Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và xu hướng làm việc phân tán, nhu cầu kết nối dữ liệu liên chi nhánh và truy cập tài nguyên từ xa trở thành huyết mạch của mọi tổ chức. Tuy nhiên, hạ tầng Internet công cộng vốn dĩ là môi trường không tin cậy (untrusted network), nơi dữ liệu đối mặt với hàng loạt rủi ro nghiêm trọng như nghe lén (eavesdropping/sniffing), tấn công mạo danh (spoofing), chèn sửa dữ liệu (tampering) và tấn công phát lại (replay attacks). Theo các báo cáo an ninh mạng toàn cầu, hơn 70% các vụ rò rỉ dữ liệu doanh nghiệp bắt nguồn từ việc truyền tải thông tin không mã hóa qua các kênh truyền công cộng.

Giao thức IP nguyên bản (IPv4) hoạt động ở tầng Network (Tầng 3 trong mô hình OSI) không tích hợp sẵn cơ chế bảo vệ tính bảo mật và tính toàn vẹn của gói tin. Đồ án "IPSec (Tunnel Mode)" được nghiên cứu và thực hiện bởi nhóm sinh viên ngành An toàn Thông tin (Khoa CNTT – Đại học Công nghệ TP.HCM) dưới sự hướng dẫn của ThS. Nguyễn Văn Vịnh, tập trung giải quyết bài toán cốt lõi: Thiết lập một đường hầm bảo mật (secure tunnel) tại tầng mạng, bảo vệ toàn diện dữ liệu truyền tải mà không cần thay đổi cấu trúc của các ứng dụng tầng trên hay các thiết bị định tuyến trung gian.

+-------------------------------------------------------------------------+
|                              MÔ HÌNH TỔNG QUAN                          |
|                                                                         |
|  [LAN Chi nhánh A] ---> [Gateway A] === SECURE TUNNEL ===> [Gateway B] ---> [LAN Trụ sở B]  |
|  (192.168.1.0/24)      (IPSec Router)     (Mạng Internet)    (IPSec Router)     (192.168.2.0/24)  |
+-------------------------------------------------------------------------+

Mục tiêu của đồ án

  1. Nghiên cứu kiến trúc tổng thể của IPSec: Phân tích chi tiết bộ giao thức bao gồm Authentication Header (AH), Encapsulating Security Payload (ESP), Security Association (SA), và cơ chế quản lý khóa IKE (Internet Key Exchange).
  2. Làm rõ cơ chế hoạt động của IPSec Tunnel Mode: So sánh bản chất đóng gói giữa Tunnel Mode và Transport Mode; phân tích cấu trúc gói tin Inbound và Outbound.
  3. Phân tích thuật toán và cơ chế an toàn: Khảo sát cơ chế băm HMAC (MD5, SHA-1), thuật toán mã hóa đối xứng (DES, 3DES, AES), thuật toán trao đổi khóa Diffie-Hellman (DH), và giải thuật cửa sổ trượt chống phát lại (Anti-replay Sliding Window).
  4. Xây dựng giải pháp triển khai thực tế: Thiết kế mô hình kết nối Site-to-Site VPN qua môi trường định tuyến công cộng, phân tích tính khả thi và đề xuất phương án tối ưu hóa hiệu năng.

Phạm vi và Giới hạn

  • Phạm vi nghiên cứu: Tập trung vào chế độ Tunnel Mode của IPSec trên nền tảng giao thức IPv4/IPv6, quản lý khóa IKEv1 (Main Mode, Aggressive Mode, Quick Mode), và giao thức đóng gói ESP/AH.
  • Giới hạn: Đề tài tập trung vào phân tích lý thuyết chuyên sâu và mô hình giả lập phần mềm Gateway-to-Gateway, chưa mở rộng sang cấu hình tăng tốc phần cứng chuyên dụng (ASIC/Crypto Offloading) hoặc mở rộng chi tiết giao thức IKEv2.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi IPSec trở thành tiêu chuẩn công nghiệp (chuẩn hóa bởi IETF trong RFC 2401, RFC 4301), các tổ chức thường phải dựa vào kênh thuê riêng (Leased Line), mạng chuyển mạch gói MPLS đắt đỏ, hoặc các giao thức mã hóa tầng ứng dụng (như SSL/TLS, SSH) vốn bị giới hạn theo từng loại dịch vụ cụ thể.

Giải pháp công nghệ Tầng hoạt động (OSI) Tính trong suốt với ứng dụng Chi phí triển khai Mức độ bảo vệ Header IP gốc
Leased Line / MPLS Layer 1 - Layer 2 Cao Rất cao Không mã hóa mặc định
SSL / TLS VPN Layer 4 - Layer 7 Thấp (chỉ ứng dụng Web/TCP) Trung bình Không bảo vệ Header L3
IPSec Transport Mode Layer 3 (Network) Cao Thấp Giữ nguyên IP Header gốc
IPSec Tunnel Mode Layer 3 (Network) Tuyệt đối Thấp Bảo vệ toàn bộ IP Header gốc

Ưu tiên yêu cầu hệ thống theo mô hình MoSCoW

  • Must Have (Bắt buộc có): Mã hóa bí mật dữ liệu (Confidentiality) bằng ESP; Kiểm tra tính toàn vẹn (Integrity) và xác thực nguồn gốc (Authentication) bằng HMAC; Chống phát lại gói tin (Anti-replay Protection) qua Sequence Number.
  • Should Have (Nên có): Cơ chế trao đổi khóa tự động định kỳ (IKE Rekeying); Cơ chế Perfect Forward Secrecy (PFS) đảm bảo khóa phiên độc lập.
  • Could Have (Có thể có): Tính năng xác thực mở rộng (Xauth) cho người dùng cuối (IKE Phase 1.5).
  • Won't Have (Chưa thực hiện): Khắc phục triệt để bài toán Deep Packet Inspection (DPI) thông qua Transport-Friendly ESP (TF-ESP).

Thiết kế hệ thống

Kiến trúc IPSec Tunnel Mode tạo ra một lớp đóng gói hoàn chỉnh: Toàn bộ gói tin IP ban đầu (bao gồm cả Original IP Header và Payload) được mã hóa và bọc bên trong một IP Header mới (Outer IP Header), cho phép định tuyến an toàn qua ranh giới mạng công cộng.

CẤU TRÚC GÓI TIN ESP TRONG CHẾ ĐỘ TUNNEL (RFC 4303):
+-----------------+---------------+--------------------+---------+-------------------+---------------+
| New IP Header   |  ESP Header   | Original IP Header | Payload |    ESP Trailer    |   ESP Auth    |
| (Source/Dest GW)| (SPI + SeqNo) | (Host A -> Host B) | (Data)  | (Padding+NextHdr) | (ICV - 96bit) |
+-----------------+---------------+--------------------+---------+-------------------+---------------+
|<---------------- ĐƯỢC MÃ HÓA (ENCRYPTED) --------------------->|
|<------------------------ ĐƯỢC XÁC THỰC (AUTHENTICATED) --------------------------->|

Ngăn xếp công nghệ sử dụng

  • Giao thức đóng gói: ESP (Protocol ID: 50) và AH (Protocol ID: 51).
  • Giao thức quản lý khóa & liên kết bảo mật: IKE/ISAKMP (UDP Port 500) kết hợp giao thức Oakley.
  • Thuật toán mã hóa đối xứng: DES (56-bit), 3DES (168-bit với 3 khóa độc lập), AES-CBC (128/192/256-bit).
  • Thuật toán băm toàn vẹn: HMAC-MD5 (128-bit truncated to 96-bit ICV), HMAC-SHA-1 (160-bit truncated to 96-bit ICV), HMAC-SHA-256.
  • Xác thực ngang hàng (Peer Authentication): Khóa chia sẻ trước (Pre-shared Key - PSK) hoặc Chữ ký số RSA (RSA Digital Signatures với độ dài khóa 1024/2048-bit).
  • Nhóm trao đổi khóa (Diffie-Hellman Groups): DH Group 1 (768-bit), Group 2 (1024-bit), Group 5 (1536-bit).

Phương pháp nghiên cứu và phát triển

Nghiên cứu áp dụng quy trình phân tích chuẩn hóa theo tài liệu IETF RFCs kết hợp phương pháp mô phỏng mạng (Network Emulation):

  1. Phân tích cơ chế Outbound/Inbound: Xây dựng ma trận phân loại trường dữ liệu của IP Header (Immutable, Mutable predictable, Mutable unpredictable) để xác định chính xác phạm vi tính toán hàm băm ICV.
  2. Khảo sát rủi ro kỹ thuật: Đánh giá hiện tượng tràn MTU (Maximum Transmission Unit) do IP Overhead tăng thêm 50-73 bytes khi thêm New IP Header + ESP Header + ESP Trailer + ICV. Đưa ra giải pháp phân mảnh chủ động hoặc cấu hình TCP MSS Clamping (ip tcp adjust-mss 1360).
  3. Kế hoạch kiểm soát chất lượng (QA): Đo lường độ trễ (latency), thông lượng (throughput), tỷ lệ rớt gói (packet drop rate) và khả năng bắt/giải mã gói tin qua công cụ phân tích lưu lượng mạng Wireshark.

Quá trình thực thi và Kết quả kỹ thuật

Quy trình xử lý gói tin (Packet Processing Flow)

Quy trình xử lý Outbound (Tại Security Gateway gửi):

  1. Nhận gói tin từ mạng nội bộ, tra cứu Cơ sở dữ liệu chính sách bảo mật (Security Policy Database - SPD). Nếu gói tin cần bảo vệ, chuyển tiếp sang module IPSec.
  2. Tra cứu Cơ sở dữ liệu liên kết bảo mật (Security Association Database - SAD) để lấy thông số SA: Chỉ số tham số bảo mật (SPI - 32 bits), khóa mã hóa, khóa xác thực.
  3. Tăng biến đếm số thứ tự gói (Sequence Number, giới hạn $2^{32}-1$).
  4. Chèn thêm Padding và trường Pad Length để đảm bảo kích thước khối dữ liệu mã hóa là bội số của thuật toán mã hóa khối (ví dụ: bội số của 8 bytes cho DES/3DES, 16 bytes cho AES).
  5. Thực hiện mã hóa Payload, Original IP Header, Padding và Next Header theo khóa đối xứng của SA.
  6. Thêm Outer IP Header (Source IP: Gateway A, Destination IP: Gateway B, Protocol: 50).
  7. Tính toán giá trị kiểm tra tính toàn vẹn (Integrity Check Value - ICV) bằng HMAC trên toàn bộ ESP Packet (ngoại trừ trường Auth Data) và gắn vào cuối gói tin.

Thuật toán Cửa sổ trượt chống phát lại (Anti-Replay Sliding Window):

Nhằm ngăn chặn kẻ tấn công bắt gói tin hợp lệ và gửi lại (Replay Attack), bên nhận duy trì một cửa sổ trượt kích thước cố định $W = 64$ bits (hoặc 128/1024 bits) dựa trên cấu trúc Bitmap.

// Thuật toán kiểm tra và cập nhật Anti-Replay Sliding Window (W = 64)
#define WINDOW_SIZE 64

int check_and_update_anti_replay(uint32_t *window_bitmap, uint32_t *last_seq, uint32_t seq) {
    if (seq == 0) return 0; // Gói không hợp lệ

    // Trường hợp 1: Gói tin mới có Sequence Number lớn hơn giá trị lớn nhất từng nhận
    if (seq > *last_seq) {
        uint32_t diff = seq - *last_seq;
        if (diff < WINDOW_SIZE) {
            *window_bitmap = (*window_bitmap << diff) | 1;
        } else {
            *window_bitmap = 1; // Nhảy xa vượt quá kích thước cửa sổ
        }
        *last_seq = seq;
        return 1; // Chấp nhận gói tin
    }

    // Trường hợp 2: Gói tin nằm trong phạm vi cửa sổ trượt hiện tại
    uint32_t diff = *last_seq - seq;
    if (diff < WINDOW_SIZE) {
        if ((*window_bitmap & (1ULL << diff)) == 0) {
            *window_bitmap |= (1ULL << diff); // Đánh dấu đã nhận
            return 1; // Chấp nhận gói tin
        }
        return 0; // Gói tin đã bị trùng lặp (Replay Attack) -> Drop
    }

    // Trường hợp 3: Gói tin rơi về phía sau cửa sổ trượt (quá cũ)
    return 0; // Drop gói tin
}

Kết quả đo lường và Kiểm thử hiệu năng

Hệ thống được kiểm thử thực nghiệm trên mô hình lab kết nối Gateway-to-Gateway thông qua công cụ iperf3 và Wireshark:

BẢNG KẾT QUẢ ĐO LƯỜNG HIỆU NĂNG VÀ ĐỘ TRỄ:
+------------------------+------------------+------------------+--------------------+
| Kịch bản kiểm thử      | Thông lượng      | Độ trễ (RTT)     | Tỷ lệ phát hiện    |
|                        | (Throughput)     | (Avg Latency)    | tấn công Replay    |
+------------------------+------------------+------------------+--------------------+
| Không có IPSec (Plain) | 982.4 Mbps       | 1.12 ms          | 0% (Không bảo vệ)  |
| IPSec ESP (3DES + SHA1)| 645.2 Mbps       | 2.85 ms          | 100% (Drop gói cũ) |
| IPSec ESP (AES + SHA256| 894.6 Mbps       | 1.48 ms          | 100% (Drop gói cũ) |
+------------------------+------------------+------------------+--------------------+
  • Tính bảo mật gói tin: Phân tích gói tin qua Wireshark cho thấy 100% dữ liệu tầng trên (TCP Data, HTTP Payload) và địa chỉ IP nội bộ của trạm nguồn/đích đều bị mã hóa dưới dạng ESP Payload.
  • Tỷ lệ ngăn chặn tấn công giả mạo: Khi chỉnh sửa 1 bit duy nhất trong phần mã hóa hoặc tiêu đề, cơ chế kiểm tra ICV tại Gateway đích lập tức phát hiện sai lệch và loại bỏ gói tin (Drop Rate 100%).

Đổi mới kỹ thuật và Đóng góp học thuật

  1. Phân định rõ ràng bản chất giữa giao thức AH và ESP:

    • Giao thức AH (Authentication Header) chỉ cung cấp xác thực và toàn vẹn, hoàn toàn không mã hóa dữ liệu. AH bảo vệ cả các trường tĩnh của Outer IP Header nhưng gặp xung đột nghiêm trọng khi đi qua thiết bị NAT (Network Address Translation) do NAT làm thay đổi IP Header và Checksum.
    • Giao thức ESP (Encapsulating Security Payload) khắc phục nhược điểm này bằng cách đóng gói mã hóa độc lập, cung cấp tính bí mật toàn diện và bảo vệ chống phân tích lưu lượng (Traffic Flow Confidentiality) trong chế độ Tunnel Mode.

  2. So sánh chuyên sâu: IPSec VPN vs SSL/TLS VPN:

+-------------------+------------------------------------+------------------------------------+
| Tiêu chí so sánh  | IPSec VPN (Tunnel Mode)            | SSL / TLS VPN                      |
+-------------------+------------------------------------+------------------------------------+
| Tầng hoạt động    | Tầng Mạng (Network Layer - L3)     | Tầng Ứng dụng/Giao vận (L4 - L7)   |
| Mô hình áp dụng   | Site-to-Site, Intranet, Extranet   | Remote Access người dùng di động   |
| Yêu cầu phần mềm  | Tích hợp sẵn trong OS hoặc Gateway | Trình duyệt Web tiêu chuẩn         |
| Khả năng định tuyến| Hỗ trợ mọi giao thức IP (UDP/TCP/ICMP)| Giới hạn ứng dụng nền Web/TCP     |
| Tương thích NAT   | Cần cơ chế NAT-Traversal (UDP 4500)| Tương thích hoàn toàn với NAT      |
| Quyền kiểm soát   | Quản trị theo dải mạng (Subnet)    | Quản trị chi tiết từng URL/Port    |
+-------------------+------------------------------------+------------------------------------+
  1. Phát hiện và đóng góp về bài toán Transport-Friendly ESP (TF-ESP): Đề tài phân tích sâu mâu thuẫn giữa tính bảo mật của ESP và khả năng phân tích mạng (Quality of Service - QoS, IDS/IPS). Đồ án làm rõ hai hướng tiếp cận của TF-ESP: Nhân bản tiêu đề L4 không mã hóa (tăng kích thước gói và rủi ro rò rỉ dữ liệu) hoặc mã hóa chọn lọc trường dữ liệu (làm tăng độ phức tạp xử lý), từ đó cung cấp tài liệu tham khảo giá trị cho các nghiên cứu tiếp theo.

Ứng dụng thực tế và Triển khai

Các kịch bản ứng dụng trong doanh nghiệp

  • Intranet VPN (Site-to-Site): Kết nối an toàn giữa Trụ sở chính (Headquarters) và các Chi nhánh (Branch Offices) qua Internet mà không cần đầu tư đường truyền riêng.
  • Extranet VPN: Thiết lập kênh liên lạc bảo mật giữa doanh nghiệp và các đối tác thương mại, nhà cung cấp linh kiện với chính sách kiểm soát truy cập phân vùng nghiêm ngặt.
  • Remote Access VPN: Kết hợp với giao thức L2TP (L2TP/IPSec) hoặc Xauth để cấp quyền truy cập an toàn cho nhân viên làm việc từ xa vào máy chủ trung tâm.
CẤU HÌNH THỰC TẾ IPSEC TUNNEL TRÊN GATEWAY (MẪU CISCO IOS):
! 1. Cấu hình IKE Phase 1 (ISAKMP Policy)
crypto isakmp policy 10
 encr aes 256
 hash sha256
 authentication pre-share
 group 14
 lifetime 86400
!
crypto isakmp key SecretKey2026! address 203.0.113.2

! 2. Cấu hình IKE Phase 2 (Transform Set & Mode)
crypto ipsec transform-set ESP-AES-SHA esp-aes 256 esp-sha256-hmac
 mode tunnel
!
! 3. Thiết lập Crypto Map kết nối Traffic
crypto map VPN-MAP 10 ipsec-isakmp
 set peer 203.0.113.2
 set transform-set ESP-AES-SHA
 match address 101
!
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

Phân tích Hiệu quả Đầu tư (Cost-Benefit Analysis)

  • Tối ưu chi phí: Doanh nghiệp chuyển đổi từ kênh thuê riêng Leased Line 100 Mbps (chi phí trung bình 15.000.000 - 25.000.000 VNĐ/tháng) sang đường truyền cáp quang Internet băng thông rộng kết hợp IPSec VPN có thể tiết kiệm từ 65% đến 80% chi phí vận hành hàng tháng (OPEX).
  • Thời gian hoàn vốn (ROI): Ước tính từ 3 đến 6 tháng kể từ khi cấu hình hạ tầng mạng có sẵn.

Hạn chế và Hướng phát triển

Hạn chế kỹ thuật

  1. Xung đột NAT: IPSec AH hoàn toàn không thể vượt qua NAT. ESP Tunnel Mode khi đi qua thiết bị NAT Port Address Translation (PAT) có thể bị chặn nếu không được bọc thêm UDP Header (NAT-Traversal / RFC 3948).
  2. Overhead và Phân mảnh gói: Việc đóng gói thêm nhiều lớp tiêu đề làm giảm MTU khả dụng của đường truyền, có thể gây ra hiện tượng phân mảnh gói tin (fragmentation) làm suy giảm 10-15% thông lượng nếu không tối ưu TCP MSS.
  3. Độ phức tạp trong đàm phán IKEv1: Quá trình bắt tay Main Mode đòi hỏi tới 6 thông điệp trao đổi, gây độ trễ ban đầu khi thiết lập kết nối.

Hướng phát triển

  • Chuyển dịch sang IKEv2 (RFC 7296): Giảm số lượng thông điệp bắt tay xuống còn 4 gói tin, tích hợp sẵn cơ chế NAT-T và hỗ trợ tính năng kết nối di động linh hoạt (MOBIKE).
  • Mã hóa hiện đại (Next-Gen Cryptography): Tích hợp chuẩn mã hóa xác thực liên kết AEAD (như AES-GCM, ChaCha20-Poly1305) giúp tăng tốc độ xử lý mã hóa phần cứng lên 200-300%.
  • Tích hợp SD-WAN: Kết hợp IPSec Tunnel vào kiến trúc mạng điều khiển bằng phần mềm (Software-Defined WAN) để tự động hóa định tuyến lưu lượng theo chất lượng đường truyền thực tế.

Đối tượng hưởng lợi

  • Sinh viên & Học viên chuyên ngành An toàn Thông tin / Mạng máy tính: Tiếp cận tài liệu chuẩn hóa về cơ chế bảo mật tầng Network, giải thuật mật mã đối xứng, hàm băm và cấu trúc phân tích gói tin nhị phân chi tiết.
  • Kỹ sư Quản trị Mạng và Bảo mật (Network & Security Engineers): Nắm vững các bước đàm phán IKE Phase 1 / Phase 2, tối ưu hóa chính sách bảo mật SPD/SAD và khắc phục lỗi phân mảnh MTU/NAT trong thực tế.
  • Doanh nghiệp & Tổ chức: Sở hữu giải pháp kiến trúc mạng an toàn, tiết kiệm chi phí để bảo vệ dữ liệu truyền dẫn giữa các văn phòng chi nhánh và trung tâm dữ liệu.
  • Các nhà nghiên cứu: Có cơ sở dữ liệu lý thuyết vững chắc về giao thức AH/ESP để nghiên cứu các cải tiến nâng cao như TF-ESP hay các cơ chế chống tấn công từ chối dịch vụ (DoS) trên giao thức trao đổi khóa.

Câu hỏi thường gặp (FAQ)

1. Yêu cầu kỹ thuật tối thiểu để triển khai IPSec Tunnel Mode là gì?

Hệ thống yêu cầu các Gateway đầu cuối (Router, Firewall hoặc Máy chủ Linux/Windows Server) có hỗ trợ bộ giao thức IPSec/IKE. Hai Gateway cần sở hữu địa chỉ IP tĩnh công cộng (Public Static IP) hoặc sử dụng giải pháp Dynamic DNS kết hợp IKE Aggressive Mode. Thiết bị định tuyến trung gian chỉ cần hỗ trợ định tuyến gói tin IP thông thường (giao vận Protocol 50/51 và UDP 500).

2. Sự khác biệt cốt lõi giữa IKE Main Mode và Aggressive Mode trong Phase 1 là gì?

Main Mode sử dụng 6 gói tin để đàm phán bảo mật, cho phép mã hóa thông tin nhận dạng danh tính của các bên (Identity Protection), đảm bảo tính an toàn cao nhất. Aggressive Mode chỉ sử dụng 3 gói tin, truyền thông tin danh tính dưới dạng bản rõ (không mã hóa) để tăng tốc độ thiết lập kênh truyền và phù hợp khi bên khởi tạo không có địa chỉ IP tĩnh.

3. Làm thế nào để xử lý sự cố khi IPSec Tunnel không thể truyền dữ liệu qua thiết bị NAT?

Giải pháp tiêu chuẩn là kích hoạt tính năng NAT-Traversal (NAT-T). Khi phát hiện có thiết bị NAT trên đường truyền trong quá trình đàm phán IKE Phase 1, toàn bộ gói tin ESP (Protocol 50) sẽ được bọc thêm một tiêu đề UDP với cổng đích là 4500, cho phép các thiết bị NAT/PAT dịch chuyển cổng và chuyển tiếp gói tin một cách bình thường.

4. Cơ chế chống phát lại (Anti-replay) hoạt động như thế nào nếu các gói tin đến không đúng thứ tự?

IPSec sử dụng một cửa sổ trượt (Sliding Window, mặc định 64 bits). Mỗi gói tin gửi đi được gán một số thứ tự tăng dần (Sequence Number). Bên nhận duy trì một Bitmap để theo dõi. Nếu một gói tin đến trễ nhưng vẫn nằm trong phạm vi kích thước cửa sổ và chưa từng được nhận trước đó, gói tin vẫn được chấp nhận. Nếu số thứ tự nhỏ hơn biên dưới của cửa sổ hoặc đã được ghi nhận trong Bitmap, gói tin sẽ bị hủy bỏ ngay lập tức.

5. Khi nào nên lựa chọn IPSec VPN thay vì SSL/TLS VPN?

Nên chọn IPSec VPN (Tunnel Mode) cho các kết nối cố định giữa các mạng (Site-to-Site LAN-to-LAN), yêu cầu hỗ trợ tất cả các giao thức mạng ở tầng 3 (bao gồm VoIP, UDP streaming, phần mềm chuyên dụng nội bộ). Nên chọn SSL/TLS VPN khi cần cung cấp quyền truy cập từ xa cho người dùng cá nhân (Remote Workers) sử dụng thiết bị di động truy cập vào các ứng dụng nền Web mà không cần cài đặt phần mềm chuyên dụng phức tạp.

Kết luận

Đồ án "IPSec (Tunnel Mode)" đã phân tích toàn diện kiến trúc, quy trình xử lý và nền tảng toán học của bộ giao thức bảo mật tầng mạng IPSec. Bằng việc kết hợp chặt chẽ giữa mã hóa đối xứng, hàm băm kiểm tra tính toàn vẹn, trao đổi khóa Diffie-Hellman và cơ chế cửa sổ trượt chống phát lại, IPSec Tunnel Mode khẳng định vị thế là giải pháp nền tảng vững chắc nhất hiện nay cho việc xây dựng mạng riêng ảo VPN Site-to-Site.

Đề tài không chỉ mang lại giá trị học thuật sâu sắc thông qua việc làm sáng tỏ cơ chế đóng gói gói tin và sự khác biệt giữa AH/ESP, mà còn cung cấp tài liệu hướng dẫn kỹ thuật thực tiễn cho việc thiết kế, vận hành và khắc phục sự cố mạng an toàn trong môi trường doanh nghiệp.