Quản trị và khám phá hạ tầng với giao thức cdp (cisco discovery protocol)

[ThanhQuyen]

[CCNP -ENCOR] QUẢN TRỊ VÀ KHÁM PHÁ HẠ TẦNG VỚI GIAO THỨC CDP (CISCO DISCOVERY PROTOCOL)


Trong công tác quản trị và vận hành một hạ tầng mạng doanh nghiệp phức tạp, một trong những thách thức lớn nhất của kỹ sư mạng là làm thế nào để nắm bắt được sơ đồ kết nối vật lý (Physical Topology) khi tiếp nhận một hệ thống mới, hoặc khi tài liệu sơ đồ mạng (Network Map) đã quá cũ kỹ và không còn chính xác. Thay vì phải đi dò từng sợi cáp trong phòng máy, hệ điều hành Cisco IOS cung cấp một công cụ khám phá cực kỳ mạnh mẽ hoạt động ở Lớp 2, đó là giao thức CDP (Cisco Discovery Protocol). Giao thức này cho phép các thiết bị tự động thu thập và chia sẻ thông tin chi tiết về các thiết bị láng giềng kết nối trực tiếp.
Bài viết này sẽ phân tích chuyên sâu nguyên lý vận hành lớp 2, các nguy cơ an ninh thông tin và quy trình từng bước khai thác, cấu hình giao thức CDP trong thực tế. 1. Nguyên lý vận hành Lớp 2 của giao thức CDP


CDP (Cisco Discovery Protocol) là giao thức độc quyền của Cisco (Cisco Proprietary), được thiết kế để chạy ẩn và kích hoạt sẵn mặc định (Enabled by default) trên hầu hết các dòng Router, Switch, Firewall (ASA/Firepower) và cả IP Phone của Cisco.
Cơ chế hoạt động của CDP tuân thủ các đặc tính kỹ thuật nghiêm ngặt sau:

• Vận hành ở Tầng liên kết dữ liệu (Data-Link Layer): CDP hoạt động độc lập hoàn toàn với các giao thức Lớp 3. Điều này có nghĩa là ngay cả khi hai thiết bị Cisco kết nối với nhau nhưng chưa được cấu hình địa chỉ IP, hoặc cấu hình sai lệch subnets khiến chúng không thể ping thấy nhau, gói tin CDP vẫn di chuyển qua lại bình thường để giúp kỹ sư nhận diện được thiết bị đối diện.

• Cơ chế Quảng bá Đơn hướng (Multicast Advertisements): Định kỳ mỗi 60 giây một lần, các thiết bị sẽ gửi một gói tin quảng bá CDP (CDP Advertisement) ra tất cả các cổng vật lý đang hoạt động. Gói tin này sử dụng địa chỉ MAC đích Multicast lớp 2 đặc biệt là 01:00:0C:CC:CC:CC.

• Cơ chế lưu đệm Holdtime: Khi thiết bị láng giềng nhận được gói tin CDP, nó sẽ lưu các thông tin thu được vào một bảng nhớ đệm (CDP Cache Table) trong khoảng thời gian mặc định là 180 giây (Holdtime). Nếu quá thời gian này mà thiết bị không nhận được gói tin cập nhật mới từ láng giềng, thông tin về thiết bị đó sẽ tự động bị xóa bỏ khỏi bảng cache.

2. Các thông tin giá trị thu thập được từ gói tin CDP


Khi thực hiện "bắt" và phân tích gói tin CDP, hệ thống sẽ tiết lộ một lượng thông tin tình báo cực kỳ chi tiết về thiết bị đầu xa, bao gồm:

• Device ID: Tên định danh (Hostname) của thiết bị láng giềng (Ví dụ: SW1, R2).

• Address list: Toàn bộ các địa chỉ mạng (Mạng IPv4, IPv6) được cấu hình trên các interface của thiết bị đối diện, giúp kỹ sư nhanh chóng tìm ra IP quản trị (Management IP).

• Port ID: Tên cổng kết nối chính xác của thiết bị đối diện (Ví dụ: FastEthernet 0/1, GigabitEthernet 1/0/21).

• Capabilities list: Khả năng vận hành phần cứng của thiết bị (Ví dụ: Thiết bị đó là Router (R), Switch (S), hay Trans-Bridge (T)...).

• Platform: Mã dòng sản phẩm phần cứng chính xác từ nhà sản xuất (Ví dụ: Cisco 2960, 3750, ISR4331).

• IOS Version: Phiên bản hệ điều hành chính xác đang chạy trên thiết bị đầu xa.

3. Đánh giá Nguy cơ An ninh mạng (Security Risks) và Khuyến nghị


Mặc dù CDP là một công cụ tuyệt vời cho việc quản trị và vẽ sơ đồ mạng, nó lại tiềm ẩn nguy cơ bảo mật thông tin cực kỳ nghiêm trọng nếu không được kiểm soát chặt chẽ.
Mối đe dọa Reconnaissance (Thu thập thông tin tình báo): Vì gói tin CDP phát đi dưới dạng văn bản thuần và chứa toàn bộ thông tin nhạy cảm (IP, dòng thiết bị, phiên bản IOS), kẻ tấn công chỉ cần cắm máy tính vào một cổng mạng bất kỳ trong văn phòng, sử dụng phần mềm bắt gói tin (như Wireshark) là có thể thu thập toàn bộ cấu trúc sơ đồ mạng của doanh nghiệp. Từ các thông tin về phiên bản IOS cũ, kẻ tấn công có thể dễ dàng tra cứu các lỗ hổng bảo mật (Vulnerabilities) được công bố công khai để thực hiện các cuộc tấn công khai thác sâu vào lõi hệ thống.
Khuyến nghị triển khai:

• Tắt hoàn toàn CDP trên các cổng hướng ra ngoài Internet (WAN Interfaces) kết nối với nhà cung cấp dịch vụ hoặc các cổng Access kết nối xuống máy tính của người dùng cuối (User Ports).

• Chỉ duy trì kích hoạt CDP trên các đường trung kế (Trunk links) kết nối nội bộ giữa các Router và Switch của Cisco với nhau trong phòng Server.

• Đối với môi trường chạy đa hệ thống từ nhiều hãng khác nhau (Cisco kết nối với HP, Juniper, Aruba, Mikrotik...), kỹ sư nên tắt CDP và chuyển sang sử dụng tiêu chuẩn mở quốc tế LLDP (Link Layer Discovery Protocol).

4. Quy trình cấu hình và Khai thác dòng lệnh CDP trên Cisco IOS

4.1. Câu lệnh điều khiển toàn cục và Interface


Để bật/tắt toàn bộ tính năng CDP trên toàn thiết bị, sử dụng lệnh cấu hình toàn cục:
Plaintext
Router(config)# cdp run ! Kích hoạt CDP toàn cục (mặc định đã bật)
Router(config)# no cdp run ! Tắt hoàn toàn tính năng CDP trên thiết bị

Để tắt tính năng phát gói tin CDP trên một cổng giao tiếp cụ thể (ví dụ cổng FastEthernet 0/1 hướng xuống vùng người dùng):
Plaintext
Router(config)# interface fastEthernet 0/1
Router(config-if)# no cdp enable ! Khóa tính năng CDP trên riêng interface này 4.2. Khai thác các câu lệnh kiểm tra (Verification)


Giả định chúng ta đang đứng ở thiết bị R1 và cần dò tìm sơ đồ xung quanh, thực thi câu lệnh tổng quan:
Plaintext
R1# show cdp neighbors

Hệ thống kết xuất cấu trúc dữ liệu tóm tắt:
Plaintext
Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge
S - Switch, H - Host, I - IGMP, r - Repeater

Device ID Local Intrfce Holdtme Capability Platform Port ID
SW1 Fas 0/0 142 S I WS-C2960- Fas 0/14
R2 Ser 0/0/0 165 R B C1841 Ser 0/0/0

Phân tích kết quả:

• R1 đang kết nối trực tiếp với một Switch tên là SW1 thông qua cổng nội bộ Fas 0/0, và đầu cổng bên kia của Switch là Fas 0/14. Thiết bị chạy trên nền tảng phần cứng Catalyst 2960.

• R1 cũng đang kết nối với một Router tên là R2 qua cổng Serial Ser 0/0/0.

Để bóc tách chi tiết thông tin địa chỉ IP quản trị và phiên bản hệ điều hành của thiết bị đối xa nhằm mục đích cấu hình từ xa, sử dụng câu lệnh mở rộng:
Plaintext
R1# show cdp neighbors detail

Hệ thống hiển thị dữ liệu chi tiết cho từng thiết bị:
Plaintext
-------------------------
Device ID: R2
Entry address(es):
IP address: 192.168.12.2
Platform: cisco C1841, Capabilities: Router Bidirectional M bridge
Interface: Serial0/0/0, Port ID (outgoing port): Serial0/0/0
Holdtime : 154 sec

Version :
Cisco IOS Software, 1841 Software (C1841-ADVIPSERVICESK9-M), Version 12.4(15)T1, RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2007 by Cisco Systems, Inc.

Từ kết quả chi tiết này, kỹ sư biết được chính xác địa chỉ IP của thiết bị láng giềng là 192.168.12.2, giúp cho việc thực hiện các lệnh quản trị từ xa như Telnet/SSH trở nên cực kỳ dễ dàng.
CHUYÊN SÂU QUẢN TRỊ VÀ TỐI ƯU HẠ TẦNG MẠNG DOANH NGHIỆP TẠI VNPRO
Các giải pháp quản trị hệ thống biên Lớp 2 bao gồm giao thức khám phá thiết bị CDP, tiêu chuẩn mở quốc tế LLDP, kết hợp với các kỹ thuật giám sát hạ tầng và bảo mật chống dò quét thông tin là những khối lượng kiến thức nền tảng thực tế vô cùng quan trọng đối với một kỹ sư mạng trong chương trình đào tạo CCNA và CCNP Enterprise. Để trực tiếp thực hành phân tích cấu trúc các trường thông tin bên trong gói tin CDP, xây dựng hoàn chỉnh sơ đồ mạng của một doanh nghiệp lớn trên hệ thống phòng Lab thiết bị thật Cisco chính hãng, quý học viên có thể tham khảo các lộ trình học tập bài bản tại VnPro.

• Hotline/Zalo hỗ trợ tư vấn: 093 3427 079

• Website: vnpro.vn