Cảnh báo bộ định tuyến IPv6 giả mạo: Tấn công NDP và lá chắn VPN Lớp 3

Quá trình chuyển dịch sang giao thức IPv6 đã thay đổi căn bản cách hệ điều hành máy trạm phát hiện cấu trúc mạng cục bộ. Nếu như mạng IPv4 truyền thống dựa vào các gói tin quảng bá ARP và máy chủ cấp phát địa chỉ động DHCP tập trung, thì IPv6 giới thiệu Giao thức khám phá láng giềng (Neighbor Discovery Protocol - NDP). Được quy định chuẩn xác trong RFC 4861, NDP vận hành trên nền tảng ICMPv6 nhằm điều phối việc phân giải địa chỉ tầng liên kết dữ liệu, phát hiện bộ định tuyến, xác định tiền tố mạng và tự động cấu hình địa chỉ phi trạng thái (SLAAC).

Mặc dù NDP mang lại sự tiện lợi vượt bậc khi kết nối thiết bị mới, giao thức này mang một giả định rủi ro: sự tin cậy tuyệt đối giữa các thiết bị trong cùng mạng cục bộ. Mọi thiết bị gắn vào cùng một miền quảng bá Lớp 2 đều có quyền gửi các thông điệp cảnh báo bộ định tuyến (Router Advertisement - RA) mà không cần xác thực trước.

Khi kẻ tấn công phát tán các gói tin RA được thiết kế đặc biệt, toàn bộ máy trạm trong mạng sẽ tự động nhận kẻ xâm nhập làm cổng xuất mặc định (default gateway). Nếu thiếu các giải pháp phòng vệ định tuyến đa tầng, các luồng dữ liệu IPv6 không được đóng gói sẽ bị chuyển hướng trực tiếp qua thiết bị của kẻ tấn công, khiến các phiên làm việc nhạy cảm bị theo dõi và can thiệp.

Cơ chế tự cấu hình phi trạng thái và mô hình tín nhiệm của IPv6 NDP

Trong môi trường IPv4, việc cấp phát địa chỉ đòi hỏi máy chủ DHCP phải liên tục theo dõi trạng thái, lưu trữ danh sách hợp đồng thuê địa chỉ và kiểm tra địa chỉ MAC. IPv6 loại bỏ sự phụ thuộc này bằng SLAAC, cho phép máy trạm tự tạo địa chỉ 128 bit hoàn chỉnh mà không cần máy chủ quản lý trung tâm.

Khi một giao diện mạng bật IPv6 kết nối vào mạng có dây hoặc Wi-Fi, máy sẽ tự sinh địa chỉ cục bộ liên kết (link-local) trong dải fe80::/10. Để tìm kiếm đường truyền ra Internet, máy trạm gửi bản tin Router Solicitation (ICMPv6 loại 133) tới địa chỉ multicast ff02::2 dành cho tất cả bộ định tuyến. Các bộ định tuyến hợp lệ sẽ phản hồi bằng bản tin Router Advertisement (ICMPv6 loại 134) gửi tới địa chỉ ff02::1 hoặc phản hồi trực tiếp cho máy trạm.

Chuẩn RFC 4861 được xây dựng dựa trên giả định rằng các kết nối vật lý Lớp 2 đã có sự an toàn tự nhiên. Giao thức không tích hợp bất kỳ cơ chế xác thực mật mã hay chữ ký số bắt buộc nào. Do đó, bất kỳ máy tính nào trong quán cà phê, mạng nội bộ công ty hay mạng không dây công cộng đều có thể tuyên bố mình là bộ định tuyến chính. Hệ điều hành xử lý các gói tin loại 134 này trực tiếp tại nhân mạng (kernel space) và tự động thay đổi bảng định tuyến mà không hề hiển thị cảnh báo cho người dùng.

Giải phẫu gói tin ICMPv6 Router Advertisement: Cờ hiệu, tiền tố và bộ đếm

Một gói tin ICMPv6 Router Advertisement tiêu chuẩn bao gồm trường Type 8 bit mang giá trị 134, Code 8 bit mang giá trị 0, Checksum 16 bit và giới hạn số bước nhảy (Cur Hop Limit) 8 bit. Phần tiêu đề cơ bản chứa các cờ hiệu điều khiển hành vi của máy trạm:

• Cờ Managed Address Configuration (M): Chỉ định máy trạm phải lấy địa chỉ có trạng thái thông qua giao thức DHCPv6.
• Cờ Other Configuration (O): Yêu cầu máy trạm truy vấn DHCPv6 để nhận thêm các tham số phụ như máy chủ đồng bộ thời gian NTP.
• Độ ưu tiên bộ định tuyến mặc định (Prf): Chuẩn hóa theo RFC 4191, gồm 2 bit xác định mức ưu tiên Thấp (11), Trung bình (00) hoặc Cao (01).
• Thời gian sống của bộ định tuyến (Router Lifetime): Trường 16 bit quy định số giây (từ 0 đến 9000) mà bộ định tuyến đóng vai trò làm cổng mặc định. Giá trị 0 đồng nghĩa với việc xóa bộ định tuyến khỏi bảng định tuyến của máy trạm.

Phía sau phần tiêu đề cố định 16 byte là các trường tùy chọn linh hoạt:

Bằng cách điều chỉnh tinh vi các trường dữ liệu trên, kẻ tấn công có thể thay đổi toàn bộ hướng di chuyển của lưu lượng và hạ tầng phân giải tên miền trong mạng nội bộ.

Véc-tơ tấn công: Router Advertisement giả mạo chiếm quyền bảng định tuyến

Các gói tin Router Advertisement giả mạo (Rogue RA) thường xuất hiện do hai nguyên nhân: sự cố cấu hình mạng nội bộ và các cuộc tấn công có chủ đích từ tin tặc.

Sự cố ngoài ý muốn thường xảy ra khi phần mềm máy ảo hoặc thiết bị phát sóng di động vô tình kết nối cầu nối (bridge) vào mạng cơ quan. Tuy nhiên, hành vi tấn công có chủ đích mới là mối nguy hiểm lớn nhất. Kẻ tấn công sử dụng các công cụ tạo gói tin như scapy hoặc radvd để phát tán liên tục các gói tin RA mang độ ưu tiên cao, kích hoạt hai hướng đánh chặn chính.

Ép buộc tái cấu hình SLAAC và chiếm quyền cổng mặc định

Kẻ tấn công phát tán gói tin RA với các thông số đặc biệt:

1. Độ ưu tiên bộ định tuyến đặt ở mức Cao (Prf = 01).
2. Thời gian sống của bộ định tuyến đặt là 1800 giây.
3. Tùy chọn PIO /64 với cờ Autonomous (A) và On-link (L) được bật.

Nhân hệ điều hành của nạn nhân lập tức tiếp nhận địa chỉ link-local của kẻ tấn công (fe80::dead:beef:cafe) làm cổng mặc định có độ ưu tiên cao nhất. Đồng thời, máy trạm tự cấp phát thêm một địa chỉ IPv6 toàn cầu mới thuộc dải mạng của kẻ tấn công.

Do các hệ điều hành hiện đại luôn ưu tiên lưu lượng IPv6 theo thuật toán Happy Eyeballs (RFC 8305), các kết nối HTTPS, SSH và API đám mây lập tức đổi hướng qua cổng mạng của kẻ xâm nhập. Kẻ tấn công bật tính năng chuyển tiếp gói tin của nhân hệ điều hành (sysctl -w net.ipv6.conf.all.forwarding=1), từ đó dễ dàng ghi nhận siêu dữ liệu SNI, địa chỉ máy chủ đích và nội dung chưa mã hóa.

Đầu độc tùy chọn RDNSS: Đánh chặn DNS trước tầng mã hóa truyền tải

Theo quy chuẩn RFC 8106, tùy chọn RDNSS cho phép gói tin RA cấu hình trực tiếp địa chỉ máy chủ DNS vào ngăn xếp mạng của máy trạm. Kẻ tấn công gán địa chỉ máy chủ phân giải DNS IPv6 do chính mình kiểm soát.

Khi máy trạm phân giải tên miền, máy chủ độc hại này sẽ trả về địa chỉ IP giả mạo. Vì cơ chế này can thiệp ở tầng cấu hình nhân giao diện mạng, nó có thể ghi đè lên cấu hình DNS IPv4 tĩnh đã thiết lập trước đó.

Nếu máy trạm không được trang bị đường hầm mạng Lớp 3 đóng gói toàn diện, các truy vấn DNS ban đầu sẽ bị rò rỉ nguyên vẹn ra môi trường sóng Wi-Fi. Độc giả quan tâm đến các nguy cơ trong mạng cục bộ có thể tham khảo thêm phân tích tấn công giả mạo ARP và đầu độc bộ nhớ đệm.

Ngộ độc bộ nhớ đệm NDP: Lạm dụng Neighbor Advertisement và Router Lifetime

Bên cạnh việc can thiệp vào cổng mặc định, kẻ tấn công còn nhắm vào các bản tin Neighbor Advertisement (NA) để làm sai lệch bảng ánh xạ địa chỉ. Giao thức NDP dùng Neighbor Solicitation (loại 135) và Neighbor Advertisement (loại 136) để chuyển đổi địa chỉ IPv6 sang địa chỉ MAC Ethernet 48 bit.

Kẻ tấn công gửi các gói tin NA không yêu cầu tới máy nạn nhân với cờ ghi đè Override được bật (O = 1). Nhân hệ điều hành tiếp nhận sẽ cập nhật bộ đệm liên kết (LLA), thay thế địa chỉ MAC thật của bộ định tuyến bằng địa chỉ MAC của kẻ tấn công.

[Cổng định tuyến thật]               [Máy nạn nhân]              [Kẻ tấn công]
  2001:db8::1                          fe80::100                   2001:db8::666
       |                                    |                            |
       |                                    |<--- Gói NA giả mạo (O=1) --|
       |                                    |    Ánh xạ 2001:db8::1 sang |
       |                                    |    địa chỉ MAC kẻ tấn công |
       |                                    |                            |
       |<-- Luồng dữ liệu IPv6 bị đổi hướng |--------------------------->|
       |    (Dữ liệu bị chặn bắt và ghi nhật ký bởi kẻ xâm nhập)         |

Ngoài ra, kẻ tấn công có thể liên tục phát sóng các gói tin RA với Router Lifetime bằng 0. Nhân hệ điều hành của nạn nhân sẽ lập tức hủy bỏ các tuyến đường mặc định, dẫn đến ngắt kết nối đột ngột và tê liệt hoàn toàn khả năng truy cập mạng (DoS).

Nguy cơ rò rỉ dữ liệu khi dùng phân tách luồng và ứng dụng Dual-Stack

Rủi ro từ các bản tin RA giả mạo trở nên đặc biệt nghiêm trọng khi người dùng cài đặt các ứng dụng VPN không hỗ trợ đầy đủ giao thức IPv6.

Rất nhiều phần mềm VPN thương mại chỉ thiết lập tuyến đường mã hóa cho IPv4 trên card mạng ảo (tun0 hoặc utun3), sử dụng kỹ thuật chia dải mạng:

# Thiết lập định tuyến IPv4 phổ biến của VPN
ip route add 0.0.0.0/1 dev tun0
ip route add 128.0.0.0/1 dev tun0

Trong cấu hình này, bảng định tuyến IPv6 của card mạng vật lý (wlan0 hoặc eth0) hoàn toàn không được bảo vệ. Khi một gói tin RA giả mạo xuất hiện, hệ điều hành lập tức bổ sung tuyến đường IPv6 mặc định hướng thẳng tới kẻ tấn công.

Khi trình duyệt mở một trang web hỗ trợ song song IPv4 và IPv6, thuật toán Happy Eyeballs sẽ chọn đường truyền IPv6. Do card mạng ảo không xử lý IPv6, gói tin sẽ thoát trực tiếp ra card mạng vật lý để đến cổng của kẻ tấn công. Người dùng lầm tưởng lưu lượng đang an toàn, trong khi thực tế dữ liệu gốc đang truyền lộ thiên ngoài đường hầm. Kịch bản thất bại định tuyến này tương đồng với các phân tích trong bài viết về lỗ hổng chèn tuyến DHCP Option 121.

Cơ chế phòng thủ Lớp 2: Giới hạn của RA-Guard, chuẩn SEND và bảo mật cổng

Các quản trị viên mạng doanh nghiệp đã phát triển một số giải pháp tại Lớp 2 để ngăn ngừa hiểm họa này:

Kỹ thuật IPv6 RA-Guard (RFC 6105)

Các bộ chuyển mạch doanh nghiệp có tính năng RA-Guard sẽ phân loại các cổng mạng thành cổng tin cậy hoặc cổng không tin cậy. Chip phần cứng ASIC kiểm tra các gói tin ICMPv6 loại 134 và tự động hủy bỏ bất kỳ thông điệp quảng bá nào xuất phát từ cổng truy cập của người dùng.

Giao thức khám phá an toàn (SEND, RFC 3971)

Chuẩn SEND bảo vệ các bản tin NDP thông qua địa chỉ tự sinh bằng mật mã (CGA) và chữ ký số bất đối xứng. Máy trạm chứng minh quyền sở hữu địa chỉ bằng khóa công khai được mã hóa trong phần định danh giao diện.

Giới hạn triển khai trong thực tế

Dù có tính thuyết phục trên lý thuyết, các cơ chế này rất khó bảo vệ người dùng di động:

• Không hiện diện ở mạng công cộng: Quán cà phê, khách sạn, sân bay và các thiết bị phát Wi-Fi gia đình hầu như không trang bị tính năng RA-Guard.
• Sự thiếu hụt hỗ trợ của SEND: Các hệ điều hành phổ biến dành cho máy tính và điện thoại đều chưa hỗ trợ đầy đủ chuẩn SEND do yêu cầu phức tạp về hạ tầng chứng chỉ số PKI.
• Kỹ thuật lách bộ lọc chuyển mạch: Kẻ tấn công có thể đóng gói bản tin RA giả mạo bên trong các khung dữ liệu lồng thẻ VLAN 802.1Q (Q-in-Q) hoặc phân mảnh gói tin ICMPv6 để qua mặt bộ lọc của switch.

Vì người dùng không thể tự quyết định cấu hình thiết bị mạng của bên thứ ba, khả năng tự phòng thủ phải được xây dựng ngay trên chính thiết bị đầu cuối.

Kiến trúc VPN Lớp 3: Đóng gói đường hầm Dual-Stack và ghim bảng định tuyến

Để triệt tiêu hoàn toàn nguy cơ từ RA giả mạo, một hệ thống VPN Lớp 3 hiện đại phải nắm quyền kiểm soát tuyệt đối hệ thống định tuyến của nhân hệ điều hành. Cơ chế bảo vệ cốt lõi nằm ở việc đóng gói trọn vẹn cả hai giao thức IPv4 lẫn IPv6 kết hợp với chính sách ghim bảng định tuyến (Routing Policy Database - RPDB).

+------------------------------------------------------------------------+
|                          Ứng dụng không gian người dùng                |
+------------------------------------------------------------------------+
                                    |
                                    v (Socket Dual-Stack: AF_INET / AF_INET6)
+------------------------------------------------------------------------+
|                      Quy tắc RPDB của nhân hệ điều hành                |
|   Quy tắc 100: từ tất cả tới <IP-Máy-chủ-VPN> tra bảng main            |
|   Quy tắc 200: từ tất cả tra cứu bảng 51820 (Bảng định tuyến VPN)      |
|   Quy tắc 32766: từ tất cả tra bảng main (Cổng mặc định của card thật) |
+------------------------------------------------------------------------+
                                    |
                                    v
+-----------------------------------+------------------------------------+
|  Bảng 51820 (WireGuard / RiceGuard)|   Bảng Main (Card vật lý wlan0)    |
|  mặc định qua :: card rg0         |   mặc định qua fe80::dead:beef dev |
|  mặc định qua 0.0.0.0 card rg0    |   (Tuyến độc hại bị cô lập tại đây)|
+-----------------------------------+------------------------------------+

Thay vì chỉnh sửa các tuyến đường có sẵn trong bảng main, ứng dụng VPN tạo một bảng định tuyến riêng biệt (chẳng hạn bảng 51820) bao hàm toàn bộ dải mạng:

• 0.0.0.0/0 chuyển tiếp qua giao diện rg0
• ::/0 chuyển tiếp qua giao diện rg0

Sau đó, ứng dụng bổ sung các quy tắc định tuyến với độ ưu tiên thực thi cao nhất:

# Ghim toàn bộ lưu lượng IPv6 vào bảng mã hóa của VPN
ip -6 rule add pref 200 lookup 51820
ip -6 rule add pref 201 unreachable

Ngay cả khi kẻ tấn công phát tán gói tin RA giả mạo có độ ưu tiên cao trên card wlan0, nhân hệ điều hành luôn xử lý bảng 51820 ở mức ưu tiên 200 trước khi chạm tới bảng main. Tuyến đường độc hại hoàn toàn bị vô hiệu hóa.

Thực thi bảng định tuyến RiceGuard: Triệt tiêu gói ICMPv6 lạ ở tầng Socket

VPNRice tích hợp giao thức truyền tải RiceGuard tối ưu hóa từ nền tảng WireGuard, xây dựng hàng rào phòng thủ đa lớp nhằm bảo vệ kết nối trước các mối đe dọa Lớp 2:

1. Cấp phát Dual-Stack bắt buộc: RiceGuard chủ động định danh cả dải địa chỉ IPv4 nội bộ (10.64.0.0/10) lẫn dải địa chỉ IPv6 cục bộ duy nhất (fd00::/8) cho mỗi phiên kết nối, ngăn ngừa Happy Eyeballs tự ý tìm đường đi qua card mạng vật lý.
2. Bộ lọc gói tin tại nhân hệ điều hành: Trên các hệ thống hỗ trợ nftables hoặc pf, RiceGuard thiết lập các quy tắc tường lửa tức thời nhằm loại bỏ các bản tin ICMPv6 loại 134 nhận được trên card mạng vật lý khi VPN đang chạy:

table inet vpnrice_defense {
    chain prerouting {
        type filter hook prerouting priority -100; policy accept;
        iifname != "rg0" icmpv6 type { nd-router-advert, nd-redirect } counter drop
    }
}

3. Khóa cứng máy chủ phân giải DNS: RiceGuard hướng mọi yêu cầu DNS về dịch vụ lắng nghe nội bộ tại 127.0.0.1:53 và [::1]:53. Các tùy chọn RDNSS lạ nhận được từ mạng Wi-Fi cục bộ sẽ bị hủy bỏ hoàn toàn.

Người dùng có thể trực tiếp kiểm tra địa chỉ định tuyến hiện tại và rà soát nguy cơ rò rỉ thông qua công cụ kiểm tra IP.

Đánh giá khả năng phục hồi mạng: Độ ưu tiên Metric, độ trễ và tỷ lệ rớt gói

Chúng tôi đã tiến hành thử nghiệm thực tế trong phòng thí nghiệm mạng Wi-Fi trước sự xuất hiện của các gói tin RA giả mạo. Thiết bị tấn công liên tục phát tán các gói tin ICMPv6 loại 134 mỗi 2 giây bằng phần mềm scapy, thiết lập độ ưu tiên High kèm máy chủ RDNSS giả mạo.

Ba cấu hình thử nghiệm bao gồm: kết nối mạng thông thường không bảo vệ, kết nối qua VPN chỉ hỗ trợ IPv4, và kết nối qua đường hầm Dual-Stack của RiceGuard.

Với VPN chỉ có IPv4, ngăn xếp định tuyến của hệ điều hành rơi vào trạng thái xung đột dữ dội giữa hai cổng mặc định, gây mất gói và đứt gãy kết nối ứng dụng.

Ngược lại, kiến trúc RiceGuard giữ vững bảng định tuyến 51820. Toàn bộ các thông điệp ICMPv6 giả mạo đều bị chặn tại lớp tường lửa, bảo toàn trọn vẹn tốc độ đường truyền và tính toàn vẹn của dữ liệu.

Hướng dẫn thực hành: Gia cố thiết bị đầu cuối và giám sát láng giềng IPv6

Đối với người dùng hoạt động trong môi trường mạng không đáng tin cậy, các bước kỹ thuật sau đây giúp kiểm tra và chủ động phòng ngừa rủi ro:

Kiểm tra cổng định tuyến và bộ đệm láng giềng

Trên máy trạm chạy Linux, kiểm tra các tuyến đường IPv6 và danh sách láng giềng để phát hiện các thiết bị lạ:

# Xem các tuyến đường IPv6 mặc định và mức độ ưu tiên
ip -6 route show default

# Kiểm tra bộ đệm địa chỉ láng giềng đã ghi nhận
ip -6 neighbor show

# Theo dõi trực tiếp các gói tin ICMPv6 đang phát tán
sudo tcpdump -ni any "icmp6 and (ip6[40] == 134 or ip6[40] == 135)" -v

Vô hiệu hóa tính năng tự nhận cấu hình định tuyến từ card mạng vật lý

Nếu hệ thống chưa có công cụ tự động khóa cổng mạng, quản trị viên có thể tắt quyền tiếp nhận bản tin Router Advertisement trên giao diện vật lý:

# Tắt xử lý Router Advertisement trên card Wi-Fi wlan0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_defrtr=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_pinfo=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_rtr_pref=0

Việc đặt accept_ra=0 buộc nhân hệ điều hành bỏ qua toàn bộ gói tin loại 134 trên cổng wlan0. Khi thiết lập kết nối an toàn với ứng dụng VPNRice chính thức, toàn bộ cơ chế bảo vệ nhân mạng này sẽ được áp dụng tự động song hành với công nghệ mã hóa hiện đại.

Việc kết hợp chặt chẽ giữa chính sách định tuyến nhân hệ điều hành và kỹ thuật lọc gói tin sâu giúp thiết bị duy trì trạng thái kết nối an toàn trước mọi nguy cơ trong mạng cục bộ.