Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của các thiết bị di động thông minh (laptop, máy tính bảng, điện thoại di động) và xu hướng làm việc linh hoạt đặt ra yêu cầu cấp thiết về việc xây dựng các hệ thống mạng không dây (WLAN) kết hợp song song với hạ tầng mạng có dây truyền thống. Tuy nhiên, do đặc thù truyền tín hiệu qua sóng vô tuyến trong không gian mở, mạng không dây tiềm ẩn nhiều rủi ro an ninh nghiêm trọng như nghe lén, giả mạo danh tính, tấn công trung gian (Man-in-the-Middle) và truy cập trái phép.

Báo cáo môn học được thực hiện bởi sinh viên Trần Thanh Duy (MSSV: 51800676, Lớp 18050402, Khóa 22) dưới sự hướng dẫn của Thầy Trần Thanh Phước tại Khoa Công nghệ Thông tin, Trường Đại học Tôn Đức Thắng. Đề tài tập trung phân tích toàn diện các lỗ hổng bảo mật, cơ chế kiểm soát truy cập và xây dựng phương án triển khai hạ tầng mạng cho một cơ sở giáo dục thực tế.

Nhiệm vụ và mục tiêu nghiên cứu cụ thể của đề tài bao gồm:

  1. Hệ thống hóa cơ sở lý thuyết về mạng không dây, phân tích ưu nhược điểm, so sánh chi tiết giữa mạng có dây và không dây, khảo cứu quá trình phát triển của các chuẩn IEEE 802.11.
  2. Phân tích các mô hình mối đe dọa an ninh trong hệ thống viễn thông và nhận diện các lỗ hổng bảo mật đặc thù.
  3. Nghiên cứu các cơ chế bảo mật cốt lõi: khung kiến trúc AAA (Authentication - Authorization - Accounting), kiến trúc Hotspot và các giao thức mã hóa/xác thực không dây (WLAN VPN, TKIP, AES, 802.1X, WPA, WPA2).
  4. Thiết kế, lập bảng dự toán thiết bị và xây dựng kịch bản cấu hình thực nghiệm (demo) hệ thống mạng kết hợp có dây và không dây có độ bảo mật cao cho Trung tâm Anh ngữ Yola Him Lam tại Quận 7, TP. Hồ Chí Minh.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các chuẩn truyền thông không dây IEEE 802.11, giao thức bảo mật mạng (AAA, 802.1X, WPA2-Enterprise/Personal), thiết bị mạng (Router, Switch, Wireless Controller, RADIUS Server, Access Point).
  • Phạm vi không gian: Tòa nhà 3 tầng (diện tích 100m²/tầng) thuộc Trung tâm Anh ngữ Yola cơ sở Him Lam, Quận 7, TP. Hồ Chí Minh (tại các địa chỉ 52-54-56 Hoàng Trọng Mậu và 84-86 Nguyễn Thị Thập).
  • Phạm vi thời gian: Đề tài hoàn thành vào tháng 12 năm 2021 và bảo vệ năm 2022.

Cơ sở lý thuyết và phương pháp

Đề tài vận dụng hệ thống lý thuyết chuẩn mực của ngành Mạng máy tính và An toàn thông tin, bao gồm:

  • Khái niệm dữ liệu và cơ sở dữ liệu: Định nghĩa dữ liệu là các số liệu rời rạc; cơ sở dữ liệu (CSDL/Database) là tập hợp dữ liệu có cấu trúc, có mối quan hệ được lưu trữ trên hệ thống máy tính để phục vụ đồng thời nhiều người dùng có chọn lọc.
  • Nguyên lý mạng không dây: Cơ chế truyền dẫn sóng điện từ (vô tuyến, hồng ngoại), kỹ thuật điều chế dữ liệu trên sóng mang và công nghệ trải phổ (Direct-Sequence Spread Spectrum - DSSS, Frequency-Hopping Spread Spectrum - FHSS).
  • Mô hình mối đe dọa viễn thông: Mô hình giao tiếp mở rộng phân biệt hai bên tham gia (Alice, Bob), hạ tầng mạng/bên thứ ba tin cậy (TTP - Trusted Third Party) và tác nhân tấn công (Eve).
  • Khung xác thực AAA: Ba thành phần độc lập gồm Authentication (xác thực danh tính), Authorization (phân quyền tài nguyên dựa trên thuộc tính người dùng), Accounting (tính cước và giám sát hoạt động người dùng).
  • Các tiêu chuẩn an ninh mạng: Chuẩn kiểm soát truy cập IEEE 802.1X kết hợp giao thức EAP (Extensible Authentication Protocol); chuẩn mã hóa nâng cao AES (chế độ CBC-CTR kết hợp CBC-MAC); chuẩn bảo mật WPA và WPA2.

Phương pháp nghiên cứu được triển khai bao gồm:

  • Phương pháp phân tích - tổng hợp tài liệu: Thu thập, tổng hợp các tiêu chuẩn kỹ thuật IEEE, tài liệu bảo mật viễn thông và hướng dẫn kỹ thuật của nhà sản xuất thiết bị mạng (Cisco, Dell, APTEK).
  • Phương pháp so sánh, đối chiếu: Lập bảng so sánh đa tiêu chí giữa mạng có dây và không dây, phân tích sự tiến hóa về băng thông và tần số qua các thế hệ chuẩn IEEE 802.11.
  • Phương pháp thiết kế và thực nghiệm mô phỏng: Khảo sát cấu trúc thực địa tòa nhà, quy hoạch sơ đồ mạng, xây dựng bảng địa chỉ IP, thiết lập cấu hình phân chia VLAN, VTP, DHCP, định tuyến và cấu hình mạng không dây tích hợp xác thực tập trung RADIUS Server trên Wireless LAN Controller (WLC).

Nội dung chính theo từng chương

Chương 1: Tổng quan về mạng không dây

Chương này phân tích các khái niệm nền tảng về mạng không dây (Wi-Fi/Wireless/IEEE 802.11), nguyên lý hoạt động của điểm truy cập (Access Point - AP) và card mạng (NIC). Tác giả làm rõ các ưu điểm (tính di động, dễ mở rộng, giảm chi phí cáp) và nhược điểm (nguy cơ bảo mật do môi trường sóng mở, phạm vi giới hạn ~150m, dễ bị suy hao/nhiễu tín hiệu bởi thời tiết và vật cản).

Nội dung trọng tâm là bảng so sánh toàn diện giữa mạng có dây và mạng không dây:

Tiêu chí so sánh Mạng có dây Mạng không dây
Phạm vi ứng dụng Thiết lập cho hầu hết các mô hình từ nhỏ đến lớn; khó kéo dây trên địa hình phức tạp, nhiều tường chắn. Áp dụng cho mô hình nhỏ, trung bình; triển khai dễ dàng tại địa hình phức tạp; cần thiết bị chuyên dụng (Unifi, Open-Mesh) khi làm diện rộng.
Độ tin cậy Ít ảnh hưởng đến sức khỏe; chịu được tác động của khí hậu và thời tiết bất thường. Sóng phát ra môi trường có thể ảnh hưởng sức khỏe; hoạt động kém hơn khi thời tiết bất lợi.
Tốc độ truyền dẫn Mức tốc độ phổ biến: 10/100/1000 Mbps. Mức tốc độ chuẩn: 11/54/108 Mbps; tốc độ nâng cao khi xây dựng hệ thống Wi-Fi diện rộng.
Tính bảo mật Độ bảo mật cao, dữ liệu chỉ lộ khi có sự xâm nhập vật lý vào đường truyền dây dẫn. Khả năng bảo mật kém hơn do sóng phát mọi phía; cần giải pháp quản lý tập trung và kiểm soát băng thông.
Khả năng lắp đặt Tốn nhiều thời gian thiết kế và đi dây cho toàn bộ hệ thống. Triển khai nhanh chóng, ít tốn thời gian do không phải đi dây nhiều.
Khả năng mở rộng Phải tính toán kỹ từ đầu, tốn nhiều công sức và chi phí nếu muốn mở rộng sau này. Mở rộng dễ dàng, lắp đặt thiết bị linh hoạt.

Tác giả cũng thống kê quá trình phát triển của các chuẩn mạng IEEE 802.11:

  • IEEE 802.11 (1997): Băng tần 2.4 GHz, kỹ thuật DSSS, tốc độ tối đa 2 Mbps.
  • IEEE 802.11b (1999): Băng tần 2.4 GHz, tốc độ tối đa 11 Mbps, giá thành thấp nhưng dễ bị can nhiễu từ thiết bị gia dụng.
  • IEEE 802.11a (1999): Băng tần 5 GHz, tốc độ tối đa 54 Mbps, tránh xuyên nhiễu tốt nhưng phạm vi hẹp và khó xuyên tường.
  • IEEE 802.11g (2002-2003): Băng tần 2.4 GHz, tốc độ tối đa 54 Mbps, tương thích ngược với chuẩn 802.11b.
  • IEEE 802.11n: Băng tần kép 2.4 GHz và 5 GHz, tốc độ lý thuyết lên tới 300 Mbps, sử dụng công nghệ MIMO (hỗ trợ tối đa 4 luồng đồng thời).
  • IEEE 802.11ac: Chuẩn băng tần kép hiện đại, tốc độ đạt 450 Mbps trên băng tần 2.4 GHz và 1300 Mbps trên băng tần 5 GHz.

Chương 2: Các lỗ hổng của mạng không dây và có dây

Chương 2 mô hình hóa các mối đe dọa an ninh trong hệ thống viễn thông. Thay vì chỉ dựa trên mô hình cổ điển giữa hai thực thể tin cậy (Alice và Bob), tác giả phân tích mô hình mở rộng có sự tham gia của hạ tầng viễn thông bên thứ ba. Kẻ tấn công (ký hiệu là Eve) có thể khai thác nhiều điểm yếu:

  • Tấn công vào thiết bị đầu cuối thông qua lỗ hổng phần mềm.
  • Tấn công kênh liên lạc bằng hình thức không xâm nhập (nghe lén, đánh cắp dữ liệu) hoặc xâm nhập (sửa đổi gói tin, chèn dữ liệu độc hại, tấn công phát lại - replay attack).
  • Tấn công xâm nhập hạ tầng để đóng vai trò trung gian (Man-in-the-Middle) nhằm chặn bắt và chiếm đoạt danh tính truyền thông.

Chương 3: Các cơ chế bảo mật cơ bản

Nội dung chương trình bày chi tiết về kiến trúc AAA:

  • Authentication (Xác thực): Kiểm tra đối chiếu username/password với cơ sở dữ liệu trên AAA Server hoặc Database ngoài để xác định danh tính hợp lệ của người dùng.
  • Authorization (Phân quyền): Cấp quyền truy cập dựa trên thuộc tính vai trò (ví dụ: nhân viên phòng nhân sự được truy cập ứng dụng nghiệp vụ; khách vãng lai chỉ được cấp quyền tối thiểu ra Internet).
  • Accounting (Tính cước/Ghi nhận): Ghi nhật ký thời gian bắt đầu, kết thúc, lưu lượng và các lệnh thực thi vào cơ sở dữ liệu quan hệ nhằm phục vụ công tác giám sát, kiểm toán và quản trị mạng.

Chương 4: Bảo mật mạng không dây

Chương 4 khảo cứu các giải pháp an ninh chuyên biệt:

  • Kiến trúc Hotspot: Vận hành qua 4 giai đoạn:
    1. Chuyển hướng (Redirection): Sau khi nhận IP từ DHCP, yêu cầu web của người dùng được chuyển hướng qua mã HTTP 302 đến cổng cố định (Captive Portal) HTTPS/TLS.
    2. Phân quyền (Authorization): Cấu hình động quy tắc trên tường lửa dựa trên IP hoặc địa chỉ MAC sau khi đăng nhập thành công.
    3. Kết nối (Connection): Thực thi chính sách bảo mật cho phép người dùng truy cập Internet.
    4. Ngắt kết nối (Disconnection): Đóng phiên qua trang đăng xuất hoặc cơ chế gửi gói tin ARP probe / theo dõi gia hạn DHCP.
  • Các giao thức bảo mật WLAN:
    • WLAN VPN: Sử dụng IPSec để tạo kênh truyền bảo mật, chi phí hợp lý.
    • TKIP: Cung cấp cơ chế băm IV động cho từng khung truyền và kiểm tra tính toàn vẹn thông điệp (MIC) để chống giả mạo gói tin.
    • AES: Chuẩn mã hóa khối nâng cao được NIST phê chuẩn, vận hành ở chế độ CBC-CTR kết hợp CBC-MAC.
    • IEEE 802.1X: Cơ chế kiểm soát cổng gồm 3 thành phần: Supplicant (máy trạm khách), Authenticator (Access Point đóng vai trò Proxy), Authentication Server (máy chủ RADIUS như Cisco ACS, Microsoft IAS) thông qua giao thức EAP.
    • WPA và WPA2: Các giải pháp an ninh của Wi-Fi Alliance; trong đó WPA2 chuẩn hóa việc sử dụng AES và IEEE 802.1X mang lại độ an toàn cao nhất.

Chương 5: Thực hành

Nội dung thực hành thiết kế, lập dự toán phần cứng và cấu hình mô phỏng cho Trung tâm Anh ngữ Yola Him Lam (Quận 7, TP.HCM).

Chương 6: Kết luận

Tổng kết các nội dung đã nghiên cứu về lý thuyết an ninh mạng và đánh giá kết quả triển khai hệ thống demo.

Thiết kế và triển khai hệ thống mạng

1. Khảo sát hiện trạng và yêu cầu kỹ thuật

Cơ sở Yola Him Lam là tòa nhà 3 tầng, diện tích 100m²/tầng:

  • Tầng 1: Sảnh lễ tân, thu ngân, phòng tư vấn khách hàng.
  • Tầng 2: Các phòng học trang bị máy tính giáo viên, máy chiếu, màn hình TV, hệ thống loa.
  • Tầng 3: Phòng Giám đốc và Phòng Kỹ thuật.

Hệ thống đặt ra yêu cầu: Phủ sóng không dây tốc độ cao toàn bộ tòa nhà, đường truyền ổn định phục vụ học tập/tra cứu/kiểm tra trực tuyến, phân tách lưu lượng giữa các phòng ban và ngăn chặn triệt để truy cập trái phép.

2. Danh mục thiết bị và dự toán kinh phí

Tác giả lựa chọn các thiết bị mạng chuyên dụng từ các hãng Cisco, Dell, APTEK:

Tên thiết bị Mã thiết bị Hãng sản xuất Số lượng Đơn giá (VNĐ) Thành tiền (VNĐ) Mô tả công năng
Switch Cisco 16 Port Gigabit SG95-16 Cisco 1 3.000.000 3.000.000 Switch trung tâm kết nối từ Router đến các Switch tầng.
Switch Cisco 8 Port SF95D-08 Cisco 3 570.000 1.710.000 Lắp tại Sảnh, Phòng Tư vấn, Phòng Giám đốc.
Dual WAN VPN Router RV082-EU Cisco 1 6.000.000 6.000.000 Router biên kết nối Internet và định tuyến mạng.
Máy chủ Dell PowerEdge T40 (SVDE0130) Dell 1 15.000.000 15.000.000 Cài đặt dịch vụ RADIUS Server xác thực người dùng.
Wireless LAN Controller AIR-CT2504-5-K9 Cisco 1 16.800.000 16.800.000 WLC quản lý tập trung tối đa 5 điểm truy cập (AP).
Router Wi-Fi / AP APTEK A134GHU APTEK 2 1.000.000 2.000.000 AP băng tần kép (N 400Mbps, AC 876Mbps), tải 80-100 user.
Tổng cộng 44.510.000 (Tổng dự toán trong thuyết minh: ~46 triệu VNĐ).

3. Quy hoạch địa chỉ IP và phân đoạn mạng

Hệ thống mạng được phân chia thành các mạng ảo VLAN để quản lý và cô lập luồng dữ liệu:

Thiết bị / Vùng mạng Interface / VLAN Địa chỉ IP Ghi chú
Router Internet LAN 192.168.1.1/24 Cổng giao tiếp Internet
Switch SW1 (Core) VLAN 100 - Yola 192.168.100.100/24 Quản lý mạng nội bộ
Sảnh (Lễ tân/Thu ngân) VLAN 10 - Yola 192.168.10.100/24 Mạng khu vực tầng 1
Phòng Giám đốc VLAN 20 - Yola 192.168.20.100/24 Mạng phòng lãnh đạo
Phòng Tư vấn VLAN 30 - Yola 192.168.30.100/24 Mạng tư vấn viên
Wireless LAN Controller Management 192.168.100.254/24 Giao diện quản trị WLC
RADIUS Server NIC 10.10.10.254/24 Máy chủ xác thực người dùng
Web Server NIC 203.162.0.78/24 Máy chủ dịch vụ Web
DNS Server NIC 10.10.10.252/24 Máy chủ phân giải tên miền
Mail Server NIC 192.168.100.254/24 Máy chủ thư điện tử nội bộ
Các PC/Laptop/Tablet NIC / Wireless0 Cấp tự động qua DHCP Nhận IP theo VLAN tương ứng

4. Cấu hình kỹ thuật và mạng không dây

Quá trình cấu hình trên thiết bị mô phỏng bao gồm:

  • Cấu hình VTP (VLAN Trunking Protocol):
    • Switch trung tâm SW1 đóng vai trò Server: domain yola, password yola.
    • Các switch chi nhánh (Sanh, Tuvan, GiamDoc) đóng vai trò Client: domain yola, password yola.
  • Khai báo VLAN trên Switch:
    • VLAN 10: name sanh
    • VLAN 20: name giamdoc
    • VLAN 30: name tuvan
  • Cấu hình DHCP & Định tuyến: Cấu hình DHCP Pool và định tuyến sub-interface trên cổng Router R1 để cấp phát IP động cho các dải VLAN.
  • Cấu hình WLAN trên WLC và RADIUS Server:
    • WLAN 2 (SSID: YOLA SSID-2): Phương thức xác thực WPA-2 Personal, mật khẩu tiền chia sẻ (Pre-shared Key): Cisco123.
    • WLAN 5 (SSID: YOLA SSID-5): Phương thức xác thực WPA-2 Enterprise, xác thực tập trung qua tài khoản RADIUS Server (PhongHoc / mật khẩu phonghoc).

Kết quả và đóng góp

  1. Kết quả kỹ thuật:
    • Xây dựng thành công bản vẽ thiết kế hệ thống mạng phân lớp và bảng kế hoạch dự toán tài chính chi tiết cho Trung tâm Anh ngữ Yola Him Lam với kinh phí tối ưu (~46 triệu VNĐ).
    • Thiết lập hoàn chỉnh cấu hình VLAN/VTP giúp phân tách lưu lượng rõ ràng giữa các phòng ban chức năng (Lễ tân, Tư vấn, Giám đốc, Kỹ thuật, Lớp học).
    • Triển khai giải pháp bảo mật không dây đa lớp: kết hợp WPA2-Personal cho các kết nối thông thường và WPA2-Enterprise tích hợp máy chủ RADIUS Dell PowerEdge T40 để kiểm soát quyền truy cập của học viên và giảng viên.
  2. Đóng góp của đồ án:
    • Cung cấp tài liệu tham khảo hoàn chỉnh từ khảo sát nhu cầu, phân tích lý thuyết an ninh mạng đến quy trình từng bước cấu hình thực tế cho một hệ thống mạng doanh nghiệp vừa và nhỏ (SMB) hoặc cơ sở giáo dục.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Nội dung thực nghiệm mới dừng lại ở quy mô demo cấu hình mô phỏng cho một chi nhánh đơn lẻ; chưa thực hiện kiểm thử đo lường hiệu năng suy hao sóng thực tế tại công trình khi có đông người dùng truy cập đồng thời.
  • Hướng mở rộng:
    • Nghiên cứu thiết lập mạng riêng ảo (VPN Site-to-Site) kết nối an toàn giữa chi nhánh Him Lam với các chi nhánh khác trong chuỗi hệ thống Yola.
    • Tích hợp sâu tính năng Accounting trên AAA Server để ghi nhận chi tiết nhật ký sử dụng và quản lý chính sách giới hạn băng thông cho từng nhóm đối tượng người dùng.

Giá trị tham khảo

Báo cáo là tài liệu hữu ích cho sinh viên chuyên ngành Mạng máy tính, An toàn thông tin và Công nghệ thông tin khi thực hiện các học phần Mạng máy tính, Hệ cơ sở dữ liệu hoặc đồ án tốt nghiệp. Phần thiết kế mạng phân đoạn VLAN, cấu hình WLC và máy chủ RADIUS xác thực WPA2-Enterprise là nguồn mẫu tham khảo trực tiếp cho các kỹ sư triển khai hạ tầng mạng cho văn phòng, trường học và trung tâm đào tạo.

Câu hỏi thường gặp

1. Chuẩn IEEE 802.11ac có những đặc tính kỹ thuật gì vượt trội so với các chuẩn trước đó? IEEE 802.11ac sử dụng công nghệ băng tần kép đồng thời (2.4 GHz và 5 GHz), tương thích ngược với chuẩn 802.11n. Chuẩn này cung cấp băng thông truyền dẫn đạt 450 Mbps trên băng tần 2.4 GHz và lên tới 1300 Mbps trên băng tần 5 GHz.

2. Ba thành phần cơ bản tham gia vào cơ chế xác thực IEEE 802.1X là gì? Cơ chế xác thực IEEE 802.1X bao gồm:

  • Supplicant (Người bảo trợ): Phần mềm máy khách chạy trên máy trạm Wi-Fi.
  • Authenticator (Người xác thực): Điểm truy cập Wi-Fi (AP) đóng vai trò làm proxy chuyển tiếp gói tin xác thực.
  • Authentication Server (Máy chủ xác thực): Máy chủ lưu trữ cơ sở dữ liệu tài khoản người dùng, thường là RADIUS Server (Cisco ACS, Microsoft IAS).

3. Mặt bằng và công năng 3 tầng của cơ sở Yola Him Lam được phân bổ ra sao?

  • Tầng 1: Sảnh lễ tân, thu ngân, phòng tư vấn tuyển sinh và đón tiếp học viên.
  • Tầng 2: Hệ thống các phòng học được trang bị máy tính giáo viên, máy chiếu, TV và loa.
  • Tầng 3: Phòng làm việc của Ban Giám đốc và Phòng Kỹ thuật trung tâm.

4. Hai mạng không dây (WLAN) được thiết lập trong kịch bản demo có thông số cấu hình như thế nào?

  • WLAN 2: SSID là YOLA SSID-2, cơ chế xác thực WPA-2 Personal, mật khẩu truy cập Cisco123.
  • WLAN 5: SSID là YOLA SSID-5, cơ chế xác thực WPA-2 Enterprise, tài khoản chứng thực trên RADIUS Server là PhongHoc / mật khẩu phonghoc.

5. Danh mục các thiết bị phần cứng chính và tổng chi phí dự toán cho hệ thống mạng Yola là bao nhiêu? Hệ thống gồm 1 Switch Cisco SG95-16, 3 Switch Cisco SF95D-08, 1 Router Cisco RV082-EU, 1 Máy chủ Dell PowerEdge T40, 1 Wireless LAN Controller Cisco AIR-CT2504-5-K9 và 2 AP APTEK A134GHU. Tổng kinh phí dự toán thiết bị là 44.510.000 VNĐ (tổng dự toán trong thuyết minh là khoảng 46 triệu VNĐ).

Kết luận

Báo cáo đã hoàn thành tốt việc tổng hợp lý thuyết an ninh mạng có dây và không dây, phân tích sâu các cơ chế bảo mật then chốt như AAA, 802.1X, Hotspot và WPA2. Đồng thời, đề tài đã xây dựng thành công phương án thiết kế kỹ thuật và kịch bản cấu hình mạng thực nghiệm tối ưu cho cơ sở Trung tâm Anh ngữ Yola Him Lam. Kết quả nghiên cứu cung cấp mô hình mẫu có tính khả thi cao trong việc triển khai hạ tầng mạng an toàn cho các tổ chức giáo dục và doanh nghiệp quy mô vừa và nhỏ.