Bối cảnh và vấn đề nghiên cứu

Trong xu thế phát triển của khoa học máy tính và công nghệ thông tin, hạ tầng mạng đóng vai trò là xương sống kết nối, cho phép các hệ thống máy tính trao đổi thông tin, dùng chung dữ liệu và chia sẻ tài nguyên phần cứng như máy in, thiết bị lưu trữ. Đối với các tổ chức và doanh nghiệp, việc xây dựng một hệ thống mạng cục bộ (LAN) đạt chuẩn không chỉ giúp tối ưu hóa hiệu suất làm việc mà còn bảo đảm tính an toàn, bảo mật dữ liệu nội bộ và tạo điều kiện thuận lợi cho công tác quản trị, phân quyền người dùng.

Tại Công ty Truyền thông Theanh28 (trụ sở tại Hà Nội), mô hình mạng ngang hàng (Workgroup) ban đầu bộc lộ nhiều hạn chế nghiêm trọng về khả năng quản lý và kiểm soát an ninh thông tin. Việc phân tán dữ liệu, thiếu cơ chế xác thực tập trung và nguy cơ gián đoạn hệ thống khi xảy ra sự cố phần cứng hoặc phần mềm đặt ra yêu cầu cấp thiết phải nâng cấp hạ tầng mạng. Đề tài "Xây dựng và triển khai hệ thống mạng cho công ty Theanh28" do sinh viên Phạm Khắc Huy thực hiện nhằm giải quyết bài toán quản trị tập trung, bảo vệ dữ liệu nội bộ và nâng cao năng suất vận hành.

Mục tiêu cụ thể của nghiên cứu bao gồm:

  1. Khảo sát hiện trạng mặt bằng, trang thiết bị và nhu cầu sử dụng dịch vụ mạng của các phòng ban tại Công ty Theanh28.
  2. Thiết kế mô hình mạng vật lý và logic, phân chia mạng cục bộ ảo (VLAN) và quy hoạch không gian địa chỉ IP.
  3. Mô phỏng hoạt động của hệ thống mạng trên phần mềm Cisco Packet Tracer.
  4. Triển khai cài đặt các dịch vụ mạng tập trung, trọng tâm là dịch vụ thư mục Active Directory Domain Services trên nền tảng Windows Server 2012, kết hợp các chính sách nhóm và dịch vụ hạ tầng mạng thiết yếu.

Đối tượng nghiên cứu là toàn bộ hạ tầng mạng, các thiết bị đầu cuối và hệ thống máy chủ phục vụ hoạt động của Công ty Theanh28. Phạm vi nghiên cứu về mặt không gian bao gồm tòa nhà làm việc 5 tầng của công ty tại khu vực Thành phố Hà Nội với khoảng 30 máy trạm, các thiết bị in ấn qua mạng và cụm máy chủ chuyên dụng; phạm vi thời gian thực hiện nghiên cứu ghi nhận vào năm 2023.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và công nghệ áp dụng

Đề tài dựa trên các nguyên lý quản trị mạng doanh nghiệp và hệ sinh thái máy chủ của Microsoft:

  • Active Directory Domain Services (AD DS): Kiến trúc dịch vụ thư mục quản lý tập trung tài khoản người dùng (User), nhóm (Group) và đơn vị tổ chức (Organizational Unit - OU), cung cấp cơ chế xác thực, ủy quyền và áp đặt chính sách an ninh thông qua Group Policy Object (GPO).
  • Mô hình sẵn sàng cao (High Availability): Thiết lập máy chủ kiểm soát miền phụ (Additional Domain Controller - ADC) nhằm chia sẻ tải và dự phòng sự cố cho Primary Domain Controller (PDC).
  • Mô hình phân đoạn mạng VLAN (Virtual LAN): Tách biệt lưu lượng mạng giữa các phòng ban chức năng để giảm miền quảng bá (broadcast domain), nâng cao tính bảo mật và hiệu năng truyền dẫn.
  • Hệ điều hành và dịch vụ nền tảng: Windows Server 2012 đóng vai trò hệ điều hành máy chủ; Windows 10 dành cho các máy trạm; các giao thức mạng cốt lõi bao gồm DNS (Domain Name System), DHCP (Dynamic Host Configuration Protocol), DHCP Relay Agent, FTP (File Transfer Protocol), HTTP/HTTPS (Internet Information Services - IIS) và chia sẻ tệp tin SMB/NTFS.

Phương pháp nghiên cứu

Tác giả kết hợp hai phương pháp nghiên cứu chính:

  1. Phương pháp nghiên cứu lý thuyết: Phân tích, tổng hợp tài liệu học thuật, giáo trình quản trị mạng và tài liệu kỹ thuật về các dịch vụ mạng trên Windows Server và thiết bị mạng Cisco.
  2. Phương pháp thực nghiệm mô phỏng:
    • Sử dụng phần mềm Cisco Packet Tracer để thiết kế sơ đồ topo, gán địa chỉ IP, cấu hình chia VLAN, định tuyến Inter-VLAN và kiểm thử kết nối giữa các phân vùng mạng.
    • Cài đặt và cấu hình thực nghiệm các vai trò (roles) và tính năng (features) trên máy ảo Windows Server 2012 và máy khách Windows 10.

Nguồn dữ liệu phục vụ nghiên cứu là số liệu khảo sát thực tế về cơ cấu phòng ban, số lượng nhân sự, vị trí bố trí thiết bị và danh mục ứng dụng nghiệp vụ tại Công ty Theanh28.

Nội dung chính theo từng chương

CHƯƠNG 1: KHẢO SÁT HỆ THỐNG MẠNG CÔNG TY THEANH28

Chương 1 tập trung khảo sát hiện trạng không gian, cơ sở vật chất và phân tích yêu cầu kỹ thuật của Công ty Truyền thông Theanh28 tại 5 tầng làm việc:

Vị trí Phòng ban chức năng Thiết bị đầu cuối & Trang bị
Tầng 1 Phòng Lễ tân
Phòng Marketing		 2 PC
4 PC + 1 Máy in qua mạng
Tầng 2 Phòng Dữ liệu và Phân tích
Phòng Sáng tạo và Sản xuất nội dung		 4 PC + 1 Máy in qua mạng
6 PC
Tầng 3 Phòng Media
Phòng Công nghệ Kỹ thuật số		 5 PC
4 PC
Tầng 4 Phòng Giám đốc
Phòng Giao tiếp công chúng
Phòng Tài chính		 1 PC + 1 Máy in qua mạng
4 PC + 1 Máy in qua mạng
4 PC + 1 Máy in qua mạng
Tầng 5 Phòng Server 1 Server quản lý User (DC), 1 Web Server, 2 Mail Server, 1 PC quản trị, đường truyền Internet

Khảo sát nhân sự cho thấy công ty có 30 nhân sự phân bổ tại các phòng ban. Từ hạn chế của mô hình mạng Workgroup, tác giả xác định các yêu cầu kỹ thuật:

  • Quản lý tài khoản người dùng tập trung bằng Domain Controller chạy Windows Server 2012, các máy khách dùng Windows 10.
  • Xây dựng hệ thống Domain đồng hành (Additional DC) và các cơ chế sao lưu dữ liệu (Backup/Restore).
  • Kiểm soát truy cập Internet, bảo vệ an ninh nội bộ, cung cấp máy in dùng chung và phân quyền truy cập thư mục theo vai trò.
  • Đánh giá mức độ cần thiết của các ứng dụng hệ thống và người dùng:
Tên ứng dụng Loại ứng dụng Tính cần thiết
Chia sẻ tập tin User Apps Rất cần thiết
Trình duyệt Web User Apps Cần thiết
Domain Controller System Apps Cần thiết
DHCP Server System Apps Rất cần thiết
DNS Server System Apps Rất cần thiết
Mail Server System Apps Cần thiết
Web Server System Apps Cần thiết
File Server System Apps Rất cần thiết
Network Monitor System Apps Rất cần thiết

Bên cạnh đó, chương 1 trình bày quy trình kỹ thuật nâng cấp máy chủ lên Domain Controller và các bước gia nhập miền (Join Domain) từ máy trạm Windows 10.

CHƯƠNG 2: THIẾT KẾ HỆ THỐNG MẠNG

Chương 2 trình bày chi tiết thiết kế logic và vật lý của hệ thống mạng.

1. Cấu trúc Đơn vị tổ chức (OU), Nhóm người dùng (Group) và Tài khoản (User)

Hệ thống được tổ chức thành 9 OU đại diện cho các phòng ban, tương ứng với các Group toàn cục (Global Group) và danh sách tài khoản cá nhân:

Tên OU Tên Group Danh sách tài khoản người dùng (User)
LETAN GG_LETAN CongTrieu, HuongGiang
MARKETING GG_MARKETING LanHuong, VietHoang, NgocChi, ThuHang
GIAMDOC (Không gán Group chung) KhacHuy
DULIEUPHANTICH GG_DULIEUPHANTICH ThuTrang, PhuongUyen, DucDat, DatVan
SANGTAOSANXUATNOIDUNG GG_SANGTAOSANXUATNOIDUNG TrongLam, ThuPhuong, PhuongThao, VanAnh, QuangKhai, HoangTuan
MEDIA GG_MEDIA HuongTra, HoangVan, HoangLan, LanAnh
CONGNGHEKYTHUATSO GG_CONGNGHEKYTHUATSO NguyenSon, TatHung, ManhNhat, DucHung
GIAOTIEPCONGCHUNG GG_GIAOTIEPCONGCHUNG DoXua, LinhNguyen, HoangLinh, DucDung
TAICHINH GG_TAICHINH TrongTan, VuMy, YenHoa, HaiAnh

2. Thiết kế phân quyền hệ thống tệp tin (Share & NTFS Permissions)

Tác giả xây dựng ma trận phân quyền truy cập tài nguyên chia sẻ, kết hợp giữa quyền chia sẻ mạng (Share Permission) và quyền hệ thống tệp tin (NTFS Permission) nhằm bảo đảm an toàn dữ liệu:

Thư mục chia sẻ Đối tượng truy cập (Group / User) Share Permission NTFS Permission
Marketing_dungchung GG_Marketing
Tài khoản cá nhân Marketing PC		 Read & Execute
Full Control		 Read
Modify
LeTan_dungchung GG_LeTan
Tài khoản cá nhân Lễ tân PC		 Modify
Full Control		 Read & Execute
Modify
KhacHuy_PC KhacHuy (Giám đốc) Read & Execute Read
DuLieuPhanTich_dungchung GG_DuLieuPhanTich
Tài khoản cá nhân Dữ liệu PC		 Read & Execute
Full Control		 Read
Modify
TaiChinh_dungchung GG_TaiChinh
Tài khoản cá nhân Tài chính PC		 Read & Execute
Full Control		 Read
Modify
CongNgheKyThuatSo_dungchung GG_CongNgheKyThuatSo
Tài khoản cá nhân Công nghệ PC		 Read & Execute
Full Control		 Read
Modify
GiaoTiepCongChung_dungchung GG_GiaoTiepCongChung
Tài khoản cá nhân Giao tiếp PC		 Read & Execute
Full Control		 Read
Modify
Media_dungchung GG_Media
Tài khoản cá nhân Media PC		 Read & Execute
Full Control		 Read
Modify
SangTaoSanXuatNoiDung_dungchung GG_SangTaoSanXuatNoiDung Read & Execute Read

3. Thiết kế sơ đồ logic và quy hoạch địa chỉ IP theo VLAN

Do số lượng máy tính tại mỗi phòng ban không vượt quá 10 PC, mạng được chia thành các VLAN độc lập tương ứng với từng đơn vị:

  • VLAN 10 (Lễ tân): Dải mạng 192.1..., IP đại diện 192.3.
  • VLAN 20 (Marketing): Dải mạng 192.17..., IP đại diện 192.21.
  • VLAN 30 (Sáng tạo & Sản xuất nội dung): Dải mạng 192.33..., IP đại diện 192.39.
  • VLAN 40 (Dữ liệu & Phân tích): Dải mạng 192.49..., IP đại diện 192.53.
  • VLAN 50 (Công nghệ kỹ thuật số): Dải mạng 192.65..., IP đại diện 192.69.
  • VLAN 60 (Media): Dải mạng 192.81..., IP đại diện 192.86.
  • VLAN 70 (Giao tiếp công chúng): Dải mạng 192.97..., IP đại diện 192.101.
  • VLAN 80 (Giám đốc): Dải mạng 192.113..., IP đại diện 192.114.
  • VLAN 90 (Tài chính): Dải mạng 192.129..., IP đại diện 192.134.
  • VLAN 100 (Server Farm): Gán IP tĩnh gồm DNS Server (192.147) và FTP Server (192.148).

CHƯƠNG 3: TRIỂN KHAI DỊCH VỤ MẠNG

Chương 3 trình bày các bước cấu hình thực tế và kiểm thử hệ thống qua hai giai đoạn:

  1. Mô phỏng hạ tầng mạng trên Cisco:

    • Xây dựng mô hình kết nối các switch và router trên Cisco Packet Tracer.
    • Cấu hình VLAN, kiểm tra trạng thái VLAN thông qua lệnh Show Vlan.
    • Cấu hình cấp phát địa chỉ động và phân giải tên miền, kiểm tra qua Show network, default-router, dns-server.
    • Cấu hình bảng định tuyến Show ip route để liên thông các mạng con.
    • Kiểm thử các dịch vụ truyền tệp FTP, dịch vụ thư điện tử Email, dịch vụ duyệt Web trên trình duyệt máy trạm.

  2. Triển khai dịch vụ máy chủ trên Windows Server 2012:

    • Cài đặt và nâng cấp Windows Server 2012 thành Domain Controller chính và cấu hình máy chủ Additional Domain Controller để dự phòng.
    • Thực hiện Join Domain cho máy trạm Windows 10.
    • Khởi tạo 9 OU, danh sách User và Group theo thiết kế; cấu hình ủy quyền quản trị (Delegation of Control) trên từng OU và cài đặt bộ công cụ RSAT để kéo giao diện quản trị Active Directory Users and Computers về máy khách của quản trị viên.
    • Triển khai dịch vụ tệp tin: Phân quyền chia sẻ, thiết lập hạn ngạch dung lượng ổ đĩa (Disk Quota), cấu hình Office File, ánh xạ ổ đĩa mạng (Map Network Drive), thư mục cá nhân (Home Folder), tính năng sao lưu bản sao bóng (Shadow Copy), hồ sơ người dùng chuyển vùng (Roaming User Profile) và chuyển hướng thư mục (Folder Redirection).
    • Triển khai Group Policy Objects (GPO): Tự động đặt hình nền máy tính đồng bộ cho máy Client, vô hiệu hóa Task Manager và khóa quyền truy cập Control Panel đối với người dùng thông thường.
    • Triển khai các dịch vụ mạng hạ tầng: Cài đặt máy chủ Web IIS, cấu hình DHCP Server và đại lý chuyển tiếp DHCP Relay Agent, cấu hình cơ chế dự phòng DHCP Backup, thiết lập máy chủ DNS và DNS Backup, xây dựng máy chủ FTP chia sẻ dữ liệu và công cụ giám sát mạng Network Monitor.

Thiết kế và triển khai

Hệ thống mạng được thiết kế theo cấu trúc phân tầng kết hợp giữa thiết bị mạng Cisco và hệ thống quản trị máy chủ Microsoft:

[Internet]
[Router Gateway]

Các thành phần kỹ thuật chính đã triển khai:

  1. Kiến trúc quản trị và xác thực: Quản trị miền thống nhất sử dụng Windows Server 2012 AD DS, chia tách 9 đơn vị tổ chức (OU), kiểm soát toàn bộ 30 tài khoản người dùng và phân quyền theo 8 nhóm toàn cục.
  2. Quản trị chính sách nhóm (GPO):
    • Áp dụng chính sách cấp phát hình nền đồng bộ nhận diện thương hiệu công ty.
    • Hạn chế quyền can thiệp hệ thống của người dùng bằng cách cấm truy cập Task Manager và Control Panel.
  3. Cơ chế dự phòng và an toàn dữ liệu:
    • Triển khai Additional Domain Controller hoạt động song song với Primary Domain Controller.
    • Thiết lập DHCP Backup và DNS Backup nhằm duy trì liên tục hoạt động cấp phát IP và phân giải tên miền.
    • Sử dụng tính năng Shadow Copy trên File Server để phục hồi các phiên bản dữ liệu trước đó khi có sự cố ghi đè hoặc xóa nhầm.
    • Phân bổ hạn ngạch đĩa (Disk Quota) tránh tình trạng cạn kiệt tài nguyên lưu trữ máy chủ.

Kết quả và đóng góp

Kết quả đạt được

  • Hoàn thành báo cáo đồ án: Tổng hợp đầy đủ cơ sở lý thuyết, số liệu khảo sát và các tài liệu hướng dẫn cấu hình chi tiết hệ thống mạng doanh nghiệp.
  • Xây dựng mô hình mô phỏng hoàn chỉnh: Thực hiện thiết kế và kiểm thử thành công hệ thống mạng trên phần mềm Cisco Packet Tracer với 10 VLAN chức năng, liên thông dữ liệu qua router và vận hành thông suốt các dịch vụ Web, FTP, Email.
  • Triển khai thành công hệ thống dịch vụ Windows Server 2012:
    • Cài đặt và cấu hình hoàn chỉnh dịch vụ Active Directory Domain Services, quản lý tập trung 9 OU, 30 tài khoản người dùng và các nhóm quyền.
    • Thiết lập thành công các tính năng nâng cao của File Server (Share/NTFS Permissions, Disk Quota, Home Folder, Shadow Copy, Folder Redirection).
    • Triển khai ổn định các dịch vụ mạng hạ tầng cốt lõi: DHCP, DHCP Relay Agent, DHCP Backup, DNS, DNS Backup, IIS và FTP.

Đóng góp thực tiễn

  • Đưa ra phương án chuyển đổi hiệu quả từ mô hình mạng ngang hàng Workgroup phân tán sang mô hình mạng khách/chủ (Client/Server) có quản trị miền tập trung.
  • Cung cấp mô hình phân chia VLAN và phân quyền dữ liệu mẫu cho các doanh nghiệp truyền thông quy mô vừa và nhỏ có cơ cấu tổ chức theo tầng và theo phòng ban chuyên môn.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Nghiên cứu chủ yếu được thực nghiệm trong môi trường mô phỏng (Cisco Packet Tracer) và máy ảo; chưa kiểm thử thực tế trên toàn bộ phần cứng vật lý tại doanh nghiệp. Quy mô mạng thiết kế ở mức độ phòng ban với số lượng máy trạm dưới 10 máy/phòng, chưa mở rộng các phương án kết nối mạng diện rộng (WAN) hoặc mạng không dây chuyên dụng. Đồ án cũng chưa đi sâu vào các giải pháp an ninh mạng nâng cao như tường lửa cứng chuyên dụng, hệ thống phát hiện xâm nhập (IDS/IPS) hay chứng chỉ số SSL/TLS mở rộng.
  • Hướng phát triển: Nghiên cứu mở rộng hệ thống mạng kết nối đa chi nhánh thông qua VPN Site-to-Site, tích hợp cơ chế xác thực đa yếu tố (MFA) cho dịch vụ Active Directory, và triển khai giải pháp đám mây lai (Hybrid Cloud) kết hợp giữa Windows Server nội bộ và hạ tầng điện toán đám mây.

Giá trị tham khảo

Tài liệu là nguồn tham khảo hữu ích cho sinh viên ngành Công nghệ thông tin, Mạng máy tính và Truyền thông dữ liệu, cũng như các kỹ sư quản trị hệ thống đang tìm hiểu về:

  • Quy trình khảo sát và thiết kế mạng LAN phân tầng cho tòa nhà văn phòng.
  • Phương pháp quy hoạch VLAN và gán địa chỉ IP logic theo phòng ban chức năng.
  • Ma trận phân quyền kết hợp Share Permissions và NTFS Permissions trên hệ thống tệp tin Windows Server.
  • Các bước triển khai dịch vụ Active Directory, Additional Domain Controller, Group Policy và các dịch vụ mạng nền tảng (DNS, DHCP, IIS, FTP).

Câu hỏi thường gặp

1. Hạ tầng vật lý của Công ty Theanh28 được phân bổ như thế nào qua các tầng?

Hệ thống mạng được bố trí trên 5 tầng làm việc: Tầng 1 gồm Lễ tân (2 PC) và Marketing (4 PC, 1 máy in mạng); Tầng 2 gồm Dữ liệu & Phân tích (4 PC, 1 máy in mạng) và Sáng tạo & Sản xuất nội dung (6 PC); Tầng 3 gồm Media (5 PC) và Công nghệ kỹ thuật số (4 PC); Tầng 4 gồm Ban Giám đốc (1 PC, 1 máy in mạng), Giao tiếp công chúng (4 PC, 1 máy in mạng) và Tài chính (4 PC, 1 máy in mạng); Tầng 5 là Phòng Server chứa các máy chủ quản trị người dùng, Web, Mail, PC quản trị và kết nối Internet.

2. Hệ thống mạng logic được phân chia thành những VLAN nào?

Hệ thống chia thành 10 VLAN riêng biệt: VLAN 10 (Lễ tân), VLAN 20 (Marketing), VLAN 30 (Sáng tạo & Sản xuất nội dung), VLAN 40 (Dữ liệu & Phân tích), VLAN 50 (Công nghệ kỹ thuật số), VLAN 60 (Media), VLAN 70 (Giao tiếp công chúng), VLAN 80 (Giám đốc), VLAN 90 (Tài chính) và VLAN 100 (Dành riêng cho hệ thống máy chủ Server Farm).

3. Cơ chế phân quyền dữ liệu trên File Server được thiết lập theo nguyên tắc nào?

Hệ thống áp dụng cơ chế kết hợp giữa Share Permissions và NTFS Permissions. Đối với thư mục dùng chung của phòng ban, Group chung của phòng được cấp quyền Share Permission "Read & Execute" (hoặc Modify) và quyền NTFS "Read" (hoặc Read & Execute), trong khi các tài khoản người dùng cá nhân trên máy trạm của họ được cấp quyền Full Control hoặc Modify để chủ động xử lý công việc.

4. Những chính sách nhóm (Group Policy) cụ thể nào đã được triển khai cho máy trạm?

Tác giả đã cấu hình 3 chính sách nhóm GPO chính: Cấp phát và khóa hình nền desktop đồng bộ nhận diện thương hiệu cho toàn bộ máy Client; cấm người dùng truy cập và can thiệp vào trình quản lý tác vụ Task Manager; cấm người dùng truy cập vào bảng điều khiển hệ thống Control Panel để ngăn ngừa thay đổi cấu hình máy trạm trái phép.

5. Giải pháp nào được sử dụng để bảo đảm tính sẵn sàng cao và dự phòng sự cố cho các dịch vụ mạng?

Đồ án triển khai máy chủ Additional Domain Controller (ADC) chạy song song với Primary Domain Controller; thiết lập các dịch vụ dự phòng DHCP Backup và DNS Backup; đồng thời kích hoạt tính năng sao lưu dữ liệu Shadow Copy trên máy chủ tệp tin để bảo vệ dữ liệu người dùng khi có sự cố.

Kết luận

Bài tập lớn/đồ án môn học của sinh viên Phạm Khắc Huy đã giải quyết trọn vẹn bài toán xây dựng và triển khai hạ tầng mạng cho Công ty Truyền thông Theanh28 trên nền tảng Windows Server 2012 và thiết bị Cisco. Công trình đã khảo sát chi tiết 5 tầng làm việc, quy hoạch thành công 10 VLAN logic và thiết lập hệ thống Active Directory quản lý tập trung 9 đơn vị tổ chức (OU) cùng 30 tài khoản người dùng. Kết quả mô phỏng trên Cisco Packet Tracer và cấu hình thực nghiệm trên máy chủ đã chứng minh tính khả thi, độ tin cậy và khả năng bảo mật cao của phương án thiết kế.