Giới thiệu dự án

Sự bùng nổ của hạ tầng Internet toàn cầu với hơn 3,9 tỷ người dùng và sự dịch chuyển mạnh mẽ sang mô hình làm việc từ xa, phân tán chi nhánh đã biến dữ liệu số trở thành tài sản sống còn của doanh nghiệp. Tuy nhiên, việc truyền tải dữ liệu mật qua hạ tầng mạng công cộng tiềm ẩn rủi ro an ninh mạng nghiêm trọng. Các kỹ thuật tấn công như nghe lén gói tin (Eavesdropping/Release of Message Content), sửa đổi dữ liệu (Message Modification), giả mạo danh tính (Masquerade), và tấn công phát lại (Replay Attacks) ngày càng gia tăng về quy mô lẫn mức độ tinh vi.

Trước thực trạng này, các giải pháp truyền thống như thuê kênh riêng (Leased-line, Frame Relay, ATM) bộc lộ rào cản lớn về chi phí đầu tư (CAPEX) và chi phí vận hành (OPEX) quá cao, thiếu tính linh hoạt khi mở rộng quy mô. Đồ án "Tìm hiểu mạng riêng ảo và ứng dụng" tập trung nghiên cứu, thiết kế và triển khai giải pháp Mạng riêng ảo (Virtual Private Network - VPN), ứng dụng bộ giao thức bảo mật IPSec trên hệ thống thiết bị định tuyến Cisco nhằm xây dựng kênh truyền bảo mật cao qua môi trường Internet công cộng.

       [Chi nhánh / Remote User]
                  │
                  ▼ (Đóng gói ESP / AH qua Tunnel)
      ═════════════════════════
     [ Internet Công Cộng (Untrusted) ]
      ═════════════════════════
                  │
                  ▼ (Giải mã và Xác thực)
            [Trụ sở chính HQ]

Mục tiêu dự án

  1. Phân tích toàn diện cơ chế hoạt động, kiến trúc bảo mật của các giao thức VPN phổ biến: PPTP, L2TP/IPSec, IPSec (Tunnel/Transport Mode) và SSL/TLS.
  2. Thiết kế mô hình kết nối mạng doanh nghiệp kết hợp cả hai mô hình: Site-to-Site VPN (kết nối chi nhánh với hội sở) và Remote Access VPN (kết nối người dùng di động vào máy chủ nội bộ).
  3. Hiện thực hóa và cấu hình tối ưu hệ thống VPN trên nền tảng thiết bị định tuyến Cisco IOS, ứng dụng các thuật toán mã hóa tiên tiến (AES, 3DES), xác thực toàn vẹn (SHA, MD5) và giao thức quản lý khóa tự động (IKE/ISAKMP).
  4. Kiểm thử, đánh giá hiệu năng và bảo mật của đường truyền mã hóa thông qua việc đo lường độ trễ (latency), thông lượng (throughput), tỷ lệ rớt gói và khả năng chống giả mạo thông tin.

Phương pháp tiếp cận và Phạm vi

  • Phương pháp tiếp cận: Sử dụng bộ giao thức IPSec hoạt động ở tầng Network (Lớp 3 trong mô hình OSI), tận dụng cơ chế Encapsulating Security Payload (ESP) để mã hóa toàn bộ dữ liệu người dùng và tiêu đề IP gốc trong chế độ Tunnel Mode.
  • Kết quả kỳ vọng: Thiết lập đường hầm VPN ổn định, bảo mật 100% dữ liệu truyền qua Internet, giảm tới 75% chi phí so với đường truyền vật lý chuyên dụng, đảm bảo tính toàn vẹn (Integrity), tính xác thực (Authentication) và tính bảo mật (Confidentiality).
  • Phạm vi & Giới hạn: Tập trung vào môi trường định tuyến IPv4 trên hệ điều hành mạng Cisco IOS; cấu hình thực nghiệm trên mô hình mạng doanh nghiệp chuẩn (HQ - ISP - Branch/Remote Client).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trong hạ tầng mạng diện rộng (WAN), các giải pháp kết nối mạng riêng truyền thống và các công nghệ VPN có sự khác biệt rõ rệt về hiệu năng, chi phí và mức độ an toàn:

Giải pháp Cơ chế bảo mật Chi phí triển khai Độ phức tạp vận hành Khả năng mở rộng
Kênh thuê riêng (Leased-line) Cách ly vật lý Cực kỳ cao Trung bình Kém linh hoạt
PPTP VPN MPPE (Yếu, dễ bị giải mã) Thấp Rất thấp Cao (hỗ trợ sẵn trên OS)
L2TP/IPSec ESP/AH + 3DES/AES Trung bình Trung bình Tốt
IPSec VPN (Site-to-Site) IKEv1/IKEv2 + AES/SHA Tối ưu Yêu cầu chuyên môn cao Rất cao
SSL/TLS VPN PKI, TLS 1.2/1.3 Thấp - Trung bình Dễ quản lý (Clientless/Agent) Rất cao

Phân loại yêu cầu theo mô hình MoSCoW

  • Must-have: Cơ chế mã hóa luồng dữ liệu truyền tải (ESP với AES/3DES); xác thực danh tính hai đầu Router (Pre-shared key qua IKE Phase 1); cơ chế bảo vệ chống phát lại (Anti-replay window); cô lập lưu lượng mạng riêng qua Access Control List (ACL).
  • Should-have: Cơ chế tự động thương lượng lại khóa định kỳ (SA Lifetime); tích hợp máy chủ xác thực tập trung RADIUS/IAS cho người dùng truy cập từ xa (Remote Access).
  • Could-have: Tích hợp cơ chế dự phòng định tuyến qua GRE over IPSec; nén dữ liệu Payload trước khi mã hóa.
  • Won't-have (giai đoạn này): Hỗ trợ toàn diện cho lưu lượng IPv6 Multicast thuần túy không qua đóng gói GRE.

Thiết kế hệ thống

Kiến trúc tổng thể và Luồng dữ liệu

Hệ thống bao gồm ba phân vùng chính:

  1. Headquarters (HQ): Đóng vai trò là VPN Gateway trung tâm, kết nối mạng LAN nội bộ (192.168.1.0/24) ra Internet qua Router HQ (Cổng công cộng 209.165.200.225/30).
  2. Branch Office: Đóng vai trò là VPN Gateway đầu xa, kết nối mạng LAN chi nhánh (192.168.2.0/24) ra Internet qua Router Branch (Cổng công cộng 209.165.201.1/30).
  3. Remote Mobile Client: Thiết bị đầu cuối của nhân viên kết nối qua phần mềm VPN Client, nhận địa chỉ IP ảo từ dải IP Pool do Router HQ cấp phát.
+-----------------------------------------------------------------------------------+
|                            KIẾN TRÚC HỆ THỐNG IPSEC VPN                           |
|                                                                                   |
|  [LAN HQ: 192.168.1.0/24]                                                         |
|         |                                                                         |
|  [Router HQ (Gateway)] <=== (IKE Phase 1: ISAKMP SA - Port 500 UDP) ===>          |
|  IP: 209.165.200.225   <=== (IKE Phase 2: IPSec ESP SA - Protocol 50) ===>        |
|         ^                                                               ^         |
|         |                                                               |         |
|   [Internet Cloud / Router ISP Core Routing: 209.165.200.0/24]          |         |
|                                                                         |         |
|                                                     [Router Branch (Gateway)]     |
|                                                     IP: 209.165.201.1             |
|                                                                 |                 |
|                                                     [LAN Branch: 192.168.2.0/24]  |
+-----------------------------------------------------------------------------------+

Technology Stack và Tiêu chuẩn kỹ thuật

  • Nền tảng phần cứng/mô phỏng: Cisco 2811 / 2911 Integrated Services Routers.
  • Hệ điều hành mạng: Cisco IOS Software Release 15.1(4)M / Advanced Enterprise Security.
  • Bộ giao thức bảo mật:
    • IKE Phase 1 (ISAKMP): Quản lý đàm phán chính sách bảo mật, trao đổi khóa Diffie-Hellman Group 2 (1024-bit) / Group 5 (1536-bit), xác thực Pre-shared Key, mã hóa 3DES/AES-128, băm SHA-1/MD5.
    • IKE Phase 2 (IPSec SA): Transform-set sử dụng esp-3des / esp-aes và esp-sha-hmac ở chế độ Tunnel Mode.
    • Tiêu chuẩn RFC áp dụng: RFC 2401 (Security Architecture for IP), RFC 2406 (IP Encapsulating Security Payload), RFC 2409 (The Internet Key Exchange - IKE).

Methodology và Quy trình triển khai

Dự án áp dụng mô hình phát triển mạng thử nghiệm chuẩn (Network Engineering Life Cycle):

  1. Giai đoạn 1: Lập kế hoạch & Thiết kế (Tuần 1 - 2): Khảo sát địa chỉ IP, thiết lập bảng định tuyến tĩnh/động, phân bổ không gian mạng Private/Public.
  2. Giai đoạn 2: Cấu hình hạ tầng kết nối cơ bản (Tuần 3): Cấu hình Interface, định tuyến IP giữa các Router thông qua nhà cung cấp dịch vụ ảo ISP, đảm bảo kết nối IP thông suốt (Reachability).
  3. Giai đoạn 3: Triển khai chính sách bảo mật IPSec (Tuần 4 - 5): Thiết lập ISAKMP Policy, Preshared Key, Transform-set, Crypto Access-list và liên kết Crypto Map vào cổng ngoại vi.
  4. Giai đoạn 4: Kiểm thử, Bắt gói tin và Đánh giá (Tuần 6): Sử dụng các công cụ phân tích lưu lượng (Wireshark, Cisco CLI Debug) để kiểm tra trạng thái SA và đánh giá hiệu năng.

Implementation và kết quả

Quá trình cấu hình chi tiết trên thiết bị Cisco

1. Cấu hình IKE Phase 1 (ISAKMP Policy) và Khóa xác thực trên Router HQ

Quá trình thương lượng ISAKMP thiết lập kênh điều khiển bảo mật để bảo vệ các bước thương lượng khóa ở Phase 2:

! Buoc 1: Dinh nghia chinh sach ISAKMP Phase 1
Router_HQ(config)# crypto isakmp policy 10
Router_HQ(config-isakmp)# encr aes 256
Router_HQ(config-isakmp)# hash sha256
Router_HQ(config-isakmp)# authentication pre-share
Router_HQ(config-isakmp)# group 5
Router_HQ(config-isakmp)# lifetime 86400
Router_HQ(config-isakmp)# exit

! Buoc 2: Thiet lap Pre-shared Key cho Router Branch Peer
Router_HQ(config)# crypto isakmp key SecretVPNKey2019 address 209.165.201.1

2. Cấu hình IKE Phase 2 (IPSec Transform-set, ACL & Crypto Map) trên Router HQ

Phase 2 chịu trách nhiệm bảo vệ dữ liệu người dùng (User Traffic) qua chế độ đường hầm:

! Buoc 3: Dinh nghia Transform-set cho IPSec Data Encryption
Router_HQ(config)# crypto ipsec transform-set TS-AES-SHA esp-aes 256 esp-sha256-hmac
Router_HQ(cfg-crypto-trans)# mode tunnel
Router_HQ(cfg-crypto-trans)# exit

! Buoc 4: Dinh nghia luong Traffic can ma hoa (Interesting Traffic)
Router_HQ(config)# ip access-list extended ACL-VPN-TRAFFIC
Router_HQ(config-ext-nacl)# permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
Router_HQ(config-ext-nacl)# exit

! Buoc 5: Tao Crypto Map va gan ket cac thanh phan
Router_HQ(config)# crypto map CMAP-SITE2SITE 10 ipsec-isakmp
Router_HQ(config-crypto-map)# set peer 209.165.201.1
Router_HQ(config-crypto-map)# set transform-set TS-AES-SHA
Router_HQ(config-crypto-map)# match address ACL-VPN-TRAFFIC
Router_HQ(config-crypto-map)# exit

! Buoc 6: Ap dung Crypto Map len cong ngoai vi ket noi ISP
Router_HQ(config)# interface FastEthernet0/0
Router_HQ(config-if)# ip address 209.165.200.225 255.255.255.252
Router_HQ(config-if)# crypto map CMAP-SITE2SITE
Router_HQ(config-if)# exit

3. Cấu hình đối ứng trên Router Branch

Cấu hình tương tự được áp dụng trên Router Branch với thông số đảo ngược về địa chỉ nguồn/đích của Access-list và Peer IP:

Router_Branch(config)# crypto isakmp policy 10
Router_Branch(config-isakmp)# encr aes 256
Router_Branch(config-isakmp)# hash sha256
Router_Branch(config-isakmp)# authentication pre-share
Router_Branch(config-isakmp)# group 5
Router_Branch(config-isakmp)# lifetime 86400
Router_Branch(config)# crypto isakmp key SecretVPNKey2019 address 209.165.200.225

Router_Branch(config)# crypto ipsec transform-set TS-AES-SHA esp-aes 256 esp-sha256-hmac
Router_Branch(cfg-crypto-trans)# mode tunnel

Router_Branch(config)# ip access-list extended ACL-VPN-TRAFFIC
Router_Branch(config-ext-nacl)# permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

Router_Branch(config)# crypto map CMAP-SITE2SITE 10 ipsec-isakmp
Router_Branch(config-crypto-map)# set peer 209.165.200.225
Router_Branch(config-crypto-map)# set transform-set TS-AES-SHA
Router_Branch(config-crypto-map)# match address ACL-VPN-TRAFFIC

Router_Branch(config)# interface FastEthernet0/0
Router_Branch(config-if)# ip address 209.165.201.1 255.255.255.252
Router_Branch(config-if)# crypto map CMAP-SITE2SITE

Kiểm thử và Đánh giá kết quả

Kiểm tra trạng thái liên kết bảo mật (Security Association)

Sử dụng các lệnh kiểm tra trực tiếp từ giao diện CLI của Cisco:

Router_HQ# show crypto isakmp sa
IPv4 Crypto ISAKMP SA
dst             src             state          conn-id status
209.165.201.1   209.165.200.225 QM_IDLE           1001 ACTIVE

Router_HQ# show crypto ipsec sa
Interface: FastEthernet0/0
  Crypto map tag: CMAP-SITE2SITE, local addr 209.165.200.225
   protected vrf: (none)
   local  ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (192.168.2.0/255.255.255.0/0/0)
   current_peer 209.165.201.1 port 500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 1420, #pkts encrypt: 1420, #pkts digest: 1420
    #pkts decaps: 1420, #pkts decrypt: 1420, #pkts verify: 1420
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts no encr: 0, #pkts no decr: 0

Đo lường hiệu năng thực nghiệm

  • Xác thực trạng thái: Trạng thái QM_IDLE (Quick Mode Idle) xác nhận ISAKMP Phase 1 đã hoàn tất thành công và kênh truyền đang ở trạng thái sẵn sàng.
  • Tỷ lệ mã hóa/giải mã: Số lượng gói #pkts encrypt và #pkts decrypt tăng đồng đều với tỷ lệ suy hao gói (packet loss) qua đường hầm đạt mức 0% trong điều kiện vận hành chuẩn.
  • Phân tích gói tin bằng Wireshark: Khi bắt gói tin giữa hai router trên Internet (cổng ISP), toàn bộ dữ liệu ICMP/HTTP/FTP đều được đóng gói thành giao thức ESP (Protocol 50) với mã định danh SPI (Security Parameter Index) và số Sequence Number tăng dần. Không có bất kỳ thông tin nội bộ nào thuộc dải mạng 192.168.1.0/24 hay 192.168.2.0/24 bị lộ dưới dạng văn bản rõ (Clear-text).

Đổi mới và đóng góp

Điểm cải tiến kỹ thuật nổi bật

  1. Thiết kế đường hầm linh hoạt đa chế độ: Tích hợp đồng thời kiến trúc kết nối cố định đa điểm (Site-to-Site) và kết nối di động linh hoạt (Remote Access) sử dụng chung một cổng Gateway xử lý, tối ưu hóa tài nguyên phần cứng.
  2. Nâng cấp mức độ an toàn mật mã: Thay vì sử dụng các cơ chế yếu kém truyền thống như PPTP (MPPE), hệ thống chuẩn hóa trên nền tảng AES-256 kết hợp SHA-256, mang lại khả năng kháng cự hoàn toàn trước các kỹ thuật tấn công brute-force hiện đại.
  3. Triệt tiêu nguy cơ tấn công Replay: Áp dụng trường Sequence Number 32-bit trong tiêu đề ESP, kết hợp cửa sổ kiểm tra chống phát lại (Anti-replay window check), loại bỏ hoàn toàn các nỗ lực sao chép và tái gửi gói tin độc hại.

Đánh giá so sánh định lượng

Tiêu chí Đường truyền vật lý (Leased-line) PPTP VPN Hệ thống đề xuất (IPSec VPN Cisco)
Mức độ an toàn Phụ thuộc nhà mạng Yếu (MS-CHAP v2 lỗi thời) Rất cao (Chuẩn mã hóa cấp quân sự AES)
Độ trễ gia tăng (Overhead Latency) 0 ms +2 ~ 5 ms +4 ~ 8 ms (Do xử lý mã hóa phần cứng)
Tiết kiệm chi phí đầu tư 0% (Mốc cơ sở) ~80% ~75% (Cân bằng giữa an toàn và chi phí)
Tính toàn vẹn & Chống chối cãi Không tích hợp sẵn Không có Tích hợp sẵn qua ICV & SHA

Ứng dụng thực tế và triển khai

Tình huống triển khai thực tế

  • Doanh nghiệp bán lẻ có chuỗi chi nhánh: Kết nối hệ thống phần mềm quản lý kho, hệ thống máy POS tại các cửa hàng phân tán về máy chủ cơ sở dữ liệu trung tâm tại trụ sở một cách tức thời, an toàn mà không cần thuê đường mạng riêng tốn kém.
  • Mô hình làm việc kết hợp (Hybrid Work): Cho phép chuyên gia, cán bộ quản lý đi công tác hoặc làm việc tại nhà truy cập an toàn vào hệ thống ERP, máy chủ File Server nội bộ thông qua kết nối Remote Access VPN được mã hóa.
       +----------------------------------------------------------------+
       |                  CHI PHÍ SO SÁNH TRONG 3 NĂM (USD)             |
       |                                                                |
       |  Leased-line : [██████████████████████████████] $36,000        |
       |  IPSec VPN   : [███████] $8,500                                |
       |                                                                |
       |  => Tiết kiệm: $27,500 (~76.4%)                                |
       +----------------------------------------------------------------+

Yêu cầu triển khai và Ước tính ROI

  • Yêu cầu hạ tầng: Thiết bị Router hỗ trợ tập lệnh Cisco Security Bundle (như Cisco ISR 1900/2900/4000 series); địa chỉ IP Public tĩnh tại Gateway trung tâm; băng thông Internet đối xứng tối thiểu 50 Mbps.
  • Phân tích chi phí - lợi ích (ROI):
    • Chi phí thuê đường Leased-line 10 Mbps trung bình: ~$1,000/tháng ($36,000 trong 3 năm).
    • Chi phí triển khai IPSec VPN (Băng thông Internet FTTH + Thiết bị Router Cisco ban đầu): ~$8,500 trong 3 năm.
    • Thời gian hoàn vốn (Payback period): Chỉ sau 3 đến 5 tháng vận hành thực tế.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Độ phình gói tin (Packet Overhead): Việc đóng gói thêm tiêu đề IP mới, ESP Header, ESP Trailer và Authentication Data làm tăng kích thước gói tin từ 50 đến 70 bytes. Điều này có thể dẫn đến hiện tượng phân mảnh gói tin (Fragmentation) nếu không cấu hình lại MTU/MSS phù hợp (ip mtu 1400, ip tcp adjust-mss 1360).
  • Tải xử lý CPU: Các thuật toán mã hóa cường độ cao như AES-256 yêu cầu tài nguyên tính toán lớn trên Router nếu không có module tăng tốc phần cứng chuyên dụng (Hardware Encryption Acceleration Card).
  • Vấn đề NAT Traversal: IPSec tiêu chuẩn gặp khó khăn khi đi qua các thiết bị NAT trung gian do thay đổi IP Header làm sai lệch giá trị băm kiểm tra (yêu cầu kích hoạt NAT-T qua UDP 4500).

Hướng phát triển mở rộng

  1. Chuyển dịch sang DMVPN (Dynamic Multipoint VPN): Xây dựng mạng hình sao (Hub-and-Spoke) có khả năng tự động tạo đường hầm động trực tiếp giữa các chi nhánh (Spoke-to-Spoke) mà không cần đi qua Gateway trung tâm.
  2. Tích hợp giải pháp SD-WAN (Software-Defined WAN): Định tuyến thông minh theo chất lượng đường truyền thực tế (Jitter, Packet Loss, Latency) trên nhiều kết nối VPN song song.
  3. Nâng cấp giao thức lên IKEv2: Rút ngắn số lượng bản tin bắt tay từ 6 gói tin (Main Mode ở IKEv1) xuống còn 4 gói tin, hỗ trợ khả năng di động tốt hơn (MOBIKE).

Đối tượng hưởng lợi

+-------------------------------------------------------------------------+
|                          ĐỐI TƯỢNG HƯỞNG LỢI                            |
|                                                                         |
|  [Sinh viên & Nghiên cứu sinh]  --> Nắm vững lý thuyết mật mã & mạng    |
|  [Kỹ sư Quản trị mạng]         --> Bộ template cấu hình chuẩn hóa Cisco |
|  [Doanh nghiệp & Tổ chức]       --> Cắt giảm 75% chi phí kết nối WAN    |
+-------------------------------------------------------------------------+
  • Sinh viên & Học viên chuyên ngành Mạng / ATTT: Có được tài liệu nghiên cứu chuyên sâu, chi tiết từ bản chất giao thức ở Lớp 3 OSI đến quy trình bắt tay bắt buộc trong thực tế.
  • Kỹ sư Quản trị mạng (Network Administrators): Tiếp cận bộ khung cấu hình mẫu (configuration template) chuẩn mực cho thiết bị Cisco, hỗ trợ rút ngắn thời gian triển khai và xử lý sự cố (troubleshooting) trên hệ thống thực tế.
  • Doanh nghiệp vừa và nhỏ (SMEs): Sở hữu giải pháp công nghệ khả thi để hiện đại hóa hạ tầng kết nối liên văn phòng với mức ngân sách tối ưu và tiêu chuẩn an toàn cao.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để cấu hình IPSec VPN trên thiết bị Cisco là gì?

Cần thiết bị định tuyến Cisco hỗ trợ gói phần mềm bảo mật (Security Technology Package license, ví dụ k9 subsystem), bộ nhớ RAM tối thiểu 256MB và Flash 64MB (với các dòng Router Cisco 1800/2800/2900 Series), cùng ít nhất một cổng mạng có gán địa chỉ IP Public tĩnh.

2. Sự khác nhau cơ bản giữa IPSec Transport Mode và Tunnel Mode là gì?

Transport Mode chỉ mã hóa phần dữ liệu Payload của gói tin và giữ nguyên tiêu đề IP gốc (thường dùng cho kết nối End-to-End giữa hai máy chủ). Ngược lại, Tunnel Mode mã hóa toàn bộ gói tin IP ban đầu (gồm cả Payload và IP Header gốc) rồi bọc thêm một IP Header mới ra ngoài, chuyên dùng cho các cổng Gateway kết nối mạng-với-mạng (Site-to-Site).

3. Làm thế nào để khắc phục hiện tượng đường hầm VPN được thiết lập nhưng không thể truyền tải dữ liệu hoặc tải trang web bị nghẽn?

Nguyên nhân phổ biến nhất là do kích thước gói tin vượt quá kích thước MTU chuẩn (1500 bytes) sau khi cộng thêm phần header của IPSec. Giải pháp là cấu hình giảm kích thước MTU và điều chỉnh MSS trên cổng mạng:

interface FastEthernet0/0
 ip mtu 1400
 ip tcp adjust-mss 1360

4. Giao thức ESP và AH khác nhau như thế nào và tại sao ESP được dùng phổ biến hơn?

Authentication Header (AH - Protocol 51) chỉ cung cấp tính xác thực nguồn gốc và toàn vẹn dữ liệu, hoàn toàn không mã hóa nội dung. Encapsulating Security Payload (ESP - Protocol 50) cung cấp cả ba tính năng: mã hóa bảo mật, xác thực toàn vẹn và chống phát lại, do đó ESP đáp ứng trọn vẹn yêu cầu bảo vệ dữ liệu bí mật.

5. Triển khai VPN qua đường truyền Internet thông thường có đáp ứng được chất lượng dịch vụ (QoS) cho thoại VoIP không?

IPSec thuần túy trên Internet công cộng phụ thuộc vào nhà cung cấp dịch vụ (Best-effort). Để đảm bảo QoS cho các ứng dụng thời gian thực như VoIP hoặc Video Conference, cần cấu hình phân loại gói tin (Class-Based QoS), đánh dấu DSCP trước khi mã hóa và kết hợp giải pháp đường truyền đa kết nối (Dual WAN / SD-WAN).

Kết luận

Đồ án "Tìm hiểu mạng riêng ảo và ứng dụng" đã hoàn thành toàn diện các mục tiêu đặt ra: từ việc hệ thống hóa nền tảng lý thuyết về an ninh mạng, phân tích chi tiết các giao thức đường hầm (PPTP, L2TP, IPSec, SSL/TLS), đến việc hiện thực hóa thành công mô hình mạng riêng ảo Site-to-Site và Remote Access trên thiết bị định tuyến Cisco.

Việc ứng dụng chuẩn mã hóa AES-256 kết hợp cơ chế kiểm soát toàn vẹn SHA-256 trong chế độ IPSec Tunnel Mode không chỉ giải quyết triệt để bài toán bảo mật dữ liệu doanh nghiệp trước các nguy cơ tấn công không gian mạng, mà còn mang lại giá trị kinh tế to lớn thông qua việc cắt giảm hơn 70% chi phí kết nối so với các giải pháp kênh thuê riêng truyền thống. Đây là cơ sở thực tiễn quan trọng giúp các doanh nghiệp xây dựng hạ tầng truyền thông an toàn, linh hoạt và sẵn sàng mở rộng trong kỷ nguyên chuyển đổi số.