Giao thức Lớp 2 & 3 - Truy vết MAC, IP và MAC Spoofing

Wed, 20 May 2026 08:30:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Mạng (Network Anatomy) & Packet Analysis! Ở bài trước, chúng ta đã ngắm nhìn toàn cảnh “bản đồ kho báu” OSI và biết cách đặt một gói tin lên bàn mổ Wireshark. Hôm nay, chúng ta sẽ bắt đầu chuyến thám hiểm thực sự vào thế giới của Tầng 2 (Data Link) và Tầng 3 (Network). Đây là nơi giải quyết câu hỏi cốt lõi nhất của Internet: “Làm sao thiết bị A có thể tìm và gửi dữ liệu chính xác cho thiết bị B giữa hàng tỷ thiết bị trên toàn cầu?”

1. Tầng 3 (Network): Bản đồ Thế giới và Địa chỉ IP

Nếu muốn gửi một bức thư xuyên quốc gia, bạn cần một địa chỉ nhà chính xác. Trong thế giới mạng, Tầng 3 (Network Layer) chịu trách nhiệm định tuyến đường đi tốt nhất trên môi trường Internet bằng cách sử dụng Địa chỉ IP (Internet Protocol).

Tính chất: Địa chỉ IP là địa chỉ logic, được điều khiển bởi phần mềm và có thể thay đổi tùy thuộc vào mạng bạn đang kết nối.
Đóng gói: Dữ liệu khi đi qua Tầng 3 sẽ được dán thêm một lớp IP Header để tạo thành một Packet (Gói tin). Lớp vỏ này chứa IP Nguồn (Source IP) và IP Đích (Destination IP).
Chẩn đoán lỗi: Tầng 3 còn quản lý ICMP (Internet Control Message Protocol), giao thức đứng đằng sau lệnh ping quen thuộc.

Đứng ở góc nhìn bảo mật, ICMP không chỉ dùng để ping mạng, mà còn là cách Tường lửa (Firewall) giao tiếp trả về thông báo. Khi Firewall chặn một kết nối bằng lệnh REJECT, hệ thống sẽ trả về một gói tin ICMP với thông điệp Destination unreachable (Host unreachable).

2. Tầng 2 (Data Link): Căn cước công dân và Địa chỉ MAC

Nếu Tầng 3 (IP) là địa chỉ nhà giúp gói tin bay xuyên lục địa, thì Tầng 2 (Data Link Layer) chịu trách nhiệm tìm đúng cánh cửa để gõ khi gói tin đã về đến mạng nội bộ (mạng LAN).

Đơn vị dữ liệu: Tầng 2 sẽ bọc Packet của Tầng 3 lại thành một Frame (Khung).
Địa chỉ MAC: Giao thức chính ở đây là Ethernet II, sử dụng Địa chỉ MAC (Media Access Control).

MAC giống như cái “Căn cước công dân” vật lý, một mã số duy nhất gồm 48-bit, ví dụ 40:8D:5C:9B:A6:67, được nhà sản xuất nạp cứng vào card mạng (NIC) của bạn.

Tại sao đã có IP mà vẫn cần MAC? Trong một mạng LAN, các thiết bị trung tâm như Switch không hề nhìn vào địa chỉ IP. Chúng chỉ đọc địa chỉ MAC trên Frame để biết chính xác phải đẩy xung điện dữ liệu vào cổng (Port) vật lý nào để tới đúng máy tính của bạn chứ không phải máy của anh hàng xóm.

3. Cầu nối sinh tử: Giao thức phân giải địa chỉ (ARP)

Đây là lúc rắc rối xảy ra: máy tính của bạn biết IP của máy đích (Tầng 3), nhưng card mạng lại bắt buộc phải có địa chỉ MAC (Tầng 2) để truyền Frame đi. Làm sao để biết được MAC của một IP lạ? Giải pháp chính là ARP (Address Resolution Protocol).

Quá trình “hỏi đường” ARP diễn ra như sau, hãy tưởng tượng mạng LAN là một căn phòng đông người:

ARP Request (Hỏi): Máy của bạn “hét” lên toàn mạng (Broadcast) một thông điệp: “Ai là chủ nhân của địa chỉ IP 192.168.1.1? Hãy cho tôi biết địa chỉ MAC của bạn!”.
ARP Reply (Trả lời): Chỉ duy nhất thiết bị đang giữ IP đó mới lên tiếng đáp lại (Unicast): “Là tôi đây! Địa chỉ MAC của tôi là AA:BB:CC:DD:EE:FF”.
ARP Cache (Ghi nhớ): Sau khi nhận câu trả lời, máy của bạn sẽ lưu cặp IP - MAC này vào Bảng ARP (ARP Table) để lần sau không phải hét lên hỏi nữa.

Ghi chú: Chèn ảnh chụp màn hình Wireshark bắt gói tin ARP Request (Who has...) và ARP Reply (is at...) tại đây.

4. Góc nhìn Kẻ tấn công: Thực chiến MAC Spoofing

Địa chỉ MAC được nạp cứng vào phần cứng, nghe có vẻ rất an toàn đúng không? Sai lầm! Địa chỉ MAC hoàn toàn có thể bị giả mạo bằng phần mềm ở cấp độ hệ điều hành. Kỹ thuật này gọi là MAC Spoofing (Giả mạo MAC).

Tại sao hacker lại làm vậy? Nhiều hệ thống an ninh mạng, như hệ thống Wi-Fi ở khách sạn, công ty hay luật Firewall tĩnh, sử dụng tính năng lọc địa chỉ MAC (MAC Filtering) để quyết định ai được phép vào mạng. Bằng cách giả mạo MAC của một thiết bị hợp lệ như máy của sếp hoặc máy in, hacker có thể đàng hoàng vượt rào.

Dưới đây là cách thay đổi địa chỉ MAC trên máy Linux trong môi trường lab:

# Kiểm tra danh sách card mạng hiện tại
ip link show

# Tắt card mạng muốn thay đổi, ví dụ wlp8s0
sudo ip link set dev wlp8s0 down

# Đổi địa chỉ MAC sang một MAC giả
sudo ip link set dev wlp8s0 address 00:ad:be:ef:13:40

# Bật lại card mạng
sudo ip link set dev wlp8s0 up

# Kiểm tra lại xem MAC đã được đổi thành công chưa
ip link show wlp8s0

Cảnh báo: Kỹ thuật MAC Spoofing cũng là tiền đề cho một đòn đánh nghiêm trọng hơn gọi là ARP Spoofing / ARP Poisoning (đầu độc bộ nhớ cache ARP). Kẻ tấn công sẽ liên tục gửi các gói tin ARP Reply giả mạo để lừa toàn bộ máy tính trong mạng rằng: “MAC của tôi chính là Router đây”. Từ đó, luồng truy cập Internet của nạn nhân có thể bị điều hướng qua máy của kẻ tấn công trong mô hình Man-in-the-Middle.

Kết thúc Bài 2, chúng ta đã hiểu được “sợi dây liên kết” giữa địa chỉ logic (IP) và địa chỉ vật lý (MAC), cùng cách thức hoạt động của ARP và ICMP. Tầng 2 và 3 chỉ có nhiệm vụ tìm đường và ném gói tin đi, chúng không hề quan tâm gói tin có đến nơi an toàn hay không. Trách nhiệm nặng nề đó sẽ được giao cho Tầng 4. Ở Bài 3, chúng ta sẽ bước vào “trái tim” của sự ổn định: giải phẫu giao thức TCP, thuật toán bắt tay 3 bước và đi tìm nguyên nhân gây ra các lỗi rớt mạng kinh điển. Các bạn đừng bỏ lỡ nhé!

Mac-Spoofing on Roduygo | Blog

Giao thức Lớp 2 & 3 - Truy vết MAC, IP và MAC Spoofing

1. Tầng 3 (Network): Bản đồ Thế giới và Địa chỉ IP

2. Tầng 2 (Data Link): Căn cước công dân và Địa chỉ MAC

3. Cầu nối sinh tử: Giao thức phân giải địa chỉ (ARP)

4. Góc nhìn Kẻ tấn công: Thực chiến MAC Spoofing