Công nghệ: chọn theo bài toán, đo bằng chỉ tiêu
Cách COREIT lựa chọn công nghệ cho hệ thống doanh nghiệp: nguyên tắc thiết kế, chỉ tiêu đo được, rồi mới đến từng công nghệ cụ thể.
Tóm tắt: COREIT chọn công nghệ theo bài toán và chỉ tiêu đo được: phòng thủ nhiều lớp, phân vùng, loại bỏ điểm lỗi đơn và đo trước khi kết luận. Trang này liệt kê các thông số hay bị bỏ qua, cùng hãng và dòng thiết bị tham khảo theo hạng mục.
3 phần liên kết trong 1 giải pháp công nghệ
Những bước tiến công nghệ đáng chú ý
Tổng hợp các hướng phát triển mới của những nhà sản xuất hàng đầu trong từng nhóm giải pháp, từ tường lửa đến máy trạm. Nội dung ở mức công nghệ để bạn tra cứu và đặt câu hỏi khi trao đổi với COREIT.
Tường lửa & chống xâm nhập
- Tường lửa thế hệ mới tích hợp AI/ML để nhận diện mối đe doạ mới ngay trên đường truyền
- Giải mã và kiểm tra lưu lượng TLS 1.3 nhờ chip xử lý chuyên dụng, ít ảnh hưởng tốc độ
- Bắt đầu hỗ trợ mật mã hậu lượng tử (hybrid PQC) cho VPN và TLS
Ý nghĩa: cùng một thiết bị biên nhưng xử lý được nhiều lưu lượng mã hoá hơn mà vẫn kiểm soát.
SD-WAN & SASE
- SD-WAN tích hợp bảo mật ngay trong thiết bị chi nhánh, quản lý tập trung
- Dịch vụ bảo mật từ đám mây (SSE) bổ sung cho người dùng làm việc từ xa
- Chọn đường truyền theo ứng dụng và chất lượng thực, không chỉ theo giá
Ý nghĩa: nhiều chi nhánh chung một chính sách, thêm điểm mới nhanh và nhất quán.
Chuyển mạch & Wi-Fi 7
- Wi-Fi 7 (802.11be) với kết nối đa băng tần (MLO), giảm trễ ở nơi đông thiết bị
- Cổng đa tốc độ 2.5/5/10G và PoE công suất cao (802.3bt) cho AP và camera đời mới
- Quản lý Wi-Fi và switch từ một bảng điều khiển, có phân tích hỗ trợ bởi AI
Ý nghĩa: cáp và switch chọn hôm nay cần đủ chuẩn cho AP thế hệ tiếp theo.
Bảo vệ máy trạm: EDR, XDR
- EDR/XDR liên kết dữ liệu từ máy trạm, email, định danh và mạng để thấy cả chuỗi tấn công
- Phân loại cảnh báo tự động bằng AI, giảm tải cho người trực
- Dịch vụ giám sát và phản ứng có người vận hành (MDR) cho đơn vị chưa có đội riêng
Ý nghĩa: phát hiện sớm hơn và phản ứng nhanh hơn, không chỉ chặn mã độc đã biết.
Định danh & truy cập an toàn
- Zero Trust: xác thực theo người dùng, thiết bị và ngữ cảnh cho mỗi lần truy cập
- Passkey/FIDO2 thay mật khẩu, MFA chống lừa đảo (phishing-resistant)
- Phát hiện bất thường trên tài khoản và thu hồi quyền tức thì
Ý nghĩa: tài khoản là lớp biên mới, cần được bảo vệ ngang với firewall.
Sao lưu & khôi phục
- Bản sao lưu bất biến (immutable) không thể bị mã hoá hoặc xoá bởi ransomware
- Kho khôi phục sạch (clean room) để thử khôi phục trước khi đưa vào chạy thật
- Thử khôi phục tự động theo lịch và đo thời gian thực tế (RTO)
Ý nghĩa: sao lưu chỉ có giá trị khi khôi phục được, và được chứng minh định kỳ.
Máy chủ, lưu trữ & phòng máy
- Lưu trữ NVMe all-flash và mạng lưu trữ tốc độ cao, mở rộng linh hoạt
- Máy chủ thế hệ mới tiết kiệm điện hơn trên mỗi đơn vị công việc, có hạ tầng sẵn sàng cho GPU/AI
- Quản trị ngoài băng tần và giám sát nguồn, nhiệt độ từ xa
Ý nghĩa: tính công suất điện và làm mát từ đầu để không phải làm lại phòng máy.
Vận hành mạng bằng dữ liệu
- AIOps: phát hiện bất thường và gợi ý nguyên nhân gốc từ dữ liệu telemetry
- Cấu hình dưới dạng mã, tự động kiểm tra trước khi áp dụng
- Quan sát trải nghiệm người dùng thực (Wi-Fi, ứng dụng), không chỉ trạng thái thiết bị
Ý nghĩa: giảm thời gian tìm lỗi và giảm sai sót khi thay đổi cấu hình.
Đây là thông số tham khảo. COREIT cung cấp thêm thông tin chi tiết phù hợp với từng hệ thống khi trao đổi với khách hàng.
Thông tin mang tính tham khảo về xu hướng. Giải pháp cụ thể được chốt sau khảo sát theo nhu cầu, ngân sách và hiện trạng của bạn.
Thông số quan trọng mà hệ thống làm vội thường bỏ qua
COREIT thiết kế từ lõi mạng đến tổng thể. Những mục dưới đây ít được nhắc khi báo giá nhưng quyết định hệ thống có ổn định như đã cam kết hay không.
| Thông số | Cách COREIT áp dụng | Nếu bỏ qua |
|---|---|---|
| Nguồn điện dự phòng N+1, UPS có giám sát | Sự cố điện là nguyên nhân gián đoạn hàng đầu mà thiết kế mạng hay bỏ qua. | Mất nguồn là mất cả hệ thống, dù mạng thiết kế tốt đến đâu. |
| Hai đường truyền khác nhà mạng, failover tự động | Hai đường nên đi hai tuyến vật lý khác nhau, được đo thời gian chuyển đổi. | Một đường đứt là cả văn phòng mất Internet. |
| Dư công suất và tỷ lệ oversubscription của uplink | Tính theo người dùng và ứng dụng thực, chừa dư năng lực để tăng trưởng. | Thêm người dùng là nghẽn, chậm vào giờ cao điểm. |
| Chống loop (STP) và bảo vệ cổng | Chặn vòng lặp và thiết bị lạ cắm vào mạng. | Một dây cắm nhầm có thể làm sập cả mạng nội bộ. |
| Quản trị ngoài băng tần (OOB) và sao lưu cấu hình | Vẫn truy cập, thay thế và khôi phục thiết bị khi mạng chính hỏng. | Thiết bị hỏng mà không có cấu hình dự phòng thì phải dựng lại từ đầu. |
| Nhật ký tập trung và đồng bộ thời gian (NTP) | Mọi sự kiện có mốc thời gian thống nhất để truy vết. | Không có bằng chứng khi sự cố hoặc kiểm toán. |
| Vòng đời firmware và vá lỗi định kỳ | Theo dõi bản vá, hết hỗ trợ và lên lịch cập nhật. | Lỗ hổng cũ tồn tại nhiều năm trên thiết bị biên. |
| Tiếp địa, chống sét lan truyền, đo kiểm cáp có chứng nhận | Phần vật lý được đo kiểm từng tuyến và có hồ sơ. | Lỗi vật lý chập chờn rất khó tìm và hay bị đổ cho thiết bị. |
Hãng và dòng thiết bị tham khảo theo hạng mục
COREIT làm việc với nhiều hãng và chọn theo khảo sát. Bảng dưới là dòng thiết bị thường dùng, kèm vai trò và gói dịch vụ đi kèm. Model cụ thể được chốt sau khảo sát theo số người dùng, ngân sách và thời điểm hãng còn bán.
| Hạng mục | Hãng · dòng tham khảo | Vai trò | Gói đi kèm |
|---|---|---|---|
| Firewall biên, chạy cặp HA | Fortinet FortiGate (70G–200G cho văn phòng và chi nhánh, 400F trở lên cho lõi); Palo Alto Networks PA-400 / PA-1400 | Chặn xâm nhập, VPN, lọc nội dung. Chạy cặp để mất một thiết bị vẫn thông. | Starter, Basic Layer, Advanced |
| Switch lõi, phân phối, truy cập | Cisco Catalyst 9200 / 9300 / 9500; HPE Aruba CX 6200 / 6300 / 8325; Juniper EX | Phân tầng Core, Distribution, Access; PoE cho AP và camera; ghép stack hoặc VSX để dự phòng. | Basic Layer, Advanced |
| Wi-Fi doanh nghiệp và controller | HPE Aruba (AP-735 Wi-Fi 7, quản lý bằng Aruba Central); Cisco Catalyst 9100 / Meraki; Ubiquiti UniFi; EnGenius | Roaming mượt, tách mạng khách và nhân viên, quản lý tất cả điểm phát ở một nơi. | Basic Layer, Advanced |
| Máy chủ | Dell PowerEdge dòng R; HPE ProLiant DL360 / DL380 Gen12; Lenovo ThinkSystem | Ảo hoá, cơ sở dữ liệu, file server. Có quản trị ngoài băng tần (iLO, iDRAC) để xử lý khi mạng chính hỏng. | Thiết bị và hạ tầng IT, Care |
| Lưu trữ và sao lưu | Synology RackStation, QNAP; Veeam Backup & Replication | Sao lưu 3-2-1, có bản không thể sửa đổi, thử khôi phục định kỳ theo RPO và RTO. | Gói đi kèm (Legacy Backup), Care |
| Điện và phòng máy | APC by Schneider Electric Smart-UPS; Eaton 9PX / 5P | UPS dự phòng N+1, giám sát từ xa, tính công suất theo tải thực. | Thiết bị và hạ tầng IT, Care |
| Bảo vệ máy trạm | Bitdefender GravityZone; Kaspersky | Chống mã độc và ransomware, mức nâng cao có EDR, mức toàn diện có XDR. | Starter, Basic Layer, Advanced |
| Định danh và truy cập | Microsoft Entra ID / Active Directory; RADIUS 802.1X trên switch và AP | Một danh tính cho mạng, Wi-Fi, VPN và thiết bị; MFA; thu hồi quyền ngay khi nhân sự nghỉ. | Tư vấn và thiết kế, Basic Layer, Advanced |
6 nguyên tắc COREIT áp dụng cho mọi hệ thống
Công nghệ có thể thay đổi theo từng thời kỳ, nguyên tắc thì không. Mọi lựa chọn bên dưới đều bắt nguồn từ các nguyên tắc này.
Phòng thủ nhiều lớp
Không dựa vào một thiết bị. Biên (firewall), mạng (phân vùng), máy trạm (EDR) và dữ liệu (sao lưu) cùng bảo vệ, một lớp thủng không làm mất cả hệ thống.
Phân vùng theo mức tin cậy
Tách người dùng, máy chủ, DMZ và khách. Mặc định không tin cậy (Zero Trust), sự cố ở một vùng không lan sang vùng khác.
Loại bỏ điểm lỗi đơn
Thiết bị lõi chạy cặp HA, đường truyền từ hai nhà mạng độc lập, nguồn điện có UPS. Chuyển dự phòng tính bằng giây, không bằng giờ.
Đo trước khi kết luận
Quyết định dựa trên số đo: độ trễ, mất gói, tải backbone, nhiệt độ phòng máy, vùng phủ Wi-Fi. Cùng một bộ tiêu chí dùng khi khảo sát và khi vận hành.
Quan sát được toàn hệ thống
Giám sát tập trung thiết bị, đường truyền và máy chủ, cảnh báo theo ngưỡng để phát hiện sớm trước khi người dùng bị ảnh hưởng.
Phục hồi có kiểm chứng
Sao lưu theo quy tắc 3-2-1 (3 bản, 2 loại lưu trữ, 1 bản ngoài), đặt mục tiêu RPO và RTO, thử khôi phục định kỳ.
Từ yêu cầu kinh doanh đến lựa chọn công nghệ
| Yêu cầu kinh doanh | Chỉ tiêu kỹ thuật | Công nghệ thường dùng |
|---|---|---|
| Hệ thống không được dừng | Độ sẵn sàng, RTO | HA firewall và switch lõi, 2 ISP, UPS, giám sát 24/7 |
| Dữ liệu không được mất | RPO, RTO, số bản sao | Sao lưu 3-2-1, bản sao ngoài, thử khôi phục |
| Đáp ứng yêu cầu bảo mật của đối tác | Phân vùng, kiểm soát truy cập, nhật ký | VLAN/DMZ, Zero Trust (ZTNA), MFA, EDR |
| Mở rộng thêm điểm, thêm người | Khả năng mở rộng, thời gian dựng điểm mới | Kiến trúc phân lớp, Ring, SD-WAN, quản lý tập trung |
| Đầu tư đúng, không dư | Chi phí sở hữu theo vòng đời | Chọn theo khảo sát, không ràng buộc hãng, triển khai theo giai đoạn |
Mức sẵn sàng và thời gian dừng tối đa mỗi năm
| Mức sẵn sàng | Thời gian dừng tối đa/năm | Kiến trúc thường gặp |
|---|---|---|
| 99% | khoảng 3 ngày 15 giờ | Thiết bị đơn, một đường truyền |
| 99,9% | khoảng 8 giờ 46 phút | Cặp thiết bị HA, có UPS |
| 99,99% | khoảng 52 phút 34 giây | HA, 2 ISP độc lập, dự phòng điện, giám sát chủ động |
Mức cam kết thực tế còn phụ thuộc đường truyền nhà mạng và nguồn điện, được xác định qua khảo sát.
Cách COREIT chọn công nghệ
1. Xác định bài toán và mức rủi ro chấp nhận được
2. Đo hiện trạng bằng bộ tiêu chí 6 hạng mục
3. Chọn mô hình kiến trúc và công nghệ đáp ứng chỉ tiêu, không ràng buộc hãng
4. Kiểm thử và nghiệm thu theo đúng chỉ tiêu đã đặt
Thuật ngữ dùng trên trang này
- HA (High Availability)
- Hai thiết bị chạy thành cặp, một thiết bị lỗi thì thiết bị kia tiếp quản ngay, thường trong vài giây.
- ISP
- Nhà cung cấp dịch vụ Internet (nhà mạng).
- SLA
- Cam kết dịch vụ bằng văn bản: thời gian phản hồi, xử lý và giám sát cho từng gói.
- RPO
- Lượng dữ liệu tối đa chấp nhận mất, tính bằng thời gian (ví dụ 4 giờ).
- RTO
- Thời gian tối đa để khôi phục hệ thống sau sự cố.
- VLAN
- Mạng ảo chia một hạ tầng vật lý thành nhiều vùng tách biệt.
- DMZ
- Vùng đệm đặt các dịch vụ cho bên ngoài truy cập, tách khỏi mạng nội bộ.
- Zero Trust / ZTNA
- Mặc định không tin cậy: mỗi người và thiết bị đều phải xác thực và chỉ truy cập đúng quyền.
- SD-WAN
- Điều phối nhiều đường truyền giữa các chi nhánh bằng phần mềm, chọn đường tốt nhất và dự phòng tự động.
- EDR / XDR
- Phát hiện và phản ứng mối đe doạ trên máy trạm (EDR), mở rộng sang mạng và cloud (XDR).
- SOC
- Trung tâm giám sát an ninh theo dõi cảnh báo liên tục.
- BOQ
- Bảng khối lượng và danh mục vật tư kèm số lượng để lập ngân sách.
- PoE
- Cấp nguồn điện qua cáp mạng cho AP và camera.
- Backbone
- Đường trục kết nối chính giữa các switch lõi và các khu vực.
Firewall, Switching, Kết nối không dây, Trung tâm dữ liệu
Đây là các thành phần riêng lẻ — cách COREIT kết hợp chúng thành 1 kiến trúc hoàn chỉnh nằm ở trang Mô hình kiến trúc và Trục mạng & Quản lý bên cạnh.
Firewall / bảo mật biên
| Công nghệ | Vai trò |
|---|---|
| Quản lý & đồng bộ chính sách tập trung đa lớp | Đồng bộ chính sách cho firewall, switch, AP trên 1 nền tảng — giảm cấu hình tay từng thiết bị |
| Bộ xử lý chuyên dụng tách rời (ASIC/NPU) | Xử lý mạng & nội dung tách khỏi CPU chính — kiểm tra sâu (IPS/SSL) không làm nghẽn băng thông, giữ thông lượng ở tốc độ đường truyền (wire-speed) |
| Nhận diện ứng dụng theo hành vi (App-aware inspection) | Kiểm soát đúng loại ứng dụng đang chạy, không chỉ dựa vào cổng/giao thức — nhận diện hàng nghìn ứng dụng qua Deep Packet Inspection (DPI) |
| Phân tích mã độc trên cloud (Cloud sandboxing) | Phát hiện mã độc zero-day, cập nhật chữ ký phòng vệ gần thời gian thực |
| Tình báo mối đe doạ toàn cầu + kiểm soát truy cập theo danh tính | Kết hợp dữ liệu đe doạ cập nhật liên tục với kiểm soát truy cập theo người dùng/thiết bị (NAC) |
Chuẩn chung: VPN IPsec/SSL, Zero Trust Network Access (ZTNA), High Availability Active/Passive hoặc Active/Active (chuyển đổi dự phòng thường dưới 1-3 giây, không rớt phiên kết nối).
Switching / mạng lõi
| Công nghệ | Vai trò |
|---|---|
| Hệ điều hành mạng thống nhất | 1 hệ điều hành xuyên suốt access → distribution → core, vận hành nhất quán khi mở rộng |
| Gộp nhiều switch thành 1 mặt phẳng điều khiển (Virtual stacking) | Quản lý như 1 thiết bị logic duy nhất, tăng dự phòng — thường gộp 4-8 switch vật lý |
| HSRP / VRRP | Dự phòng gateway lớp 3 — 1 switch/router lỗi, thiết bị còn lại tiếp quản ngay, không gián đoạn (có thể tinh chỉnh xuống dưới 1 giây) |
| STP / RSTP | Chống lặp vòng (loop) khi mạng có nhiều đường kết nối dự phòng |
| LACP | Gộp nhiều đường truyền vật lý (thường tối đa 8 cổng) thành 1 kênh logic băng thông lớn hơn |
| OSPF / BGP + ECMP | Định tuyến động, tự cân tải qua nhiều đường đi song song khi có nhiều tuyến |
Cách các công nghệ này được tổ chức thành backbone trục dọc hoặc mạng ngang hàng theo từng mô hình — xem trang Trục mạng & Quản lý.
Kết nối không dây doanh nghiệp
| Công nghệ | Vai trò |
|---|---|
| Chuyển vùng thông minh (Smart roaming/steering) | Tự động chuyển thiết bị sang access point tốt nhất khi di chuyển — không rớt kết nối (thường dưới 50ms) |
| Tối ưu sóng bằng AI/ML (AI-driven RF optimization) | Tự động tối ưu kênh phát & công suất theo điều kiện sóng thực tế |
| Wi-Fi 6 / 6E / 7 (802.11ax/be) | Băng thông cao hơn, ít nhiễu hơn khi nhiều thiết bị dùng cùng lúc — Wi-Fi 6 đạt tốc độ lý thuyết tối đa ~9.6Gbps/kênh |
| 802.11r (Fast Roaming) + WPA3 | Chuyển vùng nhanh không gián đoạn cuộc gọi/ứng dụng, mã hoá WPA3-SAE chống dò mật khẩu offline |
Tại Việt Nam, băng tần 6GHz cho Wi-Fi 6E/7 chỉ được cấp phép sử dụng miễn giấy phép trong dải 5925–6425 MHz (500 MHz, theo Thông tư 01/2025/TT-BKHCN, hiệu lực từ 15/5/2025) — hẹp hơn dải 6GHz đầy đủ ở một số nước khác. Thiết bị cần đặt đúng vùng quản lý (regulatory domain) Việt Nam để chỉ phát trong dải này.
Trung tâm dữ liệu & phòng máy
| Công nghệ | Vai trò |
|---|---|
| Kiến trúc mạng Spine-Leaf | Mỗi switch Leaf nối tới toàn bộ switch Spine qua định tuyến Layer 3 (BGP/OSPF) + ECMP — băng thông đồng đều giữa các rack, không nghẽn tại 1 điểm như kiến trúc 3 lớp truyền thống. Áp dụng khi có nhiều rack/tủ mạng. |
| Tiêu chuẩn độ sẵn sàng (Uptime Institute) | Tier III (concurrently maintainable — nhiều đường điện/làm mát độc lập, bảo trì không cần dừng hệ thống) là mức khuyến nghị cho đa số doanh nghiệp; Tier IV (fault-tolerant — chịu 1 sự cố bất kỳ mà không gián đoạn) cho hệ thống yêu cầu cực cao |
| Điện & làm mát dự phòng | Cấu hình N+1 (dư 1 thiết bị dự phòng) hoặc 2N (dự phòng toàn phần) cho UPS/máy phát điện, giám sát nhiệt độ/độ ẩm phòng máy theo thời gian thực |
Cách quản lý tập trung hạ tầng máy chủ (HCI) và giám sát vận hành toàn hệ thống — xem trang Trục mạng & Quản lý.
Tên công nghệ/giao thức nêu trên theo công bố của hãng và quy định hiện hành tại thời điểm biên soạn (8/2026) — COREIT chọn model thiết bị cụ thể phù hợp tại thời điểm khảo sát và triển khai thực tế.
Cần trao đổi kỹ thuật sâu hơn?
Nếu bạn là CTO/IT Manager và muốn trao đổi trực tiếp về kiến trúc, gửi yêu cầu để đội ngũ kỹ thuật COREIT phản hồi.
Là doanh nghiệp công nghệ / outsourcing? Xem trang giải pháp riêng →