Star Topology (Topo hình sao) trong mạng không dây
Mạng Star có một nút trung tâm (Hub/Access Point/Controller) kết nối trực tiếp với tất cả các nút cuối (Leaf nodes). Trong Wi-Fi: Access Point (AP) là trung tâm, các Station (Client) kết nối đến AP. Đây là topo mặc định của IEEE 802.11 Infrastructure Mode (Wi-Fi tiêu chuẩn).
Đặc điểm an ninh của Star Topology
| Ưu điểm an ninh | Nhược điểm/Rủi ro |
|---|
| Kiểm soát tập trung tại AP/Controller | Single Point of Failure (SPOF) - AP down → cả mạng down |
| Dễ triển khai NAC, 802.1X, RADIUS tại AP | Tấn công DoS/DDoS lên AP làm sập toàn bộ |
| Giám sát, log tập trung | Evil Twin Attack (Fake AP) lừa client kết nối |
Client Isolation (AP Isolation): Chặn client-to-client communication
Band Steering / Load Balancing: Phân tán client giữa 2.4/5/6GHz
Chuẩn an ninh Wi-Fi tốt nhất cho Star Network
- WPA3-Enterprise (SAE/192-bit): Tốt nhất - xác thực riêng biệt mỗi client (EAP-TLS, PEAP, EAP-TTLS), khóa phiên duy nhất (PMK/PTK), Forward Secrecy
- WPA2-Enterprise (802.1X/EAP): Tiêu chuẩn doanh nghiệp hiện tại - RADIUS backend, certificate-based auth
- WPA3-Personal (SAE): Cho SOHO/SMB - chống offline dictionary attack, không cần RADIUS
- WPA2-Personal (AES/CCMP): Chấp nhận được nếu chưa hỗ trợ WPA3 - bắt buộc tắt TKIP
Các biện pháp tăng cường an ninh cho Star Wi-Fi
| Biện pháp | Mô tả | Mức độ |
|---|
| WPA3 / WPA2-Enterprise | Mã hóa mạnh, xác thực mỗi client | Bắt buộc |
| 802.1X + RADIUS (FreeRADIUS, NPS, ISE, ClearPass) | Xác thực tập trung, VLAN động, ACL động | Enterprise |
| Client Isolation (AP Isolation) | Chặn layer 2 giữa các client | Khuyến nghị |
| WIDS/WIPS (Wireless IDS/IPS) | Phát hiện Rogue AP, Evil Twin, Deauth attack | Enterprise |
| MAC Filtering (bổ sung) | Chỉ cho phép MAC đã đăng ký (dễ spoof) | Bổ sung |
| Certificate-based Auth (EAP-TLS) | Không dùng password, an toàn nhất | High Security |
| Fast Roaming (802.11r/k/v) | Chuyển AP mượt mà, giữ session an ninh | Enterprise |
| OWE (Opportunistic Wireless Encryption) | Mã hóa cho mạng mở (Open Wi-Fi) | Guest/Public |
So sánh Star vs Mesh Topology về an ninh
| Tiêu chí | Star (Wi-Fi Infra) | Mesh (802.11s / Vendor Mesh) |
|---|
| Quản trị an ninh | Tập trung tại Controller/AP chính | Phân tán, phức tạp hơn |
|---|
| Key Hierarchy | PMK/PTK per client-AP | Mesh Peering Key + Client Keys |
|---|
| Single Point of Failure | Có (AP/Controller) | Không (Self-healing) |
|---|
| Phạm vi tấn công | Tập trung vào AP | Mọi node mesh đều là bề mặt tấn công |
|---|
| Phù hợp | Enterprise, Campus, SMB | Nhà lớn, Outdoor, Industrial IoT |
|---|
Khuyến nghị thực tế
- Doanh nghiệp: WPA2/WPA3-Enterprise + 802.1X (EAP-TLS/PEAP) + RADIUS (NPS/ISE/ClearPass) + WIDS/WIPS + Client Isolation
- SMB/SOHO: WPA3-Personal (SAE) hoặc WPA2/WPA3 Mixed + Guest Network tách biệt + Client Isolation
- IoT/OT: Mạng riêng (VLAN/SSID riêng) + PSK duy nhất cho từng nhóm thiết bị + MAC Filtering + Firewall rule chặn internet không cần thiết
- Công cụ quản trị: FortiAP + FortiGate (FortiLink), Cisco WLC + ISE, Aruba Central + ClearPass, Ubiquiti UniFi, Ruckus SmartZone
