Giáo Trình Xây Dựng Hệ Thống Firewall Nghề Quản Trị Mạng Máy Tính

Giáo trình nghiên cứu xây dựng hệ thống firewall nghề quản trị mạng máy tính trình độ cao đẳng, trình bày lý thuyết rõ ràng, minh họa ví dụ thực tế, phù hợp sinh viên kinh tế.

• Tác giả: Lê Thị Ngọc Trâm
• Người hướng dẫn: Phương Phương Thúy
• Trường học: Trường Cao Đẳng Nghề An Giang
• Chuyên ngành: Quản Trị Mạng
• Đề tài: Giáo Trình Xây Dựng Hệ Thống Firewall Cho Quản Trị Mạng
• Loại tài liệu: giáo trình
• Năm xuất bản: 2019
• Địa điểm: An Giang

Mục lục chi tiết

• Lời giới thiệu
• 1. BÀI 1: GIỚI THIỆU FIREWALL
• 1.1. Mô hình triển khai
• 1.2. Các thành phần cơ bản của Firewall
• 1.3. Nguyên lý hoạt động của Firewall
• 2. BÀI 2: TĂNG CƯỜNG BẢO MẬT CHO THIẾT BỊ
• 2.1. Các loại tấn công vào hệ thống mạng
• 2.2. Cấu hình bảo mật
• 3. BÀI 3: TRIỂN KHAI HỆ THỐNG FIREWALL
• 3.1. Giới thiệu Cisco IOS Firewall
• 3.2. Cấu hình Cisco IOS Firewall
• 4. BÀI 4: GIỚI THIỆU VỀ FOREFRONT THREAT MANAGERMENT GATEWAY (TMG)
• 4.1. Tìm Hiểu Forefrent TMG
• 4.2. Triển khai cài đặt TMG
• Thuật ngữ chuyên môn
• Tài liệu tham khảo

Tóm tắt

I. Tổng quan về Giáo Trình Xây Dựng Hệ Thống Firewall

Giáo trình này cung cấp cái nhìn tổng quan về hệ thống firewall và vai trò của nó trong quản trị mạng. Tường lửa là một phần quan trọng trong việc bảo vệ thông tin và dữ liệu trong môi trường mạng. Nội dung giáo trình được thiết kế để giúp sinh viên hiểu rõ về các thành phần cơ bản của firewall, mô hình triển khai và nguyên lý hoạt động của nó.

1.1. Khái niệm và vai trò của Firewall trong quản trị mạng

Tường lửa (Firewall) là một công cụ bảo mật mạng, giúp kiểm soát lưu lượng truy cập và bảo vệ hệ thống khỏi các mối đe dọa từ bên ngoài. Nó có thể là phần mềm hoặc phần cứng, và đóng vai trò quan trọng trong việc bảo vệ thông tin nhạy cảm.

1.2. Các loại firewall phổ biến hiện nay

Có nhiều loại firewall khác nhau, bao gồm firewall phần mềm, firewall phần cứng, và firewall dựa trên đám mây. Mỗi loại có những ưu điểm và nhược điểm riêng, phù hợp với từng nhu cầu bảo mật khác nhau.

II. Vấn đề và thách thức trong việc triển khai hệ thống Firewall

Việc triển khai hệ thống firewall không phải là điều đơn giản. Có nhiều thách thức mà các tổ chức phải đối mặt, từ việc cấu hình đúng các chính sách bảo mật đến việc cập nhật thường xuyên để đối phó với các mối đe dọa mới. Những vấn đề này có thể ảnh hưởng đến hiệu suất và tính bảo mật của hệ thống.

2.1. Các mối đe dọa từ bên ngoài

Các cuộc tấn công từ bên ngoài như tấn công DDoS, tấn công giả mạo địa chỉ IP, và các loại malware đang ngày càng trở nên phổ biến. Những mối đe dọa này yêu cầu các tổ chức phải có biện pháp bảo vệ hiệu quả.

2.2. Thách thức trong việc cấu hình và quản lý firewall

Cấu hình firewall đúng cách là rất quan trọng để đảm bảo an toàn cho hệ thống. Tuy nhiên, việc này có thể gặp khó khăn do sự phức tạp của các chính sách bảo mật và sự thay đổi liên tục của các mối đe dọa.

III. Phương pháp triển khai hệ thống Firewall hiệu quả

Để triển khai hệ thống firewall hiệu quả, cần có một kế hoạch chi tiết và các phương pháp cụ thể. Việc lựa chọn loại firewall phù hợp và cấu hình chính xác là rất quan trọng để đảm bảo an toàn cho hệ thống mạng.

3.1. Lựa chọn loại firewall phù hợp

Việc lựa chọn giữa firewall phần mềm và phần cứng phụ thuộc vào nhu cầu cụ thể của tổ chức. Firewall phần cứng thường cung cấp hiệu suất cao hơn, trong khi firewall phần mềm có thể dễ dàng triển khai và quản lý.

3.2. Cấu hình chính sách bảo mật cho firewall

Cấu hình chính sách bảo mật cho firewall cần phải được thực hiện cẩn thận. Các quy tắc cần phải rõ ràng và cụ thể để đảm bảo rằng chỉ những lưu lượng hợp lệ mới được phép truy cập vào mạng.

IV. Ứng dụng thực tiễn của hệ thống Firewall trong bảo mật mạng

Hệ thống firewall không chỉ giúp bảo vệ thông tin mà còn có thể được sử dụng để quản lý lưu lượng mạng và tối ưu hóa hiệu suất. Việc áp dụng firewall trong thực tiễn đã chứng minh được hiệu quả trong việc ngăn chặn các cuộc tấn công mạng.

4.1. Các trường hợp thực tế về ứng dụng firewall

Nhiều tổ chức đã áp dụng firewall để bảo vệ hệ thống của họ khỏi các cuộc tấn công. Ví dụ, các công ty lớn thường sử dụng firewall để bảo vệ thông tin nhạy cảm và đảm bảo an toàn cho dữ liệu khách hàng.

4.2. Kết quả nghiên cứu về hiệu quả của firewall

Nghiên cứu cho thấy rằng việc triển khai firewall có thể giảm thiểu đáng kể nguy cơ bị tấn công mạng. Các tổ chức có hệ thống firewall hoạt động hiệu quả thường có tỷ lệ tấn công thấp hơn so với những tổ chức không sử dụng.

V. Kết luận và tương lai của hệ thống Firewall

Hệ thống firewall sẽ tiếp tục đóng vai trò quan trọng trong việc bảo vệ thông tin và dữ liệu trong môi trường mạng. Với sự phát triển của công nghệ, các giải pháp firewall cũng sẽ ngày càng trở nên thông minh và hiệu quả hơn.

5.1. Xu hướng phát triển của công nghệ firewall

Công nghệ firewall đang phát triển nhanh chóng với sự xuất hiện của các giải pháp mới như firewall dựa trên đám mây và firewall thông minh. Những công nghệ này hứa hẹn sẽ mang lại nhiều lợi ích cho việc bảo mật mạng.

5.2. Tương lai của bảo mật mạng với firewall

Trong tương lai, firewall sẽ không chỉ là một công cụ bảo mật mà còn là một phần quan trọng trong chiến lược bảo mật tổng thể của các tổ chức. Việc tích hợp firewall với các công nghệ khác sẽ giúp nâng cao khả năng bảo vệ hệ thống.

Nội dung chính

GIÁO TRÌNH XÂY DỰNG HỆ THỐNG FIREWALL (MĐ 24) – NGHỀ QUẢN TRỊ MẠNG MÁY TÍNH

Tổng quan về giáo trình (250-300 từ)

• Môn học và vị trí trong chương trình đào tạo: Giáo trình Xây dựng hệ thống Firewall (mã số mô đun: MĐ 24) là tài liệu học tập chuyên ngành bắt buộc thuộc chương trình đào tạo nghề Quản trị mạng máy tính, trình độ cao đẳng và trung cấp chuyên ngành Công nghệ thông tin tại Trường Cao đẳng nghề An Giang. Giáo trình do tác giả Lê Thị Ngọc Trâm làm chủ biên, cùng sự phản biện chuyên môn của chuyên gia Phương Phương Thúy, ban hành năm 2019 theo quyết định của Hiệu trưởng nhà trường. Trong lộ trình đào tạo, mô đun này được bố trí giảng dạy sau khi sinh viên đã hoàn thành các môn học nền tảng: Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, và Cấu hình và quản trị thiết bị mạng.
• Mục tiêu học tập (Learning Outcomes):
  • Về kiến thức: Trang bị hệ thống lý thuyết về các thành phần cốt lõi của Firewall, các mô hình triển khai thực tế, cơ chế lọc gói tin (Packet Filtering), hoạt động của máy chủ Proxy; phân tích các hình thức tấn công mạng và vai trò của các giải pháp tường lửa chuyên dụng như Cisco IOS Firewall và Microsoft Forefront Threat Management Gateway (TMG) 2010.
  • Về kỹ năng: Sinh viên có khả năng cài đặt, sao lưu, xuất/nhập chính sách bảo mật; cấu hình phòng thủ thiết bị mạng bằng AutoSecure và Security Device Manager (SDM); triển khai hệ thống Cisco IOS Firewall; cài đặt và quản trị Forefront TMG trên nền tảng Windows Server nhằm thiết lập hệ thống phát hiện xâm nhập (NIS), Web Client Protection, và E-mail Protection.
  • Về năng lực tự chủ và trách nhiệm: Rèn luyện phương pháp làm việc khoa học, tuân thủ quy trình kỹ thuật nhằm bảo đảm an toàn dữ liệu và thiết bị trong hạ tầng mạng máy tính.
• Cấu trúc và cách tiếp cận: Giáo trình được tổ chức thành 4 bài học có tính hệ thống cao, kết hợp giữa lý thuyết nền tảng về an toàn thông tin và các bài thực hành cấu hình chi tiết theo từng giải pháp công nghệ cụ thể.
• Điểm đặc sắc của giáo trình: Tài liệu kết hợp cân đối giữa bảo mật thiết bị hạ tầng định tuyến (Router Cisco) và giải pháp quản trị cổng an ninh mức phần mềm doanh nghiệp (Microsoft Forefront TMG), cung cấp các hướng dẫn chi tiết theo giao diện đồ họa (GUI) và hệ thống bài tập tình huống thực tế.

---

Nội dung kiến thức cốt lõi (500-600 từ)

Các chương/chủ đề chính

Giáo trình bao gồm 4 bài học chính với tiến trình từ khái niệm tổng quát, tăng cường an ninh thiết bị, đến triển khai hệ thống tường lửa phần cứng và phần mềm:

• Bài 1: Giới thiệu Firewall:

  • Trình bày các mô hình triển khai: Mô hình Bastion Host (gồm máy phòng thủ 2 card mạng hoặc gateway mức ứng dụng kết hợp screening subnet để cách ly mạng nội bộ), Mô hình Back-End Firewall (kiểm soát luồng dữ liệu giữa External và Internal interface), và Mô hình 3-leg / Three-homed (sử dụng 3 card mạng kết nối External, Internal và DMZ, đồng thời phân tích nhược điểm điểm chịu lỗi duy nhất - Single Point of Failure).
  • Phân tích các thành phần cơ bản: Kỹ thuật Packet Filter (phân biệt giữa Stateless Packet Filtering dựa trên nội dung header cố định và Stateful Packet Filtering / Stateful Inspection duy trì bảng trạng thái kết nối dựa trên IP header, port TCP/UDP, ICMP message type, cờ phân mảnh SYN/ACK); Proxy Server (gồm dạng kết nối trực tiếp, dùng phần mềm Proxy Client, và Transparent Proxy; thực hiện che giấu mạng nội bộ, URL Filtering, Content Filtering); cơ chế chứng thực người dùng đa yếu tố (Multi-factor Authentication); cơ chế Network Address Translation (NAT) chuyển đổi địa chỉ để che giấu mạng LAN.
  • Phân loại Firewall cứng (tích hợp trên router hoặc thiết bị chuyên dụng như Cisco ASA, Cisco PIX, Nokia Checkpoint, Juniper, Fortigate) và Firewall mềm (ZoneAlarm, Norton Firewall, ISA Server, Winroute).

• Bài 2: Tăng cường bảo mật cho thiết bị:

  • Phân loại các nguy cơ và kiểu tấn công mạng: Reconnaissance (Packet sniffers, Port scans, Ping sweeps), Access attacks (Man-in-the-middle, Buffer overflow, DoS/DDoS, IP Spoofing), tấn công mã độc (Worm, Virus, Trojan Horse), tấn công tầng ứng dụng (Application Layer attacks khai thác HTTP, FTP, Mail bằng các công cụ như Netcat), và nguy cơ rò rỉ từ các giao thức quản trị gửi dữ liệu dạng Cleartext như SNMP, Syslog, TFTP, NTP.
  • Các kỹ thuật phòng chống: Ứng dụng Unicast Reverse Path Forwarding (uRPF) cho Anti-spoof, hạn chế kết nối TCP Half-open cho Anti-DoS, triển khai hệ thống IPS/IDS (NIPS, HIPS), kiểm soát quản trị qua SSL/SSH và RFC 3704; sử dụng các công cụ rà soát như Blue’s PortScanner, Wireshark, Microsoft Baseline Security Analyzer (MBSA).
  • Cấu hình an ninh trên Cisco Router: Sử dụng công cụ AutoSecure (chế độ Interactive và Non-interactive) trên Cisco IOS 12.3+, ứng dụng Cisco Security Device Manager (SDM) với tính năng One-Step Lockdown và Security Audit wizard, thiết lập độ dài tối thiểu của mật khẩu (Router Passwords), mã hóa cấu hình, thiết lập Banner Message và bảo vệ tập tin cấu hình/image của Cisco IOS.

• Bài 3: Triển khai hệ thống Firewall:

  • Khái quát Cisco IOS Firewall: Cơ chế kiểm tra gói tin vượt ngoài ACL, quản lý bảng trạng thái session (State table), xử lý luồng TCP/UDP Handling, cung cấp Audit Trail qua Syslog và cảnh báo thời gian thực.
  • Bộ tính năng chuyên sâu: Authentication Proxy (xác thực HTTP, HTTPS, FTP, Telnet qua máy chủ TACACS+ và RADIUS); hệ thống Cisco IOS Firewall IPS với cơ sở dữ liệu nhận dạng hơn 700 mẫu tấn công (Signatures) cùng 4 hành động phản hồi (Alarm, Drop, Reset, Block); phân tích giới hạn của ACL tĩnh và khả năng khắc phục của Stateful Firewall.
  • Thực hành cấu hình: Cấu hình Basic Firewall Interface và Advanced Firewall Interface qua SDM, thiết lập quy tắc kiểm tra (Inspection Rules), định cấu hình bảo vệ vùng mạng trung gian DMZ cho các dịch vụ TCP/UDP.

• Bài 4: Giới thiệu về Forefront Threat Management Gateway (TMG):

  • Giới thiệu Microsoft Forefront TMG 2010 (phiên bản nâng cấp thay thế cho ISA Server 2006): Các tính năng mở rộng gồm Enhanced VoIP, ISP Link Redundancy (cân bằng tải và dự phòng đường truyền), Web Anti-malware, URL Filtering, HTTPS Inspection (kiểm tra chứng chỉ SSL và gói tin mã hóa), E-mail Protection Subscription Service (kết hợp với Forefront Protection for Exchange Server), Network Inspection System (NIS), tích hợp Network Access Protection (NAP) và SSTP VPN, tối ưu hóa trên nền tảng 64-bit của Windows Server 2008 / Windows Server 2008 R2.
  • Yêu cầu hệ thống và quy trình cài đặt: Cấu hình phần cứng (CPU 64-bit đa nhân, RAM tối thiểu 2GB, định dạng ổ đĩa NTFS), cài đặt các Role/Feature phụ thuộc (Active Directory Lightweight Directory Services - ADLDS, Network Policy and Access Server, Network Load Balancing - NLB, .NET Framework 3.5 SP1).
  • Quản trị chính sách an ninh: Quy trình cài đặt Preparation Tool, triển khai TMG Management Wizard, thêm card mạng Internal/External, và thiết lập các quy tắc truy cập (Access Rules) theo cơ chế mặc định Deny, tùy biến cấp phép (Allow) theo nhóm giao thức (Protocols) và đối tượng người dùng.

Kiến thức nền tảng được xây dựng

• Lý thuyết an toàn thông tin mạng: Mô hình phòng thủ theo chiều sâu (Defense-in-Depth), kiểm soát lưu lượng biên mạng (Perimeter Security), và kiến trúc phân vùng an ninh (Internal - DMZ - External).
• Nguyên lý kiểm soát luồng dữ liệu: Cơ chế lọc gói không trạng thái (Stateless) so với có trạng thái (Stateful Inspection), cơ chế chuyển tiếp cổng và che giấu định danh qua NAT/PAT, nguyên lý hoạt động của máy chủ đại diện (Application Proxy / Transparent Proxy).
• Mô hình chứng thực và ủy quyền: Cơ chế xác thực truy cập tập trung thông qua các giao thức AAA (TACACS+, RADIUS), xác thực đa yếu tố và mã hóa quản trị hệ thống qua SSH/IPSec.

Kỹ năng phát triển

• Kỹ năng kỹ thuật (Technical skills): Cấu hình bảo mật thiết bị định tuyến Cisco bằng CLI và giao diện SDM; cấu hình tính năng AutoSecure; thiết lập hệ thống Cisco IOS Firewall; cài đặt và cấu hình hệ thống Microsoft Forefront TMG 2010; xây dựng các Access Rule và quản trị chính sách lọc URL, chống mã độc web.
• Kỹ năng phân tích (Analytical skills): Phân tích các dạng tấn công mạng (DDoS, IP Spoofing, Port Scanning, Sniffing); đọc hiểu nhật ký kiểm toán hệ thống (Audit Trails/Syslog); đánh giá điểm yếu an ninh mạng thông qua các công cụ quét chuyên dụng (Wireshark, MBSA, Blue’s PortScanner, Nmap).
• Năng lực thực thi thực tế (Practical competencies): Hoạch định địa chỉ IP và phân vùng mạng an toàn; thiết lập hạ tầng DMZ bảo vệ máy chủ dịch vụ; triển khai giải pháp xác thực người dùng mạng nội bộ và kiểm soát lưu lượng Internet doanh nghiệp.

---

Phương pháp giảng dạy và học tập (300-350 từ)

• Cách tiếp cận sư phạm (Pedagogical approach): Giáo trình áp dụng phương pháp đào tạo tích hợp giữa lý thuyết nguyên lý và thực hành kỹ năng nghề nghiệp. Mỗi bài học bắt đầu từ mục tiêu cụ thể, phân tích cặn kẽ bản chất kỹ thuật của các nguy cơ hoặc cơ chế bảo mật, sau đó chuyển giao sang quy trình thao tác từng bước trên thiết bị phần cứng (Cisco Router) hoặc phần mềm hệ thống (Windows Server/TMG).
• Bài tập và nghiên cứu tình huống (Case studies): Tài liệu cung cấp hệ thống bài tập thực hành gắn liền với các tình huống cấu hình hệ thống thực tế tại doanh nghiệp:
  • Tình huống Bài 2: Thiết lập sơ đồ mạng định tuyến đa điểm với giao thức RIPv2, cấu hình Secret Password, thiết lập chứng thực Local AAA cho cổng Console và phiên Telnet từ xa trên Router R1, đồng thời cấu hình danh sách kiểm soát truy cập (ACL) để hạn chế quyền truy cập quản trị vào các Router R1, R2, R3 (chỉ cho phép máy tính chỉ định PC-C).
  • Tình huống Bài 3: Xây dựng hệ thống an ninh mạng đa tầng Layer 3 cho Công ty A; thực hiện quy hoạch địa chỉ IP, định tuyến động EIGRP trên 3 router, sử dụng AutoSecure để triển khai Context-Based Access Control (CBAC) Firewall, ứng dụng giao diện SDM để cấu hình Zone-Based Policy Firewall (ZBF/ZFW), và sử dụng công cụ Nmap từ các máy trạm PC-A/PC-C để kiểm thử độ an toàn của hệ thống.
• Bài tập thực hành (Practical exercises): Sinh viên trực tiếp thao tác cài đặt phần mềm Forefront TMG 2010 thông qua công cụ Preparation Tool, cấu hình các Role hạ tầng (ADLDS, NPS), gán card mạng nội bộ, và khởi tạo các Access Rule từ đơn giản (quy tắc "All Open 1") đến các quy tắc phân loại giao thức nâng cao.
• Phương pháp đánh giá (Assessment methods): Đánh giá kết hợp thông qua hai hình thức:
  • Lý thuyết: Trả lời hệ thống câu hỏi ôn tập cuối bài về khái niệm, bảng so sánh tính năng (giữa Stateful và Stateless, giữa ISA Server 2006 và Forefront TMG 2010), và nguyên lý hoạt động của các cơ chế an ninh.
  • Thực hành: Đánh giá kết quả cấu hình mạng, bảng định tuyến, trạng thái hoạt động của các dịch vụ bảo mật và khả năng ngăn chặn xâm nhập trên môi trường Lab.
• Hướng dẫn tự học (Self-study guidelines): Người học cần tự nghiên cứu tài liệu lý thuyết trước giờ học, ôn tập định kỳ các câu hỏi cuối mỗi bài, và chủ động tái lập các bài lab trên môi trường mạng thực hoặc các phần mềm giả lập chuyên ngành (như Cisco SDM, GNS3, VMware Workstation).

---

Điểm nổi bật và cập nhật (250-300 từ)

• Cập nhật so với các phiên bản và công nghệ tiền nhiệm: Giáo trình phản ánh bước chuyển giao công nghệ quan trọng giữa hai thế hệ tường lửa doanh nghiệp của Microsoft: từ ISA Server 2006 lên Forefront Threat Management Gateway (TMG) 2010. Tài liệu phân tích rõ những nâng cấp cốt lõi như việc hỗ trợ kiến trúc 64-bit trên Windows Server 2008 R2, giúp tối ưu hóa dung lượng bộ nhớ và hiệu năng xử lý cho các hệ thống lớn.
• Tích hợp các xu hướng công nghệ an toàn thông tin:
  • Hệ thống kiểm tra gói tin mức mạng (Network Inspection System - NIS): Bổ sung cơ chế phát hiện và ngăn chặn các cuộc tấn công khai thác lỗ hổng bảo mật trực tiếp trên luồng dữ liệu.
  • Kiểm soát lưu lượng mã hóa (HTTPS Inspection): Cho phép giải mã và kiểm tra nội dung bên trong các kết nối SSL/TLS nhằm phát hiện phần mềm độc hại ẩn giấu và xác thực tính hợp lệ của chứng chỉ số.
  • Dự phòng và cân bằng tải đường truyền (ISP Link Redundancy): Tích hợp tính năng hỗ trợ đa kết nối Internet (Load Balancing & Failover) trực tiếp tại tầng cổng tường lửa.
  • Bảo vệ ứng dụng giao tiếp & thư tín: Hỗ trợ Enhanced VoIP (SIP traversal) và tích hợp gói dịch vụ E-mail Protection liên kết với Forefront Protection 2010 for Exchange Server để lọc thư rác và virus.
• Ứng dụng thực tế và gắn kết hạ tầng công nghiệp: Nội dung đào tạo bám sát các thiết bị và phần mềm tiêu chuẩn trong hạ tầng CNTT doanh nghiệp gồm dòng thiết bị Cisco Router (hệ điều hành Cisco IOS phiên bản 12.3 trở lên, công cụ quản trị Cisco SDM) và máy chủ Windows Server kết hợp Forefront TMG Enterprise/Standard.

---

Đối tượng sử dụng giáo trình (200-250 từ)

• Sinh viên và cấp độ đào tạo: Giáo trình được biên soạn chuyên biệt cho sinh viên bậc Cao đẳng và Trung cấp chuyên ngành Công nghệ thông tin, trọng tâm là nghề Quản trị mạng máy tính tại các trường cao đẳng nghề, trường đại học kỹ thuật và cơ sở đào tạo nghề nghiệp.
• Yêu cầu kiến thức tiên quyết (Prerequisites): Người học cần nắm vững kiến thức căn bản về kiến trúc mạng và mô hình phân tầng TCP/IP; đã hoàn thành các môn học tiên quyết bao gồm Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, và Cấu hình và quản trị thiết bị mạng. Ngoài ra, cần có kỹ năng thao tác cơ bản trên hệ điều hành Windows Server và dòng lệnh Cisco IOS.
• Giảng viên và hướng dẫn sử dụng: Giảng viên chuyên ngành an ninh mạng và quản trị hệ thống sử dụng giáo trình làm tài liệu giảng dạy chuẩn mực cho mô đun MĐ 24. Tài liệu cung cấp cấu trúc bài giảng rõ ràng, hệ thống mục tiêu học tập cụ thể cùng khung bài tập thực hành mẫu phục vụ công tác thiết kế giáo án và đề thi đánh giá năng lực.
• Tự học và tham khảo: Kỹ thuật viên quản trị mạng, chuyên viên hỗ trợ hệ thống hoặc người học tự do có thể sử dụng giáo trình như tài liệu tra cứu các quy trình chuẩn về thiết lập bảo mật thiết bị định tuyến Cisco, cấu hình AAA, kiểm toán hệ thống bằng Syslog, và triển khai cài đặt Microsoft Forefront TMG.

---

Câu hỏi thường gặp (250-300 từ)

1. Giáo trình này phù hợp với ai?

Giáo trình được thiết kế cho sinh viên ngành Quản trị mạng máy tính, Công nghệ thông tin bậc Cao đẳng/Trung cấp, cũng như các kỹ thuật viên mạng cần tài liệu hướng dẫn về nguyên lý và quy trình triển khai tường lửa trên thiết bị Cisco và máy chủ Windows Server.

2. Cần kiến thức nền nào để học?

Người học cần hoàn thành các mô đun cơ sở về Mạng máy tính, Quản trị mạng, Thiết bị mạng; hiểu rõ mô hình TCP/IP, cấu trúc gói tin (Header, Port, IP), các giao thức định tuyến cơ bản (RIP, EIGRP), và kỹ năng quản trị hệ điều hành Windows Server.

3. Điểm khác biệt với giáo trình khác?

Giáo trình tích hợp đồng thời hai trường phái bảo mật mạng quan trọng: bảo mật thiết bị hạ tầng định tuyến thông qua Cisco IOS Firewall (CBAC, ZBF, AutoSecure) và bảo mật cổng ứng dụng doanh nghiệp qua Microsoft Forefront TMG 2010 với các quy trình thiết lập trực quan qua giao diện đồ họa.

4. Làm sao để tự học hiệu quả?

Người học nên kết hợp đọc lý thuyết nguyên lý tại Bài 1 và Bài 2, hoàn thành các câu hỏi ôn tập sau mỗi bài, đồng thời xây dựng môi trường phòng Lab ảo hóa (sử dụng VMware, Cisco SDM, GNS3) để thực hành trực tiếp các bài lab cấu hình được hướng dẫn trong Bài 2, 3 và 4.

5. Có tài liệu bổ trợ nào kèm theo?

Giáo trình tích hợp sẵn phần phụ lục giải thích hệ thống Thuật ngữ chuyên môn (trang 65) và danh mục Tài liệu tham khảo chuyên ngành (trang 66) hỗ trợ người học tra cứu các định nghĩa kỹ thuật chuẩn xác.

---

Kết luận (150 từ)

• Giá trị cốt lõi của giáo trình: Giáo trình Xây dựng hệ thống Firewall (MĐ 24) cung cấp nền tảng kiến thức hoàn chỉnh về an toàn thông tin mạng, xác lập rõ các nguyên lý lọc gói, công nghệ máy chủ proxy, và phương pháp bảo vệ thiết bị trước các dạng tấn công phổ biến. Điểm cốt lõi của tài liệu nằm ở khả năng chuyển giao kỹ năng thực tế thông qua các bài thực hành chuyên sâu trên giải pháp Cisco IOS Firewall và Microsoft Forefront TMG 2010.
• Lộ trình học tập đề xuất: Tiếp cận tuần tự từ kiến thức tổng quan về Firewall (Bài 1) $\rightarrow$ Nâng cao an ninh cho thiết bị mạng (Bài 2) $\rightarrow$ Triển khai tường lửa định tuyến Cisco (Bài 3) $\rightarrow$ Quản trị cổng an ninh Forefront TMG (Bài 4).
• Tài nguyên bổ sung: Sinh viên và giảng viên nên kết hợp sử dụng bảng thuật ngữ chuyên môn ở trang 65, tài liệu tham khảo kỹ thuật ở trang 66, tài liệu hướng dẫn cài đặt Cisco SDM và thư viện kỹ thuật Microsoft Technet/Cisco Documentation liên quan.

Trích đoạn nội dung tài liệu

ỦY BAN NHÂN DÂN TỈNH AN GIANG TRƯỜNG CAO ĐẲNG NGHỀ AN GIANG GIÁO TRÌNH D H T NGHỀ QUẢN TRỊ MẠNG MÁY TÍNH T ì độ c o đẳ (Ban hành theo Quyết định số: /QĐ-CĐN ngày tháng năm 20 của Hiệu trưởng trường Cao đẳng nghề An Giang) Tên tác giả : Lê Thị Ngọc Trâm Năm ban hành: 2019 TUYÊN BỐ BẢN QUYỀN Tài liệu này thuộc loại sách giáo trình nên các nguồn thông tin có thể được phép dùng nguyên bản hoặc trích dùng cho các mục đích về đào tạo và tham khảo. Mọi mục đích khác mang tính lệch lạc hoặc sử dụng với mục đích kinh doanh thiếu lành mạnh sẽ bị nghiêm cấm. LỜI GIỚI THIỆU An toàn thông tin là nhu cầu rất quan trọng đối với các cá nhân cũng như xã hội và các quốc gia trên thế giới. Mạng máy tính an toàn thông tin được tiến hành thông qua các phương pháp vật lý và hành chính.

Từ khi ra đời cho đến nay mạng máy tính đã đem lại hiệu quả vô cùng to lớn trong tất cả các lĩnh vực của đời sống. Bên cạnh đó người sử dụng phải đối mặt với các hiềm họa do thông tin trên mạng của họ bị tấn công. An toàn thông tin trên mạng máy tính bao gồm các phương pháp nhằm bảo vệ thông tin được lưu giữ và truyền trên mạng. An toàn thông tin trên mạng máy tính là một lĩnh vực đang được quan tâm đặc biệt đồng thời cũng là một công việc hết sức khó khăn và tphức tạp.

Thực tế đã chứng tỏ rằng có một tình trạng rất đáng lo ngại khi bị tấn công thông tin trong quá trình xử lý, truyền và lưu giữ thông tin. Những tác động bất hợp pháp lên thông tin với mục đích làm tổn thất, sai lệch, lấy cắp các tệp lưu giữ tin, sao chép các thông tin mật, giả mạo người được phép sử dụng thông tin trong các mạng máy tính. Tường lửa (Firewall) không chỉ là một dạng phần mềm (như tường lửa trên Windows) mà nó còn có thể là phần cứng chuyên dụng trong các mạng doanh nghiệp. Các tường lửa là phần cứng này giúp máy tính của các công ty có thể phân tích dữ liệu ra để đảm bảo rằng malware không thể thâm nhập vào mạng, kiểm soát hoạt động trên máy tính mà nhân viên của họ đang sử dụng.

Nó cũng có thể lọc dữ liệu để chỉ cho phép một máy tính chỉ có thể lướt web, vô hiệu hóa việc truy cập vào các loại dữ liệu khác. Nội dung cuốn sách được dùng để giảng dạy bậc cao đẳng và trung cấp chuyên ngành công nghệ thông tin. Giúp cho sinh viên có kiến thức cơ bản nhất về tường lửa (Firewall). Tài liệu gồm các nội dung chính sau: - Bài 1: Giới thiệu Firewall - Bài 2: Tăng cường bảo mật cho thiết bị - Bài 3: Triển khai hệ thống Firewall - Bài 4: Giới thiệu về Forefront Threat Managerment Gateway (TMG) Do thời gian còn hạn chế, tài liệu chắc chắn không thể tránh khỏi những thiếu sót.

Rất mong nhận được các ý kiến đóng góp và xây dựng của bạn đọc. Xin chân thành cảm ơn! An Giang, ngày tháng năm 2019 Tham gia biên soạn 1. Chủ biên: Lê Thị Ngọc Trâm 2. Phản biện: Phương Phương Thúy 1 MỤC LỤC ĐỀ MỤC TRANG Lời giới thiệu.

2 BÀI 1: GIỚI THIỆU FIREWALL. Mô hình triển khai. Các thành phần cơ bản của Firewall. Nguyên lý hoạt động của Firewall .9 BÀI 2: TĂNG CƯỜNG BẢO MẬT CHO THIẾT BỊ.

Các loại tấn công vào hệ thống mạng. Cấu hình bảo mật. 17 BÀI 3: TRIỂN KHAI HỆ THỐNG FIREWALL. Giới thiệu Cisco IOS Firewall.

Cấu hình Cisco IOS Firewall. 24 BÀI 4: GIỚI THIỆU VỀ FOREFRONT THREAT MANAGERMENT GATEWAY (TMG). Tìm Hiểu Forefrent TMG. Triển khai cài đặt TMG.

36 Thuật ngữ chuyên môn. 65 Tài liệu tham khảo. 66 2 GIÁO TRÌNH MÔN HỌC/MÔ ĐUN Tên mô đun: XÂY DỰNG HỆ THỐNG FIREWALL Mã mô đun: MĐ 24 Vị trí, tính chất, ý nghĩa và vai trò của môn học/mô đun: - Vị trí: Mô đun được bố trí sau khi sinh viên học xong môn học, mô đun Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, Cấu hình và quản trị thiết bị mạng. - Tính chất: Là môn học chuyên ngành bắt buộc.

- Ý nghĩa và vai trò của môn học/mô đun: Mục tiêu của môn học/mô đun: - Về Kiến thức: + Nhận biết được các thành phần cơ bản Firewall, mô hình triển khai thực tế. + Trình bày các loại tấn công vào hệ thống mạng. + Trình bày được vai trò các kỹ thuật packet filtering. + Trình bày được vai trò và ứng dụng của proxy.

+ Trình bày được tầm quan trọng của TMG trong việc bảo vệ hệ thống mạng + Hiểu được các tính năng trên TMG + Hiểu được khái quát các khả năng và nét đặc trưng của TMG - Về kỹ năng: + Cài đặt và cấu hình được các chính sách mặc định của Firewall, thực hiện chính xác thao tác sao lưu cấu hình mặc định của Firewall; + Thực hiện được thao tác xuất, nhập các chính sách của Firewall ra thành file; + Cài đặt và cấu hình được ISA Server trên windows Server. + Cài đặt được TMG trên Windows Server theo đúng qui định + Thiết lập được các rule để bảo mật cho hệ thống + Thiết lập Web Client Protection để bảo vệ các mối đe dọa duyệt Web + Thiết lập E-mail Protection để bảo vệ người dùng khỏi các mối đe dọa từ e-mail + Thiết lập Network Intrusion System để bảo vệ máy tính và các máy chủ khỏi các nổ lực xâm nhập - Về năng lực tự chủ và trách nhiệm: Bố trí làm việc khoa học đảm bảo an toàn cho người và phương tiện học tập. Nội dung của môn học/mô đun: được thể hiện qua các bài sau: - Bài 1: Giới thiệu Firewall - Bài 2: Tăng cường bảo mật cho thiết bị - Bài 3: Triển khai hệ thống Firewall - Bài 4: Giới thiệu về Forefront Threat Managerment Gateway (TMG) 3 BÀI 1: GIỚI THIỆU FIREWALL -------------- Giới thiệu Qua bài này trình bày được giới thiệu Firewall, các mô hình triển khai và nguyên lý hoạt động của Firewall. Mục tiêu: - Nhận biết được các thành phần cơ bản của Firewall, mô hình triển khai thực tế - Trình bày được vai trò và các kỹ thuật packet filtering - Trình bày được vai trò và ứng dụng của proxy - Thực hiện các thao tác an toàn với máy tính.

Nội dung chính: I. MÔ HÌNH TRIỂN KHAI 1. Mô hình Bastion Host: Bastion Host Firewall là một trạm được cấu hình để chặn đứng mọi cuộc tấn công từ phía bên ngoài vào. Đây là điểm giao tiếp trực tiếp với mạng không tin cậy bên ngoài, do đó dễ bị tấn công nhất.

Có hai dạng của máy phòng thủ: Máy phòng thủ có hai card mạng, một nối với hệ thống bên trong (mạng nội bộ) và card còn lại nối với bên ngoài mạng Internet. Đây là dạng tường lửa có từ rất sớm, nó yêu cầu người sử dụng bên trong phải kết nối với tường lửa trước khi làm việc với mạng bên ngoài. Với giải pháp này tường lửa đã cô lập được mạng bên trong với mạng bên ngoài bằng những máy phòng thủ (host) nhưng nó cũng tạo ra một sự thiếu tự nhiên trong việc kết nối giữa người sử dụng bên trong với mạng bên ngoài. Dạng thứ hai của cơ cấu phòng thủ này là máy phòng thủ có một card mạng được nối trực tiếp đến một hệ riêng biệt trên mạng – gateway mức ứng dụng.

Gateway này cung cấp điều khiển vào ra. Bộ định tuyến (rounter) có nhiều chức năng trong cấu hình này. Nó không chỉ định hướng các gói đến hệ nội bộ, mà còn cho phép các hệ thống nội mở kết nối với Internet hoặc không cho phép kết nối. Kiến trúc screening subnet còn bổ sung thêm tầng an toàn để tách mạng nội bộ với Internet.

Lý do để làm việc này là tránh cho mạng nội bộ khỏi bị tấn công nếu như bastion host bị đánh sập. Mô hình Back-End Firewall: Back-End Firewall có một NIC nối với external interface và NIC còn lại nối với mạng internal interface. Back-end firewall này có nhiệm vụ kiểm soát traffic từ external và Internet tới mạng internal. Mô hình 3-leg (Three-homed) Cần tới một thiết bị có ba NIC (network interface card).

Trong đó, một NIC nối với mạng external, NIC thứ hai nối với mạng DMZ, và NIC còn lại nối với mạng internal. Đó là lý do tại sao người ta gọi nó là “3-legged firewall” (mỗi “chân” của firewall chính là một NIC của nó). Lúc này “3- legged firewall” phải có khả năng kiểm soát toàn bộ traffic vào/ra giữa ba mạng (internal, external và DMZ) và nó trở thành điểm chịu lỗi duy nhất (single point of failure) cho toàn hệ thống mạng. Nếu có sự cố xảy ra với “3- legged firewall” này thì cả DMZ và mạng internal đều không còn được bảo vệ nhưng bù lại không phải tốn chi phí đầu tư thêm một firwewall nữa.

CÁC THÀNH PHẦN CƠ BẢN CỦA FIREWALL 1. Packet Filter: - Là chức năng chính của Firewall, điều khiển truy cập mạng bằng phân tích các gói tin đi vào/ đi ra. - Thành phần quan trọng trong bảo mật ở mạng vành đai (Perimeter Security) - Ưu điểm: Không làm tốn băng thông - Packets bao gồm 2 loại nội dung chính: Thông tin điều khiển (Header), dữ liệu (Data). - Nội dung Header trong Packet được dùng để cho phép hoặc cấm packet đó khi đi qua firewall trên 5 cơ sở Port, IP address và Protocol.

Các thiết bị hỗ trợ Packet Filtering - Router: Packet Filter ngăn chặn các traffic xâm nhập trái phép. - Hệ điều hành: Windows và Linux xây dựng sẵn công cụ thực thi Packet Filtering trên chồng giao thức TCP/IP. Ví dụ: ZoneAlarm, Check Point Firewall – 1 đều hỗ trợ packet filtering. Các loại Packet Filtering - Stateless (static) packet filtering + Xem nội dung trong header của packet và quyết định cho phép hoặc loại bỏ packet đó.

+ Cấm traffic từ một subnet. - Stateful Packet Filtering (Stateful Inspection): duy trì trạng thái của kết nối trong khi thực thi tất cả chức năng của Stateful Packet Filtering. - Không quan tâm đến kết nối đã được thiết lập hay không. - Kỹ thuật này thường dùng khi muốn ngăn cấm hoàn toàn một traffic xác định.

- Cấu hình Stateful Packet Filtering dựa trên: + Thông tin IP header + TCP/UDP Port number + ICMP message type + Fragmentation flags (ACK, SYN) - Duy trì bảng trạng thái của các kết nối hiện tại. - Kiểm tra tính hợp lệ của gói tin trên cơ sở bảng trạng thái và các luật. - Cho phép các Packets trên cơ sở các Packets mới trước đây đã được chấp nhận.