Chương 1: Tổng quan về đề tài Chương 2: Cơ sở lI thuyBt - Tổng quan về công nghệ firewall và giới thiệu pfsense - Cài đặt pfsense - Triển khai pfsense 1 0 0 Tieu luan Chương 3: KBt luận. 2 0 0 Tieu luan CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 2. Tổng quan về cộng nghệ Firewall 2. Định nghĩa Firewall Firewall là một phần c1a hệ thống hay mạng máy tInh đư=c thiBt kB để điều khiển truy nhập gi;a các mạng bằng cách ngăn chặn các truy cập không đư=c phép trong khi cho phép các truyền thông h=p lệ.
Nó cũng là một hay một nhóm các thiBt bJ đư=c c<u h?nh để cho phép, ngăn c8n, mã hóa, gi8i mã hay proxy lưu lư=ng trao đổi c1a các máy tInh gi;a các miền b8o mật khác nhau dựa trên một bộ các luật (rule) hay tiêu chu:n nào khác. Chức năng của Firewall ChGc năng chInh c1a firewall là kiểm soát lưu lư=ng gi;a hai hay nhiều mạng có mGc độ tin cậy khác nhau để từ đó thiBt lập cơ chB điều khiển luồng thông tin gi;a chúng. Cụ thể là: - Cho phép hoặc ngăn c8n truy nhập vào ra gi;a các mạng. - Theo dHi luồng d; liệu trao đổi gi;a các mạng.
- Kiểm soát ngưKi sử dụng và việc truy nhập c1a ngưKi sử dụng. - Kiểm soát nội dung thông tin lưu chuyển trên mạng. Cấu trúc Firewall Không hoàn toàn giống nhau gi;a các s8n ph:m đư=c thiBt kB bởi các hãng b8o mật, tuy nhiên có nh;ng thành phần cơ b8n sau trong c<u trúc c1a một firewall nói chung (mà một số trong đó sẽ đư=c t?m hiểu rH hơn trong phần 2.2 về các công nghệ firewall): - Bộ lDc gói (packet filtering) - Application gateways / Proxy server - Circuit level gateway - Các chInh sách mạng (network policy) - Các cơ chB xác thực nâng cao (advanced authentication mechanisms) 3 0 0 Tieu luan - Thống kê và phát hiện các hoạt động b<t thưKng (logging and detection of suspicious activity) 2. Phân loại firewall Có r<t nhiều tiêu chI có thể đư=c sử dụng phân loại các s8n ph:m firewall, vI dụ như cách chia ra thành firewall cGng (thiBt bJ đư=c thiBt kB chuyên dụng hoạt động trên hệ điều hành dành riêng cùng một số xử lý trên các mạch điện tử tIch h=p) và firewall mềm (phần mềm firewall đư=c cài đặt trên máy tInh thông thưKng)…Nhưng có lẽ việc phân loại firewall thông qua công nghệ c1a s8n ph:m firewall đó đư=c xem là phổ biBn và chInh xác hơn t<t c8.
Giới thiệu tường lửa Pfsense Để b8o vệ cho hệ thống mạng bên trong th? chúng ta có nhiều gi8i pháp như sử dụng Router Cisco, dùng tưKng lửa c1a Microsoft như ISA…. Tuy nhiên nh;ng thành phần kể trên tương đối tốn kém. V? vậy đối với ngưKi dùng không muốn tốn tiền nhưng lại muốn có một tưKng lửa b8o vệ hệ thống mạng bên trong (mạng nội bộ) khi mà chúng ta giao tiBp vối hệ thống mạng bên ngoài (Internet) th? pfsense là một gi8i pháp tiBt kiệm và hiệu qu8 tương đối tốt nh<t đối với ngưKi dùng. PfSense là một Gng dụng có chGc năng đJnh tuyBn vào tưKng lửa mạnh và miễn phI, Gng dụng này sẽ cho phép bạn mở rộng mạng c1a m?nh mà không bJ thỏa hiệp về sự b8o mật.
Bẳt đầu vào năm 2004, khi monowall mới bắt đầu chập ch;ng đây là một dự án b8o mật tập trung vào các hệ thống nhúng pfSense đã có hơn 1 triệu download và đư=c sử dụng để b8o vệ các mạng ở t<t c8 kIch cỡ, từ các mạng gia đ?nh đBn các mạng lớn c1a c1a các công ty. Ứng dụng này có một cộng đồng phát triển r<t tIch cực và nhiều tInh năng đang đư=c bổ sung trong mỗi phát hành nhằm c8i thiện hơn n;a tInh b8o mật, sự ổn đJnh và kh8 năng linh hoạt c1a nó Pfsense bao gồm nhiều tInh năng mà bạn vẫn th<y trên các thiBt bJ tưKng lửa hoặc router thương mại, chẳng hạn như GUI trên nền Web tạo sự qu8n lý một cách dễ dàng. Trong khi đó phần mềm miễn phI này còn có nhiều tInh năng <n tư=ng đối với firewall/router miễn phI, tuy nhiên cũng có một số hạn chB. Pfsense hỗ tr= lDc bởi đJa chỉ nguồn và đJa chỉ đIch, cổng nguồn hoặc cổng đIch 4 0 0 Tieu luan hay đJa chỉ IP.
Nó cũng hỗ tr= chInh sách đJnh tuyBn và có thể hoạt động trong các chB độ bridge hoặc transparent, cho phép bạn chỉ cần đặt pfSense ở gi;a các thiBt bJ mạng mà không cần đòi hỏi việc c<u h?nh bổ sung. PfSense cung c<p network address translation (NAT) và tInh năng chuyển tiBp cổng, tuy nhiên Gng dụng này vẫn còn một số hạn chB với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. PfSense đư=c dựa trên FreeBSD và giao thGc Common Address Redundancy Protocol (CARP) c1a FreeBSD, cung c<p kh8 năng dự phòng bằng cách cho phép các qu8n trJ viên nhóm hai hoặc nhiều tưKng lửa vào một nhóm tự động chuyển đổi dự phòng. V? nó hỗ tr= nhiều kBt nối mạng diện rộng (WAN) nên có thể thực hiện việc cân bằng t8i.
Tuy nhiên có một hạn chB với nó ở chỗ chỉ có thể thực hiện cân bằng lưu lư=ng phân phối gi;a hai kBt nối WAN và bạn không thể chỉ đJnh đư=c lưu lư=ng cho qua một kBt nối. H?nh 1: Mô h?nh tưKng lửa Pfsense 2.3 Một số tính năng Pfsense 2. Pfsense Aliases Aliases có thể giúp bạn tiBt kiệm một lư=ng lớn thKi gian nBu bạn sử dụng chúng một cách chInh xác. Một Aliases ngắn cho phép bạn sử dụng cho một host ,cổng hoặc mạng có thể đư=c sử dụng khi tạo các rules trong pfSense .Sử dụng Aliases sẽ giúp bạn cho phép bạn lưu tr; 5 0 0 Tieu luan nhiều mục trong một nơi duy nh<t có nghĩa là bạn không cần tạo ra nhiều rules cho nhóm các máy hoặc cổng.
NAT PfSense cung c<p network address translation (NAT) và tInh năng chuyển tiBp cổng, tuy nhiên Gng dụng này vẫn còn một số hạn chB với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. Trong Firewall bạn cũng có thể c<u h?nh các thiBt lập NAT nBu cần sử dụng cổng chuyển tiBp cho các dJch vụ hoặc c<u h?nh NAT tĩnh (1:1) cho các host cụ thể. ThiBt lập mặc đJnh c1a NAT cho các kBt nối outbound là automatic/dynamic, tuy nhiên bạn có thể thay đổi kiểu manual nBu cần. Firewall Rules Nơi lưu các rules (Luật) c1a Firewall.
Để vào Rules c1a pfsense vào Firewall → Rules. Mặc đJnh pfsense cho phép mDi trafic ra/vào hệ thống .Bạn ph8i tạo ra các rules để qu8n lI mạng bên trong firewall. Firewall Schedules Các Firewall rules có thể đư=c sắp xBp để nó có chỉ hoạt động vào các thKi điểm nh<t đJnh trong ngày hoặc vào nh;ng ngày nh<t đJnh cụ thể hoặc các ngày trong tuần. Một số dịch vụ của Pfsense 2.
DHCP Server DHCP Server chỉnh c<u h?nh cho mạng TCP/IP bằng cách tự động gán các đJa chỉ IP cho khách hàng khi hD vào mạng. Cài đặt Packages NgưKi dùng có nhu cầu cài đặt thêm các chGc năng mở rộng c1a chương tr?nh cài đặt pfSense ,bạn có thể thêm các gói từ một lựa chDn các phần mềm. 6 0 0 Tieu luan Gói có thể đư=c cài đặt bằng cách sử dụng Package Manager, nằm tại menu System. Package Manager sẽ hiển thJ t<t c8 các gói có sẵn bao gồm một mô t8 ngắn gDn về chGc năng c1a nó.
Cấu hình NTP Server cho Pfsense DJch vụ này giúp ngưKi dùng đòng bộ thKi gian mạng. NTP (Network Time Protocol) là để đồng bộ đồng hồ các hệ thống máy tInh thông qua mạng d; liệu chuyển mạch gói với độ trễ biBn đổi. DJch vụ này đư=c thiBt kB để tránh 8nh hưởng c1a độ trễ biBn đổi bằng cách sử dụng bộ đệm jitter. Cài đặt Failover và Load Balancing cho Pfsense ChGc năng này sử dụng nền t8ng Pfsense để cân bằng t8i cho traffic từ mạng LAN ra nhiều nhành WAN.
High Availability Sync và CARP High Availability có nghĩa là “Độ sẵn sàng cao“, nh;ng máy ch1, thiBt bJ loại này luôn luôn sẵn sàng phục vụ, ngưKi sử dụng không c8m th<y nó bJ trục trặc, hỏng hóc gây gián đoạn. Để đ8m b8o đư=c điều đó, tối thiểu có một cặp máy, thiBt bJ chạy song song, liên tục liên lạc với nhau, cái chInh hỏng, cái phụ sẽ lập tGc biBt và tự động thay thB. Thông thưKng các nhóm máy ch1 đư=c gDi là "CARP cluster" nhưng CARP chỉ là một phần. High Availability đạt đư=c bằng cách sử dụng sự kBt h=p c1a nhiều kỹ thuật có liên quan, bao gồm c8 CARP, trạng thái đồng bộ (pfsync), và c<u h?nh đồng bộ (XMLRPC Sync).
Common Address Redundancy Protocol (CARP): đư=c sử dụng bởi các node để chia sẻ 1 IP 8o (virtual IP) gi;a nhiều nút với nhau sao cho khi 1 node fail th? IP 8o đó vẫn hoạt động bởi các node khác. CARP đư=c bắt nguồn từ OpenBSD như 1 thay thB mã nguồn mở cho giao thGc route 8o VRRP (The Virtual Router Redundancy Protocol) CARP sử dụng multicast v? vậy cần chú ý tới các switch trên hệ thống có hạn chB hoặc block, filter đJa chỉ multicast hay không.5 Cài đặt Pfsense 7 0 0 Tieu luan H?nh 2: Màn h?nh welcome to pfsense H?nh 3: Hệ thống hỏi có muốn tạo VLANs không, chDn “N” 8 0 0 Tieu luan H?nh 4: ChDn card mạng WAN thG nh<t, chDn card “ em1” H?nh 5: ChDn card cho mạng LAN bên trong “em0” 9 0 0 Tieu luan H?nh 6: ChDn card mạng cho WAN2 “em2” H?nh 7: Sau khi gán xong, chDn “y” 10 0 0 Tieu luan H?nh 8: Cài đặt các Interface (card mạng). ChDn mục 2 H?nh 9: Cài đặt IP cho mạng LAN, chDn “2” 11 0 0 Tieu luan H?nh 10: ChDn đJa chỉ Ipv4 “10.10” H?nh 11: ChDn “24” là Subnetmask 12 0 0 Tieu luan hay đJa chỉ IP. Nó cũng hỗ tr= chInh sách đJnh tuyBn và có thể hoạt động trong các chB độ bridge hoặc transparent, cho phép bạn chỉ cần đặt pfSense ở gi;a các thiBt bJ mạng mà không cần đòi hỏi việc c<u h?nh bổ sung.
PfSense cung c<p network address translation (NAT) và tInh năng chuyển tiBp cổng, tuy nhiên Gng dụng này vẫn còn một số hạn chB với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. PfSense đư=c dựa trên FreeBSD và giao thGc Common Address Redundancy Protocol (CARP) c1a FreeBSD, cung c<p kh8 năng dự phòng bằng cách cho phép các 0 0 qu8n trJ viên nhóm hai hoặc nhiều TieutưKng lửa vào một nhóm tự động chuyển đổi dự luan phòng. V? nó hỗ tr= nhiều kBt nối mạng diện rộng (WAN) nên có thể thực hiện việc cân bằng t8i.