Dự phòng mạng (Network Redundancy) là gì?
Network Redundancy** là thiết kế triển khai **nhiều đường truyền, thiết bị, dịch vụ dự phòng** để đảm bảo mạng vẫn hoạt động khi thành phần chính gặp sự cố (hỏng hårdware, cáp đứt, mất điện, tấn công DDoS, lỗi cấu hình). Mục tiêu: **High Availability (HA)** – uptime 99.99%+.
Phân loại Redundancy trong bảo mật mạng
| Loại | Mô tả | Ví dụ công nghệ |
|---|
| Link/Path Redundancy | Nhiều đường vật lý/logic giữa hai điểm | Dual ISP, MPLS + Internet VPN, SD-WAN, Multiple submarine cables |
| Device Redundancy | Thiết bị dự phòng (Active/Standby hoặc Active/Active) | Firewall HA pair (VRRP/HSRP), Router HSRP/VRRP, Switch Stack/vPC, Load Balancer HA |
| Power/Environment Redundancy | Nguồn điện, làm mát dự phòng | Dual PSU, UPS, Generator, N+1 Cooling |
| Data/Service Redundancy | Sao chép dữ liệu, dịch vụ tại nhiều الموقع | Geo-redundant backup, Multi-AZ/Region cloud, Database replication, Anycast DNS |
| Control Plane Redundancy | Routing protocol convergence, controller HA | OSPF/BGP ECMP, BFD, SDN Controller Cluster (APIC, vManage) |
Redundancy vs Diversity (Đa dạng hóa)
- Redundancy: Nhân bản cùng loại (2 firewall cùng model, 2 link cùng ISP). Dễ quản lý nhưng **rủi ro lỗi chung (common-mode failure)** – firmware bug, lỗi thiết kế ảnh hưởng cả hai.
- Diversity: Dùng công nghệ/nhà cung cấp/đường truyền khác nhau (ISP A + ISP B, Fiber + Microwave, Vendor A FW + Vendor B FW). **Giảm rủi ro chung** nhưng phức tạp, đắt hơn.
- Best Practice: Kết hợp **Redundancy + Diversity** (ví dụ: 2 link fiber khác hầm, 2 firewall vendor khác nhau HA).
Các giao thức & công nghệ hỗ trợ Redundancy
- First Hop Redundancy (FHRP): HSRP (Cisco), VRRP (Open), GLBP (Cisco) – gateway ảo cho LAN.
- Routing Protocol: OSPF, IS-IS, BGP – ECMP, Fast Reroute (FRR), Loop-Free Alternate (LFA).
- Link Aggregation: LACP (802.3ad) – gom nhiều link vật lý thành 1 logic, tăng băng thông + redundancy.
- Spanning Tree / Modern: RSTP, MSTP, hoặc **Fabric (VXLAN/EVPN, TRILL, SPB)** loại bỏ STP.
- SD-WAN: Dynamic path selection, FEC, packet duplication cho link kém chất lượng.
- Cloud/Container: Multi-AZ deployment, Kubernetes multi-master, Pod disruption budgets.
Redundancy trong mô hình bảo mật (Security Controls)
Theo NIST 800-53 / ISO 27001, Redundancy thuộc nhóm **Availability Controls (Khả dụng)** – control **Technical/Physical**:
- CP-6 / CP-7 / CP-8 (NIST): Alternate processing site, alternate storage, telecommunication services.
- SC-5 (NIST): Denial of Service Protection – redundancy là biện pháp giảm thiểu DoS.
- A.17.1 / A.17.2 (ISO 27001): Information security continuity, redundancy.
Ví dụ thực tế
- Core Switch Pair: 2 switch Nexus 9500 vPC – Active/Active, cùng config, phần cứng, phần mềm.
- Firewall HA: Palo Alto HA Active/Passive (session sync), hoặc FortiGate HA Active/Active.
- Dual ISP + SD-WAN: MPLS chính + Broadband dự phòng, tự động failover < 1s.
- DNS Anycast: Root DNS, CDN – nhiều server toàn cầu cùng IP, tự động route đến gần nhất/sống.
Kết luận
**Redundancy (Dự phòng – Surplus Capacity)** là **kiểm soát kỹ thuật (Technical Control) thuộc nhóm Availability**, triển khai dưới dạng **Link, Device, Power, Data, Control Plane redundancy**. Hiệu quả nhất khi **kết hợp Diversity** (khác nhà cung cấp, công nghệ, đường truyền) và tự động hóa failover (BFD, FRR, SD-WAN, HA clustering).
