Vietnamese Professional - CCNP Wireless https://www.forum.vnpro.org/ vi Sun, 06 Sep 2026 18:20:19 GMT vBulletin 60 images/misc/rss.png Vietnamese Professional - CCNP Wireless https://www.forum.vnpro.org/ CDP và LLDP-MED: Vì sao IP Phone vừa cắm vào Switch đã biết mình thuộc Voice VLAN nào? https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/444515-cdp-và-lldp-med-vì-sao-ip-phone-vừa-cắm-vào-switch-đã-biết-mình-thuộc-voice-vlan-nào Sat, 05 Sep 2026 01:28:15 GMT Một chiếc IP Phone mới được cắm vào switch, chưa được cấu hình VLAN thủ công, nhưng chỉ sau một lúc nó đã biết phải đưa lưu lượng thoại vào Voice... Voice VLAN nào. Ai đã nói cho điện thoại biết thông tin đó?

Đây chính là một trong những vai trò quan trọng của CDP và LLDP-MED trong hệ thống IP Telephony.

1. CDP là gì?


CDP – Cisco Discovery Protocol là giao thức khám phá thiết bị Layer 2 độc quyền của Cisco. Các thiết bị Cisco kết nối trực tiếp có thể sử dụng CDP để trao đổi nhiều thông tin như:
  • Device ID
  • Interface kết nối
  • Địa chỉ IP
  • Platform
  • Capabilities
  • Và đặc biệt trong môi trường IP Phone: Voice VLAN

Ví dụ, switch được cấu hình:
interface GigabitEthernet1/0/10
switchport mode access
switchport access vlan 10
switchport voice vlan 20

Trong trường hợp này, VLAN 10 có thể dành cho PC, còn VLAN 20 dành cho IP Phone.

2. LLDP-MED khác gì?


LLDP – Link Layer Discovery Protocol là chuẩn IEEE 802.1AB, thực hiện chức năng khám phá láng giềng tương tự CDP nhưng mang tính multi-vendor.

LLDP-MED – LLDP Media Endpoint Discovery mở rộng LLDP cho các thiết bị multimedia endpoint như IP Phone.

LLDP-MED có thể cung cấp cho điện thoại các thông tin liên quan đến:
  • Network Policy
  • Voice VLAN
  • QoS
  • Power/PoE
  • Location information

Vì vậy, nếu môi trường không hoàn toàn sử dụng thiết bị Cisco, LLDP/LLDP-MED đặc biệt hữu ích.
3. Hai bước quan trọng trong hình


Hình minh họa quá trình IP Phone tìm Voice VLAN.

Bước 1 – Voice VLAN Query

IP Phone kết nối vào switch và sử dụng CDP hoặc LLDP/LLDP-MED để trao đổi thông tin với switch.

Điện thoại về cơ bản cần biết:
“Voice traffic của tôi phải nằm trong VLAN nào?”

Bước 2 – Switch cung cấp Voice VLAN

Switch đã được cấu hình Voice VLAN và thông báo thông tin này cho IP Phone.

Ví dụ switch thông báo:
Voice VLAN = 20

IP Phone sau đó có thể gửi traffic thoại với 802.1Q VLAN tag 20.

Điểm cần nhớ là CDP/LLDP-MED không cấp địa chỉ IP cho điện thoại. Chúng giúp điện thoại khám phá các thông tin như Voice VLAN; việc lấy địa chỉ IP vẫn liên quan đến DHCP.
4. Sau khi biết Voice VLAN thì chuyện gì xảy ra?


Một luồng khởi động IP Phone có thể hình dung như sau:

IP Phone → CDP/LLDP-MED → biết Voice VLAN → DHCP → nhận IP và các tham số cần thiết → liên hệ hệ thống provisioning/TFTP → đăng ký với Call Control.

Trong hình còn xuất hiện các thành phần DHCP, Publisher/TFTP và Subscriber với CallManager, cho thấy CDP/LLDP-MED chỉ là một phần trong toàn bộ quá trình boot và đăng ký IP Phone.

Ví dụ, DHCP có thể cung cấp địa chỉ IP, default gateway và trong một số triển khai Cisco Unified Communications còn có thể cung cấp thông tin liên quan đến TFTP thông qua DHCP option phù hợp.
5. CDP hay LLDP-MED?


Có thể nhớ rất đơn giản:

CDP → Cisco-centric

LLDP → chuẩn IEEE, multi-vendor

LLDP-MED → LLDP mở rộng cho IP Phone và các Media Endpoint

Trong hệ thống Cisco IP Telephony, CDP rất phổ biến. Trong môi trường có IP Phone, switch và thiết bị của nhiều hãng khác nhau, LLDP-MED giúp việc trao đổi thông tin trở nên chuẩn hóa hơn. Điểm rất dễ nhầm khi học CCNA/CCNP


Voice VLAN không phải do DHCP quyết định.

Switch biết Voice VLAN từ cấu hình của administrator và có thể quảng bá Network Policy/Voice VLAN xuống IP Phone thông qua CDP hoặc LLDP-MED. Sau khi tham gia đúng VLAN, IP Phone mới tiếp tục quá trình lấy IP và tìm các dịch vụ cần thiết.

Đây cũng là lý do khi troubleshooting IP Phone có nguồn PoE nhưng không đăng ký được, đừng chỉ kiểm tra DHCP hay CallManager. Hãy kiểm tra cả:
show cdp neighbors
show cdp neighbors detail
show lldp neighbors
show lldp neighbors detail
show interfaces switchport

Và đặc biệt phải xác nhận rằng Voice VLAN trên switchport được cấu hình đúng.
​]]> CCNP Wireless dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/444515-cdp-và-lldp-med-vì-sao-ip-phone-vừa-cắm-vào-switch-đã-biết-mình-thuộc-voice-vlan-nào Roaming trong mạng Wi-Fi là gì? https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/444425-roaming-trong-mạng-wi-fi-là-gì Tue, 01 Sep 2026 03:15:54 GMT Roaming là quá trình một thiết bị Wi-Fi đang kết nối với một Access Point (AP) chuyển sang một AP khác có chất lượng kết nối tốt hơn, trong khi người... Roaming là quá trình một thiết bị Wi-Fi đang kết nối với một Access Point (AP) chuyển sang một AP khác có chất lượng kết nối tốt hơn, trong khi người dùng vẫn tiếp tục di chuyển và sử dụng mạng.

Ví dụ, một nhân viên đang gọi Microsoft Teams hoặc Webex khi đi từ phòng họp sang hành lang. Laptop có thể chuyển:

AP1 → AP2 → AP3

Nếu roaming tốt, cuộc gọi gần như không bị gián đoạn. Nếu roaming chậm, người dùng có thể gặp mất tiếng, đứng hình, packet loss hoặc thậm chí disconnect. Điểm rất quan trọng: Client quyết định roaming


Trong Wi-Fi, thông thường client mới là thiết bị đưa ra quyết định cuối cùng về thời điểm và AP mà nó sẽ roam sang.

AP/WLC có thể cung cấp thông tin và hỗ trợ client, nhưng không hoàn toàn điều khiển hành vi roaming của tất cả thiết bị.

Đây chính là ý nghĩa của hình trên.

Các loại client khác nhau có thể sử dụng roaming threshold khác nhau. Hình minh họa:
  • iPhone/iPad có thể roam khoảng -70 dBm.
  • MacBook Pro có thể roam khoảng -75 dBm.

Do đó, cùng đứng tại một vị trí, smartphone có thể đã chuyển sang AP mới trong khi laptop vẫn “bám” AP cũ.

Hiện tượng client tiếp tục bám AP mặc dù tín hiệu đã yếu thường được gọi là Sticky Client. RSSI và Cell Edge


RSSI (Received Signal Strength Indicator) biểu diễn cường độ tín hiệu mà client nhận được, thường thể hiện bằng dBm.

Ví dụ:

-50 dBm → rất mạnh
-60 dBm → tốt
-67 dBm → thường là mục tiêu tốt cho voice/real-time applications
-70 đến -75 dBm → nhiều client bắt đầu cân nhắc roaming
-80 dBm → kết nối yếu

Các con số này chỉ mang tính định hướng; hành vi thực tế còn phụ thuộc thiết bị, driver, OS, band, ứng dụng và thuật toán roaming của vendor.

Một điểm đáng chú ý trong hình là “-49 dBm cell edge”. Nếu thực sự thiết kế cell edge ở mức -49 dBm thì vùng phủ giữa các AP sẽ rất mạnh và có thể tạo quá nhiều cell overlap.

Wireless Engineer không nên đơn giản nghĩ:
Càng nhiều AP + tín hiệu càng mạnh = Wi-Fi càng tốt.

Quá nhiều AP cũng có thể làm tăng contention, co-channel interference và khiến client có quá nhiều AP candidate. 802.11k/v/r giúp roaming như thế nào?


Hình đề cập 802.11v/k; trong thực tế khi nói về tối ưu roaming, chúng ta thường gặp bộ ba 802.11k, 802.11v và 802.11r.

802.11k – Neighbor Report: giúp client biết những AP lân cận nào là ứng viên roaming. Client không phải scan toàn bộ channel một cách thiếu định hướng.

802.11v – BSS Transition Management: mạng có thể đề xuất client chuyển sang AP/BSS phù hợp hơn. Tuy nhiên, quyết định cuối cùng vẫn phụ thuộc client.

802.11r – Fast BSS Transition: tối ưu quá trình authentication/key establishment khi client chuyển AP, giúp giảm thời gian roaming. Điều này đặc biệt hữu ích với VoIP, video conference và các ứng dụng real-time.

Có thể nhớ đơn giản:
802.11k → Đi đâu?
802.11v → Nên đi đâu?
802.11r → Đi nhanh hơn.
Vì sao roaming là bài toán khó?


Roaming không chỉ phụ thuộc vào AP hay WLC. Nó là kết quả tương tác giữa:

RF Design + AP Placement + Client Behavior + Driver/OS + Authentication + WLAN Configuration + 802.11k/v/r

Vì vậy, một hệ thống có signal coverage rất tốt chưa chắc đã có roaming tốt.

Đây là khác biệt quan trọng giữa:

“Wi-Fi có sóng”

và

“Wi-Fi được thiết kế đúng cho mobility.”

Với môi trường enterprise có voice/video và người dùng di chuyển nhiều, Wireless Engineer cần quan tâm không chỉ coverage, mà cả cell overlap, SNR, channel plan, minimum data rate, client capability và roaming latency.
​]]> CCNP Wireless dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/444425-roaming-trong-mạng-wi-fi-là-gì SDN Controller https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/444241-sdn-controller Tue, 25 Aug 2026 11:40:23 GMT Hình trên mô tả cách SDN Controller đơn giản hóa việc vận hành và tự động hóa mạng, với hai ví dụ điển hình là Cisco Catalyst Center và Cisco Meraki... SDN Controller đơn giản hóa việc vận hành và tự động hóa mạng, với hai ví dụ điển hình là Cisco Catalyst Center và Cisco Meraki Dashboard.

Trong mạng truyền thống, kỹ sư thường phải đăng nhập vào từng router, switch hoặc wireless controller để cấu hình VLAN, routing, SSID, policy hay QoS. Khi số lượng thiết bị tăng lên hàng trăm hoặc hàng nghìn, cách làm này vừa tốn thời gian vừa dễ gây ra configuration drift và lỗi do con người.

Với kiến trúc SDN, controller trở thành lớp trung gian giữa ý định của người quản trị (Intent) và hạ tầng vật lý. Ví dụ, thay vì cấu hình hàng chục switch để triển khai một VLAN, chúng ta chỉ cần khai báo yêu cầu ở mức cao: “Nhóm Finance phải được kết nối vào mạng Finance và áp dụng policy tương ứng.” Controller sẽ chuyển intent đó thành cấu hình cụ thể và triển khai xuống các thiết bị phù hợp.

Chiều ngược lại trong hình là Context. Router, switch và hệ thống wireless liên tục cung cấp thông tin về topology, client, trạng thái interface, hiệu năng và telemetry cho controller. Nhờ đó controller có cái nhìn tập trung về tình trạng toàn mạng để giám sát, phân tích và kiểm tra xem Intent có thực sự được đáp ứng hay không.

Điểm quan trọng hơn nữa là Catalyst Center và Meraki cung cấp API, cho phép Python, Ansible, Terraform và các công cụ DevOps tương tác với controller thay vì phải cấu hình trực tiếp từng thiết bị.

Có thể hình dung chuỗi hoạt động:

Automation Tools → API → Controller → Intent → Network → Context → Controller

Đây chính là nền tảng của Network Programmability, Automation và Intent-Based Networking (IBN): kỹ sư chuyển dần từ “cấu hình từng thiết bị” sang “định nghĩa mạng cần đạt trạng thái gì”.​]]> CCNP Wireless dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/444241-sdn-controller IP vulnerability https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/443958-ip-vulnerability Tue, 18 Aug 2026 02:41:27 GMT Các lỗ hổng của IP – Vì sao không nên tin một gói tin chỉ vì địa chỉ nguồn? IP (Internet Protocol) là nền tảng của Internet. Nhưng có một điểm... Các lỗ hổng của IP – Vì sao không nên tin một gói tin chỉ vì địa chỉ nguồn?


IP (Internet Protocol) là nền tảng của Internet. Nhưng có một điểm rất quan trọng:
IP được thiết kế để chuyển packet đến đích, không phải để xác minh danh tính người gửi.

Đây là cơ sở để nhiều kiểu tấn công như IP Spoofing, MITM, Session Hijacking, DoS và DDoS có thể xảy ra.

1. Điểm yếu nằm trong cách IP hoạt động


IP là giao thức connectionless, hoạt động theo nguyên tắc best-effort. Bản thân IP không đảm bảo:
  • Packet chắc chắn đến nơi.
  • Packet đến đúng thứ tự.
  • Source IP thực sự thuộc về thiết bị gửi.

Ví dụ:

Source: 10.10.10.10 → Destination: 192.168.1.10

Thiết bị nhận có thể xử lý packet dựa trên Source IP này, nhưng IPv4 không tự chứng minh rằng người gửi thực sự là 10.10.10.10.
2. IP Spoofing – Giả mạo địa chỉ IP


IP Address Spoofing xảy ra khi attacker tạo packet với Source IP giả.

Attacker → [Source IP giả] → Server

Server có thể tưởng packet đến từ một hệ thống hợp lệ.

IP Spoofing đặc biệt hữu ích với attacker khi chúng không cần nhận traffic trả về, chẳng hạn trong một số cuộc tấn công DoS/DDoS hoặc reflection/amplification.

Các biện pháp như ACL, Ingress/Egress Filtering và uRPF có thể giúp hạn chế spoofing.
3. Man-in-the-Middle – Đứng giữa hai bên


Trong MITM (Man-in-the-Middle), attacker tìm cách chen vào giữa hai hệ thống:

Client ←→ Attacker ←→ Server

Attacker có thể đọc, sao chép, sửa đổi rồi chuyển tiếp traffic.

Nếu attacker chỉ bí mật thu thập traffic mà không sửa đổi, hành vi này thường được gọi là Eavesdropping – nghe lén.

Đó là lý do các giao thức mã hóa như TLS/HTTPS, SSH và IPsec rất quan trọng.
4. Session Hijacking – Cướp phiên làm việc


Session Hijacking xảy ra khi attacker chiếm quyền kiểm soát một phiên giao tiếp hợp lệ.

Người dùng có thể đã:

Password → MFA → Authentication thành công

nhưng attacker tìm cách chiếm phiên sau khi xác thực hoàn tất.

Vì vậy, bảo mật không chỉ dừng ở việc xác minh người dùng khi đăng nhập mà còn phải bảo vệ toàn bộ phiên làm việc sau đó.
5. DoS – Làm dịch vụ mất khả dụng


Denial-of-Service (DoS) nhằm khiến hệ thống không còn khả năng phục vụ người dùng hợp pháp.

Attacker có thể làm cạn:
  • CPU và Memory
  • Packet Buffer
  • Bandwidth
  • Connection/Session Table
  • Control Plane

DoS chủ yếu đánh vào chữ A – Availability trong bộ ba CIA: Confidentiality – Integrity – Availability.
6. DDoS – Khi nhiều thiết bị cùng tấn công


Nguy hiểm hơn DoS là DDoS – Distributed Denial of Service.

Điểm cần nhớ:
DDoS là cuộc tấn công đồng thời, có phối hợp từ nhiều máy nguồn khác nhau.

Ví dụ:
Bot 1 ──┐
Bot 2 ──┤
Bot 3 ──┼──► Web Server
Bot 4 ──┤
... │
Bot N ──┘

Một botnet có thể gồm hàng nghìn hoặc hàng triệu thiết bị cùng gửi traffic đến mục tiêu. Vì nguồn tấn công phân tán và có thể xen lẫn traffic hợp lệ, DDoS khó ngăn chặn hơn DoS thông thường.
7. Resource Exhaustion – Làm thiết bị "kiệt sức"


Resource Exhaustion Attack là một dạng DoS nhằm làm cạn tài nguyên của hệ thống.

Với Router, attacker có thể nhắm vào:
  • CPU
  • Memory
  • Bandwidth
  • Routing resources
  • VTY/Management Sessions
  • Control Plane

Router có thể vẫn hoạt động, interface vẫn UP, nhưng khả năng forwarding hoặc quản trị đã suy giảm nghiêm trọng.

Đây là lý do Network Engineer cần hiểu các cơ chế như CoPP (Control Plane Policing), Rate Limiting và Infrastructure ACL (iACL).
🎯 Câu hỏi thường gặp


Which IP attack type is a simultaneous, coordinated attack from multiple source machines?

A. Rogue DHCP attack
B. DDoS attack ✅
C. MITM attack
D. MAC address flooding attack

Từ khóa:

multiple sources + simultaneous + coordinated → DDoS
​]]> CCNP Wireless dangquangminh https://www.forum.vnpro.org/forum/ccnp-enterprise/wireless/443958-ip-vulnerability