Sáng thứ Hai, cả văn phòng than mạng chậm. Người phụ trách IT mở tủ mạng và thấy ba switch không dán nhãn, router chưa cập nhật firmware từ ngày lắp, mật khẩu quản trị vẫn là mật khẩu mặc định. Không có log để biết chuyện bắt đầu từ lúc nào. Thiết bị không hỏng. Mạng được lắp xong rồi không ai vận hành.
Bài này gom các việc cần làm để vận hành hệ thống mạng doanh nghiệp, theo thứ tự: cấu hình nền, bảo mật, giám sát và sao lưu, lịch kiểm tra định kỳ, rồi cách chọn mô hình mạng khi mở rộng.
Cấu hình nền: chia mạng, tường lửa, địa chỉ IP
Chia mạng LAN thành các VLAN
Chia mạng theo chức năng và quyền truy cập: một VLAN cho máy nhân viên, một cho máy chủ, một cho camera, một cho WiFi khách. Cấu hình VLAN trên switch và router để kiểm soát lưu lượng giữa các vùng. Khi WiFi khách bị ai đó dò quét, máy kế toán vẫn nằm ở vùng khác.
Tường lửa
Tường lửa (firewall) lọc lưu lượng ra vào hệ thống. Đặt quy tắc theo nguyên tắc chặn mặc định, chỉ mở những gì công việc cần: ví dụ VLAN khách chỉ được ra Internet, không được truy cập dải IP nội bộ.
Quản lý địa chỉ IP
- Tách dải IP tĩnh cho thiết bị cố định (máy in, máy chủ, đầu ghi camera) và dải IP động cho máy người dùng.
- Dùng DHCP để cấp phát IP động, ghi lại bảng IP tĩnh trong một file dùng chung.
- Cấu hình DNS để phân giải tên miền, kể cả tên nội bộ nếu có máy chủ riêng.
Văn phòng nhỏ mới dựng mạng có thể bắt đầu từ bài cách thiết lập mạng văn phòng, rồi quay lại đây khi mạng đã chạy.
Bảo mật: các lớp nên có
Phát hiện và ngăn chặn xâm nhập (IDS/IPS)
Hệ thống IDS/IPS theo dõi lưu lượng để phát hiện và chặn các mẫu tấn công đã biết. Chữ ký tấn công phải được cập nhật thường xuyên, quy tắc phát hiện cần chỉnh lại khi có cảnh báo sai.
Kiểm soát ứng dụng
Kiểm soát ứng dụng (application control) chặn hoặc giới hạn những ứng dụng không được phép chạy trên mạng công ty, ví dụ phần mềm chia sẻ file ngang hàng.
Mã hóa dữ liệu
Mã hóa dữ liệu quan trọng khi lưu trữ và khi truyền đi. Khóa mã hóa phải được cất giữ riêng, có người chịu trách nhiệm.
Phân quyền theo nguyên tắc quyền tối thiểu
Mỗi người chỉ có quyền truy cập đúng phần việc của mình (nguyên tắc least privilege). Khi nhân viên chuyển bộ phận hoặc nghỉ việc, thu hồi quyền ngay trong ngày. Định kỳ rà danh sách tài khoản có quyền quản trị.
Mật khẩu và con người
- Đổi toàn bộ mật khẩu mặc định của router, switch, bộ phát WiFi, đầu ghi camera ngay khi lắp.
- Dùng mật khẩu mạnh, bật xác thực nhiều lớp cho tài khoản quản trị nếu thiết bị hỗ trợ.
- Cài phần mềm diệt virus và mã độc trên máy trạm.
- Đào tạo nhân viên định kỳ về email lừa đảo và cách báo cáo khi nghi có sự cố.
Giám sát, sao lưu và vá lỗi
Ba việc này là phần “vận hành” theo đúng nghĩa, và cũng là phần hay bị bỏ nhất.
- Ghi log: bật ghi log trên tường lửa, router, switch quản lý được, gom về một chỗ. Xem log thường xuyên để thấy sớm các dấu hiệu bất thường như đăng nhập sai liên tục hay lưu lượng tăng vọt lúc nửa đêm.
- Sao lưu: có kế hoạch sao lưu dữ liệu định kỳ, giữ ít nhất một bản sao ở nơi khác với văn phòng. Sao lưu luôn file cấu hình của thiết bị mạng. Định kỳ thử khôi phục để chắc bản sao lưu dùng được.
- Vá lỗi: theo dõi và cài bản cập nhật bảo mật cho hệ điều hành, phần mềm và firmware thiết bị mạng. Ghi lại ngày cập nhật của từng thiết bị.
Lịch vận hành gợi ý
| Tần suất | Việc cần làm |
|---|---|
| Hằng ngày | Xem cảnh báo của tường lửa, IDS/IPS; kiểm tra bản sao lưu đêm qua có chạy không |
| Hằng tuần | Đọc log đăng nhập quản trị; xem băng thông theo VLAN; kiểm tra thiết bị mất kết nối |
| Hằng tháng | Cài bản vá, cập nhật firmware; rà tài khoản và quyền truy cập; cập nhật sơ đồ mạng và bảng IP |
| Hằng quý | Thử khôi phục từ bản sao lưu; kiểm tra bảo mật; vệ sinh tủ mạng, kiểm tra UPS |
| Hằng năm | Đánh giá lại nhu cầu, lên kế hoạch thay thiết bị hết hỗ trợ; đào tạo lại nhân viên |
Nếu không có người làm đều các việc này, nên thuê bảo trì định kỳ. Bài dịch vụ bảo trì hệ thống mạng liệt kê những hạng mục một lần bảo trì thường gồm.
Chọn mô hình mạng khi doanh nghiệp mở rộng
Mạng doanh nghiệp gồm LAN, WAN, switch, router, tường lửa, máy chủ và máy trạm. Khi mở thêm chi nhánh hoặc cho nhân viên làm từ xa, cần chọn thêm mô hình kết nối:
| Mô hình | Mạnh ở | Hạn chế |
|---|---|---|
| LAN | Nhanh, ổn định, dễ quản lý, chi phí thấp | Chỉ trong một mặt bằng, khó mở rộng xa |
| WLAN (WiFi) | Linh hoạt chỗ ngồi, dễ thêm người dùng | Phải cấu hình bảo mật kỹ; tốc độ phụ thuộc vùng phủ và số người dùng |
| WAN | Nối các địa điểm xa nhau | Chi phí đường truyền và vận hành cao |
| VPN | Kết nối từ xa có mã hóa, rẻ hơn kênh riêng | Tốc độ có thể giảm; cần người cấu hình |
| SD-WAN | Quản lý tập trung nhiều chi nhánh, tự chọn đường truyền | Cần đầu tư thiết bị ban đầu và kiến thức kỹ thuật |
Cách chọn đi theo bốn bước:
- Xác định mục tiêu kinh doanh vài năm tới: thêm bao nhiêu người, bao nhiêu chi nhánh, có làm việc từ xa không.
- Từ đó xác định yêu cầu mạng và nguồn lực sẵn có về kỹ thuật, tài chính, nhân sự.
- Lập kế hoạch triển khai và đầu tư theo giai đoạn, phần quan trọng làm trước.
- Triển khai, vận hành theo lịch ở trên, rồi đánh giá lại hiệu quả sau mỗi giai đoạn.
WiFi24h hỗ trợ phần nào
WiFi24h nhận thi công hạ tầng mạng, WiFi, camera cho văn phòng và nhà xưởng theo quy trình khảo sát, thiết kế, lắp đặt, nghiệm thu và bảo trì; khảo sát tận nơi miễn phí. Phần WiFi dùng các dòng bộ phát WiFi Grandstream GWN76xx và Aruba Instant On. Doanh nghiệp cần thêm điện thoại nội bộ có thể dùng tổng đài IP cloud chạy trên chính hạ tầng mạng này, từ 60.000 đ/user/tháng.
Tìm hiểu dịch vụ WiFi Marketing của WiFi24h tại TP.HCM.
Gọi hoặc nhắn Zalo 0909 8088 39 để đặt lịch khảo sát hệ thống mạng của doanh nghiệp, hoặc xem quy trình tại trang thi công hạ tầng WiFi, camera.
