System Integration Engineer (Linux/Security)

OSI có 7 tầng: Physical, Data Link, Network, Transport, Session, Presentation, Application. Thực tế người ta hay dùng mô hình TCP/IP 4 tầng, nhưng vẫn gọi tên theo OSI.

• Switch (L2): chuyển frame theo địa chỉ MAC; switch L3 có thêm định tuyến.
• Router (L3): định tuyến gói theo địa chỉ IP giữa các mạng.
• Firewall: lọc ở L3/L4 (IP, port); firewall thế hệ mới đọc được tới L7 (ứng dụng, URL).
• TCP/UDP ở L4; HTTP, DNS ở L7.

Người phỏng vấn muốn nghe: dùng OSI để khoanh vùng sự cố, ví dụ "ping được nhưng không mở được web" là vấn đề từ L4 trở lên.

TCP có kết nối (bắt tay 3 bước), đảm bảo thứ tự và gửi lại gói mất; UDP không kết nối, không đảm bảo, nhưng nhẹ và độ trễ thấp.

• TCP: HTTP/HTTPS (trừ HTTP/3), SSH (22), SMTP, RDP, database.
• UDP: DNS (53, chuyển sang TCP khi trả lời lớn), DHCP (67/68), NTP (123), VoIP, game, video call.
• HTTP/3 chạy trên QUIC, mà QUIC dựa trên UDP.

Hay sai: chỉ mở TCP 53 hoặc UDP 53 trên firewall cho DNS server; nên mở cả hai.

DHCP gồm 4 bước DORA: Discover (máy phát broadcast tìm server), Offer (server đề nghị IP), Request (máy xin IP đó), Acknowledge (server xác nhận, kèm gateway, DNS, thời hạn lease).

IP 169.254.x.x (APIPA) nghĩa là máy không liên lạc được DHCP server. Kiểm tra:

• Cáp, cổng switch, Wi-Fi có kết nối không.
• Cổng switch có đúng VLAN không.
• DHCP server còn chạy, scope còn IP trống không.
• Khác VLAN thì router/switch L3 đã cấu hình DHCP relay (ip helper-address) chưa.

Người phỏng vấn muốn nghe: đi từ tầng vật lý lên, không vội cài lại máy.

Đối xứng dùng một khoá cho cả mã hoá và giải mã (AES), nhanh; bất đối xứng dùng cặp khoá công khai/bí mật (RSA, ECC), dùng cho trao đổi khoá và chữ ký số; hash là hàm một chiều, không giải mã được.

• HTTPS kết hợp cả hai: bất đối xứng để thoả thuận khoá, đối xứng để mã hoá dữ liệu.
• Mật khẩu: lưu bằng hàm hash chậm có salt như Argon2id, bcrypt hoặc scrypt.

Hay sai:

• Lưu mật khẩu bằng MD5/SHA-256 thuần: quá nhanh, dễ bị dò hàng loạt.
• Gọi base64 là "mã hoá".
• Mã hoá mật khẩu (giải ngược được) thay vì hash.

SQL injection xảy ra khi dữ liệu người dùng được ghép thẳng vào câu SQL, khiến dữ liệu bị hiểu thành lệnh. Cách phòng chính là tách dữ liệu khỏi câu lệnh.

// Sai: ghép chuỗi
db.query("SELECT * FROM users WHERE email = '" + email + "'");
// Đúng: tham số hoá
db.query("SELECT * FROM users WHERE email = $1", [email]);

• Dùng prepared statement hoặc ORM đúng cách; cẩn thận với các hàm cho viết raw SQL.
• Tên cột/bảng động thì kiểm tra theo danh sách cho phép.
• Tài khoản DB của ứng dụng chỉ có quyền tối thiểu.
• WAF và SAST là lớp bổ sung, không thay cho code đúng.

Index là cấu trúc dữ liệu phụ (thường là B-Tree) giúp tìm dòng theo giá trị cột mà không phải quét cả bảng, đổi lại tốn dung lượng và làm chậm thao tác ghi.

• B-Tree hợp với so sánh =, <, >, BETWEEN, ORDER BY, LIKE 'abc%'.
• Mỗi INSERT/UPDATE/DELETE phải cập nhật thêm mọi index liên quan.
• Cột có độ chọn lọc thấp (vd. gender, is_deleted) đánh index riêng thường ít tác dụng.

Không nên đánh index tràn lan: chỉ thêm cho cột hay xuất hiện trong WHERE, JOIN, ORDER BY của các query quan trọng, rồi kiểm tra bằng EXPLAIN.

Hay sai: bọc cột trong hàm, vd. WHERE YEAR(created_at) = 2026 hoặc LOWER(email) = ..., khiến index thường trên cột đó không được dùng. Hãy viết lại thành khoảng thời gian hoặc dùng index trên biểu thức.

Đi từ gần ra xa và từ tầng thấp lên cao, mỗi bước loại trừ một khả năng.

ip a                 # hoặc ipconfig /all: có IP, gateway, DNS?
ping <gateway>       # mạng nội bộ ổn?
ping 1.1.1.1         # ra Internet được bằng IP?
nslookup example.com # DNS phân giải được?

• Ping IP được mà tên miền không được: lỗi DNS.
• Chỉ một người bị hay cả phòng: cả phòng thì nghi switch, DHCP, đường truyền.
• Chỉ một trang web: proxy, firewall, hoặc chính trang đó.
• Dùng tracert/traceroute để xem gói dừng ở chặng nào.

Người phỏng vấn muốn nghe: hỏi thêm thông tin trước (ai, từ khi nào, có gì thay đổi).

VLAN chia một switch vật lý thành nhiều mạng L2 logic tách biệt, giúp thu nhỏ vùng broadcast và cô lập các nhóm (kế toán, khách, camera, server).

• Access port: thuộc một VLAN, nối với máy trạm; frame không gắn tag.
• Trunk port: mang nhiều VLAN giữa switch với switch hoặc router, frame gắn tag 802.1Q.
• Các VLAN muốn nói chuyện với nhau phải qua thiết bị L3 (router, switch L3, firewall), nơi có thể đặt ACL.

Hay sai: để Wi-Fi khách chung VLAN với mạng nội bộ, hoặc cho phép mọi VLAN đi qua trunk khi không cần.

Xác định tài nguyên nào đang nghẽn: CPU, RAM, ổ đĩa hay mạng.

uptime; top          # load average, process ngốn CPU/RAM
free -h              # còn RAM không, có dùng swap nhiều?
df -h; df -i         # đầy dung lượng hoặc hết inode
iostat -x 1          # ổ đĩa có quá tải (%util, await)?
ss -tunap            # kết nối mạng
journalctl -p err -b # lỗi từ lần boot này

• Load cao nhưng CPU rảnh: thường là chờ I/O (wa cao trong top).
• dmesg có OOM killer: thiếu RAM.

Hay sai: xoá file log đang được process mở; dung lượng không giải phóng cho tới khi restart process (xem lsof +L1).

Chọn điểm yếu thật, không chí mạng với vị trí, và cho thấy bạn đang cải thiện.

Cấu trúc: điểm yếu, ảnh hưởng đã gặp, việc bạn đang làm để khắc phục, tiến bộ đến nay.

Câu mẫu: "Trước đây em hay ngại hỏi khi bị kẹt, tự loay hoay quá lâu, có lần làm trễ task. Giờ em tự đặt giới hạn: kẹt quá một hai giờ mà không có hướng thì em hỏi đồng đội, kèm những gì đã thử. Từ khi làm vậy em xong việc đúng hạn hơn và học được nhanh hơn từ người khác."

Ví dụ khác có thể dùng: chưa quen nói trước đám đông, tiếng Anh nói chưa trôi chảy, hay ôm việc.

Hay sai: "Điểm yếu của em là quá cầu toàn" (nghe như né câu hỏi), hoặc nêu điểm yếu là kỹ năng cốt lõi của vị trí.