Ngăn chặn truy cập mạng trái phép với PacketFence Nguồn : quantrimang.com PacketFence - hệ thống điều khiển truy cập mạng (NAC) mã nguồn mở - ứng dụng đánh giá cao ứng dụng khác hệ thống đăng ký Hệ thống đăng ký PacketFence khiến cho hệ thống giải pháp hoàn toàn cho nhiều hoàn cảnh khác nhau: tập đoàn, tiệm cà phê, quan, doanh nghiệp mạng không dây Khi hệ thống đăng ký PacketFence thiết lập chỗ, máy tính mạng muốn truy cập phải đăng ký Nếu không đăng ký máy tính bị khóa Hệ thống đăng ký PacketFence hoạt động Hệ thống đăng ký PacketFence tương tự hệ thống quyền khác (ví dụ Bluesocket, NoCatAuth) Thẩm định quyền người dùng dựa chứng thực HTTP thông qua SSL Bất kỳ mô hình HTTP chấp nhận quản lý chứng thực (ví dụ LDAP, nội bộ, RADIUS) Trong giới thiệu mô hình đơn giản nhất- nội - mô hình yêu cầu thiết lập Bạn thực trình thiết lập đăng ký với PacketFence cài đặt Ubuntu Server 6.06 Trong giới nguồn mở khổng lồ lợi ích sử dụng phần mềm không đòi hỏi nhiều cấu hình Thật ra, sử dụng hệ thống thiết lập xử lý AMD 2075 MHz với 512 MB RAM nhớ Cấu trung bình so với chuẩn ngày Máy tính không kiểm tra, truy nhập SSH yêu cầu Một vài thay đổi để bắt đầu Có số thay đổi mà bạn cần quan tâm tới; Những thay đổi không khác nhiều so với cài đặt gốc Hãy chắn bạn có mô đun sau sử dụng CPAN Trước tiên, người dùng gốc, nhập lệnh cpan -e để đưa bạn tới dòng lệnh CPAN Bây chạy lệnh sau đây: install install install install install install Date::Parse IPTables::IPv4 Term::ReadKey IO::Socket::SSL Net::Telnet Net::Nessus::Client install Net::Nessus::Message install Net::Nessus::ScanLite Trường hợp bạn cài đặt bước nhận thông báo "XXX is already up to date" XXX tên mô đun Thêm dòng vào tập tin /usr/local/pf/conf/pf.conf để kích hoạt SNORT Bây chạy lệnh which snort Lệnh cho biết Snort bạn hoạt động Lệnh đặt /usr/sbin/snort Thêm dòng lệnh sau: snort = /usr/sbin/snort phía đoạn [services] Cấu hình cuối kiểm tra tập tin php.ini Trong trình cài đặt, tập tin đặt vị trí thư mục /etc/php5/apache2/ Tìm tới dòng lệnh 522 chắn tìm thấy: allow_url_fopen = On Nếu không thấy lệnh lệnh có giá trị Off, thay đổi lại giá trị thành On Bạn cần thay đổi chuẩn Thông tin chuẩn tìm thấy dòng 574 sau: date.timezone = Bạn cần thêm chuẩn Ví dụ America/Louisville Cài đặt Bind bước cuối bạn cần thực Để làm điều này, đưa vào lệnh (người dùng gốc sử dụng sudo) apt-get install bind Với thay đổi trên, bạn sẵn sàng để đăng ký Thiết lập chứng thực Bạn dùng trình chứng thực local Có nghĩa htpasswd tận dụng để nắm bắt việc làm không Trước bắt đầu trình, xem lại thư mục /usr/local/pf/conf/templates Trong thư mục bạn thấy tập tin có tên local.conf Nội dung tập tin sau: AuthUserFile /usr/local/pf/conf/user.conf AuthGroupFile /dev/null AuthName "Local" AuthType Basic require valid-user Bạn cần quan tâm tới dòng AuthUserFile /usr/local/pf/conf/user.conf tạo tập tin mật với htpasswd Dòng lệnh thường không thiết lập sẵn bạn thiết lập ví dụ user.conf tập tin tạo htpasswd Chứng thực nội tức thành viên phải tạo cho tên đăng nhập mật Nhưng với công ty lớn có nhiều nhân viên thực điều nhiều thời gian, sử dụng loại chứng thực khác áp dụng công ty lớn Để đơn giản ta sử dụng loại chứng thực nội Đầu tiên bạn chạy lệnh htpasswd dùng kí hiệu -c để tạo tập tin Do lệnh là: htpasswd -c /usr/local/pf/conf/user.conf USERNAME Trong USERNAME tên người dùng Đưa lệnh này, bạn nhắc hai lần mật người dùng Đây kết hợp tên truy cập mật mà người dùng sử dụng đăng ký PacketFence Giờ bạn phải tạo tất tên đăng nhập mật cho người dùng Lần bạn thực lệnh, kí hiệu c- tập tin tạo Vì lệnh lại sau: htpasswd /usr/local/pf/conf/user.conf USERNAME Vậy bạn cấu hình xong PacketFence Chạy lại tập lệnh configurator.pl Chúng ta cài đặt PacketFence việc chạy tập lệnh configurator.pl chế độ thử nghiệm Bây bạn chạy tập lệnh configuator.pl môi trường đăng ký Tìm tới thư mục /usr/local/pf đưa lệnh /configurator.pl Quá trình xử lý sau: Checking existing configuration Existing configuration found, upgrading Would you like to modify the existing configuration [y|n] y Would you like to use a template configuration or custom [t|c] t Which template would you like: 1) Test mode 2) Registration 3) Detection 4) Registration & Detection 5) Registration, Detection & Scanning 6) Session-based Authentication Answer: [1|2|3|4|5]: [1|2|3|4|5|6] Setting option scan to template value enabled Setting option dhcpdetector to template value enabled Setting option mode to template value passive Setting option isolation to template value disabled Setting option testing to template value disabled Setting option detection to template value enabled Setting option registration to template value enabled Setting option auth to template value local Setting option skip_mode to template value window Setting option skip_window to template value 2w Setting option aup to template value disabled Setting option skip_reminder to template value 1d Setting option pass to template value packet Setting option ssl to template value enabled Setting option user to template value admin Setting option port to template value 1241 Setting option registration to template value enabled Setting option host to template value 127.0.0.1 Loading Template: Warning PacketFence is going LIVE WEAPONS HOT Enabling host trapping! Please make sure to review conf/violations.conf and disable any violations that don't fit your environment ** NOTE: The configuration can be a bit tedious If you get bored, you can always just edit /usr/local/pf/conf/pf.conf directly ** What is my management interface? (default: eth0) [eth0|?]: eth0 - ok? [y|n] y What is its IP address? (default: 192.168.1.29 [?]): 192.168.1.29 - ok? [y|n] y What is its mask? (default: 255.255.255.0 [?]): 255.255.255.0 - ok? [y|n] y What is my gateway? (default: 192.168.1.1 [?]): 192.168.1.1 - ok? [y|n] y TRAPPING CONFIGURATION What is my monitor interface? (default: eth1) [eth0|?]: eth0 eth0 - ok? [y|n] y ALERTING CONFIGURATION Where would you like notifications of traps, rogue DHCP servers, and other sundry goods sent? (default: root@mydomain.com[?]): root@mydomain.com - ok? [y|n] y What should I use as my SMTP relay server? (default: mail.mydomain.comt [?]): mail.mydomain.com - ok? [y|n] y Please review conf/pf.conf to correct any errors or change pathing to daemons After starting PF, use bin/pfcmd or the web interface (https://ubuntu.:1443) to administer the system Committing settings Enjoy! Sau trình thực trên, PacketFence sẵn sàng hoạt động Thực đưa lệnh /usr/local/pf/bin/start bạn thu kết sau: Checking configuration sanity service|command config files|start iptables|start httpd|start pfmon|start pfdetect|start named|start snort|start PacketFence sẵn sàng cho trình đăng ký Đăng ký máy Điều bạn muốn làm thu thập địa MAC tất thiết bị mạng (Router, máy in, hub) Bạn phải tự đăng kí cho thiết bị sử dụng lệnh /usr/local/pf/bin/pfcmd: /usr/local/pf/bin/pfcmd node edit 00:e0:4d:0d:94:a2 status="reg",pid=NAME Chú ý sử dụng tên khác cho thiết bị Các thiết bị đăng ký truy cập vào Từ trở máy tính muốn truy cập bên mạng phải đăng nhập (Hình A) Hình A: Bạn cấu hình Acceptable Use Policy thông qua công cụ PacketFence Web administration Người dùng lựa chọn loại chứng thực từ danh sách xổ xuống Trong ta ví dụ chọn loại Local Bạn thấy hình đăng nhập Hình B Hình B: admin tên người dùng thích hợp sử dụng để đăng ký Khi người dùng nhập sai giá trị tên đăng nhập hay mật họ yêu cầu cho phép quét toàn hệ thống để tìm vị trí không bảo vệ Tại hình cảnh báo, bạn phải ấn nút Scan phép quét hệ thống Ngay hệ thống quét thành công, người dùng thấy cửa sổ thông báo đăng ký thành công giống hình C Hình C: Ngay đăng ký thành công người dùng phải kích nút Complete Registration để kích hoạt truy cập mạng Khi người dùng kích nút Complete Registration, xuất cửa sổ báo hiệu truy cập mạng kích hoạt Vậy bạn hoàn thiện trình đăng ký Cấu hình thêm Sẽ thuận tiện bạn cấu hình PacketFence cách sử dụng công cụ quản trị sở mạng Hãy vào trang web https:// IP_OF_PacketFence_SERVER:1443 bạn dùng mật quản trị thiết lập suốt trình cài đặt Từ bạn tinh chỉnh cài đặt PacketFence Giải pháp nguồn mở PacketFence thực thông qua mã nguồn mở, mà nhiều ứng dụng phải tốn hàng trăm tới hàng nghìn đô la để có Nhiều giải pháp sở hữu riêng gần không cấu PacketFence Mặc dù PacketFence phiền toái cài đặt lẫn cấu hình, đáng giá bạn tìm kiếm lớp bảo vệ an toàn khác cho mạng ... hoạt truy cập mạng Khi người dùng kích nút Complete Registration, xuất cửa sổ báo hiệu truy cập mạng kích hoạt Vậy bạn hoàn thiện trình đăng ký Cấu hình thêm Sẽ thuận tiện bạn cấu hình PacketFence. .. thiết bị Các thiết bị đăng ký truy cập vào Từ trở máy tính muốn truy cập bên mạng phải đăng nhập (Hình A) Hình A: Bạn cấu hình Acceptable Use Policy thông qua công cụ PacketFence Web administration... quản trị sở mạng Hãy vào trang web https:// IP_OF _PacketFence_ SERVER:1443 bạn dùng mật quản trị thiết lập suốt trình cài đặt Từ bạn tinh chỉnh cài đặt PacketFence Giải pháp nguồn mở PacketFence