Vietnamese Professional - CCIE Security https://www.forum.vnpro.org/ Dành cho các thảo luận Cisco Certified Internetwork Expert Security vi Wed, 22 Jul 2026 14:17:56 GMT vBulletin 60 images/misc/rss.png Vietnamese Professional - CCIE Security https://www.forum.vnpro.org/ Tổng quan IPSec https://www.forum.vnpro.org/forum/ccie®/ccie-security/442963-tổng-quan-ipsec Tue, 21 Jul 2026 00:12:57 GMT Khi nhắc đến Site-to-Site VPN, gần như công nghệ đầu tiên mà mọi kỹ sư mạng nghĩ đến chính là IPsec (Internet Protocol Security). Đây là chuẩn bảo... Site-to-Site VPN, gần như công nghệ đầu tiên mà mọi kỹ sư mạng nghĩ đến chính là IPsec (Internet Protocol Security). Đây là chuẩn bảo mật đã được kiểm chứng qua nhiều năm và hiện vẫn là nền tảng của hàng triệu kết nối VPN giữa doanh nghiệp, chi nhánh, Data Center và Cloud trên toàn thế giới.

Được định nghĩa trong RFC 4301, IPsec cung cấp một kiến trúc bảo mật toàn diện cho giao thức IP, giúp dữ liệu truyền qua các mạng không tin cậy như Internet luôn được bảo vệ. Các tính năng nổi bật gồm:
  • Kiểm soát truy cập (Access Control).
  • Đảm bảo tính toàn vẹn dữ liệu (Integrity).
  • Xác thực nguồn gốc dữ liệu (Authentication).
  • Chống tấn công phát lại (Replay Protection).
  • Mã hóa dữ liệu (Confidentiality).
  • Che giấu một phần đặc điểm của luồng lưu lượng (Traffic Flow Confidentiality).

Điểm khác biệt của IPsec là hoạt động trực tiếp ở tầng IP (Layer 3). Vì vậy, mọi ứng dụng phía trên như TCP, UDP, ICMP hay các ứng dụng doanh nghiệp đều được bảo vệ mà không cần thay đổi hay cấu hình riêng.
Hai "trụ cột" của IPsec


IPsec không phải là một giao thức đơn lẻ mà là một framework bảo mật gồm nhiều thành phần phối hợp với nhau. Trong triển khai Site-to-Site VPN, hai giao thức quan trọng nhất là IKE và ESP. 1. IKE (Internet Key Exchange) – "Kiến trúc sư" của đường hầm VPN


Trước khi dữ liệu được mã hóa, hai VPN Gateway phải thống nhất cách bảo vệ kết nối. Đây chính là nhiệm vụ của IKE.

IKE thực hiện:
  • Xác thực hai VPN Gateway.
  • Thương lượng thuật toán mã hóa và băm.
  • Sinh và trao đổi khóa mã hóa.
  • Quản lý vòng đời của các khóa bảo mật.

Hiện nay, IKEv2 gần như đã trở thành tiêu chuẩn mới nhờ tốc độ thiết lập tunnel nhanh hơn, khả năng tự phục hồi khi mất kết nối và mức độ bảo mật cao hơn so với IKEv1.

Có thể hình dung IKE giống như quá trình bắt tay và thống nhất "luật chơi" trước khi hai bên bắt đầu trao đổi dữ liệu.
2. ESP (Encapsulating Security Payload) – "Lớp áo giáp" bảo vệ dữ liệu


Sau khi IKE hoàn tất việc thương lượng, ESP sẽ đảm nhận nhiệm vụ bảo vệ toàn bộ lưu lượng đi qua VPN.

ESP cung cấp:
  • Mã hóa dữ liệu (Encryption).
  • Kiểm tra tính toàn vẹn dữ liệu (Integrity).
  • Xác thực nguồn gốc dữ liệu (Authentication).
  • Chống tấn công Replay.

Nếu ví IKE là người xây dựng đường hầm, thì ESP chính là lớp giáp bảo vệ mọi dữ liệu di chuyển bên trong đường hầm đó.

Trong các hệ thống hiện đại, ESP gần như đã thay thế AH (Authentication Header) vì ESP vừa hỗ trợ mã hóa vừa hỗ trợ xác thực, trong khi AH chỉ xác thực mà không mã hóa dữ liệu.
IPsec có thể bảo vệ những kết nối nào?


Nhờ tính linh hoạt, IPsec có thể được triển khai trong nhiều kịch bản khác nhau:
  • Host-to-Host: bảo vệ kết nối giữa hai máy chủ.
  • Gateway-to-Gateway: bảo vệ lưu lượng giữa hai router hoặc firewall, cũng chính là mô hình Site-to-Site VPN phổ biến nhất.
  • Host-to-Gateway: bảo vệ kết nối giữa người dùng từ xa và VPN Gateway trong các giải pháp Remote Access VPN.

Chính khả năng hoạt động ở nhiều mô hình đã giúp IPsec trở thành tiêu chuẩn bảo mật cho mạng doanh nghiệp, Data Center và Hybrid Cloud.
Tổng kết


Có thể xem IPsec là nền móng của mọi kết nối VPN hiện đại. Trong đó, IKE/IKEv2 chịu trách nhiệm xác thực, thương lượng chính sách và tạo khóa mã hóa, còn ESP mã hóa và bảo vệ dữ liệu trong suốt quá trình truyền tải. Sự kết hợp này giúp doanh nghiệp xây dựng các đường hầm VPN an toàn trên Internet hoặc MPLS, đảm bảo dữ liệu luôn được xác thực, mã hóa và chống nghe lén. Đây cũng là lý do IPsec vẫn là lựa chọn hàng đầu khi triển khai Site-to-Site VPN cho các hệ thống doanh nghiệp, từ vài chi nhánh cho đến các mạng SD-WAN quy mô lớn.
​]]> CCIE Security dangquangminh https://www.forum.vnpro.org/forum/ccie®/ccie-security/442963-tổng-quan-ipsec MAB hoạt động như thế nào? Vì sao switch vẫn biết đó là máy in hay camera? https://www.forum.vnpro.org/forum/ccie®/ccie-security/442818-mab-hoạt-động-như-thế-nào-vì-sao-switch-vẫn-biết-đó-là-máy-in-hay-camera Thu, 16 Jul 2026 22:40:31 GMT MAB hoạt động như thế nào? Vì sao switch vẫn biết đó là máy in hay camera? Một câu hỏi rất hay khi học MAB là: Nếu thiết bị không hỗ trợ... MAB hoạt động như thế nào? Vì sao switch vẫn biết đó là máy in hay camera?


Một câu hỏi rất hay khi học MAB là:
Nếu thiết bị không hỗ trợ 802.1X, Switch làm sao biết đó là ai?

Câu trả lời là:

Switch sẽ nhận diện thiết bị thông qua địa chỉ MAC.

Nhìn thì đơn giản, nhưng phía sau là một quy trình gồm bốn bước rất chặt chẽ.
Bước 1 – Thử 802.1X trước


Trong phần lớn doanh nghiệp, 802.1X luôn là lựa chọn ưu tiên.

Ngay khi cổng mạng có tín hiệu Link Up, switch sẽ gửi bản tin EAP Request/Identity để xem thiết bị có hỗ trợ 802.1X hay không.

Nếu nhận được phản hồi, quá trình 802.1X tiếp tục như bình thường.

Nếu sau nhiều lần gửi mà vẫn không có phản hồi, switch kết luận đây là thiết bị không có Supplicant và chuyển sang MAB.

Đây là lý do MAB thường được gọi là kế hoạch B của 802.1X.
Bước 2 – "Xin" một gói tin để học địa chỉ MAC


Khi bắt đầu MAB, switch không mở hoàn toàn cổng mạng.

Nó chỉ mở vừa đủ để nhận một gói tin đầu tiên.

Từ gói tin này, switch học được địa chỉ MAC nguồn của thiết bị.

Điểm thú vị là sau khi lấy được địa chỉ MAC, switch sẽ hủy luôn gói tin đó. Mục đích của gói tin đầu tiên không phải để truyền dữ liệu mà chỉ để giúp switch biết thiết bị nào đang kết nối.

Sau đó, switch đóng gói địa chỉ MAC vào một bản tin RADIUS Access-Request và gửi đến Cisco ISE để kiểm tra.

Lưu ý, switch không học MAC từ các frame điều khiển như CDP, LLDP, STP hay DTP, vì đây không phải là lưu lượng của thiết bị đầu cuối.
Bước 3 – Cisco ISE quyết định


Cisco ISE tra cứu địa chỉ MAC trong cơ sở dữ liệu.

Nếu MAC hợp lệ, ISE trả về Access-Accept.

Ngoài việc mở cổng, ISE còn có thể gửi thêm các chính sách như:
  • Dynamic VLAN.
  • Downloadable ACL (dACL).
  • Security Group Tag (SGT).

Nếu MAC không tồn tại hoặc không được phép truy cập, ISE trả về Access-Reject.

Tùy cấu hình, switch có thể chuyển sang Web Authentication, đưa thiết bị vào Guest VLAN hoặc tiếp tục chặn truy cập.
Bước 4 – Ghi nhận phiên kết nối


Sau khi thiết bị được cấp quyền, switch gửi bản tin RADIUS Accounting-Request đến Cisco ISE.

Thông tin này được dùng để:
  • Theo dõi ai đang kết nối.
  • Ghi nhật ký phiên làm việc.
  • Phục vụ kiểm toán và điều tra sự cố.
  • Thống kê việc sử dụng mạng.
Kết luận


Quy trình MAB gồm bốn bước: Initiation, MAC Address Learning, Authorization và Accounting. Dù đơn giản hơn 802.1X, MAB vẫn tuân theo đầy đủ mô hình AAA. Điểm khác biệt nằm ở chỗ thay vì xác thực người dùng bằng tài khoản hoặc chứng chỉ số, MAB sử dụng địa chỉ MAC của thiết bị làm thông tin định danh. Vì vậy, MAB đặc biệt phù hợp với các thiết bị như máy in, camera IP, điện thoại IP, cảm biến và IoT, đồng thời đóng vai trò cơ chế dự phòng trong các mạng doanh nghiệp triển khai Cisco ISE và Network Access Control (NAC).​]]> CCIE Security dangquangminh https://www.forum.vnpro.org/forum/ccie®/ccie-security/442818-mab-hoạt-động-như-thế-nào-vì-sao-switch-vẫn-biết-đó-là-máy-in-hay-camera Api https://www.forum.vnpro.org/forum/ccie®/ccie-security/442468-api Thu, 09 Jul 2026 13:41:05 GMT Programmable APIs – Giao tiếp với thiết bị mạng theo cách hiện đại Trước đây, việc cấu hình và quản trị thiết bị mạng chủ yếu dựa vào CLI. Mặc... Programmable APIs – Giao tiếp với thiết bị mạng theo cách hiện đại


Trước đây, việc cấu hình và quản trị thiết bị mạng chủ yếu dựa vào CLI. Mặc dù quen thuộc với kỹ sư mạng, CLI lại khó tự động hóa và không phù hợp khi phải quản lý hàng trăm hoặc hàng nghìn thiết bị.

Để đáp ứng nhu cầu tự động hóa và Infrastructure as Code (IaC), các hãng như Cisco đã phát triển Open Programmable APIs, cho phép phần mềm giao tiếp trực tiếp với thiết bị mạng thông qua các giao thức chuẩn. Các giao thức lập trình


Trong sơ đồ, thiết bị hỗ trợ nhiều giao thức quản lý hiện đại:
  • NETCONF: Giao thức chuẩn của IETF, sử dụng XML để cấu hình và quản lý thiết bị.
  • RESTCONF: Cung cấp API theo chuẩn REST/HTTP, giúp các ứng dụng tích hợp dễ dàng hơn.
  • gNMI (gRPC Network Management Interface): Giao thức hiệu năng cao dựa trên gRPC, thường dùng cho cấu hình và thu thập telemetry thời gian thực.

Các giao thức này giúp thay thế dần việc đăng nhập CLI để cấu hình từng thiết bị.

YANG Data Model


Để các API hiểu được dữ liệu cần cấu hình, Cisco sử dụng YANG làm ngôn ngữ mô hình hóa dữ liệu.

Thiết bị có thể hỗ trợ:
  • Native YANG: Mô hình riêng của Cisco.
  • OpenConfig: Mô hình chuẩn do cộng đồng phát triển, giúp tăng khả năng tương thích giữa nhiều hãng.

Nhờ YANG, ứng dụng chỉ cần gửi dữ liệu theo đúng mô hình, thay vì phải tạo các câu lệnh CLI. Data Model và Device Features


Phía dưới là Data Model, đóng vai trò ánh xạ các yêu cầu từ API xuống các chức năng của thiết bị.

Các chức năng có thể được lập trình bao gồm:
  • Interface
  • BGP
  • QoS
  • ACL
  • Và nhiều tính năng khác.

Điều này cho phép tự động triển khai cấu hình trên quy mô lớn một cách nhất quán.

NX-API và CLI


Cisco vẫn duy trì NX-API, cho phép truy cập và thực thi các lệnh CLI thông qua API. Đây là giải pháp hữu ích khi cần tự động hóa trên các thiết bị hoặc tính năng chưa hỗ trợ đầy đủ NETCONF, RESTCONF hay gNMI. Kết luận


Open Programmable APIs là nền tảng của mạng lập trình được (Programmable Network). Thông qua các giao thức như NETCONF, RESTCONF và gNMI, kết hợp với mô hình dữ liệu YANG, các ứng dụng có thể tự động cấu hình, giám sát và quản lý thiết bị mạng một cách nhanh chóng, nhất quán và dễ tích hợp với các công cụ DevOps như Ansible, Terraform, Python hay các hệ thống quản lý mạng hiện đại.​]]> CCIE Security dangquangminh https://www.forum.vnpro.org/forum/ccie®/ccie-security/442468-api