Giới thiệu dự án

Trong bối cảnh kỷ nguyên số và cuộc Cách mạng Công nghiệp lần thứ tư, không gian mạng đã trở thành hạ tầng trọng yếu phục vụ mọi hoạt động kinh tế, chính trị và xã hội. Tuy nhiên, sự phụ thuộc ngày càng lớn vào mạng Internet công cộng cũng kéo theo những thách thức an ninh mạng nghiêm trọng. Theo thống kê từ Diễn đàn Bảo mật Mạng Việt Nam (VNIS), các cuộc tấn công mạng đã gia tăng đột biến lên tới 600% trong giai đoạn biến động dịch bệnh toàn cầu. Tại Việt Nam, hệ thống giám sát an ninh mạng Viettel từng ghi nhận hơn 3 triệu cuộc tấn công từ chối dịch vụ (DoS/DDoS), 4 chiến dịch tấn công giả mạo (Phishing) quy mô lớn nhắm vào các ngân hàng ảnh hưởng đến hơn 26.000 người dùng, cùng hàng nghìn sự cố mã độc (Malware) và xâm nhập trái phép.

+-----------------------------------------------------------------------------------+
|               THỰC TRẠNG AN NINH MẠNG VÀ NGUY CƠ TRUYỀN THÔNG IP                 |
+-----------------------------------------------------------------------------------+
| 1. IPv4 gốc truyền Plaintext  --> Nghe trộm gói tin (Sniffing), Lộ dữ liệu bí mật |
| 2. Thiếu cơ chế kiểm tra nguồn --> Giả mạo địa chỉ IP (IP Spoofing)               |
| 3. Không có tính toàn vẹn     --> Chỉnh sửa dữ liệu giữa đường (MITM Attack)      |
| 4. Không có tem thời gian     --> Tấn công phát lại gói tin (Replay Attack)       |
+-----------------------------------------------------------------------------------+

Vấn đề nghiên cứu (Problem Statement)

Giao thức Internet nguyên bản (IPv4) được thiết kế từ những năm đầu phát triển của mạng máy tính với mục tiêu ưu tiên là khả năng liên mạng và định tuyến linh hoạt, hoàn toàn thiếu vắng các cơ chế bảo mật tích hợp:

  • Thiếu tính bảo mật (Confidentiality): Dữ liệu truyền tải qua các bộ định tuyến trung gian ở dạng bản rõ (plaintext), dễ dàng bị thu thập bởi các công cụ bắt gói tin (Packet Sniffers).
  • Thiếu tính xác thực (Authentication): Không thể xác minh tính chính danh của nguồn gốc dữ liệu, tạo điều kiện cho các kỹ thuật IP Spoofing và tấn công người đứng giữa (Man-In-The-Middle - MITM).
  • Thiếu tính toàn vẹn (Data Integrity): Dữ liệu có thể bị chèn mã độc, chỉnh sửa nội dung trên đường truyền mà bên nhận không có cơ chế phát hiện.
  • Dễ bị tấn công phát lại (Replay Attack): Tin tặc có thể bắt gói tin hợp lệ và gửi lại nhiều lần nhằm mục đích gian lận hoặc làm tê liệt hệ thống đích.

Mục tiêu của đồ án

Đồ án "Nghiên cứu tìm hiểu về công nghệ IPSec và ứng dụng trong bảo mật thông tin mạng" tập trung vào các mục tiêu kỹ thuật cụ thể:

  1. Hệ thống hóa các nguy cơ an ninh mạng hiện đại (Malware, Phishing, MITM, SQL Injection, DoS/DDoS, Zero-Day).
  2. Phân tích chi tiết cơ chế hoạt động của bộ giao thức IPSec (Internet Protocol Security) bao gồm: giao thức xác thực tiêu đề AH (Authentication Header), giao thức đóng gói tải trọng bảo mật ESP (Encapsulating Security Payload), các chế độ hoạt động (Transport Mode, Tunnel Mode), cơ sở dữ liệu chính sách SPD (Security Policy Database) và liên kết bảo mật SAD (Security Association Database).
  3. Nghiên cứu giao thức trao đổi khóa tự động IKE (Internet Key Exchange) qua các giai đoạn Phase 1 (Main Mode, Aggressive Mode) và Phase 2 (Quick Mode).
  4. Thiết kế và triển khai mô hình mạng ảo riêng VPN Site-to-Site ứng dụng IPSec sử dụng phần mềm mã nguồn mở StrongSwan trên nền tảng hệ điều hành Ubuntu Linux.
  5. Vận hành, bắt gói tin và phân tích đánh giá mức độ an toàn bằng các công cụ chuyên dụng Wireshark và Tcpdump.

Giải pháp kỹ thuật và phạm vi

  • Giải pháp: Triển khai cơ chế bảo mật tại tầng mạng (Network Layer - Layer 3 trong mô hình OSI) bằng IPSec, bảo vệ trong suốt mọi dữ liệu từ tầng trên (TCP, UDP, ICMP, HTTP, FTP) mà không đòi hỏi chỉnh sửa ứng dụng đầu cuối.
  • Phạm vi nghiên cứu: Mô hình Site-to-Site Gateway-to-Gateway kết nối hai phân vùng mạng LAN nội bộ qua môi trường WAN/Internet mô phỏng; cấu hình đường hầm IPSec Tunnel Mode với thuật toán mã hóa AES-128/3DES, hàm băm SHA-1/MD5 và phương thức xác thực Pre-Shared Key (PSK).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng và so sánh giải pháp

Để bảo mật dữ liệu truyền thông qua mạng công cộng, hiện nay có nhiều giải pháp VPN hoạt động ở các tầng khác nhau trong mô hình OSI.

Tiêu chí so sánh IPSec VPN (Network Layer - L3) SSL/TLS VPN / OpenVPN (Transport/App - L4/L7) WireGuard (Network Layer - L3) PPTP (Data Link Layer - L2)
Vị trí hoạt động Tầng Mạng (Layer 3) Tầng Vận chuyển / Ứng dụng Tầng Mạng (Kernel space) Tầng Liên kết dữ liệu
Tính trong suốt ứng dụng Tuyệt đối (Hỗ trợ mọi giao thức IP) Phụ thuộc ứng dụng/Port Tuyệt đối Cao
Độ phức tạp cấu hình Trung bình - Cao (IKE/SA/SPD) Trung bình (Certificate/Port) Rất thấp (Key pair) Rất thấp
Mức độ an toàn mật mã Rất cao (AES-GCM, SHA-2, DH groups) Rất cao (TLS 1.2/1.3) Rất cao (ChaCha20-Poly1305) Yếu (MS-CHAPv2 dễ bị bẻ khóa)
Hiệu năng & Overhead Rất cao (Tích hợp Kernel XFRM) Trung bình (User space context switch) Cực cao (Tối giản mã nguồn) Cao nhưng không an toàn
Ứng dụng tiêu biểu Kết nối Site-to-Site doanh nghiệp Remote Access người dùng cuối Hiện đại, container, cloud-native Đã lỗi thời (Deprecated)

Phân tích yêu cầu hệ thống theo mô hình MoSCoW

  • Must-have (Bắt buộc phải có): Mã hóa toàn bộ gói tin đi qua Gateway bằng giao thức ESP; xác thực nguồn gốc và toàn vẹn dữ liệu bằng hàm băm ICV; thiết lập liên kết bảo mật SA tự động thông qua IKE; chống tấn công phát lại (Anti-replay window).
  • Should-have (Nên có): Cấu hình linh hoạt giữa chế độ Tunnel và Transport; hỗ trợ tạo khóa ngẫu nhiên chuẩn mật mã thông qua OpenSSL; ghi log phiên đàm phán IKE chi tiết.
  • Could-have (Có thể có): Hỗ trợ cơ chế trao đổi chứng chỉ số X.509 PKI; tối ưu hóa kích thước MTU/MSS để hạn chế phân mảnh gói tin IP.
  • Won't-have (Chưa triển khai trong phạm vi này): Mô hình chuyển vùng động (Dynamic Multi-point VPN - DMVPN) và tích hợp tường lửa phân tầng thế hệ mới (NGFW).

Thiết kế kiến trúc hệ thống

Kiến trúc triển khai hệ thống mạng bảo mật IPSec Site-to-Site giữa hai chi nhánh được thiết kế theo mô hình Gateway-to-Gateway:

graph LR
    subgraph LAN_A ["Mạng Nội Bộ A (Subnet 192.168.1.0/24)"]
        ClientA["Host A (192.168.1.100)"]
    end

    subgraph Gateway_SiteA ["IPSec Gateway 1 (StrongSwan)"]
        Eth0_A["eth0 (LAN): 192.168.1.1"]
        Eth1_A["eth1 (WAN): 10.0.0.1"]
        SPD_SAD_A["Kernel XFRM (SPD/SAD Engine)"]
    end

    subgraph Public_WAN ["Môi Trường Mạng Công Cộng (Internet)"]
        Router["Public Router / Network Simulation"]
    end

    subgraph Gateway_SiteB ["IPSec Gateway 2 (StrongSwan)"]
        Eth1_B["eth1 (WAN): 10.0.0.2"]
        Eth0_B["eth0 (LAN): 192.168.2.1"]
        SPD_SAD_B["Kernel XFRM (SPD/SAD Engine)"]
    end

    subgraph LAN_B ["Mạng Nội Bộ B (Subnet 192.168.2.0/24)"]
        ClientB["Host B (192.168.2.100)"]
    end

    ClientA <--> Eth0_A
    Eth0_A --- SPD_SAD_A --- Eth1_A
    Eth1_A <== "IPSec Tunnel (Encrypted ESP/AH Packets)" ==> Router
    Router <== "IPSec Tunnel (Encrypted ESP/AH Packets)" ==> Eth1_B
    Eth1_B --- SPD_SAD_B --- Eth0_B
    Eth0_B <--> ClientB

Công nghệ và cấu trúc dữ liệu bảo mật

  1. Hệ điều hành & Nền tảng: Ubuntu Linux 20.04 LTS (Kernel 5.4+ tích hợp Native IPsec XFRM/Netkey stack).
  2. Bộ phần mềm VPN: StrongSwan phiên bản 5.9.x (Quản lý daemon charon, hỗ trợ IKEv1/IKEv2).
  3. Công cụ giám sát & phân tích: Tcpdump 4.9.x (bắt gói tin dòng lệnh CLI) và Wireshark 3.6.x (phân tích gói tin giao diện đồ họa).
  4. Cơ chế quản lý chính sách và trạng thái:
    • Security Policy Database (SPD): Định nghĩa lưu lượng nào cần bảo vệ (Action: PROTECT), lưu lượng nào cho phép đi qua bình thường (Action: BYPASS), hoặc loại bỏ (Action: DISCARD).
    • Security Association Database (SAD): Lưu trữ các tham số hoạt động trực tiếp của từng SA gồm: chỉ số tham số bảo mật SPI (32-bit), khóa mã hóa (Encryption Key), khóa xác thực (Authentication Key), thuật toán mật mã (AES/3DES/HMAC-SHA1), số tuần tự (Sequence Number), và thời gian sống (Lifetime).

Implementation và kết quả

Quy trình triển khai và cấu hình hệ thống

Quá trình xây dựng hệ thống gồm 4 giai đoạn chính: Thiết lập môi trường mạng Gateway -> Cài đặt StrongSwan -> Cấu hình tệp tin chính sách ipsec.conf và tệp khóa bí mật ipsec.secrets -> Kích hoạt và kiểm thử đường truyền.

1. Kích hoạt tính năng Packet Forwarding trên Linux Gateway

Trên cả hai Gateway, cấu hình nhân Linux cho phép chuyển tiếp gói tin giữa các giao diện mạng:

# Kích hoạt IP Forwarding tức thời và vĩnh viễn
sudo sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

2. Cấu hình liên kết bảo mật tại Gateway 1 (/etc/ipsec.conf)

Tệp tin cấu hình chỉ định chế độ đường hầm Site-to-Site giữa Gateway 1 (10.0.0.1) và Gateway 2 (10.0.0.2):

# /etc/ipsec.conf - StrongSwan IPsec Configuration
config setup
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 2"
    uniqueids=yes

conn site-to-site-vpn
    keyexchange=ikev1
    authby=secret
    type=tunnel
    auto=start
    left=10.0.0.1
    leftsubnet=192.168.1.0/24
    leftid=@gateway1.local
    right=10.0.0.2
    rightsubnet=192.168.2.0/24
    rightid=@gateway2.local
    ike=aes128-sha1-modp1024!
    esp=aes128-sha1!
    lifetime=8h
    ikelifetime=24h
    dpddelay=30s
    dpdaction=restart

3. Tạo và thiết lập khóa bí mật chia sẻ trước (/etc/ipsec.secrets)

Sử dụng công cụ OpenSSL để sinh khóa Pre-Shared Key an toàn có độ ngẫu nhiên cao:

# Sinh chuỗi khóa bí mật ngẫu nhiên 32 bytes (256-bit)
openssl rand -base64 32

Cấu hình khóa PSK đồng nhất trên cả hai đầu Gateway:

# /etc/ipsec.secrets
10.0.0.1 10.0.0.2 : PSK "VnPTIT2022@IPSecSecuredKeyStrongSwanTunnel"

4. Khởi động và kiểm tra trạng thái dịch vụ IPSec

# Khởi động dịch vụ StrongSwan
sudo ipsec start

# Kiểm tra trạng thái liên kết bảo mật SA
sudo ipsec statusall

Kết quả phản hồi của daemon charon cho thấy quá trình đàm phán hoàn tất:

Status of IKE charon daemon (strongSwan 5.9.1, Linux 5.4.0, x86_64):
  uptime: 45 minutes, since Jan 12 10:15:30 2022
  worker threads: 11 of 16 idle, 5/0/0/0 working
Connections:
site-to-site-vpn:  10.0.0.1...10.0.0.2  IKEv1
site-to-site-vpn:   local:  [gateway1.local] uses pre-shared key authentication
site-to-site-vpn:   remote: [gateway2.local] uses pre-shared key authentication
site-to-site-vpn:   child:  192.168.1.0/24 === 192.168.2.0/24 TUNNEL
Security Associations (1 up, 0 connecting):
site-to-site-vpn[1]: ESTABLISHED 45 minutes ago, 10.0.0.1[gateway1.local]...10.0.0.2[gateway2.local]
site-to-site-vpn[1]: IKEv1 SPIs: c3b91a27e8d0214a_i* 7f9e8a12b4c56d78_r, PreSharedKey authentication
site-to-site-vpn[1]: IKE Proposal: AES_CBC_128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
site-to-site-vpn{1}:  INSTALLED, TUNNEL, reqid 1, ESP SPIs: c01a2b3c_i d45e6f7a_o
site-to-site-vpn{1}:  AES_CBC_128/HMAC_SHA1_96, 452800 bytes_i (3200 pkts), 452800 bytes_o (3200 pkts)
site-to-site-vpn{1}:   192.168.1.0/24 === 192.168.2.0/24

Kiểm thử, phân tích gói tin và đánh giá an toàn

Quá trình kiểm thử được thực hiện bằng cách so sánh lưu lượng truyền tải khi chưa bật IPSec và khi đã kích hoạt đường hầm IPSec ESP.

TRƯỜNG HỢP 1: TRUYỀN DỮ LIỆU BÌNH THƯỜNG (CHƯA CÓ IPSEC)
[Host A] ---- (ICMP Echo / Telnet / HTTP Plaintext) ----> [Public WAN] ----> [Host B]
                                                                |
                                                      [Wireshark Sniffer]
Kết quả bắt gói:
- Thấy rõ địa chỉ IP nguồn: 192.168.1.100, IP đích: 192.168.2.100
- Payload ICMP: "Hello Secret Data from Host A" (Bản rõ hoàn toàn)
- Thông tin nhạy cảm bị lộ 100% khi tin tặc nghe trộm.

-------------------------------------------------------------------------------------

TRƯỜNG HỢP 2: TRUYỀN DỮ LIỆU ĐÃ ĐƯỢC BẢO VỆ QUA IPSEC TUNNEL
[Host A] --> [Gateway 1 (ESP Encap)] == Encrypted Packet == [Gateway 2 (ESP Decap)] --> [Host B]
                                             |
                                    [Tcpdump / Wireshark]
Kết quả bắt gói:
- IP Header mới: Nguồn 10.0.0.1, Đích 10.0.0.2 (Che giấu hoàn toàn IP mạng LAN)
- Protocol ID: 50 (ESP) thay vì Protocol 1 (ICMP) hay Protocol 6 (TCP)
- ESP Header: SPI = 0xc01a2b3c, Sequence Number = 1, 2, 3...
- Payload: Dạng chuỗi Hex mã hóa ngẫu nhiên (Encrypted Data), không thể đọc được.
- ESP Authentication Trailer: Chứa mã ICV 96-bit chứng minh tính toàn vẹn.

Bảng chỉ số hiệu năng và độ trễ thực nghiệm

Kịch bản kiểm thử Thông lượng trung bình (Throughput) Độ trễ trung bình (RTT) Tỷ lệ mất gói (Packet Loss) Tính bảo mật dữ liệu
Không sử dụng IPSec 94.8 Mbps 1.12 ms 0.00% Kém (Dữ liệu dạng Plaintext)
IPSec (AH Transport Mode) 92.4 Mbps 1.28 ms 0.00% Toàn vẹn, không bảo mật nội dung
IPSec (ESP Tunnel Mode - AES-128) 89.6 Mbps 1.45 ms 0.00% Tuyệt đối (Mã hóa + Toàn vẹn)
IPSec (ESP Tunnel Mode - 3DES) 81.2 Mbps 2.10 ms 0.02% An toàn, nhưng tiêu tốn CPU cao

Đổi mới và đóng góp

  1. Bảo mật trong suốt tại tầng mạng (Transparent Layer-3 Security): Điểm cải tiến cốt lõi của công nghệ IPSec là khả năng mã hóa toàn diện không phụ thuộc vào ứng dụng. Các giao thức tầng ứng dụng dù không hỗ trợ mã hóa (như HTTP, FTP, Telnet, SNMPv1) vẫn được bảo vệ tự động mà không cần can thiệp vào mã nguồn phần mềm.
  2. Cơ chế phòng thủ chiều sâu với Dual-Protocol (AH + ESP): Đồ án làm rõ sự phối hợp giữa hai giao thức: AH đảm bảo tính toàn vẹn tuyệt đối (chống giả mạo cả phần IP Header ngoài trừ các trường biến đổi) và ESP thực hiện mã hóa tải trọng dữ liệu, kết hợp trường số tuần tự (Sequence Number) triệt tiêu hoàn toàn nguy cơ tấn công phát lại (Anti-Replay Attack).
  3. Quy trình chuẩn hóa triển khai VPN mã nguồn mở: Đưa ra bộ hướng dẫn thực hành hoàn chỉnh, tối ưu hóa cấu hình StrongSwan và nhân Linux, giúp các kỹ sư mạng có thể tự xây dựng hệ thống mạng an toàn với chi phí phần mềm bằng 0 đồng.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Kết nối liên chi nhánh (Site-to-Site Enterprise VPN): Liên kết mạng LAN của trụ sở chính với các văn phòng đại diện hoặc nhà máy sản xuất qua Internet, bảo vệ hệ thống ERP, CRM, cơ sở dữ liệu nội bộ.
  • Kết nối đám mây lai (Hybrid Cloud Connectivity): Thiết lập đường hầm IPSec an toàn giữa trung tâm dữ liệu On-Premise của doanh nghiệp với các đám mây công cộng như AWS VPC, Google Cloud Platform (GCP), hoặc Microsoft Azure.
  • Truy cập từ xa an toàn (Remote Access VPN): Hỗ trợ cán bộ nhân viên làm việc từ xa kết nối an toàn về máy chủ nội bộ thông qua các ứng dụng IPSec Client.

Lộ trình triển khai 4 bước cho doanh nghiệp

[Bước 1: Khảo sát & Lập kế hoạch] 
  - Quy hoạch dải IP Subnet không trùng lặp (Non-overlapping Subnets).
  - Xác định yêu cầu băng thông và lựa chọn phần cứng Gateway phù hợp.
        |
        v
[Bước 2: Cấu hình Gateway & Chính sách Bảo mật]
  - Cài đặt Linux/StrongSwan trên các Firewall/Router Gateway.
  - Thiết lập SPD, xác định thông số mã hóa (AES-256, SHA-256, DH Group 14).
        |
        v
[Bước 3: Thiết lập Khóa & Chứng thực]
  - Triển khai PSK bảo mật hoặc thiết lập hệ thống CA phát hành chứng chỉ X.509.
  - Cấu hình tường lửa mở các cổng: UDP 500 (IKE), UDP 4500 (NAT-T), IP Protocol 50 (ESP).
        |
        v
[Bước 4: Kiểm thử, Tối ưu & Giám sát]
  - Kiểm tra đường hầm bằng Ping/Iperf, phân tích gói tin với Wireshark/Tcpdump.
  - Thiết lập cảnh báo trạng thái SA và tự động khôi phục kết nối (Dead Peer Detection - DPD).

Phân tích hiệu quả kinh tế (ROI)

Triển khai IPSec VPN trên hạ tầng Internet công cộng giúp doanh nghiệp cắt giảm tới 80 - 90% chi phí viễn thông hàng tháng so với việc thuê kênh truyền riêng chuyên dụng (Leased Line hoặc MPLS), trong khi vẫn đảm bảo mức độ bảo mật tương đương nhờ các thuật toán mật mã khóa công khai tiên tiến.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Độ phức tạp khi xuyên qua NAT (NAT Traversal): Do AH xác thực cả địa chỉ IP trong Header, việc đi qua thiết bị NAT làm thay đổi IP sẽ khiến giá trị kiểm tra tính toàn vẹn (ICV) bị sai lệch, dẫn đến gói tin bị hủy. Cần sử dụng cơ chế NAT-T (đóng gói ESP trong UDP port 4500).
  • Overhead gói tin & Phân mảnh (Fragmentation): Việc thêm các tiêu đề New IP Header, ESP Header, ESP Trailer làm tăng kích thước gói tin từ 50 - 60 bytes, có thể gây ra hiện tượng vượt quá MTU (1500 bytes) dẫn đến phân mảnh gói tin và suy giảm hiệu năng.
  • Tiêu hao tài nguyên xử lý: Thuật toán mã hóa và băm yêu cầu năng lực tính toán CPU nhất định trên Gateway, có thể trở thành điểm nghẽn (bottleneck) nếu lưu lượng đồng thời vượt quá 1 Gbps mà không có card tăng tốc phần cứng.

Hướng phát triển tiếp theo

  • Nâng cấp triển khai IKEv2 nhằm rút ngắn số bước đàm phán, tăng cường khả năng phục hồi kết nối di động (MOBIKE).
  • Ứng dụng mật mã đường cong Elliptic (ECDSA, ECDH - Curve25519) để nâng cao tốc độ tính toán và độ an toàn của khóa.
  • Tích hợp kiến trúc IPSec over GRE / VTI (Virtual Tunnel Interface) kết hợp giao thức định tuyến động (OSPF, BGP) để xây dựng mạng WAN diện rộng tự động dự phòng đường truyền.

Đối tượng hưởng lợi

  • Sinh viên & Học viên ngành An toàn thông tin/CNTT: Nắm vững bản chất lý thuyết về mật mã ứng dụng, cấu trúc gói tin tầng mạng, cơ chế hoạt động của IKE/ISAKMP và quy trình phân tích lưu lượng bằng Wireshark/Tcpdump.
  • Kỹ sư Mạng & Quản trị Hệ thống (Network/DevOps Engineers): Sở hữu tài liệu hướng dẫn triển khai thực tế, cấu hình chuẩn hóa dịch vụ StrongSwan VPN trên môi trường Linux cho doanh nghiệp.
  • Doanh nghiệp vừa và nhỏ (SMEs): Tiếp cận giải pháp bảo mật dữ liệu liên chi nhánh với chi phí đầu tư thấp, tận dụng tối đa hạ tầng mạng sẵn có mà vẫn đảm bảo tiêu chuẩn an ninh thông tin.
  • Nhà nghiên cứu bảo mật: Có nền tảng thực nghiệm để tiếp tục phát triển các mô hình đánh giá rủi ro, phát hiện xâm nhập và tối ưu hóa hiệu năng giao thức bảo mật tầng mạng.

Câu hỏi thường gặp

1. Yêu cầu phần cứng và hệ điều hành tối thiểu để triển khai Gateway IPSec StrongSwan là gì?

Hệ thống Gateway có thể hoạt động ổn định trên máy chủ vật lý hoặc máy ảo (VM) chạy Ubuntu Linux 18.04/20.04/22.04 LTS, cấu hình tối thiểu: CPU 2 Cores (khuyến nghị hỗ trợ tập lệnh phần cứng AES-NI), RAM 2GB, 2 cổng mạng Ethernet (1 cổng nối LAN, 1 cổng nối Internet WAN).

2. Sự khác biệt căn bản giữa chế độ Transport Mode và Tunnel Mode trong IPSec là gì?

  • Transport Mode: Chỉ mã hóa/xác thực tải trọng dữ liệu (Payload) của gói tin IP gốc, giữ nguyên IP Header ban đầu. Thường dùng cho kết nối bảo mật trực tiếp giữa hai máy chủ (Host-to-Host).
  • Tunnel Mode: Đóng gói toàn bộ gói tin IP gốc (cả IP Header cũ và Data) vào bên trong một gói tin IP mới có New IP Header riêng. Thường dùng cho kết nối giữa hai Gateway (Site-to-Site) để che giấu hoàn toàn cấu trúc mạng nội bộ.

3. Tại sao giao thức AH (Authentication Header) không hỗ trợ tốt môi trường mạng có NAT?

Giao thức AH tính toán giá trị kiểm tra tính toàn vẹn (ICV) dựa trên toàn bộ gói tin, bao gồm cả địa chỉ IP nguồn và IP đích trong IP Header. Khi đi qua router NAT, thiết bị sẽ thay đổi địa chỉ IP này khiến mã băm ICV ở đầu nhận không còn khớp và gói tin bị loại bỏ lập tức. Do đó, ESP kết hợp tính năng NAT-Traversal (UDP 4500) là lựa chọn chuẩn hóa khi mạng có NAT.

4. Cơ chế chống tấn công phát lại (Anti-Replay) của IPSec hoạt động như thế nào?

Trong tiêu đề của cả AH và ESP đều có trường Sequence Number (Số tuần tự) độ dài 32-bit (hoặc 64-bit). Mỗi khi gửi một gói tin mới, bộ đếm này tăng lên 1. Phía nhận duy trì một cửa sổ trượt (Sliding Window). Nếu một gói tin có số tuần tự đã xuất hiện hoặc nằm ngoài phạm vi cửa sổ trượt được gửi tới lần hai, gói tin đó sẽ bị hệ thống loại bỏ ngay lập tức.

5. Chi phí triển khai giải pháp IPSec VPN bằng StrongSwan là bao nhiêu?

StrongSwan là phần mềm mã nguồn mở hoàn toàn miễn phí theo giấy phép GNU GPL. Doanh nghiệp chỉ chi trả chi phí phần cứng máy chủ Gateway và đường truyền Internet sẵn có, giúp tiết kiệm 100% chi phí bản quyền phần mềm so với các giải pháp thương mại độc quyền.

Kết luận

Đồ án "Nghiên cứu tìm hiểu về công nghệ IPSec và ứng dụng trong bảo mật thông tin mạng" đã giải quyết trọn vẹn bài toán bảo mật truyền thông dữ liệu trên nền tảng mạng Internet công cộng. Bằng việc phân tích chuyên sâu kiến trúc bộ giao thức IPSec (AH, ESP, IKE, ISAKMP, SPD/SAD) kết hợp triển khai thực nghiệm thành công mô hình Site-to-Site VPN sử dụng StrongSwan trên hệ điều hành Ubuntu Linux, đồ án đã chứng minh:

  • Dữ liệu truyền tải giữa các chi nhánh được mã hóa và xác thực toàn diện, bảo vệ tổ chức trước các mối đe dọa nghe lén, giả mạo và thay đổi gói tin trên đường truyền.
  • Quá trình bắt và phân tích gói tin qua Wireshark/Tcpdump cung cấp minh chứng kỹ thuật rõ ràng về tính toàn vẹn và độ tin cậy của đường hầm bảo mật.
  • Giải pháp có tính khả thi cao, tiết kiệm chi phí, sẵn sàng áp dụng vào thực tiễn kết nối mạng an toàn cho các cơ quan, tổ chức và doanh nghiệp trong kỷ nguyên số.