TRIỂN KHAI MẠNG RIÊNG ẢO SỬ DỤNG LIBRESWAN

LỜI CẢM ƠN i MỤC LỤC ii DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT iv DANH MỤC HÌNH VẼ vi LỜI NÓI ĐẦU 1 CHƯƠNG 1: TỔNG QUAN VỀ MẠNG RIÊNG ẢO 2 1.1. Vấn đề an toàn mạng 2 1.2. Mạng riêng ảo 3 1.3. Những yêu cầu đối với mạng riêng ảo 4 1.3.1. Yêu cầu bảo mật 5 1.3.2. Yêu cầu tính sẵn sàng và tin cậy 6 1.3.3. Yêu cầu chất lượng dịch vụ 7 1.3.4. Yêu cầu khả năng quản trị 7 1.3.5. Yêu cầu khả năng tương thích 8 1.4. Mô hình triển khai mạng riêng ảo 8 1.4.1. SitetoSite VPN 9 1.4.2. Remote Access VPN 12 1.5. Phương thức hoạt động của mạng riêng ảo 12 KẾT LUẬN CHƯƠNG 16 CHƯƠNG 2: BẢO MẬT TRONG MẠNG RIÊNG ẢO SỬ DỤNG IPSEC 17 2.1. Tổng quan về IPSec. 17 2.1.1. Mục đích của IPSec. 18 2.2. Kiến trúc của IPSec 20 2.3. Các chế độ IPSec 20 2.3.1. Chế độ Transport 21 2.3.2. Chế độ Tunnel. 22 2.4. Các giao thức của IPSec. 23 2.4.1. Giao thức xác thực tiêu đề (AH) 23 2.4.2. Giao thức đóng gói tải bảo mật(ESP). 29 2.5. Hoạt động của IPSecVPN. 34 KẾT LUẬN CHƯƠNG 36 CHƯƠNG 3: TRIỂN KHAI MẠNG RIÊNG ẢO SỬ DỤNG BỘ PHẦN MỀM LIBRESWAN 37 3.1. Giới thiệu bộ phần mềm Libreswan 37 3.2. Triển khai hệ thống VPNSiteToSite sử dụng Libreswan 38 3.2.1. Mô hình triển khai 38 3.2.2. Cài đặt và cấu hình cơ bản 40 3.2.3. Cài đặt và cấu hình Libreswan 50 3.2.4. Kiểm tra hoạt động 54 3.3. Đánh giá an toàn và hướng phát triển tiếp theo. 56

ĐẠI HỌC BÁCH KHOA HÀ NỘI LUẬN VĂN THẠC SĨ NGHIÊN CỨU TÌM HIỂU TRIỂN KHAI MẠNG RIÊNG ẢO SỬ DỤNG LIBRESWAN Nguyen Thanh Long Hà Nội - 2023 MỤC LỤC LỜI CẢM ƠN i MỤC LỤC i DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT iv DANH MỤC HÌNH VẼ vi LỜI NÓI ĐẦU CHƯƠNG 1: TỔNG QUAN VỀ MẠNG RIÊNG ẢO 1.1 Vấn đề an toàn mạng 1.2 Mạng riêng ảo 1.3 Những yêu cầu mạng riêng ảo 1.3.1 Yêu cầu bảo mật 1.3.2 Yêu cầu tính sẵn sàng tin cậy 1.3.3 Yêu cầu chất lượng dịch vụ 1.3.4 Yêu cầu khả quản trị 1.3.5 Yêu cầu khả tương thích 1.4 Mơ hình triển khai mạng riêng ảo 1.4.1 Site-to-Site VPN 1.4.2 Remote Access VPN 12 1.5 Phương thức hoạt động mạng riêng ảo 12 KẾT LUẬN CHƯƠNG 16 CHƯƠNG 2: BẢO MẬT TRONG MẠNG RIÊNG ẢO SỬ DỤNG IPSEC 17 2.1 Tổng quan IPSec 17 2.1.1 Mục đích IPSec 18 2.2 Kiến trúc IPSec 20 2.3 Các chế độ IPSec 20 2.3.1 Chế độ Transport 21 2.3.2 Chế độ Tunnel 22 2.4 Các giao thức IPSec 23 2.4.1 Giao thức xác thực tiêu đề (AH) 23 2.4.2 Giao thức đóng gói tải bảo mật(ESP) 29 2.5 Hoạt động IPSec-VPN 34 KẾT LUẬN CHƯƠNG 36 CHƯƠNG 3: TRIỂN KHAI MẠNG RIÊNG ẢO SỬ DỤNG BỘ PHẦN MỀM i LIBRESWAN 37 3.1 Giới thiệu phần mềm Libreswan 37 3.2 Triển khai hệ thống VPN-Site-To-Site sử dụng Libreswan 38 3.2.1 Mơ hình triển khai 38 3.2.2 Cài đặt cấu hình 40 3.2.3 Cài đặt cấu hình Libreswan 50 3.2.4 Kiểm tra hoạt động 54 3.3 Đánh giá an toàn hướng phát triển 56 KẾT LUẬN CHƯƠNG 58 KẾT LUẬN 59 TÀI LIỆU THAM KHẢO 60 ii DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT Viết tắt Từ đầy đủ AAA Authentication Authorization Accounting AH Authentication Header ATM Asynchronous Transfer Mode DES Data Encryption Standard DOS Disk Operating System ESP Encapsulating Security Payload GRE Generic Routing Protocol IANA Internet Assigned Numbers Authority IBM International Business Machines ICV Intergrity Check Value IETF Internet Engineering Task Force IP Internet Protocol IPSec Internet Protocol Security IPX Internetwork Packet exchange ISP Internet Service Provider L2F Layer Forwarding L2TP Layer Tunneling Protocol LAN Local Area Network MD5 Message Digest NAS Network Access Server NAT Network Address Translation iv PPP Point to Point Protocol PPTP Point to Point Tunneling Protocol PSTN Public Switched Telephone Network QoS Quality of Service RAS Remote Access Server SA Security Association SHA-1 Secure Hash Algorithm-1 SLA Service Level Agreement SN Sequence Number TCP Tranmition Control Protocol UDP User Datagram Protocol VPN Virtual Private Network WAN Wide area network v DANH MỤC HÌNH VẼ Hình 1.1: Mơ hình VPN Site-to-Site Hình 1.2: Intranet 10 Hình 1.3: Extranet 11 Hình 1.4: Mơ hình VPN Client-to-Site 12 Hình 1.5: VPN mạng – đến – mạng 14 Hình 1.6: VPN truy cập từ xa 15 Hình 2.1: Kiến trúc IPSEC 20 Hình 2.2: IPSec-chế độ Transport 21 Hình 2.3: Khn dạng gói tin IPSec 25 Hình 2.4: Gói tin IP trước sau xử lý AH chế độ transport 26 Hình 2.5: Khn dạng gói tin AH chế độ Tunnel 27 Hình 2.6: Gói IP sau tiêu đề ESP Trailer ESP thêm vào 29 Hình 2.7: Khn dạng ESP 30 Hình 2.8: Gói ESP chế độ Transport 31 Hình 2.9: Gói ESP chế độ Tunnel 32 Hình 2.10: Vị trí IPSec mơ hình OSI 34 Hình 3.1: Mơ hình cài đặt mô VPN Site-to-site sử dụng Libreswan 38 Hình 3.2: Lựa chọn cài đặt window XP 41 Hình 3.3: Quá trình cài đặt window XP 41 Hình 3.4: Cài đặt Windows hồn thành 42 Hình 3.5: Chọn Install để tiếp tục cài đặt 43 Hình 3.6: Chọn Skip để tiếp tục mà không kiểm tra lại đĩa cài 43 Hình 3.7: Chờ q trình cài đặt hồn thành 44 Hình 3.8: Cài đặt CentOS 6.10 VMWare bên Left hồn thành 44 Hình 3.9: Cài đặt CentOS 6.10 VMWare bên Right hoàn thành 45 Hình 3.10: Địa IP máy XP1-PC3 45 Hình 3.11: Địa IP máy XP1-PC4 46 Hình 3.12: Máy XP1-PC3 nối VPN_Gateway_Left qua (Vmnet2) 46 Hình 3.13: VPN_Gateway_Left nối máy XP1-PC3 qua (VMnet2) 47 Hình 3.14: VPN_Gateway_Left nối với VPN_Gateway_Right qua (VMnet3) 47 Hình 3.15: VPN_Gateway_Right nối với máy XP1-PC4 qua (VMnet3) 48 vi Hình 3.16: VPN_Gateway_Right nối với máy XP1-PC4 qua (VMnet4) 48 Hình 3.17: Máy XP1-PC4 nối với VPN_Gateway_Right qua (VMnet4) 49 Hình 3.18: Kiểm tra kết nối VPN_Gateway_Left đến VPN_Gateway_Right 49 Hình 3.19: Kiểm tra kết nối VPN_Gateway_Right đến VPN_Gateway_Left 50 Hình 3.20: Cài đặt Libreswan CentOS 51 Hình 3.21: Tạo cặp khóa bên VPN_Gateway_Left 52 Hình 3.22: Tạo cặp khóa bên VPN_Gateway_Right 52 Hình 3.23: File cấu hình máy VPN_Gateway_Left 53 Hình 3.24: File cấu hình máy VPN-Gateway -Right 54 Hình 3.25: Kiểm tra kết nối từ máy XP1-PC3 đến máy XP1-PC4 55 Hình 3.26: Kiểm tra kết nối từ máy XP1-PC4 đến máy XP1-PC3 56 vii LỜI NÓI ĐẦU Ngày nay, Internet phát triển mạnh mặt mơ hình cơng nghệ, đáp ứng nhu cầu người sử dụng Internet thiết kế để kết nối nhiều mạng khác cho phép thông tin chuyển đến người sử dụng cách thuật tiện Để làm điều người ta sử dụng Router để kết nối LAN WAN với Các máy tính kết nối vào Internet thông qua nhà cung cấp dịch vụ (ISP-Internet Service Provider) Tuy nhiên, Internet có phạm vi tồn cầu khơng tổ chức, phủ cụ thể quản lý dịch vụ Mặt khác, mở rộng mạng đồng nghĩa với rủi ro, công từ mạng trở nên dễ dàng Từ đó, người nghiên cứu đưa mơ hình mạng nhằm tận dụng lại sở hạ tầng có Internet mà đảm bảo tính riêng tư an tồn, mơ hình mạng riêng ảo (Virtual Private Network -VPN) Với mơ hình này, người ta khơng phải đầu tư thêm nhiều sở hạ tầng mà tính bảo mật, độ tin cậy đảm bảo, đồng thời quản lý riêng hoạt động mạng VPN cho phép người sử dụng làm việc nhà, đường hay văn phịng chi nhánh kết nối an tồn đến máy chủ tổ chức sở hạ tầng cung cấp mạng cơng cộng Nó đảm bảo an tồn thơng tin vị trí địa lý khác người sử dụng mơi trường truyền rộng lớn Tuy nhiên, đặc tính định VPN dùng mạng cơng cộng Internet mà đảm bảo tính riêng tư tiết kiệm nhiều CHƯƠNG 1: TỔNG QUAN VỀ MẠNG RIÊNG ẢO 1.1 Vấn đề an toàn mạng Trong hệ thống mạng, vấn đề an toàn bảo mật hệ thống thơng tin đóng vai trị quan trọng Thơng tin có giá trị giữ tính xác, thơng tin có tính bảo mật có người phép nắm giữ thơng tin biết Khi chưa có thông tin, việc sử dụng hệ thống thông tin chưa phải phương tiện quản lý, điều hành vấn đề an tồn, bảo mật đơi bị xem thường Nhưng nhìn nhận tới mức độ quan trọng tính bền hệ thống giá trị đích thực thơng tin có có mức độ đánh giá an tồn bảo mật hệ thống thơng tin Để đảm bảo tính an tồn bảo mật cho hệ thống cần phải có phối hợp yếu tố phần cứng, phần mềm người Để thấy tầm quan trọng việc đảm bảo an ninh mạng ta tìm hiểu tác động việc an ninh mạng từ đưa yếu tố cần bảo vệ:  Tác hại việc không đảm bảo an ninh mạng − Làm tốn chi phí − Tốn thời gian − Ảnh hưởng đến tài nguyên hệ thống − Ảnh hưởng danh dự, uy tín − Mất hội kinh doanh  Các yếu tố cần bảo vệ − Tài nguyên: Dữ liệu, người, hệ thống, đường truyền… − Danh tiếng công ty Sử dụng mạng mang lại cho người nhiều lợi ích Để tận dụng lợi ích mạng mang lại, người tìm cách mở rộng mạng nhiều nơi giới tốt Tuy nhiên, mở rộng mạng bên cạnh việc mang lại lợi ích nguy an tồn mà mang lại nhiều Con người phát triển giải pháp để bảo vệ an tồn cho hồn cảnh Trong giải pháp phát triển đưa vào sử dụng giải pháp mạng riêng ảo lên giải pháp có nhiều ưu điểm Phần tiếp sau giải thích rõ giải pháp 1.2 Mạng riêng ảo Mạng riêng ảo có tên tiếng Anh Virtual Private Network, viết tắt VPN Sau ta thường gọi ngắn gọn theo tên viết tắt Hiện có nhiều định nghĩa khác mạng riêng ảo: − Theo VPN Consortium, VPN mạng sử dụng mạng công cộng (như Internet, ATM/Frame Relay nhà cung cấp dịch vụ) làm sở hạ tầng đề truyền thông tin đảm bảo mạng riêng kiểm sốt truy nhập Nói cách khác VPN định nghĩa liên kết khách hàng triển khai hạ tầng cơng cộng với sách mạng riêng Hạ tầng công cộng mạng IP, Frame Relay, ATM hay Internet − Theo tài liệu IBM VPN mở rộng mạng Internet riêng doanh nghiệp qua mạng công cộng Internet, tạo kết nối an toàn, thực chất qua mạng riêng VPN truyền thơng tin cách an tồn qua Internet kết nối người dùng từ xa, nhánh văn phòng đối tác thương mại thành mạng cơng ty mở rộng Theo cách nói đơn giản, VPN mở rộng mạng riêng qua mạng công cộng (như Internet ) mà đảm bảo bảo mật hiệu kết nối hai điểm truyền thông cuối Mạng riêng mở rộng nhờ trợ giúp “đường hầm” Các đường hầm cho phép thực thể cuối trao đổi liệu theo cách tương tự truyền thông điểm-điểm Việc kết nối mạng máy tính doanh nghiệp lâu thực đường thuê riêng, kết nối Frame relay hay ATM Nhưng rào cản lớn với doanh nghiệp tổ chức chi phí Chi phí từ nhà cung cấp dịch vụ, chi phí từ việc trì, vận hành hạ tầng mạng, thiết bị riêng doanh nghiệp lớn Vì vậy, điều dễ hiểu thời gian dài, gần không thấy nhiều ứng dụng, giải pháp hữu ích mạng diện rộng WAN Hình 3.11: Địa IP máy XP1-PC4  Kết nối card mạng theo mơ hình + Máy tính XP1-PC3 kết nối đến máy VPN_Gateway_Left thơng qua Custom (VMnet2) Hình 3.12: Máy XP1-PC3 nối VPN_Gateway_Left qua (Vmnet2) + Máy tính VPN_Gateway_Left kết nối tới máy tính máy XP1-PC3 thơng qua Custom(Vmnet2) 46 Hình 3.13: VPN_Gateway_Left nối máy XP1-PC3 qua (VMnet2) + Máy tính cài VPN_Gateway_Left VPN_Gateway_Right thông qua VMnet3 kết nối tới máy tính cài Hình 3.14: VPN_Gateway_Left nối với VPN_Gateway_Right qua (VMnet3) + Máy tính cài VPN_Gateway_Right kết nối với máy tính cài VPN_Gateway_Left thơng qua VMnet3 47 Hình 3.15: VPN_Gateway_Right nối với máy XP1-PC4 qua (VMnet3) + Máy tính cài VPN_Gateway_Right kết nối với máy tính máy XP1PC4 thơng qua Custom (VMnet4) Hình 3.16: VPN_Gateway_Right nối với máy XP1-PC4 qua (VMnet4) + Máy tính máy XP1-PC4 kết nối với máy tính cài VPN_Gateway_Right thơng qua Custom (VMnet4) 48 Hình 3.17: Máy XP1-PC4 nối với VPN_Gateway_Right qua (VMnet4) − Kiểm tra kết nối theo mơ hình triển khai + Kiểm tra kết VPN_Gateway_Right nối từ máy VPN_Gateway_Left đến máy Hình 3.18: Kiểm tra kết nối VPN_Gateway_Left đến VPN_Gateway_Right + Kiểm tra kết VPN_Gateway_Left nối từ máy VPN_Gateway_Right đến máy 49 Hình 3.19: Kiểm tra kết nối VPN_Gateway_Right đến VPN_Gateway_Left 3.2.3 Cài đặt cấu hình Libreswan − Tải cài đặt trực tiếp từ Internet (kết nối Internet cài đặt) Để kết nối máy ảo Internet cần chuyển card mạng sang chế độ Bridge NAT Lưu ý sau cài Libreswan từ Internet cần đặt lại IP máy theo mơ hình Khi máy ảo VPN_Gateway_Left VPN_Gateway_Right kết nối Internet, sử dụng lệnh sau để cài đặt Libreswan: yum install libreswan –y 50 Hình 3.20: Cài đặt Libreswan CentOS − Khởi tạo NSS database : ipsec initnss configdir /etc/ipsec.d − Tạo cặp khóa hai máy VPN- Gateway : + Trên máy VPN Gateway Left chạy lệnh sau: ipsec newhostkey configdir /etc/ipsec.d output /etc/ipsec.d/Left.secrets Lệnh tạo file Left.secrets thư mục /etc/ipsec.d/ + Trên máy VPN Gateway Right chạy lệnh sau: ipsec newhostkey configdir /etc/ipsec.d output /etc/ipsec.d/Right.secrets Lệnh tạo file Right.secrets thư mục /etc/ipsec.d/ − Bên Left 51 Hình 3.21: Tạo cặp khóa bên VPN_Gateway_Left − Bên Right Hình 3.22: Tạo cặp khóa bên VPN_Gateway_Right + Xem khóa cơng khai tạo ra, máy VPN Gateway sử dụng lệnh sau: ipsec showhostkey left + Copy phần key lại để dùng cho phần tạo file cấu hình − Tạo file cấu hình site-to-site VPN : Trên VPN Gateway chạy lệnh sau: vi /etc/ipsec.d/my_site-to-site.conf Chỉnh sửa sau (File hai máy Giống nhau): conn A-B leftid=@Left left=2.2.2.1 leftsourceip=2.2.2.1 leftsubnet=1.1.1.0/24 leftrsasigkey=> rightid=@Right 52 right=2.2.2.2 rightsourceip=2.2.2.2 rightsubnet=3.3.3.0/24 rightrsasigkey=> keyexchange=ike ike=aes256-sha1;modp2048 esp=aes256-sha1 compress=no pfs=yes authby=rsasig auto=start Hình 3.23: File cấu hình máy VPN_Gateway_Left 53 Hình 3.24: File cấu hình máy VPN-Gateway -Right − Thiết lập cho phép chuyển tiếp gói tin card mạng: echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf sysctl -p − Restart lại ipsec ipsec auto add A-B ipsec auto up A-B service ipsec full-restart 3.2.4 Kiểm tra hoạt động − Kiểm tra tình trạng kết nối VPN, sử dụng lệnh sau máy VPN_Gateway: + Trên máy VPN_Gateway_Left, chạy lệnh sau: ipsec whack trafficstatus ping -n -c -I 1.1.1.1 3.3.3.1 tcpdump -n -i ens2 esp or udp port 500 or udp port 4500 + Trên máy VPN_Gateway_Right, chạy lệnh sau: ipsec whack trafficstatus ping -n -c -I 3.3.3.1 1.1.1.1 54 tcpdump -n -i ens2 esp or udp port 500 or udp port 4500 Nếu kết trả ping thành công xuất kênh liên lạc hai máy VPN_Gateway_Left VPN_Gateway_Right có nghĩa hệ thống triển khai thành công − Tại điểm đầu cuối, kiểm tra kết nối tới điểm đầu cuối phía bên + Kiểm tra kết nối từ máy XP1-PC4 đến máy XP1-PC3 Hình 3.25: Kiểm tra kết nối từ máy XP1-PC3 đến máy XP1-PC4 + Kiểm tra kết nối từ máy XP1-PC4 đến máy XP1-PC3 55 Hình 3.26: Kiểm tra kết nối từ máy XP1-PC4 đến máy XP1-PC3 Như vậy, hệ thống hoạt động theo mục tiêu mơ hình 3.3 Đánh giá an tồn hướng phát triển Qua phần triển khai phần trên, thấy thơng tin truyền từ SiteA sang SiteB thông qua VPN_Gateway_Left VPN_Gateway_Right Thông tin từ SiteA (PC3) đến VPN_Gateway_Left thông tin dạng rõ Khi đến VPN_Gateway_Left, thông tin mã hóa truyền đến VPN_Gateway_Right Tại VPN_Gateway_Right, thơng tin giải mã truyền tới SiteB (PC4) Như vậy, thông tin truyền hai VPN_GateWay thông tin mã hóa Do đó, thơng tin bảo vệ trình truyền từ VPN_Gateway_Left đến VPN_Gateway_Right Trong thực tế VPN_Gateway_Left VPN_Gateway_Right thường đặt vị trí địa lý cách xa nhau, đường truyền từ VPN_Gateway_Left đến VPN_Gateway_Right thường sử dụng hạ tầng mạng công cộng Việc đảm bảo thông tin truyền hạ tầng mạng công cộng bảo vệ mật mã điều kiện định để khẳng định tính bí mật thơng tin đảm bảo Các thuật toán mật mã sử dụng phần mềm libreswan sử dụng thuật toán mật mã tuân theo chuẩn chung giới Các thuật toán mật mã chứng minh khẳng định độ an toàn 56 mức chấp nhận lĩnh vực dân Tuy nhiên, để có thẻ đảm bảo độ an tồn cần phải thực số thay đổi như: − Thay thuật toán mặc định libreswan thuật toán chứng minh độ an toàn mức độ mong muốn (an toàn lĩnh vực quân sự…) − Bổ xung thêm giải pháp nâng cao an toàn khác như: Tường lửa, IDS, IPS,… 57 KẾT LUẬN CHƯƠNG Chương trình bày mơ hình triển khai VPN Site to Site sử dụng phần mềm Libreswan để thiết lập mạng riêng ảo bảo vệ thông tin truyền hai đơn vị SiteA SiteB Từ mơ hình em tiến hành mô phỏng, kiểm tra hoạt động mô hình phần mềm tạo máy ảo VMWare Từ nghiên cứu lý thuyết công nghệ VPN nghiên cứu phần mềm Libreswan em thấy mơ hình ứng dụng mà em đưa đảm bảo yêu cầu đảm bảo tính bí mật xác thực thông tin truyền hai đơn vị có khả ứng dụng thực tế cao 58 KẾT LUẬN Chương trình bày tổng quan công nghệ mạng riêng ảo, nguy cơ, hiểm họa mạng máy tính, tác hại việc khơng đảm bảo an tồn mạng máy tính để từ thấy tầm quan trọng cơng nghệ VPN lợi ích triển khai thực tế Chương trình bày giao thức IPSEC IPSEC giúp phần làm tăng cường tính an tồn an ninh thông tin trao đổi, giao dịch mạng có sử dụng hạ tầng mạng cơng cộng IPSEC lựa chọn giao thức sử dụng nhiều để triển khai VPN thực tế Chương trình bày mơ hình ứng dụng phần mềm Libreswan để thiết lập mạng riêng ảo, bảo vệ thông tin truyền hai đơn vị Từ mơ hình em tiến hành cài đặt, mô phỏng, kiểm tra hoạt động mơ hình phần mềm tạo máy ảo VMWare Từ nghiên cứu lý thuyết công nghệ VPN nghiên cứu phần mềm Libreswan em thấy mơ hình ứng dụng mà em đưa đảm bảo yêu cầu tính bí mật xác thực thông tin truyền hai đơn vị có khả ứng dụng thực tế cao 59 TÀI LIỆU THAM KHẢO [2] Red Hat Inc; Red Hat Enterprise Linux Securing networks; 2019 [3] Sun Microsystems, Inc; IPSec and IKE Administration Guide; 2003 [4] https://ww.Libreswan.org 60