Chặn đứng rủi ro 'Cổng mở': Xây dựng bảo mật có dây 802.1X với FreeRADIUS

Table of Contents

Lỗ hổng bảo mật chết người trong văn phòng bạn

Bước vào bất kỳ văn phòng quy mô vừa nào, tìm một chiếc bàn trống và cắm laptop vào tường. Thường thì bạn sẽ ngay lập tức nhận được địa chỉ IP và một đường truyền trực tiếp tới các máy chủ file nội bộ hoặc cơ sở dữ liệu nhạy cảm. Đó là một lỗ hổng khổng lồ nằm ngay trước mắt.

Chúng ta đã dành nhiều thập kỷ để hoàn thiện an ninh vật lý với máy quét thẻ và khóa thông minh. Tuy nhiên, một khi khách truy cập hoặc kẻ xâm nhập vượt qua được quầy lễ tân, các cổng mạng thường ở trạng thái “hot” (sẵn sàng kết nối). Việc dựa vào chính sách “mở theo mặc định” là con đường dẫn đến rò rỉ dữ liệu. Nếu bạn quản lý một mạng lưới xử lý dữ liệu khách hàng riêng tư hoặc mã nguồn độc quyền, bạn không thể để các cổng vật lý của mình mở toang như vậy.

Tại sao Switch của bạn lại quá “tin người”

Các switch Layer 2 tiêu chuẩn được thiết kế để thuận tiện, không phải để làm “người gác cổng”. Theo mặc định, một cổng switch nằm ở trạng thái chưa được xác thực nhưng sẽ bắt đầu truyền tải dữ liệu ngay khi phát hiện có kết nối (link). Switch không yêu cầu nhận dạng. Nó chỉ đơn giản là ghi lại địa chỉ MAC và bắt đầu chuyển tiếp các frame ngay lập tức.

Sự thiếu hụt kiểm soát dựa trên định danh này có nghĩa là ngay cả một firewall cấp doanh nghiệp cũng sẽ không cứu được bạn. Nếu một kẻ tấn công ngồi sau vành đai bảo mật, họ đã ở sẵn bên trong ngôi nhà rồi. Nguyên nhân gốc rễ là do thiếu người gác cổng ở cấp độ cổng mạng—một ai đó yêu cầu thông tin đăng nhập trước khi đường dẫn dữ liệu thực sự được mở.

Đừng dùng các biện pháp nửa vời

Trước khi đi sâu vào thiết lập, hãy xem tại sao các giải pháp “sửa nhanh” thông thường thường thất bại trong môi trường thực tế.

Lọc địa chỉ MAC (MAC Filtering): Bạn tạo một danh sách trắng (whitelist) các thiết bị được phép. Với một nhóm 50 người, bạn đột nhiên phải quản lý hơn 100 mã định danh duy nhất. Đó là một cơn ác mộng thủ công và dễ sai sót. Tệ hơn, việc giả mạo (spoofing) địa chỉ MAC chỉ mất khoảng 10 giây với các công cụ dòng lệnh cơ bản.
Ánh xạ IP tĩnh (Static IP Mapping): Bạn chỉ cho phép các IP cụ thể giao tiếp. Kẻ tấn công có thể chỉ cần đánh hơi (sniff) lưu lượng mạng trong hai phút, xác định mạng con (subnet) của bạn và tự gán cho mình một địa chỉ chưa sử dụng một cách thủ công.
802.1X (Tiêu chuẩn vàng): Giao thức này sử dụng EAP (Extensible Authentication Protocol) để xác minh danh tính trước khi một gói dữ liệu duy nhất được phép đi qua. Nó bao gồm ba thành phần: Supplicant (laptop), Authenticator (switch) và Authentication Server (RADIUS).

Theo kinh nghiệm của tôi, làm chủ 802.1X là cách hiệu quả nhất để chuyển dịch bảo mật từ “nơi bạn cắm dây” sang “bạn là ai”. Nó đảm bảo chỉ phần cứng được ủy quyền mới có tín hiệu kết nối (link-light) thực sự truyền tải dữ liệu.

Xây dựng Lab: FreeRADIUS và Linux

Bạn không cần một switch doanh nghiệp trị giá 5.000 USD để học điều này. Chúng ta có thể xây dựng một phòng lab đầy đủ chức năng bằng cách sử dụng máy chủ Linux như một switch ảo. Chúng ta sẽ sử dụng FreeRADIUS làm bộ não và hostapd làm trình xác thực.

Bước 1: Thiết lập “người bảo vệ” FreeRADIUS

Đầu tiên, hãy cài đặt FreeRADIUS trên hệ thống Ubuntu hoặc Debian. Máy chủ này sẽ đóng vai trò là cơ sở dữ liệu trung tâm cho các thiết bị được phép.

sudo apt update
sudo apt install freeradius freeradius-utils -y

Tiếp theo, hãy định nghĩa “Client” của bạn. Trong thế giới RADIUS, client chính là bản thân switch, không phải người dùng cuối. Hãy chỉnh sửa /etc/freeradius/3.0/clients.conf để thêm switch ảo của bạn.

# Thêm nội dung này vào /etc/freeradius/3.0/clients.conf
client lab_switch {
    ipaddr = 127.0.0.1
    secret = testing123
}

Bây giờ, hãy tạo một người dùng trong /etc/freeradius/3.0/users. Đây là thông tin đăng nhập mà laptop sẽ cung cấp để có quyền truy cập.

# Thêm nội dung này vào đầu file /etc/freeradius/3.0/users
"itfromzero_user" Cleartext-Password := "secure_password_2026"
    Reply-Message = "Chào mừng bạn đến với Mạng Bảo mật"

Khởi động lại dịch vụ để áp dụng các thay đổi:

sudo systemctl restart freeradius

Bước 2: Cấu hình Switch ảo

Trong một văn phòng thực tế, bạn sẽ sử dụng switch Cisco hoặc Juniper. Đối với lab này, chúng ta sẽ sử dụng hostapd để xử lý máy trạng thái (state machine) 802.1X trên một cổng Ethernet tiêu chuẩn.

sudo apt install hostapd bridge-utils -y

Tạo một file cấu hình tại /etc/hostapd/wired-8021x.conf. Thay thế eth1 bằng interface mà bạn muốn khóa lại.

# /etc/hostapd/wired-8021x.conf
interface=eth1
driver=wired
ieee8021x=1

# Cài đặt máy chủ RADIUS
auth_server_addr=127.0.0.1
auth_server_port=1812
auth_server_shared_secret=testing123

Khi bạn khởi chạy hostapd, eth1 sẽ chuyển sang trạng thái “bị chặn” một cách hiệu quả. Nó sẽ không cho phép lưu lượng đi qua cho đến khi quá trình bắt tay EAP thành công.

Bước 3: Cấu hình Supplicant

Thiết bị khách phải biết cách giao tiếp qua 802.1X. Trên Linux, chúng ta sử dụng wpa_supplicant. Hãy tạo một file tên là wired-client.conf trên máy khách:

# wired-client.conf
ctrl_interface=/var/run/wpa_supplicant
ap_scan=0 # Bắt buộc đối với 802.1X có dây

network={
    key_mgmt=IEEE8021X
    eap=MD5 # Sử dụng MD5 để đơn giản hóa lab; hãy dùng PEAP/TLS trong môi trường thực tế
    identity="itfromzero_user"
    password="secure_password_2026"
}

Chạy lệnh sau để bắt đầu kết nối:

sudo wpa_supplicant -Dwired -i eth0 -c wired-client.conf

Xử lý sự cố như một chuyên gia

Nếu mọi thứ không hoạt động, hãy dừng dịch vụ FreeRADIUS và chạy nó ở chế độ debug để xem chính xác quá trình bắt tay bị lỗi ở đâu.

sudo systemctl stop freeradius
sudo freeradius -X

Tôi đã từng mất ngủ rất nhiều để debug các lỗi bắt tay này. Thông thường, thủ phạm là do loại EAP không khớp hoặc một quy tắc firewall đơn giản đang chặn cổng UDP 1812. Hãy tìm dòng Sent Access-Accept; đó là tín hiệu cho thấy cổng đã được mở khóa.

Lời kết

Triển khai kiểm soát truy cập dựa trên cổng là một cột mốc quan trọng cho sự trưởng thành của hệ thống mạng. Mặc dù nó thêm một lớp quản lý, nhưng nó loại bỏ hiệu quả rủi ro từ các thiết bị vật lý không được phép xâm nhập. Một khi bạn đã thoải mái với các kiến thức cơ bản về FreeRADIUS, bạn có thể tích hợp nó với LDAP hoặc Active Directory, cho phép nhân viên sử dụng thông tin đăng nhập tiêu chuẩn của họ để mở khóa kết nối tại bàn làm việc.