Tweet
Các mô hình kết nối VPN Site-to-Site
Topology mạng (Network Topology) là cách các thiết bị mạng (router hoặc firewall) được kết nối với nhau để hình thành một hệ thống mạng.
Đối với hầu hết các công nghệ VPN, topology chủ yếu mang tính logic hơn là vật lý. Nói cách khác, việc các thiết bị được nối với nhau bằng đường truyền vật lý như thế nào không quan trọng bằng cách các giao thức VPN thiết lập kết nối an toàn giữa các mạng.
Ba mô hình VPN Site-to-Site phổ biến gồm:
1. Point-to-Point VPN
Đây là mô hình đơn giản nhất.
Hai chi nhánh thiết lập một đường hầm IPsec trực tiếp để trao đổi dữ liệu an toàn. Trong doanh nghiệp nhỏ, có thể tồn tại một vài kết nối Point-to-Point riêng lẻ giữa các site cần giao tiếp với nhau.
Ưu điểm
Nhược điểm
2. Hub-and-Spoke
Đây là topology phổ biến nhất trong doanh nghiệp.
Một site trung tâm đóng vai trò Hub, còn tất cả các chi nhánh (Spoke) chỉ thiết lập VPN với Hub.
Phần lớn lưu lượng sẽ đi từ Spoke về Hub. Nếu hai chi nhánh muốn trao đổi dữ liệu, Hub sẽ đóng vai trò chuyển tiếp lưu lượng giữa chúng.
Ưu điểm
Nhược điểm
3. Full Mesh
Trong mô hình này, mọi site đều có kết nối VPN trực tiếp với tất cả các site còn lại.
Nhờ vậy, dữ liệu luôn đi theo đường ngắn nhất mà không phải thông qua Hub.
Ưu điểm
Nhược điểm
Các mô hình kết hợp
Trong thực tế, doanh nghiệp thường kết hợp nhiều topology để cân bằng giữa chi phí và khả năng mở rộng. Partial Mesh
Một số site quan trọng được kết nối theo Full Mesh, trong khi các site còn lại kết nối theo Hub-and-Spoke hoặc Point-to-Point.
Giải pháp này tiết kiệm chi phí hơn Full Mesh nhưng vẫn đảm bảo khả năng dự phòng cho các khu vực trọng yếu.
Tiered Hub-and-Spoke
Đây là mô hình nhiều tầng.
Một thiết bị có thể vừa là Hub của một nhóm chi nhánh, vừa đóng vai trò Spoke khi kết nối lên Hub cấp cao hơn.
Mô hình này thường được triển khai trong các tập đoàn lớn có nhiều khu vực hoặc nhiều quốc gia.
Joined Hub-and-Spoke
Đây là sự kết hợp giữa hai hoặc nhiều topology VPN.
Ví dụ, hai hệ thống Hub-and-Spoke độc lập được kết nối với nhau bằng một đường hầm Point-to-Point giữa hai Hub để tạo thành một mạng lớn hơn.
Đặc điểm của VPN Site-to-Site
Site-to-Site VPN được sử dụng để kết nối an toàn giữa các văn phòng thông qua Internet hoặc mạng WAN như MPLS.
Hai thiết bị VPN ở hai đầu sẽ xác thực lẫn nhau, thiết lập đường hầm IPsec và mã hóa toàn bộ dữ liệu truyền qua mạng công cộng.
Điều cần lưu ý là IPsec chỉ bảo vệ lưu lượng khi dữ liệu đi qua mạng không tin cậy (Internet hoặc MPLS). Khi lưu lượng đã đi vào mạng nội bộ của doanh nghiệp, dữ liệu sẽ không còn được IPsec bảo vệ nữa.
Ngoài Internet, nhiều doanh nghiệp cũng triển khai IPsec trên mạng MPLS. Mặc dù MPLS là mạng riêng của nhà cung cấp dịch vụ, nó không cung cấp khả năng mã hóa và xác thực dữ liệu. Việc bổ sung IPsec giúp tăng cường bảo mật, đặc biệt với các ứng dụng quan trọng.
Các thiết bị VPN cũng thường tích hợp các chức năng giống firewall để kiểm soát lưu lượng, ngăn chặn giả mạo địa chỉ IP (IP Spoofing) và chỉ cho phép những kết nối hợp lệ đi qua đường hầm VPN.
Đối với các hệ thống doanh nghiệp lớn, Site-to-Site VPN không chỉ yêu cầu bảo mật mà còn phải đáp ứng các tiêu chí về High Availability, hiệu năng cao và khả năng mở rộng để phục vụ các ứng dụng nghiệp vụ quan trọng.
Câu hỏi ôn tập
Trong mô hình Hub-and-Spoke Site-to-Site VPN, hai chi nhánh (Spoke) thường giao tiếp với nhau theo cách nào? (Chọn hai đáp án.)
✅ Thông qua Hub trung tâm, Hub đóng vai trò chuyển tiếp lưu lượng.
❌ Trực tiếp thông qua các đường hầm VPN riêng giữa từng Spoke.
❌ Thông qua mạng Mesh được thiết lập động để bỏ qua Hub.
OK: Thông qua Hub dự phòng nếu Hub chính gặp sự cố (điều này chỉ xảy ra khi doanh nghiệp triển khai thêm cơ chế dự phòng, không phải đặc điểm mặc định của Hub-and-Spoke).
Topology mạng (Network Topology) là cách các thiết bị mạng (router hoặc firewall) được kết nối với nhau để hình thành một hệ thống mạng.
Đối với hầu hết các công nghệ VPN, topology chủ yếu mang tính logic hơn là vật lý. Nói cách khác, việc các thiết bị được nối với nhau bằng đường truyền vật lý như thế nào không quan trọng bằng cách các giao thức VPN thiết lập kết nối an toàn giữa các mạng.
Ba mô hình VPN Site-to-Site phổ biến gồm:
- Point-to-Point: Hai địa điểm được kết nối trực tiếp bằng một đường hầm VPN.
- Hub-and-Spoke: Một trung tâm (Hub) kết nối với nhiều chi nhánh (Spoke).
- Full Mesh: Mỗi địa điểm đều có đường hầm VPN trực tiếp đến tất cả các địa điểm còn lại.
1. Point-to-Point VPN
Đây là mô hình đơn giản nhất.
Hai chi nhánh thiết lập một đường hầm IPsec trực tiếp để trao đổi dữ liệu an toàn. Trong doanh nghiệp nhỏ, có thể tồn tại một vài kết nối Point-to-Point riêng lẻ giữa các site cần giao tiếp với nhau.
Ưu điểm
- Dễ triển khai.
- Chi phí thấp.
- Quản lý đơn giản.
Nhược điểm
- Khó mở rộng khi số lượng chi nhánh tăng.
- Phải cấu hình thêm tunnel mỗi khi có site mới.
2. Hub-and-Spoke
Đây là topology phổ biến nhất trong doanh nghiệp.
Một site trung tâm đóng vai trò Hub, còn tất cả các chi nhánh (Spoke) chỉ thiết lập VPN với Hub.
Phần lớn lưu lượng sẽ đi từ Spoke về Hub. Nếu hai chi nhánh muốn trao đổi dữ liệu, Hub sẽ đóng vai trò chuyển tiếp lưu lượng giữa chúng.
Ưu điểm
- Quản trị đơn giản.
- Dễ mở rộng.
- Phù hợp với doanh nghiệp có Data Center hoặc trụ sở chính làm trung tâm.
Nhược điểm
- Hub trở thành điểm tập trung lưu lượng.
- Nếu Hub gặp sự cố, toàn bộ hệ thống có thể bị ảnh hưởng nếu không có cơ chế dự phòng.
3. Full Mesh
Trong mô hình này, mọi site đều có kết nối VPN trực tiếp với tất cả các site còn lại.
Nhờ vậy, dữ liệu luôn đi theo đường ngắn nhất mà không phải thông qua Hub.
Ưu điểm
- Any-to-Any Connectivity.
- Đường đi tối ưu.
- Độ sẵn sàng và khả năng dự phòng cao.
Nhược điểm
- Số lượng tunnel tăng rất nhanh khi có thêm chi nhánh.
- Cấu hình và quản lý phức tạp hơn.
Các mô hình kết hợp
Trong thực tế, doanh nghiệp thường kết hợp nhiều topology để cân bằng giữa chi phí và khả năng mở rộng. Partial Mesh
Một số site quan trọng được kết nối theo Full Mesh, trong khi các site còn lại kết nối theo Hub-and-Spoke hoặc Point-to-Point.
Giải pháp này tiết kiệm chi phí hơn Full Mesh nhưng vẫn đảm bảo khả năng dự phòng cho các khu vực trọng yếu.
Tiered Hub-and-Spoke
Đây là mô hình nhiều tầng.
Một thiết bị có thể vừa là Hub của một nhóm chi nhánh, vừa đóng vai trò Spoke khi kết nối lên Hub cấp cao hơn.
Mô hình này thường được triển khai trong các tập đoàn lớn có nhiều khu vực hoặc nhiều quốc gia.
Joined Hub-and-Spoke
Đây là sự kết hợp giữa hai hoặc nhiều topology VPN.
Ví dụ, hai hệ thống Hub-and-Spoke độc lập được kết nối với nhau bằng một đường hầm Point-to-Point giữa hai Hub để tạo thành một mạng lớn hơn.
Đặc điểm của VPN Site-to-Site
Site-to-Site VPN được sử dụng để kết nối an toàn giữa các văn phòng thông qua Internet hoặc mạng WAN như MPLS.
Hai thiết bị VPN ở hai đầu sẽ xác thực lẫn nhau, thiết lập đường hầm IPsec và mã hóa toàn bộ dữ liệu truyền qua mạng công cộng.
Điều cần lưu ý là IPsec chỉ bảo vệ lưu lượng khi dữ liệu đi qua mạng không tin cậy (Internet hoặc MPLS). Khi lưu lượng đã đi vào mạng nội bộ của doanh nghiệp, dữ liệu sẽ không còn được IPsec bảo vệ nữa.
Ngoài Internet, nhiều doanh nghiệp cũng triển khai IPsec trên mạng MPLS. Mặc dù MPLS là mạng riêng của nhà cung cấp dịch vụ, nó không cung cấp khả năng mã hóa và xác thực dữ liệu. Việc bổ sung IPsec giúp tăng cường bảo mật, đặc biệt với các ứng dụng quan trọng.
Các thiết bị VPN cũng thường tích hợp các chức năng giống firewall để kiểm soát lưu lượng, ngăn chặn giả mạo địa chỉ IP (IP Spoofing) và chỉ cho phép những kết nối hợp lệ đi qua đường hầm VPN.
Đối với các hệ thống doanh nghiệp lớn, Site-to-Site VPN không chỉ yêu cầu bảo mật mà còn phải đáp ứng các tiêu chí về High Availability, hiệu năng cao và khả năng mở rộng để phục vụ các ứng dụng nghiệp vụ quan trọng.
Câu hỏi ôn tập
Trong mô hình Hub-and-Spoke Site-to-Site VPN, hai chi nhánh (Spoke) thường giao tiếp với nhau theo cách nào? (Chọn hai đáp án.)
✅ Thông qua Hub trung tâm, Hub đóng vai trò chuyển tiếp lưu lượng.
❌ Trực tiếp thông qua các đường hầm VPN riêng giữa từng Spoke.
❌ Thông qua mạng Mesh được thiết lập động để bỏ qua Hub.
OK: Thông qua Hub dự phòng nếu Hub chính gặp sự cố (điều này chỉ xảy ra khi doanh nghiệp triển khai thêm cơ chế dự phòng, không phải đặc điểm mặc định của Hub-and-Spoke).
Attached Files