Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh bùng nổ thông tin và sự phát triển liên tục của các phương tiện truyền thông mạng máy tính, Internet đã trở thành hạ tầng kết nối thiết yếu cho hầu hết các hoạt động kinh tế và xã hội. Số liệu được tác giả ghi nhận tại thời điểm nghiên cứu cho thấy thế giới có khoảng 3,9 tỷ người sử dụng Internet, tương đương một nửa dân số toàn cầu. Sự gia tăng nhanh chóng của các dịch vụ trực tuyến kéo theo nhu cầu trao đổi các luồng thông tin có giá trị cao, đòi hỏi tính chính xác, tính tin cậy và mức độ an toàn nghiêm ngặt. Cùng với sự phát triển này, các phương thức tấn công, phá hoại mạng ngày càng trở nên tinh vi và phức tạp, đặt ra thách thức lớn cho các nhà quản trị hệ thống trong việc bảo vệ dữ liệu nội bộ khi truyền dẫn qua hạ tầng mạng công cộng.

Để giải quyết bài toán an toàn thông tin mà vẫn tối ưu hóa chi phí so với việc thuê các đường truyền chuyên dụng truyền thống (như Leased-line, Frame Relay, ATM, ISDN), công nghệ Mạng riêng ảo (Virtual Private Network - VPN) được lựa chọn làm giải pháp trọng tâm. Đồ án tập trung giải đáp bản chất, nguyên lý hoạt động và khả năng ứng dụng thực tế của công nghệ VPN.

Nhiệm vụ nghiên cứu của đồ án được xác định theo 3 nội dung chính:

  1. Nghiên cứu tổng quan về an ninh mạng, các đặc trưng kỹ thuật, các điểm yếu, lỗ hổng bảo mật và các giải pháp an toàn thông tin phổ biến.
  2. Khảo sát chuyên sâu lý thuyết về mạng riêng ảo VPN, phân tích các thành phần cấu thành, ưu nhược điểm, các mô hình công nghệ (Site-to-Site, Remote Access) và các giao thức đường hầm (PPTP, L2TP, IPSec, SSL/TLS).
  3. Triển khai thực nghiệm thiết kế, cấu hình hệ thống mạng riêng ảo VPN trên thiết bị định tuyến Cisco cho hai mô hình Site-to-Site và Remote Access; tiến hành kiểm thử khả năng kết nối và truyền dữ liệu.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Công nghệ mạng riêng ảo VPN, các giao thức tạo đường hầm và mã hóa dữ liệu (đặc biệt là bộ giao thức IPSec, L2TP, PPTP), cùng kỹ thuật cấu hình định tuyến trên thiết bị mạng Cisco.
  • Phạm vi không gian: Đồ án thực hiện tại Khoa Công nghệ Thông tin, Trường Đại học Dân lập Hải Phòng; hệ thống thực nghiệm được thiết lập trên các thiết bị định tuyến Cisco (Router HQ, Router Branch, Router ISP) và các máy trạm trong môi trường mạng thử nghiệm.
  • Phạm vi thời gian: Đồ án được hoàn thành và bảo vệ vào năm 2019.

Cơ sở lý thuyết và phương pháp

Hệ thống cơ sở lý thuyết của đồ án được xây dựng dựa trên các tiêu chuẩn an toàn thông tin và kiến trúc mạng truyền thông:

  • Cơ sở an ninh mạng: Dựa trên 6 đặc trưng kỹ thuật cốt lõi gồm tính xác thực (Authentication), tính khả dụng (Availability), tính bảo mật (Confidentiality), tính toàn vẹn (Integrity), tính khống chế (Accountability) và tính không thể chối cãi (Nonrepudiation). Hệ thống lý thuyết cũng phân loại 3 cấp độ lỗ hổng bảo mật (Loại A, B, C) và 4 dạng tấn công mạng cơ bản (xem trộm, thay đổi, mạo danh, phát lại thông điệp).
  • Khung kỹ thuật mạng riêng ảo: Phân tích nguyên lý tạo đường hầm (tunneling) qua mạng công cộng dựa trên mô hình tham chiếu OSI. Đồ án khảo sát các chuẩn giao thức do Internet Engineering Task Force (IETF) ban hành, bao gồm giao thức đường hầm điểm tới điểm (PPTP), giao thức đường hầm lớp 2 (L2TP kết hợp từ PPTP và L2F), bộ giao thức bảo mật tầng mạng IPSec (với hai giao thức chính là ESP - IP Protocol 50 và AH - IP Protocol 51, cùng chuẩn trao đổi khóa IKE dựa trên ISAKMP và Oakley), và các giao thức bảo mật tầng phiên/ứng dụng (SSL, TLS).

Phương pháp nghiên cứu thực tế bao gồm:

  • Phương pháp phân tích và tổng hợp lý thuyết: Thu thập, hệ thống hóa các tài liệu chuyên ngành về an toàn mạng, các tiêu chuẩn giao thức mạng của IETF và tài liệu hướng dẫn kỹ thuật của Cisco Systems nhằm làm rõ cấu trúc gói tin, quy trình đóng gói/mở gói (encapsulation/de-tunneling) và các cơ chế mã hóa, xác thực.
  • Phương pháp thực nghiệm kỹ thuật: Thiết kế sơ đồ mạng giả lập môi trường liên mạng doanh nghiệp qua nhà cung cấp dịch vụ Internet (ISP). Tác giả trực tiếp cấu hình các tham số bảo mật, định tuyến và thiết lập đường hầm VPN thông qua giao diện dòng lệnh (CLI) trên các thiết bị định tuyến Cisco, sau đó kiểm chứng hoạt động bằng các công cụ kiểm tra kết nối ICMP (Ping) và thử nghiệm thao tác dữ liệu tệp tin thực tế.

Nguồn dữ liệu của nghiên cứu bao gồm các tiêu chuẩn kỹ thuật RFC của IETF, tài liệu đào tạo chuyên ngành mạng Cisco, cùng dữ liệu ghi nhận trực tiếp từ quá trình cấu hình và bắt gói kiểm thử trên hệ thống định tuyến thực nghiệm.

Thiết kế và triển khai thực nghiệm

Đồ án triển khai xây dựng hệ thống mạng thực nghiệm dựa trên hai mô hình kết nối VPN phổ biến trong doanh nghiệp:

  1. Mô hình VPN Site-to-Site (Mô hình kết nối giữa các chi nhánh):
  • Kiến trúc mạng: Thiết lập kết nối an toàn giữa mạng LAN của Trụ sở chính (Headquarter - HQ) và mạng LAN của Chi nhánh (Branch) thông qua mạng của nhà cung cấp dịch vụ Internet (Router ISP).
  • Thiết bị và cấu hình: Gồm Router HQ kết nối với Router ISP, và Router ISP kết nối với Router Branch. Tác giả cấu hình địa chỉ IP cho các giao diện mạng, thiết lập định tuyến qua ISP, khai báo chính sách IKE Phase 1 (crypto isakmp policy) bao gồm thuật toán mã hóa, thuật toán băm xác thực, nhóm khóa Diffie-Hellman và khóa chia sẻ trước (pre-shared key). Ở Phase 2, cấu hình tập chuyển đổi IPSec (transform-set), định nghĩa danh sách kiểm soát truy cập (Access Control List - ACL) để xác định luồng lưu lượng cần bảo vệ (interesting traffic), gán vào bản đồ mã hóa (crypto map) và áp dụng trực tiếp lên cổng kết nối ra ngoài Internet của Router HQ và Router Branch.
  1. Mô hình VPN Remote Access (Mô hình truy cập từ xa):
  • Kiến trúc mạng: Cho phép máy tính người dùng từ xa (Remote Access Client) kết nối qua môi trường mạng ISP vào Router HQ để truy cập an toàn đến máy chủ nội bộ (Server).
  • Thiết bị và quy trình thiết lập: Cấu hình dịch vụ máy chủ truy cập từ xa trên Router HQ, khai báo các dải địa chỉ IP cấp phát cho client, phương thức xác thực người dùng, và chính sách mã hóa lưu lượng. Phía Client sử dụng phần mềm kết nối VPN chuyên dụng để khởi tạo tiến trình bắt tay, xác thực tài khoản và thiết lập đường hầm bảo mật về HQ.
  1. Kiểm thử và đánh giá hệ thống:
  • Kiểm tra tính liên thông: Thực hiện lệnh Ping kiểm tra kết nối giữa các máy Client thuộc hai dải mạng LAN khác nhau qua đường hầm Site-to-Site, và từ máy Remote Access Client đến máy chủ Server.
  • Kiểm tra truyền tải ứng dụng: Tiến hành truy xuất dịch vụ chia sẻ tài nguyên, mở và thao tác trực tiếp với các tệp dữ liệu đặt trên máy chủ nội bộ thông qua kết nối VPN đã được mã hóa.

Nội dung chính theo từng chương

Chương 1: Tổng quan an ninh mạng

Chương 1 trình bày các khái niệm nền tảng về an toàn thông tin, nhận diện hiểm họa và các giải pháp phòng thủ cơ bản trong hệ thống mạng máy tính:

  • Khái niệm và đặc trưng kỹ thuật: An ninh mạng là việc bảo vệ toàn bộ dữ liệu, thiết bị và cơ sở hạ tầng mạng, đảm bảo tài nguyên chỉ được khai thác theo đúng chính sách và quyền hạn ấn định. 6 đặc trưng kỹ thuật được làm rõ gồm:
    • Tính xác thực: Dựa trên 3 mô hình kiểm tra (thông tin người dùng biết như mật khẩu/PIN; vật người dùng sở hữu như khóa riêng/thẻ tín dụng; đặc điểm duy nhất như vân tay/giọng nói/chữ ký).
    • Tính khả dụng: Đánh giá bằng tỷ lệ thời gian hệ thống vận hành bình thường, đòi hỏi nhận biết thực thể, khống chế tiếp cận, khống chế lưu lượng, khống chế chọn đường và giám sát tung tích sự kiện.
    • Tính bảo mật: Ngăn ngừa thông tin bị lộ lọt bằng cách phòng ngừa thu thập, chống bức xạ, sử dụng khóa mật mã và bảo vệ vật lý.
    • Tính toàn vẹn: Ngăn chặn dữ liệu bị biến đổi trái phép thông qua phép kiểm tra chẵn - lẻ, chữ ký điện tử, mã kiểm tra mật mã và xác nhận qua trung gian.
    • Tính khống chế: Năng lực kiểm soát nội dung và sự lan truyền thông tin.
    • Tính không thể chối cãi: Đảm bảo các bên tham gia không thể phủ nhận thao tác hay cam kết đã thực hiện.
  • Phân loại lỗ hổng bảo mật: Tác giả phân loại thành 3 nhóm:
    • Lỗ hổng loại C: Cho phép tấn công từ chối dịch vụ (DoS), mức nguy hiểm thấp, chỉ làm gián đoạn hoặc ngưng trệ hệ thống mà không làm hỏng dữ liệu hay chiếm quyền kiểm soát.
    • Lỗ hổng loại B: Cho phép người dùng chiếm thêm quyền bất hợp pháp trên hệ thống, mức độ nguy hiểm trung bình, thường phát sinh trong ứng dụng.
    • Lỗ hổng loại A: Cho phép người dùng bên ngoài xâm nhập trái phép vào hệ thống, mức độ rất nguy hiểm, có thể phá hủy toàn bộ hệ thống.
  • Các phương thức tấn công điển hình: Gồm xem trộm thông tin (chặn bắt và đọc nội dung), thay đổi thông điệp (chặn bắt, sửa đổi dữ liệu rồi gửi tiếp), mạo danh (giả mạo người gửi hợp pháp) và phát lại thông điệp (sao chép gói tin hợp lệ rồi gửi lại sau một khoảng thời gian).
  • Các giải pháp bảo mật phổ biến: Khảo sát tường lửa (so sánh tường lửa phần cứng có hiệu năng cao ở tầng mạng và tường lửa phần mềm linh hoạt ở tầng ứng dụng); hệ thống phát hiện và ngăn chặn xâm nhập IDS/IPS (phát hiện Trojan, tấn công DoS dạng SYN flood, ICMP flood; chỉ rõ hạn chế của IPS là không nhận biết được trạng thái tầng ứng dụng); mạng LAN ảo VLAN (phân chia miền quảng bá logic bằng switch lớp 2 kết hợp định tuyến lớp 3, giúp tiết kiệm băng thông và tăng tính linh hoạt); và giới thiệu mạng riêng ảo VPN như một giải pháp đường hầm mã hóa bảo vệ lưu lượng trên mạng công cộng.

Chương 2: Mạng riêng ảo VPN

Chương 2 là trọng tâm lý thuyết của đồ án, phân tích toàn diện về cấu trúc, phân loại và các giao thức vận hành của mạng riêng ảo:

  • Khái niệm và thành phần: VPN mở rộng mạng riêng thông qua mạng công cộng (Internet) bằng các kết nối ảo tạm thời. Cấu trúc hệ thống VPN bao gồm: VPN Client (máy tính hoặc bộ định tuyến), VPN Server (máy chủ chạy dịch vụ Routing and Remote Access Server - RRAS), IAS/RADIUS Server (máy chủ xác thực người dùng quay số từ xa), Firewall (tường lửa kiểm soát cổng và có thể kết hợp máy chủ ISA đóng vai trò proxy bảo vệ VPN Server), và Giao thức đường hầm.
  • Lợi ích và hạn chế: VPN giúp giảm chi phí thuê đường truyền (tiết kiệm hơn Leased-line, Frame Relay, ATM, ISDN), giảm chi phí bảo trì nhờ tận dụng hạ tầng ISP, bảo vệ dữ liệu bằng mã hóa, hỗ trợ kết nối đa chi nhánh, che giấu địa chỉ IP nội bộ và tiết kiệm băng thông do đường hầm chỉ thiết lập khi có nhu cầu truyền tin. Ngược lại, hạn chế của VPN là phụ thuộc vào chất lượng dịch vụ của ISP, đòi hỏi cấu hình phức tạp, nguy cơ không tương thích giữa thiết bị của các nhà sản xuất khác nhau, và rủi ro an ninh phát sinh từ thiết bị cá nhân của nhân viên khi truy cập từ xa.
  • Phân loại công nghệ VPN:
    • Site-to-Site VPN: Gồm VPN nội bộ (Intranet VPN) kết nối các chi nhánh về mạng trục công ty qua đường truyền mã hóa liên tục; và VPN mở rộng (Extranet VPN) kết nối khách hàng, nhà cung cấp hoặc đối tác vào các phân đoạn tài nguyên cho phép.
    • Remote Access VPN: Hỗ trợ người dùng lưu động hoặc văn phòng nhỏ kết nối vào mạng trung tâm thông qua phần mềm client và điểm truy cập POP cục bộ của ISP.
Tiêu chí Giao thức PPTP Giao thức L2TP Giao thức IPSec
Tầng hoạt động (OSI) Tầng 2 (Data Link) Tầng 2 (Data Link) Tầng 3 (Network)
Giao thức đóng gói/vận chuyển Đóng gói PPP trong GRE (Protocol 47), TCP cổng 1723 Đóng gói PPP trong UDP, dùng thêm tiêu đề L2TP Đóng gói IP trong IP, dùng giao thức ESP (50) hoặc AH (51)
Cơ chế mã hóa Mã hóa MPPE (dựa trên mật mã đối xứng) Không tự mã hóa; kết hợp với IPSec để mã hóa Tích hợp mã hóa mạnh (DES, 3DES, AES) trong ESP
Cơ chế xác thực PAP, CHAP, EAP Kế thừa từ PPP và IPSec Sử dụng tiêu đề AH hoặc dữ liệu xác thực của ESP (MD5, SHA)
Ưu điểm chính Cấu hình đơn giản, tích hợp sẵn trên Windows, hỗ trợ phi IP Hỗ trợ đa giao thức (IP, ATM, FR), tính bảo mật cao khi kèm IPSec Bảo vệ toàn bộ lưu lượng tầng mạng, tính bảo mật và toàn vẹn rất cao
Nhược điểm chính Bảo mật yếu, mật khẩu dễ lộ, máy chủ dễ quá tải Tốc độ xử lý chậm hơn do độ phức tạp của nhiều lớp đóng gói Làm tăng kích thước gói tin (overhead), tính toán nặng, chỉ hỗ trợ IP
  • Phân tích chi tiết các giao thức:
    • Giao thức PPTP: Hoạt động ở tầng 2, sử dụng cổng TCP 1723 cho kênh điều khiển và giao thức GRE (Protocol 47) để đóng gói dữ liệu PPP. Cơ chế xác thực dùng PAP (gửi mật khẩu dạng rõ, không an toàn) hoặc CHAP (bắt tay 3 bước). Mã hóa sử dụng MPPE. Nhược điểm lớn là tính bảo mật kém do khóa mã hóa tạo từ mật khẩu người dùng.
    • Giao thức L2TP: Kết hợp giữa PPTP và L2F do IETF thiết kế. Gồm các thành phần: Network Access Server (NAS), L2TP Access Concentrator (LAC) tại phía ISP và L2TP Network Server (LNS) tại mạng đích. Quy trình đóng gói gồm nhiều tầng: Dữ liệu gốc -> thêm PPP Header -> thêm L2TP Header -> đóng gói vào khung UDP -> mã hóa và thêm IPSec ESP -> thêm tiêu đề xác thực IPSec AH -> thêm IP Header ngoài (chứa địa chỉ LNS và Client) -> thêm phần đầu/đuôi của tầng Data Link. Hỗ trợ 2 chế độ đường hầm là bắt buộc (Compulsory) và tự nguyện (Voluntary).
    • Bộ giao thức IPSec: Hoạt động ở tầng 3, cung cấp dịch vụ bảo mật cho toàn bộ lưu lượng IP. Hai chế độ vận hành gồm: Transport Mode (chỉ mã hóa phần tải tin payload, giữ nguyên tiêu đề IP gốc, làm lộ địa chỉ nguồn và đích) và Tunnel Mode (mã hóa toàn bộ gói tin IP ban đầu, chèn tiêu đề bảo mật và bọc thêm một tiêu đề IP mới bên ngoài).
    • Cấu trúc gói tin ESP (IP Protocol 50): Chứa các trường Security Parameter Index - SPI (32 bit, định danh chính sách SA), Sequence Number (32 bit, chống phát lại), Payload Data (chứa dữ liệu mã hóa bằng DES-CBC...), Padding (0 - 255 bit để cân bằng độ dài khối mã hóa), Pad Length (8 bit), Next Header (8 bit, mang giá trị 4 đối với gói tin IP trong Tunnel mode; giá trị 6 cho TCP hoặc 17 cho UDP trong Transport mode) và Authentication Data (chứa mã kiểm tra tính toàn vẹn ICV).
    • Cấu trúc tiêu đề AH (IP Protocol 51): Gồm Next Header (8 bit), Payload Length (8 bit), Reserved (16 bit, dự trữ), SPI (32 bit), Sequence Number (32 bit) và Authentication Data. AH không cung cấp tính năng mã hóa mà chỉ đảm bảo tính toàn vẹn, xác thực nguồn gốc và chống phát lại thông điệp.
    • Giao thức trao đổi khóa IKE: Kết hợp giữa ISAKMP và Oakley, vận hành qua 2 Phase với 4 chế độ (Main mode, Aggressive mode, Quick mode, New Group mode).
    • Quy trình 5 bước hoạt động của IPSec: (1) Nhận diện luồng dữ liệu cần bảo vệ (interesting traffic); (2) IKE Phase 1 thỏa thuận thiết lập IKE SA; (3) IKE Phase 2 đàm phán các tham số cho IPSec SA; (4) Truyền dữ liệu mã hóa qua đường hầm bảo mật; (5) Kết thúc hoặc hủy đường hầm khi hết thời gian (timing out) hoặc phiên làm việc chấm dứt.
    • Hạn chế của IPSec: Tiêu đề bổ sung làm tăng kích thước gói tin dẫn đến phân mảnh; IKE phức tạp; chỉ hỗ trợ giao thức IP; giải thuật mã hóa tiêu tốn nhiều tài nguyên tính toán của thiết bị.
    • Giao thức SSL/TLS: Hoạt động ở tầng phiên, kết hợp mã hóa bất đối xứng (RSA, Diffie-Hellman), mã hóa đối xứng (RC2, RC4, 3DES), hàm băm (MD5, SHA1) và chứng chỉ số X.509 để thiết lập kênh truyền an toàn qua trình duyệt hoặc ứng dụng.

Chương 3: Thực nghiệm cấu hình VPN trên thiết bị Cisco

Chương 3 trình bày việc áp dụng lý thuyết vào thực nghiệm cấu hình trên thiết bị phần cứng của Cisco:

  • Bài toán thực nghiệm: Xây dựng giải pháp kết nối mạng an toàn cho một tổ chức gồm Trụ sở chính (HQ), Chi nhánh (Branch) và người dùng di động (Remote User) thông qua môi trường định tuyến của nhà cung cấp dịch vụ Internet (ISP).
  • Triển khai cấu hình:
    • Cấu hình Router HQ, Router Branch và Router ISP: Thiết lập địa chỉ IP cho các cổng vật lý; thiết lập giao thức định tuyến đảm bảo các router nhìn thấy nhau qua ISP.
    • Cấu hình IPSec Site-to-Site giữa Router HQ và Router Branch: Định nghĩa tập luật ISAKMP Phase 1, tạo khóa bí mật chia sẻ trước (pre-shared key); định nghĩa Transform Set ở Phase 2 sử dụng giao thức ESP; tạo danh sách truy cập (ACL) lọc các gói tin giữa hai mạng LAN nội bộ; tạo Crypto Map liên kết các chính sách và áp đặt lên cổng nối ra ISP.
    • Cấu hình VPN Remote Access trên Router HQ: Khai báo nhóm kết nối, cơ chế cấp phát địa chỉ IP cho client, và tích hợp các chính sách chứng thực người dùng.
  • Kết quả thực nghiệm và kiểm thử:
    • Kiểm thử kết nối Site-to-Site: Lệnh Ping từ máy trạm thuộc LAN HQ sang máy trạm thuộc LAN Branch đạt trạng thái thông suốt (Hình 3-10). Kiểm tra ứng dụng cho thấy máy Client truy xuất dữ liệu thành công qua đường hầm (Hình 3-11) và có thể mở, chỉnh sửa tệp dữ liệu lưu trữ tại máy chủ (Hình 3-12).
    • Kiểm thử kết nối Remote Access: Phần mềm client khởi tạo phiên kết nối VPN thành công (Hình 3-13, 3-16). Thực hiện lệnh Ping từ máy trạm Remote Access tới máy chủ nội bộ Server cho kết quả phản hồi thành công (Hình 3-17).

Kết quả và đóng góp

Đồ án đạt được các kết quả cụ thể dựa trên nội dung báo cáo:

  • Hệ thống hóa toàn diện các kiến thức nền tảng về an ninh mạng, phân tích chi tiết cấu trúc gói tin và nguyên lý vận hành của các giao thức đường hầm phổ biến (PPTP, L2TP, IPSec, SSL/TLS).
  • Làm rõ cấu trúc chi tiết từng trường dữ liệu trong tiêu đề gói tin bảo mật ESP (Protocol 50) và AH (Protocol 51), cũng như quy trình bắt tay 5 bước trong kiến trúc IPSec.
  • Thiết kế và triển khai cấu hình thành công hai mô hình thực nghiệm trên thiết bị định tuyến Cisco:
    • Mô hình VPN Site-to-Site kết nối hai mạng LAN qua 3 bộ định tuyến (Router HQ, Router ISP, Router Branch).
    • Mô hình VPN Remote Access kết nối người dùng từ xa vào hệ thống mạng nội bộ.
  • Kiểm chứng thực tế thành công bằng các số liệu và hình ảnh minh chứng: kiểm tra kết nối ICMP Ping thông suốt giữa các Client; xác nhận khả năng truy cập tài nguyên tệp và thao tác dữ liệu máy chủ từ xa an toàn qua đường hầm.

Về mặt giải pháp và đóng góp, đồ án đã chứng minh tính khả thi của việc thay thế các đường truyền vật lý thuê riêng tốn kém (Leased-line, Frame Relay) bằng giải pháp mạng riêng ảo VPN trên nền thiết bị mạng Cisco tiêu chuẩn, giúp giảm chi phí hạ tầng mà vẫn bảo đảm tính xác thực, tính toàn vẹn và tính bảo mật của dữ liệu doanh nghiệp.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đề tài được tác giả chỉ rõ trong văn bản:

  • Giao thức IPSec khi chèn thêm các tiêu đề (Header/Trailer) làm tăng kích thước gói tin truyền dẫn (packet overhead), dễ dẫn đến phân mảnh gói tin; kỹ thuật nén dữ liệu đi kèm để khắc phục vấn đề này vẫn chưa được chuẩn hóa hoàn thiện.
  • Cơ chế quản lý và trao đổi khóa IKE vẫn tồn tại điểm phức tạp, đặc biệt là phương thức chuyển khóa thủ công không thích hợp cho mạng có số lượng lớn người dùng di động.
  • IPSec thuần túy chỉ hỗ trợ bảo mật cho lưu lượng IP, không hỗ trợ truyền tải các loại lưu lượng mạng phi IP khác.
  • Việc tính toán các thuật toán mã hóa phức tạp trong IPSec đòi hỏi năng lực xử lý cao, dễ gây áp lực tài nguyên cho các máy trạm hoặc máy tính cá nhân cấu hình thấp.
  • Mô hình thực nghiệm mới triển khai thuần nhất trên thiết bị Cisco, chưa đánh giá tính tương thích chéo khi kết nối với thiết bị từ các nhà sản xuất khác nhau.

Hướng nghiên cứu và phát triển tiếp theo:

  • Nghiên cứu các giải pháp tối ưu hóa hiệu năng, thử nghiệm các kỹ thuật nén dữ liệu kết hợp mã hóa để giảm độ trễ và giảm tải kích thước gói tin.
  • Mở rộng phạm vi thử nghiệm mô hình VPN liên kết giữa các thiết bị định tuyến từ nhiều hãng sản xuất khác nhau nhằm đánh giá chuẩn hóa công nghệ.
  • Nghiên cứu sâu hơn về các cơ chế quản lý khóa tự động và tối ưu hóa giải thuật mã hóa cho các thiết bị đầu cuối di động trong môi trường Internet vạn vật (IoT).

Giá trị tham khảo

Đồ án có giá trị tham khảo thiết thực cho các nhóm đối tượng sau:

  • Sinh viên chuyên ngành Công nghệ Thông tin, Kỹ thuật Mạng và An toàn Thông tin: Có thể sử dụng đồ án làm tài liệu học tập về kiến trúc an ninh mạng, hiểu rõ cách đóng gói các giao thức tầng 2, tầng 3 và tầng phiên.
  • Quản trị viên hệ thống và kỹ sư triển khai mạng: Tài liệu cung cấp quy trình cấu hình mẫu từng bước trên thiết bị định tuyến Cisco (Chương 3), từ việc khai báo chính sách ISAKMP, Transform Set đến việc áp dụng Crypto Map cho cả hai kịch bản kết nối Site-to-Site và Remote Access.
  • Phần đáng tham khảo nhất: Mục 2.4 (Chương 2) với các phân tích chi tiết về cấu trúc gói tin ESP/AH và quy trình bắt tay 5 bước của IPSec; cùng hệ thống sơ đồ và câu lệnh thực nghiệm tại Chương 3.

Câu hỏi thường gặp

1. Sự khác nhau căn bản giữa Transport Mode và Tunnel Mode trong IPSec là gì?

Trong Transport Mode, IPSec chỉ mã hóa phần tải tin (payload) của gói tin IP và giữ nguyên tiêu đề IP gốc, làm lộ địa chỉ IP nguồn và đích trên đường truyền Internet. Ngược lại, trong Tunnel Mode, toàn bộ gói tin IP ban đầu (gồm cả tiêu đề IP cũ và tải tin) đều được mã hóa, sau đó một tiêu đề IP mới hoàn toàn được chèn vào bên ngoài để định tuyến gói tin giữa hai cổng an ninh (VPN Gateway).

2. Hai giao thức ESP và AH trong bộ giao thức IPSec khác nhau như thế nào về chức năng bảo vệ dữ liệu?

Giao thức ESP (IP Protocol 50) cung cấp đồng thời tính năng mã hóa dữ liệu, xác thực nguồn gốc và kiểm tra tính toàn vẹn (thông qua thuật toán mã hóa DES, 3DES, AES và hàm băm MD5, SHA). Trong khi đó, giao thức AH (IP Protocol 51) chỉ cung cấp tính xác thực và tính toàn vẹn cho gói tin mà hoàn toàn không thực hiện chức năng mã hóa dữ liệu, do đó AH không đảm bảo tính bảo mật và tính riêng tư của nội dung tin tức.

3. Giao thức L2TP thực hiện việc đóng gói gói tin qua các tầng tiêu đề nào trước khi gửi ra mạng?

Theo đồ án, một gói dữ liệu L2TP được đóng gói qua quy trình tuần tự: dữ liệu gốc được gắn thêm PPP Header; tiếp theo được bọc bên trong L2TP Header; gói tin này được đóng gói tiếp vào một UDP Frame; sau đó khung UDP được mã hóa và chèn thêm IPSec ESP Header và IPSec AH Header; kế tiếp một IP Header mới chứa địa chỉ của máy chủ LNS và người dùng từ xa được thêm vào; cuối cùng phần đầu và phần đuôi của tầng Data Link được gán vào để chuyển gói tin qua môi trường mạng vật lý.

4. Tại sao giao thức đường hầm PPTP bị đánh giá là có độ an toàn thấp hơn so với L2TP/IPSec?

PPTP có cơ chế bảo mật yếu vì giao thức này tạo khóa mã hóa đối xứng (MPPE) trực tiếp từ mật khẩu của người dùng. Ngoài ra, trong quá trình xác thực, một số cơ chế như PAP còn gửi mật khẩu dưới dạng văn bản rõ không mã hóa qua đường truyền, khiến hệ thống dễ bị tấn công đánh cắp thông tin xác thực.

5. Trong mô hình thực nghiệm ở Chương 3, tác giả đã cấu hình và kiểm chứng những nội dung cụ thể nào trên thiết bị Cisco?

Tác giả đã cấu hình 3 bộ định tuyến Cisco gồm Router HQ, Router Branch và Router ISP để triển khai hai mô hình: VPN Site-to-Site và VPN Remote Access. Quá trình kiểm chứng được thực hiện bằng cách: gửi các gói tin ICMP (lệnh Ping) kiểm tra tính thông suốt giữa các máy Client ở hai chi nhánh và từ máy Remote Client tới Server nội bộ; đồng thời kiểm tra khả năng truy xuất, mở và chỉnh sửa các tệp dữ liệu lưu trữ trực tiếp trên máy chủ thông qua đường hầm VPN.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu mạng riêng ảo và ứng dụng" của sinh viên Hoàng Văn Hanh đã hệ thống hóa toàn diện các kiến thức nền tảng về an ninh mạng và kiến trúc các giao thức mạng riêng ảo như PPTP, L2TP, IPSec và SSL/TLS. Tác giả đã đi sâu phân tích cơ chế hoạt động, định dạng tiêu đề và các quy trình bắt tay bảo mật trong bộ giao thức IPSec tầng mạng. Bên cạnh phần lý thuyết, đồ án đã triển khai và kiểm thử thành công hai mô hình thực nghiệm VPN Site-to-Site và Remote Access trên thiết bị định tuyến Cisco, chứng minh tính khả thi của giải pháp bảo vệ luồng dữ liệu an toàn trên hạ tầng Internet công cộng. Toàn bộ nội dung đồ án cung cấp một tài liệu tham khảo kỹ thuật có hệ thống cho việc nghiên cứu và ứng dụng công nghệ VPN trong thực tế quản trị mạng.