Network & System Administrator

Bắt đầu từ RPO/RTO của từng hệ thống, rồi áp quy tắc 3-2-1: 3 bản sao dữ liệu, trên 2 loại phương tiện, 1 bản ở nơi khác.

• Có ít nhất một bản bất biến hoặc tách rời (offline, immutable) để chống ransomware mã hoá luôn cả backup.
• Kết hợp full và incremental; database dùng công cụ backup riêng để dữ liệu nhất quán.
• Phân quyền: tài khoản backup không dùng chung với tài khoản quản trị domain.
• Mã hoá bản backup, giám sát job thất bại.
• Diễn tập khôi phục định kỳ và đo thời gian thực tế.

Hay sai: coi RAID hoặc snapshot là backup. RAID không chống xoá nhầm; snapshot nằm cùng hệ thống với dữ liệu gốc.

Mục tiêu là thu nhỏ bề mặt tấn công và có khả năng phát hiện bất thường.

• Cập nhật hệ thống, bật cập nhật bảo mật tự động; gỡ dịch vụ không dùng.
• SSH: chỉ đăng nhập bằng key, tắt đăng nhập root và mật khẩu, giới hạn IP nguồn hoặc đi qua VPN/bastion.
• Firewall (nftables, ufw, security group) chỉ mở port cần thiết.
• Tài khoản riêng cho từng người, dùng sudo, không chia sẻ tài khoản.
• Chống dò mật khẩu (fail2ban), bật SELinux/AppArmor nếu ứng dụng hỗ trợ.
• Đẩy log sang hệ thống tập trung, giám sát đăng nhập và thay đổi file quan trọng.

Người phỏng vấn muốn nghe: làm bằng script hoặc Ansible để mọi server giống nhau, không làm tay từng máy.

Ưu tiên khôi phục, giao tiếp rõ ràng, rồi mới tìm nguyên nhân và khắc phục tận gốc.

1. Báo cho người dùng và quản lý biết đang xử lý, ước lượng thời gian.
2. Kiểm tra nhanh: nguồn điện, đèn cổng, console vào được không, log thiết bị.
3. Nghi vòng lặp L2 (broadcast storm): rút dây gần đây, kiểm tra STP.
4. Hỏng phần cứng: thay bằng thiết bị dự phòng, nạp lại cấu hình đã backup.
5. Sau sự cố: viết báo cáo, xác định điểm lỗi đơn, đề xuất dự phòng (stack/hai switch lõi, nguồn kép, UPS), quy trình thay đổi cấu hình có duyệt.

Người phỏng vấn muốn nghe: có backup cấu hình và tài liệu sẵn, không phải dựng lại từ trí nhớ.

Dùng mô hình landing zone: tách account (AWS), subscription (Azure) hoặc project (GCP) theo môi trường và team để cô lập quyền, chi phí và phạm vi sự cố.

• Quản lý tập trung bằng AWS Organizations, Azure Management Groups, GCP Organization/Folder.
• Áp guardrail ở cấp tổ chức: chặn region không dùng, bắt buộc mã hoá, cấm tắt log audit (SCP, Azure Policy, Organization Policy).
• Đăng nhập tập trung qua SSO, cấp quyền theo nhóm.
• Tài khoản riêng cho log audit và bảo mật, team ứng dụng không xoá được.
• Mạng nối qua hub (Transit Gateway, hub-spoke VNet, Shared VPC).
• Tag bắt buộc để phân bổ chi phí.

Người phỏng vấn muốn nghe: cân bằng giữa tự chủ của team và kiểm soát tập trung.

Multi-cloud có lý do chính đáng nhưng chi phí vận hành rất lớn; cần hỏi rõ mục tiêu trước khi đồng ý.

Lý do hợp lý:

• Yêu cầu pháp lý hoặc khách hàng chỉ định nhà cung cấp.
• Dùng dịch vụ đặc thù tốt nhất của từng bên.
• Công ty sáp nhập, mỗi bên đã dùng một cloud.

Cái giá:

• Đội phải giỏi hai nền tảng, IAM và mạng khác nhau.
• Chi phí truyền dữ liệu giữa cloud.
• Chỉ dùng mẫu số chung, mất lợi thế dịch vụ managed.

Giảm phụ thuộc thường chỉ cần container, Terraform và tránh API độc quyền ở phần lõi.

Người phỏng vấn muốn nghe: biết hỏi "để giải quyết vấn đề gì", không trả lời có/không ngay.

OSI có 7 tầng: Physical, Data Link, Network, Transport, Session, Presentation, Application. Thực tế người ta hay dùng mô hình TCP/IP 4 tầng, nhưng vẫn gọi tên theo OSI.

• Switch (L2): chuyển frame theo địa chỉ MAC; switch L3 có thêm định tuyến.
• Router (L3): định tuyến gói theo địa chỉ IP giữa các mạng.
• Firewall: lọc ở L3/L4 (IP, port); firewall thế hệ mới đọc được tới L7 (ứng dụng, URL).
• TCP/UDP ở L4; HTTP, DNS ở L7.

Người phỏng vấn muốn nghe: dùng OSI để khoanh vùng sự cố, ví dụ "ping được nhưng không mở được web" là vấn đề từ L4 trở lên.

TCP có kết nối (bắt tay 3 bước), đảm bảo thứ tự và gửi lại gói mất; UDP không kết nối, không đảm bảo, nhưng nhẹ và độ trễ thấp.

• TCP: HTTP/HTTPS (trừ HTTP/3), SSH (22), SMTP, RDP, database.
• UDP: DNS (53, chuyển sang TCP khi trả lời lớn), DHCP (67/68), NTP (123), VoIP, game, video call.
• HTTP/3 chạy trên QUIC, mà QUIC dựa trên UDP.

Hay sai: chỉ mở TCP 53 hoặc UDP 53 trên firewall cho DNS server; nên mở cả hai.

DHCP gồm 4 bước DORA: Discover (máy phát broadcast tìm server), Offer (server đề nghị IP), Request (máy xin IP đó), Acknowledge (server xác nhận, kèm gateway, DNS, thời hạn lease).

IP 169.254.x.x (APIPA) nghĩa là máy không liên lạc được DHCP server. Kiểm tra:

• Cáp, cổng switch, Wi-Fi có kết nối không.
• Cổng switch có đúng VLAN không.
• DHCP server còn chạy, scope còn IP trống không.
• Khác VLAN thì router/switch L3 đã cấu hình DHCP relay (ip helper-address) chưa.

Người phỏng vấn muốn nghe: đi từ tầng vật lý lên, không vội cài lại máy.

Khác nhau ở chỗ bạn tự quản lý tới tầng nào: IaaS bạn lo từ hệ điều hành trở lên, PaaS bạn chỉ lo code và dữ liệu, SaaS bạn chỉ dùng phần mềm.

• IaaS: máy ảo EC2, Azure Virtual Machines, Compute Engine.
• PaaS: Elastic Beanstalk, Azure App Service, Cloud Run, các DB quản lý sẵn như RDS, Cloud SQL.
• SaaS: email, bộ văn phòng, CRM dùng qua trình duyệt.

Người phỏng vấn muốn nghe: mô hình trách nhiệm chung (shared responsibility). Nhà cung cấp lo hạ tầng vật lý; cấu hình bảo mật, quyền truy cập và dữ liệu vẫn là việc của bạn ở mọi mô hình.

Dùng STAR: Situation (bối cảnh), Task (nhiệm vụ), Action (bạn làm gì), Result (kết quả). Phần Action nên chiếm nhiều nhất.

Câu mẫu:

• S: "Lead muốn dùng một thư viện mới cho module báo cáo, em thấy thư viện đó còn ít người dùng và lo về bảo trì."
• T: "Em cần nêu rủi ro mà không làm chậm tiến độ."
• A: "Em gặp riêng anh, đưa so sánh hai phương án và đề xuất làm thử một bản nhỏ trong hai ngày để đánh giá."
• R: "Kết quả thử cho thấy thư viện cũ đáp ứng đủ, anh đồng ý giữ lại. Từ đó team có thói quen làm bản thử trước khi đổi công nghệ."

Người phỏng vấn muốn nghe: bạn tranh luận bằng dữ liệu, tôn trọng người khác, và chấp nhận quyết định cuối cùng kể cả khi không theo ý mình.