Kinh nghiệm bản thân anh thì bất cứ nơi nào tránh được NAT thì nên tránh. Packets chỉ nên route (định tuyến) chớ không nên nat (network address translate) bởi vì route nhanh chóng và không thay đổi (mangle) packet. Trong khi đó, nat lại thay đổi packet.

Ngoài khía cạnh hiệu suất giữa route vs nat, nat rất nguy hiểm đặc biệt cho những ứng dụng đụng chạm đến SSL và đụng chạm đến IP's headers. Những thay đổi xảy ra với packets từ cơ chế nat sẽ biến packets ra vào bị vô giá trị hoặc thiếu hụt những thông tin cần thiết (và nguyên thuỷ) cho nên có những sự cố xảy ra do nat sẽ làm kỹ sư mạng cực kỳ điên đầu.

Firewall luôn luôn là thiết bị dùng để cản lọc (tuỳ mức độ và quy chế cản lọc) chớ không phải là thiết bị định tuyến (mặc dù firewall có khả năng định tuyến). Càng tách rời các chức phận, càng dễ bảo trì và nâng cao hiệu suất. Càng nhập nhằng các tính năng trên cùng một thiết bị, càng kém hiệu suất và càng nhiều cơ hội đau đầu. 

Nếu bạn đã nhìn ra được ở lab 1, DSL được cấu hình wizard setup. Nó có cản hết traffic không? Nếu nó không cản traffic thì nó làm gì để traffic đi qua nó vào tới ISA Server ?. Các loại traffic nào ở giao thức nào , cổng nào được vào tới ISA server như trong mô hình lab ?.
Nhìn gì nhìn cho kỹ. Vì vai trò DSL trong lab gây 1 hiểu lầm hay "stupid" gì đó. Bạn trả lời được 3 câu hỏi này của tui thì bạn nên đọc kỹ tiếp cho hết câu chữ thật chậm rãi.
 

conmale wrote:

Kinh nghiệm bản thân anh thì bất cứ nơi nào tránh được NAT thì nên tránh. Packets chỉ nên route (định tuyến) chớ không nên nat (network address translate) bởi vì route nhanh chóng và không thay đổi (mangle) packet. Trong khi đó, nat lại thay đổi packet.

Ngoài khía cạnh hiệu suất giữa route vs nat, nat rất nguy hiểm đặc biệt cho những ứng dụng đụng chạm đến SSL và đụng chạm đến IP's headers. Những thay đổi xảy ra với packets từ cơ chế nat sẽ biến packets ra vào bị vô giá trị hoặc thiếu hụt những thông tin cần thiết (và nguyên thuỷ) cho nên có những sự cố xảy ra do nat sẽ làm kỹ sư mạng cực kỳ điên đầu.

Firewall luôn luôn là thiết bị dùng để cản lọc (tuỳ mức độ và quy chế cản lọc) chớ không phải là thiết bị định tuyến (mặc dù firewall có khả năng định tuyến). Càng tách rời các chức phận, càng dễ bảo trì và nâng cao hiệu suất. Càng nhập nhằng các tính năng trên cùng một thiết bị, càng kém hiệu suất và càng nhiều cơ hội đau đầu. 

Hi anh !

Vậy theo anh mô hình tổng thể cho một doanh nghiệp nên được thiết kế và áp dụng như thế nào để đạt hiệu quả cao nhất. Về phần NAT thì theo em biết, nó cũng là một giải pháp bảo mật, đa phần các thiết kế đều để cập đến việc NAT. Có lẽ không có mô hình mạng nào là không thực hiện NAT. 

Bạn đang hiểu lầm cái cấu hình modem ADSL ở lab 1 đấy. PPoE/PPoA trong cấu hình đó là từ đâu đến đâu?
Và PPoE đang bàn trong chủ đề này là từ đâu đến đâu.

Bài viết đầu tiên mình tham gia trong chủ đề này với lý do và mục đích đã được nói cụ thể ở đây:
/hvaonline/posts/list/0/35554.html#218785
Mình chỉ đưa ra cái topo mạng đó và tập trung phân tích lại ý tưởng của bác myquartz với mục đích công nhận những ý kiến của bác ấy là có cơ sở (tuy nhiên vẫn không đồng tình với cách phê phán hơi nặng nề của bác ấy).  

Câu hỏi của em chung chung quá nên không có câu trả lời xác thực. Mô hình mạng cho doanh nghiệp phục vụ cụ thể từng nhu cầu và ưu tiên khác nhau cho nên không thể có loại "one size fits all" được, nhất là xét đến mức độ hiệu quả và bảo mật. Nói một cách tổng quát, router (bìa) luôn luôn nằm ở ngoài cùng và giữ trách nhiệm định tuyến chớ không nên làm bất cứ thứ gì khác bởi vì chức năng của nó là định tuyến. Firewall nên nằm ở trong để bảo vệ cụ thể từng network segment tuỳ theo đòi hỏi. Nếu bên trong router bìa cần có nhiều network tách rời thì ở mỗi giao điểm cần có một router riêng biệt và bên trong đó có firewall riêng biệt.

Mặc dù các router / modem / firewall hầu hết có khả năng NAT nhưng nếu mình ghi nhận rằng: chỉ NAT khi không thể làm gì khác thì mới hiệu suất được. Hơn nữa, NAT không phải là biện pháp gia tăng bảo mật mà nó chỉ là một cơ chế "viết lại" các packets ra vào. Bởi vậy, nếu ngộ nhận mà cho rằng NAT dùng để bảo mật (như firewall) thì đó là ngộ nhận rất trầm trọng.