Phân đoạn mạng (Network Segmentation) là gì? Cách triển khai và lợi ích

Định nghĩa

Phân đoạn mạng (Network Segmentation) là việc chia một mạng máy tính lớn thành các phân đoạn (segment/subnet) nhỏ hơn, độc lập. Mỗi phân đoạn hoạt động như một mạng con riêng biệt, được kiểm soát luồng truy cập bằng chính sách (policy) tại cấp độ subnet.

Ví dụ thực tế

Ngân hàng có nhiều chi nhánh. Chính sách: Nhân viên chi nhánh không được truy cập hệ thống báo cáo tài chính trung tâm. Giải pháp: Tách mạng chi nhánh và mạng hệ thống tài chính vào 2 segment khác nhau, chặn truy cập giữa chúng bằng firewall/ACL.

Tại sao cần phân đoạn mạng?

• Tăng cường bảo mật: Hạn chế lan truyền mã độc, ransomware (blast radius).
• Tuân thủ quy định: PCI-DSS yêu cầu tách mạng thẻ thanh toán; HIPAA tách dữ liệu y tế.
• Cải thiện hiệu năng: Giảm broadcast domain, giảm tắc nghẽn.
• Quản trị dễ dàng: Áp dụng chính sách khác nhau cho từng segment (VD: segment server cấm truy cập internet trực tiếp).

Các phương pháp triển khai

Quy trình triển khai 5 bước

1. Khám phá & Phân loại: Xác định dữ liệu nhạy cảm, hệ thống quan trọng, luồng dữ liệu (Data Flow Mapping).
2. Nhóm tương đồng: Gom các hệ thống cùng mức độ rủi ro, chức năng vào cùng segment.
3. Thiết kế kiến trúc: Sơ đồ segment, dải IP, VLAN ID, quy tắc firewall (deny-all mặc định, allow-list).
4. Triển khai & Kiểm thử: Cấu hình switch, router, firewall. Test kết nối cho phép, chặn truy cập trái phép.
5. Vận hành & Giám sát: Log firewall, IDS/IPS giữa các segment. Review quy tắc định kỳ.

Phân đoạn mạng là LAN segment không?

LAN segment (tách bằng bridge/router) là hình thức sơ khai của phân đoạn mạng. Phân đoạn hiện đại bao gồm VLAN, micro-segmentation, ZTNA – kiểm soát chi tiết ở Layer 4-7 (ứng dụng, user, process).