Kết nối mạng Layer 2 là gì?
Layer 2 – Data Link Layer là lớp 2/7 trong mô hình OSI. Chịu trách nhiệm truyền khung (frame) giữa các node trong cùng mạng LAN/WAN. Địa chỉ: MAC address (cứng, 48-bit). Thiết bị: Switch, Bridge, NIC.
Tại sao bảo mật Layer 2 quan trọng?
Mặc định switch Layer 2 chuyển tiếp frame dựa trên MAC – không xác thực. Bất kỳ ai cắm dây network jack đều truy cập được mạng. Rủi ro: MAC Flooding, ARP Spoofing, VLAN Hopping, DHCP Snooping, STP Attack, Rogue DHCP/AP. Bảo mật Layer 2 đảm bảo các lớp trên (L3–L7) hoạt động độc lập, không bị can thiệp từ lớp dưới.
Giao thức Layer 2 phổ biến
- Ethernet (IEEE 802.3) – phổ biến nhất
- Wi-Fi (IEEE 802.11) – Layer 1+2
- PPP, HDLC – WAN serial
- Frame Relay, ATM (h cũ)
- FDDI, Token Ring (lịch sử)
- EAPS (Ethernet Automatic Protection Switching)
Bảo mật lớp mạng (Network Layer Security) là gì?
Bảo mật ở Layer 3 (IPsec, IP filtering) – bảo vệ luồng gói tin end-to-end mà không sửa ứng dụng. Ví dụ: IPsec VPN, SSL/TLS (Layer 4–7) chạy trên HTTP/FTP.
Bảo mật Layer 2 – Các biện pháp cốt lõi
| Cơ chế | Chức năng |
|---|---|
| Port Security | Giới hạn số MAC/port, sticky MAC, violation action (shutdown/restrict/protect) |
| DHCP Snooping | Chỉ cho DHCP server tin cậy phân phát IP, ngăn Rogue DHCP |
| Dynamic ARP Inspection (DAI) | Validate ARP packet chống ARP poisoning/spoofing |
| IP Source Guard | Chặn gói tin giả mạo IP source không khớp binding DHCP Snooping |
| 802.1X (Port-based NAC) | Xác thực thiết bị/user trước khi mở port (EAP/RADIUS) |
| VLAN Segmentation | Tách domain broadcast, hạn chế lateral movement |
| Private VLAN / Protected Ports | Cách ly port trong cùng VLAN (không nói chuyện trực tiếp) |
| BPDU Guard / Root Guard | Ngăn switch lạ trở thành Root Bridge, chặn loop STP |
| Storm Control | Giới hạn broadcast/multicast/unicast flood |
| Secure Management | SSH-only, SNMPv3, AAA/RADIUS/TACACS+, disable HTTP/Telnet, ACL quản trị |
Thiết bị Layer 2
- Switch Layer 2: Chuyển tiếp frame bằng MAC address table (CAM table). Hiệu năng cao hơn hub.
- Hub (Repeater): Phát tán đến tất cả cổng – không an toàn, đã lỗi thời.
- Wireless AP/Controller: Xử lý 802.11 frame (Layer 2 wireless).
Layer 2 vs Layer 3
- Layer 2: MAC address, Ethernet, Switch, VLAN, STP, ARP. Địa chỉ không đổi (burned-in).
- Layer 3: IP address, Router, Routing (OSPF, BGP), Subnet. Địa chỉ có thể đổi (DHCP), định tuyến giữa mạng.
Sơ đồ Layer 2
Hiển thị: Switch, Trunk, Access port, VLAN ID, STP priority/port cost, Root Bridge, EtherChannel. Dùng cho troubleshooting, thiết kế HA, capacity planning.
Broadcast thuộc Layer 2 hay Layer 3?
Broadcast Layer 2: Frame đến MAC FF:FF:FF:FF:FF:FF – flood trong VLAN (broadcast domain).
Broadcast Layer 3: IP broadcast (255.255.255.255 hoặc directed broadcast) – router mặc định không forward.
Cổng Layer 2 (Switchport)
- Access port: Thuộc 1 VLAN, gắn endpoint (PC, AP, printer).
- Trunk port: Chạy nhiều VLAN (802.1Q tag), liên kết switch-switch hoặc switch-router.
- Hybrid/Voice port: Access + Voice VLAN cho IP phone.
Khi nào cần Layer 2 switch vs Layer 3 switch?
- L2 Switch: Access layer, kết nối endpoint, không routing giữa VLAN.
- L3 Switch: Distribution/Core, routing inter-VLAN (SVI), aggregate nhiều L2 switch, chạy routing protocol.
Tại sao bảo mật switch quan trọng?
Switch/router là "xương sống" mạng – mục tiêu giá trị cao cho hacker (MITM, sniffing, lateral movement, DoS). Bảo vệ switch = bảo vệ toàn bộ hạ tầng truyền tải.
Tại sao cần Layer 2?
Khi >2 thiết bị chia sẻ cùng medium vật lý (Ethernet chung, Wi-Fi), cần MAC address để phân biệt nguồn/đích ở hop-to-hop. Layer 3 đảm bảo end-to-end delivery, nhưng Layer 2 đảm bảo next-hop delivery.
Cơ chế Layer 2 Switching
- Học MAC (Learning): Ghi MAC source → port vào CAM table.
- Chuyển tiếp (Forwarding): Tra MAC đích → port, unicast đến port đó.
- Flooding: Nếu MAC đích chưa biết → flood trong VLAN (trừ port nhận).
- Aging: Xóa entry cũ sau timeout (thường 300s).
Chia nhỏ collision domain (mỗi port 1 domain) → hiệu năng cao hơn hub.
Giao thức Session Layer (Layer 5) – Tham khảo
- ADSP, ASP (AppleTalk)
- H.245 (Multimedia call control)
- ISO-SP (X.225)
- L2F (Layer 2 Forwarding) – tiền thân L2TP
- L2TP (Layer 2 Tunneling Protocol)
Giao thức Layer 3 phổ biến
- IPv4, IPv6
- ICMP, ICMPv6
- IGMP/MLD (Multicast)
- ARP / NDP (Neighbor Discovery Protocol – IPv6)
- IPsec (AH/ESP)
- Routing: OSPF, IS-IS, BGP, RIP, EIGRP
Giao thức Layer 3 phổ biến nhất
Internet Protocol (IP) – nền tảng của Internet. Không connection-oriented, không đảm bảo delivery (best-effort). TCP/UDP (Layer 4) đảm bảo reliability/port addressing.
Cách bảo vệ lớp mạng
- Kiểm soát thiết bị kết nối (NAC, 802.1X)
- Mã hóa mạnh (IPsec, MACsec, TLS) – ngay cả trong mạng nội bộ
- Segment network (VLAN, micro-segmentation, Zero Trust)
- Giám sát lưu lượng bất thường (NetFlow, NDR, IDS/IPS)
- Hardening router/switch (disable unused service, AAA, patch)
7 lớp bảo mật (Defense in Depth)
- Human (Nhân viên, đào tạo, policy)
- Perimeter (Firewall, WAF, DDoS protection)
- Network (Segmentation, NAC, IDS/IPS, encryption)
- Endpoint (EDR, AV, patch, disk encryption)
- Application (Secure coding, WAF, API security)
- Data (DLP, encryption, classification, backup)
- Mission Critical (Crown jewels: core DB, HSM, SCADA)
Tầm quan trọng bảo mật lớp mạng
Áp dụng cho cả nhà riêng và doanh nghiệp. Router Wi-Fi gia đình không bảo vệ → bị khai thác (botnet, MITM, data theft). Hệ thống bảo mật mạng vững chắc ngăn chặn mất dữ liệu, tấn công phá hoại, truy xuất trái phép.