Tài liệu Network Security and The Cisco PIX Firewall P8 pdf

CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Chương 8: Dynamic Host Configuration Protocol Support HỖ TRỢ GIAO THỨC CẤU HÌNH HOST ĐỘNG (DHCP) Tổng quan: Chương bao gồm topic sau:  Mục tiêu  Giao thức cấu hình host động  PIX Firewall server DHCP  PIX Firewall client DHCP  Tổng hợp  Lab excersice Tổng tiêu: Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT GIAO THỨC CẤU HÌNH HOST ĐỘNG (DHCP) Phần mơ tả chức giao thức cấu hình host động (DHCP) giải thích cách thức PIX Firewall sử dụng DHCP cung cấp khả tự động cấp phát địa mạng (có thể sử dụng lại được) mạng TCP/IP Điều tạo dẽ dàng cho người quản trị làm giảm đáng kể lỗi người gây Khơng có DHCP địa IP cần phải nhập tay cho máy tính thiết bị mà yêu cầu địa IP DHCP DHCP cấp phát tham số cấu hình khác địa server DNS ,WINS domain names (tên miền) Host cấp phát địa tham số cấu hình cho DHCP clients gọi DHCP server Một DHCP client host sử dụng DHCP để lấy tham số cấu hình Lưu lương DHCP bao gồm gói tin quảng bá router để điều khiển gia tăng không cần thiết gói tin quảng bá, cần thiết phép đẩy gói tin quảng bá DHCP router DHCP server clients Để có phần mềm CISCO IOS đẩy gói tin quảng bá này, sử dụng lệnh cấu hình giao diện ip helper-address Địa định lệnh DHCP server Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Bất kỳ PIX Firewall mà chạy phiên 5.2 cao hỗ trợ DHCP server client Một DHCP server thiết bị cung cấp tham số cấu hình cho DHCP client, DHCP client thiết bị sử dụng DHCP để lấy tham số cấu hình mạng Trong mơi trường mạng đảm bảo an ninh PIX Firewall, PC clients kết nối đến PIX Firewall thiết lập kết nối mạng để truy cập mạng doanh nghiệp tập đoàn Như DHCP server, PIX Firewall cung cấp cho PC (là DHCP client nó) tham số mạng cần thiết để truy cập tới mạng doanh nghiệp hay tổ chức., mạng inside PIX Firewall cung cấp dịch vị mạng để sử dụng DNS server Giống DHCP clients, PIX Firewall lấy địa IP, subnet mask, tùy chọn tuyến đường mặc định từ DHCP server Note: PIX Firewall cấp phát tham số cấu hình đến clients mà kết nối vật lý đến mạng inside interface PIX Firewall Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT The PIX Firewall as a DHCP Server Phần giải thích cách cấu hình PIX Firewall để hoạt động DHCP Server Truyền thông DHCP bao gồm vài thông điệp truyền qua DHCP client DHCP server Dưới kiện xảy trình trao đổi này: Client broadcast (quảng bá) thông điệp DHCPDISCOVER cổng vật lý cục đến DHCP server Bất kỳ DHCP server nhận thơng điệp đáp ứng với thông điệp DHCPOFFER, thông điệp bao gồm địa mạng (địa phải tồn tại) vài tham số cấu hình khác Dựa tham số cấu hình đưa thơng điệp DHCPOFFER Client chọn server để yêu cầu tham số cấu hình Client quảng bá thơng điệp DHCPREQUEST u cầu đưa tham số từ server hủy thông điệp từ tất server khác Server chọn thông điệp DHCPREQUEST đáp ứng với thơng điệp DHCPACK chưa tham số cấu hình cho yêu cầu client Nếu việc chọn server mà không đáp ứng yêu cầu client (ví dụ trường hợp địa mạng yêu cầu cấp phát) server phản hồi thơng điệp DHCPNAK Client nhận thông điệp DHCPNAK DHCPACK chưa tham số cấu hình Note: PIX Firewall DHCP server khơng hỗ trợ BOOTP request cấu hình failover Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Để kích hoạt DHCP server hỗ trợ PIX Firewall, hoàn thành bước đây: Gán địa IP tĩnh cho inside interface cách sử dụng lệnh ip address Chỉ định dải địa cho DHCP server dùng để phân phối lệnh dhcp address Chỉ định địa IP DNS server mà client sử dụng lệnh dhcp dns Bước tùy chọn Chỉ định địa IP WIN server mà client sử dụng lệnh dhcp wins Bước tùy chọn Chỉ định lease length cho client lệnh dhcpd lease Chỉ định giá trị ping timeout sử dụng lệnh dhcp ping timeout Bước tùy chọn Cấu hình domain name mà client sử dụng lệnh dhcpd domain Bước tùy chọn Kích hoạt DHCP daemon PIX Firewall để lắng nghe yêu cầu từ client interface phép lệnh dhcp enable Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Lệnh dhcp address định dải địa IP cho server để phân phối Dải địa cần phải với subnet interface PIX Firewall Hay client cần kết nối vật lý đến subnet interface PIX Firewall Hỗ trợ 32 địa dải mặc định interface name inside (và hỗ trợ interface này) Lệnh no dhcpd address gỡ gỡ dải địa DHCP server Trong PIX Firewall phiên 5.3 trở lên, có lệnh dhcpd ping timeout DHCP server ping địa trước cấp phát cho client Nếu hồi âm nhận ping, địa gỡ bỏ khỏi dải địa không gán Lệnh dhcpd ping_timeout sử dụng để định khoảng thời gian DHCP server chờ trước cấp phát địa cho client Dưới cú pháp lệnh dhcpd address: dhcpd address ip1[-ip2] [if_name] Address ip1[ip2] Dải địa IP Kích thước giới hạn 32 địa If_name Tên interface Mặc định inside (và hỗ trợ inside interface) Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Lệnh dhcpd dns định địa IP DNS server cho DHCP clients Hỗ trợ DNS server định với lệnh Sử dụng lệnh no dhcpd dns để gỡ địa IP cấu hình Cú pháp lệnh dhcpd dns: dhcpd dns dns1 [dns2] Dns dns1[dns2] Địa DNS server cho DHCP client Địa thứ tùy chọn (dns2) Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Lệnh dhcpd wins sử dụng để định hỗ trợ WINS server cho DHCP server clients sử dụng Lệnh tùy chọn Lệnh no dhcpd wins gỡ bỏ địa IP WINS server Cú pháp lệnh dhcp wins: dhcpd wins wins1 [wins2] wins wins1[wins2] Địa IP tên server Microsoft NetBios (WINS servers) Server thứ tùy chọn (wins2) Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Lệnh dhcpd lease định thời gian (tính giây) mà client sử dụng để gán địa IP Mặc định 3600 giấy Lease length (chiều dài lease) tối thiểu 300 giây, tối đa 2.147.483.647 giây Cú pháp lệnh dhcpd lease: dhcpd lease lease_length lease lease_length Khoảng thời gian tính giây Lease độ dài (về thời gian) mà client sử dụng để gán địa IP Mặc định 3600 giấy Lease length tối thiểu 300 giây, tối đa 2.147.483.647 giây Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Để tránh xung đột địa IP DHCP server PIX Firewall ping đến địa trước cấp phát cho client Nếu phản hồi lại ping nhận được, PIX Firewall gỡ bỏ địa khỏi dải địa DHCP address Trong phần mềm PIX Firewall phiên 5.3 trở lên, thời gian tính mili giây mà DHCP server chờ response (phản hồi) cấu hình sử dụng lệnh dhcpd ping_timeout.Mặc định 750 mili giây, cực tiểu 100 cực đại 10000 Lệnh no dhcpd ping_timeout sử dụng để reset giá trị timeout mặc định Cú pháp lệnh dhcpd ping_timeout: dhcpd ping_timeout timeout Ping_timeout timeout Chỉ định thời gian DHCP server chờ trước định vị địa cho client 10 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Sử dụng lệnh dhcpd enable phép DHCP PIX Firewall lắng nghe yêu cầu DHCP client interface phép (interface kích hoạt câu lệnh) Hiện bạn kích hoạt đặc tính DHCP server inside interface giá trị mặc định Sử dụng dạng no lệnh để disable DHCP (Note: sử dụng thuật ngữ “dạng no lệnh xyz tức lệnh: no xyz”) Cú pháp lệnh dhcpd enable: dhcpd enable [if_name] If_name Tên interface PIX Firewall Mặc định inside interface DHCP server kích hoạt inside interface 12 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Lệnh debug dhcpd hiển thị thông tin DHCP server Sử dụng lệnh debug dhcpd event để hiển thị thông tin kiện DHCP server sử dụng lệnh debug dhcpd packet để hiển thị thông tin packet DHCP server Sử dụng dạng no lệnh debug dhcpd để disable debuging Cú pháp lệnh debug dhcpd: debug dhcpd event | packet Debug event Hiển thị thông tin kiện DHCP server Dhcp packet Hiển thị thơng tin packet DHCP server Lệnh clear dhcpd sử dụng để xóa tất lệnh dhcp, tập hợp thống kê thông tin Sử dụng dạng no lệnh clear dhcpd để gỡ bỏ tất khai báo lệnh dhcpd Cú pháp lệnh clear dhcpd: clear dhcpd [binding | statistics] Bindings Tập hợp thông tin statistics Thống kê thông tin dải địa chỉ, số bindings, thông điệp gửi, nhận… 13 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT The PIX Firewall as a DHCP Client Phần giải thích cách cấu hình PIX Firewall DHCP client Sử dụng lệnh ip address dhcp kích hoạt đặc tính DHCP client PIX Firewall DHCP client hỗ trợ PIX Firewall thiết kế sử dụng gia đình văn phịng nhỏ sử dụng PIX Firewall kết nối trực tiếp đến DSL cáp modem mà hỗ trợ chức DHCP server Ouside interface có địa subnet mask từ DHCP server Địa sau sử dụng địa global PAT Chính điều làm cho ISP khơng cần thiết phải gán địa IP tĩnh cho PIX Firewall Cú pháp lệnh ip address dhcp: ip address if_name dhcp [setroute] ip address outside dhcp [setroute] [retry retry_cnt] If_name Tên interface bên bên thiết kế lệnh nameif Dhcp Kích hoạt đặc tính DHCP client interface định Setroute Tùy chọn muốn “nói” cho PIX Firewall thiết lập tuyến đường mặc định sử dụng tham sô defaul gateway DHCP server trả Outside Interface mà PIX Firewall thu thông tin 14 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Retry Cho phép PIX Firewall thử lấy lại thông tin DHCP Retry_cnt Chỉ định thời gian PIX Firewall lấy thơng tin DHCP, giá trị sẵn có đến 16 không đưa giá trị mặc định 15 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Các lệnh debug dhcpc packet, debug dhcpc detail dhcpc error hiển thị thông tin DHCP lease Sử dụng dạng no lệnh để disable debugging Cú pháp lệnh debug: debug dhcpc Dhcpc detail Hiển thị thông tin chi tiết DHCP client packets Dhcpc error Hiển thị thông điệp lỗi DHCP client Dhcpc packet Hiển thị thông tin packet DHCP client 16 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Sử dụng lệnh dhcp auto_config để kích hoạt PIX Firewall tự động cấu hình tham số nhận từ DHCP server đến DHCP client DHCP cần phải kích hoạt lệnh dhcp enable để sử dụng lệnh dhcp auto_config Sử dụng dạng no lệnh để disable đặc tính auto_config Cú pháp lệnh dhcp auto_config dhcpd auto_config [client_ifx_name] no dhcpd auto_config [client_ifx_name] Auto_config Kích hoạt PIX Firewall tự động cấu hình DNS, WINS domain name từ DHCP client đến DHCP server Client_ifx_name Chỉ hỗ trợ ouside interface thời điểm Khi mà nhiều interface hỗ trợ, đối số định interface hỗ trợ đặc tính DHCP auto_config 17 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Lab Exercise—Configure the PIX Firewall’s DHCP Server and Client Features Mục tiêu: lab bạn hoàn thành nhiệm vụ sau:  Kiểm tra địa Ip inside PIX Firewall  Cấu hình đặc tính DHCP server PIX Firewall  Kiểm tra đặc tính DHCP server PIX Firewall  Disable DHCP NT server  Disable đặc tính DHCP server PIX Firewall Topo: Nhiệm vụ – kiểm tra địa IP inside PIX Firewall Bạn cần hoàn thành bước sau đây: Bước 1: hiển thị cấu hình địa IP pixP(config)# show ip address Bước 2: đảm bảo địa IP inside interface 10.0.P.1 Bước 3: thiết lập kết nối đến web server 172.26.26.50 (mở trình duyệt web truy cập địa trên) 18 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Nhiệm vụ – cấu hình đặc tính PIX Firewall’s DHCP server Bước 1: định dải địa cho DHCP server để cấp phát pixP (config)# dhcpd address 10.0.P.51-10.0.P.60 inside Bước 2: định địa IP DNS server mà client sử dụng pixP (config)# dhcpd dns 10.0.P.75 Bước 3: định địa IP WINS server mà client sử dụng pixP (config)# dhcpd wins 10.0.P.76 Bước 4: định lease pixP (config)# dhcpd lease 3000 Bước 5: cấu hình domain name mà client sử dụng pixP (config)# dhcpd domain cisco.com Bước 6: kích hoạt DHCP PIX Firewall để “lắng nghe” yêu cầu DHCP client interface phép pixP (config)# dhcpd enable inside Bước 7: Hiển thị cấu hình DHCP tống hợp pixP (config)# show dhcpd dhcpd address 10.0.P.51-10.0.P.60 inside dhcpd dns 10.0.P.75 dhcpd wins 10.0.P.76 dhcpd lease 3000 dhcpd ping_timeout 750 dhcpd domain cisco.com dhcpd enable inside Bước 8: ghi lại cấu hình pixP (config)# write memory Nhiệm vụ – kiểm tra đặc tính PIX Firewall’s DHCP server Bước 1: kích phải vào biểu tượng My Network Places chọn Properties Cửa sổ Network and Dial-up Connections mở Bước 2: nháy đúp vào Local Area Connection Local Area Connection Status mở Bước 3: click vào Propertise Cửa sổ Local Area Connection Properties mở 19 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT Bước 4: chọn TCP/IP cà click vào propertise cửa sổ Internet Protocol (TCP/IP) Properties mở Bước 5: chọn Obtain an IP address automatically Bước 6: click Ok Bước 7: OK Bước 8: đóng cửa sổ Local Area Connection Status Bước 9: đóng cửa sổ Network and Dial-up Connections Bước 10: mở dấu nhắc lệnh Windows NT làm lại địa IP C:\> ipconfig /release C:\> ipconfig /renew Bước 11: kiểm tra PIX Firewall gán địa IP, subnet mask, địa DNS, địa WINS domain name đến NT server C:\> ipconfig /all Bước 12: thiết lập kết nối đến web server 172.26.26.50 (http://172.26.26.50) Nhiệm vụ – disable DHCP NT server Bước 1: kích phải vào biểu tượng My Network Places desktop Windows NT chọn Propertise Cửa sổ Network and Dial-up Connections mở Bước 2: nháy đúp vào biểu tượng Local Area Connection Bước 3: click Propertise Bước 4: chọn TCP/IP cà click vào propertise cửa sổ Internet Protocol (TCP/IP) Properties mở Bước 5: chọn Specify an IP address Bước 6: nhập 10.0.P.3 text box địa IP Bước 7: nhập 255.255.255.0 text box subnet mask Bước 8: nhập 10.0.P.1 text box default gateway Bước 9: click Advanced Bước 10: click Add Bước 11: hộp TCP/Ip nhập địa Ip 10.1.P.3, subnet mask 255.255.255.0 Bước 12: click add Bước 13: click OK 20 Trần Giáo_Khoa CNTT_ĐH Thái Nguyên ... SUPPORT The PIX Firewall as a DHCP Client Phần giải thích cách cấu hình PIX Firewall DHCP client Sử dụng lệnh ip address dhcp kích hoạt đặc tính DHCP client PIX Firewall DHCP client hỗ trợ PIX Firewall. .. Exercise—Configure the PIX Firewall? ??s DHCP Server and Client Features Mục tiêu: lab bạn hoàn thành nhiệm vụ sau:  Kiểm tra địa Ip inside PIX Firewall  Cấu hình đặc tính DHCP server PIX Firewall  Kiểm... interface PIX Firewall Trần Giáo_Khoa CNTT_ĐH Thái Nguyên CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT The PIX Firewall as a DHCP Server Phần giải thích cách cấu hình PIX Firewall để