Danh mục đúng mã hàng
Sản phẩm được quản lý theo đúng model và Part Number, bao gồm các hậu tố về firmware, khu vực, PoE, nguồn, quạt, module hoặc chiều dài cáp. Điều này giúp hạn chế nhầm cấu hình khi báo giá và triển khai.
SD-LAN trên RUCKUS Edge là gì? Phân đoạn mạng bằng VXLAN — Khi số nhóm người dùng cần tách biệt vượt quá những gì VLAN xử lý gọn gàng, cách làm truyền thống bắt đầu tốn kém: phải kéo VLAN qua nhiều switch, đồng bộ cấu hình ở từng thiết bị và chấp nhận bị ràng buộc bởi sơ đồ mạng vật lý. SD-LAN gỡ ràng buộc đó.
Giới hạn của phân đoạn bằng VLAN
VLAN là công cụ phân đoạn cơ bản và vẫn đúng cho phần lớn hệ thống. RUCKUS hỗ trợ khoảng 4.000 mạng ảo theo cách này, hoạt động độc lập với hạ tầng của hãng.
Nhưng VLAN có hai giới hạn thực tế. Thứ nhất, nó gắn với ranh giới mạng vật lý: muốn một VLAN có mặt ở tòa nhà khác, phải kéo nó qua từng switch trên đường đi. Thứ hai, khi số phân đoạn lớn — mỗi căn hộ một mạng riêng, mỗi nhà thầu một mạng riêng — khối lượng cấu hình tăng nhanh hơn giá trị thu được.
Cách chia VLAN đúng cho ba nhóm phổ biến được trình bày trong Phân chia VLAN cho nhân viên, khách và thiết bị IoT.
VXLAN giải quyết gì
VXLAN tạo mạng Layer 2 ảo chạy trên nền hạ tầng Layer 3. Nói cách khác, hai thiết bị ở hai tòa nhà khác nhau, đi qua nhiều router, vẫn có thể nằm trong cùng một mạng ảo — mà không cần kéo VLAN dọc đường.
Khả năng mở rộng của VXLAN vượt xa VLAN và nó vượt được ranh giới mạng vật lý. Đây là điều kiện cần cho các mô hình như khu căn hộ nhiều tòa, khuôn viên đại học, hay chuỗi chi nhánh dùng chung một chính sách.
SD-LAN hoạt động thế nào
SD-LAN là dịch vụ đầu tiên chạy trên nền tảng RUCKUS Edge. Cơ chế: Access Point thiết lập một đường hầm VXLAN-GPE tới thiết bị Edge, và toàn bộ lưu lượng của thiết bị người dùng được chuyển tiếp qua đường hầm đó.
Hệ quả kiến trúc rất đáng chú ý: lưu lượng của một nhóm người dùng không còn phụ thuộc vào VLAN được cấu hình trên các switch mà nó đi qua. Việc phân đoạn được quyết định ở hai đầu — AP và Edge — thay vì rải khắp hạ tầng trung gian.
| Cách | Quy mô | Ràng buộc vật lý | Phù hợp khi |
|---|---|---|---|
| VLAN | Khoảng 4.000 mạng ảo | Phải cấu hình dọc đường đi | Hệ thống một tòa nhà, số nhóm ít |
| VXLAN | Rất lớn | Vượt ranh giới mạng vật lý | Nhiều tòa nhà, nhiều chi nhánh |
| SD-LAN trên Edge | Rất lớn | Chỉ cấu hình ở AP và Edge | Nhiều nhóm người dùng, cấu hình tập trung |
Các mô hình dùng SD-LAN
- Khu căn hộ và tòa nhà cho thuê — mỗi hộ một mạng riêng, cư dân chỉ nhìn thấy thiết bị của mình. Xem thêm Thiết kế Wi-Fi cho chung cư và căn hộ.
- Khuôn viên trường học — tách sinh viên, giảng viên, thiết bị phòng thí nghiệm và hệ thống quản lý tòa nhà.
- Khách sạn và resort — tách khách lưu trú, hội nghị, nhân viên và hệ thống vận hành.
- Hệ thống có yêu cầu tuân thủ — cô lập nhóm người dùng chịu quy định giám sát chặt.
Personal Identity Network
Hướng phát triển tiếp theo của nền tảng là Personal Identity Networks — tự động tạo và triển khai phân đoạn mạng riêng cho từng người dùng cuối. Người dùng có mạng riêng của mình, còn quản trị viên vẫn quản lý tập trung thay vì cấu hình thủ công từng mạng.
Đây là bước mở rộng tự nhiên của mô hình đã dùng trong khu căn hộ, áp dụng cho cả các mô hình khác. Về mặt xác thực, nó dựa trên nền tảng DPSK — mỗi danh tính một khóa riêng, gắn với một phân đoạn riêng. Xem DPSK trên RUCKUS: Cấp khóa, VLAN và thu hồi truy cập an toàn.
Quan hệ với ZTNA
SD-LAN và ZTNA cùng chạy trên RUCKUS Edge nhưng giải hai bài toán khác nhau. SD-LAN trả lời "lưu lượng của nhóm này đi trong mạng ảo nào"; ZTNA trả lời "người dùng này được phép chạm tới ứng dụng nào". Một cái là phân đoạn, một cái là cấp quyền. Hệ thống hoàn chỉnh thường cần cả hai.
Cần gì để triển khai
Cần thiết bị RUCKUS Edge 144 — bản appliance có 4 cổng 10GigE và 4 cổng 1GigE, thông lượng 10 Gbps — hoặc bản máy ảo, cùng nền tảng RUCKUS One để cấu hình và giám sát. Access Point phải chạy firmware hỗ trợ đường hầm tới Edge.
Với hệ thống một tòa nhà và dưới mười nhóm người dùng, VLAN thường vẫn là lựa chọn hợp lý hơn về chi phí và độ phức tạp. SD-LAN bắt đầu có lợi khi số phân đoạn lớn hoặc khi hạ tầng trải trên nhiều địa điểm. Cần đánh giá cho hệ thống cụ thể, hãy gửi yêu cầu tư vấn.
Các câu hỏi thường gặp
SD-LAN là dịch vụ đầu tiên chạy trên nền tảng RUCKUS Edge. Access Point thiết lập đường hầm VXLAN-GPE tới thiết bị Edge và chuyển tiếp toàn bộ lưu lượng của thiết bị người dùng qua đường hầm đó, tạo ra mạng ảo cho từng nhóm.
VLAN gắn với ranh giới mạng vật lý, muốn có mặt ở nơi khác phải cấu hình dọc đường đi, và quy mô khoảng 4.000 mạng ảo. VXLAN tạo mạng Layer 2 ảo trên nền hạ tầng Layer 3, quy mô lớn hơn nhiều và vượt được ranh giới mạng vật lý.
VXLAN-GPE, viết tắt của Generic Protocol Extension for Virtual Extensible LAN. Đường hầm được thiết lập giữa Access Point và thiết bị RUCKUS Edge để chuyển tiếp lưu lượng người dùng.
Là hướng phát triển của nền tảng RUCKUS Edge, cho phép tự động tạo và triển khai phân đoạn mạng riêng cho từng người dùng cuối. Người dùng có mạng riêng của mình trong khi quản trị viên vẫn quản lý tập trung.
Cả hai cùng chạy trên RUCKUS Edge nhưng giải hai bài toán khác nhau. SD-LAN quyết định lưu lượng của một nhóm đi trong mạng ảo nào, tức là phân đoạn. ZTNA quyết định người dùng được phép chạm tới ứng dụng nào, tức là cấp quyền.
Cần thiết bị RUCKUS Edge, bản appliance như Edge 144 với 4 cổng 10GigE, 4 cổng 1GigE và thông lượng 10 Gbps, hoặc bản máy ảo. Ngoài ra cần nền tảng RUCKUS One để cấu hình và giám sát, cùng Access Point chạy firmware hỗ trợ đường hầm tới Edge.
Khi số phân đoạn lớn hoặc hạ tầng trải trên nhiều địa điểm. Với hệ thống một tòa nhà và dưới mười nhóm người dùng, VLAN thường vẫn hợp lý hơn về chi phí và độ phức tạp.
