Vietnamese Professional

Vietnamese Professional - CCNP Design https://www.forum.vnpro.org/ vi Wed, 22 Jul 2026 12:30:27 GMT vBulletin 60 images/misc/rss.png Vietnamese Professional - CCNP Design https://www.forum.vnpro.org/ Case Study: Thiết Kế Kiến Trúc Zero Trust Remote Access VPN Cho Doanh Nghiệp Tài Chính Toàn Cầu https://www.forum.vnpro.org/forum/ccnp-enterprise/design/443017-case-study-thiết-kế-kiến-trúc-zero-trust-remote-access-vpn-cho-doanh-nghiệp-tài-chính-toàn-cầu Wed, 22 Jul 2026 00:49:08 GMT Case Study: Thiết Kế Kiến Trúc Zero Trust Remote Access VPN Cho Doanh Nghiệp Tài Chính Toàn Cầu Bối cảnh Một tập đoàn tài chính đa quốc gia... Case Study: Thiết Kế Kiến Trúc Zero Trust Remote Access VPN Cho Doanh Nghiệp Tài Chính Toàn Cầu

Bối cảnh

Một tập đoàn tài chính đa quốc gia có hàng trăm chuyên viên phân tích (Financial Analysts) thường xuyên đi công tác và làm việc từ xa. Họ kết nối vào hệ thống doanh nghiệp từ các mạng Wi-Fi công cộng tại sân bay, khách sạn, quán cà phê hoặc trung tâm hội nghị.

Mặc dù hình thức làm việc này mang lại sự linh hoạt, nhưng cũng kéo theo nhiều rủi ro bảo mật:

Thiết bị đầu cuối có thể đã bị nhiễm mã độc hoặc chưa được cập nhật bản vá.
Lưu lượng VPN có nguy cơ bị nghe lén hoặc tấn công Man-in-the-Middle trên các mạng Wi-Fi công cộng.
Thông tin xác thực của người dùng có thể bị đánh cắp thông qua các cuộc tấn công phishing hoặc giả mạo điểm truy cập (Evil Twin).
Nếu một thiết bị bị xâm nhập, kẻ tấn công có thể di chuyển ngang (Lateral Movement) trong mạng nội bộ và tiếp cận các ứng dụng tài chính quan trọng.

Do đó, doanh nghiệp quyết định triển khai mô hình Zero Trust Remote Access VPN (RAVPN) nhằm đảm bảo không người dùng hay thiết bị nào được tin cậy mặc định, bất kể họ kết nối từ đâu.

Yêu cầu thiết kế

Nhóm Security Architect đặt ra các yêu cầu sau:

Hỗ trợ máy tính Windows và thiết bị iOS.
Xác thực bằng chứng chỉ số kết hợp với RADIUS.
Kiểm tra trạng thái bảo mật (Posture Assessment) trước khi cấp quyền truy cập.
Chỉ cho phép truy cập các ứng dụng tài chính theo đúng vai trò công việc.
Hỗ trợ High Availability cho hệ thống VPN Headend.
Tích hợp DNS-layer Security nhằm ngăn chặn truy cập tới các miền độc hại.

Kiến trúc đề xuất

Giải pháp được xây dựng dựa trên ba thành phần chính:

Cisco Secure Client trên máy người dùng.
Cisco Secure Firewall đóng vai trò VPN Headend.
Cisco Identity Services Engine (ISE) chịu trách nhiệm xác thực, đánh giá Posture và cấp quyền truy cập động.

Luồng xử lý diễn ra như sau:

Người dùng khởi tạo kết nối VPN bằng Cisco Secure Client.
Cisco Secure Firewall thiết lập đường hầm SSL/TLS và xác thực chứng chỉ số của thiết bị.
Firewall chuyển yêu cầu xác thực đến Cisco ISE thông qua giao thức RADIUS.
Cisco ISE xác minh danh tính người dùng và thực hiện Posture Assessment, bao gồm:
- Phiên bản hệ điều hành.
- Mức cập nhật bản vá.
- Trạng thái Antivirus/EDR.
- Mã hóa ổ đĩa (Disk Encryption).
Chỉ khi cả người dùng và thiết bị đều đạt yêu cầu, ISE mới cấp quyền truy cập.
Cisco ISE áp dụng Downloadable ACL (dACL) hoặc Scalable Group Tag (SGT) để giới hạn quyền truy cập đúng theo vai trò của người dùng.
Cisco Secure Client tích hợp Cisco Secure Umbrella để thực hiện DNS-layer Protection, chặn truy cập tới các tên miền độc hại ngay cả khi người dùng làm việc ngoài văn phòng.

Các nguyên tắc Zero Trust được áp dụng

1. Verify Explicitly

Mỗi phiên truy cập đều phải xác thực cả người dùng và thiết bị.

Không chỉ kiểm tra tài khoản đăng nhập, hệ thống còn đánh giá tình trạng bảo mật của thiết bị trước khi cấp quyền truy cập.

2. Least Privilege Access

Sau khi xác thực thành công, người dùng không được cấp quyền truy cập toàn bộ mạng nội bộ.

Ví dụ:

Chuyên viên phân tích tài chính chỉ được phép truy cập:
- Financial Dashboard
- ERP
- Reporting Server

Họ không thể truy cập:

Domain Controller
Server Backup
Hệ thống quản trị mạng
Máy chủ HR

Quyền truy cập được kiểm soát động thông qua SGT hoặc Downloadable ACL thay vì dựa trên địa chỉ IP.

3. Assume Breach

Hệ thống luôn giả định rằng:

Thiết bị có thể đã bị xâm nhập.
Mạng Wi-Fi công cộng không đáng tin cậy.
Thông tin xác thực có thể đã bị đánh cắp.

Vì vậy, mọi kết nối đều được kiểm tra liên tục và chỉ được cấp quyền tối thiểu cần thiết.

Thiết kế High Availability

Để đảm bảo dịch vụ VPN luôn sẵn sàng, doanh nghiệp triển khai:

Hai Cisco Secure Firewall VPN Headend chạy HA.
Cân bằng tải và tự động chuyển đổi khi xảy ra sự cố.
Cisco ISE triển khai theo mô hình Distributed Deployment nhằm đảm bảo dịch vụ AAA luôn hoạt động.

Điều này giúp người dùng duy trì kết nối ổn định ngay cả khi một VPN Headend gặp lỗi.

Lợi ích của thiết kế

Sau khi triển khai, doanh nghiệp đạt được nhiều lợi ích:

Xác thực đa lớp bằng chứng chỉ số và RADIUS.
Chỉ các thiết bị đạt chuẩn bảo mật mới được phép truy cập.
Quyền truy cập được cấp theo ứng dụng và vai trò thay vì theo vị trí mạng.
DNS-layer Protection giúp giảm nguy cơ truy cập vào các tên miền độc hại.
Hạn chế đáng kể khả năng Lateral Movement nếu một thiết bị bị xâm nhập.
Kiến trúc High Availability đảm bảo dịch vụ VPN luôn sẵn sàng.

Góc nhìn của Security Architect

Điểm quan trọng nhất của mô hình này là VPN không còn là cánh cửa mở vào toàn bộ mạng doanh nghiệp.

Trong kiến trúc VPN truyền thống, sau khi xác thực thành công, người dùng thường được cấp quyền truy cập vào một vùng mạng khá rộng. Nếu thiết bị bị xâm nhập, kẻ tấn công có thể lợi dụng kết nối VPN để di chuyển sang các hệ thống khác.

Với mô hình Zero Trust RAVPN, VPN chỉ đóng vai trò thiết lập một kết nối an toàn. Quyền truy cập thực sự được quyết định dựa trên danh tính người dùng, trạng thái bảo mật của thiết bị, vai trò công việc và ngữ cảnh của phiên làm việc. Ngay cả khi đã kết nối VPN, người dùng vẫn chỉ được phép truy cập đúng những ứng dụng cần thiết cho công việc của mình. Đây chính là điểm khác biệt cốt lõi giữa VPN truyền thống và kiến trúc Zero Trust Network Access (ZTNA) hiện đại.
]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/443017-case-study-thiết-kế-kiến-trúc-zero-trust-remote-access-vpn-cho-doanh-nghiệp-tài-chính-toàn-cầu SSL VPN thực ra không còn dùng SSL nữa! https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442900-ssl-vpn-thực-ra-không-còn-dùng-ssl-nữa Sun, 19 Jul 2026 01:57:00 GMT SSL VPN thực ra không còn dùng SSL nữa! Có một sự thật khiến rất nhiều kỹ sư mạng bất ngờ: SSL VPN ngày nay không còn sử dụng giao thức SSL. Mặc... SSL VPN thực ra không còn dùng SSL nữa!

Có một sự thật khiến rất nhiều kỹ sư mạng bất ngờ: SSL VPN ngày nay không còn sử dụng giao thức SSL. Mặc dù tên gọi vẫn là SSL VPN, nhưng các triển khai hiện đại thực tế sử dụng TLS (Transport Layer Security) và DTLS (Datagram TLS) để bảo vệ dữ liệu.

SSL được Netscape phát triển từ những năm 1990, nhưng các phiên bản SSL 2.0 và SSL 3.0 đã bị loại bỏ vì tồn tại nhiều lỗ hổng bảo mật. Từ đó, TLS trở thành chuẩn thay thế và liên tục được cải tiến, với TLS 1.3 (RFC 8446) là phiên bản mới nhất đang được sử dụng rộng rãi.

Tuy nhiên, thuật ngữ "SSL" đã trở nên quá phổ biến nên vẫn được dùng trong rất nhiều sản phẩm và tài liệu. Bạn vẫn sẽ gặp các khái niệm như SSL VPN, SSL Certificate, hay các trường ssl.record trong Wireshark, mặc dù phía sau đều đang sử dụng TLS. Vì vậy, nhiều tài liệu thường gọi chung là SSL/TLS để tránh gây nhầm lẫn.

Trong Cisco Secure Client (AnyConnect), kết nối Remote-Access VPN sử dụng cả TLS và DTLS:

TLS hoạt động trên TCP, đảm bảo truyền dữ liệu tin cậy và phù hợp với các ứng dụng như web, email hoặc truyền tệp.
DTLS hoạt động trên UDP, cung cấp mức bảo mật tương đương TLS nhưng có độ trễ thấp hơn, rất phù hợp cho các ứng dụng thời gian thực như thoại VoIP và hội nghị truyền hình.

Khi thiết lập VPN, Cisco Secure Client sẽ ưu tiên sử dụng DTLS để đạt hiệu năng tốt nhất. Nếu DTLS không khả dụng hoặc bị chặn trên đường truyền, kết nối sẽ tự động chuyển sang TLS để đảm bảo VPN vẫn hoạt động ổn định.

Điểm cần nhớ: Mặc dù vẫn được gọi là SSL VPN, nhưng hầu hết các giải pháp VPN hiện đại, bao gồm Cisco Secure Client, thực tế đều sử dụng TLS và DTLS thay cho SSL. DTLS mang lại hiệu năng cao hơn cho lưu lượng thời gian thực, còn TLS đảm bảo khả năng tương thích và độ tin cậy cho mọi loại ứng dụng.

]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442900-ssl-vpn-thực-ra-không-còn-dùng-ssl-nữa Mạng LAN https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442820-mạng-lan Thu, 16 Jul 2026 23:03:20 GMT Mạng LAN (Local Area Network) LAN (Local Area Network) là mạng máy tính cục bộ, kết nối các thiết bị và thành phần mạng nằm trong một khu vực... Mạng LAN (Local Area Network)

LAN (Local Area Network) là mạng máy tính cục bộ, kết nối các thiết bị và thành phần mạng nằm trong một khu vực địa lý nhỏ, chẳng hạn như một căn nhà, văn phòng, tòa nhà hoặc khuôn viên doanh nghiệp. LAN cho phép các thiết bị giao tiếp và chia sẻ dữ liệu với nhau một cách nhanh chóng trong phạm vi nội bộ.

Ví dụ, trong một gia đình hoặc văn phòng nhỏ, LAN có thể kết nối nhiều máy tính với máy in và chia sẻ chung kết nối Internet. Trong các doanh nghiệp lớn, nhiều mạng LAN được triển khai trên nhiều tầng hoặc nhiều tòa nhà để phục vụ hàng trăm, thậm chí hàng nghìn người dùng.

Ngày nay, LAN không chỉ bao gồm các kết nối có dây mà còn tích hợp Wi-Fi để hỗ trợ laptop, điện thoại thông minh, máy tính bảng và nhiều thiết bị IoT khác. Lợi ích của mạng LAN

Mạng LAN mang lại nhiều lợi ích như:

Cho phép các thiết bị chia sẻ tập tin và dữ liệu.
Chia sẻ chung kết nối Internet.
Hỗ trợ cả kết nối có dây và không dây.
Cho phép truy cập, quản lý hoặc điều khiển các thiết bị khác trong cùng mạng.

Hai mô hình mạng LAN phổ biến

Client/Server LAN

Trong mô hình này, nhiều máy khách (Client) kết nối đến một máy chủ trung tâm (Server).

Server chịu trách nhiệm:

Lưu trữ dữ liệu.
Cung cấp ứng dụng.
Quản lý tài khoản người dùng.
Điều khiển quyền truy cập.
Quản lý lưu lượng mạng.

Đây là mô hình được sử dụng phổ biến trong doanh nghiệp nhờ khả năng mở rộng, quản lý tập trung và bảo mật cao.

Peer-to-Peer LAN

Mô hình Peer-to-Peer không có máy chủ trung tâm.

Mỗi máy tính vừa có thể sử dụng tài nguyên của máy khác, vừa chia sẻ tài nguyên của mình cho các thiết bị còn lại.

Đặc điểm:

Dễ triển khai.
Chi phí thấp.
Phù hợp với gia đình hoặc văn phòng nhỏ.
Không thích hợp cho môi trường có nhiều người dùng hoặc khối lượng công việc lớn.

Hầu hết các mạng gia đình hiện nay đều sử dụng mô hình Peer-to-Peer.

Campus Network là gì?

Campus Network là mạng được hình thành từ nhiều mạng LAN kết nối với nhau trong cùng một khu vực địa lý giới hạn, chẳng hạn như:

Trường đại học.
Khuôn viên doanh nghiệp.
Bệnh viện.
Nhà máy.
Khu công nghiệp.

Campus Network giúp các tòa nhà hoặc phòng ban có thể:

Giao tiếp với nhau.
Chia sẻ tài nguyên.
Truy cập các dịch vụ dùng chung.
Hỗ trợ số lượng lớn người dùng với hiệu năng cao và bảo mật tốt.

]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442820-mạng-lan Mạng doanh nghiệp phát triển như thế nào theo thời gian? - Digital Readiness Model https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442716-mạng-doanh-nghiệp-phát-triển-như-thế-nào-theo-thời-gian-digital-readiness-model Wed, 15 Jul 2026 03:19:13 GMT Bạn sẽ nhận ra rằng quản trị mạng không chỉ là cấu hình thiết bị, mà còn là quản lý cả một hệ thống có thể phục vụ hàng nghìn người dùng một cách ổn... quản trị mạng không chỉ là cấu hình thiết bị, mà còn là quản lý cả một hệ thống có thể phục vụ hàng nghìn người dùng một cách ổn định và an toàn.
Trong một tài liệu của Cisco, mình khá ấn tượng với Digital Readiness Model – mô hình mô tả cách một hạ tầng mạng phát triển theo thời gian, từ những hệ thống vận hành hoàn toàn thủ công cho đến những mạng có khả năng tự động hóa và tự vận hành.
Điều thú vị là hầu hết doanh nghiệp đều đang đi trên hành trình này, chỉ khác nhau ở việc họ đang đứng ở giai đoạn nào. Giai đoạn 1: Best Effort – "Có sự cố mới xử lý"

Đây là giai đoạn đầu tiên và cũng là nơi rất nhiều doanh nghiệp nhỏ từng bắt đầu.
Hệ thống mạng ở mức này thường chưa có quy trình quản lý rõ ràng. Mỗi thiết bị được cấu hình riêng lẻ, khi xảy ra sự cố thì quản trị viên mới đăng nhập vào từng Router hoặc Switch để kiểm tra.
Ví dụ:

Mạng chậm? Kiểm tra từng thiết bị.

Wi-Fi mất kết nối? Đi kiểm tra Access Point.

Người dùng không truy cập được Internet? Đăng nhập Router để xem log.

Mọi thứ đều mang tính phản ứng (Reactive) hơn là chủ động. Giai đoạn 2: Manual – Quản lý tập trung nhưng vẫn làm bằng tay

Khi hệ thống lớn hơn, doanh nghiệp bắt đầu sử dụng các nền tảng quản lý tập trung.
Thay vì phải đăng nhập từng Switch hay Access Point, quản trị viên có thể theo dõi toàn bộ thiết bị trên một giao diện duy nhất.
Tuy nhiên, phần lớn công việc vẫn phải thao tác thủ công:

Tạo VLAN

Cấu hình Port

Nâng cấp Firmware

Phân quyền người dùng

Nói cách khác, doanh nghiệp đã có công cụ hỗ trợ nhưng con người vẫn là trung tâm của mọi thao tác. Giai đoạn 3: Semi-Automated – Bắt đầu tự động hóa

Đây là giai đoạn mà mình thấy rất nhiều doanh nghiệp hiện nay đang hướng tới.
Thay vì cấu hình từng thiết bị, quản trị viên bắt đầu sử dụng:

Python

Ansible

REST API

Zero Touch Provisioning (ZTP)

Ví dụ, nếu cần cấu hình VLAN cho 100 Switch, trước đây bạn có thể phải đăng nhập 100 lần. Nhưng với Ansible, chỉ cần một Playbook là toàn bộ thiết bị sẽ được cấu hình trong vài phút.
Không chỉ tiết kiệm thời gian, việc tự động hóa còn giúp giảm đáng kể những lỗi do thao tác thủ công.
Đây cũng là lý do vì sao ngày càng nhiều tin tuyển dụng Network Engineer yêu cầu ứng viên biết thêm lập trình hoặc tự động hóa. Giai đoạn 4: Automated – Hệ thống chủ động hơn

Ở mức này, mạng không còn đơn thuần thực hiện theo lệnh của con người mà đã có khả năng tự phản ứng với các thay đổi.
Chẳng hạn:

Khi một đường truyền bị quá tải, hệ thống có thể tự cân bằng lưu lượng.

Khi phát hiện một Access Point phục vụ quá nhiều người dùng, Controller sẽ tự điều chỉnh để phân tải.

Khi có dấu hiệu bất thường về bảo mật, Firewall có thể tự động áp dụng chính sách bảo vệ.

Người quản trị lúc này không còn dành quá nhiều thời gian để "chữa cháy", mà tập trung vào việc xây dựng chính sách và tối ưu hệ thống. Giai đoạn 5: Self-Driving – Mạng tự vận hành

Đây là mục tiêu mà các hãng như Cisco, Juniper hay HPE Aruba đang hướng tới.
Một hệ thống Self-Driving có thể:

Tự giám sát.

Tự phân tích dữ liệu.

Tự phát hiện sự cố.

Đưa ra khuyến nghị hoặc tự xử lý theo chính sách đã định.

Ví dụ, hệ thống có thể nhận ra rằng mỗi sáng thứ Hai lưu lượng luôn tăng đột biến và chủ động điều chỉnh tài nguyên trước khi người dùng cảm thấy mạng chậm.
Hay khi phát hiện một thiết bị có dấu hiệu sắp gặp sự cố, hệ thống sẽ cảnh báo hoặc tự động chuyển lưu lượng sang tuyến khác để đảm bảo dịch vụ không bị gián đoạn.
Đó cũng là lúc AI và Machine Learning bắt đầu đóng vai trò quan trọng trong việc quản trị mạng.

]]> CCNP Design Huỳnh Tấn Đạt https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442716-mạng-doanh-nghiệp-phát-triển-như-thế-nào-theo-thời-gian-digital-readiness-model TIG Stack – Bộ ba mã nguồn mở giúp giám sát hạ tầng mạng theo thời gian thực https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442704-tig-stack-–-bộ-ba-mã-nguồn-mở-giúp-giám-sát-hạ-tầng-mạng-theo-thời-gian-thực Tue, 14 Jul 2026 12:34:30 GMT TIG Stack – Bộ ba mã nguồn mở giúp giám sát hạ tầng mạng theo thời gian thực Khi quản trị hàng chục hoặc hàng trăm thiết bị mạng, câu hỏi không... TIG Stack – Bộ ba mã nguồn mở giúp giám sát hạ tầng mạng theo thời gian thực

Khi quản trị hàng chục hoặc hàng trăm thiết bị mạng, câu hỏi không còn là "thiết bị có đang hoạt động không?" mà là "điều gì đang diễn ra trên thiết bị ngay lúc này?"

Đó cũng là lý do nhiều kỹ sư mạng lựa chọn TIG Stack – một bộ công cụ mã nguồn mở gồm Telegraf, InfluxDB và Grafana để xây dựng hệ thống giám sát và trực quan hóa dữ liệu telemetry.

Điểm hay của TIG Stack là mỗi thành phần đảm nhận một nhiệm vụ riêng nhưng kết hợp với nhau rất hiệu quả.

1. Telegraf – Thu thập dữ liệu (Collector)

Telegraf là thành phần đứng gần thiết bị mạng nhất. Nhiệm vụ của nó là thu thập dữ liệu từ Router, Switch, Firewall, Server hoặc các dịch vụ cloud.

Với thiết bị Cisco IOS XE, Telegraf có thể nhận dữ liệu Model-Driven Telemetry (MDT) thông qua:

gRPC Dial-Out (IOS XE 16.10 trở lên)
gNMI Dial-In (IOS XE 16.12 trở lên)

Khác với SNMP truyền thống phải liên tục polling, Model-Driven Telemetry cho phép thiết bị chủ động gửi dữ liệu (streaming telemetry) ngay khi có thay đổi hoặc theo chu kỳ rất ngắn, giúp giảm độ trễ và tăng khả năng quan sát hệ thống.

2. InfluxDB – Cơ sở dữ liệu chuỗi thời gian

Sau khi thu thập, dữ liệu được lưu vào InfluxDB.

Đây là Time-Series Database, được thiết kế tối ưu cho các dữ liệu có dấu thời gian như:

CPU Utilization
Memory Usage
Interface Throughput
Packet Rate
Temperature
BGP Sessions
Wireless Client Count

InfluxDB có khả năng ghi và truy vấn hàng triệu điểm dữ liệu mỗi giây, rất phù hợp cho các hệ thống giám sát hạ tầng.

3. Grafana – Dashboard trực quan

Grafana là thành phần mà quản trị viên tương tác nhiều nhất.

Grafana kết nối với InfluxDB để hiển thị dữ liệu dưới dạng:

Dashboard thời gian thực
Biểu đồ
Gauge
Heatmap
Top Talker
Alert

Nhờ đó, kỹ sư có thể theo dõi tình trạng toàn bộ hệ thống chỉ trên một màn hình, từ băng thông, CPU, bộ nhớ đến trạng thái các giao thức định tuyến.

Luồng hoạt động của TIG Stack

Quy trình hoạt động khá đơn giản:

Cisco IOS XE → Telegraf → InfluxDB → Grafana

Thiết bị Cisco phát sinh dữ liệu telemetry, Telegraf thu thập và chuyển vào InfluxDB để lưu trữ. Cuối cùng, Grafana truy vấn dữ liệu và hiển thị thành các dashboard trực quan phục vụ giám sát và phân tích.

Tại sao nhiều doanh nghiệp chuyển sang Streaming Telemetry?

Trong nhiều năm, SNMP là tiêu chuẩn để giám sát thiết bị mạng. Tuy nhiên, SNMP chủ yếu hoạt động theo cơ chế polling nên khó đáp ứng yêu cầu giám sát theo thời gian thực.

Streaming Telemetry mang lại nhiều lợi ích:

Dữ liệu gần như thời gian thực.
Không cần polling liên tục.
Thu thập được nhiều thông tin chi tiết hơn.
Giảm tải cho thiết bị.
Dễ tích hợp với các nền tảng phân tích và tự động hóa.

Đây cũng là hướng đi mà Cisco đang thúc đẩy trên các nền tảng IOS XE, NX-OS và IOS XR.

Tổng kết

Điều đáng lưu ý là TIG Stack chỉ là một ví dụ về cách kết hợp các công cụ mã nguồn mở, đúng như ghi chú trong hình: "This is just an example of combination of tools!". Doanh nghiệp hoàn toàn có thể thay thế từng thành phần bằng các giải pháp khác phù hợp với nhu cầu.

Dù vậy, với ưu điểm miễn phí, dễ triển khai và khả năng xử lý dữ liệu telemetry rất tốt, Telegraf + InfluxDB + Grafana vẫn là một trong những lựa chọn phổ biến nhất để xây dựng hệ thống giám sát mạng hiện đại, đặc biệt khi kết hợp với Model-Driven Telemetry trên các thiết bị Cisco.]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442704-tig-stack-–-bộ-ba-mã-nguồn-mở-giúp-giám-sát-hạ-tầng-mạng-theo-thời-gian-thực Troubleshooting Redistribution with Route Maps https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442432-troubleshooting-redistribution-with-route-maps Wed, 08 Jul 2026 11:20:00 GMT Khi sử dụng Route Map cùng lệnh redistribute, ngoài việc kiểm tra cấu hình redistribution, bạn cần kiểm tra thêm các thành phần của Route Map vì chỉ... Route Map cùng lệnh redistribute, ngoài việc kiểm tra cấu hình redistribution, bạn cần kiểm tra thêm các thành phần của Route Map vì chỉ một lỗi nhỏ cũng có thể khiến route không được redistribute hoặc bị xử lý sai. Những điểm cần kiểm tra

1. Route Map đã được áp dụng đúng chưa?

Đảm bảo lệnh redistribute đang tham chiếu đúng tên Route Map.

Ví dụ:
redistribute ospf 1 route-map REDIST_OSPF

Nếu gõ sai tên hoặc tham chiếu đến một Route Map không tồn tại, sẽ không có route nào được redistribute.

2. Permit hay Deny có đúng không?

Trong Redistribution:

permit → Route được redistribute.
deny → Route không được redistribute.

Đây là lỗi cấu hình rất phổ biến khi troubleshooting.

3. ACL hoặc Prefix List trong Match Clause có đúng không?

Nếu Route Map sử dụng:
match ip address

hoặc
match ip address prefix-list

hãy kiểm tra ACL hoặc Prefix List bằng:
show ip access-lists
show ip prefix-list

Một ACL hoặc Prefix List cấu hình sai sẽ khiến Route Map không match được route mong muốn.

4. Set Clause có đúng mục đích không?

Nếu Route Map có các lệnh set, hãy xác minh giá trị đã cấu hình phù hợp với yêu cầu thiết kế.

Ví dụ:

set metric
set metric-type
set tag

Sai metric hoặc metric-type có thể dẫn đến hiện tượng Suboptimal Routing.

5. Có bị Implicit Deny không?

Nếu một route không khớp bất kỳ sequence nào, nó sẽ rơi vào implicit deny ở cuối Route Map.

Kết quả là route đó không được redistribute, ngay cả khi không có dòng deny nào được cấu hình.

Kết luận

Khi troubleshooting Redistribution có sử dụng Route Map, hãy luôn kiểm tra theo thứ tự:

Route Map đã được áp dụng đúng chưa?
permit/deny có đúng mục đích không?
ACL hoặc Prefix List có match đúng route không?
Các lệnh set có cấu hình chính xác không?
Route có bị rơi vào implicit deny hay không?

Trong thực tế, phần lớn sự cố Redistribution liên quan đến Route Map đều xuất phát từ ACL/Prefix List không match, sai permit/deny, hoặc Route Map không được áp dụng đúng vào lệnh redistribute.]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442432-troubleshooting-redistribution-with-route-maps Bên trong các switch đời mới có gì? https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442271-bên-trong-các-switch-đời-mới-có-gì Mon, 06 Jul 2026 04:39:31 GMT Bên trong các switch Campus thế hệ mới có gì? Không còn chỉ là một ASIC đơn thuần! Trong nhiều năm, phần cứng của switch Campus khá đơn giản:... Bên trong các switch Campus thế hệ mới có gì? Không còn chỉ là một ASIC đơn thuần!

Trong nhiều năm, phần cứng của switch Campus khá đơn giản: một switching ASIC để chuyển tiếp gói tin và một CPU để chạy hệ điều hành IOS. Tuy nhiên, khi mạng doanh nghiệp phải đáp ứng các yêu cầu mới như AI, Zero Trust, Telemetry thời gian thực và Post-Quantum Cryptography (PQC), kiến trúc phần cứng của switch cũng đã thay đổi đáng kể.

Slide trên cho thấy ba thành phần quan trọng bên trong các dòng Cisco Campus Switch thế hệ mới.

1. Silicon One ASIC – "Trái tim" xử lý chuyển mạch

Điểm thay đổi lớn nhất là Cisco đã đưa Silicon One ASIC xuống cả lớp Access, thay vì chỉ xuất hiện trên các router hoặc switch Data Center cao cấp.

Silicon One là dòng chip mạng do Cisco tự thiết kế, đảm nhiệm toàn bộ data plane của thiết bị. Đây là nơi xử lý:

Layer 2 Switching
Layer 3 Routing
VXLAN
EVPN
ACL
QoS
Telemetry
NetFlow
MACsec
Multicast
Segment Routing (tùy nền tảng)

Khác với nhiều ASIC truyền thống vốn được tối ưu cho một mục đích cụ thể, Silicon One được thiết kế theo hướng programmable, cho phép Cisco bổ sung các tính năng mới thông qua nâng cấp phần mềm mà không cần thay đổi phần cứng.

Một điểm đáng chú ý khác là khả năng Virtual Slicing. Thay vì để tất cả tài nguyên xử lý hoạt động như một khối thống nhất, ASIC có thể chia thành nhiều vùng logic để thực hiện các tác vụ song song, giúp tăng hiệu năng khi xử lý nhiều loại lưu lượng khác nhau cùng lúc.

2. Bộ xử lý x86 – Không chỉ để chạy IOS XE

Nếu ASIC là "cơ bắp", thì bộ xử lý x86 chính là "bộ não" của switch.

Trong các switch hiện đại, CPU x86 không trực tiếp chuyển tiếp gói tin. Công việc này vẫn do ASIC đảm nhiệm. Thay vào đó, x86 xử lý các tác vụ thuộc Control Plane và các ứng dụng chạy trên thiết bị.

Ví dụ:

Chạy IOS XE
Xử lý các giao thức định tuyến như OSPF, IS-IS, BGP
Quản lý bảng định tuyến (RIB)
Điều khiển FIB được lập trình xuống ASIC
Thu thập Telemetry
Chạy container hoặc ứng dụng Linux

Điểm mới trên các nền tảng hiện nay là khả năng AI Readiness.

Cisco thiết kế CPU với năng lực tính toán đủ lớn để hỗ trợ:

AI Agent cho Network Operations
Agentic AI
AI-assisted troubleshooting
Edge AI workloads
Application Hosting

Nói cách khác, switch không còn chỉ là thiết bị chuyển mạch mà đang dần trở thành một Edge Computing Platform, nơi có thể chạy trực tiếp các ứng dụng phân tích, giám sát hoặc tự động hóa ngay tại biên mạng.

3. IOS XE trên nền Linux – Sẵn sàng cho kỷ nguyên Post-Quantum

Một thay đổi quan trọng khác là IOS XE ngày nay được xây dựng trên nền Linux kernel.

Điều này mang lại nhiều lợi ích:

Khả năng cô lập tiến trình tốt hơn
Hỗ trợ chạy ứng dụng độc lập
Dễ mở rộng tính năng
Tăng cường bảo mật

Đặc biệt, Cisco đang tích hợp khả năng PQC Ready (Post-Quantum Cryptography).

PQC là tập hợp các thuật toán mật mã được thiết kế để chống lại các cuộc tấn công từ máy tính lượng tử trong tương lai. Khi các thuật toán truyền thống như RSA hoặc ECC có nguy cơ bị phá vỡ bởi máy tính lượng tử quy mô lớn, các thiết bị mạng cần sẵn sàng hỗ trợ các thuật toán mới được NIST tiêu chuẩn hóa.

Việc phần cứng và hệ điều hành được thiết kế theo hướng PQC Ready giúp các nền tảng Campus có thể triển khai các cơ chế mật mã hậu lượng tử khi tiêu chuẩn được áp dụng rộng rãi, thay vì phải thay thế toàn bộ thiết bị.

4. Không chỉ mạnh hơn, mà còn "xanh" hơn

Ngoài hiệu năng, Cisco cũng tập trung vào khả năng tối ưu năng lượng thông qua các tính năng như:

Smart Power: quản lý và phân bổ công suất thông minh giữa các bộ nguồn và tải PoE.
Energy Dashboard: theo dõi mức tiêu thụ điện năng theo thời gian thực.
EcoLabels: cung cấp thông tin về hiệu quả năng lượng và tác động môi trường của thiết bị.

Đây là những tính năng ngày càng quan trọng khi doanh nghiệp triển khai hàng trăm hoặc hàng nghìn switch trong các campus lớn.

Từ "Switch" đến "Nền tảng hạ tầng AI"

Nếu nhìn vào kiến trúc của các switch Campus thế hệ mới, có thể thấy chúng không còn đơn thuần là thiết bị chuyển tiếp Ethernet như trước đây.

Bên trong một switch hiện đại là sự kết hợp của:

Silicon One ASIC chuyên xử lý lưu lượng ở tốc độ dây (wire-speed).
CPU x86 đa nhân đảm nhiệm control plane, lưu trữ và chạy ứng dụng.
Linux/IOS XE cung cấp môi trường mở cho các dịch vụ mạng và ứng dụng.
Khả năng hỗ trợ AI, Edge Computing và Post-Quantum Cryptography để đáp ứng các yêu cầu của hạ tầng số trong nhiều năm tới.

Đó là lý do vì sao các switch Campus mới không chỉ được xem là thiết bị mạng, mà đang dần trở thành một nền tảng điện toán biên (Edge Infrastructure Platform), nơi kết hợp giữa networking, security, automation và AI ngay trong chính hạ tầng mạng doanh nghiệp.
]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442271-bên-trong-các-switch-đời-mới-có-gì Dự phòng Switching – Nền tảng giúp mạng doanh nghiệp luôn sẵn sàng https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442158-dự-phòng-switching-–-nền-tảng-giúp-mạng-doanh-nghiệp-luôn-sẵn-sàng Thu, 02 Jul 2026 00:52:49 GMT Dự phòng Switching – Nền tảng giúp mạng doanh nghiệp luôn sẵn sàng Trong mô hình Wireless-first, gần như mọi hoạt động của doanh nghiệp đều phụ... Dự phòng Switching – Nền tảng giúp mạng doanh nghiệp luôn sẵn sàng

Trong mô hình Wireless-first, gần như mọi hoạt động của doanh nghiệp đều phụ thuộc vào hạ tầng mạng. Nếu một switch bị lỗi hoặc phải khởi động lại để nâng cấp, hàng trăm Access Point có thể mất kết nối, người dùng không thể truy cập Wi-Fi, các ứng dụng quan trọng bị gián đoạn và toàn bộ hoạt động kinh doanh bị ảnh hưởng.

Chính vì vậy, các hệ thống mạng doanh nghiệp hiện đại không chỉ cần hiệu năng cao mà còn phải được thiết kế với khả năng switching resiliency (dự phòng switching) để đảm bảo dịch vụ luôn hoạt động liên tục.

1. Platform Resiliency – Dự phòng ngay từ phần cứng

Lớp đầu tiên của khả năng dự phòng đến từ chính thiết bị switch.

Các dòng switch doanh nghiệp cao cấp của Cisco được trang bị:

Redundant Supervisor Engine trên các modular switch, cho phép một supervisor dự phòng sẵn sàng tiếp quản khi supervisor chính gặp sự cố.
NSF (Non-Stop Forwarding) và NSR (Non-Stop Routing) giúp việc chuyển đổi supervisor diễn ra gần như trong suốt, giảm tối đa việc mất lưu lượng.
Nguồn điện dự phòng (Redundant Power Supply) để switch vẫn hoạt động khi một bộ nguồn hỏng.
Quạt dự phòng (Redundant Fan) giúp hệ thống tiếp tục làm mát nếu một quạt gặp lỗi.

Nhờ đó, một lỗi phần cứng đơn lẻ sẽ không khiến toàn bộ hệ thống mạng ngừng hoạt động.

2. Design Resiliency – Thiết kế mạng có khả năng chịu lỗi

Bên cạnh phần cứng, kiến trúc mạng cũng phải được thiết kế để tránh "điểm chết" (Single Point of Failure). StackWise Virtual

StackWise Virtual cho phép hai switch vật lý hoạt động như một switch logic duy nhất.

Lợi ích:

High Availability (HA)
Một control plane duy nhất
Quản lý đơn giản
Không cần chạy STP blocking giữa hai switch
Uplink dự phòng hoạt động đồng thời

Nếu một switch gặp sự cố, switch còn lại vẫn tiếp tục chuyển tiếp lưu lượng mà người dùng hầu như không nhận thấy.

Đây là giải pháp rất phổ biến cho:

Distribution Layer
Core Layer
Campus Network
Wireless aggregation

GIR (Graceful Insertion and Removal)

Trong thực tế, nhiều công việc bảo trì yêu cầu phải tháo thiết bị hoặc module ra khỏi hệ thống.

Thông thường điều này sẽ gây gián đoạn dịch vụ.

Với Graceful Insertion and Removal (GIR), switch có thể:

đưa thiết bị vào trạng thái bảo trì,
chuyển toàn bộ lưu lượng sang đường dự phòng,
sau đó mới tháo thiết bị.

Kết quả là việc bảo trì diễn ra mà gần như không gây downtime.

3. Operational Resiliency – Duy trì hoạt động trong quá trình nâng cấp

Ngay cả khi phần cứng và thiết kế đều dự phòng, việc nâng cấp phần mềm vẫn luôn là nỗi lo của quản trị viên.

Cisco cung cấp nhiều công nghệ giúp giảm thiểu hoặc loại bỏ downtime. ISSU (In-Service Software Upgrade)

ISSU cho phép nâng cấp IOS XE trong khi thiết bị vẫn đang phục vụ lưu lượng.

Ưu điểm:

Không cần shutdown toàn bộ switch.
Người dùng gần như không cảm nhận được việc nâng cấp.
Rất phù hợp với hệ thống hoạt động 24/7 như bệnh viện, ngân hàng hay trung tâm dữ liệu.

xFSU (Express Fast Software Upgrade)

Đối với dòng Catalyst 9300, xFSU giúp:

reload nhanh hơn,
giảm đáng kể thời gian gián đoạn,
lưu lượng chỉ bị ảnh hưởng trong thời gian rất ngắn.

Đây là lựa chọn phù hợp khi ISSU không khả dụng nhưng vẫn cần tối ưu thời gian bảo trì.

Hot Patching

Không phải mọi bản cập nhật đều cần reboot.

Với Hot Patching, Cisco cho phép:

vá lỗi phần mềm trực tiếp,
không cần khởi động lại switch,
tiếp tục xử lý lưu lượng bình thường.

Điều này đặc biệt hữu ích khi cần khắc phục nhanh các lỗi phần mềm hoặc lỗ hổng bảo mật.

Dự phòng Switching không chỉ là có hai switch

Nhiều người nghĩ rằng chỉ cần mua thêm một switch là đã có dự phòng. Thực tế, một hệ thống có tính sẵn sàng cao cần được xây dựng trên ba lớp:

Platform Resiliency: phần cứng dự phòng như supervisor, nguồn và quạt.
Design Resiliency: kiến trúc mạng chịu lỗi với StackWise Virtual và GIR.
Operational Resiliency: nâng cấp và vá lỗi mà vẫn duy trì dịch vụ với ISSU, xFSU và Hot Patching.

Ba lớp này bổ sung cho nhau để giảm thiểu cả sự cố phần cứng, lỗi thiết kế lẫn thời gian bảo trì.

Kết luận

Trong các doanh nghiệp hiện đại, đặc biệt là môi trường Wireless-first, mạng LAN không còn đơn thuần là hệ thống kết nối máy tính mà là nền tảng cho Wi-Fi, VoIP, camera IP, IoT và các ứng dụng nghiệp vụ quan trọng. Vì vậy, đầu tư vào switching resiliency không chỉ giúp giảm downtime mà còn đảm bảo tính liên tục của hoạt động kinh doanh. Một hệ thống được thiết kế đúng với phần cứng dự phòng, kiến trúc chịu lỗi và khả năng nâng cấp không gián đoạn sẽ mang lại độ tin cậy cao hơn, giảm rủi ro vận hành và sẵn sàng đáp ứng yêu cầu hoạt động 24/7 của doanh nghiệp.
]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/442158-dự-phòng-switching-–-nền-tảng-giúp-mạng-doanh-nghiệp-luôn-sẵn-sàng Vsan https://www.forum.vnpro.org/forum/ccnp-enterprise/design/441948-vsan Thu, 25 Jun 2026 01:35:41 GMT VSANs (Virtual Storage Area Networks) – Phân vùng logic trong mạng SAN Fibre Channel Trong mạng Storage Area Network (SAN) sử dụng Fibre... VSANs (Virtual Storage Area Networks) – Phân vùng logic trong mạng SAN Fibre Channel

Trong mạng Storage Area Network (SAN) sử dụng Fibre Channel, VSAN (Virtual SAN) là công nghệ của Cisco cho phép tạo ra nhiều SAN fabric độc lập trên cùng một hạ tầng switch vật lý. Khái niệm này tương tự như VLAN trong mạng Ethernet, nhưng được áp dụng cho mạng lưu trữ. Đặc điểm của VSAN

Các cổng (ports) được gán vào từng VSAN
- Mỗi cổng Fibre Channel thuộc về một VSAN cụ thể.
- Thiết bị kết nối vào cổng đó sẽ chỉ giao tiếp với các thiết bị trong cùng VSAN.
Tách biệt Fabric một cách logic
- Mỗi VSAN hoạt động như một SAN Fabric riêng biệt.
- Các VSAN không nhìn thấy nhau nếu không có cơ chế Inter-VSAN Routing (IVR).
Được thực thi bởi phần cứng (Hardware Enforced)
- Việc cô lập lưu lượng được thực hiện ngay trên ASIC của switch Cisco MDS.
- Mang lại hiệu năng cao và mức độ bảo mật tốt.
Ngăn chặn sự cố lan truyền trong Fabric
- Nếu một VSAN gặp lỗi (ví dụ lỗi zoning hoặc fabric reconfiguration), các VSAN khác vẫn hoạt động bình thường.
RSCN (Registered State Change Notification) chỉ được gửi trong cùng VSAN
- Khi có thiết bị tham gia hoặc rời khỏi SAN, thông báo RSCN chỉ ảnh hưởng đến các thiết bị trong cùng VSAN.
- Điều này giúp giảm số lượng sự kiện phát tán trên toàn hệ thống.
Các dịch vụ của Fabric hoạt động độc lập
- Name Server
- Zone Server
- Login Server
- Fabric Controller
- FSPF Routing
Mỗi VSAN đều có các dịch vụ riêng, không dùng chung với VSAN khác.
Mỗi VSAN được cấu hình và quản lý độc lập
- Có thể cấu hình zoning, routing, policy riêng cho từng VSAN.
- Việc bảo trì hoặc thay đổi một VSAN không ảnh hưởng đến các VSAN khác.

Ví dụ cấu hình VSAN

Trong hình có đoạn cấu hình:
vsan database
vsan 2 interface fc1/1
vsan 2 interface fc1/2
vsan 43 interface fc1/8
vsan 43 interface fc1/9

Ý nghĩa:

Interface fc1/1 và fc1/2 thuộc VSAN 2
Interface fc1/8 và fc1/9 thuộc VSAN 43

Như vậy, các máy chủ hoặc storage cắm vào các cổng này sẽ nằm trong hai SAN Fabric hoàn toàn tách biệt.

Kiểm tra FSPF của một VSAN

Lệnh:
show fspf vsan 43

Cho biết trạng thái giao thức FSPF (Fabric Shortest Path First) của VSAN 43:

FSPF đã được bật
Trạng thái hoạt động là UP
Switch đang tham gia vào việc tính toán đường đi trong Fabric
Có thể xem Domain ID, số lượng Link State Record (LSR), checksum của cơ sở dữ liệu FSPF,...

Điều này cho thấy mỗi VSAN có cơ sở dữ liệu định tuyến Fibre Channel riêng.

Kiểm tra Zone của VSAN

Lệnh:
show zoneset active vsan 43

Kết quả:
zoneset name UCS-Fabric-B
zone name UCS-B-VMware-Netapp

Điều này cho thấy:

VSAN 43 đang sử dụng Zoneset có tên UCS-Fabric-B
Trong Zoneset có Zone UCS-B-VMware-Netapp
Các quy tắc zoning này chỉ áp dụng cho VSAN 43, không ảnh hưởng đến các VSAN khác.

Ví dụ thực tế

Một doanh nghiệp có chung hệ thống Cisco MDS nhưng muốn phục vụ nhiều môi trường:

VSAN 10: Hệ thống VMware Production
VSAN 20: Oracle Database
VSAN 30: Backup Server
VSAN 40: Môi trường Test/Development

Mặc dù tất cả cùng sử dụng một cặp switch MDS, mỗi môi trường vẫn có:

Fabric riêng
Name Server riêng
Zone riêng
FSPF riêng
Thông báo RSCN riêng

Nhờ vậy, sự cố hoặc thay đổi ở môi trường Test sẽ không làm ảnh hưởng đến hệ thống Production.

Kết luận

VSAN là một trong những công nghệ quan trọng của Cisco MDS giúp ảo hóa SAN Fabric. Bằng cách chia một hạ tầng Fibre Channel vật lý thành nhiều fabric logic độc lập, VSAN mang lại khả năng cô lập lưu lượng, tăng tính bảo mật, giảm phạm vi ảnh hưởng của sự cố và đơn giản hóa việc quản trị. Đây là tính năng được sử dụng rộng rãi trong các trung tâm dữ liệu lớn, nơi nhiều ứng dụng hoặc nhiều khách hàng cùng chia sẻ hạ tầng lưu trữ nhưng vẫn cần đảm bảo tính độc lập và độ sẵn sàng cao.
]]> CCNP Design dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/design/441948-vsan