Giáo trình môn học An toàn mạng nghề Quản trị mạng máy tính - Trường Cao đẳng Nghề Hà Nam

Giáo trình môn học an toàn mạng cung cấp kiến thức cần thiết cho quản trị mạng máy tính, giúp nâng cao kỹ năng và bảo mật hệ thống.

• Tác giả: Nguyễn Quốc Tuấn
• Trường học: Trường Cao Đẳng Nghề Hà Nam
• Chuyên ngành: Quản Trị Mạng Máy Tính
• Đề tài: Giáo Trình An Toàn Mạng
• Loại tài liệu: Giáo Trình
• Năm xuất bản: 2017
• Địa điểm: Hà Nam

Mục lục chi tiết

• LỜI GIỚI THIỆU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN VÀ BẢO MẬT THÔNG TIN
• 1.1. Đối tượng tấn công mạng (Intruder)
• 1.2. Các lỗ hổng bảo mật
• 1.3. Nhu cầu bảo vệ thông tin
• 1.3.1. Bảo vệ dữ liệu
• 1.3.2. Bảo vệ tài nguyên sử dụng trên mạng
• 1.3.3. Bảo bệ danh tiếng của cơ quan
• 2. CHƯƠNG 2: MÃ HÓA THÔNG TIN
• 2.1. Giới thiệu
• 2.2. Cơ bản về mã hoá (Cryptography)
• 2.2.1. Tại sao cần phải sử dụng mã hoá
• 2.2.2. Nhu cầu sử dụng kỹ thuật mã hoá
• 2.2.3. Tại sao lại có quá nhiều thuật toán mã hoá
• 2.2.4. Quá trình mã hoá và giải mã
• 2.2.5. Bên cạnh việc làm thế nào để che dấu nội dung thông tin thì mã hoá phải đảm bảo các mục tiêu
• 2.3. Độ an toàn của thuật toán
• 2.4. Phân loại các thuật toán mã hoá
• 2.4.1. Phân loại theo các phương pháp
• 2.4.2. Phân loại theo số lượng khoá
• 2.5. Mã hoá cổ điển

Tóm tắt

I. Tổng quan về Giáo Trình An Toàn Mạng Cho Nghề Quản Trị Mạng Máy Tính

Giáo trình An toàn mạng cho nghề Quản trị mạng máy tính là tài liệu quan trọng, cung cấp kiến thức cơ bản về bảo mật hệ thống mạng. Tài liệu này được biên soạn nhằm đáp ứng nhu cầu đào tạo nguồn nhân lực chất lượng cao trong lĩnh vực an toàn mạng. Nội dung giáo trình bao gồm các khái niệm, phương pháp bảo vệ thông tin và các kỹ thuật mã hóa cần thiết cho sinh viên.

1.1. Mục tiêu của giáo trình An toàn mạng

Giáo trình nhằm trang bị cho sinh viên kiến thức về các thành phần bảo mật trong hệ thống mạng, giúp họ nhận diện các hình thức tấn công và thực hiện các biện pháp bảo vệ hiệu quả.

1.2. Đối tượng sử dụng giáo trình

Giáo trình này được thiết kế cho sinh viên ngành quản trị mạng, các giảng viên và những người làm việc trong lĩnh vực bảo mật thông tin.

II. Các Thách Thức Trong An Toàn Mạng Hiện Nay

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng, các thách thức về an toàn mạng ngày càng gia tăng. Các cuộc tấn công mạng ngày càng tinh vi, đòi hỏi các chuyên gia phải liên tục cập nhật kiến thức và kỹ năng. Việc bảo vệ dữ liệu và tài nguyên trên mạng trở thành nhiệm vụ cấp thiết.

2.1. Các hình thức tấn công mạng phổ biến

Các hình thức tấn công như tấn công từ chối dịch vụ (DDoS), tấn công giả mạo địa chỉ IP và tấn công vào yếu tố con người đang gia tăng, gây ra nhiều thiệt hại cho tổ chức.

2.2. Tác động của các cuộc tấn công mạng

Các cuộc tấn công không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín và danh tiếng của tổ chức, đặc biệt là trong các cơ quan nhà nước và doanh nghiệp lớn.

III. Phương Pháp Bảo Vệ Hệ Thống Mạng Hiệu Quả

Để bảo vệ hệ thống mạng, cần áp dụng các phương pháp bảo mật đa dạng. Việc sử dụng tường lửa, mã hóa thông tin và các biện pháp phòng chống virus là rất cần thiết. Những phương pháp này giúp giảm thiểu rủi ro và bảo vệ tài nguyên mạng.

3.1. Tường lửa và cơ chế hoạt động

Tường lửa là một trong những công cụ quan trọng trong việc bảo vệ hệ thống mạng. Nó giúp kiểm soát lưu lượng truy cập và ngăn chặn các cuộc tấn công từ bên ngoài.

3.2. Mã hóa thông tin và vai trò của nó

Mã hóa thông tin giúp bảo vệ dữ liệu trong quá trình truyền tải. Việc sử dụng các thuật toán mã hóa hiện đại đảm bảo tính bảo mật và toàn vẹn của thông tin.

IV. Ứng Dụng Thực Tiễn Của An Toàn Mạng Trong Doanh Nghiệp

An toàn mạng không chỉ là lý thuyết mà còn có ứng dụng thực tiễn trong doanh nghiệp. Việc áp dụng các biện pháp bảo mật giúp doanh nghiệp bảo vệ tài sản và thông tin quan trọng, đồng thời nâng cao uy tín trong mắt khách hàng.

4.1. Các biện pháp bảo mật trong doanh nghiệp

Doanh nghiệp cần triển khai các biện pháp như đào tạo nhân viên về an toàn thông tin, sử dụng phần mềm bảo mật và thường xuyên kiểm tra hệ thống để phát hiện lỗ hổng.

4.2. Kết quả đạt được từ việc áp dụng an toàn mạng

Việc áp dụng an toàn mạng giúp doanh nghiệp giảm thiểu rủi ro, bảo vệ thông tin khách hàng và nâng cao hiệu quả hoạt động kinh doanh.

V. Kết Luận Về Tương Lai Của An Toàn Mạng

Tương lai của an toàn mạng sẽ tiếp tục phát triển với sự xuất hiện của các công nghệ mới. Các chuyên gia cần không ngừng học hỏi và cập nhật kiến thức để đối phó với các mối đe dọa ngày càng tinh vi.

5.1. Xu hướng phát triển của an toàn mạng

Các công nghệ như trí tuệ nhân tạo và học máy sẽ đóng vai trò quan trọng trong việc phát hiện và ngăn chặn các cuộc tấn công mạng.

5.2. Vai trò của giáo dục trong an toàn mạng

Giáo dục và đào tạo về an toàn mạng là rất cần thiết để tạo ra một thế hệ chuyên gia có khả năng bảo vệ hệ thống mạng hiệu quả.

Nội dung chính

Tổng quan về giáo trình

Giáo trình môn học An toàn mạng (Mã tài liệu: MHQTM 22) là học liệu chuyên môn nghề thuộc chương trình đào tạo ngành Quản trị mạng máy tính ở trình độ Cao đẳng. Tài liệu được ban hành chính thức theo Quyết định số 285/QĐ-CĐNHN ngày 21 tháng 07 năm 2017 của Hiệu trưởng Trường Cao đẳng Nghề Hà Nam, do tác giả Nguyễn Quốc Tuấn biên soạn. Trong khung chương trình đào tạo, mô đun này được bố trí giảng dạy sau khi sinh viên đã hoàn thành hai môn học tiên quyết là Mạng máy tính và Quản trị mạng 1.

Mục tiêu học tập của giáo trình được xác định cụ thể trên ba phương diện:

• Về kiến thức: Sinh viên xác định được các thành phần cần bảo vệ trong hệ thống mạng; phân tích các hình thức tấn công; mô tả nguyên lý mã hóa thông tin; giải thích quá trình chuyển đổi địa chỉ mạng (NAT); nắm vững khái niệm và nguyên tắc hoạt động của danh sách điều khiển truy cập (ACL).
• Về kỹ năng: Sinh viên có khả năng thiết lập, cấu hình danh sách truy cập trên giao thức TCP/IP; phân loại các dạng virus phổ biến và áp dụng các biện pháp ngăn chặn sự xâm nhập của mã độc.
• Về năng lực tự chủ và trách nhiệm: Rèn luyện phương pháp làm việc khoa học, tuân thủ các quy tắc an toàn cho người và trang thiết bị công nghệ thông tin.

Về cấu trúc và cách tiếp cận, giáo trình có tổng thời lượng 60 giờ (gồm 20 giờ lý thuyết, 37 giờ thực hành/thảo luận và 3 giờ kiểm tra), được biên soạn theo phương pháp tích hợp lý thuyết gắn liền với quy trình thao tác thực tế. Điểm đặc thù của tài liệu là việc kết hợp nền tảng lý thuyết bảo mật mạng với các bài thực hành trực tiếp trên hệ điều hành Windows Server 2003 và hệ thống thiết bị định tuyến (Router) Cisco.

---

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Giáo trình được kết cấu thành 6 chương chuyên môn, phản ánh lộ trình phát triển kiến thức từ nhận diện nguy cơ, mã hóa dữ liệu đến các kỹ thuật phòng thủ chu vi và phân tích lưu lượng:

[Chương 1: Tổng quan an toàn mạng]
[Chương 2: Kỹ thuật mã hóa dữ liệu (Cryptography)]
[Chương 3: Cơ chế dịch địa chỉ mạng (NAT)]
[Chương 4: Bảo vệ mạng bằng tường lửa (Firewall)]
[Chương 5: Danh sách điều khiển truy cập (ACL)]
[Chương 6: Virus và phương pháp phòng chống]

• Chương 1: Tổng quan về an toàn và bảo mật thông tin (5 giờ: 2 LT, 3 TH): Trình bày các khái niệm cơ bản về bảo mật; phân loại đối tượng tấn công mạng (Intruder) gồm Hacker, Masquerader (kẻ giả mạo), Eavesdropping (đối tượng nghe trộm); phân tích nguyên nhân gây ra lỗ hổng bảo mật; làm rõ nhu cầu bảo vệ dữ liệu (tính bảo mật, tính toàn vẹn, tính kịp thời), bảo vệ tài nguyên mạng và uy tín cơ quan. Chương này dẫn chứng dữ liệu thống kê số vụ tấn công từ tổ chức CERT (từ 200 vụ năm 1989 tăng lên 1.330 vụ năm 1994).
• Chương 2: Mã hóa thông tin (10 giờ: 3 LT, 7 TH): Khảo sát nguyên lý Cryptography, bản rõ Plaintext ($P$), bản mã Ciphertext ($C$), khóa Key ($K$), không gian khóa (Keyspace), cùng hai hàm xử lý cơ bản $E_K(P) = C$ và $D_K(C) = P$. Phân tích 4 mục tiêu bảo mật: Confidentiality (Bảo mật), Authentication (Xác thực), Integrity (Toàn vẹn), Non-repudiation (Chống chối bỏ). Giới thiệu hệ mã hóa cổ điển (mã thay thế Substitution Cipher trên vành số $\mathbb{Z}_{26}$, mã hoán vị Permutation Cipher); mã hóa đối xứng (Block Cipher như DES 56-bit, 3DES, AES 128–256 bit; Stream Cipher như RC4); mã hóa bất đối xứng/công khai (RSA, Diffie-Hellman); mô hình mã hóa khóa lai (Hybrid Cryptosystems dùng Session Key).
• Chương 3: NAT - Network Address Translation (10 giờ: 3 LT, 6 TH, 1 KT): Trình bày lịch sử phát triển NAT theo chuẩn RFC 1631 nhằm giải quyết bài toán thiếu hụt IPv4; phân loại NAT tĩnh ($m=n$, tính toán qua công thức logic: Địa chỉ đích = Địa chỉ mạng mới OR (địa chỉ nguồn AND (NOT netmask))) và NAT động ($m \ge n$, sử dụng NAT Pool, quản lý bảng trạng thái kết nối); phân tích tương tác giao thức FTP (Passive và Non-passive theo RFC 959); hướng dẫn triển khai dịch vụ NAT trên Windows Server 2003 (gồm các thành phần Translation, Address/DHCP, Name Resolution/DNS).
• Chương 4: Bảo vệ mạng bằng tường lửa (11 giờ: 3 LT, 7 TH, 1 KT): Khảo sát các hình thức tấn công (tấn công trực tiếp, nghe trộm qua NIC, giả mạo IP bằng source-routing, tấn công từ chối dịch vụ qua ping flood, lỗi quản trị, tấn công vào yếu tố con người). Phân tích mô hình 5 lớp rào chắn bảo vệ; phân loại các thành phần Firewall: Bộ lọc gói (Packet-filtering router dựa trên Header IP/TCP/UDP/ICMP), Cổng ứng dụng (Application-level gateway/Bastion host chạy secure OS, ví dụ Telnet Proxy), Cổng vòng (Circuit-level gateway chuyển tiếp TCP). Phân tích kiến trúc Screened Host Firewall và Screened-subnet Firewall (mô hình DMZ gồm Outer Router, Bastion Host, Inner Router).
• Chương 5: Danh sách điều khiển truy cập - ACL (17 giờ: 7 LT, 9 TH, 1 KT): Định nghĩa Access Control List; phân loại Standard ACL (dải số 1–99, kiểm tra IP nguồn) và Extended ACL (dải số 100–199, kiểm tra IP nguồn, IP đích, giao thức TCP/UDP/ICMP, số hiệu cổng); nguyên lý xử lý tuần tự từ trên xuống (top-down) và quy tắc ngầm định từ chối tất cả (deny all); cấu trúc mặt nạ đại diện (Wildcard mask 32-bit, bit 0 kiểm tra, bit 1 bỏ qua, từ khóa host và any); cú pháp lệnh và phương thức gán cổng (ip access-group in/out).
• Chương 6: Virus và cách phòng chống (7 giờ: 2 LT, 5 TH): Tổng quan về mã độc, phương thức lây lan qua môi trường mạng và thiết bị lưu trữ, phân loại virus và các giải pháp kỹ thuật ngăn chặn sự xâm nhập của virus máy tính.

Kiến thức nền tảng được xây dựng

• Lý thuyết mật mã học: Hệ thống hóa các mô hình toán học biến đổi thông tin, cơ chế quản lý và phân phối khóa (Session Key, Public/Private Key), xác lập điều kiện an toàn thuật toán dựa trên chi phí phá mã và thời gian tính toán của CPU.
• Nguyên lý chuyển đổi và điều hướng lưu lượng: Cơ chế sửa đổi Header gói tin IP và số hiệu cổng TCP/UDP, thuật toán tính toán lại Checksum để bảo toàn tính toàn vẹn dữ liệu khi truyền qua các vùng mạng khác nhau.
• Kiến trúc phòng thủ đa lớp (Defense-in-Depth): Khung lý thuyết 5 lớp bảo vệ (Quyền truy nhập tệp -> Tài khoản/mật khẩu -> Mã hóa -> Bảo vệ vật lý -> Tường lửa); mô hình phân vùng mạng an toàn bằng kỹ thuật cách ly DMZ (Demilitarized Zone).

Kỹ năng phát triển

• Kỹ năng kỹ thuật (Technical skills): Thực hiện tính toán mã hóa và giải mã bản rõ; cài đặt và cấu hình Routing and Remote Access (RRAS), IIS Web Server trên Windows Server 2003; viết và thực thi các câu lệnh cấu hình Standard/Extended ACL trên giao diện dòng lệnh (CLI) của router Cisco.
• Kỹ năng phân tích (Analytical skills): Phân tích các trường thông tin trong gói tin mạng (IP Source/Destination, TCP/UDP Ports, ICMP Types); tính toán chính xác chuỗi 32-bit Wildcard Mask cho từng dải mạng con (Subnet); đánh giá bảng luật lọc gói (Rule base) để phát hiện xung đột chính sách bảo mật.
• Năng lực thực thi thực tế (Practical competencies): Giám sát lưu lượng bị từ chối thông qua các bản tin cảnh báo hệ thống (SEC-6-IPACCESSLOGDP) bằng tham số log; chẩn đoán sự cố đường truyền mạng bằng công cụ tracert, debug ip packet và lệnh kiểm tra kết nối mở rộng (extended ping).

---

Phương pháp giảng dạy và học tập

Giáo trình áp dụng mô hình sư phạm tích hợp nghề nghiệp (Vocational Integrated Pedagogy), kết hợp song song giữa việc giảng dạy nguyên lý kỹ thuật và rèn luyện kỹ năng thực hành theo tỷ lệ: 33,3% lý thuyết (20 giờ), 61,7% thực hành (37 giờ) và 5% kiểm tra (3 giờ).

Hệ thống bài tập và nghiên cứu tình huống (Case Studies) được thiết kế chi tiết trong tài liệu:

• Bài tập giải thuật: Thực hiện mã hóa và giải mã các chuỗi ký tự mẫu (như "khoacongnghethongtin", "sinhviencongnghethongtin") bằng phương pháp hoán vị $n: \mathbb{Z}{26} \to \mathbb{Z}{26}$ và phương pháp thay thế $e_p(a) = X$.
• Nghiên cứu bảng luật tường lửa: Phân tích tình huống gồm 5 quy tắc (Rule A đến Rule E) để xác định quyền truy cập, dịch vụ cho phép/từ chối, việc ghi log và chính sách NAT/MAP đối với lưu lượng nội bộ và bên ngoài.

Các bài thực hành mô phỏng (Practical Lab exercises) gồm:

• Lab Cấu hình NAT trên Windows Server 2003: Thiết lập máy PC09 làm NAT Server qua RRAS (kết nối card LAN Public/Private, cấu hình Static Route với Gateway 0.200), cấu hình IIS Web Server trên máy PC08 (thư mục C:\Inetpub\wwwroot\index.htm), mở cổng HTTP 80 và thực hiện kiểm tra truy cập từ máy khách PC10.
• Lab Standard ACL trên Router Cisco: Thiết lập cấu hình định tuyến tĩnh trên R1 và R2, tạo access-list 1 deny 192.0, access-list 1 deny 200.255, access-list 1 permit any, áp dụng ip access-group 1 out trên giao diện FastEthernet0/0, kiểm tra gói tin bị hủy bằng debug ip packet và ghi nhận thông báo ICMP host unreachable.
• Lab Extended ACL trên hệ thống đa Router: Cấu hình RouterA sử dụng access-list 100 in trên giao diện Serial0 để cho phép host 150.2, từ chối host 150.3 có ghi log, kiểm tra trạng thái khớp lệnh bằng show ip access-lists.

Phương pháp đánh giá bao gồm 3 bài kiểm tra định kỳ được bố trí tại Chương 3, Chương 4 và Chương 5 để kiểm tra kiến thức lý thuyết và kỹ năng thao tác trên thiết bị. Về phương pháp tự học, tài liệu hướng dẫn người học quy trình soạn thảo trước các khối lệnh ACL trên trình soạn thảo văn bản (như Notepad) để kiểm tra logic trước khi nạp vào bộ định tuyến, đồng thời đối chiếu các chuẩn kỹ thuật IETF để hiểu sâu cơ chế truyền gói.

---

Điểm nổi bật và cập nhật

• Cấu trúc hóa theo mô đun nghề: Nội dung giáo trình được thiết kế dựa trên quy trình phân tích nghề Quản trị mạng máy tính, loại bỏ các lý thuyết hàn lâm không ứng dụng, tập trung vào các khối kỹ năng trực tiếp đáp ứng yêu cầu vận hành hệ thống mạng doanh nghiệp.
• Tích hợp các tiêu chuẩn kỹ thuật quốc tế: Giáo trình quy chiếu trực tiếp các chuẩn kỹ thuật Internet của IETF như RFC 1631 (Classic NAT), RFC 959 (giao thức FTP cơ chế Passive/Non-passive); phân tích các thuật toán mật mã chuẩn hóa quốc tế gồm DES, 3DES, AES (hỗ trợ độ dài khóa từ 128 đến 256 bit), RSA và trao đổi khóa Diffie-Hellman.
• Môi trường triển khai thực tế: Giáo trình kết hợp hai môi trường công nghệ cốt lõi trong hạ tầng CNTT: hệ điều hành máy chủ mạng Windows Server 2003 (cấu hình Routing and Remote Access, dịch vụ IIS, DNS, DHCP) và hệ điều hành mạng Cisco IOS (quản lý giao diện FastEthernet, Serial, Loopback, bảng định tuyến và danh sách điều khiển truy cập).
• Mô hình kiến trúc bảo mật phân vùng: Tài liệu cung cấp sơ đồ và nguyên lý hoạt động của các cấu trúc phòng thủ chu vi thực tế gồm Screened Host Firewall và Screened-subnet Firewall (khu vực phi quân sự DMZ), làm rõ cơ chế phối hợp giữa Router ngoài, Bastion Host và Router trong để bảo vệ mạng nội bộ.

---

Đối tượng sử dụng giáo trình

• Sinh viên: Tài liệu được biên soạn cho sinh viên trình độ Cao đẳng nghề chuyên ngành Quản trị mạng máy tính; đồng thời có thể dùng cho sinh viên ngành Công nghệ thông tin, Kỹ thuật mạng đang học các học phần về bảo mật hệ thống mạng và an toàn thông tin.
• Yêu cầu tiên quyết (Prerequisites): Người học bắt buộc phải hoàn thành các mô đun Mạng máy tính và Quản trị mạng 1. Cần nắm vững kiến thức về kiến trúc phân tầng TCP/IP, kỹ thuật chia mạng con (Subnetting) trên các lớp địa chỉ A, B, C, hiểu rõ nguyên lý định tuyến tĩnh và chức năng của các giao thức ứng dụng phổ biến (HTTP cổng 80, Telnet cổng 23, FTP cổng 20/21, DNS cổng 53).
• Giảng viên chuyên ngành: Sử dụng làm giáo trình giảng dạy chính khóa theo phân phối 60 giờ chuẩn; làm tài liệu căn cứ để thiết kế đề thi, phiếu đánh giá kỹ năng thực hành và xây dựng các bài Lab mô phỏng mạng trên thiết bị thật hoặc phần mềm giả lập.
• Kỹ thuật viên hệ thống: Dùng làm tài liệu tham khảo kỹ thuật để tra cứu cú pháp cấu hình danh sách lọc gói IP, thiết lập bảng dịch địa chỉ mạng và phân tích cấu trúc tường lửa bảo vệ máy chủ dịch vụ.

---

Câu hỏi thường gặp

1. Giáo trình này phù hợp với đối tượng đào tạo nào?

Giáo trình được biên soạn chính thức cho sinh viên bậc Cao đẳng nghề chuyên ngành Quản trị mạng máy tính, đồng thời phục vụ người học và kỹ thuật viên cần củng cố kỹ năng cấu hình an toàn hệ thống mạng.

2. Cần chuẩn bị kiến thức nền tảng nào trước khi học mô đun này?

Sinh viên cần hoàn thành môn học Mạng máy tính và Quản trị mạng 1, nắm vững mô hình địa chỉ IPv4, nguyên lý chuyển gói tin qua Router, cấu trúc cổng giao thức TCP/UDP và các lệnh quản trị mạng cơ bản.

3. Điểm khác biệt của giáo trình so với các tài liệu lý thuyết an toàn thông tin là gì?

Giáo trình có hơn 60% thời lượng dành cho thực hành (37/60 giờ). Mọi khái niệm lý thuyết (NAT, ACL, Firewall, Mã hóa) đều đi kèm sơ đồ mạng Lab mẫu, hướng dẫn cấu hình cụ thể từng bước và các dòng lệnh kiểm tra tương ứng trên thiết bị định tuyến Cisco hoặc Windows Server.

4. Phương pháp tự học và rèn luyện kỹ năng thực hành hiệu quả nhất là gì?

Người học cần viết trước các danh sách truy cập ACL trên trình soạn thảo để kiểm soát logic tuần tự và luật ngầm định deny all, sau đó nạp vào bộ định tuyến và sử dụng các công cụ chẩn đoán như debug ip packet, extended ping, show ip access-lists để phân tích kết quả xử lý gói tin.

5. Giáo trình có cung cấp các ví dụ và kịch bản cấu hình mẫu không?

Giáo trình tích hợp đầy đủ các kịch bản Lab mẫu gồm: bài tập tính toán giải thuật mã hóa Z26, kịch bản cấu hình NAT/Web Server trên Windows Server 2003, cấu hình Standard ACL lọc địa chỉ nguồn và Extended ACL lọc đa thông số có kích hoạt ghi nhật ký (log) trên Router.

---

Kết luận

Giáo trình môn học An toàn mạng (MHQTM 22) của Trường Cao đẳng Nghề Hà Nam là tài liệu đào tạo chuyên môn nghề hoàn chỉnh, cung cấp hệ thống kiến thức từ tổng quan bảo mật, lý thuyết mật mã học, cơ chế dịch địa chỉ NAT, kiến trúc tường lửa đa lớp đến kỹ thuật cấu hình danh sách điều khiển truy cập ACL.

Lộ trình học tập khuyến nghị cho người học là tiếp cận tuần tự qua 6 chương: từ nhận thức nguy cơ an ninh thông tin, tính toán các giải thuật mã hóa cơ bản, thực hành thiết lập dịch địa chỉ NAT, phân tích mô hình tường lửa/DMZ, đến việc thuần thục kỹ năng viết danh sách ACL lọc gói tin trên bộ định tuyến và triển khai phòng chống mã độc. Để đạt hiệu quả tối ưu, người học cần kết hợp nghiên cứu các văn bản chuẩn hóa RFC liên quan và thực hiện đầy đủ các bài thực hành mô phỏng được hướng dẫn trong giáo trình.

Trích đoạn nội dung tài liệu

Chương 1: Thực hiện với hệ mã hóa thay thế(Substitution Cipher) mã hóa và giải mã với bảng rõ sau: “ khoacongnghethongtin” “sinhviencongnghethongtin” Chương 2: Thực hiện với hệ Mã hoá hoán vị (Permutation Cipher) mã hóa và giải mã với bảng rõ sau: “ khoacongnghethongtin” “sinhviencongnghethongtin” CHƯƠNG 3: NAT ( Network Address Translation) Ma Chương: MHQTM 22.3 19 Giới thiệu Lúc đầu, khi NAT được phát minh ra nó chỉ để giải quyết cho vấn đề thiếu IP. Vào lúc ấy không ai nghĩ rằng NAT có nhiều hữu ích và có lẽ nhiều ứng dụng trong những vấn đề khác của NAT vẫn chưa được tìm thấy. Trong ngữ cảnh đó nhiều người đã cố gắng tìm hiểu vai trò của NAT và lợi ích của nó trong tương lai. Khi mà IPv6 được hiện thực thì nó không chỉ giải quyết cho vấn đề thiếu IP.

Qua nhiều cuộc thử nghiệm họ đã chỉ ra rằng viêc chuyển hoàn toàn qua IPv6 thì không có vấn đề gì và mau lẹ nhưng để giải quyết những vấn đề liên qua giữa IPv6 và IPv4 là khó khăn. Bởi vậy có khả năng IPv4 sẽ là giao thức chủ yếu cho Internet và Intranet. lâu dài hơn những gì họ mong muốn Mục tiêu: - Trình bày được quá trình NAT của một hệ thống mạng; - Trình bày được NAT tĩnh và NAT động; - Thiết lập cấu hình NAT trên Windows server; - Thực hiện các thao tác an toàn với hệ thống mạng. Nội dung chính: 1.

Giới thiệu: Trước khi giải thích vai trò của NAT ngày nay và trong tương lai, những người này muốn chỉ ra sự khác nhau về phạm vi của NAT được sủ dụng vào ngày đó. Sự giải thích sẽ đưa ra một cái nhìn tổng quan và họ không khuyên rằng làm thế nào và nên dùng loại NAT nào. Sau đây chỉ là giới thiệu và phân loại các NAT phần chi tiết sẽ được thảo luận và đề cập trong chương sau khi hiện thực NAT là một layd out. Phần trình bày được chia làm 2 phần : - Phần đầu được đặt tên là CLASSIC NAT nó là các kỹ thuật NAT vào những thời kỳ sơ khai (đầu những năm 90) được trình bày chi tiết trong RFC 1931.

Ứng dụng của nó chủ yếu giải quyết cho Chương toán thiếu IP trên Internet. - Phần hai trình bày những kỹ thuật NAT được tìm ra gần đây và ứng dụng trong nhiều mục đích khác. Các kỹ thuật NAT cổ điển: Nói về NAT chúng ta phải biết rằng có 2 cách là tĩnh và động. Trong trường hợp đầu thì sự phân chia IP là rõ ràng còn trường hợp sau thì ngược lại.

Với NAT tĩnh thì một IP nguồn luôn được chuyển thành chỉ một IP đích mà thôi trong bất kỳ thời gian nào. Trong khi đó NAT động thì IP này là thay đổi trong các thời gian và trong các kết nối khác nhau. Trong phần này chúng ta định nghĩa : m: số IP cần được chuyển đổi (IP nguồn) n: số IP sẵn có cho việc chuyển đổi (IP NATs hay gọi là IP đích) 2. NATtĩnh Yêu cầu m, n >= 1; m = n (m, n là số tự nhiên) Với cơ chế IP tĩnh chúng ta có thể chuyển đổi cùng một số lượng các IP nguồn và đích.

Trường hợp đặc biệt là khi cả 2 chỉ chứa duy nhất một IP ví dụ netmask là 255. Cách thức hiện thực NAT tĩnh thì dễ dàng vì toàn bộ cơ chế dịch địa chỉ được thực hiện bởi một công thức đơn giản: Địa chỉ đích = Địa chỉ mạng mới OR ( địa chỉ nguồn AND ( NOT netmask)) Không có thông tin về trạng thái kết nối. Nó chỉ cần tìm các IP đích thích hợp là đủ. Các kết nối từ bên ngoài hệ thống vào bên trong hệ thống thì chỉ khác nhau về IP vì thế cơ chế NAT tĩnh thì hầu như hoàn toàn trong suốt.

Ví dụ một rule cho NAT tĩnh: Dịch toàn bộ IP trong mạng 138.0 đến mạng có địa chỉ là 94.0 cho cả hai mạng. Dưới đây là mô tả việc dịch từ địa chỉ có IP là 138.27, các cái khác tương tự. NATđộng Yêu cầu m >= 1 và m >= n NAT động được sử dụng khi số IP nguồn không bằng số IP đích. Số host chia sẻ nói chung bị giới hạn bởi số IP đích có sẵn.

NAT động phức tạp hơn NAT tĩnh vì thế chúng phải lưu giữ lại thông tin kết nối và thậm chí tìm thông tin của TCP trong packet. Như đã đề cập ở trên NAT động cũng có thể sử dụng như một NAT tĩnh khi m = n. Một số người dùng nó thay cho NAT tĩnh vì mục đích bảo mật. Những kẻ từ bên ngoài không thể tìm được IP nào kết nối với host chỉ định vì tại thời điểm tiếp theo host này có thể nhận một IP hoàn toàn khác.

Trong trường hợp đặc biệt thậm chí có nhiều địa chỉ đích hơn địa chỉ nguồn (m< n) Những kết nối từ bên ngoài thì chỉ có thể khi những host này vẫn còn nắm giữ một IP trong bảng NAT động. Nơi mà NAT router lưu giữ những thông tin về IP bên trong (IP nguồn) được liên kết với NAT-IP(IP đích). Cho một ví dụ trong một session của FPT non-passive. Nơi mà server cố gắng thiết lập một kênh truyền dữ liệu, vì thế khi server cố gắng gửi một IP packet đến FTP client thì phải có một entry cho client trong bảng NAT.

Nó vẫn phải còn liên kết một IP client với cùng một NAT-IPs khi client bắt đầu một kênh truyền control trừ khi FTP session rỗi sau một thời gian timeout. Giao thức FTP có 2 cơ chế là passive và non- passive. Giao thức FTP luôn dùng 2 port (control và data). Với cơ chế passive (thụ động ) host kết nối sẽ nhận thông tin về data port từ server và ngược lại non-passive thì host kết nối sẽ chỉ định data port yêu cầu server lắng nghe kết nối tới.

Tham khảo thêm về FTP protocol trong RFC 959. Bất cứ khi nào nếu một kẻ từ bên ngoài muốn kết nối vào một host chỉ định ở bên trong mạng tại một thời điểm chỉ có 2 trường hợp : + Host bên trong không có một entry trong bảng NAT khi đó sẽ nhận được thông tin “host unreachable” hoặc có một entry nhưng NAT-IPs là không biết. + Biết được IP của một kết nối bởi vì có một kết nối từ host bên trong ra ngoài mạng. Tuy nhiên đó chỉ là NAT-IPs và không phải là IP thật của host.

Và thông tin này sẽ bị mất sau một thời gian timeout của entry này trong bảng NAT router. Ví dụ về một rule cho NAT động: Dịch toàn bộ những IP trong class B, địa chỉ mạng 138.0 đến IP trong class B 178. Mỗi kết nối mới từ bên trong sẽ được liên kết với tập IP của class B khi mà IP đó không được sử dụng. Vd: xem quá trình NAT trong trường hợp sau: + Client cục bộ 10.170/ 1074 + NAT server IPI : 10.5 / PortE 1563 + Web server : 203 .20 /80 Minh hoạ: 21 Hình 5: Mô tả quá trình NAT tĩnh Quá trình NAT: Khi Client gởi yêu cầu đến webserver, Header sẽ báo tin gói tin bắt đầu tại: 10.170/1074 và đích gói tin này là cổng 80 trên Webserver có địa chỉ là 203.20 gói tin này được chặn tại cổng 80 của NAT Server, 10.1, NAT Server sẽ gắn header của gói tin này trước khi chuyển tiếp nó đến đích Webserver.

Header mới của gói tin cho biết gói tin xuất phát từ 203.5 / 1563 khi đến đích vẫn không thay đổi. - Webserver nhận yêu cầu tại cổng 80 của nó và đáp ứng yêu cầu trở lại cho NAT server. - Header của gói tin cho biết gói tin được gởi lại từ Webserver và đích của nó là cổng 1563 trên 203.5 + NAT là một cách để giấu địa chỉ IP của các Server bên trong mạng nội bộ, tiết kiệm địa chỉ IP công cộng, NAT bảo mật sự tấn công trực tiếp từ bên ngoài vào các server dịch vụ bên trong, vì bên ngoài không nhìn thấy địa chỉ IP của các server này. Như vậy NAT là một trong những công cụ bảo mật mạng LAN.

NAT hoạt động trên một route giữa mạng nội bộ bên trong với bên ngoài, nó giúp chuyển đổi các địa chỉ IP. Nó thường được sử dụng cho các mạng có địa chỉ của lớp A,B,C. - Hoạt động NAT bao gồm các bước sau: + Địa chỉ IP trong header IP được thay đổi bằng một địa chỉ mới bên trong hoặc bên ngoài, số hiệu cổng trong header TCP cũng được thay thế thành số hiệu cổng mới. + Tổng kiểm tra các gói IP và tính toán lại sao cho dữ liệu được đảm bảo tính toàn vẹn.

(Đảm bảo kết quả trả về đúng nơi mà nó yêu cầu) + Header TCP/IP checksum cũng phải được tính toán lại sao cho phù hợp với địa chỉ TCP/IP mới cả bên trong và bên ngoài lẫn cổng dịch vụ. + Có hai loại NAT: Nat tĩnh và Nat động, tương ứng với hai kỹ thuật cấp phát địa chỉ IP (địa chỉ IP tỉnh và địa chỉ IP động DHCP) Minh hoạ: 22 Hình 6: Mô tả quá trình NAT động Chú Ý: NAT có thể chuyển đổi địa chỉ theo: + Một - Một + Nhiều - Một => Một địa chỉ bên trong có thể chuyển thành một địa chỉ hợp lệ bên ngoài hoặc ngược lại. NAT Pool: Cho phép chuyển đổi địa chỉ nội bộ thành một dãy đia chỉ Public. NAT trong Window server.

Mục tiêu: - Trình bày được khái niệm và các thành phần Nat trong Windows server - Thiết lập cấu hình NAT trên Windows server 3. Win 2003 cung cấp khái niệm NAT NAT liên quan đến việc kết nối các LAN vào Internet, NAT cho phép các mạng nhỏ kết nối vào Internet như trong trường hợp của IPSec. Do đó chỉ cần một địa chỉ IP công cộng là có thể kết nối một lượng lớn để tuy cập vào Internet. - NAT server cũng cần địa chỉ của một LAN bên trong, Người sử dụng bên ngoài không thể nhìn thấy địa chỉ của các server bên trong nhờ đó mà bảo vệ được các loại tấn công từ Internet.

- NAT của Win 2003 bao gồm các thành phần sau: + TRANSLATION: Là một máy tính chạy Win 2003 có chức năng Nat được, nó đóng vai trò của bộ chuyển đổi địa chỉ IP và số hiệu cổng của LAN bên trong thành các máy chủ bên ngoài Intranet. + ADDRESS: Là một máy tính đóng vai trò bộ chuyển đổi địa chỉ mạng nó cung cấp các thông tin địa chỉ IP của các Máy tính + mạng được xem như một DHCP server cung cấp thông tin về địa chỉ IP/ Subnet Mask/ Default Gateway/ DNS Server. Trong trường hợp này tất cả máy tính bên trong LAN phải được cấu hình DHCP client.