IP, port, client và server: dữ liệu được gửi tới đâu

Khi mở website, trình duyệt gửi một yêu cầu và chương trình web trả nội dung về. Bên gửi yêu cầu là Máy/chương trình khách (Client), bên nhận và phục vụ là Máy/chương trình phục vụ (Server). Đây là vai trò của chương trình, không phải loại máy: client và server có thể chạy trên cùng một máy.

Về bảo mật, điều này quan trọng vì mỗi chương trình đang chờ yêu cầu từ mạng là một điểm có thể bị người khác gửi yêu cầu tới. Ta gọi tổng các điểm đó là bề mặt tấn công (attack surface). Càng ít dịch vụ lắng nghe ra ngoài, bề mặt càng nhỏ.

Địa chỉ IP (Internet Protocol address) xác định máy (chính xác hơn là một giao diện mạng) trên mạng. Cổng dịch vụ (Port) là số từ 0 đến 65535, xác định chương trình nào trên máy đó nhận dữ liệu. Một kết nối được ghi dạng IP:port cho cả hai đầu:

192.168.1.10:51514  →  203.0.113.10:443

• 192.168.1.10: IP của máy khách trong mạng riêng giả định.
• 51514: port nguồn tạm thời, hệ điều hành chọn cho kết nối này.
• 203.0.113.10: IP máy chủ (dải địa chỉ dùng cho tài liệu).
• 443: port đích, quy ước dùng cho HTTPS. Port 80 là HTTP, 22 là SSH.

Cách nhớ: IP như địa chỉ tòa nhà, port như số cửa của từng bộ phận trong tòa nhà. Nhưng số port chỉ là quy ước: 443 không bảo đảm dịch vụ phía sau là đúng loại hay đáng tin.

Phân biệt nhiều kết nối

Hai kết nối chỉ khác port nguồn, đủ để hệ điều hành phân biệt. Phản hồi cho A đi theo chiều ngược: 203.0.113.10:443 → 192.168.1.10:51514. Số kết nối không bằng số tab: trình duyệt có thể dùng lại hoặc mở thêm kết nối nền.

Mạng cục bộ (LAN) là mạng nội bộ như mạng Wi-Fi ở nhà. Để gửi dữ liệu ra ngoài LAN, máy gửi cho Bộ định tuyến (Router), thiết bị chuyển tiếp dữ liệu giữa các mạng. Địa chỉ router mà máy dùng làm lối ra mặc định là Cổng ra mạng khác (Default gateway), ở ví dụ là 192.168.1.1.

Router chỉ là một điểm chuyển tiếp. Thực tế còn nhiều router trung gian giữa nhà bạn và máy chủ. Router, và những thiết bị trên đường đi, đều có thể nhìn thấy IP và port của gói dữ liệu, nên nội dung nhạy cảm phải được mã hóa (bài 6).

Ba dải IPv4 dành cho mạng riêng, dùng trong nội bộ và không định tuyến thẳng ra Internet:

Hai nhà có thể cùng dùng 192.168.1.10 trong hai mạng riêng độc lập mà không xung đột. Hai dải 198.51.100.0/24 và 203.0.113.0/24 trong bài là dải dành cho tài liệu, không phải máy để thử kết nối.

Đối chiếu sơ đồ với máy thật bằng lệnh hệ điều hành. Kết quả dưới đây là ví dụ, không phải máy của bạn:

IPv4 Address . . . : 192.168.1.10
Subnet Mask . . . : 255.255.255.0
Default Gateway . : 192.168.1.1

Biểu diễn địa chỉ

Địa chỉ IPv4 (Internet Protocol version 4) dài 32 bit, viết thành bốn số từ 0 đến 255. Tiền tố mạng (Network prefix / CIDR) cho biết bao nhiêu bit đầu xác định mạng: trong 192.168.1.10/24, 24 bit đầu là phần mạng (192.168.1), phần còn lại phân biệt từng máy. Không giả định mọi mạng đều là /24.

Địa chỉ IPv6 (Internet Protocol version 6) dài 128 bit, viết bằng nhóm số hệ 16 cách nhau dấu hai chấm. Một máy thường có cả IPv4 và IPv6; thấy hai loại địa chỉ là bình thường.

Về bảo mật, quản trị viên nên biết máy mình đang dùng giao diện nào, đang lắng nghe port nào, và dịch vụ nào cần mở ra ngoài. Bài 6 nói về việc kiểm soát điều đó.