Khi nhìn lại những project từ 2023 đến nay, thứ mình nhớ nhất thường không phải model thiết bị. Có khi đó là một rollback plan được chuẩn bị kỹ nhưng cuối cùng không phải dùng. Có khi là một service nhỏ trong UAT khiến cả team phải nhìn lại cách kiểm tra hệ thống. Có khi chỉ là một dashboard “xanh” nhưng chưa đủ để kết luận mọi thứ ổn.
Mỗi project bên dưới có bối cảnh khác nhau. Mình gom lại ở đây vì chúng cho thấy khá rõ cách công việc Infrastructure thay đổi theo thời gian, trong khi vài câu hỏi cũ vẫn quay lại: nếu hỏng thì hỏng ở đâu, kiểm tra thế nào, và làm sao biết service đã thực sự trở lại?
2023: Load Balancer và bài học về rollback
Một trong những project mình còn nhớ khá rõ là đợt thay Load Balancer. Công việc đi từ assessment, procurement và FDD sang configuration preparation, UAT, Change Request, cutover rồi monitoring sau thay đổi.
Phần khó không nằm ở việc thiết bị mới có nhiều tính năng hơn. Phần khó là làm cho cả team cùng hiểu dependency, điều kiện nào được xem là pass, khi nào dừng troubleshooting và khi nào phải rollback. Từ những project kiểu này, rollback dần trở thành một phần bình thường của design thay vì một mục viết cho đủ trong Change Request.
Cũng trong giai đoạn đó có những bài toán nhỏ hơn như resilient uplink cho Internet Leased Line, AWS Direct Connect hay hạ tầng New Office. Chúng nhắc mình rằng hệ thống nhỏ vẫn có failure mode của nó; không cần phải biến mọi thứ thành một “mini data center”, nhưng cũng không nên bỏ qua redundancy, security và cách quay lại trạng thái cũ.
2024: PA-3050 → PA-3410 và khoảng cách giữa HA với service
Cuối năm 2024, project chuyển External Firewall từ Palo Alto PA-3050 sang PA-3410 làm rõ một chuyện mà sau này mình nhắc lại khá nhiều: HA xanh chưa phải là kết quả cuối cùng của cutover.
Trong traffic path còn nhiều lớp khác, gồm Internal Firewall Fortinet 200D và IPS. UAT vì vậy không thể chỉ dừng ở việc HA đã hình thành hay policy đã migrate. Checklist còn phải đi qua IPSec VPN, SSL Decryption, public application, reporting, failover và GlobalProtect Pre-logon.
GlobalProtect Pre-logon là ví dụ rất điển hình. Trên giấy nó chỉ là một dòng trong checklist; ngoài thực tế, nếu flow này hỏng thì laptop ở ngoài văn phòng có thể không vào được service nội bộ dù cặp firewall vẫn báo healthy.
Từ project này mình bắt đầu tách rất rõ hai việc: device validation và service validation. Cái đầu cho biết platform còn đứng. Cái sau mới cho biết người dùng và application còn làm việc như trước hay không.
Đầu 2025: FortiGate và IPS — thay đổi Security theo từng lớp
Đầu năm 2025 có hai project Security Infrastructure diễn ra khá gần nhau: chuyển FortiGate 600D sang 601F tại site Hậu Giang và chuyển Trellix IPS NS-7100 sang NS-7500.
Với FortiGate, mục tiêu là giữ được HA/cluster và service của site trong lúc đổi platform. Với IPS, cách làm lại khác: đưa hệ thống vào In-Line Detection để quan sát trước, sau đó mới tăng dần enforcement. Bật blocking ngay từ đầu có thể rất “đẹp” trên policy, nhưng nếu false positive chặn business traffic thì cái giá vận hành lại khác.
Khi nhìn External Firewall, Internal Firewall và IPS trên cùng một traffic path, mình thấy rõ hơn rằng Security không phải một box. Thay đổi ở một lớp luôn cần được kiểm tra trong mối quan hệ với các lớp còn lại.
2025: Capacity còn dư nhưng vẫn phải nghĩ đến Lifecycle
Một Capacity Assessment sau đó lại đưa ra câu hỏi khác: nếu CPU và RAM vẫn còn dư thì có cần thay thiết bị không?
Câu trả lời không nằm ở utilization một mình. EOS/EOL, supportability, dependency, khả năng thay thế và recovery path cũng là risk. Có những hệ thống nhìn rất “khỏe” trên graph nhưng về mặt lifecycle đã bắt đầu tạo áp lực cho vận hành.
2025–2026: những bài học cũ xuất hiện trong công việc mới
Sang giai đoạn sau, công việc của mình trải rộng hơn: Monitoring/NOC, centralized logging, backup và restore test, Microsoft 365/identity, endpoint security, bastion access, Proxmox/PBS và automation.
Nhưng những câu hỏi lại khá quen. Monitoring có thật sự phản ánh service không? Backup job Success có restore được không? Bastion có cần full sudo không? Tunnel UP có đồng nghĩa application reachability không? HA role đã chuyển nhưng user có làm việc bình thường không?
Nhìn lại, mình nhớ bài học hơn là tên thiết bị
Peplink làm mình nhớ đến rollback. Palo Alto nhắc mình phải đi hết đến service validation. FortiGate và IPS cho thấy Security phải nhìn theo traffic path. Capacity Assessment kéo câu chuyện từ performance sang lifecycle. Monitoring và Backup lại buộc mình kiểm tra xem trạng thái “xanh” có thật sự đại diện cho khả năng vận hành hay không.
Vendor và công nghệ vẫn quan trọng vì đó là công cụ mình dùng mỗi ngày. Nhưng nếu phải chọn thứ còn ở lại lâu hơn sau một project, mình chọn cách đặt câu hỏi về dependency, failure, validation và recovery.
Những project trong bài chỉ là vài dấu mốc gần đây. Mỗi cái còn nhiều chi tiết riêng, và một số câu chuyện mình đã tách thành các bài riêng để viết kỹ hơn.
Ghi lại từ những trải nghiệm thực tế của mình trong quá trình làm Infrastructure — những câu chuyện vẫn còn tiếp tục.
Đọc tiếp: Xây dựng Enterprise NOC thực dụng →