Các thiết bị nhiều cổng dùng một sợi quang thường kết nối nhiều cổng điện vào cùng một cơ cấu chuyển mạch, sau đó kết nối uplink qua cổng quang. Khả năng phân chia VLAN, hạn chế giao tiếp giữa các cổng hoặc cung cấp các kênh dữ liệu thực sự độc lập phụ thuộc vào cấu trúc và chức năng bên trong. Cách ly logic phụ thuộc vào cấu hình, còn phân tách vật lý phụ thuộc vào ranh giới phần cứng thực tế. Không thể khẳng định hai mạng đã được cách ly vật lý chỉ vì sử dụng cáp quang.
Nhiều cổng điện có thể dùng chung một chip chuyển mạch
Các thiết bị nhiều cổng dùng một sợi quang thông thường thực hiện chuyển mạch Lớp 2; chúng không cung cấp một đường quang độc lập cho từng cổng điện. Nhiều thiết bị đầu cuối dùng chung băng thông uplink và tài nguyên thiết bị, vì vậy cần xác nhận tốc độ của từng cổng, dung lượng uplink và khả năng chuyển tiếp. Nếu các cổng điện không được phép giao tiếp với nhau, chức năng cách ly cổng phải được quy định rõ. Nếu cần phân nhóm các dịch vụ khác nhau, khả năng hỗ trợ VLAN phải được quy định rõ. Các thiết bị không quản lý thông thường có thể không có những tùy chọn cấu hình này và không thể suy ra chúng từ số lượng cổng.
Cách ly điện của cáp quang không đồng nghĩa với cách ly mạng
Cáp quang không kết nối hai đầu bằng vật dẫn điện, nhờ đó có thể giảm ảnh hưởng của chênh lệch điện thế đất và một số loại nhiễu điện, nhưng vẫn truyền dữ liệu. Các thiết bị Ethernet ở hai đầu có thể giao tiếp bình thường, đồng thời các gói tin độc hại hoặc lỗi cũng có thể đến đầu bên kia qua liên kết này. Cách ly điện, kiểm soát truy cập dữ liệu và phân tách mạng vật lý là những vấn đề khác nhau. Sản phẩm có tên chứa từ cách ly cần giải thích rõ đối tượng được cách ly là nguồn điện, đặc tính điện của giao diện, hoạt động chuyển tiếp giữa các cổng hay toàn bộ kênh dịch vụ.
VLAN phân chia ranh giới logic, nhưng tài nguyên vẫn có thể được dùng chung
VLAN phân nhóm các mạng Lớp 2. Khi được cấu hình đúng, các nhóm khác nhau không giao tiếp trực tiếp ở Lớp 2; thông qua định tuyến hoặc các kênh khác, chúng vẫn có thể truy cập lẫn nhau theo các quy tắc. Bộ xử lý, nguồn điện, firmware và điểm truy cập quản lý của thiết bị dùng chung không được tách riêng, và lỗi cấu hình hoặc sự cố thiết bị có thể ảnh hưởng đến nhiều nhóm. Vì vậy, VLAN phù hợp với nhu cầu phân vùng logic rõ ràng, nhưng không thể được coi là bằng chứng về cách ly phần cứng không có tài nguyên dùng chung, cũng không phải là cơ chế mã hóa.
Phải rà soát sự phân tách vật lý trên toàn bộ đường dẫn
Nếu hai mạng phải được phân tách ở lớp vật lý, hãy kiểm tra xem các thiết bị đầu cuối, thiết bị chuyển mạch, đường truyền, kết nối quản lý và uplink có thực sự độc lập hay không; không chỉ xem xét một đoạn cáp. Các cổng độc lập hoặc lõi sợi quang độc lập cuối cùng cũng có thể hội tụ vào một thiết bị chuyển mạch chung. Đối với các sản phẩm dùng chung khung máy nhưng có các kênh nội bộ độc lập, phải quy định rõ kiến trúc, việc kiểm thử và các ranh giới áp dụng. Khi có liên quan đến các tiêu chuẩn bảo mật cụ thể, cần sử dụng các yêu cầu chính thức và tài liệu xác minh, không dùng các khái niệm khác để thay thế.
Diễn đạt các yêu cầu cách ly thành những điều kiện có thể kiểm thử
Ví dụ, hãy quy định những thiết bị đầu cuối nào được phép giao tiếp, những thiết bị nào bị cấm, ai có quyền truy cập quản lý và có cho phép một sự cố ảnh hưởng đồng thời đến nhiều bên hay không, sau đó lựa chọn cấu trúc và cấu hình thiết bị. Kiểm thử nghiệm thu cần xác nhận các đường dẫn được phép hoạt động bình thường, đồng thời thử các đường dẫn bị cấm và kiểm tra hành vi sau khi mất điện, khôi phục và đặt lại cấu hình. Lưu lại sơ đồ cấu trúc mạng, bảng cổng và bản sao lưu cấu hình. Tranh luận về thuật ngữ ít hữu ích hơn một danh sách kiểm thử có thể thực hiện được, nhưng kết quả kiểm thử cũng không thể thay thế các chứng nhận chính thức mà yêu cầu đặt ra.
Ví dụ: Mạng sản xuất và mạng bảo trì dùng chung một thiết bị
Nếu dự án cho phép cách ly logic, có thể thiết lập hai nhóm theo cấu hình cổng và VLAN rõ ràng, sau đó kiểm tra khả năng ngăn truy cập trái phép và các ranh giới quản lý. Tuy nhiên, cần nêu đúng thực tế rằng hai nhóm dùng chung nguồn điện, chip chuyển mạch hoặc hệ thống quản lý, và không được mô tả chúng trong tài liệu bàn giao là phần cứng hoàn toàn độc lập. Nếu các sự cố không được phép ảnh hưởng lẫn nhau hoặc có yêu cầu phân tách vật lý chính thức, cần đánh giá lại cấu trúc dùng chung, có thể phải sử dụng thiết bị và đường truyền độc lập. Ngay cả khi sử dụng hai lõi sợi quang, chúng vẫn có thể hội tụ trở lại tại một uplink chung ở phía sau; toàn bộ đường dẫn từ thiết bị đầu cuối đến uplink phải phù hợp với các yêu cầu cách ly.
Được dịch từ bài viết kỹ thuật tiếng Trung. Nguồn được xuất bản lần đầu: 2019-07-25. Nguồn được sửa đổi lần cuối: 2026-10-13T22:50:44+08:00. Đọc nguồn tiếng Trung
