Tiêu đề: Interface FortiGate: Physical, VLAN, Aggregate (LACP), Software Switch, Loopback

1. Liên hệ thực tế

Văn phòng mới của khách hàng anh Nam có 4 phòng ban (Kế toán, Kinh doanh, Kỹ thuật, Ban giám đốc) nhưng switch layer 2 hiện có chỉ đấu về FortiGate qua đúng 1 sợi cáp trunk. Khách hàng yêu cầu: "Mỗi phòng ban phải có subnet riêng, Firewall Policy riêng, nhưng đừng kéo thêm dây — hạ tầng cáp đã cố định rồi."

Anh Nam bối rối: chỉ có 1 cổng vật lý mà cần 4 mạng logic riêng biệt thì làm sao?

Chị Lan gợi ý: "Đây chính là lúc dùng VLAN sub-interface — trên cùng một cổng vật lý, tạo 4 sub-interface tương ứng 4 VLAN ID, mỗi sub-interface có IP và Policy riêng như một cổng độc lập. Còn nếu ngược lại — khách cần tăng băng thông và dự phòng đường truyền, kéo được nhiều dây — thì dùng Aggregate (LACP) để gộp nhiều cổng vật lý thành 1 kênh logic."

Bài này sẽ đi qua 5 loại interface phổ biến nhất trên FortiGate: Physical, VLAN, Aggregate, Software Switch, và Loopback — nắm rõ loại nào dùng cho tình huống nào là nền tảng bắt buộc trước khi học routing hay NAT ở các bài sau.

2. Kiến thức cốt lõi

2.1 Tổng quan 5 loại interface

2.2 Physical Interface

Là cổng vật lý thật trên chassis (RJ-45 đồng, SFP, SFP+...). Tên interface trong FortiOS là một lớp trừu tượng đặt tên theo vai trò (port1, wan1, internal), có thể ứng với các loại cổng vật lý khác nhau tùy model. Đây là nền tảng — mọi loại interface khác (VLAN, Aggregate...) đều dựng trên hoặc gộp từ các Physical Interface.

2.3 VLAN — sub-interface trên 1 cổng vật lý

VLAN sub-interface tạo nhiều "cổng logic" trên cùng một cổng vật lý, dùng gắn thẻ IEEE 802.1Q để phân biệt traffic từng VLAN đi qua đường trunk chung.

config system interface
    edit "port3.10"
        set vdom "root"
        set ip 10.10.10.1 255.255.255.0
        set interface "port3"
        set vlanid 10
    next
    edit "port3.20"
        set vdom "root"
        set ip 10.10.20.1 255.255.255.0
        set interface "port3"
        set vlanid 20
    next
end

⚠️ Lưu ý: VLAN ID hợp lệ trong khoảng 1–4094, và phải khớp với VLAN ID cấu hình trên switch layer 2 phía đối diện. VLAN không phải là biện pháp bảo mật — tag VLAN không được xác thực và có thể bị giả mạo/bỏ qua bởi thiết bị trong đường truyền, nên không dùng VLAN đơn thuần để cách ly các thiết bị/người dùng không tin cậy.

2.4 Aggregate — gộp nhiều cổng vật lý (LACP)

Ngược lại với VLAN, Aggregate Interface (802.3ad, LACP) gộp nhiều cổng vật lý thành một kênh logic duy nhất, tăng tổng băng thông và cung cấp dự phòng — nếu một cổng thành viên đứt, traffic tự chuyển qua các cổng còn lại mà không gián đoạn kết nối.

config system interface
    edit "LACP-Po1"
        set type aggregate
        set member "port1" "port2"
        set lacp-mode active
        set algorithm L3
    next
end

• lacp-mode active — chủ động gửi gói LACP để đàm phán với thiết bị đối diện; passive chỉ phản hồi khi được hỏi. Hai đầu kết nối không được cùng đặt passive, nếu không sẽ không bao giờ khởi tạo được đàm phán.
• algorithm — thuật toán băm chọn cổng thành viên cho từng luồng traffic, thường dùng L3 (theo IP nguồn/đích) cho phần lớn kịch bản, L4 khi cần cân bằng tải chi tiết hơn theo cổng dịch vụ.

⚠️ Lưu ý: Toàn bộ cổng thành viên trong một bundle Aggregate phải giống nhau về tốc độ và duplex — trộn cổng có tốc độ khác nhau vi phạm chuẩn IEEE 802.3ad, khiến đàm phán LACP thất bại hoặc cổng chậm hơn bị đánh dấu standby/detached.

2.5 Software Switch — gộp nhiều cổng thành 1 subnet

Software Switch gộp nhiều cổng vật lý (kể cả khác loại, ví dụ vừa có cổng dây vừa có WiFi) vào chung một subnet logic — hoạt động như một switch layer 2 ảo nhỏ ngay bên trong FortiGate. Khác với Aggregate (gộp cổng để tăng băng thông một kênh), Software Switch dùng để đơn giản hóa cấu hình khi có nhiều cổng vật lý ít traffic cùng phục vụ một mạng, đỡ phải tạo Policy riêng cho từng cổng.

config system switch-interface
    edit "swlan"
        set member "port5" "port6" "port7"
        set ip 192.168.20.1 255.255.255.0
    next
end

⚠️ Lưu ý: Vì xử lý bằng CPU thay vì offload phần cứng như Aggregate, Software Switch phù hợp cho các cổng có traffic thấp (ví dụ dãy cổng LAN nhỏ cho văn phòng chi nhánh) — không nên dùng cho các cổng tải cao.

2.6 Loopback — interface luôn "up"

Loopback Interface là interface logic luôn ở trạng thái hoạt động, không phụ thuộc vào trạng thái của bất kỳ cổng vật lý cụ thể nào — địa chỉ IP của nó có thể truy cập được qua nhiều cổng vật lý hoặc VLAN khác nhau, miễn có route và Firewall Policy phù hợp.

config system interface
    edit "LO_MGMT"
        set type loopback
        set ip 10.255.255.1 255.255.255.255
        set allowaccess ping https ssh
    next
end

Ứng dụng phổ biến của Loopback:

• OSPF Router ID — đặt Router ID trùng với IP loopback để dễ nhận diện thiết bị khi troubleshoot, vì địa chỉ này ổn định không phụ thuộc cổng vật lý nào bị down.
• BGP peering — dùng làm địa chỉ nguồn/đích cho phiên BGP, tránh phụ thuộc một cổng uplink cụ thể.
• Điểm kết cuối VPN/quản trị — SSH/HTTPS quản trị hoặc IPsec tunnel có thể terminate trên Loopback thay vì cổng vật lý.

⚠️ Lưu ý: Loopback Interface vẫn cần Firewall Policy tường minh để cho phép traffic đi tới nó — traffic đến từ một interface khác nhắm tới IP loopback sẽ bị drop nếu không có Policy từ interface nguồn đến Loopback tương ứng.

2.7 Bảng so sánh nhanh

3. Hỏi & Đáp

VLAN và Aggregate có dùng chung được không, ví dụ VLAN chạy trên một Aggregate Interface? 

Có, đây là kết hợp phổ biến — tạo Aggregate Interface gộp nhiều cổng vật lý trước, sau đó tạo VLAN sub-interface trên chính Aggregate Interface đó (ví dụ LACP-Po1.10). Cách này vừa có băng thông/dự phòng của LACP, vừa phân được nhiều mạng logic qua VLAN.

Aggregate và Redundant Interface khác nhau thế nào? 

Aggregate (LACP) dùng tất cả cổng thành viên đồng thời, cân bằng tải theo thuật toán băm — tối ưu cho tăng tổng băng thông. Redundant Interface chỉ dùng 1 cổng hoạt động tại một thời điểm, các cổng còn lại ở chế độ chờ (hot-standby) — tối ưu cho dự phòng đơn thuần khi thiết bị đối diện không hỗ trợ LACP.

Có giới hạn số lượng VLAN sub-interface tạo trên 1 cổng vật lý không? 

VLAN ID hợp lệ trong khoảng 1–4094 theo chuẩn 802.1Q, nhưng số VLAN thực tế tạo được trên một FortiGate còn phụ thuộc giới hạn tổng số interface theo model — nên kiểm tra thông số kỹ thuật (datasheet) của model cụ thể khi thiết kế mạng lớn.

Tại sao Loopback lại hữu ích hơn dùng thẳng IP của cổng vật lý cho OSPF Router ID? 

Vì cổng vật lý có thể down (đứt cáp, lỗi phần cứng), khiến Router ID biến mất khỏi mạng. Loopback không gắn với phần cứng cụ thể nào nên luôn ổn định — giúp việc nhận diện và troubleshoot thiết bị trong mạng OSPF nhất quán hơn theo thời gian.

4. Quiz

Câu 1: Loại interface nào cho phép tạo nhiều mạng logic khác nhau trên cùng một cổng vật lý duy nhất?

• A. Aggregate
• B. VLAN
• C. Loopback
• D. Software Switch

Câu 2: LACP (802.3ad) trên FortiGate dùng để làm gì?

• A. Tạo nhiều mạng ảo trên 1 cổng
• B. Gộp nhiều cổng vật lý thành 1 kênh logic tăng băng thông và dự phòng
• C. Tạo interface luôn ở trạng thái "up"
• D. Kết nối FortiGate với FortiSwitch qua FortiLink

Câu 3: Điều kiện bắt buộc để các cổng thành viên trong một Aggregate Interface hoạt động đúng chuẩn 802.3ad là gì?

• A. Phải khác loại cổng (đồng và quang trộn lẫn)
• B. Phải cùng tốc độ và duplex
• C. Phải nằm trên các VDOM khác nhau
• D. Không có điều kiện nào bắt buộc

Câu 4: Loopback Interface có đặc điểm gì khác biệt so với Physical Interface?

• A. Luôn ở trạng thái "up", không phụ thuộc vào bất kỳ cổng vật lý cụ thể nào
• B. Chỉ hoạt động khi có ít nhất 2 cổng vật lý kết nối
• C. Không thể gán địa chỉ IP
• D. Chỉ dùng được trong VDOM root

Câu 5: Software Switch phù hợp nhất với tình huống nào sau đây?

• A. Cổng WAN cần băng thông cao, tải nặng liên tục
• B. Gộp nhiều cổng LAN có traffic thấp vào chung 1 subnet để đơn giản hóa cấu hình
• C. Thiết lập BGP peering ổn định
• D. Terminate IPsec VPN tunnel

👉 Đáp án

Câu 1: B — VLAN sub-interface tạo nhiều mạng logic khác nhau (mỗi VLAN ID một sub-interface) trên cùng một cổng vật lý dùng chung đường trunk. 

Câu 2: B — LACP (802.3ad) gộp nhiều cổng vật lý thành một Aggregate Interface logic, tăng tổng băng thông và cung cấp dự phòng khi một cổng thành viên gặp sự cố. 

Câu 3: B — Các cổng thành viên phải cùng tốc độ và duplex; trộn tốc độ khác nhau vi phạm chuẩn 802.3ad, có thể khiến đàm phán LACP thất bại. 

Câu 4: A— Loopback luôn ở trạng thái "up", địa chỉ IP không phụ thuộc vào tình trạng của bất kỳ cổng vật lý cụ thể nào. 

Câu 5: B — Software Switch phù hợp gộp nhiều cổng LAN có traffic thấp vào chung một subnet, giúp đơn giản hóa cấu hình Policy so với tạo Policy riêng cho từng cổng.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng