Bài 36: CDP & LLDP — Khám Phá Thiết Bị Lân Cận

💡 Liên hệ thực tế

Anh Nam bên VNExperts đến hỗ trợ 1 khách hàng có hệ thống mạng phức tạp, không có sơ đồ mạng nào để lại từ đội kỹ thuật cũ — không biết switch này nối với thiết bị gì ở đầu bên kia mỗi sợi dây. Thay vì phải lần theo từng sợi cáp bằng tay khắp phòng máy chủ, anh chỉ cần gõ 1 lệnh đơn giản trên switch để switch "tự khai báo": "Tôi đang nối trực tiếp với 1 switch khác, model XYZ, ở cổng Gi0/1".

🔍 Đây chính là công dụng của CDP (Cisco Discovery Protocol) và LLDP (Link Layer Discovery Protocol) — 2 giao thức giúp thiết bị mạng tự động "giới thiệu bản thân" và "nhận diện hàng xóm" ngay tại tầng Data Link, không cần biết trước địa chỉ IP của nhau.

💡 CDP được bật sẵn theo mặc định trên hầu hết Router và Switch Catalyst chạy Cisco IOS — đây là lý do bạn thường thấy kết quả show cdp neighbors có dữ liệu ngay cả khi chưa từng cấu hình gì liên quan đến CDP.

📘 Kiến thức cốt lõi

📡 CDP (Cisco Discovery Protocol) — giao thức độc quyền của Cisco:

CDP hoạt động ở tầng Data Link (Layer 2), cho phép các thiết bị Cisco (switch, router, phone Cisco...) tự động gửi thông tin quảng bá về bản thân (tên thiết bị, model, phiên bản IOS, địa chỉ IP, cổng đang kết nối) tới các thiết bị Cisco lân cận trực tiếp — mà không cần thiết bị đó đã được cấu hình địa chỉ IP hay bật định tuyến gì cả.

🌐 LLDP (Link Layer Discovery Protocol) — chuẩn mở tương đương:

LLDP hoạt động với ý tưởng và cơ chế tương tự CDP, nhưng là chuẩn mở (IEEE 802.1AB), được hầu hết các hãng thiết bị mạng khác (Juniper, HP, Huawei...) hỗ trợ — giúp việc khám phá thiết bị lân cận hoạt động được trong môi trường đa hãng, không chỉ giới hạn trong hệ sinh thái Cisco.

⚙️ Lệnh cấu hình và kiểm tra CDP trên switch Cisco:

Switch(config)# cdp run

Bật (hoặc đảm bảo đang bật) CDP trên toàn switch. Có thể tắt CDP trên từng cổng riêng lẻ vì lý do bảo mật (không muốn "khoe" thông tin thiết bị ra ngoài qua cổng nối với mạng không tin cậy):

Switch(config)# interface fastEthernet 0/24
Switch(config-if)# no cdp enable

🔍 Kiểm tra thông tin thiết bị lân cận qua CDP:

Switch# show cdp neighbors

Kết quả hiển thị danh sách thiết bị Cisco lân cận, kèm cổng kết nối và loại thiết bị (Capability):

Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge
                  S - Switch, H - Host, I - IGMP, r - Repeater

Device ID        Local Intrfce     Holdtme    Capability  Platform  Port ID
Switch2           Gig 0/1           165          SI       WS-C3560  Gig 0/2
Router1           Gig 0/2           178           R       ISR4331   Gig 0/0/0

Muốn xem thông tin chi tiết hơn (địa chỉ IP, phiên bản IOS...), dùng:

Switch# show cdp neighbors detail

Kết quả trả về đầy đủ hơn nhiều so với show cdp neighbors, bao gồm cả địa chỉ IP quản lý và phiên bản IOS của thiết bị lân cận:

-------------------------
Device ID: Switch2
Entry address(es):
  IP address: 192.168.1.2
Platform: cisco WS-C3560,  Capabilities: Switch IGMP
Interface: GigabitEthernet0/1,  Port ID (outgoing port): GigabitEthernet0/2
Holdtime : 165 sec

Version :
Cisco IOS Software, C3560 Software (C3560-IPSERVICESK9-M), Version 12.2(55)SE12
Copyright (c) 1986-2019 by Cisco Systems, Inc.

advertisement version: 2
Duplex: full

📎 Đây chính là lý do show cdp neighbors detail rất hữu ích khi khảo sát hệ thống: chỉ với 1 lệnh duy nhất, bạn biết được cả địa chỉ IP quản lý của thiết bị lân cận — dù 2 thiết bị đó có thể chưa từng "ping" được nhau qua Layer 3, vì CDP không phụ thuộc vào việc định tuyến IP đã thông hay chưa.

⚙️ Lệnh cấu hình và kiểm tra LLDP:

Switch(config)# lldp run
Switch# show lldp neighbors

⚠️ Lưu ý về bảo mật: vì CDP/LLDP tiết lộ khá nhiều thông tin thiết bị (model, phiên bản phần mềm...), trên các cổng kết nối ra ngoài (kết nối với ISP, mạng không tin cậy), thực hành bảo mật tốt là tắt CDP/LLDP trên cổng đó — tránh để kẻ tấn công dễ dàng thu thập thông tin trinh sát về hạ tầng mạng nội bộ.

💬 Hỏi & Đáp nhanh

❓ CDP có cần thiết bị đã cấu hình địa chỉ IP mới hoạt động được không?

❌ Không cần — CDP hoạt động ngay tại tầng Data Link (Layer 2), hoàn toàn không phụ thuộc vào việc thiết bị đã có địa chỉ IP hay chưa. Đây là lý do CDP rất hữu ích khi khảo sát 1 hệ thống mạng mới, thiết bị còn "trắng tinh" chưa cấu hình gì cả.

❓ Nếu mạng có cả thiết bị Cisco và thiết bị hãng khác (ví dụ Juniper), CDP có hoạt động xuyên suốt không?

❌ Không — CDP là giao thức độc quyền của Cisco, chỉ hoạt động giữa các thiết bị Cisco với nhau. Trong môi trường đa hãng, cần dùng LLDP (chuẩn mở) để đảm bảo các thiết bị khác hãng vẫn nhận diện được lẫn nhau.

❓ Vì sao nên tắt CDP/LLDP trên cổng kết nối ra Internet/ISP?

✅ Vì CDP/LLDP tiết lộ thông tin chi tiết về thiết bị (model, phiên bản phần mềm, tên thiết bị nội bộ...) — đây là thông tin "trinh sát" rất hữu ích cho kẻ tấn công nếu vô tình lộ ra ngoài qua cổng kết nối không tin cậy. Tắt CDP/LLDP trên các cổng biên (edge port) là 1 thực hành bảo mật cơ bản nên áp dụng.

📝 Bài tập đánh giá

Câu 1: CDP hoạt động ở tầng nào trong mô hình OSI, và có cần thiết bị đã cấu hình IP không?

• A. Tầng Network (Layer 3), cần có IP trước
• B. Tầng Data Link (Layer 2), không cần cấu hình IP trước
• C. Tầng Application (Layer 7), cần kết nối Internet
• D. Tầng Physical (Layer 1), chỉ cần cắm dây điện

Câu 2: Vì sao nên dùng LLDP thay vì CDP trong môi trường mạng có nhiều hãng thiết bị khác nhau?

• A. LLDP nhanh hơn CDP về tốc độ truyền dữ liệu
• B. LLDP là chuẩn mở IEEE 802.1AB, được nhiều hãng hỗ trợ, trong khi CDP chỉ hoạt động giữa thiết bị Cisco
• C. LLDP không cần cấu hình gì cả
• D. LLDP chỉ hoạt động với cáp quang

👉 Đáp án:

Câu 1: B — CDP hoạt động ở tầng Data Link (Layer 2), không phụ thuộc vào việc thiết bị đã có địa chỉ IP hay chưa, giúp khám phá thiết bị lân cận ngay cả khi thiết bị còn chưa được cấu hình gì.

Câu 2: B — LLDP là chuẩn mở IEEE 802.1AB được nhiều hãng hỗ trợ, trong khi CDP là giao thức độc quyền chỉ hoạt động giữa các thiết bị Cisco với nhau.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng