbox và dòng lệnh CLI.
    • Chứng minh tính khả thi, độ ổn định và hiệu quả kinh tế của giải pháp mạng MikroTik so với các thương hiệu truyền thống đắt đỏ như Cisco trong phân khúc doanh nghiệp vừa và nhỏ.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế của đề tài: Toàn bộ quá trình triển khai cấu hình và kiểm thử chức năng của hệ thống mạng mới dừng lại ở môi trường mô phỏng ảo hóa (GNS3 và GNS3 VM), chưa được triển khai và đo kiểm trực tiếp trên các dòng thiết bị phần cứng RouterBOARD và Switch vật lý với lưu lượng tải thực tế từ người dùng doanh nghiệp. Bên cạnh đó, giải pháp VPN được triển khai trong kịch bản thực nghiệm là PPTP – một giao thức có cấu hình đơn giản nhưng mức độ bảo mật chưa cao bằng các tiêu chuẩn hiện đại.
  • Hướng phát triển: Nghiên cứu và triển khai thử nghiệm các giao thức VPN có độ an toàn và mã hóa cao hơn như IPsec hoặc OpenVPN trên hệ điều hành RouterOS; mở rộng thử nghiệm cơ chế cân bằng tải đa đường truyền PCC trên hệ thống mạng vật lý; tích hợp giải pháp quản lý truy cập không dây Hotspot Gateway kết hợp máy chủ quản trị người dùng tập trung (User Manager / RADIUS) và ứng dụng phần mềm giám sát mạng The Dude của MikroTik để quản lý hạ tầng tập trung.

Giá trị tham khảo

Đồ án là tài liệu tham khảo có giá trị chuyên môn cao đối với:

  • Sinh viên ngành Công nghệ thông tin, Kỹ thuật Mạng và Truyền thông dữ liệu: Tài liệu cung cấp kiến thức toàn diện từ lý thuyết mạng phân cấp, mạng Campus, VPN đến quy trình thực hiện đồ án tốt nghiệp chuyên ngành kỹ thuật mạng.
  • Kỹ sư mạng và Quản trị viên hệ thống (System/Network Administrator): Đồ án là tài liệu hướng dẫn thực hành từng bước (step-by-step) về cách cấu hình hệ điều hành MikroTik RouterOS bằng Winbox và CLI, bao gồm cấu hình VLAN, Inter-VLAN routing, PPTP VPN, định tuyến phân luồng WAN, chính sách tường lửa và kiểm soát băng thông.
  • Các doanh nghiệp vừa và nhỏ: Tài liệu cung cấp cơ sở kỹ thuật và bài toán kinh tế rõ ràng để đánh giá, lựa chọn và tự triển khai hạ tầng mạng sử dụng thiết bị MikroTik với chi phí hợp lý.

Câu hỏi thường gặp

1. Đồ án sử dụng công cụ nào để mô phỏng và kiểm thử hệ thống mạng MikroTik?
Tác giả sử dụng phần mềm mô phỏng mạng GNS3 kết hợp môi trường máy ảo GNS3 VM. Hình ảnh hệ điều hành MikroTik RouterOS được cài đặt trực tiếp vào GNS3 VM để giả lập hoạt động của Router và Switch, cho phép kết nối và cấu hình trực quan thông qua công cụ quản trị Winbox, WebFig và giao diện dòng lệnh CLI.

2. Dòng thiết bị MikroTik nào được giới thiệu trong đồ án dành cho các tác vụ định tuyến mạng lõi đòi hỏi hiệu năng cao nhất?
Đó là dòng thiết bị Cloud Core Router (CCR), tiêu biểu là các mẫu CCR1009-7G-1C-PC và CCR1009-7G-1C-1S+PC. Dòng thiết bị này sử dụng bộ xử lý mạng đa lõi Tilera (9 nhân), hỗ trợ tăng tốc phần cứng cho mã hóa IPsec, trang bị cổng quang SFP+ tốc độ 10 Gbps, bộ nguồn kép dự phòng và có khả năng đạt thông lượng xử lý lên tới 51,5 triệu gói tin mỗi giây (51.5 Mpps).

3. Kỹ thuật cân bằng tải và gộp cổng (Bonding) trên RouterOS được đồ án phân tích gồm những cơ chế nào?
Về cân bằng tải, RouterOS hỗ trợ phương thức PCC (Per Connection Classifier) giúp chia đều lưu lượng thành các luồng kết nối độc lập. Về gộp cổng (Bonding Interface), thiết bị hỗ trợ các chế độ chính như Active-Backup (cung cấp dự phòng chịu lỗi, chỉ 1 cổng chạy, cổng còn lại dự phòng) và Balance-RR (cân bằng tải gói tin vòng tròn qua các cổng vật lý), kết hợp công cụ giám sát trạng thái đường truyền bằng giao thức ARP hoặc thuật toán MII.

4. Chính sách bảo mật tường lửa (Firewall) trong đồ án được cấu hình để giải quyết những kịch bản thực tế nào?
Trong Chương 3, tường lửa RouterOS được cấu hình để thực thi 3 kịch bản chính:

  1. Lọc và chặn người dùng nội bộ truy cập vào các trang web cụ thể theo địa chỉ IP và danh sách từ khóa chỉ định.
  2. Thiết lập quy tắc cách ly, cấm tuyệt đối phân đoạn mạng phòng Kế toán (VLAN Ketoan) truy cập ra ngoài Internet để bảo vệ dữ liệu nghiệp vụ.
  3. Kiểm soát gói tin ICMP liên phân vùng: cấu hình chặn phòng Giám đốc ping sang phòng Đào tạo, đồng thời cho phép máy chủ Web Server trong vùng DMZ ping được vào phòng Đào tạo.

5. Giải pháp VPN nào được cấu hình chi tiết trong phần thực nghiệm của đồ án và cơ chế hoạt động ra sao?
Đồ án triển khai giải pháp Remote Access VPN sử dụng giao thức PPTP (Point-to-Point Tunneling Protocol). Trên Router MikroTik, tác giả cấu hình PPTP Server, cấp phát dải IP riêng cho VPN Client, tạo tài khoản xác thực người dùng và kích hoạt chế độ proxy-arp trên cổng mạng. Cơ chế này cho phép người dùng làm việc từ xa kết nối an toàn vào hệ thống, nhận địa chỉ IP nội bộ và truy cập được Web Server vùng DMZ cũng như các tài nguyên mạng nội bộ khác.

Kết luận

Đồ án tốt nghiệp "Xây dựng Mạng Doanh Nghiệp với Router Switch MikroTik" đã nghiên cứu toàn diện từ cơ sở lý thuyết mạng phân cấp, cấu trúc module hóa đến các tính năng kỹ thuật chuyên sâu của hệ sinh thái MikroTik RouterOS và SwitchOS. Thông qua việc thiết kế và thực nghiệm mô phỏng trên phần mềm GNS3 kết hợp GNS3 VM, tác giả đã triển khai thành công một hạ tầng mạng doanh nghiệp hoàn chỉnh bao gồm phân vùng VLAN, phân luồng WAN, kết nối VPN từ xa, kiểm soát tường lửa và quản lý băng thông. Kết quả nghiên cứu chứng minh tính khả thi, hiệu năng mạnh mẽ và giá trị kinh tế vượt trội của thiết bị MikroTik trong việc xây dựng hệ thống mạng lõi cho các doanh nghiệp vừa và nhỏ.