Enterprise Network Infrastructure & High Availability

VLAN được tạo đồng bộ trên hai switch Layer 3 và các Access Switch. Cổng nối thiết bị đầu cuối đặt ở chế độ Access; các uplink từ Access lên Core được cấu hình trunk 802.1Q để vận chuyển nhiều VLAN.

interface FastEthernet0/3
 switchport access vlan 10
 switchport mode access
!
interface FastEthernet0/1
 switchport mode trunk

Hai Core Switch bật chức năng định tuyến Layer 3. Mỗi VLAN có SVI riêng; các máy trạm gửi lưu lượng khác VLAN về gateway ảo HSRP, sau đó Core đang Active thực hiện chuyển tiếp.

ip routing
!
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
!
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

CORE-SW1 giữ vai trò Active trong trạng thái bình thường, CORE-SW2 ở Standby và tiếp quản khi Core chính hoặc đường kết nối chính gặp sự cố. Máy trạm sử dụng gateway ảo 192.168.x.10 nên quá trình failover không yêu cầu đổi địa chỉ gateway trên client.

Mỗi VLAN có DHCP Pool riêng. CORE-SW1 cấp nửa đầu dải người dùng, CORE-SW2 cấp nửa sau; các địa chỉ SVI, gateway ảo và hạ tầng được loại trừ để tránh trùng lặp. Đây là phương án chia dải thủ công trong mô hình, không phải DHCP Failover hoàn chỉnh.

ip dhcp excluded-address 192.168.10.1 192.168.10.10
ip dhcp excluded-address 192.168.10.151 192.168.10.254
!
ip dhcp pool POOL_VLAN10
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.10
 dns-server 8.8.8.8

CORE-SW1 được ưu tiên Root Primary và CORE-SW2 là Root Secondary. Trong trạng thái bình thường, uplink về CORE-SW1 chuyển tiếp lưu lượng; đường về CORE-SW2 đóng vai trò dự phòng và có thể chuyển sang Forwarding khi đường chính lỗi.

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20,30,40,50,60,70,80,90,99,100 root primary

Cổng Access áp dụng Port Security và Sticky MAC. ACL được dùng để giới hạn các luồng nhạy cảm, ví dụ mạng khách không được truy cập trực tiếp các VLAN nội bộ và mạng quản trị.

interface FastEthernet0/5
 switchport access vlan 10
 switchport mode access
 switchport port-security
 switchport port-security mac-address sticky

Thiết bị mạng sử dụng SSH thay cho Telnet. ACL quản trị chỉ cho phép nguồn thuộc VLAN 99 truy cập thiết bị; thông tin mật khẩu trong bản public được ẩn để tránh công bố credential của lab.

ip domain-name doanhnghiep.local
crypto key generate rsa
access-list 10 permit 192.168.99.0 0.0.0.255

ASA phân tách Outside, Inside1, Inside2 và DMZ. ASA có default route ra Router Outside, tuyến chính về mạng nội bộ qua CORE-SW1 và tuyến dự phòng qua CORE-SW2. PAT được dùng cho Inside đi ra ngoài; các dịch vụ DMZ được công bố có chọn lọc và vẫn phải được ACL cho phép.

route outside 0.0.0.0 0.0.0.0 209.165.200.226
route inside1 192.168.0.0 255.255.0.0 172.16.1.2 1
route inside2 192.168.0.0 255.255.0.0 172.16.2.2 10

Web/DNS, Mail và FTP được tách thành các VLAN riêng trong DMZ và dùng IP tĩnh. Outside chỉ được phép truy cập các dịch vụ đã công bố; kết nối trực tiếp từ Outside vào Inside bị chặn.

Web/DNS : 10.5.101.10  → HTTP / HTTPS / DNS
Mail    : 10.5.102.10  → SMTP / POP3
FTP     : 10.5.103.10  → FTP

Router Outside đại diện cho Internet trong mô hình. Cổng kết nối ASA sử dụng 209.165.200.226/30 và có các tuyến quay lại những mạng cần kiểm thử qua địa chỉ Outside của ASA.

interface GigabitEthernet0/0
 ip address 209.165.200.226 255.255.255.252
!
ip route 192.168.0.0 255.255.0.0 209.165.200.225
ip route 10.5.0.0 255.255.0.0 209.165.200.225