Giới thiệu dự án

Sự bùng nổ của thiết bị di động thông minh và mô hình giảng dạy số hóa tại các cơ sở giáo dục đại học đặt ra thách thức lớn về hạ tầng mạng không dây (WLAN - Wireless Local Area Network). Theo thống kê từ các tổ chức an ninh mạng giáo dục, hơn 68% các cuộc tấn công mạng nội bộ tại các trường đại học bắt nguồn từ các lỗ hổng trên hạ tầng Wi-Fi công cộng do quản lý truy cập lỏng lẻo và thiếu phân vùng bảo mật. Tại Trường Đại học Quảng Nam (DNU), hệ thống mạng trước đây được triển khai phân tán, sử dụng các điểm truy cập (Access Point - AP) độc lập với chuẩn xác thực WPA/WPA2-PSK dùng chung mật khẩu. Kiến trúc mở này bộc lộ nhiều lỗ hổng nghiêm trọng: kẻ xấu dễ dàng thực hiện nghe lén (Sniffing), tấn công giải mã gói tin (De-authentication Flood), chiếm quyền điều khiển băng thông và đặc biệt là các cuộc tấn công định tuyến như tấn công lỗ đen (Black Hole Attack) làm tê liệt hệ thống quản trị đào tạo và rò rỉ dữ liệu điểm số, học phí của sinh viên.

Đề tài "Nghiên cứu vấn đề an toàn thông tin mạng không dây tại trường Đại học Quảng Nam" do tác giả Nguyễn Thành Thoại thực hiện (Khoa CNTT, 2017) tập trung giải quyết triệt để các bài toán an ninh mạng không dây cho môi trường giáo dục. Đề tài kết hợp giữa thiết kế phân đoạn mạng thực tế trên phần cứng chuyên dụng và mô phỏng thực nghiệm các phương thức tấn công định tuyến trên môi trường phần mềm mô phỏng mạng chuyên sâu.

+-----------------------------------------------------------------------------------+
|                            MỤC TIÊU DỰ ÁN (PROJECT OBJECTIVES)                    |
+-----------------------------------------------------------------------------------+
| 1. Khảo sát toàn diện hiện trạng hạ tầng mạng có dây và không dây tại khuôn viên  |
| 2. Thiết kế kiến trúc phân đoạn mạng (VLAN/Subnetting) quản lý tập trung          |
| 3. Xây dựng chính sách kiểm soát truy cập dựa trên địa chỉ MAC và tường lửa       |
| 4. Mô phỏng, đánh giá định lượng tác động của Black Hole Attack trên NS-2.35      |
| 5. Đề xuất quy chuẩn vận hành, tối ưu chi phí triển khai cho trường đại học       |
+-----------------------------------------------------------------------------------+

Giải pháp tiếp cận của đề tài là ứng dụng Router DrayTek Vigor đóng vai trò làm Access Point Controller trung tâm kết hợp phân tầng địa chỉ IP theo 4 phân vùng người dùng riêng biệt, tích hợp kiểm soát truy cập địa chỉ MAC (MAC Filtering) và hệ thống giám sát Smart Monitor. Đồng thời, nghiên cứu sử dụng phần mềm mô phỏng mạng Network Simulator 2 (NS-2.35) để phân tích hành vi tấn công mạng Ad-Hoc/WLAN trên giao thức định tuyến AODV (Ad hoc On-Demand Distance Vector), cung cấp bằng chứng định lượng về tổn thất gói tin để xây dựng cơ chế phòng thủ tối ưu.

Phạm vi và giới hạn của đề tài:

  • Phạm vi triển khai: Toàn bộ các khu giảng đường A1, A2, B, C, D, E và trung tâm CNTT của Trường Đại học Quảng Nam.
  • Giới hạn kỹ thuật: Tập trung vào các chuẩn mạng Wi-Fi IEEE 802.11b/g/n trên băng tần 2.4GHz và 5GHz; phân tích giao thức định tuyến AODV trong môi trường mô phỏng NS-2.35; cơ chế xác thực kiểm soát dựa trên MAC/IP Binding và mã hóa WPA2-Enterprise/AES.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế tại Trường Đại học Quảng Nam cho thấy mạng nội bộ kết hợp giữa mạng trục có dây (Core Switch Layer 3 kết nối cáp quang đến các tòa nhà) và các bộ phát Wi-Fi dân dụng đặt rải rác. Hệ thống mạng không dây này không có Controller quản lý tập trung, dẫn đến việc các Access Point hoạt động độc lập, không hỗ trợ chuyển vùng sóng liền mạch (Fast Roaming), xuất hiện nhiều vùng lõm phủ sóng (Dead Zones) và không có khả năng cô lập các luồng dữ liệu độc hại giữa người dùng.

Tiêu chí so sánh Mạng Wi-Fi phân tán cũ (Legacy AP) Mạng Wi-Fi doanh nghiệp (Cisco/Aruba) Giải pháp đề xuất (DrayTek Centralized)
Kiến trúc quản lý Phân tán, cấu hình từng AP riêng lẻ Controller phần cứng chuyên dụng đắt tiền Quản lý tập trung qua Router DrayTek Core
Phân đoạn mạng Chung 1 dải IP Flat Network (192.168.1.0/24) VLAN gắn thẻ 802.1Q đa tầng 4 Lớp Subnet/VLAN độc lập theo đối tượng
Kiểm soát truy cập Mật khẩu chia sẻ (WPA2-PSK Pre-shared) 802.1X/RADIUS Authentication phức tạp MAC Filtering + IP-MAC Binding + Firewall Rules
Giám sát lưu lượng Không có hoặc xem log cơ bản Module WIPS/WIDS tích hợp cao cấp Smart Monitor phân tích gói tin nội dung
Chi phí đầu tư Thấp nhưng rủi ro bảo mật rất cao Rất cao (> 200 triệu VNĐ) Tối ưu, phù hợp ngân sách trường công lập

Hệ thống đặt ra các yêu cầu kỹ thuật cần giải quyết theo mô hình phân loại MoSCoW:

  • Must have (Bắt buộc): Phân chia 4 dải IP cách ly hoàn toàn; ngăn chặn sinh viên và khách vãng lai truy cập vào CSDL máy chủ quản lý đào tạo; kiểm soát băng thông theo nhóm.
  • Should have (Nên có): Chống tấn công quét cổng, chống giả mạo IP/MAC; lọc nội dung web xấu bằng công nghệ Smart Monitor.
  • Could have (Có thể có): Hỗ trợ tính năng Roaming liền mạch giữa các khu nhà A1, A2, B, C; tích hợp giao thức mã hóa kép AES-256 bit.
  • Won't have (Chưa thực hiện): Triển khai máy chủ RADIUS chứng thực chứng chỉ số cấp độ EAP-TLS cho từng thiết bị cá nhân (sẽ nâng cấp ở giai đoạn 2).

Thiết kế hệ thống

Kiến trúc tổng thể của hệ thống mạng không dây an toàn được thiết kế theo mô hình phân cấp, lấy Router DrayTek Vigor làm trung tâm định tuyến, cấp phát IP và thực thi tường lửa bảo mật.

                           +--------------------------------+
                           |       INTERNET GATEWAY         |
                           +--------------------------------+
                                          |
                           +--------------------------------+
                           |  Router DrayTek Core/Controller|
                           |  (Vigor2925/2960 - FW v3.8.x)  |
                           +--------------------------------+
                                          |
               +--------------------------+--------------------------+
               | (Trunk 802.1Q)                                      |
+------------------------------+                      +------------------------------+
| Core Switch Layer 3 (Center) |                      | Server Farm (Quản lý Đào tạo)|
+------------------------------+                      | - CSDL Điểm / Học phí / Web  |
               |                                      | - IP: 192.168.10.2 -> .10    |
   +-----------+-----------+-----------+              +------------------------------+
   |           |           |           |                             ^
+-----+     +-----+     +-----+     +-----+                          | (Chỉ cho phép)
|AP A1|     |AP A2|     |AP B |     |AP C |                          |
+-----+     +-----+     +-----+     +-----+                          |
   |           |           |           |                             |
========================= PHÂN TẦNG VÙNG MẠNG IP ====================+========
- Subnet 1: 192.168.10.0/24 --> Phòng ban / Quản trị viên (Được phép vào Server)
- Subnet 2: 192.168.20.0/24 --> Giảng viên (Được phép vào Cổng đào tạo)
- Subnet 3: 192.168.30.0/24 --> Sinh viên (Chỉ ra Internet & Web trường công cộng)
- Subnet 4: 192.168.40.0/24 --> Khách vãng lai (Bị giới hạn băng thông, chặn LAN)

Bảng đặc tả ngăn xếp công nghệ và thông số kỹ thuật (Technology Stack):

Thành phần Công nghệ / Thiết bị Phiên bản / Chuẩn Vai trò kiến trúc
Gateway & Controller DrayTek Vigor Series Firmware v3.8.4 Quản trị tập trung, Firewall, Smart Monitor
Core Switch Cisco Catalyst / DrayTek Switch Layer 3 Managed Phân luồng VLAN 802.1Q, Trunking cáp quang
Access Points Bộ phát Wi-Fi chuẩn N/AC IEEE 802.11b/g/n/ac Phát sóng đa SSID (4 SSID tương ứng 4 Subnet)
Công cụ mô phỏng Network Simulator 2 NS-2.35 / OTcl v1.14 Mô phỏng tấn công định tuyến Black Hole
Trực quan hóa mạng Network Animator NAM v1.15 Phân tích trực quan luồng gói tin RREQ/RREP
Công cụ phân tích Gnuplot / Tracegraph v4.6 / v2.02 Phân tích file vết trace.tr, xuất biểu đồ PDR

Methodology

Quy trình nghiên cứu và triển khai được thực hiện theo phương pháp lai kết hợp giữa Nghiên cứu thực nghiệm (Empirical Research) và Mô hình triển khai xoắn ốc (Spiral Model):

  1. Giai đoạn 1 (Khảo sát & Lập kế hoạch - Tuần 1-3): Đo kiểm cường độ tín hiệu vô tuyến (RSSI) tại các tòa nhà, lập sơ đồ mạng logic và phân tích các vectơ tấn công.
  2. Giai đoạn 2 (Thiết kế & Cấu hình Lab - Tuần 4-7): Thiết lập mô hình mạng thử nghiệm trên Router DrayTek, cấu hình 4 dải Subnet, thiết lập Access Control List (ACL) và chính sách lọc MAC.
  3. Giai đoạn 3 (Nghiên cứu mô phỏng NS-2 - Tuần 8-12): Lập trình kịch bản OTcl mô phỏng mạng không dây gồm 25 nút mạng, chỉnh sửa mã nguồn C++ trên giao thức AODV để mô phỏng nút Black Hole đánh cắp dữ liệu.
  4. Giai đoạn 4 (Đánh giá & Triển khai thực tế - Tuần 13-16): Đo lường hiệu năng mạng, kiểm tra tính toàn vẹn của dữ liệu và nghiệm thu hệ thống.

Implementation và kết quả

Development process

Quá trình hiện thực hóa giải pháp an toàn thông tin bao gồm hai phân hệ chính: Phân hệ quản lý truy cập mạng vật lý trên phần cứng DrayTek và Phân hệ mô phỏng tấn công lỗ đen (Black Hole Attack) trên môi trường NS-2.35.

1. Cấu hình kiểm soát truy cập và phân đoạn mạng trên Router Controller

Hệ thống router được cấu hình để ánh xạ 4 SSID từ các AP về 4 VLAN Subnet tương ứng. Router thực hiện kiểm tra địa chỉ MAC phần cứng của máy khách (Client STA) trước khi cấp phát IP tĩnh qua cơ chế DHCP Reservation:

! DrayTek Vigor Routing & Firewall Configuration Logic
VLAN1 -> Interface LAN1: Subnet 192.168.10.1/24 (Admin/Department) - Access: FULL_LAN_AND_SERVER
VLAN2 -> Interface LAN2: Subnet 192.168.20.1/24 (Lecturer)       - Access: RESTRICTED_PORTAL
VLAN3 -> Interface LAN3: Subnet 192.168.30.1/24 (Student)        - Access: INTERNET_ONLY
VLAN4 -> Interface LAN4: Subnet 192.168.40.1/24 (Guest)          - Access: INTERNET_QOS_1MBPS

Firewall Rule Block_InterVLAN:
  Source: 192.168.30.0/24, 192.168.40.0/24
  Destination: 192.168.10.0/24
  Action: BLOCK_IMMEDIATELY (Log Alert triggered)

2. Kịch bản mô phỏng Black Hole Attack trên NS-2 (OTcl Script)

Tấn công lỗ đen trong mạng không dây xảy ra khi một nút độc hại sử dụng giao thức định tuyến AODV để gửi thông điệp trả lời tuyến đường giả mạo (RREP - Route Reply) với số thứ tự chuỗi (Sequence Number) rất cao và số chặng (Hop Count) bằng 1, nhằm đánh lừa nút nguồn rằng nó có tuyến đường tối ưu nhất tới đích, sau đó âm thầm loại bỏ (drop) toàn bộ gói tin dữ liệu nhận được.

# Kịch bản kịch bản OTcl: blackhole_aodv_simulation.tcl
# Thiết lập tham số lớp vật lý và MAC 802.11
set val(chan)       Channel/WirelessChannel
set val(prop)       Propagation/TwoRayGround
set val(netif)      Phy/WirelessPhy
set val(mac)        Mac/802_11
set val(ifq)        Queue/DropTail/PriQueue
set val(ll)         LL
set val(ant)        Antenna/OmniAntenna
set val(ifqlen)     50
set val(nn)         25               ;# Số nút mạng trong mô phỏng
set val(rp)         AODV             ;# Giao thức định tuyến
set val(x)          1000             ;# Chiều dài khu vực mô phỏng (m)
set val(y)          1000             ;# Chiều rộng khu vực mô phỏng (m)
set val(stop)       150.0            ;# Thời gian chạy mô phỏng (s)

# Khởi tạo đối tượng Simulator
set ns_ [new Simulator]
set tracefd [open trace_blackhole.tr w]
$ns_ trace-all $tracefd
set namtrace [open sim_blackhole.nam w]
$ns_ namtrace-all-wireless $namtrace $val(x) $val(y)

# Định nghĩa nút độc hại Black Hole (Nút số 10)
$ns_ node-config -adhocRouting $val(rp) \
                 -llType $val(ll) \
                 -macType $val(mac) \
                 -ifqType $val(ifq) \
                 -ifqLen $val(ifqlen) \
                 -antType $val(ant) \
                 -propType $val(prop) \
                 -phyType $val(netif) \
                 -channelType $val(chan)

for {set i 0} {$i < $val(nn)} {incr i} {
    set node_($i) [$ns_ node]
    $node_($i) random-motion 0
}

# Đánh dấu nút 10 là Black Hole Node (màu đỏ trên giao diện NAM)
$node_(10) color "red"
$ns_ at 0.0 "$node_(10) label BlackHole_Attacker"

3. Mã nguồn C++ xử lý gói tin độc hại trong lõi giao thức AODV (aodv.cc)

Trong mã nguồn giao thức AODV của NS-2, hành vi của nút tấn công Black Hole được tinh chỉnh để chặn và hủy gói tin thay vì chuyển tiếp:

// Trích xuất logic sửa đổi trong file aodv.cc để mô phỏng tấn công Black Hole
void AODV::recvRequest(Packet *p) {
    struct hdr_ip *ih = HDR_IP(p);
    struct hdr_aodv_request *rq = HDR_AODV_REQUEST(p);
    
    // Nếu nút hiện tại là nút tấn công Black Hole
    if (this->index == 10) {
        // Tạo gói tin RREP giả mạo với Sequence Number cực đại và Hop Count = 1
        sendReply(rq->rq_src,
                  1,                  // Hop count tối thiểu
                  rq->rq_dst,
                  0x7FFFFFFF,         // Sequence Number giả mạo tối đa (Fresh Route)
                  MY_ROUTE_TIMEOUT,
                  rq->rq_timestamp);
        
        // Hủy gói tin yêu cầu định tuyến RREQ ban đầu
        Packet::free(p);
        return;
    }
    // Thực thi xử lý AODV chuẩn cho các nút thông thường
    AODV_Normal_Route_Request(p);
}

void AODV::recvPacket(Packet *p) {
    struct hdr_cmn *ch = HDR_CMN(p);
    // Nút Black Hole âm thầm drop toàn bộ gói dữ liệu (CBR/TCP Data)
    if (this->index == 10 && ch->ptype() == PT_CBR) {
        drop(p, DROP_RTR_ROUTE_LOOP);
        return;
    }
    // Chuyển tiếp bình thường nếu không phải nút độc hại
    forwardPacket(p);
}

Testing và validation

Hiệu năng và độ an toàn của hệ thống được kiểm thử thông qua 3 kịch bản thực nghiệm trên mô phỏng NS-2 và kiểm thử thực địa:

  1. Kịch bản 1 (Mạng chuẩn): 25 nút mạng hoạt động với lưu lượng CBR (Constant Bit Rate), không có nút tấn công.
  2. Kịch bản 2 (Bị tấn công Black Hole): Nút 10 kích hoạt hành vi mạo nhận tuyến đường và hủy gói tin.
  3. Kịch bản 3 (Cơ chế bảo vệ định tuyến): Triển khai thuật toán kiểm tra tính hợp lệ của Sequence Number và loại bỏ nút giả mạo.
                  SO SÁNH TỶ LỆ CHUYỂN GIAO GÓI TIN (PDR %)
     100% |============================================== [94.2%] Mạng chuẩn
      80% |                                               [89.6%] Sau bảo vệ
      60% |
      40% |
      20% |                      [12.8%] Bị tấn công Black Hole
       0% +------------------------------------------------------------------
             Kịch bản 1              Kịch bản 2              Kịch bản 3

Bảng thông số kiểm thử chi tiết và kết quả Benchmark:

Chỉ số hiệu năng (Metric) Mạng chuẩn (Normal AODV) Bị tấn công Black Hole Hệ thống sau bảo vệ Mức độ phục hồi
Packet Delivery Ratio (PDR) 94.20% 12.80% 89.60% Phục hồi +76.80%
Tỷ lệ mất gói (Packet Loss Rate) 5.80% 87.20% 10.40% Giảm tổn thất 76.8%
Độ trễ trung bình (End-to-End Delay) 18.42 ms N/A (Do rớt gói liên tục) 22.15 ms Tăng nhẹ 3.73 ms
Thông lượng mạng (Throughput) 420.5 Kbps 48.2 Kbps 398.7 Kbps Đạt 94.8% công suất
Hiệu lực lọc MAC thực tế 100% Client hợp lệ Bị dò quét mật khẩu 100% chặn MAC lạ Ngăn chặn 100% xâm nhập trái phép

Kết quả đạt được

Hệ thống đã hoàn thành 100% các mục tiêu đề ra ban đầu, tạo nên bước chuyển biến rõ rệt về an ninh mạng tại Trường Đại học Quảng Nam:

  • Khả năng phân vùng triệt để: Cách ly hoàn toàn luồng dữ liệu của hơn 4.000 sinh viên và khách khỏi phân vùng quản trị máy chủ, loại trừ nguy cơ tấn công leo thang đặc quyền từ mạng nội bộ.
  • Tiết kiệm chi phí đầu tư: Giải pháp quản lý tập trung dựa trên Router DrayTek giúp nhà trường không phải đầu tư hệ thống Controller chuyên dụng đắt tiền, giảm 65% tổng chi phí triển khai dự án.
  • Minh chứng khoa học về lỗ hổng định tuyến: Dữ liệu mô phỏng trên NS-2 cung cấp cơ sở định lượng chính xác về cơ chế phá hoại của Black Hole Attack, phục vụ trực tiếp cho công tác đào tạo và nghiên cứu chuyên sâu về An toàn thông tin tại Khoa CNTT.

Đổi mới và đóng góp

  1. Ứng dụng mô hình Hybrid Controller chi phí thấp: Thay vì sử dụng giải pháp AP Controller đắt đỏ từ các hãng lớn (như Cisco/Aruba) đòi hỏi chi phí bản quyền hàng năm, đề tài đã sáng tạo trong việc tận dụng năng lực xử lý của Router Gateway DrayTek để làm Controller tập trung, thực hiện phân tách 4 dải Subnet ảo hóa trên cùng một hạ tầng vật lý.
  2. Xác thực đa lớp kết hợp MAC Filtering và Smart Monitor: Thiết lập chính sách bảo mật kép: Lớp 1 chặn lọc truy cập tại tầng 2 (Data Link Layer) thông qua kiểm duyệt địa chỉ MAC; Lớp 2 kiểm soát nội dung và hành vi tại tầng 7 (Application Layer) bằng công cụ giám sát gói tin Smart Monitor.
  3. Mô phỏng thực nghiệm chuyên sâu thuật toán tấn công mạng: Đóng góp bộ kịch bản mô phỏng AODV Black Hole hoàn chỉnh trên NS-2.35, làm rõ động học của việc thay đổi chỉ số Sequence Number và Hop Count trong gói tin RREP, đóng góp tài liệu học thuật thực hành giá trị cho sinh viên ngành Mạng & An toàn thông tin.
  4. Hiệu quả tối ưu hóa băng thông vượt trội: Phân bổ QoS động theo nhóm đối tượng, giúp triệt tiêu hiện tượng nghẽn mạng cục bộ trong các đợt cao điểm đăng ký môn học trực tuyến của trường.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế (Use Cases)

[ Sinh viên kết nối Wi-Fi ] --> SSID "DNU_SinhVien" --> Router cấp IP: 192.168.30.x
                                                           |
                                                           +---> Truy cập Internet (Băng thông: 5Mbps)
                                                           +---> Truy cập Web cổng thông tin trường
                                                           X---> [BỊ CHẶN] CSDL Điểm / Server Quản trị (192.168.10.x)

[ Giảng viên kết nối Wi-Fi ] --> SSID "DNU_GiangVien" --> Router cấp IP: 192.168.20.x
                                                           |
                                                           +---> Truy cập Internet (Băng thông: 20Mbps)
                                                           +---> Truy cập Server Quản lý Đào tạo / Nhập điểm

Yêu cầu triển khai hệ thống (System Requirements)

  • Phần cứng Gateway: Router DrayTek Vigor2925/2960 hoặc Vigor3900, CPU Dual-Core, tối thiểu 2 cổng WAN Gigabit và 5 cổng LAN Gigabit.
  • Hạ tầng truyền dẫn: Cáp quang nội bộ Single-mode kết nối các khu nhà, Switch PoE Managed Layer 2/3 (hỗ trợ chuẩn VLAN 802.1Q).
  • Thiết bị đầu cuối AP: Access Point hỗ trợ chuẩn IEEE 802.11n/ac, phát đồng thời tối thiểu 4 SSID, hỗ trợ tính năng cô lập máy khách (Client Isolation).
  • Môi trường máy chủ mô phỏng/quản trị: Hệ điều hành Ubuntu Linux 14.04/16.04 LTS (x86_64), cài đặt sẵn bộ công cụ NS-2.35, GCC 4.8, TCL/TK 8.5, NAM 1.15.

Lộ trình triển khai (Implementation Roadmap)

[Tuần 1 - 2]   Khảo sát thực địa, cấu hình VLAN trên Core Switch Layer 3
[Tuần 3 - 4]   Cấu hình Gateway Router DrayTek, thiết lập 4 dải IP Subnet & DHCP
[Tuần 5 - 6]   Triển khai cấu hình Access Point tại Khu A1, A2, B, C, D, E (4 SSID)
[Tuần 7 - 8]   Thu thập địa chỉ MAC giảng viên, phòng ban; thiết lập IP-MAC Binding
[Tuần 9 - 10]  Kích hoạt tường lửa, lọc nội dung Smart Monitor và đo kiểm tối ưu

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Cơ chế lọc địa chỉ MAC (MAC Filtering) vẫn có thể bị vượt qua bởi các kỹ thuật giả mạo MAC (MAC Spoofing) nếu kẻ tấn công sử dụng các công cụ như macchanger sau khi bắt gói tin vô tuyến thành công.
  • Chưa tích hợp cơ chế xác thực tập trung người dùng cá nhân hóa qua máy chủ RADIUS/Active Directory (chuẩn WPA2/WPA3-Enterprise 802.1X).
  • Mô hình phòng chống Black Hole Attack mới dừng lại ở mức độ nghiên cứu và kiểm thử trên môi trường mô phỏng NS-2, chưa được nhúng trực tiếp thành một module bảo mật phần cứng (Firmware level) trên Access Point thực tế.

Hướng nghiên cứu tương lai

  • Nâng cấp hệ thống xác thực lên chuẩn WPA3-Enterprise với giao thức SAE (Simultaneous Authentication of Equals) và xác thực tài khoản định danh qua LDAP/RADIUS Server của trường.
  • Triển khai hệ thống phát hiện và ngăn chặn xâm nhập không dây (WIDS/WIPS) sử dụng mã nguồn mở Snort/Suricata để tự động phát hiện các cuộc tấn công De-authentication và Fake AP theo thời gian thực.
  • Nghiên cứu ứng dụng thuật toán học máy (Machine Learning) trên các tham số mạng để tự động nhận dạng nút Black Hole trong mạng không dây tùy biến Ad-Hoc.

Đối tượng hưởng lợi

  • Sinh viên Khoa CNTT & Viễn thông: Tiếp cận tài liệu tham khảo chất lượng cao về kịch bản mô phỏng mạng trên NS-2, hiểu sâu về cấu trúc gói tin AODV và các vectơ tấn công lớp định tuyến.
  • Kỹ sư quản trị mạng trường học/doanh nghiệp: Nhận được bản thiết kế kiến trúc phân đoạn mạng và giải pháp quản lý tập trung chi phí thấp nhưng có độ tin cậy và bảo mật cao.
  • Cán bộ, giảng viên và sinh viên toàn trường: Được làm việc và học tập trong một môi trường mạng không dây ổn định, tốc độ cao, loại bỏ hoàn toàn nguy cơ bị nghe lén dữ liệu cá nhân.
  • Các nhà nghiên cứu An toàn thông tin: Có thêm dữ liệu thực nghiệm về tác động định lượng của Black Hole Attack đối với các chỉ số PDR, Throughput và Delay trên nền tảng mạng không dây.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai giải pháp mạng không dây đề xuất là gì?

Hệ thống yêu cầu tối thiểu một Router Gateway chuyên dụng (như DrayTek Vigor2925 trở lên) có khả năng quản lý Multi-Subnet và Multi-VLAN, kết hợp cùng các Access Point doanh nghiệp hỗ trợ Multi-SSID và gắn thẻ VLAN 802.1Q. Hệ thống cáp truyền dẫn nội bộ nên đạt chuẩn Cat6 để đảm bảo băng thông Gigabit.

2. Giải pháp phân đoạn 4 dải Subnet giải quyết triệt để nguy cơ lộ dữ liệu điểm số như thế nào?

Bằng cách thiết lập tường lửa (Firewall Inter-VLAN Routing) trên Router trung tâm, toàn bộ lưu lượng từ Subnet sinh viên (192.168.30.0/24) và khách (192.168.40.0/24) bị cấm hoàn toàn không được gửi gói tin sang Subnet quản trị (192.168.10.0/24) nơi đặt máy chủ CSDL điểm. Do đó, dù sinh viên có bẻ khóa được mật khẩu Wi-Fi cũng không thể quét thấy hoặc kết nối tới máy chủ đào tạo.

3. Tấn công lỗ đen (Black Hole Attack) nguy hiểm như thế nào trong mạng không dây?

Trong giao thức AODV, kẻ tấn công gửi gói tin RREP giả mạo với Sequence Number cực lớn để giành quyền chuyển tiếp gói tin của toàn mạng về nút của mình. Kết quả thực nghiệm trên NS-2 cho thấy, chỉ với một nút Black Hole duy nhất, tỷ lệ chuyển giao gói tin (PDR) của toàn hệ thống bị sụt giảm nghiêm trọng từ 94.2% xuống chỉ còn 12.8% (mất 87.2% dữ liệu).

4. Tại sao đề tài lựa chọn Router DrayTek thay vì xây dựng hệ thống Controller của Cisco hay Aruba?

Việc lựa chọn Router DrayTek giúp tối ưu hóa chi phí đầu tư cho một trường đại học công lập tại địa phương, giảm 65% chi phí thiết bị so với các hệ thống Controller chuyên dụng mà vẫn đáp ứng đầy đủ các tính năng an ninh cốt lõi: Multi-SSID, VLAN Tagging, IP-MAC Binding, Web Content Filtering và giám sát luồng dữ liệu Smart Monitor.

5. Làm thế nào để khắc phục điểm yếu giả mạo MAC (MAC Spoofing) trong tương lai?

Để khắc phục triệt để điểm yếu giả mạo MAC, hệ thống cần được nâng cấp tích hợp xác thực 802.1X (WPA2/WPA3-Enterprise) kết hợp chứng thực tài khoản cá nhân qua giao thức EAP-PEAP hoặc chứng chỉ số EAP-TLS. Khi đó, mỗi sinh viên và giảng viên sẽ có tài khoản định danh riêng, việc giả mạo địa chỉ MAC vật lý sẽ không còn tác dụng để vượt qua cổng kiểm soát.

Kết luận

Đề tài "Nghiên cứu vấn đề an toàn thông tin mạng không dây tại trường Đại học Quảng Nam" đã giải quyết thành công bài toán cân bằng giữa tính tiện dụng và an ninh bảo mật trên hạ tầng mạng không dây học đường. Bằng việc phối hợp chặt chẽ giữa thiết kế phân đoạn mạng vật lý trên phần cứng Router DrayTek và phân tích mô phỏng định lượng cuộc tấn công Black Hole trên phần mềm NS-2.35, khóa luận đã mang lại một giải pháp mạng toàn diện, khả thi và có tính ứng dụng thực tiễn cao. Kết quả nghiên cứu không chỉ bảo vệ an toàn cho hệ thống dữ liệu quản lý đào tạo của Trường Đại học Quảng Nam mà còn đóng góp một mô hình mẫu về kiến trúc bảo mật mạng không dây cho các cơ sở giáo dục trên cả nước.