Chương 1: Tổng quan về đề tài Chương 2: Cơ sở lí thuyt - Tổng quan về công nghệ firewall và giới thiệu pfsense - Cài đặt pfsense - Triển khai pfsense 1 0 0 Chương 3: Kt lun. 2 0 0 CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 2. Tổng quan về cộng nghệ Firewall 2. Định nghĩa Firewall Firewall là mt phần ca hệ thống hay mạng máy tnh đưc thit k để điều khiển truy nhp gia các mạng bằng cách ngăn chặn các truy cp không đưc phép trong khi cho phép các truyền thông hp lệ.
N cũng là mt hay mt nhóm các thit b đưc cu hnh để cho phép, ngăn cn, mã hóa, gii mã hay proxy lưu lưng trao đổi ca các máy tính gia các miền bo mt khác nhau dựa trên mt b các lut (rule) hay tiêu chun nào khác. Chức năng của Firewall Chc năng chnh ca firewall là kiểm soát lưu lưng gia hai hay nhiều mạng có mc đ tin cy khác nhau để từ đ thit lp cơ ch điều khiển luồng thông tin gia chúng. Cụ thể là: - Cho phép hoặc ngăn cn truy nhp vào ra gia các mạng. - Theo dõi luồng d liệu trao đổi gia các mạng.
- Kiểm soát ngưi sử dụng và việc truy nhp ca ngưi sử dụng. - Kiểm soát ni dung thông tin lưu chuyển trên mạng. Cấu trúc Firewall Không hoàn toàn giống nhau gia các sn phm đưc thit k bởi các hãng bo mt, tuy nhiên có nhng thành phần cơ bn sau trong cu trúc ca mt firewall nói chung (mà mt số trong đ sẽ đưc tìm hiểu r hơn trong phần 2.2 về các công nghệ firewall): - B lc gói (packet filtering) - Application gateways / Proxy server - Circuit level gateway - Các chính sách mạng (network policy) - Các cơ ch xác thực nâng cao (advanced authentication mechanisms) - Thống kê và phát hiện các hoạt đng bt thưng (logging and detection of suspicious activity) 3 0 0 2. Phân loại firewall Có r t nhiều tiêu chí có thể đưc sử dụng phân loại các sn phm firewall, ví dụ như cách chia ra thành firewall cng (thit b đưc thit k chuyên dụng hoạt đng trên hệ điều hành dành riêng cùng mt số xử lý trên các mạch điện tử tích hp) và firewall mềm (phần mềm firewall đưc cài đặt trên máy tnh thông thưng)…Nhưng c lẽ việc phân loại firewall thông qua công nghệ ca s n phm firewall đ đưc xem là phổ bin và chính xác hơn tt c.
Giới thiệu tường lửa Pfsense Để bo vệ cho hệ thống mạng bên trong thì chúng ta có nhiều gii pháp như sử dụng Router Cisco, dùng tưng lửa ca Microsoft như ISA…. Tuy nhiên nhng thành phần kể trên tương đối tốn kém. Vì vy đối với ngưi dùng không muốn tốn tiền nhưng lại muốn có mt tưng lửa bo vệ hệ thống mạng bên trong (mạng ni b) khi mà chúng ta giao tip vối hệ thống mạng bên ngoài (Internet) thì pfsense là mt gii pháp tit kiệm và hiệu qu tương đối tốt nht đối với ngưi dùng. PfSense là mt ng dụng có chc năng đnh tuyn vào tưng lửa mạnh và miễn phí, ng dụng này sẽ cho phép bạn mở rng mạng ca mình mà không b thỏa hiệp về sự bo mt.
Bẳt đầu vào năm 2004, khi monowall mới bắt đầu chp chng đây là mt dự án bo mt tp trung vào các hệ thống nhúng pfSense đã có hơn 1 triệu download và đưc sử dụng để bo vệ các mạng ở tt c kích cỡ, từ các mạng gia đình đn các mạng lớn ca ca các công ty. Ứng dụng này có mt cng đồng phát triển rt tích cực và nhiều tính năng đang đưc bổ sung trong mỗi phát hành nhằm ci thiện hơn na tính bo mt, sự ổn đnh và kh năng linh hoạt ca nó Pfsense bao gồm nhiều tnh năng mà bạn vẫn thy trên các thit b tưng lửa hoặc router thương mại, chẳng hạn như GUI trên nền Web tạo sự qun lý mt cách dễ dàng. Trong khi đ phần mềm miễn phí này còn có nhiều tính năng n tưng đối với firewall/router miễn ph, tuy nhiên cũng c mt số hạn ch. Pfsense hỗ tr lc bởi đa chỉ nguồn và đa chỉ đch, cổng nguồn hoặc cổng đch hay đa chỉ IP.
N cũng hỗ tr chnh sách đnh tuyn và có thể hoạt đng trong các ch đ bridge hoặc transparent, cho phép bạn chỉ cần đặt pfSense ở gia các thit b mạng mà không cần đòi hỏi việc cu hình bổ sung. PfSense cung cp network address translation 4 0 0 (NAT) và tính năng chuyển tip cổng, tuy nhiên ng dụng này vẫn còn mt số hạn ch với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. PfSense đư c dựa trên FreeBSD và giao thc Common Address Redundancy Protocol (CARP) ca FreeBSD, cung cp kh năng dự phòng bằng cách cho phép các qun tr viên nhóm hai hoặc nhiều tưng lửa vào mt nhóm t ự đng chuyển đổi dự phòng. Vì nó hỗ tr nhiều kt nối mạng diện r ng (WAN) nên có thể thực hiện việc cân bằng ti.
Tuy nhiên có mt hạn ch với nó ở chỗ chỉ có thể thực hiện cân bằng lưu lưng phân phối gia hai kt nối WAN và bạn không thể chỉ đnh đưc lưu lưng cho qua mt kt nối. Hình 1: Mô hnh tưng lửa Pfsense 2.3 Một số tính năng Pfsense 2. Pfsense Aliases Aliases c thể giúp bạn tit kiệm mt lưng lớn thi gian nu bạn sử dụng chúng mt cách chính xác. Mt Aliases ngắn cho phép bạn sử dụng cho mt host ,cổng hoặc mạng c thể đưc sử dụng khi tạo các rules trong pfSense .Sử dụng Aliases sẽ giúp bạn cho phép bạn lưu tr nhiều mục trong mt nơi duy nht c nghĩa là bạn không cần tạo ra nhiều rules cho nhm các máy hoặc cổng.
NAT 5 0 0 PfSense cung cp network address translation (NAT) và tnh năng chuyển tip cổng, tuy nhiên ng dụng này vẫn còn mt số hạn ch với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. Trong Firewall bạn cũng c thể cu hnh các thit lp NAT nu cần sử dụng cổng chuyển tip cho các dch vụ hoặc cu hnh NAT tĩnh (1:1) cho các host cụ thể. Thit lp mặc đnh ca NAT cho các kt nối outbound là automatic/dynamic, tuy nhiên bạn c thể thay đổi kiểu manual nu cần. Firewall Rules Nơi lưu các rules (Lut) ca Firewall.
Để vào Rules ca pfsense vào Firewall → Rules. Mặc đnh pfsense cho phép mi trafic ra/vào hệ thống .Bạn phi tạo ra các rules để qun lí mạng bên trong firewall. Firewall Schedules Các Firewall rules có thể đưc sắp xp để nó có chỉ hoạt đng vào các thi điểm nht đnh trong ngày hoặc vào nhng ngày nht đnh cụ thể hoặc các ngày trong tuần. Một số dịch vụ của Pfsense 2.
DHCP Server DHCP Server chỉnh cu hnh cho mạng TCP/IP bằng cách tự đng gán các đa chỉ IP cho khách hàng khi h vào mạng. Cài đặt Packages Ngưi dùng có nhu cầu cài đặt thêm các chc năng mở rng ca chương trnh cài đặt pfSense ,bạn có thể thêm các gói từ mt lựa chn các phần mềm. Gói có thể đưc cài đặt bằng cách sử dụng Package Manager, nằm tại menu System. Package Manager sẽ hiển th tt c các gói có sẵn bao gồm mt mô t ngắn gn về chc năng ca nó.
Cấu hình NTP Server cho Pfsense Dch vụ này giúp ngưi dùng đòng b thi gian mạng. NTP (Network Time Protocol) là để đồng b đồng hồ các hệ thống máy tnh thông qua mạng d liệu chuyển mạch gi với đ trễ bin đổi. Dch vụ này đưc thit k để tránh nh hưởng ca đ trễ bin đổi bằng cách sử dụng b đệm jitter. Cài đặt Failover và Load Balancing cho Pfsense Chc năng này sử dụng nền tng Pfsense để cân bằng ti cho traffic từ mạng LAN ra nhiều nhành WAN.
High Availability Sync và CARP High Availability c nghĩa là “Đ sẵn sàng cao“, nhng máy ch, thit b loại này luôn luôn sẵn sàng phục vụ, ngưi sử dụng không cm thy n b trục trặc, hỏng hc gây gián đoạn. Để đm bo đưc điều đ, tối thiểu c mt cặp máy, thit b chạy song song, liên tục liên lạc với nhau, cái chnh hỏng, cái phụ sẽ lp tc bit và tự đng thay th. Thông thưng các nhm máy ch đưc gi là "CARP cluster" nhưng CARP chỉ là mt phần. High Availability đạt đưc bằng cách sử dụng sự kt hp ca nhiều kỹ thut c liên quan, bao gồm c CARP, trạng thái đồng b (pfsync), và cu hnh đồng b (XMLRPC Sync).
Common Address Redundancy Protocol (CARP): đưc sử dụng bởi các node để chia sẻ 1 IP o (virtual IP) gia nhiều nút với nhau sao cho khi 1 node fail th IP o đ vẫn hoạt đng bởi các node khác. CARP đưc bắt nguồn từ OpenBSD như 1 thay th mã nguồn mở cho giao thc route o VRRP (The Virtual Router Redundancy Protocol) CARP sử dụng multicast v vy cần chú ý tới các switch trên hệ thống c hạn ch hoặc block, filter đa chỉ multicast hay không.5 Cài đặt Pfsense 7 0 0 Hình 2: Màn hình welcome to pfsense Hình 3: Hệ thống hỏi có muốn tạo VLANs không, chn “N” 8 0 0 Hình 4: Chn card mạng WAN th nht, chn card “ em1” Hình 5: Chn card cho mạng LAN bên trong “em0” 9 0 0 Hình 6: Chn card mạng cho WAN2 “em2” Hình 7: Sau khi gán xong, chn “y” 10 0 0 Hình 8: Cài đặt các Interface (card mạng). Chn mục 2 Hình 9: Cài đặt IP cho mạng LAN, chn “2” 11 0 0 Hình 10: Chn đa chỉ Ipv4 “10.10” Hình 11: Chn “24” là Subnetmask 12 0 0 Hình 12: Hệ thống hỏi mình có nên kích hoạt chc năng DHCP không ? Chn “y” là đồng ý Pfsese là DHCP Server Hình 13: Gán Range Ipv4 cần cp cho mạng LAN “10.100” và kt thúc là “ 10.200” 13 0 0 Hình 14: Hệ thống hỏi có cu hình Pfsense làm Webserver không, chn “n” không đồng ý. Nu đồng ý thì chc năng tái hiện trong cách cài đặt Virtual Server Hình 15: Cài đặt hoàn tt 14 0 0 2.
Triển khai Pfsense 2. Tính năng của Pfsense 2. Pfsense Aliases Để tạo mt Aliases chúng ta vào Firewall -> Aliases Hình 16: Giao diện Aliases 2. NAT Để tạo mt NAT chúng ta vào Firewall ->NAT Hình 17: Giao diện NAT 15 0 0 2.3 Firewall Rules Để tạo mt Rules chúng ta vào Firewall -> Rules Hình 18: Giao diện Rules Để add các rules mới ta nhn vào biểu tưng Add, rồi chúng ta thit lp tnh năng cho nó.
Hình 19: Giao diện Edit Rules 2.