Xây dựng hệ thông tường lửa cho doanh nghiệp

Thế giới trong những thập niên vừa qua, nhất là từ khi thực hiện cuộc cách mạng khoa học – kỹ thuật vào thập niên 80 đã có những bước phát triển thần kỳ và thật sự mạnh mẽ với hàng loạt thành tựu về kinh tế, khoa học – kỹ thuật, chính trị, xã hội, an ninh,… Nguyên nhân chính cho sự phát triển đó là sự xuất hiện của Internet. Sự xuất hiện của Internet đã thúc đẩy thế giới tiến nhanh về phía trước và đưa cả thế giới bước sang một kỷ nguyên mới, kỷ nguyên bùng nổ thông tin. Như chúng ta đã biết, bất cứ vật thể nào cũng tồn tại hai mặt tích cực và tiêu cực. Chúng ta không thể nào phủ nhận những mặt tích cực mà Internet mang lại, vấn nạn lừa đảo phát triển ngày càng mạnh mẽ và Internet là một công cụ hữu hiệu cho những kẻ tấn công vào các hệ thống mạng với mục đích tư lợi hay chứng tỏ bản thân mình. Chính vì vậy, trong thời đại “phẳng” như ngày nay, vai trò bảo mật hệ thống mạng là vô cùng quan trọng.

TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 1  ÁN TT NGHIP: XÂY DNG H THNG LA CHO DOANH NGHIP VI MICROSOFT ISA SERVER TP.H  GVHD: Th SVTH: - Trn Th ng. - m. - Phm Gia Nguyên Huy. Chuyên Ngành: Qun Tr Mng Máy Tính. Lp: 01CCHT02. Niên Khóa: 2008  2011. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 2  Qua quá trình học tập và được sự dẫn dắt nhiệt tình của Giảng Viên Hướng Dẫn tại Trường Cao Đẳng Nghề CNTT iSPACE – Chuyên nghành Quản Trị Mạng Máy Tính. Nhóm Chúng em đã đúc kết được những kinh nghiệm từ các bài học, và đã thực hiện hoàn thành Đồ án: “Xây Dựng Hệ Thống Tường Lửa Cho Doanh Nghiệp Với Microsoft ISA Server”. Với lòng biết ơn sâu sắc, nhóm Chúng em xin gởi lời cảm ơn đến Thầy Dương Minh Trung, thầy hướng dẫn trực tiếp đề tài. Trong quá trình làm đồ án thầy đã tận tình hướng dẫn và giúp đỡ nhóm Chúng em giải quyết khó khăn trong đồ án này. Xin chân thành cảm ơn đến Thầy Trần Văn Tài, Thầy Nguyễn Siêu Đẳng – Giảng viên Trường CĐ Nghề CNTT iSpace đã củng cố kiến thức cho nhóm Chúng em thực hiện đề tài hoàn chỉnh. Xin chân thành cảm ơn đến Anh Nguyễn Văn Vinh, Anh Lưu Tuấn Phát – Bộ phận IT - Công ty Cổ phần Chứng khoán Việt Quốc Security đã trang bị cho nhóm Chúng em về kiến thức áp dụng trong thực tế. Mặc dù đã cố gắng rất nhiều, tuy nhiên nội dung của Đồ án này có thể còn nhiều thiếu sót. Nhóm Chúng em xin chân thành cảm ơn ý kiến đóng góp của các bạn đọc cũng như nhận xét của Giảng Viên để nội dung của Đồ án ngày càng hoàn thiện hơn. Cuối cùng, xin chúc tất cả mọi người sức khỏe và trân trọng cảm ơn!. Trường CĐ Nghề CNTT iSpace – Khoa CNTT Sinh Viên Thực Hiện Đề Tài: Trần Thế Cường Phan Đình Đảm Phạm Gia Nguyên Huy TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 3  1. : 2. : Ging Dn: TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 4  A- M U 7 I- Lu: 7 II- Lý Do Ch Tài 7 III- Mc Tiêu 7 IV- Tng Quan Microsoft ISA Server 8 1. Gii Thiu 8 2.  Client Tham Gia Vào ISA Server 9 3. Mt S a ISA Server 10 4. Cách Thc Làm Vic Ca ISA Server 11 5.  Hong Ca ISA Server 13 6. Chính Sách Bo Mt Trong ISA Server 14 7. Các Mô Hình Trin Khai ISA Server 15 8. ISA Server Bo Mt Truy Cp Internet 18 B- NI DUNG 19 I-  19 II- Yêu C Tài 19 III-  Tài 20 IV- THIT K 22  Lun Lý Tng Quát 22  Lun Lý Chi Tit 23 C- TRIN KHAI 24 I- Hoa Ch IP, Computer Name 24 1. Tr S Chính  Qun 1 24 2. Chi Nhánh  Qun 5 26 II- Xây Dng H Thng Mng 27 1. Trin khai Domain Controller 27 2. Trin Khai ISA Server 28 3. Trin Khai Web Server 33 4. Trin Khai Mail Server 34 5. Trin Khai Web-mail S Dng Port 80 36 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 5 6. Trin Khai Wildcard Certificate 39 7. Trin Khai FTP Server 57 8. Trin Khai File Server 60 III. Xây Dng H Thng La ISA Server 68 1. Trin Khai Network Loab Balancing 68 2. Access Rule 74 3. Publishing Server Ra Internet 89 4. Trin khai VPN ISA 101 5. Trin Khai Phát Hin Xâm Nhp Vi IDS 114 6. Trin khai Antivirus và Antisyware 119 7. Giám sát hong h thng mng 122 D- NG M RNG 133  Tài 133 nh ng H Th 133 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 6 TÀI LIU THAM KHO [1] Tô Thanh H Trin khai Firewall vi Microsoft ISA Server 2006 (Quý III/ 2010), Nhà xut bng Xã hi. [2] Giáo trình Trin khai An toàn mng  Khoa CNTT   CNTT iSpace. [3] Dit ngh: http://nhatnghe.com/forum/ [4] MS Open Lab: http://msopenlab.com/ [5] Di thut viên: http://www.kythuatvien.com/forum/ [6] DiNTT: http://diendancntt.vn/ TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 7 A- M U I- Lu: - Th gii trong nhng thp niên va qua, nht là t khi thc hin cuc cách mng khoa hc  k thut vào thp niên 80 c phát trin thn k và tht s mnh m vi hàng lot thành tu v kinh t, khoa hc  k thut, chính tr, xã hi, an ni Nguyên nhân chính cho s phát tri  xut hin ca Internet. S xut hin c  y th gii tin nhanh v c và  th gii c sang mt k nguyên mi, k nguyên bùng n thông tin. - t, bt c vt th tn ti hai mt tích cc và tiêu cc. Chúng ta không th nào ph nhn nhng mt tích cc mà Internet mang li, vn nn lo phát trin ngày càng mnh m và Internet là mt công c hu hiu cho nhng k tn công vào các h thng mng vi mi hay chng t bn thân mình. Chính vì vy, trong th trò bo mt h thng mng là vô cùng quan trng. II- Lý Do Ch Tài - Nhóm chúng tôi nh ch ng h thng la cho Doanh nghip vi Microsoft ISA Server  tài rt thc t, giúp chúng tôi có thêm kinh nghim và ng dng thc ting. III- Mc Tiêu - ng dng la ISA Server qun lý h thng Mng Doang nghip vi mc tiêu: m bo h thng la hong nh. 2. Bo mt và An toàn h thng mng. 3. Giám sát và qun lý h thng mng hiu qu. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 8 IV- Tng Quan Microsoft ISA Server 1. Gii Thiu - Microsoft Internet Security and Acceleration (ISA) là phn mm Share Internet ca t  Microsoft. -  là mt phn mm thit lp t ng la (Firewall) và cho phép mng ni b truy cp Internet linh hot nh ch  Cache thông minh. - ISA Server 2006 có hai phiên bn Standard và Enterprise, phc v cho nhng môi trng khác nhau. ISA Server 2006 Standard: - ng nhu cu bo v và chia s  công ty có quy mô trung bình. Vi phiên bn này chúng ta có th xây d: - Kim soát các lung d liu vào và ra h thng mng ni b ca công ty. - Kim soát quá trình truy cp ci dùng theo giao thc, thi gian và ni dung nh chn vic kt ni vào nhng trang web có ni dung không thích hp, thi gian không thích hp (ví d  làm vic). - Bên c trin khai h thng VPN site to site hay remote access h tr vic truy cp t xa vào h thng mng ni b ca công ty, hoi d liu gii s. - i vi các công ty có nhng h thng máy ch  cn có nhng chính sách bo mt riêng thì ISA Server 2006 cho phép trin khai vùng DMZ nhm  s c tip gii dùng bên trong và bên ngoài h thng. - o mt thông tin trên, ISA Server 2006 bn standard còn có cho cache cho phép rút ngn tht kt ni internet ca mng ni b. - n phm firewall này có tên gi là Internet Security & Aceleration (bo mt c Internet). ISA Server 2006 Enterprise: - c s dng trong các mô hình mng lng nhiu yêu cu truy xut ci dùng bên trong và ngoài h thng. Ngoài nh 2006, bn Enterprise còn cho phép thit lp h thng mng các ISA Server cùng s dng mt u này giúp d dàng qun lý và cung cng ti). o Tóm li, ISA Server có các chc nng chính:  Chia s kt ni internet  chia s ng truyn internet. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 9  Lp Firewall Server, kim soát, khng ch các lung d liu truy cp t ngoài vào mng ni b hoc li.  c truy cp Web bng gii pháp Cache trên Server.  H tr thit lp h thng VPN (mng riêng o) vi ISA Server làm VPN Server.   tr gii pháp cân bng ti gia hai hay nhing truyn internet. 2.  Client Tham Gia Vào ISA Server - Client có th tham gia vào ISA Server v   SecureNAT: - SecureNAT Clients có th là mt thit b, có th là mt Host Windows 2000, XP, hoc mt máy tính  dng Linux. Clients s dng SecureNAT không th tn dng ha ISA Server. -  s dng SecureNAT, các máy Clients ch cn cu hình Default Gateway tr v a ch IP ca ISA Server. Cu hình TCP/IP s dng ISA Server làm Gateway là chp nhn làm SecureNAT Clients ca ISA Server. - Hoc s dng DHCP Server  cu hình Default Gateway cho Clients tr v a ch ISA Server. TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 10 S dng DHCP Server cu hình Gateway cho các máy Clients trong LAN . -  SecureNAT không th kim soát và chng thc User, password, trang web, trong h thng mng.  Web Proxy Clients: - ISA Server ho     t tt. Proxy Server cung c    Cache cho Web. Web Caching trên ISA Server s dng rt tt. ISA Server Cache ni dung Web trên RAM nên t ci thi. Tt c các Web Browser h tr  s d Avant Browser có th dùng ISA Server 2006 làm Proxy Server. Các Proxy Clients không cn s d truy cng. - u s dng Web Proxy Clients ch h tr cho HTTP và FTP. Web Proxy Settings có th cu hình bng Policy t Domain hoc cu hình bng tay.  Firewall Clients: - Loi Clients này ct ma ISA Server ch có th cài trên h u hành Windows nên loi Clients này ch c bit dùng cho Windows. - Clients ca ISA Server s to kt n n ISA Server bng mt Tunnel riêng có mã hóa gi là WinSOCKS, tt c các traffic s c chuyn ISA Server và ISA Server s  cho tt c các lot c tn d Single Sign On vi User Account trên Active Directory. Cu hình Firwall Clients ct thêm mt c ly t mc Share trên ISA Server. ISA Server t tc truy cp vào ISA Server ly tài nguyên Share này. 3. Mt S a ISA Server - ISA Server là mt công c hu hiu cho mt k hoch tng th  bo mt cho mng ca t chc. Vai trò ca ISA Server là rt trng yu, bc trin khai tm kt ni gia mng bên trong t chc và Internet. Hu ht các t chc cung cp mt vài m truy cp Internet cho i dùng ca h. ISA Server có th c các chính sách bo mt (security polices phân t s cách thc truy cp Internet mà h ng thi, nhiu t chc [...]... tin (địa chỉ nguồn và đích, „port‟ nguồn và đích) ISA Server so sánh thông tin này dựa vào các „rule‟ của firewall, đã định ngh a „packet‟ nào được cho phép Nếu địa chỉ nguồn và đích được cho phép, và nếu „port‟ nguồn và đích được cho phép, „packet‟ được đi qua firewall để đến đích Nếu địa chỉ và „port‟ không chính xác là những gì được cho phép, „packet‟ sẽ bị đánh rớt và không được đi qua firewall ... trong đề tài này được sử dụng như một máy chủ quản lý tên miền, nhóm người dùng, tài nguyên cục bộ cho công ty Phugiasc Triển Khai: - Để xây dựng Domain Controller, việc đầu tiên ta cần triển khai DNS cho công ty Phugiasc với địa chỉ 192.168.10.10 để các máy client trong công ty phân giải tên máy chủ - Xây dựng Domain với tên miền: phugiasc.vn và sử dụng dịch vụ Active Directory Users and Computers... MẠNG MÁY TÍNH 3 Triển Khai Web Server Giới thiệu: - Web Server là một máy chủ lưu trữ thông tin, truyền tải cơ sở dữ liệu đến người sử dụng thông qua giao thức HTTP bằng các trình duyệt Web - Trong đề tài, triển khai Web Server để lưu trữ website nội bộ cho Công ty Phugiasc Triển khai: - Tại máy DC, triển khai DNS cho máy chủ Web với địa chỉ: 172.16.10.10 và tạo Alias (CNAME): www.phugiasc.vn và trỏ... Website thông qua trình duyệt web - Xây dựng máy chủ Web với tên truy vấn: www.phugiasc.vn qua port: 80 Trang 33 TRƯỜNG CĐ NGHỀ CNTT iSPACE QUẢN TRỊ MẠNG MÁY TÍNH 4 Triển Khai Mail Server Giới thiệu: - Mail server là máy chủ chuyên dụng để nhận và gửi mail, quản lý tài khoản người sử dụng mail và phân phối mail trong hệ thống Ngoài ra, máy chủ mail còn cho phép người sử dụng web-mail (dùng mail thông. .. thực User từ tổ chức của đối tác trước khi gán quyền truy cập đến Website dùng riêng (Private website) Cho phép truy cập VPN giữa những vùng địa lý khác nhau, nhờ đó User ở chi nhánh văn phòng có thể truy cập đến tài nguyên trong Interal network Cho phép nhân viên ở xa truy cập Internal Mail Server, và cho phép Client truy cập VPN đến Internal File Server p đặc chính sách truy cập Internet của tổ chức... firewall trong trường hợp này là đảm bảo không có „traffic‟ nào từ Internet có thể tới được „internal network‟ của tổ chức trừ khi nó được cho phép Ví dụ, trong tổ chức bạn có một „internal Web Server‟ cần cho „internet user‟ có thể tới được Firewall có thể được cấu hình để cho phép các „traffic‟ từ Internet chỉ được truy cập đến Web Server đó - Về mặc chức năng ISA Server chính là một firewall Bởi mặc định,... („filtering rule‟) để ngăn chặn hoặc cho phép „network traffic‟, đó là: packet filtering, stateful filtering và application-layer filtering  Packet Filtering – Lọc gói tin - Packet filtering làm việc bằng cách kiểm tra thông tin „header‟ của từng „network packet‟ đi tới firewall Khi „packet‟ đi tới giao tiếp mạng của ISA Server, ISA Server mở „header‟ của „packet‟ và kiểm tra thông tin (địa chỉ nguồn và đích,... Nhân viên IT có thể quyết định những loại traffic nào được cho phép trên Internal Network - Thậm chí cho dù Interal network an toàn hơn Internet, thì bạn cũng không nên có ý ngh sai lầm rằng, bạn chỉ cần bảo vệ vành đai mạng Để bảo vệ mạng của bạn một cách đầy đủ, bạn phải vạch ra kế hoạch bảo vệ theo chiều sâu, nó bao gồm nhiều bước để đảm bảo cho mạng của bạn được an toàn, thậm chí trong trường hợp... mình bảo vệ cho hệ thống mạng LAN và cung cấp Internet cho User trong mạng LAN Trong mạng LAN của ISA Server có thể có Domain Controller, DHCP Server, DNS Server, WINS Server và Web Server, Mail Server Những Server này có thể chỉ sử dụng trong mạng LAN, hoặc được sử dụng trực tiếp từ Internet User (chỉ đối với Web Server và Mail Server, đôi khi Domain Controller cũng được sử dụng để chứng thực cho Internet... Internal cho User trong công ty và một là hệ thống DMZ chứa các Server được truy cập trực tiếp từ Internet User) Trang 15 TRƯỜNG CĐ NGHỀ CNTT iSPACE - QUẢN TRỊ MẠNG MÁY TÍNH Cấu hình IP và Gateway của hệ thống Bastion Host với Public IP từ ISP được cấp xuống cho Router ADSL Nếu cấu hình Public IP trên Router ADSL sẽ không cần thiết phải NAT trên Router và khi đó không cần cấu hình Gateway t nh cho ISA . 18 B- NI DUNG 19 I-  19 II- Yêu C Tài 19 III-  Tài 20 IV- THIT K 22  Lun Lý Tng Quát 22  Lun Lý Chi Tit 23 C- TRIN KHAI 24 I- Hoa. iSPACE QUẢN TRỊ MẠNG MÁY TÍNH Trang 4  A- M U 7 I- Lu: 7 II- Lý Do Ch Tài 7 III- Mc Tiêu 7 IV- Tng Quan Microsoft ISA Server 8 1. Gii Thiu 8 2. .    5.  Hong Ca ISA Server - ISA Server hot Tng la (Firewall) . - Firewall là mt thit b t gia mn mng vi mn