Bài 80: VPN Cơ Bản — Site-to-Site và Remote-Access: Khái Niệm & Use Case

💡 Liên hệ thực tế

VNExperts có trụ sở chính tại Hà Nội và 1 chi nhánh tại Đà Nẵng. Nếu 2 văn phòng này liên lạc trực tiếp qua Internet công cộng — nơi bất kỳ ai cũng có thể "đi chung đường" — thì dữ liệu nội bộ (báo giá, hợp đồng, thông tin khách hàng) có nguy cơ bị nghe lén giữa đường, giống như gửi thư qua bưu điện mà không niêm phong phong bì.

VPN (Virtual Private Network) giải quyết bài toán này bằng cách tạo ra 1 "đường ống riêng, có khóa" xuyên qua hạ tầng Internet công cộng dùng chung — dữ liệu đi bên trong đường ống này được mã hóa, đóng gói kín, dù đi qua chung con đường với hàng triệu người khác nhưng không ai đọc trộm hay chen ngang được. Anh Nam ở Hà Nội gửi file đến Đà Nẵng qua VPN cũng an toàn tương tự như 2 văn phòng nối trực tiếp với nhau bằng 1 sợi cáp riêng — dù thực tế vẫn đang "mượn đường" của Internet công cộng.

Có 2 tình huống sử dụng VPN phổ biến nhất mà bài học hôm nay sẽ làm rõ: kết nối văn phòng với văn phòng (Site-to-Site), và kết nối từng nhân viên làm việc từ xa với văn phòng (Remote-Access) — ví dụ khi chị Lan cần truy cập hệ thống CRM nội bộ trong lúc công tác xa.

📘 Kiến thức cốt lõi

1. VPN là gì — 3 đặc tính cốt lõi

VPN tạo ra 1 "tunnel" (đường hầm) logic xuyên qua mạng công cộng (thường là Internet), mang lại 3 đặc tính bảo mật tương ứng với CIA Triad đã học ở Bài 74:

🎯 Điểm cốt lõi cần nhớ: VPN không tạo ra 1 đường truyền vật lý mới — nó vẫn đi qua chung hạ tầng Internet công cộng, chỉ khác là dữ liệu được đóng gói và mã hóa trước khi truyền đi, nên về bản chất là 1 giải pháp "ảo hóa" tính riêng tư (Virtual Private Network), không phải riêng về mặt vật lý.

2. Site-to-Site VPN — Kết nối văn phòng với văn phòng

Site-to-Site VPN kết nối 2 mạng nội bộ ở 2 địa điểm khác nhau thông qua 2 thiết bị đầu cuối cố định gọi là VPN Gateway (thường chính là Router hoặc Firewall biên của mỗi văn phòng). Tunnel được thiết lập sẵn, hoạt động liên tục — người dùng ở 2 đầu không cần cài phần mềm VPN riêng, họ chỉ thấy như đang làm việc trong cùng 1 mạng nội bộ.

💡 Ví dụ thực tế: Router biên tại văn phòng Hà Nội và Router biên tại chi nhánh Đà Nẵng của VNExperts thiết lập 1 tunnel IPsec cố định. Máy tính của anh Nam tại Hà Nội truy cập file server tại Đà Nẵng mà không cần biết dữ liệu đang đi qua Internet — với anh Nam, cảm giác như 2 văn phòng dùng chung 1 mạng LAN.

3. Remote-Access VPN — Kết nối cá nhân với văn phòng

Remote-Access VPN cho phép từng người dùng đơn lẻ (nhân viên làm việc từ xa, đi công tác) kết nối vào mạng nội bộ công ty từ bất kỳ đâu có Internet. Khác với Site-to-Site, tunnel ở đây được thiết lập linh động theo từng phiên — người dùng cần cài phần mềm VPN Client (ví dụ Cisco AnyConnect) trên máy cá nhân, đăng nhập bằng tài khoản riêng mỗi khi cần kết nối.

💡 Ví dụ thực tế: chị Lan đang công tác tại TP.HCM, cần truy cập hệ thống CRM đặt tại văn phòng Hà Nội. Chị mở phần mềm VPN Client trên laptop, đăng nhập bằng tài khoản cá nhân, thiết lập tunnel tạm thời đến VPN Gateway của công ty — sau khi ngắt kết nối, tunnel này biến mất, khác hẳn với Site-to-Site vốn luôn duy trì sẵn.

4. So sánh nhanh Site-to-Site và Remote-Access

5. Tổng quan IPsec — Giao thức phổ biến nhất triển khai VPN

IPsec (IP Security) là bộ giao thức được dùng phổ biến nhất để triển khai VPN ở tầng Network, gồm 2 giao thức con:

IPsec cũng hỗ trợ 2 chế độ đóng gói:

• Transport mode: chỉ mã hóa phần dữ liệu (payload), giữ nguyên IP header gốc — thường dùng khi 2 host giao tiếp trực tiếp với nhau.
• Tunnel mode: mã hóa toàn bộ gói IP gốc (cả header lẫn payload), rồi bọc thêm 1 IP header mới bên ngoài — đây là chế độ dùng cho Site-to-Site VPN, vì gói tin cần được định tuyến qua Internet giữa 2 Gateway trước khi đến đúng mạng đích bên trong.

⚠️ Lưu ý quan trọng: Site-to-Site VPN qua IPsec luôn dùng ESP + Tunnel mode — vừa mã hóa toàn bộ gói tin gốc (bảo vệ cả thông tin định tuyến nội bộ), vừa cho phép gói tin mới di chuyển an toàn qua Internet công cộng giữa 2 VPN Gateway.

6. Vì sao cần 2 giai đoạn thiết lập IPsec (khái quát)

Trước khi tunnel truyền dữ liệu thực sự được thiết lập, 2 thiết bị VPN Gateway phải thống nhất với nhau về phương thức mã hóa, xác thực lẫn nhau và trao đổi khóa bí mật an toàn — quá trình này gọi là IKE (Internet Key Exchange), gồm 2 giai đoạn (Phase 1 và Phase 2). Ở mức khái niệm CCNA, chỉ cần nắm: IKE Phase 1 thiết lập kênh an toàn để 2 bên thống nhất tham số và xác thực lẫn nhau, IKE Phase 2 dùng chính kênh an toàn đó để thương lượng thông số cho tunnel IPsec thực sự sẽ mang dữ liệu.

💬 Hỏi & Đáp nhanh

❓ Nhân viên làm việc tại văn phòng chi nhánh Đà Nẵng có cần cài VPN Client để truy cập tài nguyên ở Hà Nội không, nếu công ty đã triển khai Site-to-Site VPN?

❌ Không cần. Site-to-Site VPN hoạt động ở cấp độ Gateway, tunnel đã được thiết lập sẵn giữa 2 văn phòng — nhân viên ở cả 2 đầu truy cập lẫn nhau hoàn toàn trong suốt (transparent), không cần biết hay thao tác gì liên quan đến VPN.

❓ Vì sao ESP được dùng phổ biến hơn AH trong triển khai IPsec VPN thực tế?

✅ Vì AH chỉ cung cấp xác thực và toàn vẹn dữ liệu, không mã hóa nội dung — không đáp ứng được yêu cầu Confidentiality trong CIA Triad. ESP cung cấp đầy đủ cả 3 yếu tố: mã hóa, xác thực, và toàn vẹn, nên gần như luôn được chọn thay vì dùng AH riêng lẻ.

❓ Remote-Access VPN có thể dùng để thay thế hoàn toàn Site-to-Site VPN giữa 2 văn phòng cố định không?

❌ Không phù hợp. Remote-Access VPN được thiết kế cho từng cá nhân kết nối theo phiên, mỗi người phải đăng nhập riêng lẻ — không thể dùng để kết nối liên tục toàn bộ mạng của 1 văn phòng với văn phòng khác 1 cách trong suốt như Site-to-Site.

📝 Bài tập đánh giá

Câu 1: Loại VPN nào phù hợp nhất để kết nối trụ sở chính với 1 chi nhánh, duy trì kết nối liên tục 24/7 mà không cần người dùng thao tác gì?

• A. Remote-Access VPN
• B. Site-to-Site VPN
• C. SSL VPN Client
• D. Không loại VPN nào phù hợp

Câu 2: Trong IPsec, chế độ đóng gói nào mã hóa toàn bộ gói IP gốc (cả header lẫn payload) và được dùng cho Site-to-Site VPN?

• A. Transport mode với AH
• B. Transport mode với ESP
• C. Tunnel mode với ESP
• D. Không chế độ nào mã hóa được IP header gốc

👉 Đáp án:

Câu 1: B — Site-to-Site VPN thiết lập tunnel cố định giữa 2 VPN Gateway, hoạt động liên tục và trong suốt với người dùng cuối, phù hợp để kết nối 2 văn phòng cố định.

Câu 2: C — Tunnel mode kết hợp ESP mã hóa toàn bộ gói IP gốc rồi bọc thêm IP header mới, đáp ứng đúng nhu cầu định tuyến qua Internet giữa 2 Gateway trong mô hình Site-to-Site VPN.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng