(Tiểu luận) nhập môn bảo đảm và an ninh thông tin báo cáo thực hành lab 6

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN KHOA KHOA HỌC VÀ KỸ THUẬT THÔNG TIN NHẬP MÔN BẢO ĐẢM VÀ AN NINH THÔNG TIN BÁO CÁO THỰC HÀNH LAB Giảng viên hướng dẫn: Phạm Nhật Duy Lớp: IE105.N12.CNCL Sinh viên thực hiện: Bùi Công Tri Nguyễn MSSV: 20521044 Thanh Nhàn Đinh MSSV: 20521700 Thị Ánh Nguyệt MSSV: 20521687 Nguyễn Tiến Phạm MSSV: 20522009 Hữu Phúc Nguyễn MSSV: 20521770 Phương Tồn MSSV: 20522027 TP Hồ Chí Minh – 05/01/2023 Mục lục LAB GIỚI THIỆU VỀ SQUID PROXY I II TRIỂN KHAI SQUID PROXY Mô tả lab: Mơ hình triển khai: .3 Cài đặt III TRIỂN KHAI MỘT SỐ CHÍNH SÁCH QUẢN LÝ TRUY CẬP TRÊN SQUID .3 Viết sách quản lý truy cập internet theo thời gian: Viết sách quản lý truy cập theo tên miền trang web 3 Viết sách quản lý truy cập theo địa IP: .3 KIỂM TRA CÁC CHÍNH SÁCH VỪA TẠO IV V Kiểm tra sách truy cập theo thời gian .3 Kiểm tra sách kiểm soát truy cập theo IP 3 Kiểm tra sách kiểm sốt truy cập theo tên miền Phần mở rộng a) b) Tìm hiểu triển khai cơng cụ quản trị Squid Proxy: Webmin Tìm hiểu triển khai công cụ quản trị kết xuất báo cáo truy cập web người dùng : The Squid Analyzer c) Tìm hiểu triển khai proxy hoàn chỉnh : bao gồm HTTP+HTTPS proxy, tích hợp chống virus, lọc theo content trang web, tích hợp chứng thực người dùng sử dụng proxy, Mục lục hình ảnh LAB I GIỚI THIỆU VỀ SQUID PROXY Squid proxy giải pháp proxy mã nguồn mở Squid có đầy đủ tính giải pháp proxy chun dụng, ngồi cịn hỗ trợ thêm tính ICP ( Internet Cache Protocol) cho phép cập nhật thay đổi nội dung URL sẵn có nhớ đệm đồng thời lại cung cấp miễn phí Chính lý Squid trở thành giải pháp web caching proxy nhiều người sử dụng Chúng ta xem thêm số thông tin trang chủ http://squidcache.org Trong lab này, triển khai Squid Proxy hệ điều hành CentOS 6.7 i686 TRIỂN KHAI SQUID PROXY II 1.Mô tả lab: Trong lab này, triển khai squid proxy hai chế độ: Squid non-transparent proxy Squid transparent proxy (kết hợp iptables) Sau triển khai xong viết sách kiểm sốt truy cập tương ứng Mơ hình triển khai: Bảng thông tin địa IP: Dùng lệnh ip a để kiểm tra IP eth1, sau dựa vào để cấu hình IP cho PC1 PC1 IP Address SubnetMask 192.168.112.5 255.255.255.0 Default Gateway DNS eth0: Bridge Squid Proxy eth1: 192.168.112.137 255.255.255.0 Cài đặt Khởi tạo máy ảo sau: Cấu hình cho IpTable: - Cho phép ứng dụng giao tiếp với thông qua cổng loopback iptables: iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state state ESTABLISHED,RELATED -j ACCEPT - Cho phép kết nối dc khởi tạo trước - NAT cho dải IP nội internet: iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE iptables -A FORWARD -i eth1 -o eth0 -p udp dport 53 -j ACCEPT iptables -A FORWARD -i eth1 -o eth0 -p tcp dport 80 -j ACCEPT iptables -A FORWARD -i eth1 -o eth0 -p udp dport 443 -j ACCEPT - Trên iptables, tiến hành mở port 53, 80 443 - Cho phép tất gói tin từ cổng eth0 vào cổng eth1 phần kết nối khởi tạo trước Lưu lại cấu hình iptables: iptables-save > /etc/sysconfig/iptables iptables -A FORWARD -i eth0 -o eth1 -m state state vi /etc/squid/squid.conf RELATED,ESTABLISHED -j ACCEPT Cấu hình squid chế độ non-tran sparent proxy: Dưới trường “Apdapt to list your IP internal network from where browsing should be allowed thêm vào dòng sau Trường định nghĩa dải địa IP mà cho phép sử dụng squid proxy Chúng ta thêm vào dòng sau acl local_net src 192.168.1.0/24 Dưới trường “INSERT YOUR OWN RULE HERE TO ALLOWED ACCESS FROM YOUR CLIENT”, thêm vào dòng sau: http_access allow local_net Định nghĩa port mà Squid Proxy lắng nghe Chúng ta để mặc định 3128 Uncomment (Xóa dấu #) trước dịng cache_dir ufs /var/spool/squid 1000 16 256 Các thơng số có ý nghĩa sau: Dung lượng lưu trữ dành cho squid cache ổ cứng 1000 MB Bao gồm 16 thư mục Mỗi thư mục bao gồm 256 thư mục Các thơng số tùy chỉnh theo nhu cầu riêng cho thích hợp Khởi tạo thư mục cache: squid –z Khởi động lại squid: service squid restart Cấu hình iptables: Bật tính ip_forwarding: Chỉnh sửa file vi /etc/sysctl.con Cấu hình NAT cho dải IP nội internet: ptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE (Trong card eth0 card giao tiếp với internet) Chỉnh sửa CHAIN iptables mặc định ACCEPT iptables –P INPUT ACCEPT iptables –P OUTPUT ACCEPT iptables –P FORWARD ACCEPT Tắt Selinux: vi /etc/sysconfig/selinux Lưu ý trường hợp mục Default gateway bỏ trống Trên Client, vào Control Panel | Internet Option | Connection | LAN Settings Điền thông số sau: Address: Địa IP Squid Proxy Port : Địa Port mà squid proxy thực lắng nghe Sau chọn OK Trên client, thực truy cập thử vào internet Ta thấy client truy cập bình thường Xem thơng tin access.log Squid: tail –f /var/log/squid/access.log Trong file log thấy có hai kiểu tin: TCP_MISS: Nội dung khơng tìm thấy cache, u cầu redirect trực tiếp đến Server TCP_HIT: Nội dung tìm thấy cache, yêu cầu trả trực tiếp cho client Kết luận: Chúng ta triển khai thành công Squid chế độ non-transparent Cấu hình squid chế độ transparent proxy: Khi cấu hình squid chế độ transparent proxy tính NAT iptables làm nhiệm vụ chuyển hướng luồng traffic đến IP + port mà squid lắng nghe Chỉnh sửa file cấu hình squid sau: Dùng tính NAT iptables để chuyển dịch địa IP tương ứng: iptables –t nat –A PREROUTING –i eth1 –p tcp dport 80 –j DNAT –to 192.168.1.254:3128 iptables –t nat –A PREROUTING –i eth0 –p tcp dport 80 –j REDIRECT –to-port 3128 Thêm câu lệnh sau: visible_hostname centossrv Với centossrv hostname squid proxy Giải thích ý nghĩa hai câu lệnh : Câu lệnh thứ nhất: thực thay đổi destination IP tất gói tin đến từ mạng nội ( cổng eth1) có giao thức tcp có port đích 80 thành địa IP port tương ứng squid proxy Câu lệnh thứ hai : thực chuyển hướng port từ port 80 sang port 3128 tất gói tin từ mạng bên (cổng eth0) Khởi động lại squid: service squid restart 10 Trên client, cấu bình thường: III TRIỂN KHAI MỘT SỐ CHÍNH SÁCH QUẢN LÝ TRUY CẬP TRÊN SQUID Viết sách quản lý truy cập internet theo thời gian: Thêm dòng ACL sau danh sách quản lý truy cập Squid: vi /etc/squid/squid.conf Trong H T W H F viết tắt ngày tuần bao gồm (M: thứ hai, T: thứ ba, W: thứ tư, H : thứ năm, F: thứ sáu) Thêm dòng 1 Viết sách quản lý truy cập theo tên miền trang web Comment (Thêm dấu # vào dòng rule vừa tạo) Thêm file restricted-site.squid vào đường dẫn /etc/squid/ chứa destination domain cần cấm vi /etc/squid/restricted-site.squidA Thêm dịng sau vào file cấu hình squid /etc/squid/squid.conf Định nghĩa acl chứa nội dung file vừa tạo: Viết rule tương ứng với acl đó: Viết sách quản lý truy cập theo địa IP: Định nghĩa acl chứa địa IP cần cấm Thêm dòng ACL : IV KIỂM TRA CÁC CHÍNH SÁCH VỪA TẠO Kiểm tra sách truy cập theo thời gian Triển khai sách quản lý truy cập thành cơng Kiểm tra sách kiểm sốt truy cập theo IP Triển khai sách quản lý truy cập thành cơng Kiểm tra sách kiểm sốt truy cập theo tên miền Triển khai sách quản lý truy cập thành cơng Triển khai sách quản lý truy cập thành công