Đề Tài: TÌM HIỂU VỀ FIREWALL

61 Đề Tài: TÌM HIỂU VỀ FIREWALL Thực hiện: Phạm Nha Trang tháng năm 2012 Huy Thuận 61 MỤC LỤC Contents Page Lời mở đầu CHƯƠNG I: TỔNG QUAN VỀ ISA SERVER 2006 Giới thiệu ISA server 2006 Các phiên ISA server 2006 Tính ISA server 2006 CHƯƠNG II: Cài đặt ISA Server 2006 Yêu cầu cấu hình Tiến trình cài đặt CHƯƠNG III: PHÂN LOẠI VÀ CẤU HÌNH ISA SERVER CLIENTS 11 Phân loại 11 Cấu hình 13 a SecureNAT Client 13 b Web Proxy Client 14 c Firewall Client 14 CHƯƠNG IV: Triển khai ISA server 2006 16 Tạo Rule 16 Publish Web 21 3.VPN 30 a VPN Client to Site 30 b VPN Site to Site 36 Tạo Caching 49 CHƯƠNG V: MỘT SỐ MÔ HÌNH ISA FIREWALL THƯỜNG GẶP 59 Edge Firewall 59 3-Leg Perimeter 60 Front/Back Firewall 61 CHƯƠNG VI TỔNG KẾT 62 61 Lời mở đầu Trong thời đại ngày Internet không ngừng phát triển vươn xa, đáp ứng nhu cầu người sử dụng, vấn đề giáo dục từ xa, tư vấn Y tế, mua hàng trực tuyến,…vv… Không khái niệm trừu tượng Với Internet thứ “trong mơ” trở thành thực Trong năm gần vài trò Công nghệ thông tin (CNTT) khẳng định cách rõ nét Sự phát triển CNTT tác động tích cực đến mặt đời sống trị, kinh tế, văn hóa, xã hội loài người, tạo phát triển vượt bậc chưa có lịch sử Ưng dụng CNTT có hiệu bền vững tiêu chí hàng đầu nhiều quốc gia CNTT giúp người xích lại gần hơn, khiến cho khoảng cách địa lý không tồn lực đẩy cho hoạt động lĩnh vực Quốc gia Xét theo bình diện doanh nghiệp hiểu điều bắt buộc bền vững tất yếu Dưới góc nhìn chuyên gia bảo mật hệ thống, triển khai hệ thống thông tin xây dựng chế bảo vệ chặt chẽ, an toàn, góp phần trì tính “bền vững” cho hệ thống thông tin doanh nghiệp Và tất hiểu giá trị thông tin doanh nghiệp tài sản vô giá Không túy vật chất, giá trị khác đo đếm uy tín họ với khách hàng sao, thông tin giao dịch với khách hàng bị đánh cắp, sau bị lợi dụng với mục đích khác Hacker, attacker, virus, worm, phishing, khái niệm không xa lạ, thực mối lo ngại hàng đầu tất hệ thống thông tin (PCs, Enterprise Networks, Internet, vv ) Và vậy, tất hệ thống cần trang bị công cụ đủ mạnh, am hiểu cách xử lý để đối phó với lực đen tối Trước hết với vai trò quản trị viên cần xây dựng ý thức sử dụng máy tính cho nhân viên tổ chức doanh nghiệp Tiếp theo cần công tụ đắc lực đủ mạnh để chống lại lực Đó Firewall, từ Personal Firewall bảo vệ cho Computer Enterprise Firewall có khả bảo vệ toàn hệ thống Network Tổ chức Và Microsoft ISA Server 2006 Enterprise Firewall ! Một sản phẩm tốt người bạn tin cậy để bảo vệ an toàn cho hệ thống thông tin Vậy ISA server gì? Cách thức triển khai cấu hình sao? Chức ISA nào? Tác dụng ISA môi trường network vv vv Chuyên đề giải đáp câu hỏi Và cung cấp nhìn chi tiết, rõ nét ISA server 61 CHƯƠNG I: TỔNG QUAN VỀ ISA SERVER 2006 Giới thiệu ISA server 2006 Microsoft Internet Security and Acceleration Sever (ISA Server) phần mềm xây dựng tường lửa (Firewall) tiếng sử dụng phổ biến hãng phần mềm Microsoft Có thể nói phần mềm share internet hiệu quả, ổn định, dễ cấu hình, firewall tốt, nhiều tính cho phép bạn cấu hình cho tương thích với mạng LAN bạn Tốc độ nhanh nhờ chế độ cache thông minh, với tính lưu Cache vào RAM (Random Access Memory), giúp bạn truy xuất thông tin nhanh hơn, tính Schedule Cache (Lập lịch cho tự động download thông tin WebServer lưu vào Cache máy cần lấy thông tin Webserver mạng LAN) Ngoài nhiều tính khác Các phiên ISA server 2006  Standard : ISA Server 2006 Standard đáp ứng nhu cầu bảo vệ chia sẻ băng thông cho công ty có quy mô trung bình  Enterprise : ISA Server 2006 Enterprise sử dụng mô hình mạng lớn, đáp ứng nhiều yêu cầu truy xuất người dùng bên hệ thống Ngoài tính có ISA Server 2006, Enterprise cho phép thiết lập hệ thống mảng ISA Server sử dụng sách, điều giúp dễ dàng quản lý cung cấp tính Load Balancing (cân tải) Tính ISA server 2006 ISA server phần mềm máy chủ thuộc dòng NET Enterprise Server Các sản phẩm thuộc dòng NET Enterprise Server serverứng dụng toàn diện Microsoft việc xây dựng, triển khai, quản lý, tích hợp, giải pháp dựa web dịch vụ ISA server mang lại số lợi ích cho tổ chức cần kết nối Internet nhanh, bảo mật, dễ quản lý  Truy cập Web nhanh với cache hiệu suất cao: o Người dùng truy cập web nhanh cácđối tượng chỗ cache so với việc phải kết nối vào Internet lúc tiềm tàng nguy tắc nghẽn o Giảm giá thành băng thông nhờ giảm lưu lượng internet 61 o Phân tán nội dung Web server cácứng dụng thương mạiđiện tử cách hiệu quả,đápứngđược nhu cầu khách hàng toàn cầu (khả phân phối nội dung web có phiên ISA server Enterprise)  Kết nối Internet an toàn nhờ nhiều lớp o Bảo vệ mạng trước truy nhập bất hợp pháp cánh giám sát lưu lượng mạng nhiều lớp o Bảo vệ máy chủ web, email ứng dụng khác khỏi công từ bên việc sử dụng web server quảng bá để xử lý cách an toàn yêu cầu đến o Lọc lưu lượng mạngđi vàđến để đảm bảo an toàn o Cung cấp truy cập an toan cho người dùng hợp lệ từ Internet tới mạng nội nhờ sử dụng mạng riêngảo (VPN)  Quản lý thống với quản trị tích hợp o Điều khiển truy cập tập trung để đảm bảo tính an toàn phát huy hiệu lực sách vận hành o Tăng hiệu xuất nhờ việc giới hạn truy cập tới internet số ứng dụng đích đến o Cấp phát băng thông để phù hợp với ưu tiên o Cung cấp công cụ giám sát để kết nối internet sử dụng o Tự động hóa dịch vụ nhờ sử dụng script  Khả mở rộng o Chú trọng tới an toàn thi hành nhờ sử dụng ISA server software development kit (SDK) với thành phần bổ sung o Chưc mở rộng an toàn cho sản xuất thứ ba o Tự động tác vụ quản trị với đối tượng script COM ( component object model) CHƯƠNG II: Cài đặt ISA Server 2006 Yêu cầu cấu hình Internet link Up to T1 7.5 megabits Up to 25 Mbps Up to T3 Up to 90 61 bandwidth per second (Mbps) 45 Mbps Mbps Processors/Core s 1 2/2 Processor type Pentium III750 megahertz (MHz) or higher Pentium 3.0– Xeon3.0– 4.0 gigahertz(GHz) 4.0 GHz Xeon Dual Core AMD Dual Core 2.0–3.0 GHz Memory 512 megabytes(MB) 512 MB gigabyte (GB) GB Disk space 150 MB 2.5 GB GB 10 GB Network adapter 10/100 Mbps 10/100 Mbps 100/1000 Mbps 100/1000 Mbps 700 850 2000 Số VPN đồng 150 thời kết nối Tiến trình cài đặt Trước tiên cài đặt ISA yêu cầu máy ISA phải có card mạng, card nối với mạng bên (Internal) card mang lại nối Internet (External) Cho đĩa ISA server 2006 vào chọn Install ISA server 2006 61 Trong cửa sổ Setup type chọn Typical bạn muốn cài đặt theo chế độ mặc định chọn Custom muốn cài đặt tay chọn Custom  Next 61 Sau nhấp Next Tại cửa sổ Internal Network nhấp Add 61 Chọn tiếp Add Adapter Trong Select Network Adapter, chọn card mang trực tiếp nối vào LAN  OK 61 Nhấp Next Nhấp Next  Install Finish 61 61 Tạo Caching Mặc định sau cài đặt hoàn tất ISA Server tắt Cache đi, để Enable Cache bạn chọn Cache mục Configuration Tại ISA Server hình chọn Tab Cache Drivers , cửa sổ bên phải chọn Tab Tasks chọn Define Cache Drives (Enable Caching) 61 Chọn ổ đĩa lưu Cache dung lượng Cache nhấp set  OK 61 Chọn Save the changes and restart the services Đến ta cấu hình hoàn tất cho ISA Server Cache thụ động tất trang Web, nghĩa với trang Web có nội dung không lưu trữ Cache ISA phải tốn công tải nguyên trang Như với số trang Web mà ta muốn ISA tự động Cache vào thời điểm định ta phải tạo Job cho ISA cập nhật chủ động trang Trở lại máy ISA Server chọn Tab Content Download Jobs Cache tiếp tục nhấp chọn Schedule a Content Download Job để Enable tính chủ động Cache lên 61 Nhập tên cho Schedule  Next Chọn Daily để thực Cache ngày 61 Chỉ định thực Cache chủ động cho ISA Daily Frequency Nhập địa trang Web mà bạn muốn Cache chủ động vào 61 Giữ nguyên giá trị mặc định hình Content Caching  Next  Finish Sau hoàn tất ta start lên 61 Như mặc định ISA Cache toàn trang Web mà User truy cập Với số trang Web mà nội dung thường xuyên thay đổi (các trang Web chứng khoán ) tính Cache xem không khả thi Để giải vấn đề ta tạo Rule nhằm loại trừ số trang mà ta không muốn ISA Cache chúng Đầu tiên ta phải tạo danh sách trang wed không cache Chọn Firewall Policy, cửa sổ bên phải chon Tab Toolbox click chuột phải vào URL Sets chọn New URL Set Trong cửa sổ New URL Set Rule Element ta điền tên danh sách add trang wed không lưu cache vào danh sách  OK 61 Tiếp theo hình ISA Server chọn Cache nhấp phải vào Cache chọn New -> Cache Rule 61 Đặt tên cho Rule Deny Cache Trong hình Cache Rule Destination ta Add vào danh sách mà ta vừa tạo lúc trước 61 Nhấn Next để tiếp tục Trong hình Content Retrieval ta chọn Option Only if a valid version Nhấn Next để tiếp tục Trong hình Cache Content chọn vào Never, no content will ever be cached  Next 61 Nhấp Finish CHƯƠNG V: MỘT SỐ MÔ HÌNH ISA FIREWALL THƯỜNG GẶP Edge Firewall Đây mô hình mạng với ISA Server nối trực tiếp với mạng bên Internal Do dó hệ thống bị bên công vào ISA Server bị dánh sập chúng truy 61 cập vào tất máy tính mạng Internal Network Với mô hình hệ thống bảo mật tầm hạn chế 3-Leg Perimeter Với mô hình Internal Network chia làm nhóm  Nhóm thứ máy Mail Server, Web Server để người dùng từ External Network truy cập vào  Nhóm thứ máy nội cần bảo mật kỹ nhóm thứ Tại máy ISA Server ta cần đến Card Lan  Card thứ nối với máy thuộc nhóm thứ Internal Network ISA Server mở Port Outbound Card  Card thứ nối với máy thuộc nhóm thứ Internal Network ISA Server mở Port Outbound/Inbound Card  Card thứ nối với máy External Network ISA Server mở Port Inbound Card Như Hacker từ External Network công vào mạng chúng ta, sau đánh sập ISA Server chúng truy cập vào tất máy tính thuộc nhóm thứ mạng Internal Network Với mô hình hệ thống bảo mật chưa chặt chẽ 61 Front/Back Firewall Mô hình thực chất mở rộng mô hình 3-Leg Perimeter mô hình người ta dựng nhiều ISA Server Local Host Khi Hacker công mạng chúng phải liên tiếp đánh sập nhiều ISA Server Local Host, nhiên vài ISA Server bị công phía báo động có biện pháp phòng thủ, củng cố lại hệ thống an toàn Mô hình có độ an toàn cao bù lại chi phí đầu tư cho tốn 61 CHƯƠNG VI TỔNG KẾT Hiện bảo mật hệ thống mạng vấn đề nhức nhối quản trị viên Mỗi ngày làm việc lại có thêm nguy công mới, tinh vi, đại với hình thức phức tạp quy mô Sự đe dọa hệ thống “rình rập” dù sai lầm nhỏ dẫn đến hậu khó lường Vì với vai trò quản trị viên cần có trình độ định, luôn cập nhật công nghệ bên cạnh xây dựng server đủ mạnh, firewall vững vv.vv Hiểm họa luôn tiềm ẩn, bên hệ thống mạng hay từ bên tổ chức Thực tế công ty, hay tổ chức nhu cầu trao đổi, tìm hiểu thông tin điều thiết yếu bắt buộc mạng cục mà Internet Như cần có quản lý chặt chẽ, kiểm soát truy cập local hay Internal Internet ngược lại ISA server 2006 xứng đáng lựa chọn tin cậy Không đáp ứng hai điều kiện ISA server có giao diện thân thiện dễ sử dụng quản lý Và với vai trò quản trị viên cần nâng cao kiến thức liên tục cập nhật công nghệ… đưa lựa chọn đắn nhằm bảo vệ tốt nhất, an toàn cho hệ thống mạng tổ chức hay công ty đảm nhiệm /