Vietnamese Professional - CCNP ENTERPRISE®

Layer 3 Routing Protocols – Router Tìm Đường Đi Như Thế Nào?

dangquangminh — Wed, 22 Jul 2026 13:13:04 GMT

Layer 3 Routing Protocols – Router Tìm Đường Đi Như Thế Nào?

Khi bạn gõ google.com, làm sao dữ liệu biết phải đi qua những router nào để đến đúng máy chủ của Google? Đó chính là công việc của các giao thức định tuyến (Routing Protocols). Chúng giúp hàng triệu router trên Internet và trong mạng doanh nghiệp liên tục trao đổi thông tin để tìm ra đường đi tối ưu cho từng gói tin.

Router và Routing là gì?

Router là thiết bị hoạt động ở Layer 3 (Network Layer) của mô hình OSI. Nhiệm vụ chính của router là kết nối hai hoặc nhiều mạng IP với nhau và chuyển tiếp (forward) các gói tin đến đúng đích.

Quá trình router lựa chọn đường đi tốt nhất cho gói tin được gọi là Routing.

Để thực hiện điều này, router sử dụng Routing Protocol nhằm trao đổi thông tin với các router khác và xây dựng bảng định tuyến (Routing Table).

Ví dụ, khi một người dùng tại TP.HCM truy cập máy chủ đặt ở Hà Nội, dữ liệu có thể phải đi qua nhiều router trung gian. Router sẽ quyết định tuyến đường nào có độ trễ thấp nhất, ít tắc nghẽn nhất hoặc có chi phí tối ưu nhất.

Ba nhóm Routing Protocol phổ biến

Các giao thức định tuyến trong mạng IP thường được chia thành ba nhóm chính:

Distance Vector
Link-State
Advanced Distance Vector (Hybrid)

Mỗi nhóm có cách "nhìn" mạng và tính toán đường đi hoàn toàn khác nhau.

1. Distance Vector Routing Protocol

Distance Vector hoạt động theo nguyên tắc rất đơn giản:

"Tôi không cần biết toàn bộ bản đồ mạng, tôi chỉ cần hỏi hàng xóm đường nào ngắn nhất."

Router chỉ biết:

Đích ở đâu
Khoảng cách đến đích
Next-Hop để đi tới đích

Tiêu chí lựa chọn phổ biến là Hop Count – số lượng router phải đi qua từ nguồn đến đích.

Ví dụ:
R1 ---- R2 ---- R3 ---- Server

Từ R1 đến Server có:

Qua R2
Qua R3

=> Tổng cộng 2 Hop

Distance Vector sẽ ưu tiên tuyến có số Hop nhỏ nhất. Đặc điểm

Router định kỳ gửi bảng định tuyến cho các router láng giềng.
Chỉ trao đổi với neighbor, không gửi cho toàn bộ mạng.
Không biết đầy đủ topology của hệ thống.

Nhược điểm của cơ chế này là các bản cập nhật được gửi định kỳ, ngay cả khi mạng không thay đổi, làm tiêu tốn băng thông không cần thiết.

Ngoài ra, Distance Vector còn được ví như "Routing by Rumor" (định tuyến dựa trên lời đồn). Router hoàn toàn tin tưởng thông tin nhận được từ neighbor mà không biết chính xác toàn bộ cấu trúc mạng. Ví dụ giao thức

RIP (Routing Information Protocol)

2. Link-State Routing Protocol

Khác với Distance Vector, Link-State hoạt động theo triết lý:

"Mỗi router đều phải có bản đồ đầy đủ của cả hệ thống."

Thay vì chỉ hỏi hàng xóm, router sẽ học toàn bộ topology của Area.

Quá trình hoạt động:

Phát hiện Neighbor.
Trao đổi Link-State Advertisement (LSA).
Xây dựng Link-State Database (LSDB).
Chạy thuật toán SPF.
Tạo Routing Table.

Mỗi router trong cùng một Area đều sở hữu một bản sao LSDB giống hệt nhau. Điều này giúp mọi router tính toán đường đi một cách độc lập nhưng vẫn cho kết quả nhất quán. Thuật toán sử dụng

OSPF sử dụng thuật toán Dijkstra (Shortest Path First - SPF) để tìm đường đi ngắn nhất đến từng mạng đích.

Thay vì chỉ đếm số Hop, Dijkstra tính toán dựa trên Cost của từng liên kết. Cost thường được xác định theo băng thông của đường truyền.

Ví dụ:
R1 -----10----- R2
\ |
\ |
20 10
\ |
\ |
R3

Dijkstra sẽ tính tổng Cost của từng tuyến và chọn tuyến có Cost nhỏ nhất. Ưu điểm

Biết đầy đủ topology của mạng.
Hội tụ rất nhanh khi có sự cố.
Chỉ gửi cập nhật khi topology thay đổi (Triggered Update).
Có thể gửi cập nhật một phần (Partial Update), giúp tiết kiệm băng thông hơn so với Distance Vector.

Ví dụ giao thức

OSPF (Open Shortest Path First)
IS-IS (Intermediate System to Intermediate System)

3. Advanced Distance Vector (Hybrid)

Đây là nhóm giao thức kết hợp ưu điểm của Distance Vector và Link-State.

Giao thức tiêu biểu là EIGRP (Enhanced Interior Gateway Routing Protocol).

EIGRP:

Khám phá Neighbor giống Link-State.
Học route từ các Neighbor giống Distance Vector.
Không gửi toàn bộ bảng định tuyến theo chu kỳ.
Chỉ gửi cập nhật khi có thay đổi topology.

Nhờ đó EIGRP hội tụ nhanh hơn RIP và sử dụng băng thông hiệu quả hơn.

Có thể hình dung EIGRP như một "giao thức lai" tận dụng những điểm mạnh của cả hai trường phái định tuyến.

So sánh nhanh ba nhóm Routing Protocol

Distance Vector: Đơn giản, chỉ biết thông tin từ router láng giềng, lựa chọn đường đi chủ yếu dựa trên Hop Count. Phù hợp với các mạng nhỏ nhưng hội tụ chậm và tạo nhiều lưu lượng cập nhật định kỳ.
Link-State: Mỗi router có đầy đủ bản đồ mạng, sử dụng thuật toán Dijkstra để tính đường đi tối ưu dựa trên Cost. Hội tụ nhanh, khả năng mở rộng cao và là lựa chọn phổ biến trong các mạng doanh nghiệp lớn.
Advanced Distance Vector (Hybrid): Kết hợp ưu điểm của hai mô hình trên. EIGRP sử dụng cơ chế khám phá neighbor tương tự Link-State nhưng học route theo kiểu Distance Vector, đồng thời chỉ gửi cập nhật khi mạng thay đổi.

Câu hỏi ôn tập

Thuật toán nào được OSPF sử dụng để tính toán đường đi ngắn nhất?

A. Prim's Algorithm

B. Kruskal Algorithm

C. Floyd-Warshall Algorithm

✅ D. Dijkstra Algorithm

Dijkstra là thuật toán cốt lõi của OSPF. Sau khi các router trao đổi LSA và xây dựng LSDB, mỗi router sẽ chạy thuật toán này để tính toán cây đường đi ngắn nhất (Shortest Path Tree - SPF) và từ đó tạo ra bảng định tuyến (Routing Table). Đây cũng là lý do OSPF có khả năng hội tụ nhanh và mở rộng tốt trong các mạng doanh nghiệp quy mô lớn.

Control Plane – "Bộ não" của thiết bị mạng

dangquangminh — Wed, 22 Jul 2026 11:25:30 GMT

Khi nói đến bảo mật mạng, nhiều kỹ sư thường tập trung vào firewall, ACL hay IDS/IPS mà quên mất một thành phần quan trọng hơn nhiều: Control Plane.

Đây là nơi router và switch xử lý mọi quyết định điều khiển. Nếu Data Plane chịu trách nhiệm chuyển tiếp gói tin, thì Control Plane quyết định gói tin sẽ đi đâu, học tuyến đường nào và duy trì trạng thái của toàn bộ mạng.

Một router có thể chuyển tiếp hàng triệu gói tin mỗi giây, nhưng chỉ cần Control Plane gặp sự cố, cả hệ thống có thể nhanh chóng mất ổn định.

Ba mặt phẳng hoạt động của thiết bị mạng

Để hiểu vì sao Control Plane quan trọng, trước tiên cần phân biệt ba mặt phẳng chính của một thiết bị mạng:

Data Plane: Chuyển tiếp gói tin với tốc độ cao dựa trên bảng chuyển tiếp (FIB).
Control Plane: Xây dựng và duy trì thông tin định tuyến, học địa chỉ MAC, xử lý các giao thức như OSPF, BGP, ARP, DHCP, STP...
Management Plane: Cung cấp giao diện quản trị thông qua SSH, HTTPS, SNMP, NETCONF, RESTCONF...

Trong ba thành phần này, Control Plane chính là "bộ não". Nếu bộ não bị tấn công hoặc quá tải, Data Plane cũng không còn đủ thông tin chính xác để chuyển tiếp lưu lượng.

Điều gì xảy ra nếu Control Plane bị tấn công?

Hãy tưởng tượng bạn là chuyên gia SOC của một doanh nghiệp và phát hiện hệ thống mạng hoạt động bất thường.

Sau quá trình điều tra, nguyên nhân được xác định là một cuộc Man-in-the-Middle (MitM) khai thác lỗ hổng trong giao thức OSPF để chèn thông tin định tuyến giả.

Khi Control Plane bị thao túng, kẻ tấn công có thể:

Chèn các tuyến đường giả vào bảng định tuyến.
Chuyển hướng lưu lượng qua hệ thống của chúng để nghe lén hoặc sửa đổi dữ liệu.
Đầu độc ARP (ARP Spoofing) nhằm đánh cắp thông tin liên lạc trong mạng LAN.
Phát tán DHCP giả (Rogue DHCP) để cấp phát sai địa chỉ IP hoặc gateway.
Gửi lượng lớn gói tin điều khiển khiến CPU của router hoạt động quá tải, dẫn đến DoS.

Điểm nguy hiểm là các giao thức như OSPF, BGP, ARP hay DHCP đều ảnh hưởng trực tiếp đến các quyết định của thiết bị mạng. Nếu thông tin điều khiển bị giả mạo, toàn bộ mạng có thể đưa ra những quyết định sai lầm.

Một ví dụ thực tế

Tháng 8/2020, một lỗ hổng trong hệ điều hành router đã bị khai thác để tấn công vào BGP thông qua TCP port 179.

Kẻ tấn công gửi lượng lớn lưu lượng điều khiển đến các router, khiến:

CPU của router tăng đột biến.
Các phiên BGP bị gián đoạn.
Quá trình cập nhật bảng định tuyến thất bại.
Nhiều ISP và doanh nghiệp gặp sự cố mất kết nối.

Đây là một ví dụ điển hình cho thấy không cần tấn công vào Data Plane, chỉ cần làm quá tải Control Plane cũng đủ gây ra tình trạng mất ổn định trên diện rộng.

Làm thế nào để bảo vệ Control Plane?

Một chiến lược bảo vệ hiệu quả cần kết hợp nhiều lớp kiểm soát:

ACL (Access Control List): Chỉ cho phép các nguồn hợp lệ gửi lưu lượng điều khiển đến thiết bị.
CoPP (Control Plane Policing): Giới hạn tốc độ lưu lượng gửi vào CPU để ngăn chặn các cuộc tấn công làm cạn kiệt tài nguyên.
CPPr (Control Plane Protection): Phân loại và bảo vệ riêng từng nhóm lưu lượng điều khiển như routing, management và exception traffic, giúp kiểm soát chi tiết hơn CoPP.
Routing Protocol Authentication: Sử dụng MD5 hoặc HMAC-SHA để xác thực các phiên OSPF, EIGRP, RIP hoặc BGP, ngăn thiết bị giả mạo tham gia vào quá trình trao đổi thông tin định tuyến.

Kết luận

Trong nhiều cuộc tấn công hiện đại, mục tiêu không còn là làm nghẽn đường truyền mà là chiếm quyền điều khiển "bộ não" của hệ thống mạng. Khi Control Plane bị thao túng hoặc quá tải, hậu quả có thể lan rộng đến toàn bộ hạ tầng.

Vì vậy, bảo vệ Control Plane không chỉ là một tính năng trên router hay switch mà là một thành phần cốt lõi trong kiến trúc phòng thủ nhiều lớp (Defense in Depth). Kết hợp CoPP, CPPr, ACL và xác thực giao thức định tuyến sẽ giúp doanh nghiệp duy trì tính ổn định, khả năng sẵn sàng và độ tin cậy của mạng ngay cả trước các mối đe dọa ngày càng tinh vi.

Thử sức với câu hỏi này – bạn có thực sự hiểu kiến trúc mạng hiện đại?

ThanhQuyen — Wed, 22 Jul 2026 10:07:01 GMT

🚀 THỬ SỨC VỚI CÂU HỎI NÀY – BẠN CÓ THỰC SỰ HIỂU KIẾN TRÚC MẠNG HIỆN ĐẠI?

Network Engineer ngày nay không chỉ biết cấu hình Router hay Switch.

Doanh nghiệp đang chuyển dần sang Software-Defined Networking (SDN), Intent-Based Networking (IBN) và Cisco SDA (Software-Defined Access).

Vậy nếu gặp câu hỏi này trong kỳ thi CCNP ENCOR (350-401), bạn có tự tin trả lời?

🧩 QUESTION

Một doanh nghiệp đang triển khai Intent-Based Networking (IBN) để hiện đại hóa hạ tầng mạng Campus.

Theo bạn, mô hình thiết kế nào sẽ giúp chuyển đổi từ kiến trúc Campus truyền thống sang kiến trúc Campus Fabric?

A. Layer 2 Access

B. Three-tier

C. Two-tier

D. Routed Access

👉 Bạn sẽ chọn đáp án nào?

🤔 Đừng vội nhìn vào sơ đồ!

Rất nhiều người khi thấy hình minh họa sẽ chọn ngay đáp án dựa trên... cảm giác.

Nhưng Cisco không hỏi bạn nhận diện hình vẽ.

Cisco đang kiểm tra xem bạn có hiểu:

Campus Fabric được xây dựng dựa trên kiến trúc nào?
Vai trò của Spine và Leaf trong mô hình hiện đại là gì?
Vì sao các doanh nghiệp lớn đang dần rời bỏ mô hình Campus truyền thống?
Cisco SD-Access thay đổi cách thiết kế và vận hành mạng như thế nào?

Đây là những kiến thức nền tảng của Network Engineer trong thời đại Automation và Software-Defined Networking.

Nếu chỉ học theo kiểu ghi nhớ sơ đồ mà không hiểu bản chất, rất dễ chọn sai.

🎯 Bạn đang ở đâu?

✅ Nếu bạn có thể chọn đáp án và giải thích được vì sao, bạn đã có nền tảng khá tốt về kiến trúc mạng doanh nghiệp.

🤔 Nhưng nếu vẫn còn phân vân...

Đừng lo. Đây là dạng câu hỏi xuất hiện khá nhiều trong CCNP ENCOR (350-401) và cũng là kiến thức mà các kỹ sư mạng sẽ gặp khi triển khai hạ tầng tại doanh nghiệp.

Điều quan trọng không phải là nhớ đáp án, mà là hiểu tư duy thiết kế phía sau mỗi kiến trúc mạng.

💬 Đến lượt bạn!

👉 Comment đáp án của bạn (A, B, C hoặc D).

Đừng chỉ ghi một chữ cái.

Hãy chia sẻ luôn cách bạn phân tích, vì đó mới là điều giúp bạn tiến bộ nhanh nhất.

🎓 Nếu bạn nhận thấy mình còn bối rối trước những câu hỏi về Campus Design, SDN, SDA, VXLAN, OSPF, BGP hay Virtualization, có lẽ đây là thời điểm thích hợp để học một cách bài bản. Khóa CCNP ENCOR (350-401) tại VnPro không chỉ giúp bạn vượt qua kỳ thi mà còn xây dựng tư duy thiết kế, triển khai và vận hành hệ thống mạng theo chuẩn doanh nghiệp. 📢 Khóa CCNP ENCOR (350-401) sắp khai giảng

🏢 Lớp Offline (Tối 2 - 4 - 6)

📅 Khai giảng: 24/07/2026

📞 Hotline/Zalo: 093 3427 079

📞 Anh Thư: 033 9943 732

📞 Như Ngọc: 0765 944 386

💡 Một kỹ sư mạng giỏi không chỉ biết cấu hình thiết bị, mà còn phải hiểu cách thiết kế kiến trúc mạng phù hợp với xu hướng doanh nghiệp hiện đại. Bạn có tự tin với đáp án của mình không? Hãy cùng thử sức!

3 phương pháp lọc ospf lsa type 5 trên cisco ios: Bản chất kỹ thuật và ứng dụng thực chiến

ThanhQuyen — Wed, 22 Jul 2026 08:32:47 GMT

🛡️ 3 PHƯƠNG PHÁP LỌC OSPF LSA TYPE 5 TRÊN CISCO IOS: BẢN CHẤT KỸ THUẬT VÀ ỨNG DỤNG THỰC CHIẾN

Trong OSPF, các tuyến đường từ nguồn bên ngoài (External Routes) được quảng bá vào miền OSPF dưới dạng LSA Type 5 (Autonomous System External LSA) thông qua các ASBR (Autonomous System Boundary Router).

Để kiểm soát và lọc các dải mạng External này không cho lan truyền vào OSPF, chúng ta có 3 phương pháp chính:

Sử dụng Distribute-List Out
Sử dụng Route-Map trong Redistribution
Sử dụng lệnh Summary-Address Not-Advertise

📐 MÔ HÌNH LAB TIÊU CHUẨN

Topology:
- R1 kết nối với R2 qua dải 192.168.12.0/24 (OSPF Area 0).
- R2 đóng vai trò ABR, kết nối với R3 qua dải 192.168.23.0/24 (OSPF Area 1).
- R1 đóng vai trò ASBR, sở hữu 4 cổng Loopback (L0: 172.16.0.1/32, L1: 172.16.1.1/32, L2: 172.16.2.1/32, L3: 172.16.3.1/32) được Quảng bá vào OSPF bằng lệnh redistribute connected subnets.

🧪 1. LỌC BẰNG DISTRIBUTE-LIST OUT (LỌC DẢI 172.16.0.1/32)

📌 Lưu ý quan trọng: Khi dùng distribute-list để lọc LSA Type 5 trên ASBR, bắt buộc phải dùng từ khóa out. Từ khóa out sẽ ngăn ASBR tạo và gửi LSA Type 5 ra ngoài toàn bộ miền OSPF.

Plaintext

! Khai báo Access-list chặn dải 172.16.0.1/32
R1(config)# ip access-list standard R1_L0
R1(config-std-nacl)# deny host 172.16.0.1
R1(config-std-nacl)# permit any

! Áp dụng Distribute-list chiều Out dưới tiến trình OSPF
R1(config)# router ospf 1
R1(config-router)# distribute-list R1_L0 out
Kết quả:

Kiểm tra bảng định tuyến trên R2 và R3, dải 172.16.0.1/32 đã bị loại bỏ hoàn toàn khỏi Bảng định tuyến OSPF. 🧪 2. LỌC BẰNG ROUTE-MAP KHI REDISTRIBUTE (LỌC DẢI 172.16.1.1/32)

Phương pháp này ngăn tuyến đường ngay từ khâu Redistribution (Tái định tuyến). Những dải mạng bị từ chối trong Route-Map sẽ không bao giờ được đưa vào tiến trình OSPF để sinh ra LSA Type 5.

Plaintext

! Khai báo ACL bắt dải 172.16.1.1/32
R1(config)# ip access-list standard R1_L1
R1(config-std-nacl)# permit host 172.16.1.1

! Tạo Route-Map loại bỏ dải 172.16.1.1/32 và cho phép các dải còn lại
R1(config)# route-map CONNECTED_TO_OSPF deny 10
R1(config-route-map)# match ip address R1_L1
R1(config)# route-map CONNECTED_TO_OSPF permit 20

! Áp dụng Route-Map vào lệnh Redistribute
R1(config)# router ospf 1
R1(config-router)# redistribute connected subnets route-map CONNECTED_TO_OSPF
Kết quả:

Tuyến 172.16.1.1/32 bị chặn ngay từ gốc và không được đưa vào OSPF. 🧪 3. LỌC BẰNG SUMMARY-ADDRESS NOT-ADVERTISE (LỌC DẢI 172.16.2.1/32)

Lệnh summary-address thường được dùng để tóm tắt các dải External trên ASBR. Tuy nhiên, khi kết hợp với tham số not-advertise, nó sẽ trở thành một công cụ lọc LSA Type 5 vô cùng hiệu quả.

Plaintext

R1(config)# router ospf 1
R1(config-router)# summary-address 172.16.2.1 255.255.255.255 not-advertise
Kết quả:

Dải 172.16.2.1/32 lập tức biến mất khỏi bảng định tuyến của tất cả các Router trong miền OSPF. 📊 TỔNG KẾT VÀ SO SÁNH 3 PHƯƠNG PHÁP

Phương pháp

Vị trí cấu hình

Từ khóa then chốt

Bản chất hoạt động

Distribute-list

ASBR

distribute-list out

Chặn không cho ASBR sinh ra LSA Type 5 từ Bảng định tuyến.

Route-map

ASBR

redistribute ... route-map

Chặn tuyến đường ngay tại khâu nhập (Redistribute) vào OSPF.

Summary-address

ASBR

summary-address ... not-advertise

Khai báo dải tóm tắt nhưng gắn cờ cấm quảng bá ra ngoài.

⚠️ Lời khuyên cho các bài thi CCIE/CCNP: Hãy đọc kỹ yêu cầu đề bài! distribute-list thực chất là lọc tuyến đường (route filtering), trong khi route-map và summary-address ngăn không cho router quảng bá tuyến đường (prevent advertising).

🚀 NÂNG BẬC TƯ DUY VÀ KỸ NĂNG MẠNG CÙNG KHÓA HỌC CCNP ENCOR (350-401)

Lọc tuyến đường OSPF nâng cao chỉ là một phần nhỏ trong chương trình tối ưu hóa hạ tầng Enterprise. Bạn đã sẵn sàng làm chủ toàn bộ các giao thức định tuyến phức tạp và vận hành hệ thống mạng doanh nghiệp quy mô lớn?

Hãy đăng ký ngay khóa học CCNP ENCOR (350-401) để trang bị tư duy và kỹ năng thực chiến chuẩn Cisco:

📅 Lịch khai giảng: 24/07/2026
⏰ Thời gian học: Tối 2 - 4 - 6 (18:30 - 21:00)
🎯 Mục tiêu: Thực hành Lab 100% trên thiết bị thật, làm chủ Enterprise Routing, Switching, SD-WAN, Wireless, Security & Automation.

👉 Đăng ký ngay hôm nay để nhận tài liệu Lab chuyên sâu và giữ chỗ cho lớp học sắp tới!

👉Hotline: 0933 427 079

ccnp ccnpencor #ENCOR350401 ospf #LSAType5 #ExternalRoute #RouteFiltering #ASBR #CiscoIOS #NetworkEngineering

Ospf hmac-sha extended authentication: Nâng cấp bảo mật hạ tầng định tuyến dành cho kỹ sư mạng!

ThanhQuyen — Wed, 22 Jul 2026 07:00:11 GMT

🔒 {CCNP -ENCOR] OSPF HMAC-SHA EXTENDED AUTHENTICATION: NÂNG CẤP BẢO MẬT HẠ TẦNG ĐỊNH TUYẾN DÀNH CHO KỸ SƯ MẠNG!

Trong các hạ tầng mạng truyền thống, OSPF thường sử dụng phương thức xác thực dạng Clear-text (mật khẩu văn bản thuần) hoặc MD5. Tuy nhiên, các thuật toán cũ này dần bộc lộ nhiều rủi ro bảo mật trước các cuộc tấn công giả mạo (spoofing) hay giải mã dữ liệu.

Bắt đầu từ phiên bản Cisco IOS 15.4(1)T, OSPF đã hỗ trợ cơ chế xác thực mở rộng HMAC-SHA (Hash Message Authentication Code Secure Hash Algorithm) theo tiêu chuẩn RFC 5709.

Sự thay đổi quan trọng nhất không chỉ nằm ở thuật toán mã hóa mạnh mẽ hơn, mà còn ở phương pháp cấu hình: Thay vì nhập trực tiếp mật khẩu dưới tiến trình OSPF hay trên Interface như trước, OSPF giờ đây đã chuyển sang sử dụng Key Chain (tương tự như EIGRP hay RIP)! 📐 MÔ HÌNH LAB TIÊU CHUẨN

Mô hình gồm 2 Router R1 và R2 kết nối trực tiếp qua giao diện GigabitEthernet 0/1 thuộc OSPF Area 0.
Dải IP kết nối: 192.168.12.0/24 (R1: .1, R2: .2).

🛠️ 1. CẤU HÌNH THỰC CHIẾN TRÊN ROUTER

Bước 1: Khởi tạo OSPF cơ bản trên R1 và R2

Plaintext

R1(config)# router ospf 1
R1(config-router)# network 192.168.12.0 0.0.0.255 area 0

R2(config)# router ospf 1
R2(config-router)# network 192.168.12.0 0.0.0.255 area 0
Bước 2: Tạo Key Chain và chọn thuật toán mã hóa HMAC-SHA

Tên Key Chain chỉ có giá trị cục bộ (Locally Significant). Tuy nhiên, Key ID, Mật khẩu (Key-string) và Thuật toán cryptographic phải trùng khớp hoàn toàn giữa 2 Router.

Trên Router R1:

Plaintext

R1(config)# key chain R1
R1(config-keychain)# key 1
R1(config-keychain-key)# cryptographic-algorithm hmac-sha-512
R1(config-keychain-key)# key-string R1_R2_PASSWORD

Trên Router R2:

Plaintext

R2(config)# key chain R2
R2(config-keychain)# key 1
R2(config-keychain-key)# cryptographic-algorithm hmac-sha-512
R2(config-keychain-key)# key-string R1_R2_PASSWORD

💡 Mở rộng: Cisco IOS hỗ trợ đa dạng các thuật toán từ hmac-sha-1, hmac-sha-256, hmac-sha-384 đến hmac-sha-512. Trong bài lab này, chúng ta ưu tiên chọn thuật toán bảo mật cao nhất là HMAC-SHA-512.

Bước 3: Áp dụng Key Chain vào Interface

Đối với phương pháp xác thực qua Key Chain, bạn bắt buộc phải kích hoạt trực tiếp trên giao diện kết nối (Interface):

Plaintext

! Áp dụng trên R1
R1(config)# interface GigabitEthernet 0/1
R1(config-if)# ip ospf authentication key-chain R1

! Áp dụng trên R2
R2(config)# interface GigabitEthernet 0/1
R2(config-if)# ip ospf authentication key-chain R2
🔍 2. KIỂM TRA VÀ XÁC MINH VẬN HÀNH

Kiểm tra trạng thái xác thực trên Interface:

Sử dụng lệnh show ip ospf interface để kiểm tra cơ chế bảo mật đã hoạt động hay chưa:

Plaintext

R1# show ip ospf interface GigabitEthernet 0/1 | begin auth
Cryptographic authentication enabled
Sending SA: Key 1, Algorithm HMAC-SHA-512 key chain R1
Kiểm tra mối quan hệ láng giềng (OSPF Neighbor):

Plaintext

R1# show ip ospf neighbor
Neighbor ID Pri State Dead Time Address Interface
192.168.12.2 1 FULL/DR 00:00:31 192.168.12.2 GigabitEthernet0/1

Kết quả hiển thị trạng thái FULL chứng tỏ 2 Router đã xác thực chuỗi Key thành công và thiết lập quan hệ láng giềng an toàn. 💡 TỔNG KẾT BẢN CHẤT CẦN NẮM

Chuẩn hóa quản lý: Việc chuyển sang cấu hình dạng Key Chain giúp kỹ sư dễ dàng xoay vòng mật khẩu (Key rotation) theo thời gian mà không làm gián đoạn kết nối mạng.
Tăng cường bảo mật: Thuật toán HMAC-SHA-512 loại bỏ triệt để các rủi ro bảo mật vốn có trên thuật toán MD5 cổ điển.
Phạm vi áp dụng: Lệnh áp dụng xác thực ip ospf authentication key-chain chỉ thực thi trên từng cổng (Interface), không áp dụng tổng thể theo Area như cách cũ.

🚀 NÂNG BẬC TƯ DUY VÀ KỸ NĂNG MẠNG CÙNG VNPRO

Xác thực OSPF nâng cao chỉ là một trong rất nhiều chủ đề kỹ thuật quan trọng trong chương trình đào tạo kỹ sư mạng chuyên nghiệp. Hãy làm chủ toàn bộ hạ tầng Enterise, từ định tuyến, chuyển mạch đến bảo mật và tự động hóa!

Đăng ký ngay khóa học CCNP ENCOR (350-401) tại VnPro để sẵn sàng nâng tầm sự nghiệp:

📅 Lịch khai giảng: 24/07/2026
⏰ Thời gian học: Tối 2 -4 -6 (18:30 - 21:00)
🎯 Mục tiêu: Nắm vững kiến thức chuyên sâu, thực hành Lab thực chiến 100% trên thiết bị thật và tự tin chinh phục chứng chỉ quốc tế Cisco CCNP.

👉 Nhắn tin ngay cho Fanpage VnPro để nhận khung chương trình chi tiết và giữ chỗ cho lớp học sắp khai giảng!

👉Hotline: 0933 427 079

vnpro ccnp ccnpencor #ENCOR350401 ospf #HMACSHA #OSPFAuthentication #KeyChain #CiscoIOS #EnterpriseNetwork #NetworkSecurity

Lab vCenter Integration (Phần 5)

anhnguyxn — Wed, 22 Jul 2026 02:56:32 GMT

Task 3: Liên kết EPG với VMM Domain, Assign VMs vào port group

Truy cập vào giao diện của APIC và nhấn vào Tenants, sau đó mở rộng Tenants  Application Profiles  Application EPGs  App  Domain. Nhấn chuột phải vào Domains và chọn Add VMM Domain Association

Chọn DVS

Nhấn Submit

Tương tự với Database và Web chúng ta tiến hành thực hiện lại các bước trên

Lúc này trên vCenter của chúng ta đã xuất hiện thêm cái port group

Lab vCenter Integration (Phần 4)

anhnguyxn — Wed, 22 Jul 2026 02:54:06 GMT

Task 2: Thêm ESXi host vào DVS

Truy cập vào vCenter tại phần Network

Nhấn chuột phải vào DVS mà chúng ta vừa tạo và chọn Add and Manage Hosts

Chọn Add hosts

Chọn host ESXi và nhấn Next

Nhấn Next

Chọn Assign Port Group

Chúng ta sẽ nhấn vào Assign quarantine

Nhấn Next

Next

Finish để hoàn thành việc thêm host ESXi vào DVS

Lab vCenter Integration (Phần 3)

anhnguyxn — Wed, 22 Jul 2026 02:52:09 GMT

Đầu tiên là tạo folder, tạo vSphere Distributed Switch, thêm Distributed Port Group và cuối cùng là Reconfigure vSphere Distributed Switch

Quay lại phần APIC chúng ta nhấn vào DVS vừa tạo và nhấn vào Vswitch Policy

Chúng ta sẽ chọn LLDP Policy

Nhấn vào Create LLDP Interface Policy

Chúng ta sẽ tạo 1 LLDP Interface Policy được lắng nghe và không được truyền

Chọn vào LLDP Policy vừa tạo

Tiếp theo chúng ta sẽ tạo thêm CDP Policy

Chúng ta sẽ tạo 1 CDP interface policy là Disable_CDP và phần Admin State chọn Disabled rồi nhấn Submit

Sau khi tạo xong CDP interface policy, chúng ta sẽ chọn CDP Policy vừa tạo và nhấn Submit

Thông báo cảnh báo thay đổi policy, nhấn Submit Changes để tiến hành thay đổi

Lúc này vCenter đã thực hiện reconfigure vSphere Distributed Switch

Lab vCenter Integration (Phần 2)

anhnguyxn — Wed, 22 Jul 2026 02:49:45 GMT

Tại phần Associated AEP chọn Create AEP

Nhập tên AEP

Tại phần EPG Deployment nhấn vào +

Chúng ta chọn Tenant, Application Profile, EPG, nhập Encap Vlan, nhập Primary Encap. Chúng ta có thể chọn 3 mode (Access 802.1P, Trunk và Access untagged) sau khi chọn xong nhấn update

Nhấn next

Nhấn Finish để hoàn thành

Quay lại phần VLAN Pool chọn vlan pool mà chúng ta vừa tạo ở trên

Để hoàn thành việc tạo ra VDS cho vCenter thì chúng ta cần phải nhập thông tin login cũng như ip của vCenter. Đầu tiên tại phần vCenter Credentials nhấn + để nhập thông tin login vCenter

Nhấn OK

Nhấn + để thêm thông tin cho vCenter

Tại phần Datacenter chúng ta sẽ cần nhập đúng tên Datacenter bên vCenter

Sau khi nhập xong chúng ta sẽ chọn thông tin login vcenter và nhấn ok

Nhấn Submit để hoàn thành

Ta đã tạo ra Distributed Virtual Switch thành công

Khi tạo khi bên vCenter đã thông báo log

Lab vCenter Integration (Phần 1)

anhnguyxn — Wed, 22 Jul 2026 02:45:57 GMT

Task 1: Config Fabric Access Polices
Tại task này chúng ta sẽ cấu hình VLAN pool và link vCenter với ACI bằng giao diện trên APIC

Trên giao diện của APIC nhấn vào Fabric

Chọn vào Access Policies

Chúng ta sẽ nhấn vào mở rộng thư mục Pools

Nhấn chuột phải vào VLAN và chọn Create VLAN Pool để tiến hành tạo 1 VLAN Pool cho Distributed Virtual Switch mà chúng ta sắp config

Chúng ta sẽ nhập tên cho VLAN Pool này
Tại phần Allocation Mode:
Dynamic Allocation: đây là mode được sử dụng khi kết nối các VMs vào trong fabric, cụ thể hơn là khi sử dụng VMM integration với Hypervisor Management System. Khi chọn mode này VLAN sẽ được gán động (dynamically assigned) vào các port group được tạo trên Distributed Virtual Switch

Static Allocation: đây là mode nên sử dụng khi VLAN Pool sẽ được dùng cho các bare metal host hoặc các thiết bị vật lý. Sau khi tạo EPGs, chúng ta sẽ cần phải gán VLAN static từ pool tới EPG và port.

Tại phần Encap Block nhấn vào nút +

Chúng ta sẽ nhập Range Vlan và Allocation Mode sẽ chọn Inherit allocMode from parent (sử dụng Allocation Mode từ Vlan pool), Role chúng ta có thể chọn External hoặc Internal

Check lại thông tin và nhấn Submit

Vlan pool đã được tạo

Chúng ta sẽ chọn tab Virtual Networking và chọn VMware

Nhấn chuột phải vào thư mục Vmware và chọn Create vCenter Domain

Nhập tên Virtual Switch
Trong APIC khi chúng ta tạo vCenter Domain cho Vmware thì chúng ta có thể chọn 2 loại switch. Loại đầu tiên chúng ta có thể sử dụng vSphere Distributed Switch của VMWare hoặc Cisco AVE (ACI Virtual Edge)

Case Study: Thiết Kế Kiến Trúc Zero Trust Remote Access VPN Cho Doanh Nghiệp Tài Chính Toàn Cầu

dangquangminh — Wed, 22 Jul 2026 00:49:08 GMT

Case Study: Thiết Kế Kiến Trúc Zero Trust Remote Access VPN Cho Doanh Nghiệp Tài Chính Toàn Cầu

Bối cảnh

Một tập đoàn tài chính đa quốc gia có hàng trăm chuyên viên phân tích (Financial Analysts) thường xuyên đi công tác và làm việc từ xa. Họ kết nối vào hệ thống doanh nghiệp từ các mạng Wi-Fi công cộng tại sân bay, khách sạn, quán cà phê hoặc trung tâm hội nghị.

Mặc dù hình thức làm việc này mang lại sự linh hoạt, nhưng cũng kéo theo nhiều rủi ro bảo mật:

Thiết bị đầu cuối có thể đã bị nhiễm mã độc hoặc chưa được cập nhật bản vá.
Lưu lượng VPN có nguy cơ bị nghe lén hoặc tấn công Man-in-the-Middle trên các mạng Wi-Fi công cộng.
Thông tin xác thực của người dùng có thể bị đánh cắp thông qua các cuộc tấn công phishing hoặc giả mạo điểm truy cập (Evil Twin).
Nếu một thiết bị bị xâm nhập, kẻ tấn công có thể di chuyển ngang (Lateral Movement) trong mạng nội bộ và tiếp cận các ứng dụng tài chính quan trọng.

Do đó, doanh nghiệp quyết định triển khai mô hình Zero Trust Remote Access VPN (RAVPN) nhằm đảm bảo không người dùng hay thiết bị nào được tin cậy mặc định, bất kể họ kết nối từ đâu.

Yêu cầu thiết kế

Nhóm Security Architect đặt ra các yêu cầu sau:

Hỗ trợ máy tính Windows và thiết bị iOS.
Xác thực bằng chứng chỉ số kết hợp với RADIUS.
Kiểm tra trạng thái bảo mật (Posture Assessment) trước khi cấp quyền truy cập.
Chỉ cho phép truy cập các ứng dụng tài chính theo đúng vai trò công việc.
Hỗ trợ High Availability cho hệ thống VPN Headend.
Tích hợp DNS-layer Security nhằm ngăn chặn truy cập tới các miền độc hại.

Kiến trúc đề xuất

Giải pháp được xây dựng dựa trên ba thành phần chính:

Cisco Secure Client trên máy người dùng.
Cisco Secure Firewall đóng vai trò VPN Headend.
Cisco Identity Services Engine (ISE) chịu trách nhiệm xác thực, đánh giá Posture và cấp quyền truy cập động.

Luồng xử lý diễn ra như sau:

Người dùng khởi tạo kết nối VPN bằng Cisco Secure Client.
Cisco Secure Firewall thiết lập đường hầm SSL/TLS và xác thực chứng chỉ số của thiết bị.
Firewall chuyển yêu cầu xác thực đến Cisco ISE thông qua giao thức RADIUS.
Cisco ISE xác minh danh tính người dùng và thực hiện Posture Assessment, bao gồm:
- Phiên bản hệ điều hành.
- Mức cập nhật bản vá.
- Trạng thái Antivirus/EDR.
- Mã hóa ổ đĩa (Disk Encryption).
Chỉ khi cả người dùng và thiết bị đều đạt yêu cầu, ISE mới cấp quyền truy cập.
Cisco ISE áp dụng Downloadable ACL (dACL) hoặc Scalable Group Tag (SGT) để giới hạn quyền truy cập đúng theo vai trò của người dùng.
Cisco Secure Client tích hợp Cisco Secure Umbrella để thực hiện DNS-layer Protection, chặn truy cập tới các tên miền độc hại ngay cả khi người dùng làm việc ngoài văn phòng.

Các nguyên tắc Zero Trust được áp dụng

1. Verify Explicitly

Mỗi phiên truy cập đều phải xác thực cả người dùng và thiết bị.

Không chỉ kiểm tra tài khoản đăng nhập, hệ thống còn đánh giá tình trạng bảo mật của thiết bị trước khi cấp quyền truy cập.

2. Least Privilege Access

Sau khi xác thực thành công, người dùng không được cấp quyền truy cập toàn bộ mạng nội bộ.

Ví dụ:

Chuyên viên phân tích tài chính chỉ được phép truy cập:
- Financial Dashboard
- ERP
- Reporting Server

Họ không thể truy cập:

Domain Controller
Server Backup
Hệ thống quản trị mạng
Máy chủ HR

Quyền truy cập được kiểm soát động thông qua SGT hoặc Downloadable ACL thay vì dựa trên địa chỉ IP.

3. Assume Breach

Hệ thống luôn giả định rằng:

Thiết bị có thể đã bị xâm nhập.
Mạng Wi-Fi công cộng không đáng tin cậy.
Thông tin xác thực có thể đã bị đánh cắp.

Vì vậy, mọi kết nối đều được kiểm tra liên tục và chỉ được cấp quyền tối thiểu cần thiết.

Thiết kế High Availability

Để đảm bảo dịch vụ VPN luôn sẵn sàng, doanh nghiệp triển khai:

Hai Cisco Secure Firewall VPN Headend chạy HA.
Cân bằng tải và tự động chuyển đổi khi xảy ra sự cố.
Cisco ISE triển khai theo mô hình Distributed Deployment nhằm đảm bảo dịch vụ AAA luôn hoạt động.

Điều này giúp người dùng duy trì kết nối ổn định ngay cả khi một VPN Headend gặp lỗi.

Lợi ích của thiết kế

Sau khi triển khai, doanh nghiệp đạt được nhiều lợi ích:

Xác thực đa lớp bằng chứng chỉ số và RADIUS.
Chỉ các thiết bị đạt chuẩn bảo mật mới được phép truy cập.
Quyền truy cập được cấp theo ứng dụng và vai trò thay vì theo vị trí mạng.
DNS-layer Protection giúp giảm nguy cơ truy cập vào các tên miền độc hại.
Hạn chế đáng kể khả năng Lateral Movement nếu một thiết bị bị xâm nhập.
Kiến trúc High Availability đảm bảo dịch vụ VPN luôn sẵn sàng.

Góc nhìn của Security Architect

Điểm quan trọng nhất của mô hình này là VPN không còn là cánh cửa mở vào toàn bộ mạng doanh nghiệp.

Trong kiến trúc VPN truyền thống, sau khi xác thực thành công, người dùng thường được cấp quyền truy cập vào một vùng mạng khá rộng. Nếu thiết bị bị xâm nhập, kẻ tấn công có thể lợi dụng kết nối VPN để di chuyển sang các hệ thống khác.

Với mô hình Zero Trust RAVPN, VPN chỉ đóng vai trò thiết lập một kết nối an toàn. Quyền truy cập thực sự được quyết định dựa trên danh tính người dùng, trạng thái bảo mật của thiết bị, vai trò công việc và ngữ cảnh của phiên làm việc. Ngay cả khi đã kết nối VPN, người dùng vẫn chỉ được phép truy cập đúng những ứng dụng cần thiết cho công việc của mình. Đây chính là điểm khác biệt cốt lõi giữa VPN truyền thống và kiến trúc Zero Trust Network Access (ZTNA) hiện đại.

DevSecOps (Phần 8): Backing Services – Vì sao ứng dụng hiện đại không nên "kết hôn" với Database?

dangquangminh — Tue, 21 Jul 2026 10:19:27 GMT

Một hệ thống đang chạy ổn định.

Đột nhiên máy chủ MySQL gặp sự cố.

Nếu muốn ứng dụng hoạt động trở lại, đội vận hành phải:

Sửa source code.
Build lại ứng dụng.
Triển khai phiên bản mới.
Khởi động lại toàn bộ hệ thống.

Nếu quy trình này nghe quen thuộc, rất có thể ứng dụng của bạn đang phụ thuộc chặt (Tightly Coupled) vào hạ tầng.

Đây chính là điều mà Yếu tố thứ 4 của 12-Factor App muốn loại bỏ:

Treat Backing Services as Attached Resources.

Nói cách khác, mọi dịch vụ bên ngoài chỉ nên là "tài nguyên gắn kèm", không phải một phần cố định của ứng dụng.

Backing Service là gì?

Hầu như mọi ứng dụng hiện đại đều phải kết nối tới các dịch vụ bên ngoài.

Ví dụ:

MySQL
PostgreSQL
Microsoft SQL Server
Redis
Memcached
RabbitMQ
Kafka
SMTP Server (Postfix)
LDAP
Auth0
Azure Entra ID
Amazon S3
Elasticsearch

Đây đều được gọi là Backing Services.

Ứng dụng cần chúng để hoạt động, nhưng không nên phụ thuộc vào một máy chủ hay một nhà cung cấp cụ thể.

Điều gì nên nằm trong Configuration?

Mỗi Backing Service thường yêu cầu các thông tin như:

URL hoặc Hostname
Port
Username
Password
API Key
Access Token

Những thông tin này không nên xuất hiện trong source code.

Thay vào đó, chúng nên được lưu trong:

Environment Variables
Secret Manager
Configuration Service
Vault

Điều này cho phép cùng một ứng dụng kết nối tới các dịch vụ khác nhau chỉ bằng cách thay đổi cấu hình.

Thay Database mà không cần sửa Code

Hãy tưởng tượng hôm nay ứng dụng kết nối tới:
MySQL Server nội bộ

Ngày mai doanh nghiệp quyết định chuyển sang:
Amazon RDS MySQL

Hoặc:
Azure Database for MySQL

Hoặc một cụm MySQL High Availability mới.

Nếu ứng dụng được thiết kế đúng theo 12-Factor App, việc chuyển đổi chỉ cần cập nhật:

Host
Port
Username
Password

Ứng dụng vẫn sử dụng cùng một giao thức, cùng một driver và không cần sửa một dòng source code nào.

Đây là một lợi ích rất lớn khi doanh nghiệp di chuyển hạ tầng từ On-Premises lên Cloud hoặc thay đổi nhà cung cấp dịch vụ.

Tightly Coupled vs Loosely Coupled

Hãy xem hai cách thiết kế khác nhau.

Thiết kế phụ thuộc chặt (Tightly Coupled):
Application
│
▼
MySQL Server A

Nếu MySQL Server A gặp sự cố:

Ứng dụng có thể ngừng hoạt động.
Việc chuyển sang máy chủ khác có thể yêu cầu sửa mã nguồn, cấu hình lại và triển khai lại.

Thiết kế phụ thuộc lỏng (Loosely Coupled):
Application
│
Configuration
│
▼
Backing Service

Ứng dụng chỉ biết đọc thông tin kết nối từ cấu hình. Việc thay đổi máy chủ hoặc nhà cung cấp dịch vụ chỉ cần cập nhật cấu hình mà không phải thay đổi logic của chương trình.

High Availability trở nên đơn giản hơn

Giả sử Database chính gặp sự cố.

Nếu ứng dụng phụ thuộc trực tiếp vào địa chỉ của máy chủ đó, bạn sẽ phải:

Dừng ứng dụng.
Sửa cấu hình trong mã nguồn hoặc gói triển khai.
Build lại nếu cần.
Triển khai lại.
Khởi động lại hệ thống.

Trong khi đó, nếu tuân thủ nguyên tắc Backing Services, bạn chỉ cần:

Chuyển sang một Database Replica hoặc Cluster khác.
Cập nhật cấu hình hoặc để hệ thống High Availability tự động chuyển đổi.

Ứng dụng tiếp tục hoạt động mà không cần thay đổi mã nguồn. Điều này giúp giảm thời gian gián đoạn và tăng khả năng sẵn sàng của hệ thống.

Cloud Native được xây dựng trên nguyên tắc này

Hầu hết các nền tảng Cloud hiện đại đều giả định rằng ứng dụng có thể kết nối linh hoạt tới các dịch vụ bên ngoài.

Ví dụ:

Kubernetes sử dụng ConfigMap và Secret để quản lý cấu hình.
Docker truyền thông tin qua Environment Variables.
AWS cung cấp RDS, ElastiCache, SQS, Secrets Manager.
Azure cung cấp Azure SQL, Azure Cache for Redis, Service Bus, Key Vault.

Ứng dụng không cần biết dịch vụ đang chạy ở đâu, miễn là thông tin kết nối được cung cấp qua cấu hình.

Lợi ích trong DevSecOps

Khi Backing Services được coi là các tài nguyên gắn kèm thay vì thành phần cố định của ứng dụng, doanh nghiệp sẽ nhận được nhiều lợi ích:

Cùng một artifact có thể triển khai trên Development, Testing, Staging và Production.
Thay đổi nhà cung cấp dịch vụ hoặc hạ tầng mà không cần sửa mã nguồn.
Hỗ trợ High Availability và Disaster Recovery tốt hơn.
Giảm sự phụ thuộc giữa ứng dụng và hạ tầng, giúp kiến trúc linh hoạt hơn.
Đơn giản hóa quy trình CI/CD vì Pipeline chỉ cần thay đổi cấu hình trong quá trình triển khai.

Đây là một nguyên tắc cốt lõi của Cloud Native và DevSecOps: xây dựng ứng dụng theo hướng loosely coupled, để hạ tầng có thể thay đổi mà không kéo theo việc sửa đổi ứng dụng. Khi ứng dụng được thiết kế theo cách này, việc mở rộng, thay thế dịch vụ hay chuyển đổi giữa On-Premises và Cloud sẽ trở nên nhanh chóng, an toàn và ít rủi ro hơn.

Ospf distribute-list filtering: Lọc route trong cùng area và cạnh báo nguy cơ blackhole traffic!

ThanhQuyen — Tue, 21 Jul 2026 09:28:19 GMT

⚠️ OSPF DISTRIBUTE-LIST FILTERING: LỌC ROUTE TRONG CÙNG AREA VÀ CẠNH BÁO NGUY CƠ BLACKHOLE TRAFFIC!

Khác với các giao thức Distance Vector như RIP hay EIGRP (vốn gửi trực tiếp các routing update), OSPF là giao thức Link-State. Tất cả các Router trong cùng một Area bắt buộc phải sở hữu Cơ sở dữ liệu trạng thái liên kết (LSDB) hoàn toàn giống nhau để thuật toán SPF có thể tính toán ra đường đi ngắn nhất.

Chính vì lý do này, bạn KHÔNG THỂ lọc LSA giữa các Router trong cùng một Area. Nếu chặn LSA nội vùng, LSDB sẽ bị bất đồng bộ và làm sai lệch thuật toán SPF.

Tuy nhiên, OSPF vẫn cho phép bạn sử dụng công cụ distribute-list. Vậy câu lệnh này thực sự làm gì? 🧠 BẢN CHẤT CỦA DISTRIBUTE-LIST TRONG NỘI BỘ AREA OSPF

📌 Quy tắc vàng: distribute-list in trong OSPF KHÔNG lọc hay chặn việc truyền LSP/LSA giữa các Router. Nó chỉ chặn KHÔNG CHO PHÉP tuyến đường đó được cài đặt vào Bảng định tuyến (Routing Table) của Router cục bộ!

Mô hình Lab minh họa:

Ba Router R1 - R2 - R3 cùng nằm trong Area 0.
R1 quảng bá dải mạng Loopback 0: 1.1.1.1/32 vào OSPF Area 0.

🧪 KỊCH BẢN 1: CẤU HÌNH DISTRIBUTE-LIST TRÊN R3

Nếu áp dụng distribute-list trên R3 để ngăn dải 1.1.1.1/32:

Plaintext

R3(config)# ip access-list standard R1_L0
R3(config-std-nacl)# deny host 1.1.1.1
R3(config-std-nacl)# permit any
!
R3(config)# router ospf 1
R3(config-router)# distribute-list R1_L0 in
Kết quả:

Routing Table của R3 (show ip route ospf): Tuyến 1.1.1.1/32 biến mất hoàn toàn.
LSDB của R3 (show ip ospf database router 192.168.12.1): LSA Type 1 chứa thông tin dải mạng 1.1.1.1 đến từ R1 vẫn tồn tại đầy đủ.

🚨 KỊCH BẢN 2: BẪY "BLACKHOLE TRAFFIC" KHI CẤU HÌNH TRÊN R2

Giả sử bạn gỡ cấu hình trên R3 và chuyển sang cấu hình distribute-list chặn 1.1.1.1/32 trên Router trung gian R2:

Plaintext

R2(config)# ip access-list standard R1_L0
R2(config-std-nacl)# deny host 1.1.1.1
R2(config-std-nacl)# permit any
!
R2(config)# router ospf 1
R2(config-router)# distribute-list R1_L0 in
Nguy cơ xảy ra sự cố nghiêm trọng:

Tại R2: Do áp dụng distribute-list, R2 không đưa 1.1.1.1/32 vào Bảng định tuyến (show ip route 1.1.1.1 báo % Network not in table).
Tại R3: Do R2 vẫn chuyển tiếp LSA bình thường sang R3, R3 tính toán SPF và xác định đường đi tới 1.1.1.1/32 là đi qua R2 (via 192.168.23.2).
Sự cố rớt gói (Blackhole): Khi R3 thực hiện ping 1.1.1.1, gói tin được đẩy tới R2. Tại R2, do không có tuyến đường 1.1.1.1/32 trong bảng định tuyến, R2 sẽ lập tức hủy gói tin (Drop packet), dẫn đến Ping thất bại (tỷ lệ thành công 0%).

💡 TỔNG KẾT VÀ LƯU Ý KHI VẬN HÀNH

Chỉ nên dùng distribute-list in tại Router cuối đường (Leaf Router) — nơi không cần chuyển tiếp lưu lượng sang Router nào khác.
Tránh áp dụng distribute-list in trên các Router trung gian (Transit Router) trong nội bộ một Area để phòng ngừa hiện tượng Blackhole Traffic.
Muốn lọc triệt để LSA giữa các Area, hãy sử dụng area filter-list trên Router biên ABR thay vì dùng distribute-list.

🚀 NÂNG CẤP KỸ NĂNG MẠNG CÙNG KHÓA HỌC CCNP ENCOR (350-401)

Hiểu rõ bản chất vận hành của các giao thức định tuyến nâng cao như OSPF, BGP hay EIGRP chính là chìa khóa giúp bạn làm chủ hệ thống mạng doanh nghiệp phức tạp và xử lý sự cố chuẩn xác.

Đăng ký ngay khóa học CCNP ENCOR (350-401) để trang bị đầy đủ kiến thức hạ tầng chuyên sâu:

📅 Khai giảng: 24/07/2026
⏰ Lịch học: Tối 2 - 4 - 6 (18:30 - 21:00)
🎯 Nội dung: Tối ưu hóa định tuyến, Switched Campus, SD-WAN, Wireless, Security & Automation thực chiến.

👉 Đăng ký ngay hôm nay để nhận tài liệu Lab thực hành và giữ chỗ cho lớp học sắp tới!

ccnp ccnpencor #ENCOR350401 ospf #DistributeList #RouteFiltering #CiscoIOS #LinkState #RoutingTable #NetworkEngineering

Thử sức với bài lab này – bạn có thực sự hiểu ospf hay chỉ đang nhớ lệnh?

ThanhQuyen — Tue, 21 Jul 2026 05:04:02 GMT

🚀 THỬ SỨC VỚI BÀI LAB NÀY – BẠN CÓ THỰC SỰ HIỂU OSPF HAY CHỈ ĐANG NHỚ LỆNH?

Nếu bạn đang học hoặc chuẩn bị thi CCNP ENCOR, hãy thử sức với câu hỏi dưới đây.

⚠️ Đừng tìm đáp án ngay!

Hãy dành khoảng 2 phút để tự phân tích và xem mình có thật sự hiểu bản chất của OSPF hay không.
🧩 QUESTION

Hai Router R1 và R2 đang chạy OSPF Area 0 trên cổng GigabitEthernet.

Yêu cầu của bài toán là:

Đảm bảo quá trình bầu chọn DR/BDR sẽ KHÔNG xảy ra trên hai cổng Gigabit Ethernet này.

Theo bạn, cấu hình nào sẽ đáp ứng yêu cầu trên?

A

B

C

D

👉 Bạn chọn đáp án nào?

🎯 Hãy thử đánh giá bản thân

✅ Bạn đã xác định được đáp án chỉ sau vài phút?

➡️ Có thể bạn đã có nền tảng OSPF khá tốt.

🤔 Còn nếu vẫn đang phân vân giữa nhiều đáp án...

Đừng quá lo.

Đây là dạng câu hỏi xuất hiện rất thường xuyên trong CCNP ENCOR (350-401) và cũng là kiến thức mà các kỹ sư mạng phải nắm khi thiết kế hoặc triển khai hệ thống thực tế.

Điều quan trọng không phải là đoán đúng, mà là hiểu vì sao đáp án đó đúng.

💬 Thử sức ngay!

👉 Comment đáp án của bạn bên dưới (A, B, C hay D) và chia sẻ cách phân tích của bạn.

🎓 Nếu bạn nhận ra mình còn lúng túng trước những câu hỏi dạng này, có lẽ đây là thời điểm thích hợp để học một cách bài bản. Khóa CCNP ENCOR tại VnPro tập trung vào việc giúp học viên hiểu bản chất công nghệ, phân tích các tình huống thường gặp trong đề thi và thực hành trên hệ thống Lab sát với môi trường doanh nghiệp, thay vì chỉ học thuộc lệnh hay ghi nhớ đáp án.

📢 Khai giảng khóa CCNP ENCOR (350-401)

🏢 Lớp Offline (Tối 2 - 4 - 6)

📅 Khai giảng: 24/07/2026

📞 Hotline/Zalo: 093 3427 079

📞 Anh Thư: 033 9943 732

📞 Như Ngọc: 0765 944 386

💡 CCNP không đánh giá bạn nhớ được bao nhiêu lệnh. CCNP đánh giá bạn hiểu bản chất công nghệ đến đâu. Bạn có tự tin với đáp án của mình không? Hãy cùng thử sức!

Đã đến lúc bứt phá lên Senior Network Engineer với CCNP ENCOR!

KhanhHa — Tue, 21 Jul 2026 03:54:15 GMT

Dậm chân ở mức Junior Network quá lâu? Đã đến lúc bứt phá lên Senior Network Engineer với CCNP ENCOR!
Chào anh em làm Quản trị mạng / Network Engineer,

Có bao giờ anh em tự hỏi: "Tại sao mình làm 2 - 3 năm rồi mà lương vẫn dậm chân tại chỗ, công việc chỉ quanh quẩn cấu hình VLAN, chia IP hay xử lý mấy lỗi vặt?"

Sự thật là: Kinh nghiệm giúp bạn làm được việc, nhưng Kiến thức đúng mới giúp bạn tiến xa hơn. Muốn nhận dự án lớn, muốn làm chủ hệ thống mạng doanh nghiệp quy mô và thăng tiến lên cấp độ Senior Network Engineer, việc nâng cấp lên trình độ CCNP là bước đi gần như bắt buộc.

Nếu anh em đang tìm một khóa học Offline chất lượng, thực chiến để hệ thống lại toàn bộ kiến thức nâng cao thì không thể bỏ qua khóa CCNP ENCOR (350-401) khai giảng sắp tới tại VnPro:

⚡ ĐIỂM NỔI BẬT CỦA KHÓA HỌC:

👨‍🏫 Giảng viên: Thầy Cao Trần Phong Thái – Chuyên gia với nhiều năm kinh nghiệm thực chiến triển khai & đào tạo các hệ thống mạng lớn. Học không chỉ để lấy bằng mà để "học hiểu sâu – làm chủ hệ thống".
💻 Lab thực hành 100% trên THIẾT BỊ THẬT: Không học lý thuyết suông hay chỉ chạy mô phỏng, anh em được "sờ tận tay, cấu hình tận gốc" trên dàn Lab thật tại VnPro.
📚 Giáo trình chuẩn Cisco: Bộ giáo trình LabPro độc quyền do VnPro biên soạn tỉ mỉ, bám sát thực tế công việc.

📌 THÔNG TIN LỚP HỌC OFFLINE:

🗓 Lịch học: Tối Thứ 2 - 4 - 6 (18h30 - 21h00)
🚀 Khai giảng: 24/7
🏢 Hình thức: Học Offline trực tiếp tại trung tâm

🎁 Lợi ích khi nâng tầm lên CCNP ENCOR:

Nâng tầm chuyên môn & Bứt phá sự nghiệp.
Tăng giá trị bản thân, dễ dàng đàm phán mức thu nhập mong muốn.
Tự tin làm chủ và sẵn sàng gánh vác các dự án mạng quy mô lớn.

Anh em nào đang tính chuyện nâng cấp bản thân trong tháng 7 này thì đán dấu lại để trao đổi thêm nhé!

📞 THÔNG TIN LIÊN HỆ ĐĂNG KÝ / TƯ VẤN:

Hotline/Zalo: 0933 427 079
Tư vấn viên:
- Ms. Như Ngọc: 0765 944 386
- Ms. Anh Thư: 0339 943 732
Trung tâm Tin học VnPro – 23 năm đồng hành cùng cộng đồng Network Việt Nam (2003 - 2026).