Bối cảnh và vấn đề nghiên cứu

Trong môi trường hoạt động của các cơ quan và doanh nghiệp hiện đại, việc duy trì hệ thống mạng nội bộ vận hành ổn định, nhanh chóng, an toàn và tin cậy là nhiệm vụ mang tính thiết yếu. Hầu hết các dữ liệu cốt lõi phục vụ quản lý và kinh doanh—từ chiến lược phát triển, hồ sơ khách hàng, thông tin nhà cung cấp cho đến số liệu tài chính và tiền lương nhân viên—đều được số hóa và lưu trữ trên hệ thống máy tính. Nhu cầu trao đổi dữ liệu thường xuyên giữa mạng nội bộ (Intranet) với mạng diện rộng (Internet) khiến nguy cơ rò rỉ, mất mát dữ liệu hoặc bị xâm nhập trái phép ngày càng gia tăng, dẫn đến những tổn thất nghiêm trọng về kinh tế và uy tín tổ chức.

Để thiết lập rào chắn bảo vệ không gian mạng, các tập đoàn công nghệ lớn trên thế giới đã phát triển nhiều hệ thống tường lửa (Firewall) chuyên dụng cả về phần cứng lẫn phần mềm. Tuy nhiên, các giải pháp thương mại phổ biến như bộ định tuyến của Cisco hay tường lửa Microsoft ISA thường có chi phí đầu tư thiết bị và bản quyền tương đối cao. Đối với các doanh nghiệp vừa và nhỏ (SMEs) với tiềm lực tài chính hạn chế, việc trang bị các giải pháp đắt tiền này tạo ra gánh nặng kinh tế lớn. Bên cạnh đó, tình trạng quản trị lỏng lẻo khiến nhân viên sử dụng hạ tầng mạng của công ty vào các mục đích cá nhân như xem phim, nghe nhạc, chơi trò chơi trực tuyến trong giờ làm việc, gây lãng phí tài nguyên băng thông và suy giảm hiệu suất lao động.

Xuất phát từ thực tế đó, tác giả Cù Thế Huy đã thực hiện đồ án tốt nghiệp với đề tài "Tìm hiểu giải pháp an ninh mạng với Firewall" tại Trường Đại học Dân lập Hải Phòng (chuyên ngành Công nghệ Thông tin, năm 2019), dưới sự hướng dẫn của TS. Ngô Trường Giang. Mục tiêu và nhiệm vụ nghiên cứu của đồ án được xác định cụ thể như sau:

  1. Nghiên cứu sâu sắc cơ chế hoạt động, các kiến trúc cơ bản và các thành phần chức năng của hệ thống tường lửa.
  2. Tìm hiểu giải pháp tường lửa mã nguồn mở pfSense và các gói dịch vụ bổ trợ quản lý truy cập (Squid Proxy, SquidGuard).
  3. Ứng dụng giải pháp vào thực tiễn thông qua việc xây dựng mô hình thực nghiệm, cấu hình chính sách phân luồng, điều tiết lưu lượng và ngăn chặn truy cập web giải trí nhằm bảo vệ an toàn thông tin nội bộ và tối ưu hóa chi phí cho doanh nghiệp.

Đối tượng nghiên cứu của đồ án là cơ chế bảo mật của Firewall và phần mềm tường lửa mã nguồn mở pfSense. Phạm vi nghiên cứu tập trung vào mô hình mạng nội bộ cho doanh nghiệp vừa và nhỏ, được thử nghiệm trực tiếp trên môi trường ảo hóa máy trạm (VMware Workstation) kết nối với máy khách chạy hệ điều hành Windows 7.

Cơ sở lý thuyết và phương pháp

Cơ sở lý luận của đồ án được xây dựng dựa trên các định nghĩa chuyên ngành và căn cứ pháp lý về an toàn thông tin:

  • Khái niệm cốt lõi: Văn bản nêu rõ an toàn thông tin bao gồm bốn thuộc tính: bảo mật, toàn vẹn, khả dụng và chứng thực. An ninh mạng được viện dẫn trực tiếp từ định nghĩa trong Luật An ninh mạng: là sự đảm bảo hoạt động trên không gian mạng không gây hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân.
  • Phân loại mối đe dọa: Tác giả hệ thống hóa 10 hình thức tấn công phá hoại thông tin phổ biến, bao gồm: tấn công vào máy trạm/máy chủ độc lập khi người dùng đăng nhập rồi rời vị trí; tấn công bẻ khóa mật khẩu (sử dụng các phần mềm dò quét như Xavior, Authforce, Hypnopaedia qua Telnet/DNS); mã độc virus và sâu mạng worm (Trojan.Idly, B02K, NetBus); tấn công tràn bộ đệm (buffer overflow); tấn công từ chối dịch vụ (DoS/DDoS như phương thức Ping of Death); tấn công định tuyến nguồn (source routing attack với kỹ thuật LSRR nhằm vượt tường lửa NAT); tấn công giả mạo (spoofing); tấn công qua thư điện tử (phát tán mã độc Ganda qua thông điệp kích động); quét cổng dò tìm lỗ hổng (sử dụng Nmap, Strobe); và tấn công xâm nhập mạng không dây (war-driving).
  • Mô hình an ninh mạng: Đồ án phân tích ba mô hình bảo vệ cơ bản: mô hình an ninh nhờ sự mù mờ (security by obscurity), mô hình bảo vệ vòng ngoài (perimeter defense), và mô hình bảo vệ theo chiều sâu (defense in depth).
  • Kiến trúc và thành phần tường lửa: Nghiên cứu so sánh hai kiến trúc triển khai tường lửa gồm kiến trúc máy chủ hai giao tiếp mạng (Dual-homed Host) và kiến trúc mạng con được bảo vệ (Screened Subnet Host với vùng đệm DMZ). Ba thành phần lọc kiểm soát lưu lượng được phân tích gồm: bộ lọc gói tin (Packet Filtering), cổng ứng dụng (Application Gateway / Proxy Server), và cổng mức mạch (Circuit Level Gateway).
  • Nền tảng pfSense: Khung công nghệ dựa trên hệ điều hành FreeBSD và giao thức dự phòng CARP (Common Address Redundancy Protocol), hỗ trợ quản trị qua giao diện web (Web GUI), cân bằng tải đa cổng WAN và tích hợp dịch vụ ủy quyền bộ đệm Squid cùng tiện ích lọc nội dung SquidGuard.

Phương pháp nghiên cứu được tác giả áp dụng kết hợp giữa phương pháp nghiên cứu lý thuyết (thu thập, phân tích, tổng hợp tài liệu chuyên ngành về an toàn mạng) và phương pháp thực nghiệm kỹ thuật (thiết lập cấu hình mạng, phân bổ địa chỉ IP, cài đặt hệ thống trên máy ảo VMware Workstation, áp dụng bộ lọc quy tắc và kiểm chứng kết quả truy cập thực tế từ máy trạm). Nguồn dữ liệu sử dụng là tài liệu kỹ thuật về giao thức mạng TCP/IP, cổng dịch vụ tiêu chuẩn, tài liệu hệ điều hành FreeBSD và tài liệu cấu hình chính thức của pfSense.

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN THÔNG TIN VÀ AN NINH MẠNG

Chương 1 tập trung làm rõ các khái niệm căn bản về an toàn thông tin, an toàn máy tính, an toàn mạng và an toàn Internet. Tác giả phân tích mục tiêu bảo vệ thông tin tại ba vị trí trọng yếu: máy chủ, máy trạm và đường truyền dữ liệu.

Trọng tâm của chương là việc phân loại chi tiết các hình thức tấn công mạng và rủi ro mất an toàn. Đáng chú ý là danh mục các cổng kết nối giao thức TCP/IP chuẩn được tổng hợp để phục vụ công tác giám sát và ngăn chặn hành vi quét cổng bất hợp pháp:

Số hiệu cổng (Port) Mục đích / Dịch vụ tương ứng Số hiệu cổng (Port) Mục đích / Dịch vụ tương ứng
1 Ghép kênh (Multiplexing) 53 Ứng dụng máy chủ DNS
5 Ứng dụng RJE 79 Tìm kiếm người dùng hoạt động
9 Hủy truyền dẫn (Transmission discard) 80 Duyệt web giao thức HTTP
15 Trạng thái mạng (Status of network) 93 Điều khiển thiết bị (Device controls)
20 Kênh dữ liệu FTP (FTP data) 102 Điểm truy cập dịch vụ (SAP)
21 Kênh lệnh FTP (FTP commands) 103 Dịch vụ thư điện tử chuẩn hóa
23 Ứng dụng Telnet 104 Trao đổi thư điện tử chuẩn hóa
25 Thư điện tử SMTP 119 Truyền tin tức mạng Usenet
37 Giao dịch thời gian (Time transactions) 139 Ứng dụng NetBIOS

Bên cạnh các kỹ thuật tấn công, tác giả trình bày các biện pháp phát hiện xâm nhập thông qua việc theo dõi hệ thống: nhận diện hiện tượng máy bị treo bất thường; rà soát tài khoản lạ (đặc biệt là tài khoản có định danh User ID bằng 0); phát hiện tập tin lạ; kiểm tra lịch sử thay đổi thời gian; theo dõi hiệu năng tài nguyên; và kiểm tra tính toàn vẹn của các dịch vụ như Sendmail, FTP. Về công cụ bảo vệ, chương 1 giới thiệu tổng quan vai trò của tường lửa và hai phương thức mã hóa dữ liệu: mã hóa theo đường truyền và mã hóa đầu-cuối (End-to-End). Cuối chương, tác giả phân tích ba mô hình thiết kế an ninh mạng, trong đó chỉ ra hạn chế của mô hình bảo vệ vòng ngoài khi không ngăn chặn được tấn công nội bộ, từ đó khuyến nghị mô hình phòng thủ theo chiều sâu.

CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL VÀ PFSENSE

Chương 2 đi sâu vào nguyên lý kỹ thuật của hệ thống tường lửa và nền tảng pfSense. Tường lửa được định nghĩa là hệ thống kiểm soát lưu lượng ra/vào mạng dựa trên các chính sách thiết lập trước, đóng vai trò rào chắn giữa Intranet và Internet. Tác giả phân chia tường lửa thành hai loại:

  • Tường lửa phần cứng: Tích hợp trực tiếp trên bộ định tuyến chuyên dụng, kiểm tra lưu lượng từ ngoại vi, tốc độ phản hồi cao do phần cứng và phần mềm được tối ưu đồng bộ, hệ điều hành chuyên biệt ít bị tấn công nhưng đòi hỏi chi phí đầu tư lớn và quản trị viên có trình độ chuyên môn cao.
  • Tường lửa phần mềm: Cài đặt trực tiếp trên hệ điều hành máy tính, dễ dàng kiểm soát lưu lượng của từng ứng dụng cụ thể, giao diện thân thiện, chi phí thấp, nhưng tiêu tốn tài nguyên xử lý của máy tính và phức tạp trong việc triển khai đồng loạt trên từng máy riêng lẻ.

Về kiến trúc triển khai, đồ án so sánh hai mô hình tiêu biểu:

  1. Kiến trúc Dual-homed Host: Sử dụng một máy chủ có hai giao tiếp mạng (một kết nối LAN, một kết nối Internet) và tắt chức năng chuyển tiếp gói tin (packet forwarding). Người dùng phải đăng nhập trực tiếp vào máy chủ này hoặc thông qua Proxy để truy cập mạng ngoài. Mô hình này cài đặt đơn giản nhưng bộc lộ nhược điểm lớn: khi máy chủ bị tấn công chiếm quyền, toàn bộ mạng nội bộ sẽ gặp nguy hiểm.
  2. Kiến trúc Screened Subnet Host: Sử dụng hai bộ định tuyến lọc gói (Router ngoài và Router trong) cùng một máy chủ trung gian để tạo ra vùng mạng biên DMZ (Demilitarized Zone). Router ngoài ngăn chặn các cuộc tấn công trực tiếp từ Internet (như giả mạo IP) và chỉ cho phép lưu lượng đến các máy chủ được chỉ định trong DMZ; Router trong quản lý luồng dữ liệu từ mạng nội bộ ra DMZ. Đây là kiến trúc có mức độ an toàn cao nhất, phân tách hoàn toàn mạng nội bộ với Internet.

Về cơ chế xử lý, tác giả phân tích ba công nghệ lọc:

  • Bộ lọc gói tin (Packet Filtering): Hoạt động dựa trên thông tin tiêu đề (Header) của gói tin, bao gồm: địa chỉ IP nguồn/đích, giao thức mạng (TCP, UDP, ICMP, IP tunnel), cổng nguồn/đích, loại thông báo ICMP, và giao tiếp mạng vào/ra. Cơ chế này xử lý nhanh, chi phí thấp nhưng không kiểm soát được nội dung dữ liệu bên trong.
  • Cổng ứng dụng (Application Gateway): Sử dụng các dịch vụ Proxy chuyên biệt cho từng giao thức (Telnet, DNS, FTP, SMTP) cài đặt trên máy chủ Bastion Host; kiểm soát chặt chẽ câu lệnh ứng dụng và ghi nhật ký chi tiết, nhưng đòi hỏi cấu hình phức tạp trên máy người dùng.
  • Cổng mức mạch (Circuit Level Gateway): Thiết lập và chuyển tiếp kết nối TCP như một cầu nối byte ảo mà không thực hiện kiểm tra sâu dữ liệu ứng dụng, giúp che giấu cấu trúc mạng nội bộ đối với các kết nối đi ra ngoài.

Phần cuối chương giới thiệu về pfSense—phần mềm tường lửa mã nguồn mở phát triển từ năm 2004 dựa trên dự án m0n0wall và nền tảng FreeBSD. Đồ án trình bày các tính năng quản trị cốt lõi trên Web GUI:

  • Aliases (Bí danh): Cho phép gom nhóm các địa chỉ IP (Host), dải mạng (Network) hoặc cổng dịch vụ (Port) dưới một tên định danh chung để rút gọn và tối ưu hóa việc thiết lập luật tường lửa.
  • Rules (Quy tắc lọc): Nơi định nghĩa các chính sách cho phép hoặc chặn luồng dữ liệu với các tùy chọn linh hoạt cho nguồn (Source) và đích (Destination) như: Any, Single host/alias, LAN subnet, Network, LAN address, WAN address, PPTP clients, PPPoE clients.
  • Schedules (Lịch trình): Thiết lập thời gian hiệu lực cho các luật tường lửa theo khung giờ nhất định trong ngày hoặc các ngày cụ thể trong tuần, phục vụ việc giới hạn truy cập mạng trong giờ hành chính.
  • Quy trình cài đặt pfSense: Hướng dẫn chuẩn bị phần mềm ảo hóa VMware Workstation 12, tải tệp tin ảnh pfSense ISO, cấu hình card mạng ảo (Vmnet0 dạng Bridged nối với card Wi-Fi vật lý; Vmnet1 dạng NAT/Host-only) và từng bước hoàn tất quá trình cài đặt trên máy ảo.

CHƯƠNG 3: THỰC NGHIỆM FIREWALL TRÊN PFSENSE

Chương 3 trình bày việc giải quyết bài toán kiểm soát an ninh mạng cho doanh nghiệp vừa và nhỏ thông qua mô hình thực nghiệm sử dụng pfSense tích hợp hai gói dịch vụ bổ trợ là Squid Proxy và SquidGuard.

Nội dung chương mô tả chi tiết:

  • Quy hoạch bài toán thực tế: giải quyết nhu cầu hạn chế nhân viên truy cập các trang web xem phim, nghe nhạc gây lãng phí tài nguyên mạng của công ty.
  • Thiết lập địa chỉ IP cho giao diện LAN thông qua giao diện dòng lệnh (chọn Option 2 trên console) và kích hoạt dịch vụ DHCP server cấp phát IP tự động cho mạng nội bộ.
  • Đăng nhập hệ thống quản trị Web GUI của pfSense qua máy trạm để thiết lập các thông số hệ thống: múi giờ, cấu hình card WAN nhận IP từ mạng ngoài, cấu hình card LAN, và đổi mật khẩu quản trị mặc định.
  • Cài đặt và cấu hình dịch vụ Squid Proxy: kích hoạt dịch vụ chạy trên cổng 80, thiết lập tính năng kiểm tra mã độc/chống virus nếu cần.
  • Cài đặt và kích hoạt bộ công cụ lọc SquidGuard: nạp danh sách đường dẫn chứa cơ sở dữ liệu các trang web cần chặn (Blacklist), phân loại danh mục các trang web giải trí (phim, ca nhạc) và chuyển trạng thái sang "Deny" để cấm truy cập.
  • Tiến hành kiểm thử từ máy trạm Windows 7: kiểm chứng việc chặn thành công các yêu cầu truy cập đến các trang web giải trí nằm trong danh mục cấm, đồng thời đảm bảo các trang web thông thường phục vụ công việc vẫn kết nối thông suốt.

Thiết kế và triển khai hệ thống thực nghiệm

Mô hình kiến trúc mạng thực nghiệm

Mô hình thực nghiệm được xây dựng trên môi trường ảo hóa nhằm mô phỏng lại cấu trúc kết nối thực tế giữa mạng ngoài và mạng nội bộ của một tổ chức:

  • Tường lửa pfSense: Được cấu hình với hai giao tiếp mạng ảo:
    • Card WAN (Vmnet0): Thiết lập ở chế độ Bridged kết nối trực tiếp với card mạng không dây (Wireless) vật lý của máy tính để nhận kết nối Internet từ bên ngoài.
    • Card LAN (Vmnet1): Thiết lập ở chế độ NAT/Host-only, đóng vai trò là cổng ngõ (Gateway) quản lý toàn bộ lưu lượng của phân đoạn mạng nội bộ.
  • *Máy khách (Client): Một máy ảo cài đặt hệ điều hành Windows 7, gắn giao tiếp mạng vào Vmnet1 để nhận địa chỉ IP tự động từ dịch vụ DHCP tích hợp trên pfSense.
[ Internet Ngoài ] 
  (Card Wi-Fi vật lý)
 [ Vmnet0 - WAN ] 
 [ Vmnet1 - LAN ]
 [ Máy trạm ảo Windows 7 (Client) ]

Yêu cầu cấu hình hệ thống

Đồ án chỉ ra ưu điểm của pfSense là không đòi hỏi cấu hình phần cứng quá cao. Mức tiêu chuẩn tối thiểu được tác giả xác định trong tài liệu bao gồm:

Thành phần phần cứng Cấu hình tối thiểu theo lý thuyết Cấu hình thực tế triển khai
Bộ vi xử lý (CPU) Tối thiểu từ Pentium II trở lên Đáp ứng trên phần cứng máy trạm ảo hóa
Bộ nhớ trong (RAM) 128 MB (mức vận hành cơ bản) 256 MB (phục vụ chạy thực nghiệm đồ án)
Ổ đĩa cứng (HDD) 1 GB dung lượng trống Cung cấp qua định dạng đĩa ảo VMware
Giao tiếp mạng (NIC) Tối thiểu 02 card mạng vật lý/ảo 02 card (01 WAN kết nối Vmnet0, 01 LAN kết nối Vmnet1)
Phần mềm nền tảng FreeBSD (tích hợp sẵn trong pfSense) Bản phân phối pfSense ISO, VMware Workstation 12

Trình tự thiết lập và kiểm thử

  1. Khởi tạo môi trường mạng ảo: Thiết lập thông số Virtual Network Editor trên VMware Workstation 12; gán Vmnet0 nối cầu (Bridged) với card mạng không dây máy thật; gán Vmnet1 dùng riêng cho phân đoạn mạng nội bộ.
  2. Cài đặt hệ điều hành pfSense: Tạo máy ảo mới, nạp tệp tin ISO, định dạng ổ đĩa, chọn bàn phím chuẩn và tiến hành cài đặt nhân hệ thống FreeBSD.
  3. Cấu hình giao diện dòng lệnh (Console): Khởi động pfSense, chọn chức năng số 2 (Set interface(s) IP address) để thiết lập địa chỉ IP tĩnh cho card LAN và kích hoạt dải cấp phát địa chỉ tự động cho dịch vụ DHCP.
  4. Cấu hình giao diện Web GUI: Từ trình duyệt web trên máy khách Windows 7, truy cập vào địa chỉ IP của giao diện LAN; thực hiện cấu hình ban đầu qua trình hướng dẫn: đặt tên hệ thống, khai báo máy chủ DNS, chọn múi giờ, thiết lập thông số nhận IP động cho card WAN, xác nhận cấu hình IP card LAN và cập nhật mật khẩu tài khoản quản trị.
  5. Triển khai dịch vụ lọc nội dung Squid và SquidGuard:
    • Cài đặt hai gói phần mềm bổ trợ Squid Proxy và SquidGuard thông qua trình quản lý gói (Package Manager).
    • Kích hoạt Squid Proxy, thiết lập cổng đón nghe lưu lượng HTTP (cổng 80) và tích hợp mô-đun quét kiểm tra mã độc.
    • Kích hoạt dịch vụ SquidGuard, cấu hình đường dẫn tải danh mục nhận diện các trang web cấm (Blacklist Database).
    • Truy cập mục quản lý danh mục quy tắc lọc: chọn các nhóm tên miền liên quan đến phim ảnh (movies/video) và ca nhạc (music/audio), chuyển trạng thái sang chế độ chặn (Deny).
  6. Kiểm tra kết quả thực tế:
    • Từ máy trạm Windows 7, gửi yêu cầu truy cập đến các địa chỉ web xem phim và nghe nhạc trực tuyến; hệ thống tường lửa lập tức chặn đứng kết nối và trả về trang cảnh báo cấm truy cập từ SquidGuard.
    • Gửi yêu cầu truy cập đến các trang web học tập và làm việc thông thường; hệ thống cho phép gói tin đi qua bình thường.

Kết quả và đóng góp

Kết quả chính đạt được

  • Đồ án đã thiết lập thành công hệ thống tường lửa hoàn chỉnh dựa trên phần mềm mã nguồn mở pfSense trong môi trường máy ảo, vận hành đầy đủ các chức năng: định tuyến giữa hai vùng mạng WAN - LAN, cấp phát địa chỉ IP tự động cho client qua DHCP, và cung cấp bảng điều khiển quản trị web trực quan.
  • Tích hợp và vận hành thành công bộ đôi công cụ Squid Proxy và SquidGuard; hệ thống đã thực hiện lọc lưu lượng truy cập web trên cổng 80 dựa trên cơ sở dữ liệu danh mục tên miền; kiểm chứng thực tế cho thấy máy trạm Windows 7 bị chặn truy cập hoàn toàn vào các trang web giải trí (phim, ca nhạc) được chỉ định trong danh sách đen, trong khi vẫn duy trì kết nối ổn định đến các dịch vụ mạng hợp lệ.
  • Chứng minh được tính hiệu quả của cơ chế gom nhóm (Aliases) và lập lịch hoạt động (Schedules) trên pfSense, hỗ trợ người quản trị áp dụng chính sách an ninh linh hoạt theo giờ làm việc.

Giải pháp và kiến nghị

  • Tác giả đề xuất các tổ chức, doanh nghiệp vừa và nhỏ nên ưu tiên lựa chọn giải pháp tường lửa mã nguồn mở như pfSense để thay thế hoặc bổ trợ cho các thiết bị phần cứng đắt tiền nhằm giảm thiểu tối đa chi phí đầu tư ban đầu mà vẫn đáp ứng đầy đủ yêu cầu quản lý an toàn mạng.
  • Đề xuất áp dụng triệt để mô hình kết hợp giữa Proxy và bộ lọc tên miền để kiểm soát chặt chẽ việc sử dụng Internet của nhân viên, giúp tiết kiệm băng thông mạng và nâng cao ý thức, năng suất lao động.

Đóng góp về mặt học thuật và kỹ thuật

  • Tác giả đã hệ thống hóa các kiến thức nền tảng về an toàn thông tin, các dạng thức tấn công mạng điển hình, bảng đối chiếu chức năng của các cổng kết nối giao thức TCP/IP chuẩn và các kiến trúc tường lửa (Dual-homed Host, Screened Subnet Host).
  • Xây dựng một tài liệu hướng dẫn thực nghiệm chi tiết từng bước (kèm hình ảnh minh họa thực tế) từ khâu cài đặt pfSense trên nền tảng VMware Workstation đến khâu cấu hình các dịch vụ nâng cao như Squid và SquidGuard, tạo thành tài liệu tham khảo kỹ thuật mang tính thực tiễn cao cho sinh viên chuyên ngành mạng.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên nội dung và phạm vi được trình bày trong đồ án, đề tài tồn tại một số hạn chế:

  • Phạm vi thử nghiệm hẹp: Hệ thống mới chỉ được triển khai trên môi trường ảo hóa máy trạm (VMware Workstation) với một máy khách thử nghiệm duy nhất chạy hệ điều hành Windows 7; chưa được thử nghiệm đo kiểm thực tế trên môi trường mạng doanh nghiệp với số lượng máy trạm lớn để đánh giá độ trễ và khả năng chịu tải của phần cứng.
  • Giới hạn phạm vi giao thức kiểm soát: Kịch bản thực nghiệm lọc nội dung của Squid Proxy và SquidGuard trong đồ án chủ yếu tập trung quét và kiểm soát lưu lượng web truyền thống sử dụng giao thức HTTP (cổng 80); văn bản chưa đi sâu vào việc xử lý kiểm tra sâu luồng dữ liệu mã hóa qua giao thức bảo mật HTTPS (cổng 443).
  • Chưa thử nghiệm đầy đủ các tính năng nâng cao: Một số tính năng mạnh mẽ của pfSense được tác giả đề cập trong phần cơ sở lý thuyết như khả năng cân bằng tải trên nhiều đường truyền mạng diện rộng (Multi-WAN) hay cơ chế dự phòng chuyển đổi dự phòng tự động bằng giao thức CARP chưa được đưa vào kịch bản thực nghiệm ở chương 3.

Hướng nghiên cứu tiếp theo được định hình từ các giới hạn trên bao gồm:

  • Triển khai giải pháp trên thiết bị phần cứng vật lý chuyên dụng có nhiều cổng mạng thực tế để kiểm thử hiệu năng chịu tải trong môi trường mạng nội bộ nhiều người dùng.
  • Nghiên cứu cơ chế lọc sâu gói tin và chứng chỉ SSL/TLS nhằm kiểm soát hiệu quả lưu lượng truy cập web mã hóa HTTPS.
  • Cấu hình và thử nghiệm mô hình cụm tường lửa dự phòng CARP đa máy chủ và cân bằng tải Multi-WAN để bảo đảm tính sẵn sàng cao (High Availability) cho hệ thống mạng.

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho các đối tượng và mục đích học tập, ứng dụng cụ thể:

  • Sinh viên chuyên ngành Công nghệ Thông tin, An toàn Thông tin và Mạng máy tính: Cung cấp tài liệu tổng quan dễ tiếp cận về các mối nguy an ninh mạng, các nguyên lý hoạt động của tường lửa (lọc gói, cổng ứng dụng, cổng mạch) và bảng tra cứu cổng giao thức TCP/IP.
  • Kỹ thuật viên quản trị mạng tại các doanh nghiệp vừa và nhỏ: Có thể sử dụng đồ án như một tài liệu hướng dẫn kỹ thuật từng bước để tự triển khai hệ thống tường lửa chi phí thấp dựa trên pfSense, giúp giải quyết bài toán phân luồng băng thông và ngăn chặn thất thoát năng suất do nhân viên lãng phí thời gian vào mạng xã hội, giải trí.
  • Người thực hiện các đề tài nghiên cứu tương tự: Có thể tham khảo phương pháp thiết kế mô hình mạng ảo hóa bằng VMware Workstation, cách quy hoạch card mạng ảo (Vmnet Bridged và NAT) để phục vụ việc thử nghiệm các giải pháp an ninh mạng khác.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai cài đặt hệ thống tường lửa pfSense được tác giả nêu trong đồ án là gì?
Trong văn bản, tác giả nêu hai mức cấu hình: ở chương 2, pfSense chỉ yêu cầu máy tính có bộ nhớ RAM 128 MB, dung lượng ổ cứng HDD 1 GB và tối thiểu 2 card mạng. Sang chương 3, đối với cấu hình thực tế phục vụ bài thực nghiệm đồ án, yêu cầu phần cứng được tác giả xác định là CPU từ Pentium II trở lên, RAM 256 MB và bắt buộc có 2 card mạng (một card cho cổng WAN và một card cho cổng LAN).

2. Điểm khác biệt căn bản giữa kiến trúc Dual-homed Host và Screened Subnet Host được phân tích trong đồ án là gì?
Kiến trúc Dual-homed Host chỉ sử dụng duy nhất một máy tính có hai giao tiếp mạng kết nối giữa mạng trong và ngoài đồng thời tắt tính năng chuyển tiếp gói tin; nhược điểm lớn nhất là nếu máy chủ này bị chiếm quyền thì toàn bộ mạng bên trong sẽ bị tổn thương. Trong khi đó, kiến trúc Screened Subnet Host sử dụng hai bộ định tuyến lọc gói (Router ngoài và Router trong) cùng máy chủ để tạo lập một phân vùng mạng trung gian DMZ; lưu lượng từ Internet không thể truyền trực tiếp vào mạng nội bộ mà bị kiểm soát đa tầng, mang lại độ an toàn cao hơn rất nhiều.

3. Tính năng Schedules trên tường lửa pfSense giải quyết bài toán thực tế nào cho doanh nghiệp?
Tính năng Schedules cho phép người quản trị thiết lập các quy tắc tường lửa (Firewall Rules) chỉ kích hoạt hoặc vô hiệu hóa vào những khung giờ cụ thể trong ngày hoặc những ngày nhất định trong tuần. Trong đồ án, tính năng này được tác giả nhấn mạnh nhằm phục vụ bài toán quản lý việc sử dụng Internet của nhân viên, cho phép áp dụng các chính sách hạn chế truy cập giải trí trong giờ hành chính và nới lỏng ngoài giờ làm việc.

4. Dịch vụ Squid Proxy và tiện ích SquidGuard đóng vai trò gì trong mô hình thực nghiệm tại Chương 3?
Squid Proxy đóng vai trò là cổng ứng dụng tiếp nhận và điều phối các yêu cầu duyệt web qua cổng 80, hỗ trợ kiểm tra mã độc. Tiện ích SquidGuard tích hợp cùng Squid để thực hiện nhiệm vụ lọc nội dung dựa trên danh sách đen (Blacklist); công cụ này cho phép người quản trị phân loại và thiết lập chế độ cấm (Deny) đối với các danh mục trang web giải trí như phim ảnh, ca nhạc, ngăn chặn triệt để hành vi truy cập sai mục đích từ máy trạm.

5. Tác giả liệt kê những công cụ cụ thể nào thường được sử dụng trong các cuộc tấn công dò mật khẩu và quét cổng mạng?
Trong chương 1, tác giả chỉ ra các công cụ thường được tin tặc sử dụng để bẻ khóa mật khẩu bằng phương pháp thử kết hợp từ điển và số bao gồm: Xavior, Authforce và Hypnopaedia. Đối với hành vi quét cổng để dò tìm các dịch vụ đang mở trên hệ thống mục tiêu, hai công cụ quét cổng thông dụng được văn bản nêu tên là Nmap (hỗ trợ Unix/Linux và Windows) và Strobe.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu giải pháp an ninh mạng với Firewall" của sinh viên Cù Thế Huy đã hệ thống hóa một cách có phương pháp các lý thuyết nền tảng về an toàn thông tin, các mô hình tấn công - phòng thủ và các cơ chế kỹ thuật của tường lửa mạng. Nghiên cứu đã làm rõ ưu thế của giải pháp tường lửa mã nguồn mở pfSense trong việc tối ưu hóa chi phí đầu tư cho các tổ chức có nguồn lực kinh tế hạn chế. Thông qua việc triển khai thực nghiệm thành công mô hình pfSense kết hợp Squid Proxy và SquidGuard trên máy ảo để kiểm soát truy cập của máy khách Windows 7, đồ án đã chứng minh tính khả thi và độ tin cậy của giải pháp trong công tác quản trị an ninh mạng nội bộ cho các doanh nghiệp vừa và nhỏ.