---
# System prepended metadata

title: "Nếu thích MCSA - hãy thử nha???\U0001F604 \U0001F603 \U0001F601 \U0001F973 \U0001F389"

---

# Nếu bạn có 5h để thực hiện bài lab này bạn có làm xong không? 🚀 **Khám phá ngay!** 👉

Bài Lab này được thiết kế nhằm cung cấp **một cái nhìn tổng quan và thực hành đầy đủ về quản trị hệ thống Windows Server và mạng doanh nghiệp** theo chương trình MCSA (mà cá nhân tôi đã được học).  

Nội dung Lab bao gồm:

- **Cấu hình Domain Controller (DC1)**: tạo Domain, quản lý User/Group, phân quyền, bật Recycle Bin và thiết lập Group Policy.
- **Quản lý File Server**: tạo cây thư mục, phân quyền dữ liệu theo User và phòng ban, ánh xạ ổ đĩa mạng, cấu hình hạn ngạch lưu trữ.
- **Thiết lập Web Server (SVR1)**: cài IIS, tạo hai website, cấu hình hostname, quản lý quyền truy cập nội bộ và public.
- **Cấu hình Firewall Sophos**: mô hình 3-Leg Firewall, NAT, rule truy cập Internet và nội bộ, Web Protection với lọc nội dung web.
- **Cấu hình VPN và backup**: thiết lập Client-to-Site VPN, chứng thực qua RADIUS, phân phát IP cho client và sao lưu cấu hình Firewall.


Mục tiêu của bài Lab là giúp người học **thực hành toàn diện các thao tác quản trị hệ thống**, từ việc triển khai Domain Controller, quản lý User/Group, File Server, đến thiết lập Web Server và Firewall, qua đó củng cố kiến thức và kỹ năng vận hành môi trường mạng doanh nghiệp.

## Mục lục
1. [Cấu hình trên máy DC1](#cấu-hình-trên-máy-dc1)
2. [Cấu hình trên máy SVR1](#cấu-hình-trên-máy-svr1)
3. [Cấu hình trên Firewall](#cấu-hình-trên-firewall)
---
## Đây là mô hình bài LAB

![Untitled Diagram3.drawio](https://hackmd.io/_uploads/BkZ3goTill.png)

## I. CẤU HÌNH TRÊN MÁY DC1

### 1. Xây dựng Domain-Join máy trạm
- Máy **DC1** là **Domain Controller** quản lý miền `Cty.net`.

#### Hình minh họa quá trình:
- Setup: Add Roles 
![Screenshot 2025-09-17 081744](https://hackmd.io/_uploads/SkG2xdqsge.png)
- Nâng cấp lên DC: Promote this server 
![Screenshot 2025-09-17 081954](https://hackmd.io/_uploads/SyCeZd5jll.png)
![Screenshot 2025-09-17 082026](https://hackmd.io/_uploads/SyMGbucjll.png)
![Screenshot 2025-09-17 082834](https://hackmd.io/_uploads/BysGW_5igg.png)
- Cài đặt DNS tự động trong quá trình nâng cấp DC
![Screenshot 2025-09-17 083015](https://hackmd.io/_uploads/r1P7-O9ilx.png)
- Gia nhập máy trạm Windows10 (CL) vào Domain
![Screenshot 2025-09-17 103931](https://hackmd.io/_uploads/ryNoP_9ogx.png)
- Tạo **Global Groups** và User:

| Nhóm       | User                        |
|------------|----------------------------|
| kinhdoanh  | tpkd, kd01, kd02           |
| ketoan     | tpkt, kt01, kt02           |
| IT         | administrator, it01, it02 |

- Có thể sử dụng `user.bat` để tạo nhanh user/group  
![Screenshot 2025-09-17 084527](https://hackmd.io/_uploads/rybPbO9jgx.png)

### 2. Phân quyền, cấu hình thuộc tính User

- **it01**: Quản lý Account trong Domain  
![Screenshot 2025-09-17 084737](https://hackmd.io/_uploads/rkrmf_cjxe.png)
- **it02**: Backup dữ liệu 
![Screenshot 2025-09-17 084821](https://hackmd.io/_uploads/HJAmz_9sgx.png)
- **kd01**: Chỉ đăng nhập trên máy `PC-KD01` 
![Screenshot 2025-09-17 084922](https://hackmd.io/_uploads/ByEVMu9ogg.png)
- **kt01**: Chỉ đăng nhập trong giờ hành chính (9:00 – 16:00)
![Screenshot 2025-09-17 085556](https://hackmd.io/_uploads/ByGBMdcjxe.png)
- Enable **Recycle Bin** trong Active Directory  
![Screenshot 2025-09-17 090014](https://hackmd.io/_uploads/SJjsfu9slg.png)
![Screenshot 2025-09-17 090059](https://hackmd.io/_uploads/B1L3Guqoex.png)

### 3. Cấu hình Group Policy 
- **Password Policy**: tối thiểu 3 ký tự, không yêu cầu phức tạp, tối đa 45 ngày  
![Screenshot 2025-09-17 090442](https://hackmd.io/_uploads/SyR87u5igl.png)
- **Cấm nhóm Ketoan** sử dụng Firefox, Chrome, truy cập Control Panel, ghi dữ liệu ra USB (trừ tpkt) 
![Screenshot 2025-09-17 091714](https://hackmd.io/_uploads/H1_v7O9jee.png)
![Screenshot 2025-09-17 092238](https://hackmd.io/_uploads/rJswmdcsxe.png)
- Đến đây chúng ta cần **filter** lại các đối tượng sẽ bị áp dụng **GPO** này
![Screenshot 2025-09-17 092512](https://hackmd.io/_uploads/r1sd7Ocslx.png)
### Lọc đối tượng áp dụng GPO – Cấu hình nâng cao
- Xác định các **Users/Groups** sẽ áp dụng GPO.
- **Ngoại lệ:** user `tpkt` **không bị áp dụng GPO**.
  - Thao tác trên GPO:
    1. Mở **Group Policy Management**.
    2. Chọn GPO cần cấu hình.
    3. Vào **Delegation** -> **Advanced**.
    4. Chọn user `tpkt`.
    5. Tick **Deny Apply Group Policy**.  
![Screenshot 2025-09-17 093241](https://hackmd.io/_uploads/ryzYm_qsee.png)

### 4. Cấu hình lưu trữ - phân quyền truy cập dữ liệu
- **Tạo Volume RAID5** từ 4 ổ 20GB, đặt tên `DuLieu`, ký tự `G:`, FS = NTFS  
![Screenshot 2025-09-17 094822](https://hackmd.io/_uploads/SyANBu5sex.png)
-	Xây dựng DC1 là File Server quản lý dữ liệu tập trung theo yêu cầu sau:
- **Tạo cây thư mục trên G:** 
![Screenshot 2025-09-17 095943](https://hackmd.io/_uploads/S19FE_5sle.png)

**Share Data** với `data`, quyền Everyone: Full  
> **Lưu ý:**  
> - Quyền **Share** xác định ai có thể **thấy được file/thư mục được chia sẻ** trên mạng.  
> - Quyền **Truy cập (Read/Write/Execute)** được quản lý ở tab **Security**, quyết định **mức độ thao tác** trên file/thư mục đó.
- Phân quyền trên Data:  
  - Mỗi User toàn quyền trên thư mục của mình 
### Tự động tạo thư mục cho user trên File Server
- Thay vì **tạo thủ công thư mục** cho từng user, ta có thể cấu hình để **mỗi user mới được tạo tự động có một thư mục trên File Server**.
  - Thao tác:
    1. Vào **User Properties** → **Profile** tab.
    2. Tại **Home folder**, chọn **Connect** và gán ổ mạng tương ứng (ví dụ: `Z:`) tới đường dẫn trên File Server.
    3. Sau khi Apply, để tránh lỗi, kiểm tra lại và đổi về **Local Path** → bấm **OK**.
- Kết quả: Khi user đăng nhập lần đầu, **thư mục cá nhân sẽ tự động được tạo trên File Server**.    
![Screenshot 2025-09-17 095334](https://hackmd.io/_uploads/H1aXS_cjlx.png)
![Screenshot 2025-09-17 101217](https://hackmd.io/_uploads/Syi7U_cslx.png)
 - Thư mục **PUBLIC-CTY, PUBLIC-PKD, PUBLIC-PKT**: mọi người ghi dữ liệu, chỉ chủ sở hữu có toàn quyền  
![Screenshot 2025-09-17 101412](https://hackmd.io/_uploads/rk84Uuqjel.png)

### Phân quyền trên thư mục Public Phòng Ban
- Tương tự như **PUBLIC-CTY**, cấu hình **PUBLIC-PKD** và **PUBLIC-PKT**:  
  - Chỉ xét quyền cho **User của Phòng Ban tương ứng**.
- Lưu ý đặc biệt (**Special Permissions**):  
  - **User khác không được phép xoá hoặc sửa file của user khác**.  
  - Chỉ chủ sở hữu file mới có toàn quyền trên file đó.  
![Screenshot 2025-09-17 101714](https://hackmd.io/_uploads/HJnVLO9sxg.png)
![Screenshot 2025-09-17 102032](https://hackmd.io/_uploads/Bk7HIuqixx.png)

### 5. Tối ưu File Server
- **Ánh xạ ổ đĩa mạng tự động qua GPO:**

| Thư mục           | Ổ đĩa | Tên       |
|------------------|-------|-----------|
| Riêng             | H:    | CaNhan    |
| Public Phòng Ban  | K:    | PhongBan  |
| Public Cty        | P:    | CongTy    |

![Screenshot 2025-09-17 103029](https://hackmd.io/_uploads/r1Pcw_5sxe.png)
### Kiểm tra ổ đĩa mạng được ánh xạ

- Sau khi ánh xạ ổ đĩa mạng cho user, kiểm tra trên máy tính của user:  
- Các ổ được ánh xạ đều có dung lượng **30GB**, bằng với dung lượng của **ổ G:** trên File Server.  
![Screenshot 2025-09-17 105745](https://hackmd.io/_uploads/H1T-OOcoel.png)
- **Hạn ngạch lưu trữ:** Public = 3GB, Thư mục riêng = 2GB  
![Screenshot 2025-09-17 110909](https://hackmd.io/_uploads/B1tMuuqjeg.png)
![Screenshot 2025-09-17 111202](https://hackmd.io/_uploads/S1t4uucixl.png)
![Screenshot 2025-09-17 111417](https://hackmd.io/_uploads/SJ9BOu9jgg.png)
- Kiểm tra lại thấy dung lượng các ổ ánh xạ về user đã được hạn gạch  
![Screenshot 2025-09-17 111531](https://hackmd.io/_uploads/rJzI__coxg.png)
- **Chặn lưu các file Media/Executable trên Public**  
![Screenshot 2025-09-17 111810](https://hackmd.io/_uploads/SkVP__5iex.png)
![Screenshot 2025-09-17 111738](https://hackmd.io/_uploads/ryC8du9oxx.png)
## II. CẤU HÌNH TRÊN MÁY SVR1

### 1. Cài IIS và Website
- Cài IIS, tạo 2 website (SVR1 không join domain) 
- Thư mục trên G: DC1: `WEB-CTY.VN`, `WEB-CTY.NET`
![Screenshot 2025-09-17 113524](https://hackmd.io/_uploads/BJa1Yd9oee.png)
- Tạo homepage: `webnet.htm` (NET), `webgov.htm` (GOV)  
- Share thư mục WEBSITE với `userweb` Full 
### 2. IIS Host
- Host 2 site theo Hostname:  
  - `www.cty.vn` → `WEB-CTY.VN`  
  - `www.cty.net` → `WEB-CTY.NET`  
### Lưu trữ dữ liệu website trên File Server
    Nội dung website sẽ được **lưu trữ trên File Server**, do đó Web Server cần **kết nối tới File Server** để lấy dữ liệu.
    Trên File Server, cần **share thư mục dữ liệu** cho Web Server.
    Trên cả 2 máy chủ (Web Server và File Server) phải có **user giống nhau về username và password**. 
    - Ví dụ trong lab: `userweb` / `abc123!`
- Sau khi cấu hình, cần **Test Connect** từ Web Server tới File Server để đảm bảo Web Server có thể truy cập dữ liệu.  
![Screenshot 2025-09-17 125147](https://hackmd.io/_uploads/Hk48c_qogg.png)
![Screenshot 2025-09-17 125255](https://hackmd.io/_uploads/SJkS5O9ige.png)
![Screenshot 2025-09-17 125430](https://hackmd.io/_uploads/Hyt4c_5sgl.png)
- Cho phép mọi người duyệt web.  
  - Lưu ý: Để truy cập các trang web theo **tên miền**, cần cấu hình **DNS** trên hệ thống:  
  - Tạo các **bản ghi (A/Host Record)** trỏ về **IP của Web Server**.  
![Screenshot 2025-09-17 130927](https://hackmd.io/_uploads/Hkk75_qogl.png)
  - Truy cập web thành công
![Screenshot 2025-09-17 131522](https://hackmd.io/_uploads/rkWb9d9sxx.png)
### Tạo thư mục nội bộ trên Web Server
- Trong thư mục `WEB-CTYXX.GOV`:
  - Tạo thư mục **noibogov**, chứa các tập tin/văn bản nội bộ.  
  - Cấu hình để **cho phép duyệt thư mục này**.
- Trong thư mục `WEB-CTYXX.NET`:
  - Tạo thư mục **noibonet**, chứa tập tin `noibonet.htm` là trang tin nội bộ.  
  - Cấu hình để **cho phép truy cập thư mục này**.
- Sau khi cấu hình xong, tiến hành **truy cập web nội bộ** hoặc các thư mục được chia sẻ qua web để kiểm tra.  
![Screenshot 2025-09-17 132320](https://hackmd.io/_uploads/SJO-c_cjge.png)

## III. CẤU HÌNH TRÊN FIREWALL
### 1. Cài Firewall – Thiết lập NIC – Firewall Rule
- Cài Firewall Sophos UTM  
![Screenshot 2025-09-17 115701](https://hackmd.io/_uploads/r1Toq_5jgx.png)
- Mô hình 3-Leg Firewall:  Nic1-Internal,  Nic2-DMZ, Nic3-External   
![Screenshot 2025-09-17 123918](https://hackmd.io/_uploads/rkS25_5oeg.png)
- NAT tất cả các vùng ra External   
![Screenshot 2025-09-17 124037](https://hackmd.io/_uploads/Sk_T5d5slx.png)
- Firewall Rules:  
  - Internal truy cập Web, Mail, FTP  
  - Chỉ DC1 truy vấn DNS ngoài Internet, các máy khác truy vấn DNS nội bộ  
  - Web Server truy cập dữ liệu (CIFS) và DNS trên DC1   
![Screenshot 2025-09-20 090600](https://hackmd.io/_uploads/rJeQOXhjxl.png)

### 2. Cấu hình Web Protection – Publish Server
- Bật Filter Web theo chế độ **Transparent Mode** (không cần chứng thực user)  
  > Khi bật chế độ Filter Web, Sophos sẽ hoạt động như **Forward Proxy**   
![Screenshot 2025-09-20 090644](https://hackmd.io/_uploads/r1WEOmholl.png)
- Cấu hình Policy cho vùng **Internal**:  
  - Chặn website `GAMES` và `NUDE` 
![Screenshot 2025-09-20 092652](https://hackmd.io/_uploads/S1pSdQ2ile.png)
  - Chặn `youtube.com`  và `facebook.com`    
![Screenshot 2025-09-20 092805](https://hackmd.io/_uploads/S1eD_7hjle.png)
  - Chặn`Download>300 MB`    
![Screenshot 2025-09-20 092830](https://hackmd.io/_uploads/Bkuvumhoxg.png)
  - Bật `Single Scan Antivirus`  
![Screenshot 2025-09-20 092905](https://hackmd.io/_uploads/SJldOQ2iel.png)
  - Policy áp dụng **toàn thời gian**  
![Screenshot 2025-09-20 093111](https://hackmd.io/_uploads/ByquOmnsle.png)
-	Publish Web Server theo yêu cầu sau:
- Publish Web Server:  
  - Cho phép từ **ngoài Internet** truy cập 2 Website trên SVR1  
  - Sophos làm **Reverse Proxy** 
  > Reverse Proxy hỗ trợ nhiều trang web cùng chạy trên 1 port  
![Screenshot 2025-09-20 094058](https://hackmd.io/_uploads/Hy-5_73oel.png)
![Screenshot 2025-09-20 094135](https://hackmd.io/_uploads/SkD5Om3jlx.png)
![Screenshot 2025-09-20 094801](https://hackmd.io/_uploads/By3q_Q2sgl.png)
- Join Sophos vào Domain `Cty.net`  
![Screenshot 2025-09-20 091608](https://hackmd.io/_uploads/rJTsOQ3oge.png)
![Screenshot 2025-09-20 091808](https://hackmd.io/_uploads/H1ZhOmhogl.png)
![Screenshot 2025-09-20 092152](https://hackmd.io/_uploads/BJK3umhogx.png)
![Screenshot 2025-09-20 092245](https://hackmd.io/_uploads/S1bTum3sxe.png)
### 3. Cấu hình VPN – Backup cấu hình

- Cấu hình VPN Server trên Sophos (Client to Site)  
- Xác thực User qua **RADIUS** (Server là DC, Sophos là client)   
![Screenshot 2025-09-20 095537](https://hackmd.io/_uploads/HJi0O72oll.png)
![Screenshot 2025-09-20 095853](https://hackmd.io/_uploads/HJ-kKm2jxl.png)
![Screenshot 2025-09-20 095923](https://hackmd.io/_uploads/BJ5gt7nolg.png)
![Screenshot 2025-09-20 100430](https://hackmd.io/_uploads/H1UZYX3sex.png)
- IP cấp phát cho client: **192.168.100.0/24** 
- Giao thức: **L2TP/IPSec**, Preshare Key: `11223344`   
![Screenshot 2025-09-20 101308](https://hackmd.io/_uploads/r1XfY7holl.png)
- Cho phép user **tpkd** và **tpkt** sử dụng VPN  
![Screenshot 2025-09-20 102724](https://hackmd.io/_uploads/BJsBtX2olg.png)
- Cho phép VPN Client kết nối đến **mọi vùng mạng**   
![Screenshot 2025-09-20 101517](https://hackmd.io/_uploads/rkuVFQ3sgx.png)
- DNS cho VPN Client: IP của **máy DC**  
- **Sao lưu cấu hình** Sophos Firewall vào máy DC1  
![Screenshot 2025-09-20 101913](https://hackmd.io/_uploads/By1HK73ixe.png)
![Screenshot 2025-09-20 103428](https://hackmd.io/_uploads/B1HIYmnoxx.png)