Internet doanh nghiệp nên dùng IP tĩnh hay IP động

Khi đăng ký đường truyền Internet cho văn phòng hoặc nhà máy, doanh nghiệp thường được nhà cung cấp tư vấn hai lựa chọn:

• IP động – Dynamic IP
• IP tĩnh – Static IP

Với nhu cầu sử dụng Internet thông thường như:

• truy cập website;
• Microsoft 365;
• Google Workspace;
• Teams;
• Zoom;
• phần mềm cloud;

IP động thường vẫn hoạt động tốt.

Tuy nhiên, khi doanh nghiệp bắt đầu triển khai:

• Firewall;
• VPN Site-to-Site;
• Remote Access VPN;
• Camera;
• NAS;
• Server;
• ERP nội bộ;
• kết nối giữa nhiều chi nhánh;

thì Public IP tĩnh trở nên quan trọng hơn rất nhiều.

Vậy Internet doanh nghiệp nên chọn IP tĩnh hay IP động?

Câu trả lời phụ thuộc vào cách doanh nghiệp đang sử dụng hệ thống mạng.

IP động là gì?

IP động – Dynamic IP – là địa chỉ IP Internet có thể thay đổi theo thời gian.

Ví dụ hôm nay Public IP của doanh nghiệp là:

113.x.x.x

Sau khi modem reconnect hoặc ISP cập nhật hệ thống, địa chỉ có thể thay thành:

171.x.x.x

Người dùng thông thường gần như không nhận thấy sự thay đổi này.

Máy tính vẫn có thể:

• truy cập Internet;
• gửi email;
• họp Teams;
• sử dụng Microsoft 365;
• truy cập website.

Vì phần lớn các kết nối Internet của người dùng đều được khởi tạo từ bên trong mạng doanh nghiệp ra ngoài.

IP tĩnh là gì?

IP tĩnh – Static IP – là địa chỉ Public IP được nhà cung cấp Internet cấp cố định cho doanh nghiệp.

Ví dụ:

203.x.x.10

Địa chỉ này thường không thay đổi trong quá trình sử dụng dịch vụ.

Điều này rất hữu ích khi bên ngoài Internet cần kết nối vào hệ thống doanh nghiệp.

Ví dụ:

Chi nhánh
   │
Internet
   │
203.x.x.10
   │
Firewall
   │
Head Office

Nếu Public IP của Head Office thay đổi liên tục, VPN hoặc các dịch vụ từ xa có thể bị gián đoạn.

IP Public và IP Private khác nhau thế nào?

Trước khi chọn IP tĩnh hay IP động, doanh nghiệp cần phân biệt hai loại địa chỉ.

Private IP

Được sử dụng trong mạng LAN.

Ví dụ:

• 192.168.1.10
• 192.168.10.50
• 10.0.0.20
• 172.16.1.100

Private IP không được định tuyến trực tiếp trên Internet.

Public IP

Đây là địa chỉ mà Internet nhìn thấy khi doanh nghiệp kết nối ra ngoài.

Mô hình thông thường:

PC
192.168.1.20
   │
Switch
   │
Firewall
   │
Public IP
   │
Internet

Firewall hoặc router sử dụng NAT để các máy trong LAN truy cập Internet thông qua Public IP.

Khi doanh nghiệp nói cần IP tĩnh, thông thường đang nói đến Public Static IP do ISP cung cấp.

1. Văn phòng chỉ dùng Internet thông thường: IP động thường đủ

Nếu doanh nghiệp chủ yếu sử dụng:

• Email;
• Microsoft 365;
• Google Workspace;
• Web;
• Facebook;
• Teams;
• Zoom;
• SaaS;
• ERP Cloud;

thì Public IP động thường không gây vấn đề lớn.

Các kết nối đều được khởi tạo từ bên trong mạng ra Internet.

Ví dụ:

Laptop
   ↓
Firewall
   ↓
Internet
   ↓
Microsoft 365

Microsoft 365 không yêu cầu văn phòng phải có một Public IP tĩnh chỉ để người dùng gửi email hoặc sử dụng Office.

Trong trường hợp này, doanh nghiệp không nhất thiết phải trả thêm chi phí cho Static IP nếu không có nhu cầu kỹ thuật khác.

2. Có VPN Site-to-Site: nên ưu tiên IP tĩnh

Đây là một trong những trường hợp phổ biến nhất cần Static IP.

Ví dụ doanh nghiệp có:

Head Office – TP.HCM

và

Factory – Bình Dương

Hai site cần kết nối với nhau qua VPN:

Head Office
Firewall
203.x.x.10
    │
    │ IPsec VPN
    │
203.x.x.20
Firewall
Factory

Mỗi firewall thường cần biết địa chỉ Public IP của đầu bên kia.

Nếu IP thay đổi:

VPN có thể mất kết nối.

Do đó với VPN Site-to-Site, giải pháp ổn định nhất thường là:

Public Static IP tại cả hai đầu.

3. Remote Access VPN cũng nên có Public IP ổn định

Doanh nghiệp có thể cho nhân viên từ bên ngoài truy cập về hệ thống nội bộ.

Ví dụ:

Nhân viên ở nhà
      │
 Internet
      │
VPN Firewall
      │
   Office LAN

Người dùng có thể kết nối tới:

vpn.company.com

Tên miền này thường trỏ đến Public IP của firewall.

Nếu IP thay đổi liên tục, việc truy cập VPN có thể bị gián đoạn cho đến khi DNS cập nhật.

Static IP giúp hệ thống:

• ổn định hơn;
• dễ cấu hình hơn;
• dễ troubleshooting hơn;
• dễ quản lý hơn.

4. Camera giám sát từ xa có cần IP tĩnh không?

Tùy kiến trúc.

Các hệ thống camera hiện đại thường hỗ trợ:

• Cloud P2P;
• Hik-Connect;
• EZVIZ;
• cloud management;
• QR Code remote access.

Trong trường hợp này, doanh nghiệp có thể không cần Public Static IP.

Tuy nhiên, nếu hệ thống sử dụng:

• Port Forwarding;
• NAT;
• truy cập trực tiếp NVR;
• VMS server;
• kết nối camera giữa nhiều site;

thì IP tĩnh sẽ thuận tiện và ổn định hơn.

SMNET thường không khuyến khích mở trực tiếp nhiều port camera ra Internet nếu không thực sự cần thiết.

Phương án an toàn hơn thường là:

Remote User → VPN → Camera Network

thay vì:

Internet → Port Forward trực tiếp → Camera/NVR

5. Có Server hoặc NAS nội bộ: Static IP hữu ích hơn

Một số doanh nghiệp vẫn vận hành server tại văn phòng.

Ví dụ:

• File Server;
• ERP Server;
• NAS;
• Web Server;
• Application Server;
• Remote Desktop Server;
• FTP/SFTP Server.

Nếu người dùng bên ngoài cần truy cập về server nội bộ, doanh nghiệp cần một địa chỉ Internet ổn định.

Ví dụ:

erp.company.com

trỏ đến:

203.x.x.10

Nếu IP liên tục thay đổi, DNS cũng phải cập nhật liên tục.

Static IP giúp việc quản lý đơn giản hơn.

6. Firewall doanh nghiệp có cần IP tĩnh không?

Firewall không bắt buộc phải có IP tĩnh để hoạt động.

Các chức năng như:

• NAT;
• Web Filtering;
• IPS;
• Application Control;
• Antivirus;
• SD-WAN;

vẫn hoạt động với Dynamic IP.

Tuy nhiên, Static IP trở nên quan trọng khi firewall đảm nhiệm:

• VPN;
• Server Publishing;
• Remote Access;
• Site-to-Site;
• Allowlist IP;
• quản trị từ xa;
• kết nối đối tác.

Vì vậy, không nên hỏi:

“Firewall có cần IP tĩnh không?”

mà nên hỏi:

“Firewall đang cung cấp những dịch vụ gì?”

7. Đối tác yêu cầu whitelist IP: bắt buộc nên có IP tĩnh

Đây là trường hợp rất phổ biến trong môi trường B2B.

Ví dụ công ty A cho phép công ty B truy cập hệ thống ERP.

Để tăng bảo mật, công ty A chỉ cho phép:

Public IP 203.x.x.10

kết nối.

Nếu IP của công ty B thay đổi thì truy cập sẽ bị chặn.

Do đó những hệ thống sử dụng:

• IP Whitelist;
• Firewall Allowlist;
• API Whitelist;
• Banking System;
• ERP;
• Vendor Portal;

thường cần Static Public IP.

8. IP tĩnh giúp quản trị firewall dễ hơn

Ví dụ SMNET cần hỗ trợ firewall của khách hàng từ xa.

Nếu khách hàng có Static IP:

Customer Firewall
203.x.x.10

việc quản lý, giám sát hoặc VPN hỗ trợ từ xa có thể đơn giản hơn.

Nếu IP liên tục thay đổi, đội IT cần dựa vào:

• DDNS;
• Cloud Management;
• VPN outbound;
• công cụ Remote Access khác.

Không phải là không làm được, nhưng hệ thống sẽ phức tạp hơn.

9. Dynamic DNS có thay thế Static IP được không?

Trong một số trường hợp: Có.

Dynamic DNS – DDNS – cho phép hostname tự cập nhật khi Public IP thay đổi.

Ví dụ:

office.exampleddns.com

Hôm nay trỏ đến:

113.x.x.x

Ngày mai Public IP thay đổi thành:

171.x.x.x

Router hoặc firewall cập nhật DDNS để hostname trỏ về IP mới.

Mô hình:

Dynamic IP
     ↓
Firewall
     ↓
DDNS Client
     ↓
vpn.company.com

DDNS có thể phù hợp với:

• Home Office;
• văn phòng nhỏ;
• LAB;
• hệ thống không quá quan trọng.

Nhưng doanh nghiệp cần lưu ý thời gian cập nhật DNS và khả năng tương thích của từng hệ thống.

10. DDNS không giải quyết được CGNAT

Đây là vấn đề rất quan trọng.

Một số đường Internet không cấp Public IP trực tiếp cho modem/router của khách hàng mà sử dụng:

CGNAT – Carrier Grade NAT

Mô hình:

Doanh nghiệp
192.168.x.x
     │
ISP NAT
     │
Public IP
     │
Internet

Trong trường hợp này, firewall doanh nghiệp không thực sự sở hữu một Public IP riêng.

Kết quả có thể là:

• Port Forwarding không hoạt động;
• inbound VPN gặp khó khăn;
• camera direct access không hoạt động;
• server publishing không hoạt động.

DDNS chỉ cập nhật địa chỉ.

DDNS không thể tự loại bỏ CGNAT.

Nếu doanh nghiệp cần dịch vụ inbound, nên hỏi ISP:

Có cấp Public IPv4 riêng hay không?

11. IP động có thể vẫn là Public IP

Đây là điểm dễ nhầm.

Dynamic IP không đồng nghĩa với CGNAT.

Có thể tồn tại:

Public Dynamic IP

Doanh nghiệp có Public IP thật nhưng địa chỉ thay đổi.

Public Static IP

Doanh nghiệp có Public IP thật và cố định.

CGNAT

Doanh nghiệp không được cấp Public IP trực tiếp.

Ba trường hợp này rất khác nhau.

12. Làm sao kiểm tra doanh nghiệp có Public IP thật hay không?

Có thể kiểm tra Public IP trên Internet, sau đó so sánh với địa chỉ WAN trên firewall/router.

Nếu:

WAN Firewall
203.x.x.10

Public Internet
203.x.x.10

thì khả năng cao firewall đang nhận Public IP trực tiếp.

Nếu:

WAN Firewall
100.64.x.x

Public Internet
203.x.x.x

hoặc firewall nhận các địa chỉ private:

• 10.x.x.x
• 172.16.x.x
• 192.168.x.x

thì có thể hệ thống đang nằm phía sau NAT.

Tuy nhiên cũng cần kiểm tra modem ISP vì đôi khi modem đang chạy Router Mode.

13. Modem ISP nên chạy Bridge Mode hay Router Mode?

Với doanh nghiệp sử dụng firewall chuyên dụng, một mô hình thường được ưu tiên là:

ISP
 ↓
Modem / ONT
Bridge
 ↓
Firewall
Public IP
 ↓
LAN

Firewall nhận trực tiếp Public IP và quản lý:

• NAT;
• Routing;
• Firewall Policy;
• VPN;
• SD-WAN.

Nếu modem ISP chạy Router Mode:

Internet
 ↓
ISP Router
 ↓ NAT
Firewall
 ↓ NAT
LAN

hệ thống có thể phát sinh:

Double NAT

Double NAT không phải lúc nào cũng gây lỗi, nhưng có thể làm phức tạp:

• VPN;
• Port Forwarding;
• VoIP;
• Remote Access;
• Troubleshooting.

14. IP tĩnh có làm Internet nhanh hơn không?

Không nhất thiết.

Static IP và Dynamic IP chủ yếu liên quan đến cách cấp địa chỉ.

Tốc độ Internet phụ thuộc vào:

• gói cước;
• bandwidth;
• ISP;
• firewall;
• Wi-Fi;
• LAN;
• congestion;
• latency;
• packet loss.

Việc chuyển từ Dynamic IP sang Static IP không tự động khiến đường truyền:

500 Mbps → 1 Gbps.

Doanh nghiệp không nên mua Static IP với kỳ vọng Internet nhanh hơn.

15. IP tĩnh có bảo mật hơn IP động không?

Không hoàn toàn.

Một Static IP có ưu điểm về:

• quản lý;
• xác định nguồn kết nối;
• whitelist;
• VPN;
• giám sát.

Nhưng vì địa chỉ cố định, IP đó cũng trở thành một mục tiêu ổn định để Internet scan.

Ví dụ attacker có thể liên tục kiểm tra:

• port 22;
• port 443;
• port 3389;
• VPN service;
• firewall portal.

Vì vậy khi dùng Static IP, doanh nghiệp càng cần:

• firewall;
• IPS;
• MFA;
• VPN;
• hạn chế port;
• firmware cập nhật;
• log monitoring.

Static IP không phải là tính năng bảo mật.

Nó là một thành phần hạ tầng.

16. Có nên mở Remote Desktop trực tiếp bằng Static IP?

SMNET không khuyến nghị.

Ví dụ:

Internet
 ↓
Static IP
 ↓
Port 3389
 ↓
Windows Server

Đây là mô hình có rủi ro cao.

Phương án tốt hơn:

Internet
 ↓
Firewall
 ↓
VPN + MFA
 ↓
Remote Desktop

Static IP nên hỗ trợ việc triển khai VPN chứ không nên trở thành lý do để mở trực tiếp các dịch vụ nhạy cảm ra Internet.

17. Hai đường Internet có cần hai IP tĩnh không?

Nếu doanh nghiệp có Dual WAN:

WAN1 – ISP A
WAN2 – ISP B

và chỉ cần Internet Failover thông thường, hai đường không nhất thiết đều phải có Static IP.

Nhưng nếu doanh nghiệp có:

• VPN;
• dịch vụ inbound;
• Remote Access;
• Site-to-Site;
• IP whitelist;

thì nên cân nhắc Static IP cho cả hai WAN.

Ví dụ:

WAN1 Static IP
203.x.x.10

WAN2 Static IP
171.x.x.20

Khi WAN1 lỗi, VPN hoặc dịch vụ có thể được cấu hình chuyển sang WAN2.

18. Leased Line và FTTH có khác nhau về IP không?

Tùy từng dịch vụ ISP.

Internet doanh nghiệp có thể bao gồm:

• FTTH Business;
• Broadband;
• DIA;
• Internet Leased Line.

Một số gói doanh nghiệp có thể đi kèm:

• Public Static IP;
• nhiều Public IP;
• SLA tốt hơn;
• bandwidth quốc tế tốt hơn;
• hỗ trợ kỹ thuật ưu tiên.

Không nên mặc định rằng:

“Đường Internet doanh nghiệp chắc chắn có IP tĩnh.”

Cần đọc rõ báo giá và hợp đồng của ISP.

Khi nào doanh nghiệp nên dùng IP động?

IP động phù hợp khi doanh nghiệp:

• chỉ sử dụng Internet outbound;
• chủ yếu dùng Microsoft 365;
• Google Workspace;
• SaaS;
• không có server tại văn phòng;
• không có VPN Site-to-Site;
• không cần IP whitelist;
• không public dịch vụ ra Internet.

Ví dụ:

15 nhân viên
Microsoft 365
OneDrive
Teams
ERP Cloud
Không Server
Không VPN

Dynamic IP hoàn toàn có thể đáp ứng tốt.

Khi nào doanh nghiệp nên dùng IP tĩnh?

Nên ưu tiên Public Static IP khi có:

• Site-to-Site VPN;
• Remote Access VPN;
• Server nội bộ;
• NAS cần truy cập từ xa;
• IP Whitelist;
• API Whitelist;
• ERP kết nối đối tác;
• Camera truy cập trực tiếp;
• Firewall remote management;
• Mail Server;
• Web Server;
• nhiều chi nhánh.

Đây là những trường hợp việc thay đổi Public IP có thể trực tiếp ảnh hưởng tới hoạt động hệ thống.

Bảng so sánh IP tĩnh và IP động

Tiêu chí	IP tĩnh	IP động
Địa chỉ thay đổi	Không hoặc rất ít	Có
Web/Email thông thường	Tốt	Tốt
Microsoft 365	Tốt	Tốt
VPN Site-to-Site	Rất phù hợp	Khó quản lý hơn
Remote VPN	Rất phù hợp	Có thể cần DDNS
IP Whitelist	Phù hợp	Không phù hợp
Server Publishing	Phù hợp	Khó hơn
Camera Remote	Phù hợp	Có thể dùng Cloud/DDNS
Quản lý	Dễ	Phức tạp hơn
Chi phí ISP	Có thể cao hơn	Thường thấp hơn

Checklist trước khi đăng ký Static IP

Doanh nghiệp nên hỏi ISP:

• Đây có phải Public IPv4 thật không?
• IP có cố định không?
• Có nằm sau CGNAT không?
• Có bao nhiêu IP được cấp?
• Gateway là gì?
• Subnet Mask là gì?
• IP được cấp qua PPPoE hay cấu hình Static?
• Modem có hỗ trợ Bridge Mode không?
• Có giới hạn port nào không?
• Có SLA không?
• Khi thay modem IP có giữ nguyên không?
• Khi đổi gói dịch vụ IP có thay đổi không?

Đặc biệt nếu đang triển khai firewall doanh nghiệp, nên có đầy đủ:

IP Address
Subnet Mask
Gateway
DNS
PPPoE Username
PPPoE Password

tùy mô hình ISP.

Chọn IP theo nhu cầu hệ thống, không phải theo cảm giác

Nhiều doanh nghiệp nghĩ:

“IP tĩnh chuyên nghiệp hơn nên cứ mua.”

Ngược lại, một số doanh nghiệp lại cố tiết kiệm chi phí và sử dụng IP động dù đang có hệ thống VPN quan trọng.

Cả hai cách đều chưa tối ưu.

Nên xác định:

Ứng dụng → Kết nối → Yêu cầu Public IP

Ví dụ:

Microsoft 365

Không nhất thiết cần Static IP.

Site-to-Site VPN

Nên có Static IP.

Cloud ERP

Thông thường không cần, trừ khi ERP yêu cầu whitelist.

Camera P2P

Không nhất thiết cần.

Server nội bộ truy cập từ xa

Nên có Static IP hoặc kiến trúc VPN phù hợp.

IP tĩnh không thay thế Firewall

Đây là điểm doanh nghiệp cần lưu ý.

Có Public Static IP không có nghĩa hệ thống đã an toàn.

Ngược lại:

Public Static IP
        ↓
     Firewall
        ↓
       LAN

càng cần được kiểm soát kỹ.

Firewall nên được cấu hình theo nguyên tắc:

Chỉ mở những gì thực sự cần.

Không nên:

• mở toàn bộ port;
• dùng DMZ tùy tiện;
• mở RDP trực tiếp;
• mở NAS management ra Internet;
• mở camera hàng loạt.

Doanh nghiệp nên dùng IP tĩnh hay IP động?

Có thể áp dụng nguyên tắc đơn giản:

Chỉ truy cập Internet từ bên trong ra ngoài → IP động thường đủ.

Cần Internet từ bên ngoài kết nối vào hệ thống doanh nghiệp → nên cân nhắc IP tĩnh.

Với doanh nghiệp có firewall, VPN, server hoặc nhiều chi nhánh, Static IP thường giúp hệ thống:

• ổn định hơn;
• dễ quản lý hơn;
• dễ troubleshooting hơn;
• dễ triển khai bảo mật hơn.

Tuy nhiên, Static IP không phải lúc nào cũng cần thiết và không tự động làm Internet nhanh hoặc an toàn hơn.

SMNET tư vấn Internet, Firewall và hệ thống mạng doanh nghiệp

SMNET hỗ trợ doanh nghiệp khảo sát và thiết kế hệ thống Internet phù hợp với nhu cầu vận hành thực tế.

Các hạng mục có thể bao gồm:

• kiểm tra Public IP;
• kiểm tra CGNAT;
• tư vấn Static IP;
• cấu hình modem Bridge;
• cấu hình PPPoE;
• triển khai firewall;
• NAT và firewall policy;
• Site-to-Site VPN;
• Remote Access VPN;
• Dual WAN;
• Internet Failover;
• SD-WAN;
• kiểm tra DNS;
• kiểm tra routing;
• thiết kế VLAN;
• backup cấu hình firewall;
• tài liệu hóa hệ thống mạng.

SMNET triển khai hệ thống mạng và firewall doanh nghiệp với các nền tảng như WatchGuard, Fortinet, Sophos, UniFi và các giải pháp phù hợp với từng môi trường thực tế.

Nếu doanh nghiệp đang phân vân giữa IP tĩnh và IP động, nên xác định trước các dịch vụ đang sử dụng và kế hoạch mở rộng thay vì lựa chọn chỉ dựa trên giá gói Internet.

SMNET Co., Ltd
Website: smnet.vn
Email: hello@smnet.vn
Hotline: 028 7301 6068

SMNET – Đối tác công nghệ cho doanh nghiệp.

FAQ – Câu hỏi thường gặp

Microsoft 365 có cần IP tĩnh không?

Thông thường không. Người dùng Microsoft 365 có thể hoạt động bình thường với Dynamic Public IP. Tuy nhiên Static IP có thể cần nếu doanh nghiệp có các yêu cầu bảo mật hoặc whitelist riêng.

Camera có bắt buộc dùng IP tĩnh không?

Không. Camera Cloud/P2P có thể hoạt động mà không cần Static IP. Tuy nhiên các hệ thống truy cập trực tiếp, VMS hoặc VPN giữa nhiều site có thể phù hợp hơn với Static IP.

VPN có cần IP tĩnh không?

Site-to-Site VPN thường nên sử dụng Static IP để đảm bảo ổn định. Một số hệ thống có thể dùng DDNS nhưng sẽ phức tạp hơn.

IP tĩnh có làm mạng nhanh hơn không?

Không. Tốc độ Internet phụ thuộc vào bandwidth, ISP, firewall, LAN, Wi-Fi và chất lượng đường truyền.

Dynamic DNS có thay được Static IP không?

Có thể trong một số môi trường nhỏ hoặc hệ thống không quá quan trọng. Tuy nhiên DDNS không giải quyết được vấn đề CGNAT.

Làm sao biết ISP đang dùng CGNAT?

Có thể so sánh WAN IP trên firewall/router với Public IP nhìn thấy từ Internet. Nếu hai địa chỉ khác nhau hoặc WAN nhận Private IP/CGNAT range thì cần kiểm tra thêm với ISP.

Có nên mua Static IP cho cả hai đường Internet?

Nếu doanh nghiệp dùng VPN, IP whitelist hoặc dịch vụ inbound và muốn failover hoàn chỉnh thì nên cân nhắc Static IP trên cả hai WAN.