IP, port, client và server: dữ liệu được gửi tới đâu

Bắt đầu từ một câu hỏi quen thuộc: khi bạn gõ địa chỉ một website rồi nhấn Enter, chuyện gì xảy ra? Máy bạn "hỏi", một máy khác "trả lời". Bài này giải thích hai bên đó là ai, tìm nhau bằng cách nào, và dữ liệu đi qua những thiết bị nào. Ta đi từng bước, mỗi bước thêm đúng một khái niệm:

1. Client và server: ai hỏi, ai trả lời.
2. IP: tìm đúng máy.
3. Port: tìm đúng chương trình trên máy đó.
4. Router và gateway: dữ liệu rời khỏi nhà bằng lối nào.
5. NAT: vì sao địa chỉ trong nhà khác địa chỉ ngoài Internet.
6. Thực hành: xem tất cả những thứ này trên máy thật của bạn.

Bước đầu tiên: hai vai trò

Khi mở website, trình duyệt gửi một yêu cầu và chương trình web trả nội dung về. Bên hỏi là Máy/chương trình khách (Client), bên chờ và trả lời là Máy/chương trình phục vụ (Server).

Hai chữ này chỉ vai trò của chương trình, không phải loại máy. Máy tính để bàn có thể là server, một chiếc máy chủ khổng lồ ở trung tâm dữ liệu cũng có lúc làm client (khi nó gọi một dịch vụ khác). Thậm chí client và server có thể chạy trên cùng một máy; ở phần 7 bạn sẽ tự làm như vậy.

Về bảo mật, điều này quan trọng vì mỗi chương trình đang chờ yêu cầu từ mạng là một điểm có thể bị người khác gửi yêu cầu tới. Ta gọi tổng các điểm đó là bề mặt tấn công (attack surface). Càng ít dịch vụ lắng nghe ra ngoài, bề mặt càng nhỏ.

Trên mạng có hàng tỉ máy. Để gửi dữ liệu đúng nơi, mỗi máy cần một địa chỉ, giống nhà nào cũng cần địa chỉ để bưu tá tìm đến. Địa chỉ đó là Địa chỉ IP (Internet Protocol address).

Địa chỉ IPv4 (Internet Protocol version 4) là bốn số, mỗi số từ 0 đến 255, ngăn cách bằng dấu chấm. Ví dụ: 192.168.1.10. Nó dài 32 bit, nên có khoảng 4,3 tỉ địa chỉ khác nhau.

Địa chỉ IP giống địa chỉ nhà

Một địa chỉ nhà có hai phần: tên phố và số nhà. Địa chỉ IP cũng vậy. Mọi thiết bị trong cùng một mạng nhà có chung "tên phố", chỉ khác "số nhà":

Làm sao biết đâu là tên phố, đâu là số nhà?

Máy biết nhờ một con số đi kèm địa chỉ, gọi là Tiền tố mạng (Network prefix / CIDR), viết dạng /24. Con số 24 nghĩa là 24 bit đầu là tên phố. Vì mỗi số trong địa chỉ chiếm 8 bit, 24 bit chính là ba số đầu. Số còn lại là số nhà.

Cùng thông tin đó còn được viết dưới dạng Mặt nạ mạng con (Subnet mask): 255.255.255.0. Cách đọc rất đơn giản: chỗ nào là 255 thì thuộc tên phố, chỗ nào là 0 thì thuộc số nhà. Vậy /24 và 255.255.255.0 là một, chỉ là hai cách viết.

Không phải mạng nào cũng là /24. Mạng công ty lớn có thể dùng /16 hay /8 (phần mạng ngắn hơn, chứa được nhiều máy hơn). Trong bài này ta dùng /24 cho dễ nhìn.

IPv6: vì sao có thêm một loại địa chỉ?

4,3 tỉ địa chỉ IPv4 không đủ cho mọi điện thoại, TV, camera trên thế giới. Vì vậy có Địa chỉ IPv6 (Internet Protocol version 6), dài 128 bit, viết bằng nhóm số hệ 16 ngăn cách bởi dấu hai chấm (ví dụ fe80::1c2b:3d4e). Máy bạn thường có cả hai loại, thấy hai địa chỉ là bình thường. Bài này tập trung vào IPv4. Chuyện "thiếu địa chỉ" cũng chính là lý do phải có NAT ở phần 5.

Hai địa chỉ đặc biệt nên nhận ra ngay

Biết IP là tìm được đúng máy. Nhưng một máy chủ chạy nhiều chương trình cùng lúc: web, quản trị từ xa, cơ sở dữ liệu… Làm sao dữ liệu biết nên giao cho chương trình nào? Đó là việc của Cổng dịch vụ (Port): một số từ 0 đến 65535.

IP giống địa chỉ tòa nhà, port giống số cửa của từng bộ phận trong tòa nhà.

Một số port quen thuộc

Số port chỉ là quy ước. Ai cũng có thể chạy dịch vụ lạ trên port 443, nên thấy port 443 không bảo đảm phía sau là dịch vụ đúng loại hay đáng tin.

Một kết nối có hai đầu, mỗi đầu gồm IP và port

Server dùng port cố định để ai cũng biết đường tới (ví dụ 443). Còn client thì sao? Mỗi lần kết nối, hệ điều hành của client tự chọn một port tạm (thường là số lớn, như 51514) để làm "địa chỉ trả lời". Vì vậy một kết nối được ghi dạng IP:port cho cả hai đầu:

192.168.1.10:51514  →  203.0.113.10:443

• 192.168.1.10: IP của máy khách trong mạng riêng giả định.
• 51514: port nguồn tạm thời, hệ điều hành chọn cho kết nối này.
• 203.0.113.10: IP máy chủ (dải địa chỉ dùng cho tài liệu, không phải máy thật).
• 443: port đích, quy ước dùng cho HTTPS.

Phân biệt nhiều kết nối

Hai kết nối chỉ khác port nguồn, đủ để hệ điều hành phân biệt. Phản hồi cho A đi theo chiều ngược: 203.0.113.10:443 → 192.168.1.10:51514. Số kết nối không bằng số tab: trình duyệt có thể dùng lại hoặc mở thêm kết nối nền.

Ta đã biết một kết nối gồm hai đầu. Câu hỏi tiếp theo: dữ liệu rời khỏi nhà bằng lối nào? Hãy nhìn toàn cảnh một mạng gia đình:

Mạng cục bộ (LAN) là mạng nội bộ như mạng Wi-Fi ở nhà: laptop, điện thoại, TV đều nối vào đó. Để gửi dữ liệu ra ngoài LAN, các thiết bị gửi cho Bộ định tuyến (Router), thiết bị chuyển tiếp dữ liệu giữa các mạng. Router nhà bạn có hai mặt: mặt trong (nối với các thiết bị trong nhà, địa chỉ 192.168.1.1) và mặt ngoài (nối với nhà mạng, mang một địa chỉ công cộng).

Địa chỉ mặt trong của router, mà mọi máy trong nhà dùng làm lối ra mặc định, gọi là Cổng ra mạng khác (Default gateway) ("cổng ra"). Giống như cổng ra khỏi khu phố: muốn đi đâu xa, trước hết phải đi qua cổng đó.

Mỗi lần gửi, máy tự hỏi một câu

"Địa chỉ đích có cùng tên phố (phần mạng) với mình không?" Câu trả lời quyết định đường đi:

Router chỉ là một điểm chuyển tiếp. Thực tế còn nhiều router trung gian giữa nhà bạn và máy chủ. Router, và những thiết bị trên đường đi, đều có thể nhìn thấy IP và port của gói dữ liệu, nên nội dung nhạy cảm phải được mã hóa (bài 6).

Ba dải IP riêng

Các địa chỉ trong nhà là IP riêng (Private IP address). Có ba dải IPv4 dành riêng cho mạng nội bộ; chúng không được định tuyến thẳng ra Internet:

Hai nhà có thể cùng dùng 192.168.1.10 trong hai mạng riêng độc lập mà không xung đột, giống hai thành phố đều có "đường Lê Lợi". Nhưng chính điều này đặt ra một vấn đề lớn khi ra Internet, và là lý do của phần tiếp theo.

Hai dải 198.51.100.0/24 và 203.0.113.0/24 trong bài là dải dành cho tài liệu, không phải máy để thử kết nối.

Vấn đề cần giải quyết

Laptop của bạn có IP riêng 192.168.1.10. Nhưng hàng triệu nhà khác cũng dùng đúng địa chỉ đó. Nếu laptop gửi gói tin ra Internet với nguồn 192.168.1.10, máy chủ nhận được sẽ trả lời cho ai? Không có đường nào dẫn về nhà bạn, vì địa chỉ ấy ở đâu cũng có.

Giải pháp là Dịch địa chỉ mạng (NAT) (dịch địa chỉ mạng): router nhà bạn "đóng dấu" địa chỉ công cộng của nó lên mọi gói tin đi ra, và nhớ xem gói nào của máy nào để chuyển câu trả lời về đúng chỗ. Router là thiết bị duy nhất của cả nhà có IP công cộng (Public IP address).

Ví dụ đời thường: phòng thư của một tòa nhà

Một tòa nhà có 50 phòng. Mọi thư gửi đi đều ghi người gửi là "Tòa nhà ABC, hồ sơ số 1, 2, 3…" thay vì tên từng phòng. Phòng thư ghi vào sổ: "hồ sơ số 1 là của phòng 305". Khi thư trả lời về, ghi "hồ sơ số 1", nhân viên phòng thư tra sổ rồi mang đến phòng 305. Người gửi thư chỉ biết địa chỉ tòa nhà, không biết phòng nào. Router và NAT hoạt động đúng như vậy; "hồ sơ số" chính là port.

Chiều đi: ra Internet

Đọc hình theo thứ tự:

1. Laptop gửi gói tin với nguồn là IP riêng và port tạm: 192.168.1.10:51514, đích 203.0.113.10:443.
2. Router nhận gói. Nó thay nguồn bằng IP công cộng của chính nó cùng một port ngoài còn trống, ở đây là 198.51.100.25:62001. Đích không đổi.
3. Router ghi một dòng vào sổ ánh xạ (bảng NAT) để sau này tra ngược.

Vì sao phải đổi cả port, không chỉ IP? Vì nhiều thiết bị cùng dùng chung một IP công cộng. Nếu chỉ đổi IP, khi câu trả lời về, router không phân biệt được của laptop hay điện thoại. Việc đổi kèm port để tách các kết nối gọi là Dịch địa chỉ kèm cổng (PAT); ngoài đời người ta vẫn gọi gộp là NAT. Hình 7 có điểm đáng chú ý: hai máy tình cờ chọn cùng port tạm 51514, vẫn được tách thành 62001 và 62002.

Chiều về: câu trả lời tìm đường vào nhà

3. Máy chủ trả lời về IP công cộng : port ngoài (198.51.100.25:62001). Nó chỉ biết địa chỉ này, không biết gì về 192.168.1.10.
4. Router tra sổ, thấy 62001 tương ứng laptop, đổi đích thành 192.168.1.10:51514 rồi chuyển vào mạng nhà.

Ai nhìn thấy địa chỉ nào?

Hệ quả hay gặp: nhật ký (log) của website ghi IP công cộng của nhà hoặc trường bạn, không ghi từng máy. Khi điều tra sự cố (bài 4), một IP có thể đại diện cho nhiều người.

Đến đây bạn đã có đủ khái niệm. Phần này giúp bạn tìm đúng chỗ trên máy thật để đối chiếu với sơ đồ ở phần 4. Cần đọc ra ba thông tin:

Ngoài việc đọc ba giá trị, ta dùng thêm lệnh ping để kiểm tra máy mình có thật sự nói chuyện được với gateway hay không. Cách làm: chọn hệ điều hành của bạn ở tab dưới và làm theo từng bước. Phần tô vàng trong kết quả là dòng bạn cần đọc; phần còn lại có thể bỏ qua. Các kết quả dưới đây là ví dụ minh họa, số trên máy bạn sẽ khác.

ipconfig getifaddr en0

192.168.1.10

ifconfig

en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500
	ether aa:bb:cc:dd:ee:ff
	inet6 fe80::1c2b:3d4e:5f6a:7b8c%en0 prefixlen 64 scopeid 0xe
	inet 192.168.1.10 netmask 0xffffff00 broadcast 192.168.1.255
	status: active

route -n get default

   route to: default
destination: default
       mask: default
    gateway: 192.168.1.1
  interface: en0

ping -c 4 192.168.1.1

PING 192.168.1.1 (192.168.1.1): 56 data bytes
64 bytes from 192.168.1.1: icmp_seq=0 ttl=64 time=2.914 ms
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=3.207 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=2.655 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=64 time=3.011 ms

--- 192.168.1.1 ping statistics ---
4 packets transmitted, 4 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 2.655/2.947/3.207/0.199 ms

ipconfig

Wireless LAN adapter Wi-Fi:

   Link-local IPv6 Address . . . . . : fe80::1c2b:3d4e:5f6a:7b8c%12
   IPv4 Address. . . . . . . . . . . : 192.168.1.10
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.168.1.1

ping -n 4 192.168.1.1

Pinging 192.168.1.1 with 32 bytes of data:
Reply from 192.168.1.1: bytes=32 time=3ms TTL=64
Reply from 192.168.1.1: bytes=32 time=3ms TTL=64
Reply from 192.168.1.1: bytes=32 time=3ms TTL=64
Reply from 192.168.1.1: bytes=32 time=3ms TTL=64

Ping statistics for 192.168.1.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 3ms, Maximum = 3ms, Average = 3ms

ip -4 addr

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536
    inet 127.0.0.1/8 scope host lo
2: wlp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500
    inet 192.168.1.10/24 brd 192.168.1.255 scope global dynamic wlp2s0

ip route

default via 192.168.1.1 dev wlp2s0 proto dhcp metric 600
192.168.1.0/24 dev wlp2s0 proto kernel scope link src 192.168.1.10

ping -c 4 192.168.1.1

PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=2.81 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=3.12 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=64 time=2.74 ms
64 bytes from 192.168.1.1: icmp_seq=4 ttl=64 time=2.95 ms

--- 192.168.1.1 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 2.740/2.905/3.120/0.145 ms

Tên gọi khác nhau trên từng hệ điều hành

Đọc kết quả: những chỗ dễ nhầm

• Nhiều Giao diện mạng (Network adapter / interface) là bình thường. Máy có thể có Wi-Fi, cáp, Bluetooth, VPN, máy ảo, Docker. Adapter cần đọc là cái đang kết nối và có gateway. Adapter mạng ảo thường có IP riêng khác hẳn (ví dụ 172.17.0.1 của Docker) và không có đường ra Internet.
• IP bắt đầu bằng 169.254 nghĩa là máy không nhận được địa chỉ từ router (lỗi DHCP). Mạng đang trục trặc, kiểm tra Wi-Fi hoặc router trước.
• IP riêng khác IP công cộng. Những số bạn vừa đọc là địa chỉ trong mạng nhà. Địa chỉ mà website bên ngoài nhìn thấy là IP công cộng của router (phần NAT ở trên), xem ở trang quản trị router (mục WAN/Internet). Bài 6 có lab so sánh hai địa chỉ này.
• Cẩn thận khi chụp màn hình. Khi gửi ảnh kết quả cho người khác (hỏi bài, báo lỗi), che dòng ether/Physical Address (địa chỉ MAC, định danh phần cứng) và tên máy. IP riêng ít nhạy cảm hơn, nhưng không cần chia sẻ.

Ở phần 6 ta xem "địa chỉ nhà" của máy. Bây giờ xem cửa nào đang mở: những port mà chương trình đang Lắng nghe (Listen) (chờ có người gõ cửa). Mỗi cửa mở là một phần của bề mặt tấn công, nên quản trị viên cần biết danh sách này.

Một dòng trong danh sách cho ta biết gì?

Mỗi dòng có một cột địa chỉ lắng nghe dạng địa-chỉ:port. Phần địa chỉ quyết định ai gõ cửa được:

Thực hành: chụp ảnh "trước", bật một server nhỏ, chụp ảnh "sau"

Bài thực hành này làm trên một máy, hai cửa sổ lệnh. Gọi cửa sổ đầu là Terminal A, cửa sổ thứ hai là Terminal B. Bài 6 dùng port 8000; bài này dùng 8080 để hai bài không đụng nhau.

lsof -iTCP -sTCP:LISTEN -n -P

COMMAND    PID  USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
rapportd   656  an     11u  IPv4  0x1f2a      0t0  TCP *:49152 (LISTEN)
cupsd      312  root    6u  IPv4  0x3c4b      0t0  TCP 127.0.0.1:631 (LISTEN)

mkdir thu-port
cd thu-port
echo '<h1>Xin chao tu may cua toi</h1>' > index.html

python3 -m http.server 8080 --bind 127.0.0.1

Serving HTTP on 127.0.0.1 port 8080 (http://127.0.0.1:8080/) ...

lsof -iTCP:8080 -sTCP:LISTEN -n -P

COMMAND   PID  USER  FD   TYPE  DEVICE SIZE/OFF NODE NAME
Python  48213  an     5u  IPv4  0x7d1e      0t0  TCP 127.0.0.1:8080 (LISTEN)

netstat -ano | findstr LISTENING

  Proto  Local Address          Foreign Address        State           PID
  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING       1024
  TCP    127.0.0.1:5432         0.0.0.0:0              LISTENING       4120

mkdir thu-port
cd thu-port
Set-Content -Path index.html -Value '<h1>Xin chao tu may cua toi</h1>' -Encoding ascii

py -m http.server 8080 --bind 127.0.0.1

Serving HTTP on 127.0.0.1 port 8080 (http://127.0.0.1:8080/) ...

netstat -ano | findstr :8080

  TCP    127.0.0.1:8080         0.0.0.0:0              LISTENING       9312

ss -tln

State   Recv-Q  Send-Q  Local Address:Port   Peer Address:Port
LISTEN  0       4096    0.0.0.0:22           0.0.0.0:*
LISTEN  0       4096    127.0.0.1:631        0.0.0.0:*

mkdir thu-port
cd thu-port
echo '<h1>Xin chao tu may cua toi</h1>' > index.html

python3 -m http.server 8080 --bind 127.0.0.1

Serving HTTP on 127.0.0.1 port 8080 (http://127.0.0.1:8080/) ...

ss -tln | grep 8080

LISTEN  0       5       127.0.0.1:8080      0.0.0.0:*

Dòng mới 127.0.0.1:8080 chính là cánh cửa bạn vừa mở. Ở cột địa chỉ là 127.0.0.1 chứ không phải * hay 0.0.0.0, nhờ tham số --bind 127.0.0.1.

Bước 5. Làm client: mở trang bằng trình duyệt

Mở trình duyệt, vào http://127.0.0.1:8080. Bạn thấy dòng "Xin chao tu may cua toi". Lúc này:

• Trình duyệt là client, dùng một port tạm do hệ điều hành chọn.
• Python là server, lắng nghe ở port 8080.
• Hai bên đều ở cùng một máy, nói chuyện qua địa chỉ loopback 127.0.0.1.

Quay lại Terminal A (hoặc cửa sổ A), server đã in nhật ký của lần truy cập:

127.0.0.1 - - [19/Oct/2026 20:05:38] "GET / HTTP/1.1" 200 -

Nếu có dòng 404 cho /favicon.ico, đó là trình duyệt tự hỏi biểu tượng tab; bỏ qua.

Bước 6. Tắt server và xác nhận cửa đã đóng

Về Terminal A (cửa sổ A), nhấn Ctrl + C. Dấu nhắc lệnh quay lại. Chạy lại lệnh ở bước 4 trong Terminal B: lần này không còn dòng nào. Cửa 8080 đã đóng, bề mặt tấn công trở về như lúc đầu. Ngoài đời, đây là thói quen cần có: dịch vụ không dùng thì tắt.

Mỗi khái niệm trong bài đều có một hình ảnh đời thường đi kèm. Khi gặp từ lạ, hãy nhớ lại hình ảnh đó:

Về bảo mật, quản trị viên nên biết máy mình đang dùng giao diện nào, đang lắng nghe port nào và ở địa chỉ nào, và dịch vụ nào thật sự cần mở ra ngoài. Bài 6 nói về việc kiểm soát điều đó bằng tường lửa và mã hóa.