Xây dựng hạ tầng CNTT từ đầu cho doanh nghiệp mới thành lập.

Bối cảnh hạ tầng CNTT cho văn phòng mới.

Doanh nghiệp mới thành lập thường bắt đầu với văn phòng trống — không có hạ tầng mạng, không có thiết bị dùng chung, không có chính sách bảo mật nào được thiết lập. Mọi thứ cần được xây dựng từ đầu trong một khoảng thời gian ngắn, thường bị áp lực bởi ngày khai trương hoặc ngày bắt đầu vận hành.

Bài viết này ghi lại kinh nghiệm triển khai hạ tầng CNTT cơ bản cho một doanh nghiệp quy mô 20–30 nhân sự, văn phòng một tầng, có nhu cầu kết nối VPN cho nhân sự làm việc từ xa.

---

Vấn đề thường gặp khi bắt đầu

Nhiều doanh nghiệp mới có xu hướng mua thiết bị trước khi có thiết kế — dẫn đến tình trạng thiết bị không tương thích, băng thông bị chia sẻ không kiểm soát, camera và máy tính dùng chung một dải mạng, và không có điểm quản lý tập trung nào khi xảy ra sự cố.

Một số trường hợp còn dùng thiết bị router gia dụng cho toàn bộ văn phòng — đủ dùng trong tuần đầu, nhưng sẽ là điểm nghẽn ngay khi số lượng kết nối tăng lên.

---

Nguyên tắc thiết kế trước khi mua thiết bị

Trước khi chọn bất kỳ thiết bị nào để xây dựng hạ tầng CNTT, cần xác định rõ ba thứ:

Phân vùng mạng (network segmentation): Không để toàn bộ thiết bị dùng chung một dải IP. Tối thiểu cần tách biệt ba vùng — mạng nội bộ cho máy tính làm việc, mạng camera và thiết bị IoT, và mạng wifi khách. Ba vùng này cần được cô lập với nhau ở tầng firewall, không chỉ đặt tên SSID khác nhau.

Điểm kiểm soát truy cập: Mọi luồng dữ liệu ra internet và giữa các vùng mạng cần đi qua một thiết bị có khả năng kiểm soát và ghi log. Đây là vai trò của firewall — không phải router ISP.

Khả năng quản lý từ xa: Từ ngày đầu, hệ thống cần cho phép đội IT hỗ trợ từ xa mà không cần đến văn phòng mỗi khi có sự cố nhỏ.

---

Mô hình đấu nối tham khảo hạ tầng CNTT cơ bản.

---

Cấu trúc triển khai thực tế

Tầng biên — Firewall

Firewall là thiết bị đầu tiên cần chọn vì nó quyết định toàn bộ kiến trúc phía sau. Với quy mô 20–30 người, một thiết bị firewall tầm trung với khả năng xử lý VPN, VLAN và content filtering là đủ — không cần appliance doanh nghiệp lớn.

Cấu hình tối thiểu cần thực hiện ngay khi lắp đặt: đổi toàn bộ mật khẩu mặc định, tắt các dịch vụ không dùng, bật logging, và thiết lập rule từ chối mặc định (default deny) cho traffic giữa các VLAN.

Tầng phân phối — Access switch

Với văn phòng một tầng, thường một switch managed 24–48 port là đủ. Điểm quan trọng là switch phải hỗ trợ VLAN tagging để phân tách traffic từ các vùng mạng khác nhau về đúng port uplink lên firewall.

Đặt switch ở vị trí trung tâm của văn phòng để giảm chi phí kéo cáp. Ưu tiên đi dây ethernet có dây đến các vị trí máy tính cố định — không phụ thuộc hoàn toàn vào wifi cho máy làm việc chính.

Hệ thống wifi

Với 20–30 người dùng phân tán trong văn phòng, thường cần 2–3 access point để đảm bảo phủ sóng đồng đều. Ưu tiên dòng access point có khả năng quản lý tập trung — giúp cấu hình đồng loạt và theo dõi thiết bị kết nối dễ hơn nhiều so với từng AP độc lập.

Thiết lập tối thiểu hai SSID: một cho nội bộ (có xác thực, giới hạn băng thông hợp lý) và một cho khách (isolated, không truy cập được mạng nội bộ).

Hệ thống camera

Camera là vùng mạng thường bị xử lý sai nhất — nhiều đơn vị để camera chung mạng với máy tính vì tiện lắp đặt. Đây là rủi ro bảo mật thực tế vì firmware camera IoT thường không được cập nhật thường xuyên và có thể trở thành điểm xâm nhập.

Tách camera vào một VLAN riêng, chỉ cho phép traffic từ camera đến đầu ghi (NVR) và từ NVR ra ngoài theo rule cụ thể. Không cần camera truy cập internet trực tiếp trong hầu hết trường hợp.

Thiết bị văn phòng dùng chung

Máy in mạng, máy chấm công, màn hình hội nghị — nhóm vào một VLAN riêng hoặc chung với mạng nội bộ tùy mức độ tin cậy của thiết bị. Điểm cần lưu ý: máy in mạng thường có web interface mặc định mở — cần đổi mật khẩu và tắt các giao thức không dùng ngay sau khi lắp.

VPN cho nhân sự làm việc từ xa

Với văn phòng nhỏ, VPN client-to-site là lựa chọn phù hợp hơn site-to-site — đơn giản hơn, linh hoạt hơn và không yêu cầu thiết bị đầu cuối đặc biệt ở phía người dùng. Nhân sự chỉ cần cài VPN client trên laptop hoặc điện thoại, kết nối vào firewall văn phòng khi cần truy cập hệ thống nội bộ.

Hầu hết firewall tầm trung đều tích hợp VPN server sẵn — hỗ trợ SSL VPN hoặc IPsec. Không cần thiết bị VPN riêng biệt.

---

Gợi ý thiết bị theo từng tầng

---

Thứ tự triển khai khuyến nghị

Đây là điểm nhiều dự án mắc sai lầm — lắp thiết bị không theo thứ tự logic dẫn đến phải tháo ra làm lại.

Thứ tự đúng: kéo hạ tầng cáp trước khi lắp bất kỳ thiết bị nào → lắp switch và đấu nối patch panel → lắp firewall và cấu hình VLAN → lắp access point và liên kết về controller → lắp camera và NVR → cấu hình VPN client-to-site → kiểm thử từng vùng mạng trước khi bàn giao.

Không bàn giao hệ thống khi chưa kiểm thử đủ: thử cô lập giữa các VLAN, thử VPN từ bên ngoài, thử truy cập camera từ mạng nội bộ (kỳ vọng là bị chặn).

---

Lưu ý thực tế

Tài liệu hệ thống thường bị bỏ qua trong triển khai gấp — nhưng đây là thứ tiết kiệm nhiều thời gian nhất khi có sự cố sau này. Tối thiểu cần ghi lại: sơ đồ mạng, danh sách VLAN và dải IP, thông tin đăng nhập thiết bị (lưu an toàn), và rule firewall hiện tại.

Hạ tầng CNTT ban đầu không cần hoàn hảo — cần đủ vững để vận hành ổn định trong 2–3 năm đầu và có thể mở rộng khi doanh nghiệp tăng trưởng.

Sau khi hệ thống đi vào vận hành, bước tiếp theo nên cân nhắc là thiết lập giám sát hạ tầng — theo dõi trạng thái firewall, switch, VPN và camera để phát hiện sự cố trước khi ảnh hưởng đến công việc. Đây là lớp bảo vệ thứ hai sau khi hạ tầng đã được xây dựng đúng cách.

Nếu chưa có nhu cầu nhân sự IT chuyên trách, doanh nghiệp có thể thuê vận hành hạ tầng CNTT theo nhu cầu thực tế.