Vietnamese Professional - CISCO ISE https://www.forum.vnpro.org/ vi Wed, 22 Jul 2026 12:31:30 GMT vBulletin 60 images/misc/rss.png Vietnamese Professional - CISCO ISE https://www.forum.vnpro.org/ Kiểm Soát Truy Cập Vật Lý (Physical Access Control) https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442965-kiểm-soát-truy-cập-vật-lý-physical-access-control Tue, 21 Jul 2026 00:23:19 GMT Kiểm Soát Truy Cập Vật Lý (Physical Access Control) Khi xây dựng chính sách bảo mật mạng, nhiều tổ chức tập trung vào Firewall, IDS/IPS hay MFA... Kiểm Soát Truy Cập Vật Lý (Physical Access Control)


Khi xây dựng chính sách bảo mật mạng, nhiều tổ chức tập trung vào Firewall, IDS/IPS hay MFA nhưng lại bỏ qua một yếu tố rất cơ bản: bảo mật vật lý cho thiết bị mạng.

Thực tế, nếu kẻ tấn công có thể tiếp cận trực tiếp Router, Switch, Firewall hoặc Wireless Controller, họ hoàn toàn có thể tìm cách chiếm quyền quản trị, đánh cắp dữ liệu hoặc làm gián đoạn hoạt động của toàn bộ hệ thống.

Vì vậy, bảo vệ quyền truy cập vật lý vào các giao diện quản trị của thiết bị mạng là một trong những lớp phòng thủ quan trọng nhất để ngăn chặn truy cập trái phép, hành vi phá hoại và khai thác lỗ hổng.

Mục tiêu của bảo mật vật lý rất đơn giản: ngăn những người không được phép tiếp cận thiết bị ngay từ đầu, từ đó giảm đáng kể nguy cơ xâm nhập vào hệ thống mạng. Các biện pháp kiểm soát truy cập vật lý

1. Secure Physical Access


Thiết bị mạng nên được đặt trong:
  • Phòng máy hoặc Data Center có khóa và kiểm soát ra vào.
  • Tủ Rack có khóa nếu không có phòng máy riêng.

Điều này giúp hạn chế tối đa khả năng tiếp cận trực tiếp thiết bị.
2. Authorized Personnel Only


Chỉ nhân viên CNTT hoặc quản trị viên được ủy quyền mới được phép tiếp cận thiết bị mạng.

Không nên cho phép nhân viên không thuộc bộ phận IT, nhân viên vệ sinh hoặc nhà thầu tự do ra vào khu vực đặt thiết bị. Tại nhiều doanh nghiệp, các công việc như vệ sinh hoặc bảo trì trong phòng máy đều được thực hiện dưới sự giám sát của đội ngũ IT.
3. Physical Access Controls


Nên triển khai các giải pháp kiểm soát truy cập vật lý như:
  • Thẻ từ (Badge hoặc Keycard)
  • Máy quét vân tay hoặc sinh trắc học
  • Hệ thống kiểm soát cửa ra vào

Đây là các biện pháp phổ biến để bảo vệ phòng máy, Data Center và Trung tâm vận hành mạng (NOC).
4. Limited Console Access


Cổng Console cũng là một giao diện quản trị quan trọng và cần được bảo vệ.

Một số khuyến nghị gồm:
  • Vô hiệu hóa các cổng Console không sử dụng.
  • Yêu cầu xác thực mạnh trước khi truy cập.
  • Mỗi quản trị viên sử dụng tài khoản riêng, không dùng chung tài khoản quản trị.
  • Xác thực tập trung thông qua TACACS+ hoặc RADIUS để dễ quản lý và ghi nhận nhật ký truy cập.

Nhờ đó, doanh nghiệp có thể theo dõi chính xác ai đã đăng nhập, thực hiện thay đổi gì và vào thời điểm nào.
Góc nhìn thực tế


Trong nhiều sự cố an ninh, kẻ tấn công không cần khai thác lỗ hổng phần mềm mà chỉ cần tiếp cận được thiết bị vật lý. Một cổng Console bị bỏ ngỏ hoặc một tủ Rack không khóa cũng có thể trở thành điểm khởi đầu cho một cuộc tấn công nghiêm trọng.

Đó là lý do các tiêu chuẩn như ISO 27001, NIST hay PCI DSS đều yêu cầu doanh nghiệp triển khai các biện pháp kiểm soát truy cập vật lý song song với các cơ chế bảo mật logic.
Câu hỏi ôn tập


What are two widely used AAA protocols? (Choose Two)

✅ RADIUS

✅ TACACS+

Đáp án: RADIUS và TACACS+. Đây là hai giao thức AAA (Authentication, Authorization and Accounting) được sử dụng rộng rãi để xác thực, phân quyền và ghi nhận hoạt động của quản trị viên khi truy cập vào các thiết bị mạng.​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442965-kiểm-soát-truy-cập-vật-lý-physical-access-control <![CDATA[Web Portal trong Cisco ISE – &quot;Cửa kiểm soát thông minh&quot; trước khi người dùng được vào mạng]]> https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442760-web-portal-trong-cisco-ise-–-cửa-kiểm-soát-thông-minh-trước-khi-người-dùng-được-vào-mạng Wed, 15 Jul 2026 21:28:29 GMT Web Portal trong Cisco ISE – "Cửa kiểm soát thông minh" trước khi người dùng được vào mạng


Trong nhiều doanh nghiệp, kết nối được Wi-Fi không có nghĩa là đã được vào mạng.

Bạn có thể đã gặp tình huống này ở khách sạn, sân bay hoặc văn phòng: vừa kết nối xong, trình duyệt lập tức mở một trang yêu cầu đăng nhập, đăng ký thiết bị hoặc chấp nhận điều khoản sử dụng.

Đó chính là Web Portal.

Nếu 802.1X là người gác cổng thì Web Portal chính là quầy kiểm tra an ninh, nơi Cisco ISE quyết định người dùng hoặc thiết bị cần hoàn thành những thủ tục nào trước khi được cấp quyền truy cập.
Central Web Authentication (CWA)


Đây là Portal được sử dụng phổ biến nhất.

Thay vì xác thực bằng 802.1X, người dùng sẽ đăng nhập trực tiếp trên trang web.

Đối tượng có thể là:
  • Nhân viên.
  • Khách đến làm việc.
  • Đối tác.
  • Nhà thầu.
  • Khách hàng.

Sau khi xác thực thành công, Cisco ISE sẽ cấp quyền truy cập phù hợp theo chính sách của doanh nghiệp.
Client Provisioning


Nếu thiết bị chưa sẵn sàng cho 802.1X, Cisco ISE sẽ chuyển hướng đến Provisioning Portal.

Portal này có thể tự động:
  • Cài Cisco Secure Client.
  • Cấu hình Supplicant.
  • Cài chứng chỉ số.
  • Thiết lập các thông số bảo mật.

Sau đó, thiết bị có thể xác thực bằng 802.1X và truy cập mạng theo đúng chính sách.
Posture Assessment


Đăng nhập thành công không đồng nghĩa với việc thiết bị đủ an toàn.

Cisco ISE có thể kiểm tra:
  • Hệ điều hành đã cập nhật chưa.
  • Antivirus có hoạt động không.
  • Firewall có đang bật không.
  • Thiết bị có tuân thủ chính sách bảo mật hay không.

Chỉ những thiết bị đạt yêu cầu mới được cấp quyền đầy đủ.
Device Registration (Hotspot)


Đây là Portal quen thuộc tại khách sạn, sân bay hoặc quán cà phê.

Người dùng chỉ cần đăng ký thiết bị mà không cần tài khoản doanh nghiệp, sau đó được phép truy cập Internet theo chính sách đã cấu hình.
BYOD On-boarding


Cho phép nhân viên tự đăng ký laptop hoặc điện thoại cá nhân ngay trong lần kết nối đầu tiên.

Cisco ISE sẽ nhận diện thiết bị, cài chứng chỉ (nếu cần) và lưu thông tin để các lần kết nối sau diễn ra nhanh chóng, liền mạch.
External Web Pages và MDM


Cisco ISE cũng có thể tích hợp với:
  • Trang web của doanh nghiệp.
  • Cổng thanh toán hoặc đăng ký dịch vụ.
  • Các nền tảng Mobile Device Management (MDM).

Nhờ đó, hệ thống có thể kiểm tra xem thiết bị di động đã được quản lý, có bị Root/Jailbreak hay có đáp ứng chính sách bảo mật trước khi cấp quyền truy cập.
Kết luận


Web Portal trong Cisco ISE không đơn thuần là một trang đăng nhập, mà là điểm kiểm soát đầu tiên của toàn bộ hệ thống Network Access Control. Từ Central Web Authentication (CWA), Client Provisioning, Posture Assessment, Device Registration đến BYOD On-boarding, mọi quy trình đều hướng tới một mục tiêu: chỉ cấp quyền truy cập cho đúng người, đúng thiết bị và đúng trạng thái bảo mật. Trong kiến trúc Zero Trust, Web Portal chính là "cửa kiểm tra thông minh" giúp doanh nghiệp biến việc kết nối mạng từ một hành động tự động thành một quy trình được kiểm soát chặt chẽ theo danh tính và chính sách bảo mật.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442760-web-portal-trong-cisco-ise-–-cửa-kiểm-soát-thông-minh-trước-khi-người-dùng-được-vào-mạng WebAuth – Vì Sao Hầu Hết Guest Wi-Fi Đều Chuyển Bạn Đến Một Trang Đăng Nhập? https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442710-webauth-–-vì-sao-hầu-hết-guest-wi-fi-đều-chuyển-bạn-đến-một-trang-đăng-nhập Tue, 14 Jul 2026 22:50:30 GMT WebAuth – Vì Sao Hầu Hết Guest Wi-Fi Đều Chuyển Bạn Đến Một Trang Đăng Nhập? Bạn đã bao giờ kết nối Wi-Fi ở khách sạn, sân bay, quán cà phê hay... WebAuth – Vì Sao Hầu Hết Guest Wi-Fi Đều Chuyển Bạn Đến Một Trang Đăng Nhập?


Bạn đã bao giờ kết nối Wi-Fi ở khách sạn, sân bay, quán cà phê hay văn phòng doanh nghiệp, nhưng trước khi truy cập Internet lại bị chuyển đến một trang yêu cầu đăng nhập hoặc chấp nhận điều khoản sử dụng?

Đó chính là Web Authentication (WebAuth), một cơ chế xác thực được sử dụng rất phổ biến trong các hệ thống mạng doanh nghiệp hiện đại.

Thay vì yêu cầu người dùng cài đặt phần mềm hoặc cấu hình 802.1X, WebAuth cho phép xác thực thông qua một Captive Portal trên trình duyệt. Cách tiếp cận này vừa đơn giản với người dùng, vừa giúp doanh nghiệp kiểm soát ai đang truy cập vào hệ thống.
WebAuth là gì?


Web Authentication (WebAuth) là cơ chế xác thực cho phép người dùng truy cập mạng thông qua một cổng đăng nhập web (Captive Portal) sử dụng giao thức HTTP hoặc HTTPS.

Khi thiết bị kết nối vào mạng, mọi yêu cầu truy cập sẽ được tự động chuyển hướng đến trang đăng nhập. Chỉ sau khi xác thực thành công, người dùng mới được cấp quyền truy cập theo chính sách của doanh nghiệp.

WebAuth được triển khai phổ biến trên Cisco ISE, Wireless LAN Controller (WLC) và nhiều giải pháp Next-Generation Firewall (NGFW).
WebAuth Được Sử Dụng Khi Nào?

Guest Wi-Fi


Đây là ứng dụng phổ biến nhất của WebAuth.

Khách hàng hoặc đối tác chỉ cần kết nối vào Guest Wi-Fi, mở trình duyệt và đăng nhập qua Captive Portal để sử dụng Internet hoặc các dịch vụ được cấp phép.

Doanh nghiệp vừa mang lại trải nghiệm thuận tiện, vừa kiểm soát được danh tính và thời gian truy cập của khách.
Giải Pháp Dự Phòng Cho 802.1X


Không phải thiết bị nào cũng có 802.1X Supplicant, hoặc đôi khi Supplicant bị lỗi hay cấu hình chưa đúng.

Trong những trường hợp này, WebAuth đóng vai trò Fallback Authentication, giúp người dùng vẫn có thể xác thực mà không làm gián đoạn công việc.
Hỗ Trợ BYOD


Đối với các thiết bị cá nhân (BYOD), doanh nghiệp thường không muốn yêu cầu người dùng cấu hình 802.1X.

WebAuth là giải pháp đơn giản để xác thực người dùng trước khi cấp quyền truy cập theo chính sách bảo mật.
WebAuth Hoạt Động Như Thế Nào?


Quy trình hoạt động diễn ra khá đơn giản:
  1. Người dùng kết nối vào mạng.
  2. Hệ thống tự động chuyển hướng đến Captive Portal.
  3. Người dùng đăng nhập qua HTTP hoặc HTTPS.
  4. Cisco ISE hoặc hệ thống Identity xác thực thông tin.
  5. Sau khi xác thực thành công, Role-Based Access Control (RBAC) được áp dụng.
  6. Người dùng chỉ được truy cập đúng những tài nguyên được phép.
Không Chỉ Đăng Nhập, WebAuth Còn Kiểm Soát Quyền Truy Cập


Điểm mạnh của WebAuth không nằm ở trang đăng nhập, mà ở những gì diễn ra sau khi đăng nhập.

Thông qua Role-Based Access Control (RBAC), doanh nghiệp có thể cấp các mức quyền khác nhau:
  • Guest chỉ được truy cập Internet.
  • Đối tác được phép sử dụng một số ứng dụng nội bộ.
  • Nhân viên được truy cập đầy đủ tài nguyên theo đúng vai trò.

Đây cũng là cách nhiều doanh nghiệp hiện thực hóa mô hình Zero Trust, trong đó mọi kết nối đều phải được xác thực và phân quyền trước khi được phép truy cập.
Lợi Ích Của WebAuth


WebAuth mang lại nhiều lợi ích trong triển khai Network Access Control (NAC):
  • Không cần cài đặt phần mềm hoặc 802.1X Supplicant.
  • Triển khai nhanh cho Guest Wi-Fi và BYOD.
  • Hoạt động như cơ chế dự phòng khi 802.1X không khả dụng.
  • Tích hợp với Cisco ISE để xác thực và phân quyền tập trung.
  • Kết hợp RBAC để kiểm soát quyền truy cập theo từng nhóm người dùng.
Kết Luận


Trong môi trường doanh nghiệp hiện đại, WebAuth không chỉ là một trang đăng nhập Wi-Fi. Đây là cơ chế giúp doanh nghiệp xác thực người dùng, kiểm soát quyền truy cập và bảo vệ tài nguyên nội bộ mà vẫn đảm bảo trải nghiệm đơn giản cho khách và người dùng BYOD.

Khi kết hợp với Cisco ISE, RBAC và các chính sách Network Access Control, WebAuth trở thành một mảnh ghép quan trọng trong kiến trúc Zero Trust. Đăng nhập chỉ là bước khởi đầu; điều quan trọng hơn là mỗi người dùng chỉ được cấp đúng quyền truy cập cần thiết và không nhiều hơn thế.
Câu hỏi ôn tập: Mục đích chính của WebAuth là gì?
Đáp án: Cho phép người dùng, đặc biệt là Guest, truy cập mạng thông qua cơ chế xác thực HTTP hoặc HTTPS bằng Captive Portal.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442710-webauth-–-vì-sao-hầu-hết-guest-wi-fi-đều-chuyển-bạn-đến-một-trang-đăng-nhập Mab https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442694-mab Tue, 14 Jul 2026 11:23:03 GMT MAC Authentication Bypass (MAB) – Giải Pháp Xác Thực Cho Những Thiết Bị Không Hỗ Trợ 802.1X Trong một mạng doanh nghiệp hiện đại, không phải mọi... MAC Authentication Bypass (MAB) – Giải Pháp Xác Thực Cho Những Thiết Bị Không Hỗ Trợ 802.1X


Trong một mạng doanh nghiệp hiện đại, không phải mọi thiết bị đều hỗ trợ 802.1X. Máy in, điện thoại IP, camera IP, máy chấm công, thiết bị IoT hay các hệ thống công nghiệp thường không có khả năng chạy Supplicant để thực hiện xác thực 802.1X.

Nếu chỉ cho phép 802.1X, nhiều thiết bị hợp lệ sẽ không thể kết nối mạng. Ngược lại, nếu mở cổng mạng hoàn toàn, doanh nghiệp lại đối mặt với nguy cơ truy cập trái phép.

Đó là lúc MAC Authentication Bypass (MAB) phát huy vai trò, trở thành giải pháp giúp doanh nghiệp nhận diện và kiểm soát các thiết bị không hỗ trợ 802.1X.
MAB là gì?


MAC Authentication Bypass (MAB) là cơ chế xác thực sử dụng địa chỉ MAC của thiết bị làm thông tin đăng nhập.

Khi một thiết bị không thể thực hiện 802.1X, Access Switch sẽ lấy địa chỉ MAC của thiết bị và gửi đến máy chủ RADIUS (chẳng hạn Cisco ISE), trong đó MAC Address được sử dụng làm Username và Password để thực hiện xác thực.

Nếu MAC Address tồn tại trong cơ sở dữ liệu của RADIUS Server, thiết bị sẽ được cấp quyền truy cập theo chính sách đã cấu hình.
MAB Hoạt Động Như Thế Nào?


Quy trình hoạt động của MAB khá đơn giản:
  1. Thiết bị kết nối vào Access Switch.
  2. Switch chờ quá trình xác thực 802.1X nhưng không nhận được phản hồi.
  3. Switch tự động chuyển sang cơ chế MAC Authentication Bypass.
  4. Địa chỉ MAC của thiết bị được gửi đến RADIUS Server.
  5. RADIUS xác thực MAC Address và trả về chính sách truy cập phù hợp.
  6. Switch áp dụng các quyền được cấp cho thiết bị.

Nhờ vậy, các thiết bị không hỗ trợ 802.1X vẫn có thể được kiểm soát thay vì được phép truy cập tự do.
MAB Có An Toàn Không?


MAB là hình thức xác thực cơ bản nhất trong các giải pháp Network Access Control (NAC).

Điểm yếu lớn nhất là địa chỉ MAC rất dễ bị giả mạo (MAC Spoofing). Một kẻ tấn công chỉ cần sao chép địa chỉ MAC của một thiết bị hợp lệ là có thể vượt qua bước xác thực ban đầu.

Vì vậy, MAB không nên được xem là cơ chế xác thực mạnh, mà chủ yếu đóng vai trò nhận diện thiết bị (Device Identification) khi 802.1X không khả thi.
Làm Thế Nào Để Tăng Cường Bảo Mật Cho MAB?


Mặc dù bản thân MAB không đủ mạnh, doanh nghiệp vẫn có thể kết hợp với nhiều cơ chế khác để giảm thiểu rủi ro.

Ví dụ:
  • Dynamic VLAN Assignment: Tự động đưa thiết bị vào đúng VLAN sau khi xác thực.
  • Downloadable ACL (dACL) hoặc ACL: Chỉ cho phép thiết bị truy cập các dịch vụ cần thiết.
  • Endpoint Profiling: Cisco ISE xác định loại thiết bị (máy in, camera, IP Phone...) để áp dụng chính sách phù hợp.
  • Behavior Monitoring: Theo dõi hành vi bất thường nhằm phát hiện các trường hợp giả mạo hoặc thiết bị bị xâm nhập.

Sự kết hợp này giúp MAB trở thành một phần hiệu quả trong kiến trúc Defense in Depth và Zero Trust, thay vì chỉ dựa vào địa chỉ MAC.
Ví Dụ Thực Tế


Giả sử một doanh nghiệp chỉ muốn máy in của công ty được phép kết nối mạng.

Khi máy in được cắm vào Access Switch, thiết bị sẽ được xác thực bằng MAB. Sau khi Cisco ISE xác nhận địa chỉ MAC hợp lệ, hệ thống sẽ:
  • Đưa máy in vào Printer VLAN.
  • Áp dụng ACL chỉ cho phép thực hiện các dịch vụ in ấn.
  • Chặn mọi kết nối không liên quan, chẳng hạn truy cập máy chủ hoặc Internet.

Nhờ đó, ngay cả khi thiết bị bị khai thác, phạm vi ảnh hưởng vẫn được giới hạn bởi chính sách mạng.
Kết Luận


MAC Authentication Bypass (MAB) là giải pháp thực tế để xác thực các thiết bị không hỗ trợ 802.1X, đặc biệt trong các môi trường có nhiều máy in, IP Phone, camera IP và thiết bị IoT.

Tuy nhiên, do MAC Address có thể bị giả mạo, MAB không nên được sử dụng như cơ chế bảo mật duy nhất. Khi kết hợp với Dynamic VLAN Assignment, ACL, Endpoint Profiling và giám sát hành vi, MAB sẽ trở thành một thành phần quan trọng trong hệ thống Network Access Control (NAC), giúp doanh nghiệp cân bằng giữa khả năng kết nối, quản lý thiết bị và bảo mật mạng. Đây cũng là lý do trong nhiều triển khai Cisco ISE hiện nay, 802.1X được ưu tiên cho người dùng, còn MAB đóng vai trò bổ sung cho các thiết bị không thể triển khai 802.1X.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442694-mab CoA https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442665-coa Mon, 13 Jul 2026 09:00:57 GMT CoA – "Nâng hạng" quyền truy cập mà không cần đăng nhập lại


Một trong những tính năng mạnh nhất của Cisco ISE nhưng lại ít được nhắc đến là Change of Authorization (CoA).

Thông thường, nhiều người nghĩ rằng sau khi 802.1X xác thực thành công, quyền truy cập sẽ giữ nguyên cho đến khi người dùng ngắt kết nối.

Thực tế không phải vậy.

Trong một mạng hiện đại, quyền truy cập có thể thay đổi bất kỳ lúc nào nếu trạng thái của người dùng hoặc thiết bị thay đổi.

Đó chính là nhiệm vụ của CoA.
Hãy tưởng tượng bạn vào một tòa nhà văn phòng


Bạn quẹt thẻ tại cổng.

Bảo vệ xác nhận danh tính và cho phép bạn đi vào sảnh.

Nhưng điều đó không có nghĩa bạn được phép vào phòng máy chủ hay trung tâm dữ liệu.

Trước tiên, bạn có thể phải:
  • Kiểm tra thẻ nhân viên.
  • Xác minh lịch hẹn.
  • Hoàn thành khóa đào tạo an toàn.
  • Đeo đúng thẻ nhận diện.

Sau khi hoàn tất các yêu cầu này, bộ phận an ninh sẽ nâng quyền truy cập mà không yêu cầu bạn ra ngoài rồi quẹt thẻ lại.

CoA hoạt động gần như vậy.
Ban đầu chỉ được cấp quyền tối thiểu


Ngay sau khi xác thực 802.1X thành công, Cisco ISE không nhất thiết cấp toàn bộ quyền truy cập.

Thay vào đó, thiết bị thường chỉ được phép sử dụng những dịch vụ cần thiết như:
  • DHCP
  • DNS
  • Truy cập Cisco ISE
  • Máy chủ cập nhật
  • Máy chủ Remediation

Mục tiêu là để ISE có thời gian đánh giá thiết bị trước khi trao quyền đầy đủ.
Cisco ISE tiếp tục "quan sát" thiết bị


Trong khi người dùng đã kết nối, Cisco ISE vẫn âm thầm thực hiện nhiều tác vụ như:
  • Profiling để nhận diện loại thiết bị.
  • Posture Assessment để kiểm tra trạng thái bảo mật.
  • BYOD để đăng ký thiết bị cá nhân.
  • Web Authentication nếu cần xác thực qua trình duyệt.

Ví dụ, nếu phát hiện máy tính:
  • Đã cài phần mềm chống mã độc.
  • Bật tường lửa.
  • Cập nhật đầy đủ bản vá.
  • Tuân thủ chính sách bảo mật.

ISE sẽ quyết định rằng thiết bị đủ điều kiện để nhận quyền truy cập cao hơn.
CoA xuất hiện đúng lúc


Thay vì yêu cầu người dùng rút cáp mạng hoặc đăng nhập lại, Cisco ISE chỉ cần gửi một bản tin:

Change of Authorization (CoA)

đến Switch hoặc Wireless Controller.

Ngay lập tức, thiết bị mạng sẽ cập nhật chính sách cho phiên kết nối đang hoạt động.

Ví dụ:
  • Thay dACL mới.
  • Chuyển sang VLAN khác.
  • Gán Security Group Tag (SGT) mới.
  • Mở thêm quyền truy cập vào hệ thống nội bộ.

Tất cả diễn ra trong vài giây và hầu như người dùng không nhận ra có sự thay đổi.

Đó chính là sức mạnh của CoA.
Vì sao CoA quan trọng trong Zero Trust?


Trong kiến trúc Zero Trust, quyền truy cập không phải là cố định.

Một thiết bị có thể được cấp nhiều quyền hơn khi đáp ứng đầy đủ yêu cầu bảo mật, nhưng cũng có thể bị hạ quyền hoặc cô lập ngay lập tức nếu không còn tuân thủ chính sách.

Ví dụ:
  • Phần mềm chống mã độc bị tắt.
  • Thiếu bản vá bảo mật quan trọng.
  • Thiết bị có dấu hiệu bị xâm nhập.

Cisco ISE có thể gửi một bản tin CoA để thay đổi quyền truy cập của phiên đang hoạt động mà không cần ngắt kết nối. Nhờ đó, hệ thống phản ứng gần như theo thời gian thực trước những thay đổi về trạng thái bảo mật.
Kết luận


Nếu Authentication trả lời câu hỏi "Bạn là ai?" và Authorization quyết định "Bạn được phép truy cập những gì?", thì Change of Authorization (CoA) trả lời câu hỏi "Khi trạng thái của bạn thay đổi, quyền truy cập có cần thay đổi theo không?". Đây là cơ chế giúp Cisco ISE điều chỉnh quyền truy cập động trong suốt vòng đời của phiên kết nối, từ việc áp dụng Downloadable ACL (dACL), thay đổi VLAN, cập nhật Security Group Tag (SGT) cho đến cô lập thiết bị không còn đáp ứng yêu cầu bảo mật. Chính khả năng này giúp CoA trở thành một thành phần quan trọng trong các triển khai Cisco ISE, TrustSec, Software-Defined Access (SDA) và Zero Trust, nơi quyền truy cập luôn được đánh giá và điều chỉnh liên tục thay vì chỉ quyết định một lần tại thời điểm đăng nhập.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442665-coa <![CDATA[Triển khai 802.1X theo từng giai đoạn – Đừng bật &quot;Closed Mode&quot; ngay ngày đầu]]> https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442628-triển-khai-802-1x-theo-từng-giai-đoạn-–-đừng-bật-closed-mode-ngay-ngày-đầu Mon, 13 Jul 2026 00:27:20 GMT Triển khai 802.1X theo từng giai đoạn – Đừng bật "Closed Mode" ngay ngày đầu


Một trong những sai lầm phổ biến khi triển khai 802.1X là bật chế độ bảo mật cao nhất ngay từ đầu.

Kết quả thường rất dễ đoán:
  • Máy in mất kết nối.
  • Camera IP ngừng hoạt động.
  • Điện thoại IP không đăng ký được.
  • Người dùng không vào được mạng.
  • Bộ phận IT phải "chữa cháy" cả ngày.

Đó là lý do Cisco khuyến nghị triển khai 802.1X theo từng giai đoạn, giúp doanh nghiệp tăng cường bảo mật mà không làm gián đoạn hoạt động.
1. Monitor Mode – Quan sát trước, chưa siết chặt


Đây là điểm khởi đầu lý tưởng.

Switch vẫn thực hiện xác thực 802.1X đối với các thiết bị hỗ trợ, nhưng dù xác thực thất bại hoặc thiết bị không hỗ trợ 802.1X thì vẫn được phép truy cập mạng bình thường.

Mục tiêu của Monitor Mode không phải để chặn truy cập, mà để thu thập dữ liệu.

Bạn sẽ biết:
  • Có những thiết bị nào đang kết nối.
  • Chúng kết nối vào switch và cổng nào.
  • Thiết bị nào hỗ trợ 802.1X.
  • Thiết bị nào chưa có chứng chỉ hoặc thông tin xác thực hợp lệ.

Đây giống như việc lắp camera an ninh trước khi dựng hàng rào. Bạn cần hiểu môi trường của mình trước khi áp dụng các chính sách mạnh hơn.
2. Low-Impact Mode – Bắt đầu siết dần


Sau khi đã nắm được toàn bộ hệ thống, doanh nghiệp có thể chuyển sang Low-Impact Mode.

Ở chế độ này, các thiết bị chưa xác thực không còn được truy cập toàn bộ mạng.

Thay vào đó, switch áp dụng Pre-Authentication ACL (Pre-Auth ACL) để chỉ cho phép một số lưu lượng cần thiết, chẳng hạn:
  • DHCP để lấy địa chỉ IP.
  • DNS để phân giải tên miền.
  • Giao tiếp với Cisco ISE hoặc máy chủ xác thực.

Mọi tài nguyên nội bộ khác sẽ bị hạn chế cho đến khi quá trình xác thực hoàn tất.

Low-Impact Mode giúp tăng mức độ bảo mật nhưng vẫn đảm bảo người dùng có thể hoàn tất quá trình đăng nhập mà không bị gián đoạn.
3. Closed Mode – Chỉ người đã xác thực mới được vào


Đây là chế độ bảo mật cao nhất, trước đây còn được gọi là High-Security Mode.

Ngay khi cổng mạng hoạt động, switch chỉ cho phép lưu lượng EAPOL đi qua.

Mọi gói IP khác đều bị chặn cho đến khi quá trình xác thực hoàn tất.

Chỉ khi Authentication Server trả về Access-Accept, cổng mới chuyển sang trạng thái Authorized và người dùng được phép truy cập mạng.

Đây cũng là hành vi mặc định của một cổng switch khi bật 802.1X.
Không phải doanh nghiệp nào cũng nên bắt đầu bằng Closed Mode


Nhiều doanh nghiệp muốn tăng cường bảo mật nên bật Closed Mode ngay từ đầu. Tuy nhiên, nếu hệ thống vẫn còn nhiều thiết bị không hỗ trợ 802.1X như máy in cũ, camera IP hay thiết bị IoT, nguy cơ gián đoạn dịch vụ là rất lớn.

Một lộ trình triển khai an toàn thường là:

Monitor Mode → Low-Impact Mode → Closed Mode

Cách tiếp cận này giúp đội ngũ IT có thời gian đánh giá hệ thống, xử lý các thiết bị chưa tương thích và tinh chỉnh chính sách trước khi áp dụng mức bảo mật cao nhất.
Kết luận


Triển khai 802.1X không chỉ là cấu hình trên switch mà còn là một quá trình thay đổi hạ tầng mạng. Monitor Mode giúp doanh nghiệp quan sát và lập danh mục thiết bị, Low-Impact Mode bắt đầu hạn chế quyền truy cập của các thiết bị chưa xác thực, còn Closed Mode chỉ cho phép các thiết bị đã được xác thực và cấp quyền sử dụng mạng. Thực hiện theo lộ trình này sẽ giúp doanh nghiệp nâng cao bảo mật mà vẫn duy trì hoạt động ổn định của hệ thống, tránh những sự cố không đáng có khi triển khai Network Access Control trên diện rộng.​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442628-triển-khai-802-1x-theo-từng-giai-đoạn-–-đừng-bật-closed-mode-ngay-ngày-đầu Xác thực chỉ là bước đầu, quyền truy cập mới là điều quan trọng https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442622-xác-thực-chỉ-là-bước-đầu-quyền-truy-cập-mới-là-điều-quan-trọng Sun, 12 Jul 2026 11:21:37 GMT Xác thực chỉ là bước đầu, quyền truy cập mới là điều quan trọng Khi mới học 802.1X, chúng ta thường nghĩ rằng mọi việc kết thúc sau khi người... Xác thực chỉ là bước đầu, quyền truy cập mới là điều quan trọng


Khi mới học 802.1X, chúng ta thường nghĩ rằng mọi việc kết thúc sau khi người dùng đăng nhập thành công.

Thực tế, Authentication chỉ trả lời câu hỏi: "Bạn là ai?"

Điều doanh nghiệp thực sự quan tâm lại là:
"Bạn được phép làm gì sau khi đã vào mạng?"

Đó chính là nhiệm vụ của Authorization.

Nói cách khác, Authentication mở cánh cửa, còn Authorization quyết định bạn được đi đến đâu sau khi bước qua cánh cửa đó.
Một tài khoản, nhiều quyền truy cập khác nhau


Hãy tưởng tượng ba người cùng kết nối vào một switch:
  • Một nhân viên IT.
  • Một nhân viên kế toán.
  • Một khách đến họp.

Cả ba đều xác thực thành công với Cisco ISE.

Nếu chỉ có Authentication, cả ba sẽ có quyền truy cập giống nhau.

Nhưng với Authorization, Cisco ISE có thể cấp ba mức quyền hoàn toàn khác nhau dù họ kết nối vào cùng một cổng switch hoặc cùng một SSID Wi-Fi.

Đó mới là sức mạnh thực sự của 802.1X.
Dynamic VLAN Assignment


Sau khi xác thực, Cisco ISE có thể yêu cầu switch tự động đưa người dùng vào đúng VLAN.

Ví dụ:
  • Nhân viên IT → VLAN 10
  • Phòng Kế toán → VLAN 20
  • Khách → VLAN 100

Người dùng không cần cắm vào đúng cổng vật lý. Chỉ cần đăng nhập, hệ thống sẽ tự cấp VLAN phù hợp.
Dynamic ACL (dACL)


Nếu VLAN vẫn chưa đủ chi tiết, Cisco ISE có thể gửi Downloadable ACL (dACL) trực tiếp xuống switch.

Ví dụ:
  • Chỉ được truy cập máy chủ ERP.
  • Chỉ được phép dùng HTTPS.
  • Chặn SSH, RDP hoặc SMB.
  • Chỉ được truy cập Internet.

Quyền truy cập lúc này được kiểm soát đến từng giao thức và cổng TCP/UDP.
Time-Based Access


Không phải người dùng nào cũng được phép truy cập 24/7.

Cisco ISE có thể giới hạn thời gian truy cập theo chính sách.

Ví dụ:
  • Nhà thầu chỉ được truy cập từ 8:00 đến 17:00.
  • Sinh viên chỉ được sử dụng phòng lab trong giờ học.
  • Tài khoản tạm thời tự động hết hiệu lực sau một khoảng thời gian.
Scalable Group Access (SGA)


Đây là một trong những tính năng nổi bật của Cisco TrustSec.

Thay vì dựa vào VLAN hoặc địa chỉ IP, Cisco ISE sẽ gán cho mỗi phiên kết nối một Security Group Tag (SGT) đại diện cho vai trò của người dùng hoặc thiết bị.

Ví dụ:
  • Employee
  • Finance
  • HR
  • Guest
  • Camera
  • IoT

Các switch hoặc firewall ở gần đích chỉ cần đọc SGT để áp dụng Security Group ACL (SGACL) tương ứng.

Nhờ đó, chính sách bảo mật không còn phụ thuộc vào địa chỉ IP hay topology mạng, giúp triển khai Microsegmentation đơn giản và dễ mở rộng hơn rất nhiều.
Vendor Specific Attributes (VSA)


Ngoài các thuộc tính RADIUS chuẩn, nhiều nhà sản xuất còn bổ sung các Vendor Specific Attributes (VSA) để triển khai những tính năng riêng.

Điều này giúp Authentication Server có thể áp dụng các chính sách đặc thù phù hợp với từng loại thiết bị mạng trong môi trường đa hãng.
Kết luận


802.1X không dừng lại ở việc xác minh danh tính người dùng hay thiết bị. Giá trị lớn nhất của nó nằm ở Authorization – khả năng cấp đúng quyền cho đúng đối tượng ngay sau khi xác thực thành công. Với Cisco ISE, doanh nghiệp có thể tự động gán VLAN, áp dụng dACL, giới hạn thời gian truy cập, hoặc triển khai Scalable Group Access (SGA) dựa trên Security Group Tag (SGT). Nhờ đó, hai người dùng kết nối vào cùng một cổng switch vẫn có thể nhận những quyền truy cập hoàn toàn khác nhau. Đây cũng là nền tảng để triển khai Role-Based Access Control (RBAC), Microsegmentation, Cisco TrustSec và kiến trúc Zero Trust trong các mạng doanh nghiệp hiện đại.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442622-xác-thực-chỉ-là-bước-đầu-quyền-truy-cập-mới-là-điều-quan-trọng <![CDATA[802.1X bắt đầu phiên xác thực như thế nào? Ai là người &quot;gõ cửa&quot; trước?]]> https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442620-802-1x-bắt-đầu-phiên-xác-thực-như-thế-nào-ai-là-người-gõ-cửa-trước Sun, 12 Jul 2026 08:15:36 GMT 802.1X bắt đầu phiên xác thực như thế nào? Ai là người "gõ cửa" trước?


Một trong những điều thú vị của 802.1X là:
Ai sẽ bắt đầu quá trình xác thực? Máy tính hay switch?

Câu trả lời là:

Cả hai đều có thể chủ động khởi tạo.

Đây là điểm giúp 802.1X hoạt động linh hoạt trên hầu hết các hệ điều hành và thiết bị mạng hiện nay.
Kịch bản 1 – Switch là người hỏi trước (phổ biến nhất)


Trong đa số mạng doanh nghiệp, Authenticator (Switch hoặc Wireless LAN Controller) sẽ chủ động bắt đầu.

Ngay khi cổng Ethernet chuyển từ Down sang Up, switch phát hiện có thiết bị mới kết nối và không mở cổng ngay. Thay vào đó, nó gửi bản tin:

EAP Request/Identity

Hiểu đơn giản, switch đang hỏi:
"Bạn là ai? Hãy chứng minh danh tính trước khi vào mạng."

Supplicant trên máy tính sẽ phản hồi bằng:

EAP Response/Identity

để gửi thông tin nhận dạng và khởi động phiên xác thực.

Nếu cổng vẫn chưa được xác thực, switch sẽ tiếp tục gửi yêu cầu theo chu kỳ.
Kịch bản 2 – Máy tính chủ động "gõ cửa"


Không phải lúc nào switch cũng là người mở đầu.

Nếu khi khởi động mà Supplicant không nhận được bản tin EAP Request/Identity, nó sẽ chủ động gửi:

EAPOL-Start

Đây giống như lời nhắn:
"Tôi muốn xác thực để được vào mạng."

Ngay sau đó, switch sẽ phản hồi bằng EAP Request/Identity và quy trình tiếp tục như bình thường.

Đó là lý do Cisco mô tả:
802.1X Authentication can be initiated by either the Supplicant or the Authenticator.
Sau khi gửi Identity thì chuyện gì xảy ra?


Khi Supplicant gửi xong thông tin nhận dạng, Switch không tự xác thực.

Thay vào đó, nó đóng vai trò người trung gian (Proxy) giữa thiết bị đầu cuối và Authentication Server (ví dụ Cisco ISE).

Toàn bộ các bản tin EAP sẽ được:
  • Nhận từ Supplicant.
  • Đóng gói vào RADIUS.
  • Gửi đến ISE.
  • Nhận phản hồi.
  • Tháo lớp RADIUS và chuyển lại thành EAPOL cho Supplicant.

Quá trình này lặp lại cho đến khi Authentication Server đưa ra quyết định cuối cùng.
Khi nào cổng mạng được mở?


Nếu Authentication Server trả về:

Access-Accept

Switch sẽ chuyển cổng sang trạng thái:

Authorized

Lúc này lưu lượng IP mới được phép đi qua. Đồng thời, switch có thể áp dụng các chính sách động như:
  • Dynamic VLAN.
  • Downloadable ACL (dACL).
  • Security Group Tag (SGT).
  • Role-Based Access Control (RBAC).

Ngược lại, nếu nhận Access-Reject, cổng vẫn ở trạng thái Unauthorized và tiếp tục chặn lưu lượng.
Một chi tiết rất dễ bị bỏ qua


Nếu Switch không hỗ trợ hoặc chưa bật 802.1X, các bản tin EAPOL-Start từ Supplicant sẽ bị bỏ qua.

Sau ba lần gửi mà không nhận được phản hồi, nhiều hệ điều hành sẽ cho rằng mạng này không triển khai 802.1X và bắt đầu truyền lưu lượng như trên một mạng thông thường.

Điều này không có nghĩa là thiết bị đã được xác thực, mà chỉ phản ánh hành vi của Supplicant khi không phát hiện cơ chế 802.1X ở phía mạng.
Kết luận


Điểm hay của 802.1X là không quan trọng ai "gõ cửa" trước. Dù Switch chủ động gửi EAP Request/Identity hay máy tính khởi tạo bằng EAPOL-Start, mục tiêu cuối cùng vẫn giống nhau: mọi thiết bị phải chứng minh danh tính trước khi được phép truyền gói IP đầu tiên.

Chính cơ chế "xác thực trước, cấp quyền sau" này đã biến 802.1X thành nền tảng của Network Access Control (NAC), Cisco ISE, Software-Defined Access (SDA) và kiến trúc Zero Trust. Trong một mạng doanh nghiệp hiện đại, cổng switch không còn là nơi "cắm là có mạng", mà là trạm kiểm soát an ninh đầu tiên bảo vệ toàn bộ hạ tầng phía sau.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442620-802-1x-bắt-đầu-phiên-xác-thực-như-thế-nào-ai-là-người-gõ-cửa-trước ISE tích hợp với SDWAN Manager https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442453-ise-tích-hợp-với-sdwan-manager Thu, 09 Jul 2026 07:35:29 GMT Sơ đồ trên mô tả cách Cisco SD-WAN tích hợp với Cisco Identity Services Engine (ISE) để triển khai Identity-Based Firewall (ZBFW). Thay vì chỉ dựa... Cisco SD-WAN tích hợp với Cisco Identity Services Engine (ISE) để triển khai Identity-Based Firewall (ZBFW). Thay vì chỉ dựa vào địa chỉ IP như firewall truyền thống, chính sách bảo mật được xây dựng dựa trên danh tính người dùng (Identity) và Security Group Tag (SGT). Điều này giúp doanh nghiệp triển khai Zero Trust dễ dàng hơn, đặc biệt khi người dùng thường xuyên thay đổi vị trí, thiết bị hoặc địa chỉ IP. Kiến trúc tổng thể


Trong mô hình này có bốn thành phần chính:
  • Cisco ISE: xác thực người dùng, gán Security Group Tag (SGT) và cung cấp thông tin danh tính.
  • Cisco Catalyst SD-WAN Manager/Controller: đồng bộ thông tin từ ISE và phân phối chính sách xuống các router SD-WAN.
  • SD-WAN Edge Router: thực thi chính sách Identity-Based Firewall.
  • Active Directory: lưu trữ tài khoản người dùng và nhóm người dùng, được ISE sử dụng để xác thực.
Quy trình hoạt động

Bước 1. ISE ánh xạ User và SGT


Khi người dùng đăng nhập vào mạng thông qua 802.1X, VPN hoặc các cơ chế xác thực khác, Cisco ISE sẽ xác minh danh tính với Active Directory.

Sau khi xác thực thành công, ISE sẽ:
  • Gán người dùng vào nhóm tương ứng.
  • Gán một Security Group Tag (SGT).
  • Tạo bản ánh xạ giữa User – SGT – IP Address.

Ví dụ:
  • Alice → Employee → SGT 10 → 10.10.1.25
  • Bob → HR → SGT 20 → 10.10.1.30

Thông tin này được chia sẻ thông qua pxGrid.
Bước 2. SD-WAN nhận chính sách từ ISE


Cisco SD-WAN Manager kết nối với ISE qua pxGrid để lấy thông tin về:
  • Danh tính người dùng.
  • Security Group Tag.
  • User Group.
  • Mapping giữa User, SGT và IP.

Từ đó, quản trị viên có thể xây dựng Zone-Based Firewall Policy dựa trên Identity thay vì địa chỉ IP.

Ví dụ:
  • Employee được phép truy cập Microsoft 365.
  • HR được phép truy cập hệ thống ERP.
  • Contractor chỉ được phép truy cập Internet.
Bước 3. Controller phân phối thông tin xuống Router


Cisco SD-WAN Controller sẽ đồng bộ các bản ánh xạ User/SGT/IP và phân phối xuống các SD-WAN Edge Router thông qua OMP (Overlay Management Protocol).

Nhờ vậy, mọi router trong hệ thống đều hiểu:
IP 10.10.1.25 hiện thuộc người dùng nào và mang SGT nào.

Nếu người dùng đổi IP hoặc di chuyển sang chi nhánh khác, bản ánh xạ sẽ được cập nhật tự động mà không cần chỉnh sửa firewall rule.
Bước 4. Router thực thi Identity-Based Firewall


Khi lưu lượng đi qua SD-WAN Edge Router, firewall sẽ không chỉ kiểm tra địa chỉ IP mà còn đối chiếu SGT và danh tính người dùng.

Ví dụ trong sơ đồ:
  • SGT-Employee → SGT-Employee: Permit
  • SGT-Contractor → SGT-IOT: Deny

Điều này giúp chính sách luôn bám theo người dùng thay vì địa chỉ IP.

Lợi ích của tích hợp SD-WAN và ISE


Việc tích hợp Cisco SD-WAN với Cisco ISE mang lại nhiều lợi ích:
  • Chính sách bảo mật dựa trên danh tính thay vì IP.
  • Hỗ trợ mô hình Zero Trust và Least Privilege.
  • Người dùng đổi IP hoặc di chuyển giữa các chi nhánh vẫn giữ nguyên quyền truy cập.
  • Đồng bộ chính sách trên toàn bộ hệ thống SD-WAN mà không cần cấu hình riêng lẻ trên từng router.
  • Giảm số lượng ACL và firewall rule, giúp việc vận hành đơn giản hơn.

Có thể xem Cisco ISE là nguồn cung cấp thông tin danh tính (Identity Provider), Cisco SD-WAN Controller là bộ phân phối chính sách, còn SD-WAN Edge Router là điểm thực thi Identity-Based Firewall. Sự kết hợp này giúp doanh nghiệp xây dựng các chính sách bảo mật linh hoạt, nhất quán và phù hợp với mô hình Zero Trust, trong đó quyền truy cập được quyết định dựa trên ai đang truy cập, thay vì chỉ dựa trên địa chỉ IP của thiết bị.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442453-ise-tích-hợp-với-sdwan-manager Zero TRust và SASE https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442438-zero-trust-và-sase Wed, 08 Jul 2026 12:29:45 GMT Sơ đồ trên mô tả kiến trúc Cisco Secure Access, một giải pháp SASE (Secure Access Service Edge) được xây dựng dựa trên nguyên lý Zero Trust. Thay vì... Cisco Secure Access, một giải pháp SASE (Secure Access Service Edge) được xây dựng dựa trên nguyên lý Zero Trust. Thay vì chỉ bảo vệ mạng tại biên như mô hình truyền thống, toàn bộ lưu lượng của người dùng sẽ được đưa lên nền tảng bảo mật trên cloud để kiểm tra trước khi được phép truy cập ứng dụng. SASE (Secure Access Service Edge) là gì?


SASE là kiến trúc kết hợp dịch vụ mạng (Networking) và dịch vụ bảo mật (Security) trên cùng một nền tảng cloud. Thay vì kết nối VPN về Data Center rồi mới truy cập Internet hoặc ứng dụng, người dùng sẽ được kết nối tới Cisco Secure Cloud gần nhất. Tại đây, mọi lưu lượng đều được kiểm tra và áp dụng chính sách bảo mật trước khi đi tiếp.

Kiến trúc trong sơ đồ có thể chia thành bốn bước.

1. Thu thập thông tin từ điểm đầu cuối


Hệ thống hỗ trợ nhiều đối tượng như nhân viên, nhà thầu, người dùng làm việc từ xa hoặc trong văn phòng. Ngay khi kết nối, nền tảng sẽ thu thập các thông tin quan trọng như danh tính người dùng, trạng thái thiết bị, vị trí kết nối và ứng dụng đang truy cập. Đây là dữ liệu đầu vào để thực hiện các chính sách Zero Trust.

2. Đưa lưu lượng vào Cisco Secure Cloud


Thay vì đi trực tiếp ra Internet, toàn bộ traffic sẽ được chuyển vào Cisco Secure Cloud (SASE Fabric). Có thể xem đây là một lớp kiểm tra tập trung, nơi mọi kết nối đều phải đi qua trước khi được phép truy cập tài nguyên.

3. Xác minh và cấp quyền truy cập


Đây là bước quan trọng nhất của kiến trúc.

Nền tảng sẽ kết hợp nhiều dịch vụ như Identity, Posture và Cloud-control plane để đánh giá người dùng và thiết bị. Sau đó, Zero Trust Proxy cùng các dịch vụ Cloud Security sẽ thực thi chính sách và quyết định có cho phép phiên kết nối tiếp tục hay không.

4. Truy cập ứng dụng


Chỉ sau khi vượt qua các bước xác minh, người dùng mới được phép truy cập các dịch vụ như Microsoft 365, Salesforce, Internet, ứng dụng nội bộ, Data Center hoặc các chi nhánh. Dù ứng dụng đặt ở đâu, chính sách bảo mật vẫn được áp dụng thống nhất. Zero Trust hoạt động như thế nào?


Zero Trust dựa trên nguyên tắc:
Never Trust – Always Verify

Không có người dùng hay thiết bị nào được mặc định tin cậy, kể cả khi đang ở trong mạng nội bộ.

Mỗi phiên truy cập đều phải trải qua quá trình xác thực danh tính, kiểm tra trạng thái thiết bị, đánh giá mức độ rủi ro và đối chiếu với chính sách truy cập. Người dùng chỉ được cấp đúng quyền cần thiết (Least Privilege). Ví dụ, nhân viên có thể truy cập Microsoft 365 nhưng không được vào hệ thống ERP, hoặc một thiết bị không đáp ứng yêu cầu bảo mật sẽ bị từ chối kết nối. Vai trò của Zero Trust Proxy


Zero Trust Proxy là thành phần thực thi các chính sách truy cập. Thay vì cho phép người dùng kết nối trực tiếp đến máy chủ, proxy sẽ đứng ở giữa để xác thực, kiểm tra thiết bị, áp dụng chính sách và chỉ thiết lập kết nối tới đúng ứng dụng được cấp quyền. Nhờ đó, các ứng dụng nội bộ không cần công khai trên Internet nhưng vẫn có thể được truy cập một cách an toàn. SASE và Zero Trust bổ trợ cho nhau


Có thể hiểu đơn giản rằng SASE là nền tảng kết nối và bảo mật trên cloud, còn Zero Trust là mô hình kiểm soát truy cập hoạt động trên nền tảng đó. SASE đảm bảo mọi lưu lượng đều đi qua lớp bảo mật tập trung, trong khi Zero Trust quyết định có cho phép truy cập hay không dựa trên danh tính người dùng, trạng thái thiết bị và chính sách bảo mật, thay vì chỉ dựa vào vị trí mạng như các mô hình truyền thống.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442438-zero-trust-và-sase Authen và Author https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442115-authen-và-author Tue, 30 Jun 2026 12:56:54 GMT Authentication và Authorization – Hai khái niệm mà Network Engineer thường nhầm lẫn Rất nhiều kỹ sư mới học CCNA hoặc CCNP thường nghĩ rằng đăng... Authentication và Authorization – Hai khái niệm mà Network Engineer thường nhầm lẫn


Rất nhiều kỹ sư mới học CCNA hoặc CCNP thường nghĩ rằng đăng nhập thành công đồng nghĩa với việc được phép truy cập mọi tài nguyên. Thực tế hoàn toàn không phải vậy.

Trong hầu hết các hệ thống bảo mật hiện đại, quá trình kiểm soát truy cập luôn diễn ra theo hai bước riêng biệt:
  1. Authentication (Xác thực)
  2. Authorization (Phân quyền)

Nói ngắn gọn:
  • Authentication trả lời câu hỏi: "Bạn là ai?"
  • Authorization trả lời câu hỏi: "Bạn được phép làm gì?"

Hai bước này luôn đi cùng nhau nhưng đảm nhiệm hai vai trò hoàn toàn khác nhau.
Bước 1: Authentication – Xác minh danh tính


Phần bên trái của hình minh họa cho thấy hai nhân viên:
  • Engineering
  • Finance

Mỗi người muốn truy cập vào hệ thống mạng đều phải chứng minh danh tính trước.

Authentication có thể thực hiện bằng nhiều phương pháp như:
  • Username/Password
  • Chứng chỉ số (Digital Certificate)
  • Smart Card
  • Token OTP
  • MFA (Multi-Factor Authentication)
  • Sinh trắc học (vân tay, khuôn mặt...)

Ví dụ:

Nhân viên Engineering đăng nhập bằng chứng chỉ số được cấp bởi doanh nghiệp.

Trong khi đó nhân viên Finance đăng nhập bằng:
Username
Password
MFA

Nếu hệ thống xác minh thành công:
Bạn đúng là người mà bạn khai báo.

Khi đó Authentication hoàn tất.

Điều quan trọng là:

Authentication không quyết định bạn được phép truy cập gì.

Nó chỉ xác nhận:
"Đúng, đây là anh Minh."
Bước 2: Authorization – Xác định quyền truy cập


Sau khi xác thực thành công, hệ thống mới chuyển sang bước thứ hai:

Authorization.

Lúc này hệ thống sẽ xem xét:
  • Bạn thuộc phòng ban nào?
  • Vai trò (Role) là gì?
  • Có nằm trong nhóm AD nào?
  • Có phải Administrator không?
  • Có đang đăng nhập từ thiết bị tin cậy không?
  • Có đang ở văn phòng hay từ Internet?
  • Chính sách bảo mật hiện tại ra sao?

Dựa trên các thông tin đó, hệ thống quyết định bạn được phép truy cập những tài nguyên nào.

Trong hình minh họa có ba nhóm tài nguyên:
  • Protected Servers
  • Shared Services
  • Public Network
Ví dụ trong hình

Người dùng Engineering


Sau khi xác thực thành công, hệ thống cấp quyền:

✅ Protected Servers

✅ Shared Services

✅ Public Network

Điều này hợp lý vì kỹ sư cần truy cập:
  • Git Repository
  • Source Code
  • Dev Server
  • Build Server
  • Automation Platform
Người dùng Finance


Người dùng Finance cũng đăng nhập thành công.

Authentication vẫn thành công.

Nhưng Authorization khác hoàn toàn.

Họ chỉ được phép:

❌ Protected Servers

✅ Shared Services

✅ Internet

Họ không được truy cập các máy chủ Engineering.

Đây chính là nguyên tắc Least Privilege (quyền tối thiểu cần thiết): mỗi người chỉ được cấp đúng những quyền phục vụ công việc của mình, giúp giảm thiểu rủi ro khi tài khoản bị lộ hoặc bị lạm dụng.
Ví dụ trong Cisco ISE


Cisco Identity Services Engine (ISE) là một ví dụ điển hình.

Khi laptop kết nối vào mạng: Authentication


ISE xác minh:
  • Username
  • Password
  • Machine Certificate
  • User Certificate

Nếu hợp lệ:

Cho phép kết nối.

Sau đó mới tới: Authorization


ISE sẽ kiểm tra:
  • User Group
  • Device Type
  • VLAN
  • Location
  • Time
  • Security Posture

Sau đó quyết định:
  • VLAN 10
  • VLAN 20
  • Downloadable ACL
  • Security Group Tag (SGT)
  • Quarantine VLAN
  • Guest VLAN

Điều này cho phép cùng một hệ thống xác thực nhưng cấp quyền truy cập khác nhau cho từng người dùng hoặc thiết bị.
Ví dụ với TACACS+


Trên thiết bị Cisco:

Authentication:
Username: admin
Password: ********

Router xác nhận:
Đây là tài khoản admin.

Tiếp theo Authorization quyết định:

Người này được phép:
show running-config

Nhưng không được phép:
configure terminal

Hoặc:
reload

Đây là lý do TACACS+ rất phổ biến trong quản trị thiết bị mạng vì ngoài việc xác thực người dùng, nó còn có thể phân quyền chi tiết đến từng lệnh CLI.
Authentication thành công chưa chắc đã được phép truy cập


Một trong những hiểu lầm phổ biến là:
"Tôi đăng nhập được thì phải xem được dữ liệu."

Điều này không đúng.

Ví dụ:

Bạn đăng nhập thành công vào Microsoft 365.

Nhưng:
  • Không được mở SharePoint của phòng Nhân sự.
  • Không được truy cập máy chủ tài chính.
  • Không được xem cơ sở dữ liệu khách hàng.

Authentication đã thành công.

Authorization mới là bước quyết định bạn được phép truy cập đến đâu.
Kết luận


Authentication và Authorization là hai thành phần không thể tách rời trong mọi hệ thống bảo mật hiện đại. Authentication xác minh danh tính người dùng hoặc thiết bị, trả lời câu hỏi "Bạn là ai?". Sau khi danh tính được xác nhận, Authorization mới quyết định "Bạn được phép làm gì?" bằng cách áp dụng các chính sách dựa trên vai trò, nhóm, thiết bị, vị trí hoặc mức độ tin cậy.

Chính sự kết hợp này là nền tảng của các giải pháp như Cisco ISE, Active Directory, RADIUS, TACACS+, VPN, NAC và Zero Trust, giúp doanh nghiệp đảm bảo rằng đúng người, đúng thiết bị chỉ được cấp đúng quyền truy cập cần thiết. Điều này vừa tăng cường bảo mật, vừa giảm thiểu nguy cơ truy cập trái phép và hạn chế tác động khi tài khoản bị xâm phạm.​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/442115-authen-và-author <![CDATA[Neural Networks – &quot;Bộ Não&quot; Đằng Sau AI Đang Thay Đổi Cách Chúng Ta Vận Hành Mạng]]> https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/441972-neural-networks-–-bộ-não-đằng-sau-ai-đang-thay-đổi-cách-chúng-ta-vận-hành-mạng Thu, 25 Jun 2026 10:20:40 GMT Neural Networks – "Bộ Não" Đằng Sau AI Đang Thay Đổi Cách Chúng Ta Vận Hành Mạng


Ngày nay, khi sử dụng ChatGPT, Cisco AI Assistant hay các nền tảng AIOps, chúng ta thường chỉ nhìn thấy kết quả cuối cùng mà ít khi nghĩ đến cơ chế hoạt động bên trong. Nhưng gần như mọi hệ thống AI hiện đại đều được xây dựng trên một nền tảng chung: Neural Network (Mạng Nơ-ron Nhân tạo).

Lấy cảm hứng từ cách não bộ con người xử lý thông tin, Neural Network cho phép máy tính học từ dữ liệu, nhận biết các mẫu phức tạp và đưa ra quyết định mà trước đây rất khó hoặc gần như không thể lập trình bằng các quy tắc cố định.

Neural Network hoạt động như thế nào?


Hãy tưởng tượng bạn đang đi trong một trung tâm thương mại đông người nhưng vẫn có thể nhanh chóng nhận ra một người bạn giữa hàng trăm khuôn mặt khác nhau. Não bộ của bạn làm được điều đó nhờ hàng triệu tế bào thần kinh (neurons) cùng phối hợp xử lý thông tin.

Neural Network mô phỏng nguyên lý này bằng cách sử dụng các neuron nhân tạo được kết nối thành nhiều lớp để xử lý dữ liệu.

Một Neural Network điển hình gồm ba thành phần chính:
  • Input Layer (Lớp đầu vào): Nhận dữ liệu thô từ bên ngoài.
  • Hidden Layers (Các lớp ẩn): Thực hiện toàn bộ quá trình học và nhận diện mẫu.
  • Output Layer (Lớp đầu ra): Đưa ra kết quả hoặc dự đoán cuối cùng.

Dữ liệu sẽ lần lượt đi qua các lớp này giống như một dây chuyền xử lý.

Input Layer – Tiếp nhận dữ liệu


Mỗi nút (node) trong Input Layer đại diện cho một đặc trưng của dữ liệu.

Trong lĩnh vực mạng máy tính, các đầu vào có thể là:
  • Kích thước gói tin (Packet Size)
  • CPU Utilization
  • Memory Utilization
  • Packet Loss
  • Latency
  • Jitter
  • Interface Errors
  • NetFlow Statistics

Trước khi đưa vào mô hình, các giá trị thường được chuẩn hóa (Normalization) về cùng một thang đo, chẳng hạn từ 0 đến 1, để mô hình học hiệu quả hơn.

Ví dụ, giá trị 0.8 có thể biểu thị kích thước gói tin lớn hơn đáng kể so với 0.3.

Hidden Layers – Nơi AI "Suy Nghĩ"


Phần quan trọng nhất của Neural Network nằm ở các Hidden Layers.

Mỗi neuron trong lớp ẩn nhận tín hiệu từ các neuron ở lớp trước, thực hiện các phép tính toán học và chuyển kết quả sang lớp tiếp theo.

Trong bài toán an ninh mạng, lớp ẩn đầu tiên có thể học cách nhận biết lưu lượng bất thường. Các lớp phía sau tiếp tục kết hợp các đặc trưng đó để phát hiện những mẫu phức tạp hơn, chẳng hạn như dấu hiệu của một cuộc tấn công mạng hoặc hành vi bất thường của malware.

Điều đặc biệt là những quy luật này không được lập trình sẵn mà được mô hình tự học từ dữ liệu.

Output Layer – Đưa Ra Quyết Định


Sau khi dữ liệu đi qua toàn bộ Hidden Layers, Output Layer sẽ tạo ra kết quả cuối cùng.

Ví dụ trong một hệ thống phát hiện xâm nhập (IDS/IPS), Output Layer có thể gồm ba lựa chọn:
  • Normal Traffic
  • Potential Threat
  • Immediate Block Required

Neuron có giá trị kích hoạt (Activation) cao nhất sẽ đại diện cho dự đoán của mô hình.

Dựa trên kết quả này, hệ thống có thể:
  • Gửi cảnh báo cho quản trị viên.
  • Tự động chặn lưu lượng độc hại.
  • Kích hoạt playbook trong nền tảng SOAR.
  • Chuyển sự kiện sang SIEM để phân tích sâu hơn.
Weight – Mức Độ Quan Trọng Của Thông Tin


Giữa các neuron luôn tồn tại các kết nối, và mỗi kết nối đều có một Weight (Trọng số).

Có thể hình dung Weight giống như nút điều chỉnh âm lượng:
  • Weight lớn → Thông tin này rất quan trọng.
  • Weight nhỏ → Ảnh hưởng ít hơn.
  • Weight âm → Có xu hướng làm giảm tác động của tín hiệu đầu vào.

Ví dụ, trong bài toán phát hiện DDoS, các đặc trưng như tốc độ tăng đột biến của lưu lượng hoặc số lượng kết nối mới có thể được mô hình gán trọng số cao hơn so với các đặc trưng ít liên quan.

Bias – Điều Chỉnh Ngưỡng Kích Hoạt


Sau khi nhân các đầu vào với Weight và cộng lại, mô hình sẽ cộng thêm một giá trị gọi là Bias.

Bias có thể được xem như tham số điều chỉnh ngưỡng kích hoạt của neuron, giúp mô hình linh hoạt hơn trong việc học các mối quan hệ giữa dữ liệu.

Nếu không có Bias, nhiều neuron sẽ không thể kích hoạt khi tất cả đầu vào đều bằng 0, làm giảm đáng kể khả năng biểu diễn của mô hình.

Activation Function – Quyết Định Neuron Có "Kích Hoạt" Hay Không


Sau khi tính tổng Weight và Bias, kết quả sẽ đi qua Activation Function.

Đây là một hàm toán học quyết định mức độ phản hồi của neuron và thường đưa giá trị đầu ra về một khoảng nhất định, chẳng hạn từ 0 đến 1.

Activation Function giúp Neural Network học được các mối quan hệ phi tuyến (Non-linear Relationships), điều mà các phép tính tuyến tính đơn thuần không thể thực hiện.

Chính nhờ bước này mà Neural Network có thể giải quyết những bài toán rất phức tạp như nhận dạng hình ảnh, xử lý ngôn ngữ tự nhiên hay phát hiện tấn công mạng.
Neural Network Học Bằng Cách Nào?


Ban đầu, một Neural Network chưa hề "thông minh".

Các Weight và Bias được khởi tạo ngẫu nhiên nên mô hình gần như chỉ đưa ra các dự đoán mang tính may rủi.

Quá trình huấn luyện (Training) chính là quá trình giúp mô hình học từ sai lầm.

Đầu tiên, mô hình nhận dữ liệu và đưa ra dự đoán. Sau đó, hệ thống so sánh kết quả dự đoán với đáp án đúng để tính toán sai số (Error).

Tiếp theo, sai số này được truyền ngược từ Output Layer về các Hidden Layers thông qua cơ chế Backpropagation (Lan truyền ngược lỗi).

Trong quá trình này, Weight và Bias được điều chỉnh sao cho ở lần dự đoán tiếp theo, mô hình sẽ tiến gần hơn đến kết quả đúng.

Quy trình này được lặp lại hàng nghìn, hàng triệu hoặc thậm chí hàng tỷ lần với các mẫu dữ liệu khác nhau.

Theo thời gian, các Weight ban đầu vốn hoàn toàn ngẫu nhiên sẽ dần trở thành những "bộ lọc thông minh", giúp mô hình nhận diện được các mẫu dữ liệu rất tinh vi.

Ứng Dụng Trong Network Operations


Nhờ khả năng học từ dữ liệu thay vì chỉ dựa vào các quy tắc cố định, Neural Network được ứng dụng rộng rãi trong các hệ thống AI dành cho vận hành mạng.

Một số ứng dụng phổ biến gồm:
  • Phát hiện bất thường trong lưu lượng mạng (Anomaly Detection).
  • Dự đoán nghẽn mạng hoặc suy giảm hiệu năng trước khi người dùng bị ảnh hưởng.
  • Nhận diện các cuộc tấn công mạng chưa từng xuất hiện trong các bộ quy tắc truyền thống.
  • Hỗ trợ tối ưu định tuyến và cân bằng tải theo thời gian thực.
  • Phân tích Syslog, Telemetry và NetFlow để tìm nguyên nhân gốc của sự cố.
  • Là nền tảng cho các hệ thống AIOps, NDR, SIEM và AI Assistant hiện đại.
Kết Luận


Neural Network là nền tảng của hầu hết các công nghệ AI hiện đại, từ các mô hình ngôn ngữ lớn như GPT cho đến các hệ thống phát hiện bất thường trong mạng doanh nghiệp. Sức mạnh của nó không nằm ở việc được lập trình sẵn hàng nghìn quy tắc, mà ở khả năng tự học từ dữ liệu, điều chỉnh Weight và Bias thông qua Backpropagation để ngày càng đưa ra dự đoán chính xác hơn.

Đối với Network Engineer, hiểu được cách Neural Network hoạt động không chỉ giúp sử dụng AI hiệu quả hơn mà còn giúp đánh giá đúng giới hạn của các công cụ AI, biết khi nào nên tin tưởng kết quả và khi nào cần kiểm chứng bằng kinh nghiệm chuyên môn trước khi áp dụng vào môi trường production.
​]]> CISCO ISE dangquangminh https://www.forum.vnpro.org/forum/ccnp-security-®-ccsp/ccnp-security-new/cisco-ise/441972-neural-networks-–-bộ-não-đằng-sau-ai-đang-thay-đổi-cách-chúng-ta-vận-hành-mạng