Giới Thiệu

Ngày nay, ngày càng có nhiều công ty cho phép hoặc thậm chí khuyến khích nhân viên của họ làm việc bằng các thiết bị di động cá nhân. Xu hướng BYOD (Bring Your Own Device - Mang thiết bị cá nhân đi làm) chắc chắn sẽ mang lại sự linh hoạt và sinh khí mới cho môi trường công sở. Tuy nhiên, việc giúp nhân viên tận dụng tối đa sự tiện lợi của BYOD mà không làm ảnh hưởng đến các tiêu chuẩn an ninh mạng lại là một bài toán không hề dễ dàng. Nguy cơ đối với an ninh mạng tăng lên khi nhân viên mang thiết bị của họ di chuyển khắp văn phòng. Điều này đặc biệt đúng đối với các công ty lớn có nhiều phòng ban. Giải pháp Omada SDN xử lý triệt để các vấn đề này bằng cách khai thác tính năng Đa SSID (Multi-SSID) và các chính sách ACL linh hoạt.

Để tìm hiểu thêm về Giải pháp Omada SDN, vui lòng truy cập: https://www.tp-link.com/omada-sdn/

Kịch Bản Ứng Dụng Thực Tế

Hãy cùng xem xét một ví dụ để giải thích chi tiết điều này. Một công ty có hai phòng ban hoạt động trong một tòa nhà — Phòng Nghiên cứu & Phát triển (R&D) và Phòng Marketing. Mỗi phòng ban được phân bổ một mạng con (subnet) và mạng ảo VLAN riêng biệt. Phòng R&D thuộc VLAN 10 và phân đoạn mạng con 172.31.10.0/24. Phòng Marketing thuộc VLAN 20 và phân đoạn mạng con 172.31.20.0/24. Trong kịch bản này, nhân viên có thể mang các thiết bị không dây cá nhân của họ đi làm và kết nối vào mạng lưới của phòng ban mình, nhưng vì mục đích bảo mật, họ không thể truy cập vào mạng lưới của phòng ban khác.

Một bộ sản phẩm hoàn chỉnh thuộc giải pháp Omada SDN (chẳng hạn như bộ định tuyến ER605, switch TL-SG3428MP và các điểm truy cập EAP610) có thể được sử dụng để xây dựng hệ thống mạng này. Tất cả các thiết bị được cấu hình và giám sát trên một nền tảng tập trung — bộ điều khiển phần cứng Omada Controller OC300. Bạn có thể truy cập và quản lý OC300 thông qua giao diện web (Web UI) trên máy tính của mình.

Dưới đây là các bước để tiến hành phân tách mạng và đảm bảo an ninh BYOD bằng giao diện web của OC300.

Bước 1. Thiết lập mạng diện rộng WAN

Bước 2. Thiết lập mạng cục bộ LAN và các mạng ảo VLAN

Bước 3. Thiết lập mạng không dây Wi-Fi

Bước 4. Thiết lập quy tắc kiểm soát truy cập ACL

Bước 1. Thiết lập mạng diện rộng WAN

Chúng ta sẽ tiến hành thiết lập một kết nối WAN cho bộ định tuyến (router), đây chính là kết nối ra mạng internet.

1. Truy cập vào mục Settings (Cài đặt) > Wired Networks (Mạng dây) > Internet. Lựa chọn kiểu kết nối (Connection Type) và cấu hình các tham số theo thông tin từ nhà cung cấp dịch vụ Internet (ISP) của bạn. Nhấn Apply (Áp dụng) để hoàn tất cài đặt. Nếu bạn nhận địa chỉ IP động từ ISP, hãy chọn mục Dynamic IP (IP động).

Nếu bạn nhận địa chỉ IP tĩnh từ nhà cung cấp ISP, hãy chọn mục Static IP (IP tĩnh) và nhập vào địa chỉ IP (IP Address), mặt nạ mạng con (Subnet Mask), cổng vào mặc định (Default Gateway) và máy chủ DNS được cung cấp bởi ISP.

Bước 2. Thiết lập mạng cục bộ LAN và các mạng ảo VLAN

Trước hết, hãy kiểm tra các cài đặt mạng LAN mặc định.

1. Truy cập vào mục Settings (Cài đặt) > Wired Networks (Mạng dây) > LAN. Tại đây, bạn có thể xem các thông số cài đặt mạng LAN mặc định.

2. Nhấn vào biểu tượng chỉnh sửa . Các tham số của mạng LAN được hiển thị trong bảng sau. Bạn có thể giữ nguyên các cài đặt mặc định cho LAN (VLAN 1).

Tiến hành phân chia mạng nội bộ thành hai mạng ảo VLAN và các phân đoạn IP bổ sung cho các phòng ban khác nhau.

3. Để tạo mạng VLAN 10, nhấn chọn mục + Create New LAN (Tạo mạng LAN mới). Cấu hình các tham số theo bảng dưới đây. Nhấn Save (Lưu).

3. Để tạo mạng VLAN 20, nhấn chọn mục + Create New LAN (Tạo mạng LAN mới). Cấu hình các tham số theo bảng dưới đây. Nhấn Save (Lưu).

Để các cấu hình VLAN chính thức có hiệu lực, bạn cần thiết lập cấu hình Port Profile (Hồ sơ cổng) cho VLAN, sau đó áp dụng tương ứng vào các cổng vật lý của switch. Các Port Profile cần thiết được minh họa trong hình bên dưới.

4. Di chuyển đến mục Profile (Hồ sơ). Bộ điều khiển controller đã tự động khởi tạo toàn bộ các cấu hình profile bạn cần dựa trên thiết lập VLAN của bạn, bao gồm các profile: All (Tất cả), LAN, R&D và Marketing.

Bạn cần tiến hành gán các cấu hình Port Profile này vào các cổng mạng vật lý tương ứng dựa theo bảng dưới đây.

5. Di chuyển đến mục Switch Settings (Cài đặt Switch). Thiết bị switch sẽ xuất hiện trong danh sách hiển thị. Nhấn chọn nút chỉnh sửa . Ví dụ, nếu bạn muốn áp dụng profile R&D cho Port 4 và Port 6, hãy tích chọn hai cổng này trên danh sách hiển thị cổng và nhấn chọn mục Edit Selected (Chỉnh sửa mục đã chọn). Tiếp theo, chọn hồ sơ profile là R&D và nhấn Apply (Áp dụng). Áp dụng phương thức tương tự này để gán các cấu hình profile cho các cổng vật lý khác trên switch.

Bước 3. Thiết lập mạng không dây Wi-Fi

Trong ví dụ kịch bản này, bạn cần khởi tạo Đa SSID (Multi-SSID) cho các phòng ban thuộc các mạng ảo VLAN khác nhau, cụ thể là tên mạng R&D Staff cho VLAN 10, và mạng Marketing Staff cho VLAN 20. Theo mặc định, mạng Wi-Fi của mỗi phòng ban sẽ được áp dụng đồng loạt xuống toàn bộ hệ thống các điểm truy cập EAP để phủ sóng toàn bộ văn phòng. Tuy nhiên, bạn cần phân phối các bộ SSID và mật mã riêng biệt cho nhân sự thuộc từng phòng ban để họ kết nối chính xác vào phân đoạn mạng VLAN tương ứng của mình.

1. Để tạo một SSID cho mạng R&D Staff trong phân đoạn VLAN 10, truy cập vào phần Wireless Networks (Mạng không dây) và nhấn chọn mục + Create New Wireless Network (Tạo mạng không dây mới). Cấu hình các tham số theo bảng dưới đây. Nhấn Save (Lưu).

2. Để tạo một SSID cho mạng Marketing Staff trong phân đoạn VLAN 20, truy cập vào phần Wireless Networks (Mạng không dây) và nhấn chọn mục + Create New Wireless Network (Tạo mạng không dây mới). Cấu hình các tham số theo bảng dưới đây. Nhấn Save (Lưu).

3. Theo mặc định, các cấu hình mạng Wi-Fi đã thiết lập sẽ được đẩy đồng bộ xuống toàn bộ hệ thống EAP. Để xác thực lại điều này, di chuyển đến phần Devices (Thiết bị) và nhấn chọn thiết bị EAP cụ thể. Tiếp tục chọn tab Config (Cấu hình) và nhấp vào mục WLAN. Bạn sẽ kiểm chứng được các cài đặt Wi-Fi đã áp dụng thành công xuống điểm truy cập EAP.

Bước 4. Thiết lập quy tắc kiểm soát truy cập ACL

Bạn cần tiến hành thiết lập một quy tắc ACL (Access Control List) nhằm cô lập và tách biệt các phân đoạn mạng mạng ảo VLAN (tương ứng với các phòng ban) với nhau. Nếu không cấu hình bước này, các máy khách thuộc các mạng VLAN khác nhau vẫn hoàn toàn có thể tìm thấy và truy cập qua lại lẫn nhau thông qua các giao diện định tuyến VLAN nội bộ.

Di chuyển đến mục Network Security (An ninh mạng) > Switch ACL và bấm vào nút + Create New Rule (Tạo quy tắc mới). Cấu hình các tham số chi tiết theo bảng dưới đây. Nhấn nút Apply (Áp dụng).

Đến bước này, bạn đã hoàn tất toàn bộ quy trình thiết lập hệ thống, các tiêu chí và yêu cầu kỹ thuật của mạng lưới đều đã được đáp ứng trọn vẹn:

1) Hệ thống đã thiết lập đầy đủ mạng dây có dây và mạng lưới không dây chuyên biệt cho mỗi phòng ban.

2) Mạng nội bộ đã được phân chia rõ ràng về mặt vật lý lẫn logic theo từng phòng ban (mạng ảo VLAN). Mỗi phòng ban sẽ vận hành hoàn toàn độc lập, tách biệt bảo mật với nhau, nhưng nhân sự ở cả hai phòng ban đều có quyền kết nối truy cập ra mạng internet bình thường.

3) Tiêu chuẩn an ninh bảo mật BYOD cho doanh nghiệp được đảm bảo tuyệt đối. Hệ thống mạng Wi-Fi dành riêng cho từng phòng ban được cấu hình đồng bộ trên tất cả các thiết bị EAP để bao phủ sóng toàn văn phòng. Tuy nhiên, ban quản trị sẽ bàn giao các bộ tên mạng không dây SSID và mật mã bảo mật riêng biệt cho nhân sự ở mỗi bộ phận để họ kết nối chính xác vào phân đoạn mạng VLAN tương ứng của phòng ban mình.