Tweet
Khi chúng ta chọn một SSID trên laptop và vài giây sau đã vào được mạng, cảm giác mọi thứ diễn ra rất đơn giản. Nhưng phía sau thao tác đó là cả một chuỗi Client Onboarding gồm nhiều bước ở Layer 2, bảo mật và Layer 3.
Hiểu rõ chuỗi này đặc biệt hữu ích khi troubleshooting các lỗi kiểu: “Thấy Wi-Fi nhưng không kết nối được”, “Connected nhưng không nhận IP” hay “Có IP nhưng vẫn chưa vào Internet”.
Bước 1 – Scanning: Client đi tìm mạng
Đầu tiên, Wireless Client phải tìm Access Point phù hợp.
Client có thể Passive Scan, lắng nghe các Beacon Frame do AP phát định kỳ, hoặc Active Scan bằng cách gửi Probe Request và nhận Probe Response.
Qua quá trình này, client biết được các thông tin như SSID, BSSID, channel, security capability và lựa chọn AP phù hợp để kết nối.
Bước 2 – 802.11 Authentication
Sau khi chọn AP, client thực hiện 802.11 Authentication.
Tên gọi dễ gây hiểu nhầm vì đây chưa nhất thiết là bước xác thực username/password của người dùng. Trong nhiều mạng WLAN hiện đại, quá trình 802.11 Authentication ban đầu sử dụng Open System Authentication.
Có thể hiểu đây là bước client bắt đầu thiết lập quan hệ Layer 2 với AP.
Bước 3 – Association
Tiếp theo client gửi Association Request đến AP. Nếu AP chấp nhận, nó trả về Association Response.
Sau bước này, client đã chính thức associate với AP. Tuy nhiên, associate thành công chưa có nghĩa là client đã được phép truy cập tài nguyên doanh nghiệp.
Bước 4 – 802.1X Authentication
Nếu doanh nghiệp sử dụng WPA2/WPA3-Enterprise, quá trình xác thực 802.1X sẽ diễn ra.
Wireless Client đóng vai trò Supplicant, AP/WLC là Authenticator, còn các hệ thống như Cisco ISE/RADIUS đóng vai trò Authentication Server.
Thông qua EAP, doanh nghiệp có thể xác minh user hoặc device bằng password, certificate hay các phương thức xác thực khác.
Đây là bước rất quan trọng để triển khai Identity-Based Access và Zero Trust cho WLAN.
Bước 5 – EAPOL Key Exchange
Sau khi xác thực, client và hạ tầng WLAN cần thiết lập các khóa dùng để mã hóa traffic Wi-Fi.
Quá trình EAPOL Key Exchange, điển hình là 4-Way Handshake trong WPA2/WPA3, giúp hai bên tạo và cài đặt các khóa cần thiết để bảo vệ dữ liệu.
Từ đây, traffic trên đường truyền vô tuyến mới được bảo vệ bằng encryption phù hợp.
Bước 6 – IP Address Learning
Có kết nối Layer 2 vẫn chưa đủ. Client cần cấu hình Layer 3.
Thông thường thiết bị sử dụng DHCP với quy trình quen thuộc:
Discover → Offer → Request → ACK
Sau đó client có được IP Address, Subnet Mask, Default Gateway, DNS Server và các DHCP option cần thiết.
Đây là lý do một thiết bị có thể báo Connected to Wi-Fi nhưng vẫn không vào mạng: Wi-Fi đã hoàn tất association, nhưng DHCP lại gặp sự cố.
Bước 7 – Layer 3 Authentication
Một số WLAN, đặc biệt là Guest Wi-Fi, còn yêu cầu thêm bước xác thực Layer 3 như Web Authentication/Captive Portal.
Client đã có IP nhưng khi mở trình duyệt sẽ được redirect tới trang đăng nhập, chấp nhận điều khoản hoặc nhập credential. Chỉ sau khi hoàn tất bước này, hệ thống mới mở quyền truy cập Internet hoặc các tài nguyên được phép.
Như vậy, một kết nối Wi-Fi thành công không đơn giản là “Client bắt được sóng AP”. Nó là cả một chuỗi:
Khi troubleshooting WLAN, thay vì hỏi chung chung “Tại sao Wi-Fi không chạy?”, hãy xác định client đang dừng ở bước nào trong 7 bước trên. Chỉ riêng cách tiếp cận này đã giúp thu hẹp phạm vi sự cố rất nhanh.
Hiểu rõ chuỗi này đặc biệt hữu ích khi troubleshooting các lỗi kiểu: “Thấy Wi-Fi nhưng không kết nối được”, “Connected nhưng không nhận IP” hay “Có IP nhưng vẫn chưa vào Internet”.
Bước 1 – Scanning: Client đi tìm mạng
Đầu tiên, Wireless Client phải tìm Access Point phù hợp.
Client có thể Passive Scan, lắng nghe các Beacon Frame do AP phát định kỳ, hoặc Active Scan bằng cách gửi Probe Request và nhận Probe Response.
Qua quá trình này, client biết được các thông tin như SSID, BSSID, channel, security capability và lựa chọn AP phù hợp để kết nối.
Bước 2 – 802.11 Authentication
Sau khi chọn AP, client thực hiện 802.11 Authentication.
Tên gọi dễ gây hiểu nhầm vì đây chưa nhất thiết là bước xác thực username/password của người dùng. Trong nhiều mạng WLAN hiện đại, quá trình 802.11 Authentication ban đầu sử dụng Open System Authentication.
Có thể hiểu đây là bước client bắt đầu thiết lập quan hệ Layer 2 với AP.
Bước 3 – Association
Tiếp theo client gửi Association Request đến AP. Nếu AP chấp nhận, nó trả về Association Response.
Sau bước này, client đã chính thức associate với AP. Tuy nhiên, associate thành công chưa có nghĩa là client đã được phép truy cập tài nguyên doanh nghiệp.
Bước 4 – 802.1X Authentication
Nếu doanh nghiệp sử dụng WPA2/WPA3-Enterprise, quá trình xác thực 802.1X sẽ diễn ra.
Wireless Client đóng vai trò Supplicant, AP/WLC là Authenticator, còn các hệ thống như Cisco ISE/RADIUS đóng vai trò Authentication Server.
Thông qua EAP, doanh nghiệp có thể xác minh user hoặc device bằng password, certificate hay các phương thức xác thực khác.
Đây là bước rất quan trọng để triển khai Identity-Based Access và Zero Trust cho WLAN.
Bước 5 – EAPOL Key Exchange
Sau khi xác thực, client và hạ tầng WLAN cần thiết lập các khóa dùng để mã hóa traffic Wi-Fi.
Quá trình EAPOL Key Exchange, điển hình là 4-Way Handshake trong WPA2/WPA3, giúp hai bên tạo và cài đặt các khóa cần thiết để bảo vệ dữ liệu.
Từ đây, traffic trên đường truyền vô tuyến mới được bảo vệ bằng encryption phù hợp.
Bước 6 – IP Address Learning
Có kết nối Layer 2 vẫn chưa đủ. Client cần cấu hình Layer 3.
Thông thường thiết bị sử dụng DHCP với quy trình quen thuộc:
Discover → Offer → Request → ACK
Sau đó client có được IP Address, Subnet Mask, Default Gateway, DNS Server và các DHCP option cần thiết.
Đây là lý do một thiết bị có thể báo Connected to Wi-Fi nhưng vẫn không vào mạng: Wi-Fi đã hoàn tất association, nhưng DHCP lại gặp sự cố.
Bước 7 – Layer 3 Authentication
Một số WLAN, đặc biệt là Guest Wi-Fi, còn yêu cầu thêm bước xác thực Layer 3 như Web Authentication/Captive Portal.
Client đã có IP nhưng khi mở trình duyệt sẽ được redirect tới trang đăng nhập, chấp nhận điều khoản hoặc nhập credential. Chỉ sau khi hoàn tất bước này, hệ thống mới mở quyền truy cập Internet hoặc các tài nguyên được phép.
Như vậy, một kết nối Wi-Fi thành công không đơn giản là “Client bắt được sóng AP”. Nó là cả một chuỗi:
Scan → 802.11 Authentication → Association → 802.1X → EAPOL Key Exchange → DHCP → Layer 3 Authentication
Khi troubleshooting WLAN, thay vì hỏi chung chung “Tại sao Wi-Fi không chạy?”, hãy xác định client đang dừng ở bước nào trong 7 bước trên. Chỉ riêng cách tiếp cận này đã giúp thu hẹp phạm vi sự cố rất nhanh.
Attached Files