Hiểu về Network Security Key trên Cisco Access Point / Router
1. Network Security Key trên Cisco là gì?
- Là mật khẩu Wi-Fi (WPA2-PSK / WPA3-SAE) dùng để xác thực client kết nối SSID
- Cisco gọi là: Pre-Shared Key (PSK), Passphrase, WPA Key, Wireless Password
- Khác với: Enable Secret / Username Privilege 15 (đăng nhập CLI/SSH quản trị AP)
2. Tìm khóa bảo mật trên Cisco AP / Router
A. Thiết bị mới (Mặc định)
- Tem dán mặt sau/đáy: Serial Number (SN), MAC Address, Default SSID, Default PSK/Passphrase
- Một số model in: PIN (8 chữ số) cho WPS
B. Đã cấu hình - Truy cập CLI (Console/SSH)
enable
show running-config | section dot11
show running-config | include wpakey
show running-config ssid "TÊN_SSID"Tìm dòng: authentication open / authentication key-management wpa version 2 / wpa-psk ascii 7 MAT_KHAU_MA_HOA hoặc wpa-psk ascii 0 MAT_KHAU_RO
Lưu ý: "7" = type 7 weak encryption (reversible), "0" = plaintext. Dùng key config-key password-encrypt + password encryption aes để mã hóa mạnh.
C. Cisco Wireless LAN Controller (WLC) - Quản trị tập trung
- Đăng nhập WLC GUI:
https:// - Vào WLANs → ID của WLAN → Security → Layer 2
- Xem: Layer 2 Security: WPA+WPA2, WPA2 Policy: PSK (ASCII/HEX)
- Mật khẩu PSK hiển thị ở mục PSK Format / Passphrase
D. Cisco Meraki (Cloud Managed)
- Đăng nhập dashboard.meraki.com
- Chọn Network → Wireless → Configure → Access control
- Xem/đổi: PSK / Passphrase cho từng SSID
3. Bảo mật AP (Access Point) - Best Practices
- Đổi mật khẩu Admin mặc định ngay lập tức (enable secret mạnh, username privilege 15)
- Tắt dịch vụ không dùng:
no ip http server,no ip http secure-server(nếu không dùng web GUI),no cdp run,no lldp run - Mã hóa quản trị:
ip ssh version 2,transport input ssh(line vty),ip http secure-server(HTTPS) - Wi-Fi Security: WPA2-AES (CCMP) tối thiểu, khuyến nghị WPA3 (SAE). KHÔNG WEP, WPA-TKIP, WPS
- 802.1X (Enterprise) cho nhân viên: RADIUS (ISE, NPS, FreeRADIUS) + Certificates (EAP-TLS) hoặc PEAP-MSCHAPv2
- Management Frame Protection (802.11w / PMF): Bắt buộc WPA3, tùy chọn WPA2 - chống deauth attack
- Rogue AP Detection / Containment: Bật trên WLC/Meraki
- Client Isolation / AP Isolation: Chặn client nói chuyện trực tiếp (cho Guest)
- VLAN Segmentation: Mỗi SSID = 1 VLAN (Corporate, Guest, IoT, Voice) + ACL/Firewall giữa VLAN
- Firmware Update: Định kỳ, kiểm tra Cisco Security Advisories
- SNMPv3 only:
snmp-server user ... v3 auth sha priv aes - Logging & Monitoring: Syslog server, SNMP traps, Cisco DNA Center / Meraki Dashboard alerts
4. AP Mode (Chế độ Access Point) là gì?
- Chuyển router thành AP thuần túy: Tắt DHCP, NAT, Firewall, Routing → chỉ phát Wi-Fi, bridge lên router chính
- Dùng khi: Mở rộng Wi-Fi, router chính đã xử lý routing/firewall
- Cisco:
no ip routing, bridge-group, hoặc mode lightweight (CAPWAP) join WLC
5. Wireless AP có an toàn không?
Rủi ro: Bao phủ sóng radio → ai trong tầm cũng có thể nghe, tấn công (deauth, evil twin, KRACK, PMKID).
Giảm thiểu: WPA3/802.1X, PMF, MACsec (802.1AE) cho backhaul, Rogue detection, NAC, Segmentation, Monitoring.