Tài liệu này trình bày giải pháp kiến trúc mạng dành cho một văn phòng doanh nghiệp vừa và nhỏ (SMB) quy mô 50-500 nhân sự, dựa trên nền tảng thiết bị DrayTek thế hệ mới. Mục tiêu của giải pháp là xây dựng một hạ tầng mạng ổn định, bảo mật, có khả năng mở rộng, đồng thời tối ưu chi phí đầu tư bằng cách chỉ nâng cấp băng thông cao (2.5GbE/10GbE) tại đúng những khu vực thực sự cần thiết.

1.1 Bối cảnh và nhu cầu thực tế

Khách hàng vận hành một văn phòng mở với hai đường truyền Internet nhằm đảm bảo dự phòng (failover) và cân bằng tải. Trong văn phòng có một bộ phận thiết kế sử dụng máy trạm cấu hình cao, thường xuyên xử lý file dữ liệu lớn (ảnh RAW, video, file CAD/3D) và cần kết nối mạng LAN 2.5GbE cũng như Wi-Fi 6 để làm việc mượt mà. Toàn bộ dữ liệu công ty được lưu trữ tập trung trên hệ thống Synology NAS hỗ trợ cổng 10GbE. Ngoài ra, hệ thống còn phải đáp ứng đồng thời các nhu cầu về phần mềm ERP nội bộ, hệ thống camera giám sát (CCTV) và truy cập từ xa qua VPN cho nhân sự lưu động.

1.2 Mục tiêu thiết kế

• Đảm bảo kết nối Internet liên tục thông qua cơ chế Dual-WAN (load-balance/failover).
• Cung cấp băng thông cao (2.5GbE/10GbE) cho đúng nhóm người dùng và thiết bị có nhu cầu thực sự: phòng thiết kế, NAS, Wi-Fi 6.
• Giữ chi phí đầu tư hợp lý bằng cách duy trì hạ tầng Gigabit tiêu chuẩn cho các khu vực văn phòng thông thường.
• Phân vùng mạng (VLAN) rõ ràng nhằm cô lập rủi ro giữa các nhóm thiết bị: nhân viên, CCTV, khách, quản trị, server.
• Đảm bảo khả năng mở rộng khi doanh nghiệp tăng trưởng về nhân sự hoặc số lượng chi nhánh/tầng làm việc.

1.3 Phạm vi tài liệu

Tài liệu bao gồm: phân tích yêu cầu, kiến trúc mạng tổng thể, bảng danh mục thiết bị và vai trò, các quyết định thiết kế then chốt kèm phân tích ưu/nhược điểm, thiết kế VLAN và chính sách bảo mật, quy trình triển khai, và định hướng mở rộng trong tương lai. Tài liệu phù hợp để trình bày cho khách hàng doanh nghiệp trong giai đoạn tư vấn giải pháp (pre-sales), cũng như làm tài liệu tham chiếu kỹ thuật cho đội ngũ triển khai.

2.1 Yêu cầu nghiệp vụ

2.2 Ràng buộc và giả định kỹ thuật

• Số lượng người dùng đồng thời: 50-100 thiết bị hữu tuyến/không dây.
• Hạ tầng cáp hiện hữu: Cat5e/Cat6 đáp ứng tốt 1GbE; khu vực cần 2.5GbE/10GbE cần kiểm tra lại cự ly và chất lượng cáp (khuyến nghị Cat6/Cat6A).
• Ngân sách đầu tư ưu tiên hiệu quả: chỉ nâng cấp tốc độ cao ở nơi thật sự cần, tránh nâng cấp toàn bộ hạ tầng Gigabit hiện có gây lãng phí.
• Hệ thống cần đảm bảo có thể mở rộng thêm VLAN, thêm switch access khi doanh nghiệp phát triển.

Kiến trúc được xây dựng theo mô hình phân lớp (layered architecture) gồm 3 lớp chính: Lớp Định tuyến/Bảo mật biên (V2136), Lớp Core/Aggregation (G2282x) và Lớp High-Speed Zone (Q1100x) song song với Lớp Access tiêu chuẩn (G1282/P1282). Cách phân lớp này giúp tách bạch rõ vai trò xử lý, dễ vận hành, dễ mở rộng và dễ khoanh vùng sự cố.

Hình 1. Sơ đồ kiến trúc mạng tổng thể - DrayTek SMB Office

3.1 Luồng kết nối chính

V2136 (Router bảo mật, Dual-WAN) → liên kết 2.5GbE → G2282x (Core/Aggregation) → liên kết 10GbE → Q1100x (High-Speed Zone chứa NAS, PC thiết kế, AP Wi-Fi 6) → song song, G2282x liên kết 1GbE xuống các switch truy cập G1282/P1282 phục vụ khu vực văn phòng và CCTV.

3.2 Vai trò từng lớp

4.1 Vì sao NAS, PC thiết kế và AP Wi-Fi 6 cùng đặt trên Q1100x

Đây là quyết định kiến trúc quan trọng nhất của giải pháp. Thay vì rải các thiết bị băng thông cao ở nhiều nơi, toàn bộ nhóm thiết bị có nhu cầu băng thông lớn - Synology NAS (10GbE), cụm PC thiết kế (2.5GbE) và các Access Point Wi-Fi 6 (uplink 2.5GbE) - được gom về cùng một switch Q1100x. Nhờ vậy, khi PC thiết kế hoặc thiết bị Wi-Fi 6 truy cập dữ liệu trên NAS, gói tin chỉ cần chuyển mạch (switching) ở lớp 2 ngay trong nội bộ Q1100x, không cần đi vòng lên Core (G2282x) hay Router (V2136) để định tuyến.

4.2 Vị trí đấu nối AP962C/AP1062C: PQ1100x thay vì P1282

Theo thiết kế ban đầu, AP962C/AP1062C có thể đấu nối vào switch access P1282 (uplink chuẩn 1GbE). Tuy nhiên, đây là điểm cần điều chỉnh: vì AP962C/AP1062C là các Access Point Wi-Fi 6 có băng thông lý thuyết vượt xa 1GbE (kết hợp 2 băng tần có thể đạt trên 2 Gbps), nếu đấu vào P1282 thì cổng uplink 1GbE sẽ trở thành nút thắt cổ chai (bottleneck), khiến Wi-Fi 6 không bao giờ phát huy hết hiệu năng thực tế - đặc biệt bất lợi cho đội thiết kế khi truy cập NAS qua Wi-Fi.

Giải pháp khuyến nghị: đấu nối AP962C/AP1062C trực tiếp vào các cổng 2.5GbE của Q1100x. Khi đó, đội thiết kế dùng Wi-Fi 6 sẽ có tốc độ truy cập NAS nhanh hơn đáng kể so với qua Wi-Fi kết nối tại P1282, đồng thời vẫn nằm cùng phân đoạn mạng tốc độ cao với NAS và PC thiết kế, tận dụng tối đa nguyên lý switching nội bộ ở mục 4.1.

Phân tích ưu / nhược điểm

Lưu ý kỹ thuật: cần đảm bảo Q1100x còn đủ số cổng 2.5GbE trống cho AP sau khi đã cấp cho PC thiết kế và dự phòng mở rộng; nếu số lượng AP nhiều, cân nhắc dùng thêm một Q1100x thứ hai theo khu vực (xem mục 8 - Khả năng mở rộng).

Việc phân chia VLAN nhằm cô lập các nhóm thiết bị có mức độ tin cậy và mục đích sử dụng khác nhau, giảm thiểu rủi ro lan truyền sự cố/bảo mật và giúp quản lý băng thông hiệu quả hơn.

Nguyên tắc phân bổ

• NAS được đặt chung VLAN 10 với PC thiết kế và nhân viên để tối ưu việc truy cập dữ liệu hằng ngày, đồng thời áp dụng ACL/quyền thư mục ở lớp ứng dụng (NAS) để kiểm soát chi tiết hơn.
• VLAN CCTV và VLAN Guest tuyệt đối không được phép giao tiếp trực tiếp với VLAN Staff/NAS, chỉ định tuyến qua Core với luật firewall rõ ràng nếu cần.
• VLAN 99 (Server Farm) là tùy chọn, dự trù cho giai đoạn doanh nghiệp triển khai thêm máy chủ vật lý/ảo hóa tại chỗ.

Quy trình triển khai được thực hiện theo trình tự từ trên xuống (top-down), đảm bảo lớp nền tảng (Router, Core) ổn định trước khi mở rộng ra các lớp truy cập và không dây.

1. Cấu hình V2136: thiết lập Dual-WAN (load-balance/failover), VPN Gateway, chính sách firewall cơ bản giữa các VLAN.
2. Thiết lập liên kết trunk từ V2136 đến G2282x (2.5GbE), khai báo các VLAN cần thiết trên trunk.
3. Thiết lập liên kết trunk 10GbE từ G2282x xuống Q1100x; cấu hình inter-VLAN routing tại G2282x.
4. Thiết lập trunk 1GbE từ G2282x xuống các Access Switch G1282/P1282.
5. Gán VLAN theo từng cổng: cổng 2.5G trên Q1100x cho NAS/PC thiết kế/AP; cổng trên G1282 cho nhân viên; cổng PoE trên P1282 cho camera CCTV.
6. Cấu hình Wi-Fi trên AP962C/AP1062C: SSID nội bộ ánh xạ VLAN 10, SSID khách ánh xạ VLAN 30, bật chuẩn Wi-Fi 6 (802.11ax) và bảo mật WPA3/WPA2-Enterprise nếu có RADIUS.
7. Kiểm thử toàn hệ thống: kiểm tra chuyển mạch giữa các VLAN đúng chính sách, đo tốc độ thực tế NAS ↔ PC thiết kế ↔ Wi-Fi 6, kiểm tra failover Dual-WAN, kiểm tra truy cập VPN theo ACL.

8.1 Ưu điểm của kiến trúc

• Tối ưu chi phí: chỉ đầu tư hạ tầng 2.5GbE/10GbE tại khu vực thật sự cần (High-Speed Zone), phần còn lại giữ Gigabit tiêu chuẩn.
• Hiệu năng cao cho nhóm người dùng quan trọng: phòng thiết kế và Wi-Fi 6 truy cập NAS với độ trễ thấp nhờ switching nội bộ tại Q1100x.
• Phân vùng rõ ràng: VLAN tách biệt giúp kiểm soát bảo mật và dễ khoanh vùng sự cố.
• Kiến trúc phân lớp gọn nhẹ, dễ vận hành với đội IT quy mô nhỏ của SMB.

8.2 Hạn chế cần lưu ý

• Q1100x trở thành điểm tập trung lưu lượng cao (NAS + Design + Wi-Fi) - cần theo dõi tải và cân nhắc dự phòng (redundant uplink hoặc stack) khi số lượng thiết bị tăng.
• Việc dùng chung VLAN 10 cho cả Staff, Design và NAS đòi hỏi kiểm soát bổ sung ở lớp ứng dụng (phân quyền thư mục NAS) để tránh truy cập chéo không mong muốn giữa các phòng ban.
• Hạ tầng cáp hiện hữu cần được khảo sát lại để đảm bảo đáp ứng chuẩn 2.5GbE/10GbE tại các vị trí liên quan.

8.3 Định hướng mở rộng

Kiến trúc được thiết kế theo hướng module hóa, cho phép mở rộng theo từng tầng hoặc khu vực khi doanh nghiệp tăng trưởng vượt quy mô 100-150 người dùng.

• Nhân bản Q1100x theo từng tầng/khu vực khi số lượng thiết bị tốc độ cao tăng, thay vì dồn tất cả vào một switch duy nhất.
• Stack G2282x khi số lượng Q1100x và VLAN tăng lên, đảm bảo băng thông backbone không bị nghẽn.
• Cân nhắc triển khai V2136 theo mô hình HA (High Availability) khi số lượng người dùng vượt ngưỡng 150, đảm bảo tính liên tục kinh doanh.
• Bổ sung VLAN 99 (Server Farm) chính thức khi doanh nghiệp triển khai thêm hệ thống máy chủ vật lý hoặc ảo hóa tại chỗ.

Giải pháp trình bày trong tài liệu này tuân theo nguyên tắc cốt lõi: đầu tư băng thông cao đúng nơi cần thiết, giữ hạ tầng Gigabit tiêu chuẩn cho phần còn lại, nhằm tối ưu cả về chi phí lẫn hiệu năng. Việc gom NAS, PC thiết kế và AP Wi-Fi 6 vào cùng lớp High-Speed Zone (Q1100x) là quyết định kiến trúc trung tâm, giúp phần lớn lưu lượng nội bộ được xử lý nhanh mà không tạo gánh nặng cho lớp Core và Router.

Khuyến nghị dành cho khách hàng và đội ngũ presales:

• Ưu tiên khảo sát hạ tầng cáp trước khi triển khai để xác nhận khả năng đáp ứng 2.5GbE/10GbE tại các vị trí liên quan.
• Đấu nối AP962C/AP1062C vào Q1100x thay vì P1282 để phát huy tối đa hiệu năng Wi-Fi 6, đặc biệt cho đội ngũ thiết kế.
• Xây dựng chính sách VLAN và firewall chi tiết ngay từ giai đoạn triển khai ban đầu, tránh phát sinh nợ kỹ thuật (technical debt) về sau.
• Lên kế hoạch mở rộng theo module (thêm Q1100x, stack G2282x) ngay trong giai đoạn thiết kế để tránh phải tái cấu trúc toàn bộ khi doanh nghiệp tăng trưởng.