Trước hết, kết luận là: Cách ly vật lý và cách ly logic đều phải trả lời câu hỏi: “Dữ liệu từ các mạng khác nhau có thể đi sang phía bên kia không?” Tuy nhiên, cách thực hiện của chúng khác nhau. Cách ly vật lý nhấn mạnh ranh giới phần cứng và kênh; cách ly logic dựa vào việc xử lý gói tin và chính sách truy cập bên trong thiết bị dùng chung. Sợi quang chỉ là môi trường truyền dẫn: sử dụng sợi quang không có nghĩa là mạng tự động được cách ly; cũng không thể cho rằng nhiều dịch vụ dùng chung sợi quang có thể liên lạc với nhau chỉ vì điều đó. Để đánh giá bộ ghép kênh quang mạng hoặc bộ chuyển đổi quang điện, cần xem cách các cổng chuyển tiếp tới nhau, cách phân bổ băng thông và liệu ranh giới có còn được duy trì trong các điều kiện quản lý và sự cố hay không.
Khi đọc các sơ đồ, trước tiên hãy theo dõi các đường dữ liệu màu xanh lam và cam: Hình 1 so sánh hai kiến trúc, Hình 2 giải thích cách các kênh độc lập dùng chung đường truyền quang, còn Hình 3 phân biệt việc xác minh cách ly, băng thông và sự cố. Bài viết này tập trung vào truy cập Ethernet đa kênh và chủ yếu giải thích cách hiểu và kiểm tra khả năng của sản phẩm.
1. Trước tiên, phân biệt: Mạng được cách ly hay kết nối điện được cách ly?
Sợi quang truyền dữ liệu bằng tín hiệu quang, hai đầu liên kết không cần truyền dữ liệu qua dây dẫn kim loại, nhờ đó giúp giảm các vấn đề do chênh lệch điện thế đất và nhiễu điện từ. Tuy nhiên, thiết bị ở hai đầu vẫn trao đổi dữ liệu, vì vậy cách ly điện không có nghĩa là không tồn tại đường liên lạc giữa các mạng. Bộ chuyển đổi quang điện thông thường thường chỉ chuyển đổi tín hiệu Ethernet giữa cổng điện và cổng quang, chứ không tự động trở thành tường lửa.
Cách ly logic thường gặp trong các VLAN trên bộ chuyển mạch dùng chung. VLAN là mạng cục bộ ảo, có thể hiểu là việc phân chia các miền quảng bá Lớp 2 khác nhau trong cùng một thiết bị: theo các quy tắc chuyển tiếp Lớp 2 thông thường, khung quảng bá thuộc VLAN 10 sẽ không được gửi trực tiếp tới các cổng trong VLAN 20. Các khung dữ liệu có thể được truyền luân phiên trên cùng một sợi quang đường lên, sau đó được gửi tới mạng tương ứng dựa trên thẻ. Dùng chung đường lên không có nghĩa là việc phân nhóm mất tác dụng; nếu còn có bộ định tuyến, chuyển mạch Lớp 3 hoặc cấu hình bắc cầu không chính xác, hai mạng vẫn có thể liên lạc và vẫn cần chính sách kiểm soát truy cập để hạn chế việc này.
Thiết bị và liên kết tách biệt về vật lý là một kiến trúc cách ly tương đối trực quan. Tuy nhiên, cũng cần kiểm tra xem có cáp mạng bổ sung, giao diện không dây, thiết bị quản lý hoặc đường vòng nào khác kết nối hai phía hay không. Không thể chỉ dựa vào việc “có hai chip” hoặc “không có chức năng định tuyến” để đưa ra kết luận đầy đủ, càng không thể cam kết rằng sai sót cấu hình, đấu nối và vận hành sẽ không bao giờ tạo kết nối xuyên mạng.
2. Vì sao các kênh dịch vụ độc lập vẫn có thể dùng chung sợi quang?
Một loại sản phẩm khác là bộ ghép kênh quang mạng hoặc bộ chuyển đổi quang điện, trong đó nhiều kênh Ethernet sử dụng các kênh dịch vụ độc lập. Thiết bị không nhất thiết phải có một sợi quang riêng cho mỗi cổng điện; thay vào đó, thiết bị xử lý riêng từng dịch vụ trước, sau đó đưa chúng vào các kênh truyền quang theo quan hệ tương ứng cố định và khôi phục chúng về các cổng tương ứng ở đầu xa. Thứ được dùng chung là môi trường truyền dẫn; việc có tồn tại đường chuyển tiếp giữa các dịch vụ hay không phụ thuộc vào kiến trúc bên trong.
Feichang Technology Bộ chuyển đổi quang điện cách ly vật lý Ethernet 100M 1–4 cổng thông tin công khai giải thích về các giao diện FE độc lập, các kênh phân chia theo thời gian chuyên dụng, cũng như thiết kế trong đó mỗi kênh trong bốn kênh tương ứng với đường truyền riêng của mình. Có thể hiểu phân chia theo thời gian là đưa dữ liệu của từng kênh lần lượt vào các vị trí định trước rồi tách chúng ở đầu thu theo cùng quy tắc; cách tổ chức dịch vụ này khác với việc bộ chuyển mạch Ethernet ghép kênh thống kê các khung dữ liệu trên đường lên dùng chung. Hình 2 chỉ giải thích sự khác biệt này, không thể hiện bố trí chip thực tế, độ dài khe thời gian hay chi tiết giao thức riêng của bất kỳ mẫu thiết bị nào.
Phép so sánh với đường giao thông vẫn hữu ích: đường lên dùng chung giống như nhiều luồng xe cùng đi vào một con đường, còn các kênh độc lập giống như việc dành riêng một phần khả năng lưu thông cho từng luồng. Tuy nhiên, không có bốn “làn đường” nhìn thấy được trong sợi quang, và không thể dùng phép so sánh này để chứng minh tính bảo mật. Các chip giao diện độc lập là một phần của kiến trúc; vẫn cần kiểm tra ánh xạ cổng, khả năng chuyển tiếp nội bộ và ranh giới quản lý.
Lấy ví dụ bốn kênh 100M dùng chung một đường lên 100M. Trong trường hợp này, lưu lượng đồng thời thực sự có thể tranh chấp dung lượng đường lên; nhưng không phải mọi thiết bị VLAN đều chỉ có đường lên 100M. Ngược lại, khả năng cung cấp dịch vụ độc lập của bốn kênh 100M không thể trực tiếp dẫn tới kết luận rằng tốc độ đường truyền quang vật lý chính xác là 400M, vì quá trình truyền còn có thể bao gồm phần phụ trội do mã hóa và giao thức. Khi lựa chọn, cần so sánh dung lượng dịch vụ của các thiết bị cụ thể, thay vì chỉ so sánh hai tên gọi “vật lý” và “logic”.
3. Kiểm tra ranh giới cách ly, băng thông và sự cố như thế nào?
Trước tiên, liệt kê các quan hệ liên lạc. Ví dụ, A chỉ có thể liên lạc với A ở đầu xa, B chỉ có thể liên lạc với B ở đầu xa; nếu một số dịch vụ được phép đi xuyên miền, hãy ghi rõ chiều, giao thức và cổng được phép. Sau đó xác nhận số hiệu cổng điện ở hai đầu, các kênh tương ứng, tốc độ, chế độ song công, thông số cổng quang và phương thức truy cập quản lý. Khả năng kênh độc lập nêu trong thông tin sản phẩm trên website chính thức cần được gắn với mẫu thiết bị thực tế đã đặt hàng và cấu hình được bàn giao, không thể khái quát rằng tất cả bộ chuyển đổi quang điện của Feichang Technology đều có cùng chức năng.
Bước 1: Xác minh các kênh tương ứng. Trong môi trường thử nghiệm độc lập, kết nối thiết bị kiểm tra theo từng kênh và xác nhận các quan hệ liên lạc như A tới A và B tới B. Sau đó gửi lưu lượng thử nghiệm có thể nhận diện từ một kênh và kiểm tra xem trên các kênh khác có xuất hiện những khung dữ liệu lẽ ra không được tới đó hay không. Cần xem xét cả chiều dịch vụ thực tế lẫn cách xử lý quảng bá và các địa chỉ đích khác nhau; việc ping tới một địa chỉ thất bại có thể đơn giản là do tường lửa, địa chỉ hoặc đấu nối và không thể tự nó chứng minh khả năng cách ly.
Bước 2: Xác minh băng thông đồng thời. Sau khi kiểm tra một kênh, cho tất cả các kênh hoạt động cùng lúc và ghi lại thông lượng, tỷ lệ mất gói và thay đổi độ trễ của từng kênh. Phạm vi thử nghiệm cần bao gồm độ dài khung, chiều truyền, tải và thời gian thử nghiệm. Một cổng hiển thị tốc độ thương lượng 100M, hoặc độ trễ ping không thay đổi trong một lần kiểm tra, không có nghĩa là kênh vẫn giữ được dung lượng dịch vụ độc lập dưới tải đồng thời. Khả năng hai chiều cũng cần được kiểm tra riêng theo cả hai chiều.
Bước 3: Kiểm tra quản lý và sự cố. Kiểm tra tài khoản quản lý, mạng được phép truy cập giao diện quản lý, quyền cấu hình và ánh xạ cổng sau khi khởi động lại, gián đoạn đường quang và khôi phục. Các dịch vụ khác nhau không chuyển tiếp tới nhau không có nghĩa là đứt sợi quang dùng chung hoặc mất nguồn toàn bộ thiết bị chỉ ảnh hưởng tới một kênh. Khi cần tính sẵn sàng cao hơn, phải đánh giá riêng dự phòng đường quang, nguồn điện và sự cố thiết bị; “băng thông độc lập” không thể thay thế thiết kế dự phòng.
Quan sát vòng lặp tại cổng nhiều nhất chỉ có thể giúp phát hiện một số hành vi chuyển mạch, không thể dùng làm bằng chứng đầy đủ để xác định khả năng cách ly. Không dùng cáp mạng nối trực tiếp hai cổng để tạo vòng lặp trong mạng dịch vụ đang hoạt động; nếu cần thử nghiệm sự cố đặc biệt, hãy tuân theo hướng dẫn sử dụng thiết bị và chuẩn bị các biện pháp giới hạn dòng điện, ghi lại và khôi phục trong môi trường phòng thí nghiệm độc lập.
5. Không mô tả cách ly dịch vụ là mã hóa hoặc cách ly bảo mật một chiều
Các kênh dịch vụ độc lập giới hạn quan hệ chuyển tiếp nội bộ giữa các dịch vụ khác nhau, không tự động mã hóa dữ liệu được truyền bình thường. Sợi quang có thể giảm các đường dẫn điện giữa các địa điểm, nhưng không thể kiểm tra danh tính bên gửi, ngăn thiết bị đầu cuối được cấp quyền phát lệnh sai hoặc thay thế xác thực thông điệp. CRC là phép kiểm tra dùng để phát hiện lỗi truyền dẫn, không thể dùng làm cơ sở chống sửa đổi trái phép hoặc cấp quyền truy cập. Các chức năng này cần được phân định rõ cho những thiết bị cụ thể trong kiến trúc hoàn chỉnh.
Bộ ghép kênh quang hai chiều vẫn cho phép các cổng tương ứng trao đổi dữ liệu theo cả hai chiều; không thể chỉ vì tên gọi có cụm từ cách ly vật lý mà gọi nó là thiết bị truyền một chiều, hệ thống cách ly hoàn toàn bằng khoảng cách vật lý hoặc thiết bị đã đạt một chứng nhận bảo mật nhất định. Nếu dự án yêu cầu ranh giới bảo mật nghiêm ngặt, cần kiểm tra cách triển khai sản phẩm cụ thể, các điểm truy cập quản lý, kết nối bắc cầu bên ngoài và các yêu cầu áp dụng. Hướng dẫn bảo mật OT của NIST nhấn mạnh phân vùng và liên lạc có kiểm soát, cần được thiết kế đồng bộ với rủi ro tại hiện trường, các dịch vụ được phép và phương thức bảo trì.
Cách ly điện có thể giúp xử lý chênh lệch điện thế đất; các kênh dịch vụ độc lập có thể giúp duy trì ánh xạ của từng kênh; khung máy và cáp quang dùng chung vẫn có thể gặp sự cố đồng thời. Báo cáo nghiệm thu cần tách riêng các kết luận này và ghi lại chiều thử nghiệm, tải, phiên bản, dữ liệu bắt gói và hành vi khôi phục. Ping thất bại, đèn cổng bình thường hoặc không có bão quảng bá đều không thể tự mình chứng minh rằng hệ thống được cách ly hoàn toàn.
Lưu ý thông tin: Ba hình đầu tiên là minh họa nguyên lý chung, không phải sản phẩm thực tế, mạch bên trong hay dữ liệu đo của mẫu thiết bị cụ thể. Dung lượng, kênh và bố trí chip trong các hình không đại diện cho thông số của toàn bộ dòng sản phẩm; khả năng cụ thể căn cứ vào tài liệu bàn giao của mẫu được chọn. Tài liệu đối chiếu: Danh mục bộ chuyển đổi quang điện cách ly vật lý của Feichang Technology, Thông tin sản phẩm 1–4 cổng 100M, Giải thích của Cisco về định tuyến liên VLAN, Hướng dẫn bảo mật OT của NIST.
Dịch từ bài viết kỹ thuật tiếng Trung. Nguồn xuất bản lần đầu: 2019-10-14. Nguồn sửa đổi lần cuối: 2026-10-13T13:42:26+08:00. Đọc nguồn tiếng Trung
