Bảo mật và QoS trên switch GTWave: ACL, QoS, AAA, 802.1x, MAC Security

Switch quản lý không chỉ chuyển gói tin – nó còn là điểm thực thi chính sách: ai được truy cập, lưu lượng nào được ưu tiên, thiết bị nào được phép cắm vào cổng. Bài này – thuộc chuỗi hướng dẫn cấu hình switch GTWave – gom ba nhóm tính năng thường dùng phối hợp: ACL (kiểm soát truy cập), QoS (ưu tiên lưu lượng) và xác thực/bảo mật cổng (AAA, 802.1x, MAC Security).

1. ACL – Access Control List

GTWave hỗ trợ bốn loại ACL: Standard IP (1–99, khớp IP nguồn), Extended IP (100–199, khớp IP nguồn/đích, giao thức, cổng), MAC ACL (700–799, khớp MAC nguồn + VID) và ARP ACL. ACL được duyệt từ trên xuống và có một deny any ngầm ở cuối nếu không khai báo permit any.

Tình huống thường gặp nhất là chỉ cho subnet IT truy cập quản trị switch:

Switch(config)# access-list 10 permit 10.10.100.0 0.0.0.255
Switch(config)# access-list 10 deny any
Switch(config)# ip http access-class 10
Switch(config)# telnet-server access-class 10
Switch(config)# snmp-server community public RO 10

Để cấm subnet IoT chạm vào subnet server:

Switch(config)# access-list 110 deny ip 10.10.200.0 0.0.0.255 10.10.10.0 0.0.0.255
Switch(config)# access-list 110 permit ip any any
Switch(config)# interface vlan 200
Switch(config-vlan200)# ip access-group 110 in

Cú pháp tham khảo: ACL standard dạng access-list <1-99> {permit|deny} <src-ip> <wildcard>; ACL extended dạng access-list <100-199> {permit|deny} <proto> <src> <wildcard> [eq <port>] <dst> <wildcard>. Trên Web UI, đường dẫn là ACL Configuration với các mục Standard IP, Extended IP, MAC IP và ACL Reference để gán vào cổng. Nguyên tắc: ưu tiên áp ACL ở chiều ingress để chặn sớm, tiết kiệm tài nguyên switch.

2. QoS – ưu tiên lưu lượng

GTWave hỗ trợ bốn chế độ lập lịch hàng đợi (8 queue): SP (Strict Priority – queue cao luôn ưu tiên, queue thấp có thể bị đói), RR (Round Robin — quay vòng đều), WRR (Weighted Round Robin – mặc định, queue cao nhiều trọng số hơn nhưng không bỏ đói queue thấp), và WDRR (WRR có bù deficit, công bằng hơn khi kích thước gói khác nhau).

Tình huống điển hình: ưu tiên thoại VoIP cần độ trễ và jitter thấp. Nhận diện thoại qua CoS hoặc DSCP rồi đẩy vào queue cao:

Switch(config)# interface ge1/10
Switch(config-ge1/10)# qos dscp-based
Switch(config-ge1/10)# qos dscp-map-qp 46 qosprofile qp6
Switch(config-ge1/10)# qos sched wrr
Switch(config-ge1/10)# qos qosprofile qp6 weight 8
Switch(config-ge1/10)# qos qosprofile qp0 weight 1
Switch(config-ge1/10)# bandwidth ingress 50000

DSCP 46 (Expedited Forwarding) là mã chuẩn cho thoại realtime; ánh xạ nó vào queue 6 với trọng số cao. Ánh xạ CoS-to-Queue mặc định đi từ CoS 0 (best-effort) đến CoS 7 (network control). Lưu ý quan trọng: QoS phải nhất quán đầu cuối – chỉ gắn tag ở switch access là chưa đủ, core và router cũng phải tôn trọng (honor) các mức ưu tiên đó. Voice VLAN ở bài Cấu hình VLAN cung cấp nửa còn lại của giải pháp thoại.

3. AAA với RADIUS và TACACS+

Thay vì quản lý mật khẩu cục bộ trên từng switch, tập trung hóa xác thực đăng nhập qua RADIUS hoặc TACACS+:

Switch(config)# aaa new-model
Switch(config)# radius-server host 10.10.100.30 auth-port 1812 acct-port 1813 key MyR@diusKey
Switch(config)# aaa authentication login default group radius local
Switch(config)# aaa authentication enable default group radius enable

Thực hành bắt buộc: luôn để local ở cuối làm fallback – nếu RADIUS/TACACS+ chết, bạn vẫn vào được switch bằng user cục bộ. TACACS+ cấu hình tương tự với tacacs-server host ... port 49.

4. 802.1x — xác thực dựa trên cổng

802.1x bắt thiết bị phải xác thực với RADIUS (qua switch đóng vai relay) trước khi được truyền dữ liệu – nền tảng kiểm soát truy cập cho mạng doanh nghiệp:

Switch(config)# aaa new-model
Switch(config)# radius-server host 10.10.100.30 key MyR@diusKey
Switch(config)# aaa authentication dot1x default group radius
Switch(config)# dot1x system-auth-control
Switch(config)# interface ge1/15
Switch(config-ge1/15)# switchport mode access
Switch(config-ge1/15)# switchport access vlan 30
Switch(config-ge1/15)# dot1x port-control auto
Switch(config-ge1/15)# dot1x reauthentication
Switch(config-ge1/15)# dot1x timeout reauth-period 3600

Phương thức xác thực gồm eap-md5 (mật khẩu đơn giản, yếu), eap-tls (chứng thư, mạnh nhất nhưng cần CA) và peap (tunneled MSCHAPv2, phổ biến với Windows AD). Có thể đặt Guest VLAN cho thiết bị không hỗ trợ 802.1x và auth-fail VLAN cho thiết bị xác thực thất bại:

Switch(config-ge1/15)# dot1x guest-vlan 99
Switch(config-ge1/15)# dot1x auth-fail-vlan 98

5. MAC Security — khóa cổng theo thiết bị

MAC Binding chỉ cho một MAC cụ thể dùng cổng – phù hợp thiết bị tĩnh như camera, server:

Switch(config-ge1/5)# switchport-security mac-bind 0011.2233.4455 vlan 30 qosprofile qp4

MAC Filter chặn một MAC khỏi mọi cổng. Learn Limit chống tấn công MAC flooding (hacker giả nhiều MAC để làm tràn bảng MAC, ép switch chuyển sang flooding):

Switch(config-ge1/5)# switchport port-security learn-limit 5

Protection Port (port isolation) khiến các cổng được đánh dấu protect không giao tiếp với nhau dù cùng VLAN, nhưng vẫn giao tiếp được với cổng không protect – ứng dụng cho mạng khách sạn (các phòng không thấy nhau, chỉ thấy router) hoặc server farm:

Switch(config-ge1/5)# switchport port-security protect
Switch(config-ge1/6)# switchport port-security protect

6. Bản đồ Web UI cho phần bảo mật

Tính năng	Đường dẫn Web L2
ACL các loại	ACL Configuration → Standard/Extended/MAC IP
AAA & RADIUS	AAA Configuration → AAA Authentication / Radius Configuration
TACACS+	AAA Configuration → Tacacs+ Configuration
802.1x	AAA Configuration → 802.1x Configuration / Port
MAC Bind/Filter	MAC Configuration → MAC Binding / MAC Filter
QoS Apply/Schedule	Qos Configuration → Qos Apply / Qos Schedule

7. Thực hành tốt

ACL nên kết thúc bằng permit any rõ ràng nếu không muốn chặn hết, và áp ở chiều ingress. MAC binding chỉ dùng cho thiết bị tĩnh, không dùng cho laptop di động. Learn limit 5–10 trên access port là hợp lý cho một PC cộng một IP phone. Triển khai 802.1x cho mọi access port trong môi trường enterprise. AAA luôn fallback local. Và QoS phải end-to-end mới có tác dụng thực sự.

Khi cần chặn nhanh một thiết bị: biết MAC thì dùng MAC Filter, biết IP thì dùng ACL standard, biết cổng thì shutdown cổng đó.

Bài tiếp theo trong chuỗi

Để giám sát các sự kiện bảo mật (đăng nhập thất bại, vi phạm MAC) theo thời gian thực, thiết lập SNMP, RMON, LLDP, Syslog. Việc khóa quản trị cơ bản đã bắt đầu ở bài Cài đặt và truy cập lần đầu. Quay lại trang tổng hợp switch GTWave để xem toàn chuỗi.

VILINK X triển khai chính sách bảo mật mạng (ACL, 802.1x, port security) trên switch GTWave cho dự án doanh nghiệp và nhà nước. Liên hệ Phòng Kỹ thuật để được hỗ trợ.