Osi-Layer3 on Roduygo | Blog

Vành đai Tường lửa (Firewall) & NAT

Thu, 21 May 2026 22:58:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Trong 10 bài viết trước, chúng ta đã lột tả mọi góc khuất của các giao thức mạng từ Tầng 1 đến Tầng 7 và phân tích cách hacker thao túng chúng. Giờ là lúc chúng ta chuyển từ thế bị động sang chủ động: Xây dựng các công sự bảo vệ. Hôm nay, chúng ta sẽ bắt đầu với lớp giáp kiên cố nhất của mọi hệ thống: Vành đai Tường lửa (Firewall) và cơ chế ẩn danh nội bộ (NAT).

1. Tường lửa (Firewall) là gì và Vị trí hoạt động

Firewall là một hệ thống bảo mật mạng đóng vai trò như một “màng lọc” khắc nghiệt, kiểm soát toàn bộ lưu lượng dữ liệu đi ra (Outbound) và đi vào (Inbound) giữa mạng nội bộ an toàn và môi trường Internet đầy rẫy hiểm nguy.

Dưới góc độ triển khai, Firewall được chia thành hai loại chính:

Network Firewall: Thường là thiết bị phần cứng hoặc máy chủ chuyên dụng đặt tại Gateway/Router để bảo vệ cả một mạng doanh nghiệp.
Host-based Firewall: Chạy trực tiếp trên từng hệ điều hành (như Windows Defender Firewall hoặc firewalld trên Linux) để bảo vệ duy nhất chiếc máy tính đó.

Để chặn đứng các mối đe dọa, Firewall có thể hoạt động ở nhiều tầng khác nhau trong mô hình OSI:

Layer 3 (Network): Lọc dựa trên địa chỉ IP Nguồn/Đích (ví dụ: Chặn IP 157.240.199.35 của Facebook).
Layer 4 (Transport): Lọc dựa trên giao thức TCP/UDP và số Cổng (ví dụ: Cấm cổng 22 SSH).
Layer 7 (Application): Lọc dựa trên nội dung thực tế của ứng dụng (ví dụ: Chặn các truy vấn DNS độc hại hoặc các HTTP GET mang mã SQL Injection).

2. Nguyên lý hoạt động: ACL, Packet Filtering và Stateful Inspection

Sức mạnh của Firewall nằm ở một danh sách các quy tắc được định nghĩa từ trước gọi là ACL (Access Control List). Khi một gói tin bay tới, Firewall sẽ áp dụng các cơ chế kiểm tra sau:

2.1 Lọc gói tin (Packet Filtering)

Firewall sẽ “soi” trực tiếp vào các lớp vỏ Header (Lớp 3 và Lớp 4) mà chúng ta đã phân tích trên Wireshark ở các bài trước. Nó kiểm tra xem địa chỉ IP và Port này có nằm trong danh sách đen (Blacklist) hay không.

2.2 Kiểm tra trạng thái (Stateful Inspection)

Những thế hệ Firewall thông minh không chỉ soi từng gói tin rời rạc, mà nó còn “nhớ” trạng thái của cả một cuộc hội thoại. Ví dụ: Nếu nó nhớ rằng máy tính của bạn vừa gửi một gói SYN ngỏ lời ra ngoài, nó sẽ tự động cho phép gói SYN-ACK phản hồi từ Server đi xuyên qua tường lửa để trở về máy bạn.

2.3 Phán quyết (Actions)

Sau khi đối chiếu ACL, Firewall sẽ đưa ra một trong ba phán quyết đối với gói tin:

Allow / Accept: Cho phép gói tin đi qua bình thường.
Deny / Drop: Tiêu hủy gói tin trong im lặng. Kẻ gửi sẽ không biết gói tin đi đâu, dẫn đến việc Wireshark liên tục báo lỗi TCP Retransmission do chờ mãi không thấy phản hồi.
Reject: Hủy gói tin nhưng lịch sự gửi lại một thông báo lỗi (thường là gói tin ICMP) báo cho kẻ gửi biết rằng “Cửa đã bị khóa”.

3. Thực chiến Firewall và Bắt bệnh trên Wireshark

Để minh họa sự khác biệt của phán quyết, chúng ta dùng firewalld trên Linux để chặn cổng 22 (SSH) bằng cơ chế REJECT và xem hệ thống phản ứng ra sao.

# Kiểm tra danh sách các luật (rules) đang hoạt động trên Firewall
sudo firewall-cmd --list-all

# Thêm một Rich Rule để từ chối mọi kết nối TCP vào cổng 22
sudo firewall-cmd --add-rich-rule='rule family="ipv4" port port="22" protocol="tcp" reject'

# Reload để Tường lửa áp dụng luật mới ngay lập tức
sudo firewall-cmd --reload

Lúc này, nếu có kẻ cố tình truy cập vào cổng 22 của máy bạn (192.168.1.29), Wireshark sẽ không hiện lỗi gửi lại (Retransmission) mà sẽ chộp được ngay một gói tin phản hồi chí mạng ở Lớp 3:

# Gói tin ICMP trả về khi Firewall áp dụng cơ chế REJECT
# Hệ thống trực tiếp đóng sập cửa và thông báo "Host unreachable"

No. Time Source Destination Protocol Info
5 2.204045407 192.168.1.29 192.168.1.29 ICMP Destination unreachable (Host unreachable)

Góc nhìn SOC: Thông điệp Destination unreachable (Host unreachable) của ICMP chính là cách Firewall “trả lời” kẻ tấn công. Trong thực tế, Blue Team thường ưu tiên dùng quy tắc DROP thay vì REJECT. Việc Drop (hủy trong im lặng) sẽ làm công cụ quét mạng (Scanner) của hacker bị treo và chậm đi đáng kể do phải đợi Timeout, đồng thời không cung cấp cho chúng bất kỳ manh mối nào về việc hệ thống có Firewall hay không.

4. NAT (Network Address Translation): Người hùng giấu mặt

Firewall chặn đứng các cuộc tấn công từ bên ngoài, nhưng còn một kỹ thuật khác giúp hệ thống nội bộ trở nên vô hình trên Internet: NAT. NAT hoạt động chủ yếu ở Tầng 3 và Tầng 4, với nhiệm vụ thay đổi địa chỉ IP trong gói tin khi nó đi qua Router.

Hãy xem quá trình gói tin đi từ máy tính của bạn (IP nội bộ 192.168.1.29) ra máy chủ Facebook (157.240.199.35):

Gói tin đi ra (Outbound): Máy bạn gửi gói tin từ địa chỉ 192.168.1.29:56375 tới 157.240.199.35:443.
Tại Router (Quá trình dịch): Router không thể đẩy dải IP 192.168.x.x ra Internet vì đây là dải địa chỉ Private không được định tuyến. NAT sẽ “xóa” IP nguồn này và thay bằng IP Public của công ty (ví dụ: 113.161.x.x). Đồng thời, nó ghi vào NAT Table một dòng: “Port 56375 của máy nội bộ .29 đang được gán cho kết nối Facebook”.
Gói tin đi về (Inbound): Facebook phản hồi lại địa chỉ Public 113.161.x.x:56375. Router nhận gói tin, dò lại NAT Table, thấy khớp Port nên tự động “dịch” ngược lại IP đích thành 192.168.1.29 và đẩy vào máy bạn.

Nhờ NAT, dù công ty bạn có hàng nghìn nhân viên, tất cả chỉ cần dùng chung một vài địa chỉ IP Public để lướt web. Hacker đứng ngoài Internet sẽ không thể nào biết được kiến trúc địa chỉ IP thực sự bên trong mạng nội bộ của bạn.

Việc triển khai vững chắc Firewall và NAT giúp che giấu và bảo vệ hạ tầng mạng của tổ chức khỏi 90% các cuộc rà quét tự động của tin tặc. Tuy nhiên, Firewall chỉ có thể soi được lớp vỏ Header, vậy nếu hacker nhét một tệp chứa mã độc vào bên trong một gói tin HTTP hợp lệ thì sao? Ở Bài 12 tiếp theo, chúng ta sẽ lắp đặt thêm “con mắt ma thuật” cho mạng lưới: Phân tích sự khác biệt giữa IDS (Giám sát thụ động) và IPS (Ngăn chặn chủ động) với công cụ Suricata. Đừng bỏ lỡ nhé!

Giao thức Lớp 2 & 3 - Truy vết MAC, IP và MAC Spoofing

Wed, 20 May 2026 08:30:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Mạng (Network Anatomy) & Packet Analysis! Ở bài trước, chúng ta đã ngắm nhìn toàn cảnh “bản đồ kho báu” OSI và biết cách đặt một gói tin lên bàn mổ Wireshark. Hôm nay, chúng ta sẽ bắt đầu chuyến thám hiểm thực sự vào thế giới của Tầng 2 (Data Link) và Tầng 3 (Network). Đây là nơi giải quyết câu hỏi cốt lõi nhất của Internet: “Làm sao thiết bị A có thể tìm và gửi dữ liệu chính xác cho thiết bị B giữa hàng tỷ thiết bị trên toàn cầu?”

1. Tầng 3 (Network): Bản đồ Thế giới và Địa chỉ IP

Nếu muốn gửi một bức thư xuyên quốc gia, bạn cần một địa chỉ nhà chính xác. Trong thế giới mạng, Tầng 3 (Network Layer) chịu trách nhiệm định tuyến đường đi tốt nhất trên môi trường Internet bằng cách sử dụng Địa chỉ IP (Internet Protocol).

Tính chất: Địa chỉ IP là địa chỉ logic, được điều khiển bởi phần mềm và có thể thay đổi tùy thuộc vào mạng bạn đang kết nối.
Đóng gói: Dữ liệu khi đi qua Tầng 3 sẽ được dán thêm một lớp IP Header để tạo thành một Packet (Gói tin). Lớp vỏ này chứa IP Nguồn (Source IP) và IP Đích (Destination IP).
Chẩn đoán lỗi: Tầng 3 còn quản lý ICMP (Internet Control Message Protocol), giao thức đứng đằng sau lệnh ping quen thuộc.

Đứng ở góc nhìn bảo mật, ICMP không chỉ dùng để ping mạng, mà còn là cách Tường lửa (Firewall) giao tiếp trả về thông báo. Khi Firewall chặn một kết nối bằng lệnh REJECT, hệ thống sẽ trả về một gói tin ICMP với thông điệp Destination unreachable (Host unreachable).

2. Tầng 2 (Data Link): Căn cước công dân và Địa chỉ MAC

Nếu Tầng 3 (IP) là địa chỉ nhà giúp gói tin bay xuyên lục địa, thì Tầng 2 (Data Link Layer) chịu trách nhiệm tìm đúng cánh cửa để gõ khi gói tin đã về đến mạng nội bộ (mạng LAN).

Đơn vị dữ liệu: Tầng 2 sẽ bọc Packet của Tầng 3 lại thành một Frame (Khung).
Địa chỉ MAC: Giao thức chính ở đây là Ethernet II, sử dụng Địa chỉ MAC (Media Access Control).

MAC giống như cái “Căn cước công dân” vật lý, một mã số duy nhất gồm 48-bit, ví dụ 40:8D:5C:9B:A6:67, được nhà sản xuất nạp cứng vào card mạng (NIC) của bạn.

Tại sao đã có IP mà vẫn cần MAC? Trong một mạng LAN, các thiết bị trung tâm như Switch không hề nhìn vào địa chỉ IP. Chúng chỉ đọc địa chỉ MAC trên Frame để biết chính xác phải đẩy xung điện dữ liệu vào cổng (Port) vật lý nào để tới đúng máy tính của bạn chứ không phải máy của anh hàng xóm.

3. Cầu nối sinh tử: Giao thức phân giải địa chỉ (ARP)

Đây là lúc rắc rối xảy ra: máy tính của bạn biết IP của máy đích (Tầng 3), nhưng card mạng lại bắt buộc phải có địa chỉ MAC (Tầng 2) để truyền Frame đi. Làm sao để biết được MAC của một IP lạ? Giải pháp chính là ARP (Address Resolution Protocol).

Quá trình “hỏi đường” ARP diễn ra như sau, hãy tưởng tượng mạng LAN là một căn phòng đông người:

ARP Request (Hỏi): Máy của bạn “hét” lên toàn mạng (Broadcast) một thông điệp: “Ai là chủ nhân của địa chỉ IP 192.168.1.1? Hãy cho tôi biết địa chỉ MAC của bạn!”.
ARP Reply (Trả lời): Chỉ duy nhất thiết bị đang giữ IP đó mới lên tiếng đáp lại (Unicast): “Là tôi đây! Địa chỉ MAC của tôi là AA:BB:CC:DD:EE:FF”.
ARP Cache (Ghi nhớ): Sau khi nhận câu trả lời, máy của bạn sẽ lưu cặp IP - MAC này vào Bảng ARP (ARP Table) để lần sau không phải hét lên hỏi nữa.

Ghi chú: Chèn ảnh chụp màn hình Wireshark bắt gói tin ARP Request (Who has...) và ARP Reply (is at...) tại đây.

4. Góc nhìn Kẻ tấn công: Thực chiến MAC Spoofing

Địa chỉ MAC được nạp cứng vào phần cứng, nghe có vẻ rất an toàn đúng không? Sai lầm! Địa chỉ MAC hoàn toàn có thể bị giả mạo bằng phần mềm ở cấp độ hệ điều hành. Kỹ thuật này gọi là MAC Spoofing (Giả mạo MAC).

Tại sao hacker lại làm vậy? Nhiều hệ thống an ninh mạng, như hệ thống Wi-Fi ở khách sạn, công ty hay luật Firewall tĩnh, sử dụng tính năng lọc địa chỉ MAC (MAC Filtering) để quyết định ai được phép vào mạng. Bằng cách giả mạo MAC của một thiết bị hợp lệ như máy của sếp hoặc máy in, hacker có thể đàng hoàng vượt rào.

Dưới đây là cách thay đổi địa chỉ MAC trên máy Linux trong môi trường lab:

# Kiểm tra danh sách card mạng hiện tại
ip link show

# Tắt card mạng muốn thay đổi, ví dụ wlp8s0
sudo ip link set dev wlp8s0 down

# Đổi địa chỉ MAC sang một MAC giả
sudo ip link set dev wlp8s0 address 00:ad:be:ef:13:40

# Bật lại card mạng
sudo ip link set dev wlp8s0 up

# Kiểm tra lại xem MAC đã được đổi thành công chưa
ip link show wlp8s0

Cảnh báo: Kỹ thuật MAC Spoofing cũng là tiền đề cho một đòn đánh nghiêm trọng hơn gọi là ARP Spoofing / ARP Poisoning (đầu độc bộ nhớ cache ARP). Kẻ tấn công sẽ liên tục gửi các gói tin ARP Reply giả mạo để lừa toàn bộ máy tính trong mạng rằng: “MAC của tôi chính là Router đây”. Từ đó, luồng truy cập Internet của nạn nhân có thể bị điều hướng qua máy của kẻ tấn công trong mô hình Man-in-the-Middle.

Kết thúc Bài 2, chúng ta đã hiểu được “sợi dây liên kết” giữa địa chỉ logic (IP) và địa chỉ vật lý (MAC), cùng cách thức hoạt động của ARP và ICMP. Tầng 2 và 3 chỉ có nhiệm vụ tìm đường và ném gói tin đi, chúng không hề quan tâm gói tin có đến nơi an toàn hay không. Trách nhiệm nặng nề đó sẽ được giao cho Tầng 4. Ở Bài 3, chúng ta sẽ bước vào “trái tim” của sự ổn định: giải phẫu giao thức TCP, thuật toán bắt tay 3 bước và đi tìm nguyên nhân gây ra các lỗi rớt mạng kinh điển. Các bạn đừng bỏ lỡ nhé!