Báo cáo thực tập tốt nghiệp đại học về tường lửa pfSense

Báo cáo nghiên cứu thực tập tốt nghiệp đại học đề tài nghiên cứu về tường lửa pfsense, thống kê phân tích số liệu, đánh giá xu hướng phát triển trong lĩnh vực hiện nay.

• Tác giả: Vũ Hoàng
• Người hướng dẫn: ThS. Huỳnh Thanh Tâm
• Trường học: Học Viện Công Nghệ Bưu Chính Viễn Thông cơ sở tại TP.HCM
• Chuyên ngành: An toàn thông tin
• Đề tài: Nghiên cứu tường lửa pfSense
• Loại tài liệu: báo cáo thực tập tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: TP.HCM

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG I: GIỚI THIỆU VỀ TƯỜNG LỬA PFSENSE
• 1.1. Tổng quan về tường lửa
• 1.2. Tường lửa PfSense
• 2. CHƯƠNG II: TÌM HIỂU CÁC CHỨC NĂNG CỦA TƯỜNG LỬA PFSENSE
• 2.1. Các chức năng và dịch vụ cơ bản của firewall pfSense
• 2.2. Một số chức năng và dịch vụ khác
• 3. CHƯƠNG III: TÌM HIỂU VÀ XÂY DỰNG MÔ HÌNH TRIỂN KHAI PFSENSE
• 4. CHƯƠNG IV: ĐÁNH GIÁ VÀ KẾT LUẬN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về tường lửa pfSense

Tường lửa pfSense là một giải pháp mã nguồn mở dựa trên hệ điều hành FreeBSD, được thiết kế để bảo vệ hệ thống mạng khỏi các mối đe dọa từ bên ngoài. Tường lửa này không chỉ đơn thuần là một phần mềm mà còn có thể hoạt động như một thiết bị định tuyến. Với khả năng quản lý mạnh mẽ và giao diện thân thiện, pfSense đã trở thành lựa chọn phổ biến cho các doanh nghiệp vừa và nhỏ. Giải pháp tường lửa này cho phép người dùng dễ dàng cấu hình và triển khai, từ đó nâng cao khả năng bảo mật cho hệ thống mạng. Theo một nghiên cứu, pfSense có thể xử lý hàng triệu kết nối đồng thời, điều này cho thấy tính hiệu quả và độ tin cậy của nó trong môi trường doanh nghiệp. Việc sử dụng pfSense không chỉ giúp bảo vệ thông tin mà còn tối ưu hóa hiệu suất mạng, nhờ vào các tính năng như NAT, VPN và QoS.

1.1 Tác dụng của tường lửa

Tường lửa đóng vai trò quan trọng trong việc bảo vệ hệ thống mạng. Nó giúp ngăn chặn các truy cập không mong muốn từ bên ngoài, đồng thời theo dõi và phân tích lưu lượng mạng. Bảo mật thông tin là một trong những ưu tiên hàng đầu của các tổ chức hiện nay. Tường lửa pfSense có khả năng lọc lưu lượng dựa trên các chính sách đã được thiết lập, giúp ngăn chặn các mối đe dọa từ virus và hacker. Việc thiết lập các quy tắc truy cập (ACL) cho phép quản trị viên kiểm soát chặt chẽ các luồng dữ liệu, từ đó bảo vệ thông tin nhạy cảm trong mạng nội bộ. Theo một báo cáo, việc sử dụng tường lửa có thể giảm thiểu đáng kể nguy cơ bị tấn công mạng.

II. Tìm hiểu các chức năng của tường lửa pfSense

pfSense cung cấp nhiều chức năng và dịch vụ cơ bản, bao gồm NAT, VPN, và quản lý băng thông. NAT (Network Address Translation) cho phép người dùng cấu hình các thiết lập chuyển tiếp cổng cho các dịch vụ, giúp kết nối các máy trong mạng nội bộ với Internet. Chức năng này rất quan trọng trong việc bảo mật thông tin, vì nó ẩn địa chỉ IP thực của các máy trong mạng. VPN (Virtual Private Network) cho phép người dùng thiết lập kết nối an toàn giữa các mạng khác nhau, bảo vệ thông tin khi truyền tải qua Internet. pfSense hỗ trợ nhiều giao thức VPN như OpenVPN và IPSec, giúp người dùng dễ dàng thiết lập và quản lý kết nối an toàn. Ngoài ra, pfSense còn cung cấp các tính năng quản lý băng thông, giúp tối ưu hóa hiệu suất mạng và đảm bảo rằng tất cả người dùng đều có quyền truy cập công bằng.

2.1 Các chức năng và dịch vụ cơ bản

Các chức năng cơ bản của pfSense bao gồm Aliases, Rules, và Traffic Shaping. Aliases cho phép người dùng nhóm các địa chỉ IP hoặc cổng lại với nhau, giúp việc quản lý quy tắc trở nên dễ dàng hơn. Rules là nơi lưu trữ các quy tắc của tường lửa, cho phép quản trị viên kiểm soát lưu lượng ra vào hệ thống. Traffic Shaping giúp quản lý băng thông, đảm bảo rằng không có người dùng nào có thể chiếm dụng toàn bộ băng thông của hệ thống. Điều này rất quan trọng trong môi trường doanh nghiệp, nơi mà nhiều người dùng cùng chia sẻ một kết nối Internet.

III. Tìm hiểu và xây dựng mô hình triển khai pfSense

Việc triển khai pfSense trong môi trường thực tế đòi hỏi người dùng phải nắm vững các bước cài đặt và cấu hình. Cấu hình pfSense có thể được thực hiện thông qua giao diện web, giúp người dùng dễ dàng thiết lập các thông số cần thiết. Quá trình này bao gồm việc cài đặt máy ảo, cấu hình các interface, và thực nghiệm với các kịch bản khác nhau. Việc xây dựng mô hình triển khai không chỉ giúp người dùng hiểu rõ hơn về cách thức hoạt động của pfSense mà còn giúp họ áp dụng kiến thức vào thực tế. Theo một nghiên cứu, việc thực hành với pfSense có thể giúp người dùng nâng cao kỹ năng quản lý mạng và bảo mật thông tin.

3.1 Cài đặt và cấu hình pfSense

Cài đặt pfSense có thể được thực hiện trên nhiều nền tảng khác nhau, từ máy tính cá nhân đến máy chủ chuyên dụng. Cấu hình interface là bước quan trọng trong quá trình thiết lập, giúp người dùng xác định cách thức mà pfSense sẽ tương tác với các mạng khác. Sau khi cài đặt, người dùng cần thực hiện các bước cấu hình NAT, VPN, và các quy tắc truy cập để đảm bảo rằng hệ thống hoạt động hiệu quả và an toàn. Việc thực hành với các kịch bản cấu hình sẽ giúp người dùng nắm vững các khái niệm và kỹ thuật cần thiết để quản lý hệ thống mạng một cách hiệu quả.

IV. Đánh giá và kết luận

Nghiên cứu về tường lửa pfSense cho thấy đây là một giải pháp hiệu quả cho việc bảo mật thông tin trong môi trường doanh nghiệp. Báo cáo thực tập đã chỉ ra rằng pfSense không chỉ cung cấp các chức năng bảo mật cơ bản mà còn có khả năng mở rộng và tùy chỉnh cao. Việc sử dụng pfSense giúp các tổ chức tiết kiệm chi phí mà vẫn đảm bảo an toàn cho hệ thống mạng. Đánh giá từ người dùng cho thấy pfSense là một trong những tường lửa mã nguồn mở tốt nhất hiện nay, với khả năng đáp ứng nhu cầu bảo mật ngày càng cao của các doanh nghiệp. Từ những kết quả đạt được, có thể khẳng định rằng việc nghiên cứu và áp dụng pfSense là cần thiết trong bối cảnh hiện nay.

4.1 Giá trị và ứng dụng thực tiễn

Giá trị của nghiên cứu này không chỉ nằm ở việc tìm hiểu về pfSense mà còn ở khả năng áp dụng vào thực tế. Ứng dụng pfSense trong các doanh nghiệp giúp nâng cao khả năng bảo mật và quản lý mạng, đồng thời giảm thiểu rủi ro từ các mối đe dọa bên ngoài. Việc triển khai pfSense có thể được thực hiện dễ dàng và nhanh chóng, giúp các tổ chức nhanh chóng thích nghi với các thay đổi trong môi trường công nghệ. Từ đó, pfSense không chỉ là một công cụ bảo mật mà còn là một phần quan trọng trong chiến lược quản lý hệ thống thông tin của các doanh nghiệp.

Trích đoạn nội dung tài liệu

Chương I: Giới thiệu về tường lửa - Do tính linh hoạt khi nâng cấp máy chủ, hoàn toàn miễn phí, dễ sử dụng quản trị của Firewall pfSense là một trong những điểm mạnh nhất, khi nó cho phép người dùng cài đặt thêm các gói tiện ích mở rộng từ bên thứ 3 cung cấp dịch vụ. Một số ưu điểm của PfSense - Miễn phí, đó chính là ưu thế vượt trội của tường lửa pfSense. Những thiết bị Firewall chuyên dụng đến từ các hãng chuyên nghiệp như Cisco, Juniper, Fortigate, Check Point… đều là những thiết bị mạnh mẽ, nhưng lại có chi phí cao. Do vậy nếu muốn tối ưu về chi phí sử dụng, người dùng nên cân nhắc giải pháp pfSense.

- PfSense hoạt động ổn định với hiệu năng cao và đã được tối ưu hóa mã nguồn và cả hệ điều hành. Cũng chính vì thê, pfSense không cần nền tảng phần cứng mạnh. - Nếu doanh nghiệp không có đường truyền tốc độ cao, tường lửa pfSense chỉ cần cài đặt lên một máy tính cá nhân là có thể bắt đầu hoạt động. Điều đó góp phần làm giảm chi phí triển khai, đồng thời tạo nên sự linh hoạt khi doanh nghiệp muốn có nhiều hơn một tường lửa.

- Có thể cấu hình pfSense một cách dễ dàng, thông qua giao diện web Hình 2- 3. Giao diện web của PfSense VŨ HOÀNG - 1 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa CHƯƠNG II: TÌM HIỂU CÁC CHỨC NĂNG CỦA TƯỜNG LỬA PFSENSE 1. Các chức năng và dịch vụ cơ bản của firewall pfSense 1. Aliases (Bí danh) - Với tính năng này chúng ta có thể gom nhóm các ports, host hoặc Network(s) khác nhau và đặt cho chúng một cái tên chung để thiết lập những quy tắc được dễ dàng và nhanh chóng hơn.

Aliases pfSense - Các thành phần trong Aliases: o Host: tạo nhóm các địa chỉ IP. o Network: tạo nhóm các mạng. o Port: Cho phép gom nhóm các port nhưng không cho phép tạo nhóm các protocol. Các protocol được sử dụng trong các rule.

Edit Aliases VŨ HOÀNG - 1 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa 1. Rules ( Luật) - Là nơi lưu các luật của tường lửa. - Mặc định pfSense cho phép mọi lưu thông ra/vào hệ thống. Chúng ta phải tạo các rules để quản lý mạng bên trong firewall.

Rules pfSense - Một số lựa chọn trong Destination và Source. o Any: Tất cả o Single host or alias: Một địa chỉ ip hoặc là một bí danh. o Lan subnet: Đường mạng Lan. o Network: địa chỉ mạng.

o Lan address: Tất cả địa chỉ mạng nội bộ. o Wan address: Tất cả địa chỉ mạng bên ngoài. o PPTP clients: Các clients thực hiện kết nối VPN sử dụng giao thức PPT. o PPPoE clients: Các clients thực hiện kết nối VPN sử dụng giao thức PPPoE.

VŨ HOÀNG - 1 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa 1. NAT (Biên dịch địa chỉ mạng) - Trong Firewall cũng có thể cấu hình các thiết lập NAT nếu cần sử dụng cổng chuyển tiếp cho các dịch vụ hoặc cấu hình NAT tĩnh (1:1) cho các host cụ thể. NAT Port Forward pfSense Hình 3- 5. NAT 1:1 pfSense - Thiết lập mặc định của NAT cho các kết nối outbound là Automatic outbound NAT…, tuy nhiên ta có thể thay đổi kiểu Manual outbound NAT nếu cần.

NAT Outbound pfSense 1. Routing (Định tuyến) VŨ HOÀNG - 2 - Một trong những tính năng chính của một Firewall ngoài việc lọc và thực hiện NAT là định tuyến được lưu thông trong mạng. Chức năng này bao gồm : o Gateways o Static routes o Gateway groups - Thông thường mỗi interface trên pfSense sẽ đại diện cho một miền riêng với một subnet IP duy nhất, giống như một vùng riêng biệt. Trong một số trường hợp cần kết hợp nhiều interfaces thành một miền mới, lúc đó chức năng này sẽ kết hợp hai cổng trên tường lửa sẽ hoạt động giống như nó đang trên cùng một miền, ngoại trừ lưu lượng giữa các interface được kiểm soát bởi các quy luật (rule) đã được cấu hình.

Virtual Ips ( IP ảo) - Pfsense cho phép sử dụng nhiều địa chỉ IP công cộng kết hợp với cơ chế NAT thông qua IP ảo. Có ba loại IP ảo có sẵn trên pfSense: Proxy ARP, CARP và một loại khác. Mỗi loại đều rất hữu ích trong các tình huống khác nhau. Trong hầu hết các trường hợp, pfSense sẽ cung cấp ARP trên IPs, do đó cần phải sử dụng Proxy ARP hoặc CARP.

Trong tình huống mà ARP không cần thiết, chẳng hạn như khi các IP công cộng bổ sung được định tuyến bởi nhà cung cấp dịch vụ mạng, sẽ sử dụng IP ảo loại khác. VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa Hình 3- 8. Virtual IPs pfSense - Virtual IP được sử dụng để cho phép pfSense đúng cách chuyển tiếp lưu lượng cho những việc như chuyển tiếp cổng NAT, NAT Outbound và NAT 1:1. Họ cũng cho phép các tính năng như failover, và có thể cho phép dịch vụ trên router để gắn kết với địa chỉ IP khác nhau.

Schedules ( Lịch trình) - Các rule của firewall có thể được chỉ định hoạt động vào nhưng thời điểm nhất định trong ngày hoặc các ngày trong tuần. Đây là một chức năng rất hay và thường được các doanh nghiệp sử dụng để quản lý nhân viên sử dụng internet theo quy định. Firewall Schedules VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa - Người dùng có thể tùy chỉnh linh hoạt từng ngày trong tháng, từng khoảng thời gian trong ngày. Traffic Sharper ( Quản lý băng thông) - Phần lớn trong các hệ thống mạng, các user phải dùng chung một kết nối internet.

Khi một user sử dụng hết băng thông của hệ thống thì những user khác sẽ bị ảnh hưởng, không thể truy cập internet hoặc rất chậm. Cách giải quyết vấn đề này đó là triển khai dịch vụ traffic shapping (QoS) cho hệ thống. Traffic Sharper pfSense VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa - Các tùy chọn cấu hình: o Traffic sharper: tùy chỉnh schedule, băng thông upload/download của interface. o Voice Over Ip (VOIP): sử dụng cho điện thoại VoIP.

o Penalty Box: giám sát những host bị phạt khi dùng quá giới hạn băng thông. o Peer to Peer (P2P) networking: dành cho các kết nối peer to peer. o Network Games: cung cấp các quyền ưu tiên cho các hoạt động chơi game. o Raise or lower other application: tối ưu traffic cho các ứng dụng khác.

Một số chức năng và dịch vụ khác 2. VPN - VPN (Virtual Private Network) - mạng riêng ảo là một công nghệ cho phép người dùng thiết lập mạng riêng ảo với một mạng khác trên Internet. VPN được sử dụng để truy cập các trang web bị hạn chế, bảo vệ hoạt động duyệt web của người dùng. VPN - PfSense đã cung cấp Open VPN, IPSec, L2TP có sẵn sau khi cài đặt để người dùng có thể nhanh chóng sử dụng.

VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa Hình 4- 2. Available VPN Service 2. Open VPN - OpenVPN là một VPN mã nguồn mở sử dụng sử dụng giao thức SSLv3/TLSv1 và OpenSSL để tạo ra các kết nối site-to-site an toàn. Nó cho phép các bên xác thực lẫn nhau bằng khóa bí mật chia sẻ trước (pre-shared secret key) và chứng thư khoá công khai (public key certificate) hoặc tên người dùng/mật khẩu.

OpenVPN pfSense - Mã hóa OpenVPN bao gồm một kênh dữ liệu và một kênh điều khiển. Kênh điều khiển để xử lý việc trao đổi key, trong khi kênh dữ liệu mã hóa lưu lượng truy cập web của người dùng VPN. VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa Hình 4- 4. OpenVPN pfSense – Cryptographic Setting 1 Hình 4- 5.

OpenVPN pfSense – Cryptographic Setting 2 2. IPSec (Giao thức bảo mật internet) - IPSec (Internet Protocal Sercurity) là một giao thức mạng để bảo mật quá trình truyền tin và thường được liên kết với VPN. IPSec đề ra một tập các chuẩn được phát triển bởi Internet Engineering Tast Force (IETF). VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa Hình 4- 6.

IPSec pfSense - Tunnel - IPSec cho phép việc truyền tải dữ liệu được mã hóa an toàn ở lớp mạng (Network Layer) theo mô hình OSI thông qua các router mạng công cộng Internet được cung cấp phổ biến hiện nay như: ADSL router, FTTH router, … - IPSec được sử dụng như một chức năng xác thực được gọi là Authentication Hearder (AH). Nó được dùng trong việc chứng thực/mã hóa, kết hợp chức năng authentication và integrity gọi là Encapsulating Security Payload (ESP), đảm bảo tính nguyên vẹn của dữ liệu, chống quá trình replay trong các phiên bảo mật. Đây là một giao thức tunneling được thiết kế để hỗ trợ các kết nối VPN. - L2TP là một giao thức kết hợp có tất cả các tính năng của PPTP, nhưng chạy trên một giao thức truyền tải nhanh hơn là UDP.

L2TP sử dụng username, password, địa chỉ IP và khóa chia sẻ trước ( pre-shared key) để chứng thực kết nối. Nó dùng các port 500, 1701 và 4500 để trao đổi khóa UDP, thực hiện các cấu hình, và NAT. VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa Hình 4- 7. L2TP pfSense - Giao thức này thường được ghép nối với IPSec để đáp ứng payload dữ liệu.

Khi được ghép nối với IPSec, L2TP cũng đều có thể sử dụng các key mã hóa lên đến 256-bit và thuật toán 3DES. Package Manager ( Trình quản lý gói) - Ngoài những dịch vụ có sẵn sau khi cài đặt pfSense, người dùng còn có thể cài đặt thêm những dịch vụ khác được hỗ trợ trong phiên bản pfSense đang sử dụng ở mục Package Manager. - Những gói này có thể được cài đặt dễ dàng chỉ bằng việc tìm kiếm trên thanh Search và bấm Install. - Các gói thường được nhiều người sử dụng là Squid, Snort, SquidGuard, DarkStat, pfBlockerNG, ….

Package Manage VŨ HOÀNG - 2 Báo cáo TTTN Đại Chương II: Tìm hiểu các chức năng của tường lửa 2. Captive Portal ( Cổng cố định) - Là một trang Web trung gian, dùng để bảo vệ hệ thống mạng. Khi người dùng tham gia vào hệ thống mạng sẽ được yêu cầu nhập username và password hợp lệ hoặc một vài thông tin cá nhân hoặc đôi khi chỉ cần click nút “Kết nối internet”. Captive portal example - Captive portal sử dụng một trang trung gian để yêu cầu người dùng chứng thực, giúp nâng cao khả năng bảo mật.

Trang Web trung gian này có thể thiết kế đơn giản, với hướng dẫn và điều khoản sử dụng, ô Username và Password để đăng nhập.