Các đặc điểm chính của VPN bao gồm: Mã Hóa Dữ Liệu: VPN sử dụng các phương pháp mã hóa để bảo vệ dữ liệu truyền qua mạng, làm cho nó trở nên khó đọc hoặc hiểu được đối vớinhững người khô
TỔNG QUAN VỀ VPN
Khái niệm cơ bản về VPN
VPN, hay "Mạng Riêng Ảo", là công nghệ giúp tạo kết nối mạng an toàn và mã hóa giữa thiết bị của bạn và máy chủ VPN Nó có nhiều ứng dụng, bao gồm bảo vệ quyền riêng tư trực tuyến, truy cập mạng nội bộ từ xa và che giấu địa chỉ IP để duyệt web ẩn danh.
Các đặc điểm chính của VPN bao gồm:
Mã hóa dữ liệu là một trong những tính năng quan trọng của VPN, giúp bảo vệ thông tin truyền qua mạng bằng cách sử dụng các phương pháp mã hóa Điều này làm cho dữ liệu trở nên khó đọc và không thể hiểu được đối với những người không có quyền truy cập, đảm bảo an toàn và bảo mật cho người dùng.
VPN giúp ẩn giấu địa chỉ IP của bạn bằng cách kết nối với một máy chủ VPN, từ đó bảo vệ hoạt động trực tuyến và ngăn chặn việc theo dõi dựa trên địa chỉ IP.
An toàn khi sử dụng mạng công cộng: Khi bạn sử dụng một mạng Wi-
Fi công cộng, thông tin của bạn có thể trở nên dễ bị tấn công VPN giúp bảo vệ dữ liệu của bạn trước những mối đe dọa này.
Sử dụng VPN giúp bạn truy cập vào các nội dung bị hạn chế do một số quốc gia hoặc tổ chức áp đặt Bằng cách kết nối đến máy chủ ở một quốc gia khác, bạn có thể dễ dàng "vượt qua" những hạn chế này và truy cập vào các trang web hoặc dịch vụ mà bạn cần.
VPN cho phép người dùng truy cập từ xa vào mạng nội bộ của tổ chức, giúp họ dễ dàng kết nối với các tài nguyên như tệp tin, máy chủ và ứng dụng mà không cần có mặt trực tiếp tại văn phòng.
VPN có nhiều loại và ứng dụng khác nhau, nhưng mục tiêu chung là cung cấp một môi trường kết nối an toàn và riêng tư trên mạng internet.
Phân loại VPN
Mô hình kết nối mạng này cho phép liên kết các hệ thống mạng tại nhiều vị trí khác nhau, tạo thành một mạng lưới thống nhất Trong loại kết nối này, việc xác thực ban đầu được thực hiện thông qua các thiết bị đầu cuối tại các Site, mà hoạt động như Gateway Tại đây, nhiều chính sách bảo mật được áp dụng nhằm đảm bảo việc truyền dữ liệu an toàn giữa các Site.
Hình 1.1 VPN site to site
Site-to-Site VPN có thể được phân loại thành intranet VPN hoặc extranet VPN tùy thuộc vào chính sách quản lý Khi nhìn nhận từ góc độ chứng thực, nó được coi là intranet VPN, trong khi ngược lại, nó có thể được xem như extranet VPN Mức độ kiểm soát truy cập giữa các site có thể được điều chỉnh bởi cả hai loại VPN này, tùy thuộc vào các site tương ứng.
VPN truy cập từ xa cho phép nhân viên tại các chi nhánh kết nối với tài nguyên mạng của tổ chức một cách linh hoạt, bất cứ lúc nào và từ bất kỳ thiết bị nào, bao gồm cả di động và các thiết bị truyền thông khác.
Remote Access VPN cho phép người dùng từ xa truy cập vào mạng Intranet của công ty thông qua phần mềm VPN, sử dụng gateway hoặc VPN concentrator, tức là một server Giải pháp này thường được gọi là mô hình client/server, trong đó người dùng sử dụng công nghệ WAN truyền thống để thiết lập các tunnel kết nối về mạng chính của họ.
Loại kết nối này thường được sử dụng cho nhân viên làm việc từ xa hoặc tại nhà, giúp họ truy cập vào mạng công ty một cách an toàn Ngoài ra, nó cũng phù hợp cho các văn phòng nhỏ ở xa muốn kết nối với văn phòng trung tâm của công ty.
Remote Access VPN, hay còn gọi là User-to-LAN, cho phép người dùng từ xa kết nối với VPN Server thông qua phần mềm VPN Client Một xu hướng mới trong lĩnh vực này là wireless VPN, cho phép nhân viên truy cập vào mạng công ty qua kết nối không dây Trong thiết kế này, các kết nối không dây phải liên kết với một trạm wireless (wireless terminal) trước khi truy cập vào mạng của công ty Cả hai phương thức đều sử dụng phần mềm client trên máy PC để khởi tạo các kết nối bảo mật, được gọi là tunnel.
Một yếu tố quan trọng trong thiết kế hệ thống là quy trình xác thực ban đầu, nhằm đảm bảo yêu cầu được gửi từ nguồn tin cậy Giai đoạn này thường dựa trên chính sách bảo mật của công ty, bao gồm các quy trình, kỹ thuật và máy chủ như RADIUS và TACACS+.
Ưu điểm và hạn chế của VPN
Bảo mật dữ liệu là một yếu tố quan trọng, và VPN sử dụng công nghệ mã hóa để bảo vệ thông tin khi truyền qua mạng Việc này giúp ngăn chặn người khác tiếp cận và đọc thông tin cá nhân của bạn, đảm bảo an toàn cho dữ liệu trực tuyến.
Che giấu địa chỉ IP: VPN ẩn địa chỉ IP thực của bạn, giúp bạn duyệt web ẩn danh và ngăn chặn theo dõi trực tuyến.
Sử dụng mạng Wi-Fi công cộng có thể tiềm ẩn nhiều rủi ro về an toàn thông tin cá nhân Để bảo vệ dữ liệu của bạn khỏi các cuộc tấn công từ bên thứ ba, việc sử dụng VPN là một giải pháp hiệu quả.
VPN giúp bạn vượt qua các hạn chế truy cập do quốc gia hoặc tổ chức áp đặt, cho phép bạn truy cập nội dung trực tuyến mà thông thường bạn không thể xem.
VPN cho phép truy cập từ xa vào mạng nội bộ của tổ chức, giúp nhân viên làm việc từ xa dễ dàng kết nối và sử dụng các tài nguyên nội bộ một cách an toàn và hiệu quả.
Sử dụng VPN có thể tăng hiệu suất kết nối bằng cách cải thiện tốc độ và giảm độ trễ, đồng thời tránh các đường truyền mạng công cộng không an toàn.
Chậm trễ trong việc truyền tải thông tin qua kết nối VPN có thể xảy ra do quá trình mã hóa và giải mã dữ liệu, dẫn đến ảnh hưởng tiêu cực đến tốc độ internet.
Hiệu suất của kết nối VPN chịu ảnh hưởng lớn từ tốc độ và tải trọng của máy chủ VPN Khi máy chủ quá tải, hiệu suất kết nối có thể bị giảm đáng kể.
Chi phí sử dụng VPN có thể khác nhau, với một số dịch vụ yêu cầu phí nhất định, đặc biệt là những dịch vụ cung cấp chất lượng cao hoặc tính năng nâng cao.
Mặc dù VPN có khả năng ẩn địa chỉ IP của người dùng, nhưng nhà cung cấp dịch vụ VPN vẫn có thể theo dõi hoạt động trực tuyến của bạn Vì vậy, việc lựa chọn một dịch vụ VPN đáng tin cậy và an toàn là vô cùng quan trọng.
Khả năng bị chặn: Trong một số trường hợp, các quốc gia hoặc tổ chức có thể cố gắng chặn hoặc hạn chế việc sử dụng VPN.
Khả năng phát hiện VPN của một số mạng hoặc dịch vụ có thể dẫn đến việc chặn sử dụng, đặc biệt trong môi trường doanh nghiệp.
Các giao thức phổ biến trong VPN
Giao thức Ưu điểm Nhược điểm
Tunneling Protocol): - Dễ cài đặt và hỗ trợ rộng rãi trên nhiều nền tảng.
- Tốc độ kết nối nhanh.
- Bảo mật thấp do sử dụng mã hóa đơn giản.
- Có lỗ hổng bảo mật và đã bị lạm dụng trong quá khứ.
-An toàn hơn PPTP do sử dụng IPsec.
- Có thể trải qua khó khăn khi đi qua các tường lửa. nền tảng.
OpenVPN: - An toàn và linh hoạt.
- Sử dụng mã nguồn mở, cho phép kiểm soát và xác minh.
- Tích hợp trên nhiều nền tảng.
- Tốc độ có thể chậm hơn một số giao thức khác.
- Kết nối nhanh và ổn định.
- Linh hoạt khi chuyển đổi mạng.
- Thiết lập và duy trì cấu hình phức tạp hơn.
- An toàn và tích hợp mạnh mẽ trên các hệ điều hành Windows.
- Sử dụng SSL/TLS cho mã hóa.
- Hỗ trợ hạn chế trên các nền tảng khác Windows.
WireGuard: - Hiệu suất cao và tiết kiệm tài nguyên.
- Dễ cài đặt và thiết lập.
- Mặc định không cung cấp tính năng xác thực.
TRIỂN KHAI MÔ PHỎNG VPN SỬ DỤNG GIAO THỨC
Mô tả
Để đảm bảo an toàn cho dữ liệu khi người dùng yêu cầu kết nối từ xa tới hệ thống mạng nội bộ, việc triển khai công nghệ mạng riêng ảo VPN trên máy chủ Windows Server là rất cần thiết Công nghệ này giúp bảo vệ dữ liệu truyền trên mạng, ngăn chặn kẻ tấn công có khả năng chặn bắt, nghe lén và đọc trộm nội dung dữ liệu.
Năm 2012, giao thức bảo mật SSL/TLS được áp dụng kết hợp với giao thức xác thực RADIUS, cho phép chỉ những người dùng có tài khoản trong máy chủ Active Directory mới có quyền truy cập.
Chuẩn bị
Máy ảo chạy hệ điều hành Windows 7 có kết nối vào Lan Segment (Switch ảo của Vmware) đã thiết lập.
Máy ảo chạy hệ điều hành Windows Server 2012 kết nối cùng với LanSegment với Windows 7.
Mô hình triển khai
2.3.1 Thực hiện trên máy chủ DC:
Nâng cấp máy chủ DC.
Tạo người dùng cho phép truy cập từ xa.
Cài đặt, cấu hình Network Policy Service làm Radius Server.
Cài đặt trung tâm chứng thực CA.
Cấp phát chứng thư số có khóa bí mật cho máy chủ SRV làm VPN.
2.3.2 Thực hiện trên máy chủ SRV:
Cài đặt dịch vụ Routing and Remote Access.
Cấu hình xác thực sử dụng Radius Client kết nối với DC.
Cài đặt chứng thư số được cấp phát từ DC.
2.3.3 Thực hiện trên máy chạm Windows 7:
Truy cập vào DC thông qua SRV để xin chứng thư số của CA.
Tạo kết nối mạng VPN.
Cấu hình sử dụng SSTP.
Kết nối với tài khoản đã tạo trên DC.
Thiết lập địa chỉ IP cho các máy
Đổi tên máy thành DC.
Thiết lập mật khẩu cho user Admininstrator.
Thiết lập địa chỉ IP tĩnh theo mô hình triển khai.
Đổi tên máy thành SRV.
Thiết lập mật khẩu cho user Admininstrator.
Đổi tên card Eth0 thành LAN và Eth1 thành WAN.
Thiết lập IP tĩnh theo mô hình triển khai.
Đổi tên máy thành Client.
Thiết lập địa chỉ IP tĩnh theo mô hình triển khai.
2.4.4 Kiểm tra Đảm bảo rằng có thể ping được giữa SRV – DC và từ SRV – Client.
Thực hiện trên máy chủ DC
2.5.1 Nâng cấp Windows Server lên Domain Controller (DC)
- Truy cập theo đường dẫn: Server Manager Manage Add Roles and Feature.
- Chọn next theo mặc định tới cửa sổ Server Roles tích chọn Active Directory Doamin Services
- Tiếp tục next theo mặc định và chọn install để cài đặt.
- Sau khi quá trình cài đặt hoàn tất, chọn Promote this server to a domain controller.
- Chọn Add new forest Tại mục Root doamin name đặt tên domain name.
Để nâng cấp máy chủ lên thành Domain Controller (DC), bạn hãy chọn "Next" theo mặc định và nhấn "Install" Sau khi quá trình nâng cấp hoàn tất, máy chủ DC sẽ tự động khởi động lại Lúc này, tài khoản đăng nhập sẽ có định dạng DOMAIN\user như hình minh họa bên dưới.
2.5.2 Tạo người dùng cho phép truy cập từ xa thông qua VPN
- Truy cập vào đường dẫn: Server Manager Tools Active Directory User and Computer.
- Chuột phải vào thư mục User New User.
- Đặt tên người dùng cho phép truy cập từ xa.
- Giao diện tiếp theo đặt mật khẩu cho người dùng Chú ý mật khẩu ở đây phải đạt mức phức tạp.
- Bấm Next và Finish để kết thúc quá trình tạo người dùng.
- Bước tiếp theo cấu hình để người dùng này được phép truy cập từ xa.
- Chuột phải vào người dùng chọn Properties, chọn tab Dial-in Allow access.
- Nhấn Apply OK để kết thúc
- Tạo nhóm VPN và thêm người dùng này vào.
- Chọn Group và đặt tên nhóm.
- Thêm người dùng vào nhóm VPN: chuột phải vào nhóm vừa tạo Properties Members Add.
- Kết thúc bước tạo người dùng truy cập từ xa.
2.5.3 Cài đặt dịch vụ Network Policy Server
- Truy cập theo đường dẫn: Server Manager Dashboard Add Roles and Features.
- Ba bước đầu tiên để mặc định và bấm Next.
- Tại bước lựa chọn vai trò (Select server roles): chọn Network Policy and Access Services:
- Chọn Next để tiếp tục.
- Các lựa chọn tiếp theo để mặc định
- Giao diện lựa chọn dịch vụ chọn: Network Policy Server.
- Nhấn Next và Install để cài đặt dịch vụ.
2.5.4 Cấu hình Radius Server trong Network Policy Server
- Truy cập Network Policy Server theo đường dẫn: Server Manager Tools Network Policy Server: giao diện như sau:
- Chuột phải vào NPS để đăng ký dịch vụ trong Active Directory:
- Đầu tiên phải cấu hình định nghĩa máy Radius Client chính là máy SRV Chuột phải vào mục Radius Client chọn New.
- Giao diện xuất hiện nhập thông tin của máy chủ SRV.
- Nhập tên và địa chỉ IP của máy SRV.
- Phần Share Secret: khóa bí mật chia sẻ giữa 2 máy Khóa bí mật này 2 máy phải nhập giống nhau.
- Chọn OK để kết thúc.
- Tiếp theo cần phải định nghĩa chính sách xác thực.
- Truy cập vào mục Policies Network Policies Giao diện như sau:
- Xóa 2 chính sách mặc định đã có và tạo chính sách mới Chuột phải vào Network Policies New.
- Mục Policy Name đặt tên là VPN.
- Mục Type of network access server: chọn Remote Access Server.
- Chọn Next để tiếp tục.
- Mục điều kiện (Conditions): chọn Add để thêm Giao diện xuất hiện chọn Windows Groups:
- Chọn Add Group để thêm nhóm.
- Trỏ tới nhóm VPN đã tạo trước đây.
- Nhấn OK OK để tiếp tục
- Vẫn trong giao diện Conditions tiếp tục chọn Add để thêm điều kiện khác Giao diện Selection Conditions xuất hiện tìm đến và chọn NAS PortType:
- Chọn Add để xuất hiện bảng lựa chọn dịch vụ Tích chọn Virtual (VPN).
- Chọn OK để kết thúc.
- Lúc này giao diện chính sẽ có 2 điều kiện đã được định nghĩa.
- Chọn Next để tiếp tục.
- Giao diện tiếp theo chọn quyền truy cập: chọn Access granted.
- Chọn Next để tiếp tục.
- Giao diện tiếp theo chọn giao thức xác thực.
- Trong mục EAP type chọn Add: giao diện xuất hiện chọn Secured password.
- Chọn OK để tiếp tục.
- Giao diện sau khi cấu hình.
- Các giao diện tiếp để mặc định Chọn Finish để kết thúc.
2.5.5 Cài đặt dịch vụ trung tâm chứng thực CA
- Truy cập theo đường dẫn: Server Manager Dashboard Add Roles and Features.
- Ba bước đầu tiên để mặc định và chọn Next.
- Tại bước lựa chọn vai trò (Select server roles): chọn Active DirectoryCertificates Services.
- Bước tiếp theo chọn Next.
- Đến giao diện Select roles services: Tích 2 tùy chọn như hình sau Các bước tiếp theo để mặc định và chọn Install để cài đặt.
2.5.6 Cấu hình CA để cấp chứng thư số cho máy chủ SRV
Sau khi cài đặt dịch vụ trên giao diện Dashboard, bạn sẽ thấy mục cảnh báo ở góc trên bên cạnh lá cờ Tại đây, hệ thống yêu cầu bạn thực hiện cấu hình CA.
- Giao diện cấu hình CA xuất hiện.
- Giao diện tiếp theo chọn 2 tùy chọn như hình sau.
- Giao diện tiếp theo chọn Enterprise CA:
- Chọn Next để tiếp tục.
- Mục CA Type chọn Root CA.
- Mục khóa bí mật Private key: Chọn Create a new private key, chọn hệ mật và chiều dài khóa.
- Giao diện tiếp theo đặt tên cho CA.
- Thời gian để mặc định 5 năm.
- Các giao diện tiếp theo để mặc định, chọn Configure để cấu hình CA. Cấu hình hoàn tất:
- Nhấn Close để đóng cửa sổ hoàn tất cấu hình.
- Truy cập theo đường dẫn để mở giao diện quản lý CA: Server Manager
Tools Certification Authority Certificate Templates.
- Chuột phải vào mục Certificate Templates Manager Tìm đến template cho IPSec Nháy chuột phải chọn Dumplicate Template.
- Trong cửa sổ mới xuất hiện chọn tab General Tại mục Template display name sửa thành SSTP.
- Tab Request Handling chọn Allow private key to be exported.
- Tab Subject Name chọn Supply in the request.
- Tab Extensions chọn Edit Add rồi chọn Server Authentication.
- Sau đó Apply OK để hoàn tất quá trình tạo Templates mới.
- Sau đó, chuột phải vào Certificate Templates New Certificate Template to Issue như hình.
- Chọn tới Template SSTP vừa tạo rồi OK.
Thực hiện trên máy chủ SRV
2.6.1 Join máy chủ SRV vào DC
- Thực hiện gia nhập SRV vào DC.
- Sau khi gia nhập thành công, máy SRV sẽ tự khởi động lại và màn hình đăng nhập sau đó cũng có dạng tương tự như bên DC.
2.6.2 Xin cấp phát chứng thư số
- Bật chương trình MMC từ Run:
- Cửa sổ hiện lên chọn File Add or Remove snap-in.
- Cửa sổ xuất hiện chọn như hình sau:
- Cửa sổ lựa chọn định dạng chứng thư số chọn Computer account Finish.
- Tại cửa sổ quả lý chứng thư, chuột phải Personal All Tasks Request New Certificate.
- Tiếp tục chọn Next theo mặc định, tại cửa sổ Request Certificates chọn SSTP và click vào biểu tượng cảnh báo màu vàng.
- Mục Type chọn Common Name.
- Mục Value nhập IP là giao diện bên ngoài của máy chủ SRV ChọnAdd để đồng ý.
- Chọn Apply OK Chọn Enroll để yêu cầu cấp chứng thư số Chọn Finish để hoàn tất quá trình.
- Kiểm tra chứng thư số vừa được cấp phát.
2.6.3 Cài đặt ứng dụng Routing and Remote Access
- Trên máy chủ SRV đầu tiên phải cài đặt ứng dụng quản lý truy cập từ xa Routing and Remote Access.
- Truy cập theo đường dẫn: Server Manager Dashboard Add Roles and Features.
- Ba bước đầu tiên để mặc định và chọn Next.
- Đến giao diện Select server roles: Tích chọn Remote Access.
- Giao diện Select role servce: Tích chọn 2 tùy chọn như hình sau:
- Các bước tiếp theo chọn Next và Install để cài đặt.
2.6.4 Cấu hình dịch vụ Routing and Remote Access \
- Truy cập theo đường dẫn: Server Manager Tools Routing and Remote Access Chọn Deploy only.
- Cửa sổ cấu hình xuất hiện.
- Chuột phải vào Server SRV chọn Configure and Enable Routing.
- Giao diện xuất hiện chọn Next.
Trong giao diện tiếp theo, chọn phương thức sử dụng là "Custom Configure" Tiếp theo, hãy tích vào hai tùy chọn như hình dưới đây để chọn chức năng VPN và NAT.
- Chọn Next và Finish để kết thúc Giao diện sau khi cài đặt.
- Chuột phải vào tên máy chủ SRV chọn Properties.
- Tab Security chọn phương thúc xác thực RADIUS Tiếp theo chọn Configue.
- Cửa sổ xuất hiện chọn Add.
- Mục Server name: nhập tên và miền của máy chủ DC.
- Mục Shared secret: Nhập khóa chia sẻ đã thiết lập trong Radius DC.
- Nhấn OK để đóng cửa sổ.
- Tương tự thiết lập cho mục Accounting provider:
- Mục SSL Binding: chọn chứng thư số vừa cài đặt:
- Chọn Static address và nhập dãy IP sẽ cấp phát cho máy trạm khi kết nối VPN.
- Nhấp Apply và OK để kết thúc.
- Tiếp tục cấu hình NAT để cho phép máy trạm có thể truy cập được vào webserver trong máy chủ DC.
- Chuột phải vào NAT, chọn New Interface Giao diện xuất hiện chọnInterface bên ngoài WAN.
- Nhấn OK để xuất hiện cửa sổ cấu hình.
- Tab NAT chọn Public interface, tích chọn Enable NAT.
- Tab Services and Ports: chọn Web Server (HTTP).
- Cửa sổ xuất hiện cần thiết lập địa chỉ IP của DC.
- Nhấn OK Apply OK để kết thúc cấu hình
Thực hiện trên máy Windows 7
- Truy cập tới dịch vụ cấp phát chứng thư số trong máy chủ DC thông qua trình duyệt theo đường dẫn http:/192.168.1.1/certsrv.
- Đăng nhập với tài khoản đã tạo trước đây.
- Tích vào tùy chọn Download a CA certificate Tiếp tục chọn Download
- Chọn nơi lưu chứng thư số của CA Mở chứng thư số vừa tải về và chọn Install Certificate.
- Tại cửa sổ Certificate Import Wizard chọn Certificate store TrustedRoot Certificate Authorities OK Next Finish.
- Trường hợp xuất hiện hộp thoại cảnh báo có muốn cài Certificate này không ta chọn Yes.
- Bước tiếp theo cài đặt và cấu hình kết nối VPN Truy cập theo đường dẫn: Control Panel Network and Sharing Center Set up a new connection or network.
- Giao diện tiếp theo chọn Connect to workplace.
- Giao diện tiếp theo chọn kết nối thông qua VPN.
- Chọn I’ll set up an Internet connection later.
- Giao diện tiếp theo nhập địa chỉ IP bên ngoài của SRV (kết nối vớiWindows 7) Đặt tên cho kết nối.
- Bước tiếp theo nhập tài khoản đã tạo trên máy chủ DC Chọn Create để tạo kết nối.
- Truy cập theo đường dẫn Control Panel Network and Internet Network Connections Cửa sổ đăng nhập kết nối xuất hiện.
- Chọn Properties để cấu hình sử dụng giao thức SSTP Tab Security chọn kết nối SSTP.
- Các thông số khác để mặc định Chọn OK để lưu và đóng cửa sổ
- Truy cập vào Register thông qua Run (gõ regedit).
- Truy cập theo đường dẫn: HKEY_LOCAL_MACHINE SYSTEM
- Chuột phải vào mục Parameters New DWORD.
- Đặt tên DWORD này là: NoCertRevocationCheck có giá trị là 1.
- Kết thúc và đóng cửa sổ Registry.
- Quay trở lại cửa sổ đăng nhập kết nối Nhập lại tên và mật khẩu của người dùng Nhấn Connect để kết nối.
Kiểm tra kết quả
- Tại máy Windows 7 thực hiện ping tới máy chủ DC Thành công.
- Kiểm tra gói tin gửi trên đường truyền Thực hiện cài đặt công cụ chặn bắt và phân tích gói tin WireShark.
- Các gói tin đã được mã hóa với giao thức TLSv1.