Thiết kế mạng LAN văn phòng là quyết định trước ba thứ khó sửa về sau: đường đi của cáp, vị trí tủ mạng và cách chia mạng thành các vùng (VLAN). Thiết bị có thể thay sau ba đến năm năm, nhưng cáp đi âm tường và trần thì thường nằm đó suốt thời gian thuê văn phòng. Một bản thiết kế tốt bắt đầu từ danh sách người và thiết bị, đi qua sơ đồ vật lý và sơ đồ logic, rồi kết thúc bằng tài liệu bàn giao mà người khác đọc được.
Với văn phòng từ vài chục tới vài trăm người, mô hình hợp lý thường là một tủ mạng trung tâm, các switch truy cập có quản lý, cáp đồng loại Cat6 đến từng bàn, và ít nhất bốn VLAN: nhân viên, máy chủ và thiết bị quản trị, điện thoại hoặc camera, khách. Phần còn lại là chi tiết, nhưng chính chi tiết quyết định mạng chạy êm hay sự cố hằng tuần.
Bước khởi đầu: đếm điểm mạng trước khi vẽ
Sai lầm phổ biến nhất là mua switch theo số nhân viên hiện tại. Mạng phục vụ thiết bị chứ không phục vụ đầu người, và thiết bị sinh sôi nhanh hơn nhân sự. Trình tự đếm nên như sau.
- Liệt kê theo khu vực: mỗi bàn làm việc, phòng họp, quầy lễ tân, kho, phòng giám đốc. Với mỗi bàn, tính ít nhất hai điểm cáp: một cho máy tính, một dự phòng cho điện thoại IP, máy in để bàn hoặc người ngồi thêm.
- Đếm thiết bị không có người ngồi: điểm phát Wi-Fi (access point), camera, máy in chung, máy chấm công, màn hình phòng họp, đầu ghi, thiết bị kiểm soát cửa. Nhóm này thường bị quên và chiếm tới một phần ba số cổng.
- Đánh dấu thiết bị cần cấp nguồn qua cáp (PoE): access point, camera IP, điện thoại IP. Chuẩn IEEE 802.3af cấp tối đa khoảng 15,4 W mỗi cổng, 802.3at khoảng 30 W, 802.3bt tới 60–90 W. Tổng công suất PoE của switch là con số giới hạn thật, không phải số cổng.
- Cộng dự phòng tăng trưởng 20–30% số cổng, tuỳ kế hoạch tuyển dụng. Cổng trống trên switch rẻ hơn nhiều so với kéo cáp bổ sung khi văn phòng đã hoàn thiện.
- Đo khoảng cách từ vị trí tủ mạng tới điểm xa nhất theo đường đi thực của máng cáp, không đo đường chim bay. Cáp đồng Ethernet bị giới hạn 100 m cho cả kênh, gồm khoảng 90 m cáp cố định và tối đa 10 m dây nhảy hai đầu theo bộ tiêu chuẩn cáp thông tin TIA-568.
Kết quả của bước này là một bảng gồm mã điểm, khu vực, loại thiết bị, có PoE hay không và chiều dài ước tính. Bảng này về sau thành sổ cổng mạng, tài liệu được tra nhiều nhất khi có sự cố.
Kiến trúc: ba lớp, hai lớp hay một tủ
Tài liệu thiết kế mạng doanh nghiệp kinh điển mô tả mô hình phân cấp ba lớp: lớp lõi (core) chuyển mạch tốc độ cao giữa các khu, lớp phân phối (distribution) gom các switch truy cập và đặt chính sách, lớp truy cập (access) nối tới thiết bị đầu cuối. Mô hình này hợp với toà nhà nhiều tầng hoặc khuôn viên nhiều toà, nơi mỗi tầng có tủ mạng riêng và đường trục cáp quang nối về phòng máy trung tâm.
Văn phòng vừa và nhỏ thường gộp lõi và phân phối làm một, gọi là lõi thu gọn (collapsed core): một hoặc hai switch lớp 3 ở tủ trung tâm làm nhiệm vụ định tuyến giữa các VLAN, các switch truy cập nối về đó. Văn phòng một mặt sàn dưới 100 m bán kính có thể chỉ cần một tủ duy nhất chứa tất cả.
Câu hỏi thực tế là: mất một switch thì bao nhiêu người ngừng việc? Nếu câu trả lời là cả công ty, nên cân nhắc hai switch lõi chạy dự phòng hoặc ít nhất có sẵn một switch thay thế cấu hình sẵn trong kho. Với switch truy cập, chia người dùng của một phòng ban qua hai switch khác nhau giúp một thiết bị hỏng không làm tê liệt trọn một bộ phận. Thiết kế dự phòng luôn là đánh đổi giữa chi phí và thời gian ngừng việc chấp nhận được.
Chọn thiết bị: switch không quản lý, quản lý thông minh và lớp 3
Switch là thiết bị trung tâm của mạng LAN. Ba nhóm dưới đây khác nhau ở khả năng chia VLAN, giám sát và định tuyến; chọn sai nhóm là nguồn gốc của nhiều mạng văn phòng không thể mở rộng.
| Loại switch | Làm được gì | Phù hợp | Giới hạn |
|---|---|---|---|
| Không quản lý (unmanaged) | Cắm là chạy, chuyển gói theo địa chỉ MAC | Mở rộng vài cổng tại một phòng nhỏ, phòng họp tạm | Không chia VLAN, không giám sát, không chặn vòng lặp có kiểm soát |
| Quản lý thông minh (smart/web-managed) | VLAN, QoS cơ bản, giám sát cổng, PoE quản lý được | Switch truy cập ở văn phòng vừa và nhỏ | Tính năng bảo mật và tự động hoá hạn chế |
| Quản lý đầy đủ lớp 2 | VLAN, STP, gom cổng (LACP), bảo mật cổng, 802.1X, SNMP, syslog | Switch truy cập cần kiểm soát chặt | Cần người có kiến thức để cấu hình |
| Lớp 3 | Thêm định tuyến giữa các VLAN, danh sách kiểm soát truy cập (ACL) | Switch lõi, tủ trung tâm | Giá cao hơn; định tuyến phức tạp hơn nên tài liệu càng quan trọng |
Nguyên tắc chung: ở tủ trung tâm dùng switch lớp 3 hoặc để tường lửa làm định tuyến giữa VLAN; ở lớp truy cập dùng switch có quản lý, kể cả cho văn phòng nhỏ. Chênh lệch giá giữa switch không quản lý và switch quản lý thông minh không lớn so với chi phí một buổi kỹ thuật viên dò tìm vòng lặp mạng do ai đó cắm nhầm hai đầu dây vào cùng một switch con.
Đường lên (uplink) từ switch truy cập về lõi nên có tốc độ cao hơn cổng người dùng, ví dụ cổng 10 Gb/s quang hoặc gom hai cổng 1 Gb/s, để không thành nút cổ chai khi nhiều người cùng tải tệp lớn từ máy chủ.
Đi cáp có cấu trúc: phần không được làm ẩu
Hệ thống cáp có cấu trúc (structured cabling) tách hạ tầng cáp cố định khỏi thiết bị: cáp từ ổ cắm mạng ở bàn chạy về và kết thúc trên thanh đấu nối (patch panel) trong tủ; từ patch panel, dây nhảy ngắn nối sang switch. Nhờ vậy, đổi chỗ ngồi hay thay switch chỉ là rút cắm dây nhảy, không phải kéo lại cáp.
Về loại cáp, Cat6 là lựa chọn mặc định cho văn phòng mới hiện nay: chạy tốt 1 Gb/s trên 100 m và hỗ trợ 10 Gb/s ở cự ly ngắn hơn; Cat6A cho 10 Gb/s đủ 100 m, đáng cân nhắc cho đường tới access point thế hệ mới có cổng 2,5 hoặc 5 Gb/s. Cáp đồng mua trôi nổi bằng lõi nhôm mạ đồng (CCA) rẻ hơn nhưng điện trở cao, dễ nóng khi chạy PoE và không đạt chuẩn; đây là chỗ tiết kiệm sai lầm.
Ba thói quen phân biệt công trình tử tế: đánh số cả hai đầu mỗi sợi cáp khớp với sổ cổng; đo kiểm chứng nhận bằng máy đo cáp sau khi bấm đầu, lưu kết quả; và tách máng cáp mạng khỏi dây điện động lực để tránh nhiễu. Đường trục giữa các tầng nên dùng cáp quang, vừa vượt giới hạn 100 m vừa miễn nhiễm nhiễu điện và an toàn hơn khi các tầng có hệ thống tiếp địa khác nhau.
Chia VLAN và quy hoạch địa chỉ IP
VLAN chia một mạng vật lý thành nhiều mạng logic. Chuẩn IEEE 802.1Q gắn thẻ cho mỗi khung dữ liệu để switch biết nó thuộc VLAN nào. Thiết bị ở hai VLAN khác nhau không nói chuyện trực tiếp được; muốn qua lại phải đi qua thiết bị định tuyến, nơi có thể đặt luật cho phép hay chặn.
Một bộ VLAN khởi đầu hợp lý. Nhân viên; máy chủ và quản trị thiết bị; thoại và camera; máy in và thiết bị IoT văn phòng; khách. Mạng khách chỉ được ra Internet, không thấy bất cứ thứ gì nội bộ. Camera và thiết bị IoT thường có phần mềm ít được cập nhật nên càng cần cách ly khỏi máy tính kế toán.
Quy hoạch địa chỉ theo quy tắc dễ nhớ. Ví dụ giả định: dải 10.10.x.0/24 với x là số VLAN, gồm 10 cho nhân viên, 20 cho máy chủ, 30 cho thoại, 40 cho máy in, 99 cho khách. Mỗi mạng /24 chứa 254 địa chỉ dùng được; văn phòng đông hơn có thể dùng /23. Nhìn địa chỉ là biết thiết bị thuộc vùng nào, giúp đọc nhật ký nhanh hơn nhiều.
Địa chỉ tĩnh và cấp phát động. Máy chủ, máy in, switch, access point dùng địa chỉ cố định hoặc đặt trước trên máy chủ DHCP; máy tính và điện thoại nhân viên nhận địa chỉ động. Ghi phạm vi tĩnh và động vào tài liệu để không ai đặt trùng.
Tránh dải địa chỉ phổ biến của router gia đình. Dải 192.168.0.x và 192.168.1.x trùng với mạng nhà của đa số nhân viên, gây xung đột khi họ kết nối VPN về công ty. Chọn một dải ít gặp trong không gian địa chỉ riêng giúp tránh lỗi khó hiểu này.
Tài liệu bàn giao và những lỗi thiết kế hay gặp
Một mạng không có tài liệu chỉ có một người hiểu, và người đó có thể nghỉ việc. Bộ tài liệu tối thiểu nên được yêu cầu trong hợp đồng thi công gồm sơ đồ vật lý (vị trí tủ, đường máng, các điểm), sơ đồ logic (VLAN, dải IP, thiết bị định tuyến), sổ cổng mạng, bản sao cấu hình mọi thiết bị, kết quả đo cáp và tài khoản quản trị bàn giao cho doanh nghiệp giữ. Các lỗi thường gặp khi rà soát văn phòng:
- Router gia đình làm cổng chính cho văn phòng ba chục người, kèm vài switch không quản lý nối tiếp nhau như chuỗi xúc xích.
- Một mạng phẳng duy nhất: máy khách, camera, máy tính kế toán chung một dải, mật khẩu Wi-Fi dán trên tường.
- Tủ mạng đặt trong kho không thông gió, cạnh hoá chất tẩy rửa hoặc dưới đường ống nước.
- Không có bộ lưu điện cho tủ mạng, nên mỗi lần chập điện là switch khởi động lại, điện thoại IP rớt cuộc gọi.
- Mật khẩu quản trị mặc định còn nguyên trên switch và access point; không ai biết ai giữ mật khẩu thật.
- Không sao lưu cấu hình, nên khi switch lõi hỏng, cấu hình VLAN phải dựng lại từ trí nhớ.
Mỗi lỗi trên đều rẻ để phòng và đắt để sửa sau. Khi nhận văn phòng mới, dành thời gian thiết kế mạng trước khi đội nội thất đóng trần là khoản đầu tư có hiệu quả cao nhất của cả dự án hạ tầng.
Ví dụ giả định: văn phòng 60 người ở Đà Nẵng
Một công ty phần mềm thuê một mặt sàn 600 m² ở Đà Nẵng (ví dụ giả định), dự kiến 60 người trong năm đầu, 80 người sau hai năm. Đếm theo bàn: 80 bàn × 2 điểm = 160; cộng 8 access point, 10 camera, 4 máy in, 6 phòng họp mỗi phòng 2 điểm, 4 điểm lễ tân và kho: khoảng 200 điểm. Tủ mạng đặt giữa mặt sàn để điểm xa nhất dưới 70 m theo máng cáp.
Thiết bị: bốn switch truy cập 48 cổng có quản lý, trong đó hai switch có PoE đủ công suất cho access point và camera; hai switch lõi lớp 3 nối chéo dự phòng; tường lửa làm cổng Internet; một bộ lưu điện cho cả tủ. Năm VLAN như mô tả ở trên, mạng khách có giới hạn băng thông.
Điểm đáng chú ý là chi phí cáp và nhân công thi công chiếm phần lớn so với tiền switch, và là phần không thay được về sau. Vì vậy, công ty chấp nhận Cat6 lõi đồng nguyên chất, đo kiểm từng sợi, thay vì tiết kiệm ở cáp để mua switch đắt hơn. Ba năm sau, khi thay switch thế hệ mới, toàn bộ hạ tầng cáp vẫn dùng nguyên.
Câu hỏi thường gặp
Văn phòng dưới mười người có cần switch có quản lý không?
Không bắt buộc, nhưng nên có ít nhất một thiết bị chia được mạng khách khỏi mạng nội bộ, thường là tường lửa hoặc router doanh nghiệp nhỏ. Nếu có camera hay máy in mạng, một switch quản lý thông minh rẻ tiền đã đủ để tách chúng ra. Chi phí chênh lệch nhỏ so với rủi ro dùng chung một mạng phẳng.
Cat6 và Cat6A khác nhau thế nào khi chọn cho văn phòng?
Cat6 chạy 1 Gb/s ổn định tới 100 m và 10 Gb/s ở cự ly ngắn hơn. Cat6A đạt 10 Gb/s đủ 100 m, chống nhiễu xuyên kênh tốt hơn nhưng dây to, cứng, khó đi trong máng hẹp và đắt hơn. Phần lớn văn phòng dùng Cat6 cho bàn làm việc và cân nhắc Cat6A cho đường tới access point.
Có nên đi cáp quang đến từng bàn làm việc?
Hiếm khi cần. Máy tính văn phòng hầu như chỉ có cổng đồng, cáp quang tới bàn cần thêm bộ chuyển đổi và khó sửa chữa tại chỗ. Cáp quang hợp lý cho đường trục giữa các tầng hoặc các tủ, nơi khoảng cách vượt 100 m hoặc cần băng thông lớn tập trung.
Khi nào cần hai đường lên dự phòng cho mỗi switch truy cập?
Khi thời gian ngừng việc của nhóm người dùng trên switch đó gây thiệt hại đáng kể, ví dụ quầy giao dịch, tổng đài chăm sóc khách hoặc dây chuyền. Hai đường lên nối về hai switch lõi khác nhau, cùng giao thức chống vòng lặp hoặc gom cổng đa thiết bị, giúp mất một dây hay một switch lõi mà không mất kết nối.
Thuê văn phòng ngắn hạn có nên đầu tư hệ thống cáp tử tế?
Nên hỏi chủ toà nhà trước về hạ tầng sẵn có và điều kiện hoàn trả mặt bằng. Nếu thời hạn thuê dưới hai năm, có thể dựa nhiều hơn vào Wi-Fi tốt và chỉ đi cáp cho access point, máy in, máy chủ. Thiết bị như switch và tường lửa vẫn mang theo được khi chuyển đi.
Ai nên giữ mật khẩu quản trị thiết bị mạng?
Doanh nghiệp phải giữ, không phải nhà thầu hay một cá nhân. Lưu trong trình quản lý mật khẩu của công ty với quyền truy cập cho ít nhất hai người có trách nhiệm, đổi mật khẩu sau khi nhà thầu bàn giao và mỗi khi người giữ nghỉ việc. Mỗi thiết bị nên có mật khẩu riêng.