Trong thời đại số hóa, “downtime” (thời gian hệ thống ngừng hoạt động) không chỉ là sự cố kỹ thuật mà là thảm họa tài chính. Theo Gartner, downtime trung bình gây thiệt hại hàng nghìn đô mỗi phút. Để đối phó, các doanh nghiệp lớn luôn thiết kế hệ thống theo mô hình Active-Active hoặc Active-Standby giữa Primary Data Center và DR Site.

Bài viết này giải mã sơ đồ kiến trúc mạng tiêu chuẩn cấp doanh nghiệp — xem các kỹ sư đã làm gì để đảm bảo hệ thống luôn vận hành 24/7 ngay cả khi có sự cố.

Tổng quan kiến trúc Data Center cấp doanh nghiệp

Một Data Center cấp doanh nghiệp được thiết kế theo mô hình phân lớp (layered architecture), mỗi lớp đảm nhận một nhiệm vụ riêng biệt:

• WAN Edge Layer — Cửa ngõ kết nối với thế giới bên ngoài
• Core Layer & Security — Chuyển tiếp dữ liệu và bảo mật
• Virtualization Layer — Ảo hóa máy chủ và ứng dụng
• Storage Layer — Lưu trữ dữ liệu

Giữa Primary Data Center và DR Site có hai luồng kết nối độc lập: Network Replication (đồng bộ trạng thái mạng) và Storage Replication (đồng bộ dữ liệu).

Lớp 1: WAN Edge Layer — Cửa ngõ kết nối

WAN Edge Layer là nơi Data Center giao tiếp với thế giới bên ngoài: chi nhánh, đối tác, Internet. Lớp này xử lý định tuyến BGP, NAT, và kết nối với các nhà cung cấp dịch vụ (ISP).

Đường truyền chính: MPLS/WAN

Kết nối MPLS (Multiprotocol Label Switching) là lựa chọn phổ biến cho doanh nghiệp vì:

• Quality of Service (QoS) — Ưu tiên traffic quan trọng (voice, video, database)
• Độ trễ thấp — Phù hợp cho traffic nội bộ giữa các chi nhánh và Data Center
• Bảo mật cao — Tách biệt hoàn toàn với Internet công cộng
• Tốc độ — Thường 1-10 Gbps Fiber

Đường truyền dự phòng: Internet Backup VPN

Nếu đường MPLS bị đứt cáp, hệ thống tự động chuyển đổi (Failover) qua Internet VPN Site-to-Site. Đây là lớp bảo vệ cuối cùng trước khi mất kết nối hoàn toàn.

<code># Failover logic (ví dụ)
if (mpls_link.status == "down") {
    activate_vpn_backup()
    reroute_traffic_to_dr_site()
}</code>

Lớp 2: Core Layer & Security — Lõi mạng và tường lửa

Lớp Core Layer làm nhiệm vụ chuyển tiếp dữ liệu tốc độ cao và là rào cản bảo vệ đầu tiên cho toàn bộ hệ thống.

Firewall High Availability (HA)

Tường lửa được cấu hình theo cụm High Availability (Active-Passive hoặc Active-Active):

• Active-Passive (A-P) — Một thiết bị hoạt động, một chờ sẵn. Khi active fail, passive tiếp quản.
• Active-Active (A-A) — Cả hai cùng xử lý, tăng throughput và redundancy.

Nguyên tắc: nếu một thiết bị bị hỏng phần cứng, thiết bị kia lập tức tiếp quản traffic mà không gây gián đoạn dịch vụ.

<code># Firewall HA configuration (ví dụ FortiGate/PaloAlto)
# Cấu hình FGCP (FortiGate Cluster Protocol)
config system ha
    set mode a-p  # Active-Passive
    set group-name "DC1-FW-HA"
    set password your-password
    set hbdev "port3" 50
    set session-pickup enable
end</code>

Load Balancer (LB)

Load Balancer phân phối traffic đến các máy chủ bên dưới, đảm bảo:

• Không có máy chủ nào bị quá tải (overload)
• Tự động loại bỏ máy chủ lỗi (health check + failover)
• SSL Termination — giải mã HTTPS ở tầng LB thay vì backend
• Session persistence — giữ user stick với cùng một server

<code># Load balancer health check (ví dụ F5/HAProxy)
backend web_servers
    balance roundrobin
    option httpchk GET /health
    http-check expect status 200
    server web1 10.0.1.10:80 check inter 3s fall 3 rise 2
    server web2 10.0.1.11:80 check inter 3s fall 3 rise 2
    server web3 10.0.1.12:80 check inter 3s fall 3 rise 2</code>

Lớp 3: Virtualization Layer — Ảo hóa máy chủ

Thay vì chạy ứng dụng trên máy chủ vật lý riêng lẻ, lớp ảo hóa sử dụng nền tảng như VMware vSphere, Hyper-V, hoặc Proxmox để tạo Virtual Machines (VM) trên cùng một hạ tầng vật lý.

Live Migration

Tính năng quan trọng nhất của ảo hóa: Live Migration — chuyển VM đang chạy sang máy chủ vật lý khác mà không cần tắt máy, không mất dữ liệu, gần như không downtime.

• Phát hiện host sắp fail → Tự động migrate VM sang host khác
• Tối ưu hóa tài nguyên — cân bằng load giữa các host
• Bảo trì không downtime — di chuyển VM trước khi tắt host để bảo dưỡng

High Availability Cluster

VMware vSphere HA hoặc Hyper-V Failover Cluster đảm bảo:

• Nếu một host ESXi/Hyper-V fail, VM tự động restart trên host khác trong cluster
• Shared storage để VM có thể khởi động trên bất kỳ host nào
• Heartbeat giữa các host để phát hiện failure nhanh (thường dưới 30 giây)

Lớp 4: Storage Layer — Lưu trữ dữ liệu

Nơi lưu trữ “cội nguồn” của mọi dữ liệu. Các Storage Array (SAN/NAS) thường được cấu hình RAID để chống mất dữ liệu do hỏng đĩa.

RAID Configuration

• RAID 10 — Tốt nhất cho performance + redundancy (tối thiểu 4 disk)
• RAID 5/6 — Tiết kiệm hơn, chấp nhận 1-2 disk fail
• RAID-DP — NetApp’s equivalent của RAID 6

Tốc độ kết nối

Kết nối từ Core Switch xuống Storage thường rất lớn: 10 Gbps Fiber, thậm chí 25/100 Gbps cho các hệ thống enterprise lớn, để xử lý khối lượng I/O khổng lồ.

“Cầu nối sinh tử” giữa Primary và DR Site

Điểm quan trọng nhất của kiến trúc không chỉ nằm ở từng Data Center, mà là cách chúng kết nối với nhau. Có hai luồng kết nối hoàn toàn độc lập:

Kết nối Mạng (Network Replication)

• Đường chính: MPLS/WAN để đồng bộ trạng thái thiết bị mạng, giao tiếp giữa các cụm VM
• Đường backup: VPN Site-to-Site qua Internet
• Sự kết hợp kép này loại bỏ hoàn toàn Single Point of Failure về kết nối mạng

Kết nối Dữ liệu (Storage Replication)

Dữ liệu từ Storage Array ở Site chính được nhân bản (Replicate) trực tiếp sang Storage Array ở DR Site qua cáp quang tốc độ cao (10 Gbps+).

• Synchronous (Đồng bộ): Dữ liệu ghi ở Site chính phải ghi xong ở Site phụ mới báo thành công. Đảm bảo RPO = 0 (không mất dữ liệu). Phù hợp khoảng cách ngắn (<100km).
• Asynchronous (Bất đồng bộ): Ghi tại chỗ trước, đồng bộ sau. Chấp nhận RPO vài phút đến vài giờ. Phù hợp khoảng cách địa lý xa (khác thành phố, khác quốc gia).

Kịch bản khi xảy ra thảm họa

Với kiến trúc này, nếu Data Center chính bị mất điện, hỏa hoạn hoặc ngập lụt, hệ thống sẽ phản ứng tự động:

1. Phát hiện sự cố

Các thiết bị mạng (Router/Firewall) phát hiện đường MPLS/WAN đến Site chính bị ngưng thông qua heartbeat mechanism.

2. Chuyển đổi mạng (Network Failover)

• Traffic tự động định tuyến qua đường Internet Backup VPN hoặc MPLS dự phòng
• Điều hướng về DR Site
• DNS có thể được cập nhật để point về IP của DR Site

3. Kích hoạt DR Site

• Tại DR Site, VM được khởi động từ storage đã replicate
• Database được mount từ storage replica
• Load Balancer tại DR Site tiếp nhận traffic
• Application bắt đầu phục vụ người dùng

4. Thông báo và Logging

• Gửi alert đến đội vận hành qua email, SMS, Slack
• Ghi log toàn bộ sự kiện để phân tích post-incident
• Bắt đầu đo thời gian downtime

Chỉ số đo lường DR

RTO — Recovery Time Objective

Thời gian tối đa để hệ thống quay lại hoạt động sau sự cố. Ví dụ: RTO = 4 giờ nghĩa là hệ thống phải online trong vòng 4 giờ.

RPO — Recovery Point Objective

Lượng dữ liệu tối đa có thể mất. Ví dụ: RPO = 1 giờ nghĩa là có thể chấp nhận mất dữ liệu của 1 giờ gần nhất.

Active-Active vs Active-Standby

Active-Standby

• Site chính xử lý 100% traffic
• Site phụ chờ sẵn, không xử lý production traffic
• Ưu điểm: Chi phí thấp hơn, đơn giản quản lý
• Nhược điểm: Failover có thể mất vài phút, resource tại DR Site không được tận dụng

Active-Active

• Cả hai site cùng xử lý traffic (có thể 50/50 hoặc load theo region)
• Khi một site fail, 100% traffic chuyển sang site còn lại
• Ưu điểm: Failover gần như instant, tận dụng resource cả hai site
• Nhược điểm: Phức tạp hơn, chi phí cao hơn, cần data consistency giữa hai site

Chi phí và đánh đổi

DR không phải miễn phí. Chi phí bao gồm:

• Hardware: Thiết bị mạng, server, storage tại DR Site
• Kết nối: MPLS lease line, Internet backup, cáp quang
• License: VMware HA, storage replication, monitoring
• Vận hành: Đội ngũ 24/7, backup testing, DR drill

Quy tắc thumb: DR infrastructure thường tốn 20-30% chi phí của Primary Data Center. Nhiều doanh nghiệp chọn giải pháp DR as a Service (DRaaS) để giảm chi phí CAPEX, trả theo mức sử dụng.

Tham khảo

Tài liệu chính thức: VMware vSphere Documentation, Windows Server Failover Clustering. Tìm hiểu thêm về DR tại AWS Disaster Recovery Architecture.

Kết luận

Kiến trúc Data Center cấp doanh nghiệp với DR Site là sự đầu tư nghiêm túc vào business continuity. Không có giải pháp “một kích cỡ cho tất cả” — bạn cần cân đối giữa: