IT System Engineer & Infrastructure Engineer

Mục tiêu là thu nhỏ bề mặt tấn công và có khả năng phát hiện bất thường.

• Cập nhật hệ thống, bật cập nhật bảo mật tự động; gỡ dịch vụ không dùng.
• SSH: chỉ đăng nhập bằng key, tắt đăng nhập root và mật khẩu, giới hạn IP nguồn hoặc đi qua VPN/bastion.
• Firewall (nftables, ufw, security group) chỉ mở port cần thiết.
• Tài khoản riêng cho từng người, dùng sudo, không chia sẻ tài khoản.
• Chống dò mật khẩu (fail2ban), bật SELinux/AppArmor nếu ứng dụng hỗ trợ.
• Đẩy log sang hệ thống tập trung, giám sát đăng nhập và thay đổi file quan trọng.

Người phỏng vấn muốn nghe: làm bằng script hoặc Ansible để mọi server giống nhau, không làm tay từng máy.

Ưu tiên khôi phục, giao tiếp rõ ràng, rồi mới tìm nguyên nhân và khắc phục tận gốc.

1. Báo cho người dùng và quản lý biết đang xử lý, ước lượng thời gian.
2. Kiểm tra nhanh: nguồn điện, đèn cổng, console vào được không, log thiết bị.
3. Nghi vòng lặp L2 (broadcast storm): rút dây gần đây, kiểm tra STP.
4. Hỏng phần cứng: thay bằng thiết bị dự phòng, nạp lại cấu hình đã backup.
5. Sau sự cố: viết báo cáo, xác định điểm lỗi đơn, đề xuất dự phòng (stack/hai switch lõi, nguồn kép, UPS), quy trình thay đổi cấu hình có duyệt.

Người phỏng vấn muốn nghe: có backup cấu hình và tài liệu sẵn, không phải dựng lại từ trí nhớ.

OSI có 7 tầng: Physical, Data Link, Network, Transport, Session, Presentation, Application. Thực tế người ta hay dùng mô hình TCP/IP 4 tầng, nhưng vẫn gọi tên theo OSI.

• Switch (L2): chuyển frame theo địa chỉ MAC; switch L3 có thêm định tuyến.
• Router (L3): định tuyến gói theo địa chỉ IP giữa các mạng.
• Firewall: lọc ở L3/L4 (IP, port); firewall thế hệ mới đọc được tới L7 (ứng dụng, URL).
• TCP/UDP ở L4; HTTP, DNS ở L7.

Người phỏng vấn muốn nghe: dùng OSI để khoanh vùng sự cố, ví dụ "ping được nhưng không mở được web" là vấn đề từ L4 trở lên.

Multi-cloud có lý do chính đáng nhưng chi phí vận hành rất lớn; cần hỏi rõ mục tiêu trước khi đồng ý.

Lý do hợp lý:

• Yêu cầu pháp lý hoặc khách hàng chỉ định nhà cung cấp.
• Dùng dịch vụ đặc thù tốt nhất của từng bên.
• Công ty sáp nhập, mỗi bên đã dùng một cloud.

Cái giá:

• Đội phải giỏi hai nền tảng, IAM và mạng khác nhau.
• Chi phí truyền dữ liệu giữa cloud.
• Chỉ dùng mẫu số chung, mất lợi thế dịch vụ managed.

Giảm phụ thuộc thường chỉ cần container, Terraform và tránh API độc quyền ở phần lõi.

Người phỏng vấn muốn nghe: biết hỏi "để giải quyết vấn đề gì", không trả lời có/không ngay.

Khác nhau ở chỗ bạn tự quản lý tới tầng nào: IaaS bạn lo từ hệ điều hành trở lên, PaaS bạn chỉ lo code và dữ liệu, SaaS bạn chỉ dùng phần mềm.

• IaaS: máy ảo EC2, Azure Virtual Machines, Compute Engine.
• PaaS: Elastic Beanstalk, Azure App Service, Cloud Run, các DB quản lý sẵn như RDS, Cloud SQL.
• SaaS: email, bộ văn phòng, CRM dùng qua trình duyệt.

Người phỏng vấn muốn nghe: mô hình trách nhiệm chung (shared responsibility). Nhà cung cấp lo hạ tầng vật lý; cấu hình bảo mật, quyền truy cập và dữ liệu vẫn là việc của bạn ở mọi mô hình.

TCP có kết nối (bắt tay 3 bước), đảm bảo thứ tự và gửi lại gói mất; UDP không kết nối, không đảm bảo, nhưng nhẹ và độ trễ thấp.

• TCP: HTTP/HTTPS (trừ HTTP/3), SSH (22), SMTP, RDP, database.
• UDP: DNS (53, chuyển sang TCP khi trả lời lớn), DHCP (67/68), NTP (123), VoIP, game, video call.
• HTTP/3 chạy trên QUIC, mà QUIC dựa trên UDP.

Hay sai: chỉ mở TCP 53 hoặc UDP 53 trên firewall cho DNS server; nên mở cả hai.

DHCP gồm 4 bước DORA: Discover (máy phát broadcast tìm server), Offer (server đề nghị IP), Request (máy xin IP đó), Acknowledge (server xác nhận, kèm gateway, DNS, thời hạn lease).

IP 169.254.x.x (APIPA) nghĩa là máy không liên lạc được DHCP server. Kiểm tra:

• Cáp, cổng switch, Wi-Fi có kết nối không.
• Cổng switch có đúng VLAN không.
• DHCP server còn chạy, scope còn IP trống không.
• Khác VLAN thì router/switch L3 đã cấu hình DHCP relay (ip helper-address) chưa.

Người phỏng vấn muốn nghe: đi từ tầng vật lý lên, không vội cài lại máy.

Đi từ gần ra xa và từ tầng thấp lên cao, mỗi bước loại trừ một khả năng.

ip a                 # hoặc ipconfig /all: có IP, gateway, DNS?
ping <gateway>       # mạng nội bộ ổn?
ping 1.1.1.1         # ra Internet được bằng IP?
nslookup example.com # DNS phân giải được?

• Ping IP được mà tên miền không được: lỗi DNS.
• Chỉ một người bị hay cả phòng: cả phòng thì nghi switch, DHCP, đường truyền.
• Chỉ một trang web: proxy, firewall, hoặc chính trang đó.
• Dùng tracert/traceroute để xem gói dừng ở chặng nào.

Người phỏng vấn muốn nghe: hỏi thêm thông tin trước (ai, từ khi nào, có gì thay đổi).

Region là một vùng địa lý; mỗi region có nhiều Availability Zone, là các trung tâm dữ liệu tách biệt về điện, mạng, làm mát nhưng nối với nhau độ trễ thấp.

Để chịu được mất một AZ:

• Chạy ứng dụng ở ít nhất 2 AZ, đứng sau load balancer.
• Dùng Auto Scaling group/managed instance group trải trên nhiều AZ.
• Database bật chế độ Multi-AZ (bản standby ở AZ khác, failover tự động).
• Ứng dụng stateless, session để ở Redis hoặc DB.

Hay sai: đặt NAT Gateway hoặc một thành phần duy nhất ở một AZ, tạo điểm lỗi đơn mà không để ý.

Luôn có câu hỏi. Đây là cơ hội thể hiện sự quan tâm và cũng là lúc bạn đánh giá công ty.

Câu hỏi nên chuẩn bị (chọn 2–3 câu hợp với người đang phỏng vấn):

• "Một ngày làm việc của vị trí này thường như thế nào? Team có bao nhiêu người, gồm những vai trò gì?"
• "Ba tháng đầu, anh/chị kỳ vọng người vào vị trí này làm được gì?"
• "Team đang gặp thách thức kỹ thuật hoặc quy trình nào lớn nhất?"
• "Quy trình release và code review của team ra sao?"
• "Công ty đánh giá hiệu suất và review lương theo chu kỳ nào?"
• "Vì sao vị trí này đang tuyển: mở rộng team hay thay người?"

Hay sai: "Dạ không ạ", hoặc chỉ hỏi về nghỉ phép, lương thưởng ngay ở vòng kỹ thuật. Chuyện chế độ nên hỏi kỹ với HR.