Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao pot

Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao - Phần 1 Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao - Phần 2 Tổng quan về

Tổng quan về Firewall của

Windows Server 2008 với tính

năng bảo mật nâng cao

Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao - Phần 1

Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao - Phần 2

Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao - Phần 3

Thomas Shinder

Trong phần 3 giới thiệu về cách tạo một chính sách miền cách lý bằng cách sử dụng giao diện điều khiển IPsec và Windows

Firewall with Advanced Security tích hợp trong Windows Server

2008 Group Policy Editor, chúng tôi đã giới thiệu cho các bạn cách cấu hình chính sách IPsec mặc định để sử dụng mã hóa ESP trên kết nối được bảo vệ bởi IPsec, sau đó là giới thiệu về cách tạo rule chính sách IPsec cho các domain controller

Trong phần tiếp theo này chúng tôi sẽ giới thiệu cho các bạn về cách tạo chính sách miền cách ly IPsec trong một mạng đơn giản,

tạo một rule miền cách ly cho máy chủ và máy khách yêu cầu bảo mật (thẩm định quyền), cấu hình máy chủ để sử dụng các kết nối ping gửi đến chúng nhằm kiểm tra rule vừa tạo Cuối cùng của phần này la kiểm tra rule để xác nhận rằng IPsec được sử dụng cho các kết nối và kết nối đó được mã hóa bằng ESP

Tạo một rule miền cách ly cho máy chủ và khách

Rule tiếp theo chúng ta sẽ tạo là cách ly miền cho máy chủ và khách Rule này sẽ không yêu cầu bảo mật giống như các rule trước mà chúng ta đã tạo cho các kết nối với domain controller

Nó chỉ yêu cầu sự thẩm định quyền và bảo mật khi các thành viên miền kết nối với nhau Yêu cầu sự thẩm định quyền cho các kết nối gửi đến, bảo mật cho các kết nối gửi đi

Khi bạn yêu cầu bảo mật cho kết nối gửi đến, cần yêu cầu các máy tính muốn kết nối đến thành viên miền phải thẩm định quyền đối với thành viên miền đó bằng Kerberos Nếu máy tính đó

không thẩm định quyền cũng đồng nghĩa kết nối đó sẽ bị thất bại

Nếu máy tính có thể thẩm định quyền thì kết nối đó sẽ được cho phép Rule này cho phép các thành viên có thể thiết lập các kết nối an toàn với nhau trong khi đó vẫn cho phép các thành viên miền kết nối với các thành viên không thuộc miền (thành viên không thể thẩm định quyền)

Điều hướng đến nút Connection Security Rules ở panel bên trái

của Group Policy Editor như những gì bạn đã thực hiện khi tạo rule trước

Kích chuột phải vào Connection Security Rules, sau đó

kích New Rule

Hình 1

Trong trang Rule Type, hãy chọn tùy chọn Isolation và kích Next

Hình 2

Trong trang Authentication Method, chọn Default và kích Next

Hình 3

Trong trang Name, đặt tên cho rule Trong ví dụ này chúng tôi đặt

là Client/Server Domain Isolation và nhập vào đó chỉ

dẫn Encrypts and secure connections between all machines that are not DCs or infrastructure servers (DNS, DHCP,

Default Gateway, WINS)

Kích Next

Hình 4

Lưu ý rule trong danh sách các rule bảo mật kết nối Bạn có thể sẽ phân vân liệu chúng ta sẽ gặp phải vấn đề nào đó ở đây không,

vì Client/Server Domain Isolation rule có tất cả các địa chỉ IP,

trong đó có cả các địa chỉ IP của domain controller

Tuy nhiên điều này không gây ảnh hưởng gì vì các rule được đánh giá từ cụ thể nhất đến kém cụ thể nhất Chính vì vậy, rule cụ thể

hơn sẽ được đánh giá trước rule kém cụ thể hơn Trong trường

hợp hai rule mà chúng ta có ở đây, DC Request Security rule cụ thể hơn vì Endpoint 2 là một địa chỉ IP cụ thể, còn Client/Server Domain Isolation rule thì Endpoint 2 là bất kỳ địa chỉ IP nào

Hình 5

Lưu ý nữa, trong môi trường sản xuất chúng ta cần phải tạo một

số rule ngoại lệ cho một số thiết bị nào đó được miễn thẩm định quyền DHCP, DNS, WINS và các địa chỉ gateway mặc định cần phải được sử dụng bởi các máy không phải là thành viên miền và như vậy không thể thẩm định quyền bằng Kerberos

Tạo Firewall Rule để cho phép Ping gửi đến

Để kiểm tra cấu hình, bạn có thể sử dụng lệnh ping để ping đến máy chủ từ một máy khách Vista nào đó Để thực hiện, cần phải cho phép các ping ICMP gửi yêu cầu tới được máy chủ test Tạo mọt rule cho phép máy khách Vista có thể ping đến máy chủ bằng

Windows Firewall with Advanced Security MMC

Trên máy chủ, bạn hãy mở Windows Firewall with Advanced Security từ Administrative Tools menu

Bên trái panel giao diện điều khiển Windows Firewall with Advanced Security, hãy kích chuột phải vào nútInbound

Rules trong panel bên trái và kích tiếp New Rule

Hình 6

Trong trang Rule Type, chọn tùy chọn Custom và kích Next

Hình 7

Trong trang Program, chọn tùy chọn All Programs và

kích Next

Hình 8

Trong trang Protocol and Ports, kích mũi tên chỉ xuống trong danh sách Protocol Type và chọn tùy chọnICMPv4

Kích nút Customize Trong hộp thoại Customize ICMP

Settings, chọn tùy chọn Specific ICMP types Sau đó hãy tích vào hộp kiểm Echo Request Kích OK

Hình 9

Kích Next trong trang Protocol and Ports

Hình 10

Trong hộp thoại Scope, sử dụng các thiết lập mặc định cho các địa chỉ IP từ xa và cục bộ, Any IP address.Kích Next

Hình 11

Trong trang Action, chọn tùy chọn Allow the connection và kích Next

Hình 12

Trong trang Profile, remove các dấu chọn từ các hộp

chọn Private và Public và kích Next

Hình 13

Trong trang Name, hãy đặt tên cho rule Trong ví dụ này chúng tôi đặt tên cho nó là Allow ICMP Request Sau đó kích Finish

Hình 14

Bạn có thể thấy Allow ICMP Request rule trong danh sách các

rule gửi đến

Hình 15

Quan sát hành động của bảo mật kết nối

OK, lúc này chúng ta đã sẵn sàng để xem xem mọi thứ có làm

việc hay không! Hãy vào máy chủ và mở giao diện điều

khiển Windows Firewall with Advanced Security, kích

nút Connection Security Rules trong phần panel bên trái của

giao diện Bạn cần phải thấy các rule mà mình đã tạo trong Group Policy Nếu không thấy các rule này, hãy thực hiện theo hướng dẫn sau:

 Tại domain controller, mở một nhắc lệnh và đánh gpupdate /force, sau đó nhấn ENTER để cập nhật Group Policy trên

Rules trên máy chủ để xem danh sách được cập nhật của các rule

này Đây là một danh sách tương tự như vậy mà bạn thấy trong Group Policy Editor

Hình 16

Kích nút Main Mode trong phần panel bên trái của giao diện điều

khiển Bạn phải thấy được máy chủ đã được thiết lập các kết nối

an toàn cho cả domain controller và máy khách Vista Nếu không thấy các kết nối an toàn đến máy khách Vista, hãy thực hiện theo các hướng dẫn sau:

 Chạy gpupdate /force trene máy khách Vista

 Cấu hình Connection Security Rules đã được áp dụng trên

máy khách Vista bằng cách kiểm tra chúng trongWindows

Firewall with Advanced Security MMC snap-in trên máy khách

này

 Nếu không thấy làm việc, bạn hãy khởi độnglại máy khách

 Ping đến máy khách Vista từ máy chủ

Sau khi thực hiện các bước này, bạn cần phải thấy các kết nối IPsec an toàn giữa máy chủ và domain controller và máy khách Vista

Hình 17

Khi bạn kích đúp vào một trong các entry trong phần panel chi

tiết của nút Main Mode, bạn có thể thấy các thông tin chi tiết của

kết nối an toàn

Hình 18

Kích nút Quick Mode trong panel bên trái của giao diện điều

khiển Bạn cần phải thấy được các kết nối an toàn cho cả domain controller và máy khách Vista

Hình 19

Nếu kích đúp vào một trong các entry trong panel chi tiết của

nút Quick Mode, bạn sẽ thấy các thông tin chi tiết của kết nối Lưu ý rằng ESP confidentiality được sử dụng và đang sử dụng

mã hóa AES-128 bit Điều này có nghĩa rằng kết nối này hoàn toàn an toàn trên mạng và không thể bị đánh cắp bởi kẻ xâm nhập

Hình 20

Trong phần tiếp theo của loạt bài này chúng tôi sẽ minh chứng cho các bạn về sự cách ly máy chủ Sự hữu dụng của nó như thế nào khi các máy tính không phải là thành viên miền Trong trường

hợp đó chúng tôi sẽ giới thiệu cách sử dụng các phương pháp thẩm định quyền để bảo vệ các kết nối giữa các máy tính không phải là thành viên miền