Posted inNetworking

Triển khai phpIPAM trên Linux: Quản lý IP, VLAN và Subnet chuyên nghiệp

Networking tutorial - IT technology blog
Networking tutorial - IT technology blog

Cơn ác mộng từ bảng tính ‘IP.xlsx’

Tôi vẫn còn nhớ tuần đầu tiên làm việc tại một trung tâm dữ liệu quy mô vừa. Khi tôi hỏi xin danh sách cấp phát IP, người quản trị viên kỳ cựu đã đưa cho tôi một tệp Excel có tên Network_Final_v2_USE_THIS_ONE.xlsx. Chỉ trong vòng mười phút, tôi đã tìm thấy ba địa chỉ IP bị gán trùng lặp và 14 địa chỉ ‘thây ma’ (zombie) — những IP được đánh dấu là đang hoạt động nhưng thực tế không hề có gói tin nào đi qua trong nhiều tháng. Đây chính là ‘Cái bẫy của bảng tính’.

Excel không được thiết kế để làm việc với mạng. Nó mang tính tĩnh, dễ sai sót và sẽ trở nên quá tải khi hạ tầng của bạn mở rộng. Nếu bạn đang phải quản lý hơn hai subnet, bạn đã vượt quá khả năng của Excel rồi. Việc tập trung dữ liệu IP, VLAN và Subnet vào một nguồn tin cậy duy nhất như phpIPAM là một bước tiến lớn. Nó giúp bạn chuyển từ thế bị động giải quyết sự cố sang thế chủ động trong thiết kế kiến trúc.

Các khái niệm cốt lõi: Tại sao nên chọn phpIPAM?

Tại sao lại chọn phpIPAM thay vì một cơ sở dữ liệu cơ bản? Đây không chỉ là một danh sách; nó là một công cụ hiểu được logic của mạng lưới. Khác với một bảng tính phẳng, phpIPAM ánh xạ mối quan hệ thực tế giữa phần cứng và địa chỉ của bạn.

  • Phân cấp logic: Nhóm các subnet vào các phần (sections) như “Trung tâm dữ liệu”, “Chi nhánh” hoặc “Cloud công cộng”.
  • Theo dõi VLAN: Ánh xạ trực tiếp các tag 802.1Q vào subnet để bạn không bao giờ mất dấu gateway nữa.
  • Hỗ trợ VRF: Xử lý các môi trường đa người dùng (multi-tenant) phức tạp hoặc nhãn MPLS mà không lo xung đột không gian địa chỉ chồng lấn.
  • Tự động phát hiện: Ngừng việc đoán mò. Sử dụng ICMP và SNMP để quét mạng và gắn cờ các IP có phản hồi nhưng chưa được gán.

Thực hành: Triển khai phpIPAM trên Ubuntu 22.04/24.04

Mô hình LAMP stack kinh điển (Linux, Apache, MariaDB, PHP) vẫn là tiêu chuẩn vàng cho việc triển khai này. Nó ổn định, dễ dự đoán và có thể xử lý hàng nghìn mục nhập mà không gặp khó khăn.

1. Chuẩn bị môi trường

Bắt đầu bằng cách cập nhật hệ thống và cài đặt các thành phần phụ thuộc cốt lõi. phpIPAM dựa vào các tiện ích mở rộng PHP cụ thể để kết nối cơ sở dữ liệu và tích hợp LDAP.

sudo apt update && sudo apt upgrade -y
sudo apt install -y apache2 mariadb-server php php-curl php-gd php-json php-mbstring php-mysql php-xml php-gmp php-pear php-ldap git

2. Tăng cường bảo mật cơ sở dữ liệu

Bảo mật là yếu tố quan trọng hàng đầu. Hãy bảo mật cài đặt MariaDB trước, sau đó tạo một người dùng riêng biệt. Tránh sử dụng tài khoản ‘root’ cho kết nối của ứng dụng.

sudo mysql_secure_installation

# Đăng nhập vào MariaDB
sudo mysql -u root -p

# Chạy các lệnh này tại dấu nhắc MariaDB
CREATE DATABASE phpipam;
GRANT ALL PRIVILEGES ON phpipam.* TO 'phpipam_user'@'localhost' IDENTIFIED BY 'MatKhauManhCuaBan';
FLUSH PRIVILEGES;
EXIT;

3. Tải mã nguồn

Sử dụng Git giúp việc bảo trì trong tương lai đơn giản hơn nhiều. Thay vì tải lên thủ công, một lệnh git pull đơn giản sẽ xử lý các bản cập nhật của bạn.

cd /var/www/html
sudo git clone --recursive https://github.com/phpipam/phpipam.git phpipam

# Thiết lập quyền chính xác cho người dùng web server
sudo chown -R www-data:www-data /var/www/html/phpipam
sudo chmod -R 755 /var/www/html/phpipam

Bây giờ, hãy cấu hình kết nối cơ sở dữ liệu bằng cách sao chép tệp mẫu được cung cấp.

cd /var/www/html/phpipam
sudo cp config.dist.php config.php
sudo nano config.php

Chỉnh sửa tệp config.php với các thông tin xác thực bạn đã tạo trước đó:

$db['host'] = 'localhost';
$db['user'] = 'phpipam_user';
$db['pass'] = 'MatKhauManhCuaBan';
$db['name'] = 'phpipam';
$db['port'] = 3306;

4. Cấu hình Apache

Để kích hoạt URL thân thiện như /subnets/1/, bạn phải bật mod_rewrite. Điều này giúp thay thế cú pháp rườm rà index.php?page=subnets.

sudo a2enmod rewrite
sudo nano /etc/apache2/sites-available/000-default.conf

Chèn các chỉ thị này vào khối <VirtualHost *:80> của bạn:

<Directory /var/www/html/phpipam>
    Options Indexes FollowSymLinks
    AllowOverride All
    Require all granted
</Directory>

Khởi động lại dịch vụ để áp dụng cấu hình mới:

sudo systemctl restart apache2

5. Thiết lập cuối cùng trên web

Truy cập http://ip-server-cua-ban/phpipam trong trình duyệt. Vì cơ sở dữ liệu đã sẵn sàng, hãy chọn “1. New phpipam installation” tiếp theo là “Manual database installation.” Thiết lập mật khẩu admin và tên trang web, và bạn đã chính thức nắm quyền kiểm soát.

Ghi chép thực tế: Các thực hành tốt nhất

Cài đặt phần mềm mới chỉ là một nửa chặng đường. Duy trì tính toàn vẹn của dữ liệu mới là điều khác biệt giữa một người mới và một chuyên gia dày dạn kinh nghiệm.

Tự động hóa các tác vụ nhàm chán

Một hệ thống IPAM thủ công chỉ chính xác cho đến lần cập nhật cuối cùng của bạn. Tôi thực sự khuyên bạn nên thiết lập quét mạng không dùng agent (agentless) qua cron. Việc này sẽ tự động ping các dải mạng của bạn mỗi 15 phút, giúp xác định các thiết bị mới mà không cần thao tác thủ công.

# Chạy dưới quyền www-data: sudo crontab -e -u www-data
*/15 * * * * /usr/bin/php /var/www/html/phpipam/functions/scripts/pingCheck.php
*/15 * * * * /usr/bin/php /var/www/html/phpipam/functions/scripts/discoveryCheck.php

Cấu trúc có mục đích

Tránh việc đổ dồn mọi subnet vào một thư mục duy nhất. Hãy tạo các phần riêng biệt cho “Management” (Quản lý), “DMZ”, và “Storage” (Lưu trữ). Điều này giúp đơn giản hóa việc quản lý quyền hạn. Bạn có thể cấp quyền xem toàn bộ cho đội ngũ bảo mật trong khi giới hạn đội ngũ hỗ trợ (helpdesk) chỉ ở các VLAN cụ thể dành cho người dùng.

Sử dụng tính năng ánh xạ Rack trực quan

Tính năng quản lý Rack là một viên ngọc ẩn. Khi lập tài liệu cho một máy chủ, đừng chỉ ghi lại IP; hãy liên kết nó với một vị trí U cụ thể trong tủ rack 42U. Bản đồ trực quan này là cứu cánh khi bạn cần hướng dẫn kỹ thuật viên tại chỗ thực hiện thay thế phần cứng qua điện thoại.

Kết luận

Việc đổi một bảng tính lộn xộn lấy một hệ thống chuyên dụng như phpIPAM sẽ thay đổi hoàn toàn quy trình làm việc của bạn. Nó ngăn chặn xung đột IP trước khi chúng xảy ra và cung cấp lịch sử kiểm tra (audit trail) rõ ràng cho mọi thay đổi. Bằng cách làm theo hướng dẫn này, bạn đã chuyển từ việc theo dõi cơ bản sang quản lý hạ tầng thực thụ. Lần tới khi một đồng nghiệp hỏi xin một IP còn trống trong VLAN 100, bạn sẽ không còn phải đoán mò nữa — bạn sẽ cung cấp dữ liệu chính xác từ nguồn tin cậy tập trung (source of truth) của chính mình.

Share:
Tags: