Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của mạng Internet và các dịch vụ kỹ thuật số đã biến mạng máy tính thành hạ tầng thiết yếu trong hoạt động của các tổ chức, doanh nghiệp. Tuy nhiên, việc gia tăng kết nối toàn cầu cũng đồng thời mở ra nhiều hiểm họa an ninh mạng nghiêm trọng. Kỹ thuật của các đối tượng tấn công ngày càng tinh vi, trong khi thông tin về các lỗ hổng bảo mật và công cụ khai thác được chia sẻ công khai, khiến số lượng các vụ xâm nhập mạng không ngừng gia tăng.

Theo số liệu điều tra của tổ chức kiểm toán Ernst & Young được tác giả trích dẫn, có tới 4/5 các tổ chức lớn (quy mô trên 2.500 nhân viên) triển khai các ứng dụng nền tảng quan trọng trên mạng cục bộ (LAN). Khi các mạng này kết nối Internet, toàn bộ thông tin nội bộ đều đứng trước nguy cơ bị đột nhập, lấy cắp, phá hoại hoặc gián đoạn dịch vụ. Bên cạnh đó, số liệu từ tổ chức SecurityFocus (do Giám đốc điều hành Arthur Wong công bố) cho thấy trung bình mỗi tuần xuất hiện hơn 30 lỗ hổng bảo mật mới. Trong số 10.000 khách hàng có cài đặt phần mềm phát hiện xâm nhập của hãng này, trung bình mỗi khách hàng phải chịu 129 cuộc thăm dò và tấn công, trong đó máy chủ Web (như Microsoft IIS) là mục tiêu phổ biến nhất. Trước thực trạng đó, việc trang bị hệ thống tường lửa (Firewall) đóng vai trò then chốt bên cạnh các phần mềm diệt virus truyền thống. Đồ án tập trung nghiên cứu dòng thiết bị tường lửa chuyên dụng Cisco ASA nhằm cung cấp giải pháp an ninh mạng cho doanh nghiệp.

Đề tài xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể bao gồm:

  1. Nghiên cứu tổng quan về an toàn an ninh mạng máy tính, phân loại các lỗ hổng, mục tiêu cần bảo vệ, các dạng tấn công phổ biến và các chiến lược phòng thủ an ninh.
  2. Khảo sát nguyên lý, phân loại, ưu nhược điểm và các chức năng cốt lõi của công nghệ tường lửa (lọc gói, máy chủ ủy quyền proxy, giám sát và ghi log).
  3. Nghiên cứu chuyên sâu kiến trúc, nguyên lý hoạt động, các chế độ cấu hình và tính năng bảo mật của thiết bị tường lửa Cisco ASA (Stateful Packet Inspection, Security Level, NAT/PAT, Access Control List).
  4. Thiết kế mô hình an ninh mạng 3 vùng (Inside, DMZ, Outside) cho doanh nghiệp vừa và nhỏ; xây dựng bảng quy hoạch địa chỉ IP và bảng chính sách kiểm soát lưu lượng.
  5. Cấu hình và triển khai thực nghiệm hệ thống tường lửa Cisco ASA trên nền tảng giả lập EVE-NG kết hợp máy ảo VMware; kiểm thử luồng dữ liệu và đánh giá khả năng giám sát qua công cụ Cisco ASDM.
  • Đối tượng nghiên cứu: Thiết bị tường lửa Cisco ASA (Adaptive Security Appliances), công nghệ giám sát gói tin theo trạng thái (Stateful Packet Inspection), cơ chế phân vùng mức độ bảo mật (Security Level), kỹ thuật dịch địa chỉ mạng (NAT/PAT), danh sách kiểm soát truy cập (Access Control List - ACL) và giao diện quản trị đồ họa Cisco ASDM.
  • Phạm vi nghiên cứu:
    • Không gian: Nghiên cứu lý thuyết và triển khai mô hình thử nghiệm hệ thống mạng doanh nghiệp vừa và nhỏ trong môi trường phòng thí nghiệm giả lập (sử dụng phần mềm EVE-NG, VMware Workstation và Cisco ASDM).
    • Thời gian: Đồ án được thực hiện và bảo vệ vào tháng 06/2024 tại Viện Điện tử – Viễn thông, Trường Điện – Điện tử, Đại học Bách Khoa Hà Nội.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đồ án được xây dựng dựa trên các tiêu chuẩn an toàn thông tin và kiến trúc mạng máy tính của Cisco:

  • Khái niệm và mục tiêu an toàn thông tin: Ba mục tiêu cốt lõi của an toàn dữ liệu bao gồm tính bí mật (confidentiality), tính toàn vẹn (integrity) và tính sẵn sàng (availability); bên cạnh đó là việc bảo vệ tài nguyên phần cứng/phần mềm (CPU, bộ nhớ, thiết bị in ấn) và danh tiếng của tổ chức.
  • Lỗ hổng bảo mật và các dạng tấn công: Các lỗ hổng do mật khẩu yếu, dữ liệu không mã hóa, chia sẻ file không phân quyền; lỗ hổng liên quan đến bộ giao thức TCP/IP (tấn công Web Server qua lỗi thực thi CGI hoặc chèn chuỗi đường dẫn, lỗi tràn bộ đệm Buffer Overflow trong trường HTTP request, DNS overflow, Statd overflow; tấn công trình duyệt web qua URL, HTTP, HTML, JavaScript, ActiveX; tấn công giả mạo địa chỉ IP Spoofing; tấn công DNS). Ba nhóm tấn công cơ bản gồm: Xâm nhập (Intrusion), Từ chối dịch vụ (DoS, DDoS, DRDoS - Distributed Reflection DoS gây nhân băng thông), và Ăn trộm thông tin (Information theft).
  • Sáu chiến lược bảo vệ an ninh: Quyền hạn tối thiểu (Least Privilege), Bảo vệ theo chiều sâu (Defence in Depth), Nút thắt (Choke Point), Liên kết yếu nhất (Weakest Link), Hỏng an toàn (Fail-Safe Stance với hai nguyên tắc Mặc định từ chối - Default Deny và Mặc định cho phép - Default Permit), và Tính toàn cục (Universal Participation).
  • Lý thuyết tường lửa và Cisco ASA: Nguyên lý lọc gói tin (Packet Filtering) của Screening Router; cơ chế hoạt động của Proxy Server (Application-level Proxy, Circuit-level Proxy / Hybrid proxy gateway, Dedicated Proxy, Generic Proxy, Smart Proxy như CERN HTTP Proxy hay Squid Proxy); cơ chế giám sát gói tin theo trạng thái (Stateful Packet Inspection) kèm tính năng thay đổi ngẫu nhiên số tuần tự TCP (TCP sequence number randomization); thang đo mức độ tin cậy Security Level (0 đến 100); cơ chế chuyển đổi địa chỉ mạng (Static NAT, Dynamic NAT, Dynamic PAT / NAT Overload quản lý tới 65.535 cổng); cấu trúc Access Control List (ACL) điều khiển luồng Inbound và Outbound.

Phương pháp nghiên cứu được tác giả sử dụng trong đồ án:

  • Phương pháp phân tích - tổng hợp tài liệu: Thu thập, hệ thống hóa các tài liệu kỹ thuật chuyên ngành mạng, tài liệu chính thức của hãng Cisco và các báo cáo khảo sát an ninh mạng quốc tế.
  • Phương pháp thiết kế hệ thống kỹ thuật: Xây dựng sơ đồ mạng logic và sơ đồ triển khai phân vùng an ninh đáp ứng yêu cầu hoạt động của doanh nghiệp vừa và nhỏ.
  • Phương pháp thực nghiệm mô phỏng: Ứng dụng công nghệ ảo hóa mạng trên nền tảng EVE-NG và VMware Workstation để cấu hình, chạy thử nghiệm thiết bị tường lửa Cisco ASA, Router ISP và các máy chủ/máy trạm.
  • Phương pháp giám sát và phân tích dữ liệu: Sử dụng các công cụ chẩn đoán chuyên dụng trên Cisco ASDM (Packet Tracer và Real-Time Log Viewer) để kiểm tra hành trình gói tin, theo dõi nhật ký sự kiện và xác thực chính sách bảo mật.

Nguồn dữ liệu của đề tài bao gồm các số liệu thống kê an toàn mạng từ Ernst & Young, SecurityFocus; hệ thống lệnh và tài liệu cấu hình thiết bị Cisco IOS/ASA; các tệp log và dữ liệu bắt gói tin trực tiếp sinh ra trong quá trình mô phỏng trên giao diện Cisco ASDM.

Thiết kế và triển khai hệ thống

Đồ án đề xuất và triển khai mô hình hệ thống tường lửa Cisco ASA cho một doanh nghiệp vừa và nhỏ, bao gồm Router đóng vai trò nhà cung cấp dịch vụ Internet (ISP), thiết bị Firewall Cisco ASA kết nối và phân tách 3 vùng mạng riêng biệt.

Hoạch định phân vùng và chính sách mạng

Hệ thống mạng được phân chia thành 3 vùng với các mức độ bảo mật khác nhau:

Vùng mạng Lớp địa chỉ IP Subnet Mask Mức độ bảo mật (Security Level) Mô tả cụ thể
Mạng bên trong (Inside Network) 172.0 255.0 100 Mạng nội bộ tin cậy, chứa các máy trạm người dùng.
Vùng Phi Quân Sự (DMZ - Demilitarized Zone) 10.0 255.0 50 Đặt các Server quảng bá ra ngoài (Web Server, FTP Server).
Mạng bên ngoài (Outside Network) Dãy IP Public (khác các dải trên, ví dụ mạng 152.0) 255.0 0 Mạng không tin cậy / Internet, mức độ bảo mật thấp nhất.

Quy định kiểm soát lưu lượng giữa các vùng mạng được hoạch định như sau:

Vùng mạng nguồn Hành động Giao thức / Dịch vụ Mục đích và mô tả chính sách
Mạng nội bộ (Inside Network) Allow HTTPS, DNS, HTTP, FTP Cho phép người dùng truy cập Internet và các Server trong DMZ.
Mạng nội bộ (Inside Network) Allow Telnet, SSH Cho phép quản trị viên truy cập vào Firewall ASA với chứng thực local.
Vùng DMZ Allow / Deny Theo chính sách Cho phép kết nối ra Internet và đến vùng mạng Inside khi được cấp phép.
Mạng bên ngoài (Outside Network) Allow HTTP, FTP, Remote Desktop Cho phép người dùng ngoài Internet truy cập Web Server, File Server trong DMZ qua port chuyển dịch.

Cấu hình và triển khai kỹ thuật

  1. Cấu hình Router ISP:

    • Cấu hình các cổng mạng: FastEthernet0/0 (IP 151.0, thuộc phân vùng inside), FastEthernet0/1 (IP 152.0, thuộc phân vùng inside), FastEthernet1/0 (nhận IP qua DHCP client, thuộc phân vùng outside).
    • Thiết lập định tuyến động OSPF: Tiến trình router ospf 1, khai báo các mạng network 151.255 area 0 và network 151.255 area 0.
    • Thiết lập định tuyến tĩnh mặc định: ip route 0.2 để toàn bộ mạng inside đi ra Internet.
    • Cấu hình Extended Access List và NAT: Khởi tạo danh sách ip access-list extended NAT với luật deny ip 0.0 và permit ip any any.

  2. Cấu hình Firewall Cisco ASA (qua CLI và giao diện Cisco ASDM):

    • Gán thông số Interface: Khai báo tên vùng (nameif), phân vùng (zone), gán IP/Subnet Mask và thiết lập Security Level tương ứng (Inside = 100, DMZ = 50, Outside = 0).
    • Định tuyến: Cấu hình Static Route định hướng các gói tin ra bên ngoài Internet.
    • Cấu hình NAT/PAT:
      • Cấu hình Dynamic PAT (NAT Overload) cho mạng 172.0 (Inside) chuyển đổi sang địa chỉ IP của cổng Outside để truy cập Internet.
      • Cấu hình Static NAT / Port Forwarding cho vùng DMZ ra Outside đối với các dịch vụ HTTP, Remote Desktop, FTP. Để tăng cường bảo mật và tránh bị quét cổng, hệ thống thực hiện đổi cổng dịch vụ: cổng FTP chuyển từ 21 thành cổng 300, cổng Remote Desktop chuyển từ 3389 thành cổng 12345.
    • Cấu hình Access Control List (ACL): Thiết lập các bộ luật kiểm soát truy cập thông qua giao diện ASDM Access Rules:
      • Cho phép Inside đi ra Internet (dịch vụ domain, http, https, ip).
      • Cho phép Inside ping, remote desktop, truy cập FTP Server và Web Server trong DMZ.
      • Cho phép Outside truy cập vào Web Server, FTP Server và Remote Desktop của DMZ qua các cổng đã NAT.

Nội dung chính theo từng chương

Chương 1: An toàn trong mạng máy tính

Chương 1 khái quát thực trạng an toàn thông tin trên mạng Internet, chỉ ra tính cấp thiết của việc bảo vệ hệ thống trước sự gia tăng các cuộc tấn công có chủ đích. Tác giả phân tích các lỗ hổng mạng phổ biến gồm: mật khẩu yếu, dữ liệu truyền đi không được mã hóa, chia sẻ tệp tin không kiểm soát và các lỗ hổng bắt nguồn từ bộ giao thức TCP/IP (lỗ hổng Web Server, trình duyệt, giả mạo IP Spoofing, tràn bộ đệm Buffer Overflow và tấn công máy chủ DNS).

Chương này phân loại 3 mục tiêu cần bảo vệ trong hệ thống thông tin là Dữ liệu (đảm bảo tính bí mật, toàn vẹn, sẵn sàng), Tài nguyên (CPU, bộ nhớ, thiết bị mạng) và Danh tiếng của tổ chức. Đồng thời, tác giả làm rõ 3 dạng tấn công chính: Xâm nhập (Intrusion), Từ chối dịch vụ (gồm 4 dạng: tiêu thụ băng thông, cạn kiệt tài nguyên, lỗi lập trình, tấn công Routing/DNS; chia theo kỹ thuật thành DoS, DDoS và DRDoS), và Ăn trộm thông tin. Cuối chương, 6 chiến lược an ninh mạng cơ bản được trình bày chi tiết: Quyền hạn tối thiểu, Bảo vệ theo chiều sâu, Nút thắt, Liên kết yếu nhất, Hỏng an toàn và Tính toàn cục.

Chương 2: Tổng quan về Firewall

Chương 2 trình bày định nghĩa, vị trí và vai trò của tường lửa như một nút thắt kiểm soát toàn bộ luồng thông tin giữa mạng tin cậy (trusted network) và mạng không tin cậy (untrusted network). Tác giả so sánh ưu nhược điểm giữa Firewall phần cứng (bảo vệ cao, dễ bảo trì, không tốn tài nguyên máy trạm, thích hợp cho doanh nghiệp) và Firewall phần mềm (chi phí thấp, linh hoạt, phù hợp máy tính cá nhân/đơn lẻ). Phân tích ưu điểm của Firewall trong việc tập trung hóa an ninh, thiết lập chính sách và ghi nhật ký; đồng thời chỉ rõ hai hạn chế cốt tử: Firewall không thể ngăn chặn tấn công xuất phát từ bên trong mạng nội bộ và không thể bảo vệ các luồng lưu lượng không đi qua nó (như kết nối dial-up modem hoặc backdoor).

Chương 2 đi sâu vào các chức năng chính của Firewall:

  • Packet Filtering (Lọc gói tin): Cơ chế hoạt động của Screening Router dựa trên thông tin header (IP nguồn/đích, giao thức, cổng TCP/UDP nguồn/đích, ICMP type); phân tích các phương thức lọc theo địa chỉ, theo dịch vụ (cổng) và các rủi ro liên quan đến IP giả mạo hay dải cổng động (1023 - 65535).
  • Proxy Server (Máy chủ ủy quyền): Khái niệm Application-level gateway; phân loại Application-level Proxy và Circuit-level Proxy (hybrid proxy gateway); phân loại Generic Proxy và Dedicated Proxy; giới thiệu các Smart Proxy có khả năng lưu bộ đệm (cache) như CERN HTTP Proxy và Squid Proxy.
  • Monitoring and Logging (Theo dõi và ghi chép): Vai trò của việc thu thập dữ liệu báo cáo, phát hiện xâm nhập sớm và phát hiện phương thức tấn công mới/Trojan horse thông qua phân tích tệp nhật ký log.

Chương 3: Tường lửa Cisco ASA

Chương 3 giới thiệu dòng thiết bị Cisco ASA (Adaptive Security Appliances) – giải pháp thay thế dòng Cisco PIX, tích hợp đồng thời tính năng tường lửa và chống mã độc. Thiết bị hoạt động dựa trên cơ chế Stateful Packet Inspection, tự động cho phép lưu lượng một chiều từ vùng có độ tin cậy cao sang vùng có độ tin cậy thấp (outbound) và kiểm soát gói tin phản hồi dựa trên trạng thái kết nối, kết hợp tính năng thay đổi ngẫu nhiên số thứ tự TCP sequence number.

Tác giả trình bày các nội dung kỹ thuật trọng tâm của Cisco ASA:

  • Các chế độ làm việc trên CLI: User EXEC mode (ciscoasa>), Privileged EXEC mode (ciscoasa#), Global configuration mode (ciscoasa(config)#) và Specific configuration submode (ciscoasa(config-if)#).
  • Quản lý tệp cấu hình: Phân biệt giữa running-configuration (lưu trên RAM, mất khi mất điện) và startup-configuration (sao lưu trên bộ nhớ Flash); cách thức đồng bộ cấu hình qua lệnh copy run start hoặc write memory.
  • Cơ chế Security Level: Thang điểm từ 0 đến 100 (Level 0 mặc định cho Outside/Internet; Level 1 đến 99 cho DMZ/Quản lý; Level 100 mặc định cho Inside). Nguyên tắc: Mức cao sang mức thấp được cho phép mặc định; mức thấp sang mức cao bị chặn trừ khi có ACL cho phép; giữa hai interface cùng mức bị cấm trừ khi kích hoạt lệnh same-security-traffic permit.
  • Chuyển dịch địa chỉ mạng (NAT/PAT): Nguyên lý giải quyết cạn kiệt IP và bảo mật che giấu địa chỉ nội bộ; quy trình cấu hình Dynamic NAT, Dynamic PAT (Network Address Port Translation) trên giao diện Cisco ASDM.
  • Access Control List (ACL): Nguyên lý xử lý gói tin Inbound và Outbound; nguyên tắc ACL luôn được kiểm tra trước khi thực hiện chuyển dịch địa chỉ; quy trình khởi tạo Access Rules qua giao diện đồ họa ASDM.

Chương 4: Triển khai các giải pháp trên Cisco ASA và demo kết quả

Chương 4 mô tả toàn bộ quá trình hiện thực hóa mô hình mạng doanh nghiệp đã thiết kế. Nội dung bao gồm việc xây dựng sơ đồ triển khai vật lý và sơ đồ logic trên nền tảng EVE-NG/VMware; thiết lập thông số cho Router ISP (đặt IP, OSPF, Default Route, Extended ACL NAT); thiết lập các interface, định tuyến tĩnh, bảng luật NAT và hệ thống Access Control List trên thiết bị Cisco ASA.

Chương này trình bày kết quả thực nghiệm thông qua các kịch bản demo:

  • Kiểm thử máy trạm PC-inside truy cập Internet thành công.
  • Kiểm thử PC-inside truy cập dịch vụ Web Server và FTP Server trong vùng DMZ thành công.
  • Kiểm thử vùng DMZ (PC-Server) kết nối ra mạng Internet thành công.
  • Kiểm thử máy ngoài PC-outside (IP 152.10) truy cập thành công Web Server và FTP Server trong DMZ thông qua cổng ánh xạ NAT (port 300 cho FTP).
  • Sử dụng tính năng Real-Time Log Viewer trên ASDM để phân tích chi tiết bản tin kết nối và sử dụng ASDM Packet Tracer để theo dõi đường đi của gói tin, định vị chính xác vị trí gói bị drop nếu xảy ra sự cố.

Kết quả và đóng góp

  • Kết quả thực nghiệm chính:
    • Xây dựng thành công mô hình mạng doanh nghiệp 3 phân vùng (Inside, DMZ, Outside) trên nền tảng giả lập EVE-NG và VMware Workstation.
    • Cấu hình hoạt động chính xác các cơ chế định tuyến (OSPF, Static Route) và chuyển đổi địa chỉ mạng (Dynamic PAT cho Inside ra Internet; Static NAT đổi port 21 thành 300, port 3389 thành 12345 cho DMZ ra Outside).
    • Kiểm thử thành công 100% các kịch bản kết nối: Mạng Inside truy cập thông suốt Internet và Server DMZ; Mạng Outside truy cập đúng dịch vụ DMZ qua cổng đã được chuyển đổi; DMZ kết nối Internet thành công.
    • Khai thác hiệu quả các công cụ giám sát trực quan của Cisco ASDM (Real-Time Log Viewer và Packet Tracer) phục vụ việc phân tích lưu lượng và xử lý sự cố mạng.
  • Giải pháp và kiến nghị:
    • Đề xuất kiến trúc phân vùng an ninh chuẩn với các mức Security Level riêng biệt, hạn chế tối đa việc mở cổng trực tiếp từ Outside vào mạng nội bộ.
    • Kiến nghị áp dụng kỹ thuật đổi cổng dịch vụ mặc định (Port Translation) khi xuất bản các dịch vụ từ vùng DMZ ra môi trường bên ngoài nhằm giảm thiểu nguy cơ bị rà quét lỗ hổng tự động từ hacker.
    • Thiết lập cơ chế ghi nhật ký chi tiết đối với các gói tin bị từ chối (deny log) để hỗ trợ phát hiện sớm các dấu hiệu tấn công xâm nhập.
  • Đóng góp tự nêu:
    • Hệ thống hóa toàn diện cơ sở lý thuyết về an ninh mạng và công nghệ tường lửa.
    • Phân tích sâu kiến trúc và làm chủ quy trình cấu hình, vận hành dòng thiết bị tường lửa Cisco ASA.
    • Xây dựng tài liệu hướng dẫn thực nghiệm và quy trình triển khai mô hình an toàn mạng hoàn chỉnh cho doanh nghiệp vừa và nhỏ trên các công cụ mô phỏng chuẩn.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Tác giả tự nhìn nhận việc nghiên cứu chủ yếu dựa trên lý thuyết và thực nghiệm giả lập trên môi trường phần mềm (EVE-NG, VMware, ASDM), chưa có điều kiện tiếp cận và vận hành trên thiết bị phần cứng thật trong môi trường mạng thực tế của doanh nghiệp.
  • Hướng nghiên cứu tiếp:
    • Triển khai và kiểm thử giải pháp trên các dòng thiết bị phần cứng tường lửa chuyên dụng Cisco ASA thực tế.
    • Nghiên cứu và mở rộng cấu hình các tính năng bảo mật nâng cao của Cisco ASA như thiết lập mạng riêng ảo VPN (Site-to-Site VPN, Remote Access SSL VPN).
    • Tích hợp các module chống mã độc chuyên sâu (anti-malware) và hệ thống phòng chống xâm nhập (IPS/IDS) để hoàn thiện hệ thống phòng thủ mạng toàn diện.

Giá trị tham khảo

  • Đối tượng sử dụng: Đồ án là tài liệu tham khảo hữu ích cho sinh viên các ngành Kỹ thuật Điện tử – Viễn thông, Công nghệ Thông tin, An toàn Thông tin và Kỹ thuật Mạng máy tính; cũng như các kỹ sư mạng đang nghiên cứu, ôn luyện các chứng chỉ bảo mật của Cisco (CCNA/CCNP Security) hoặc triển khai an ninh mạng cho doanh nghiệp.
  • Nội dung giá trị nhất:
    • Bảng hoạch định phân vùng mạng và ma trận chính sách an ninh 3 vùng (Bảng 4.1 và Bảng 4.2).
    • Quy trình cấu hình chi tiết cơ chế Dynamic PAT, Port Forwarding NAT Rule và ACL trên giao diện đồ họa Cisco ASDM.
    • Phương pháp sử dụng công cụ ASDM Packet Tracer và Real-Time Log Viewer để chẩn đoán, theo dõi và xử lý sự cố đường truyền mạng.

Câu hỏi thường gặp

1. Cơ chế Security Level trên Cisco ASA hoạt động theo những nguyên tắc phân quyền mặc định nào?

Security Level trên Cisco ASA là giá trị số nguyên từ 0 đến 100 được gán cho mỗi interface để xác định mức độ tin cậy. Nguyên tắc hoạt động bao gồm: (1) Lưu lượng đi từ interface có Security Level cao hơn sang interface có Security Level thấp hơn (Outbound) được cho phép mặc định; (2) Lưu lượng đi từ interface có Security Level thấp hơn sang interface có Security Level cao hơn (Inbound) bị chặn mặc định, trừ khi có quy tắc ACL cho phép tường minh; (3) Lưu lượng giữa hai interface có cùng Security Level bị cấm mặc định, trừ khi được cấu hình lệnh same-security-traffic permit.

2. Tác giả thực hiện giải pháp kỹ thuật nào trên Cisco ASA để che giấu các cổng dịch vụ trong vùng DMZ đối với người dùng từ Outside?

Tác giả sử dụng kỹ thuật cấu hình NAT Rule (Port Translation) trên Firewall Cisco ASA để ánh xạ cổng dịch vụ thực tế sang các số hiệu cổng tùy chỉnh khi quảng bá ra Outside. Cụ thể: cổng dịch vụ FTP của Server trong DMZ được đổi từ cổng mặc định 21 thành cổng 300, và cổng dịch vụ Remote Desktop được đổi từ cổng mặc định 3389 thành cổng 12345. Giải pháp này giúp che giấu thông tin dịch vụ thực tế, hạn chế nguy cơ bị phát hiện và khai thác bởi các công cụ rà quét cổng từ hacker ngoài Internet.

3. Trong mô hình thực nghiệm, Router ISP được cấu hình những thành phần mạng và giao thức định tuyến nào?

Router ISP được cấu hình gồm: (1) Đặt địa chỉ IP cho 3 cổng giao tiếp: FastEthernet0/0 (IP 151.0, inside), FastEthernet0/1 (IP 152.0, inside) và FastEthernet1/0 (nhận IP qua DHCP client, outside); (2) Cấu hình giao thức định tuyến động OSPF trong vùng mạng area 0 qua tiến trình router ospf 1 với các mạng 151.255 và 151.255; (3) Thiết lập định tuyến tĩnh mặc định (default route) qua câu lệnh ip route 0.2; (4) Thiết lập Extended ACL kết hợp NAT cho phép toàn bộ lưu lượng mạng bên trong đi ra ngoài Internet.

4. Thiết bị Cisco ASA quản lý tệp cấu hình như thế nào và làm cách nào để lưu cấu hình tránh mất dữ liệu khi khởi động lại?

Cisco ASA quản lý hai loại tệp cấu hình: (1) running-configuration là cấu hình đang hoạt động trực tiếp, được lưu trên bộ nhớ tạm RAM (mọi thay đổi bằng lệnh nhập vào có hiệu lực ngay nhưng sẽ mất khi thiết bị mất nguồn hoặc khởi động lại); (2) startup-configuration là cấu hình sao lưu được lưu trữ trên bộ nhớ Flash (không bị mất khi khởi động lại và được tải vào RAM khi thiết bị khởi động). Để lưu cấu hình từ RAM sang Flash, người quản trị sử dụng lệnh copy run start hoặc lệnh write memory từ chế độ Privileged EXEC mode.

5. Hai công cụ nào trên giao diện Cisco ASDM được tác giả sử dụng để theo dõi luồng gói tin và chẩn đoán sự cố mạng?

Tác giả sử dụng hai công cụ chẩn đoán tích hợp trên Cisco ASDM: (1) Real-Time Log Viewer: Công cụ hiển thị và phân tích nhật ký gói tin theo thời gian thực khi có kết nối diễn ra (ví dụ kết nối từ Inside sang FTP Server của DMZ), hỗ trợ phát hiện sự cố trên đường truyền; (2) ASDM Packet Tracer: Công cụ mô phỏng và theo dõi trực quan đường đi chi tiết của gói tin qua từng chính sách/interface, giúp người quản trị xác định chính xác vị trí gói tin bị drop hoặc bị từ chối bởi quy tắc ACL nào.

Kết luận

Khóa luận của tác giả Nguyễn Vân Dương đã hệ thống hóa đầy đủ cơ sở lý luận về an toàn mạng máy tính và phân tích chuyên sâu các cơ chế bảo mật của thiết bị tường lửa Cisco ASA. Đề tài đã thiết kế và triển khai thành công mô hình an ninh mạng 3 phân vùng (Inside, DMZ, Outside) cho doanh nghiệp vừa và nhỏ trên môi trường giả lập EVE-NG kết hợp VMware. Toàn bộ các chính sách bảo mật, chuyển đổi địa chỉ mạng và danh sách kiểm soát truy cập đều được kiểm thử thành công và xác thực thông qua các công cụ giám sát chuyên dụng trên Cisco ASDM. Đồ án cung cấp một tài liệu tham khảo kỹ thuật hoàn chỉnh, có giá trị ứng dụng cao cho sinh viên và kỹ sư mạng trong việc nghiên cứu, thiết kế hệ thống tường lửa doanh nghiệp.