Tìm hiểu về Firewall cứng
Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (548.06 KB, 52 trang )
LỜI NÓI ĐẦU
!"#$%&'()*+,-."
/&0)123%4* 56789:;<&2
3=>,?@5A5B8C)D()..$%
E5B$2$D&$D78F.$%:"'.
2$8.,GA5H)7I.&A@
J)5. @@:@&4 &*&!,KABAL
)M3 .5H36,K( F @ 65
@4I&$D3)N&*4.6:,K
6O P:B&QRQ*&A,
?3.C)D(.)ESC
+5)$% /5"T&U::.C"4V
&8C@"3#,K( F @ 6 #&W)3
C$%)638A 26XA3
5H)3'N4 :BA(.
$&B#$%AB5/T8:.:Y3&M
%E:"366::TW:J:
6 :IM&$D !:.:>:3L&"
".&$D&:B.54.Z
I&(&A.%@:A&QFB56+
" /".@ C58 /(&Q#&$D# 6
K..'N4&$D76".@[4I6
\]))A/(4I.^,
G/658 /".@(
6$%&$D[4I&B".@3/7.?K_`_.
(3 IB&N .6a]))76".@:
8!6,
b
KE'N"+H".$4V@F?*Cao
Văn Lợi &QY:Y6&M,
F%c: !&/*FB7)$D )6
*&#!)5883UUL"&M5
5RC8A!.@&$DH".A:1UUd:(*
,
?N#"+,
e
LỜI MỞ ĐẦU
I&(@:58+" /".@3/
7.?K_`_ &N385866".@\]))"
&M&$DYf:* C74$g
Chương I: Tổng quan về Firewall
?F56\])) :*).a]))
Chương II : Chức năng ,nhiệm vụ của Firewall phần cứng
?FBT 6 Ia]))
Chương III : Cấu trúc & nguyên tắc hoạt động cửa Firewall cứng
?FB!Y +8.&7[a])) 78
a]))
Chương IV : Mô hình và ứng dụng cảu Firewall
?FbF 4I[a]))
Chuương V : Tường lửa CISCO PIX FIREWALL
?FB /KhKi_jaklPmOO 67aK
&W N)6
n
CHƯƠNG I : TỔNG QUAN VỀ FIREWALL
1.Firewall là gì?
?@Ca]))AMd75o@858.'N4&B
TW8R.,?.6a])))75o@
&$D(D: .6&B@::>:L". 6
M77 8'NN:5. .6,
p7a]))AB&$D&0q)7@:D::*&$D&W
C A&W&B&Ng
r?!")$)$Dd.. $D)&/:"&a])),
rKH)$)$D&$D.:>:$&$D!&02(".@
I7&$D:>:&,
rK(a]))50"$22N@:
2.Nguyên lý hoạt động của Firewall
a])).&7W .?K_`_ F.) 6
.@AR4C)6@&$Dd4I3A
('+)40 I3.s?)hp?_tXhhpX_
XahZuA4C)6s4:5uM.:5C&0H
AB@4)@:)2&(*[&84.&A).a]))E)3
!/&8:5 C.&0HY,
v7)#:5.:>:dw:5A@&$D,XA5B
.7&.4C)6&B8&0'&.4C)6&AARQ7.
)@)6)#:55,K)@)6)#:5)432
&*w:5s4u4&B.:>:/:5&A23,v.
Mg
xG0H_+'!:sh.u
xG0H_+@st.u
y
xXCI/s?K_zt_Kp__)Zu
xK?K_`zt_+'!:
xK?K_`zt_+@
xt.Kp_
x{.46:5&8
x{.46:5&
3.Chức năng của Firewall
KT(a])))5B.)MdC
,?8)@:+8&/5B4JC3.su
,
• K.:>:.W!C40 I@:.,
• K.:>:.W!C40 Id.@: ..,
• ?.4=)M4C)6C
• -B.&0H@:!&0H@:
• -B.$%[4I 6@:$%[4I,
• -B.74)$B3,
4.Phân loại Firewall
a])))e).g
*Firewall cứng
a])))).a]))&$D(D:8:)3:*
|-&$D).$\]))/ F*$\]))&/$.
'$(D:!".7s (4Ig5B3UT
}
.CT&Q&$D(D:~Zu& C\]))$
5,•6'!6'$\]))&&*)4J":S
_jmhm}}€€K.,?)\]))$A5"T(D:C
.4)5..4)A~,K!Y().\])).Mg
|m4: (D:+"*8(T(b\]))$t•K_
•??_h_XwDtp•_m?Xm?Z \3A,p7m4: A
B.&7&7)@:5*!5‚.4).5,m4: wD/
!FgK!F.46].W!F..),
|K.4)3)ƒgw.4)67T36 58
8: m4: ),X880&*.[4I3
T.4).F&$D588: .4)&A,KA/).
.4)6/T5g!:.8:&880
A.8:&W6!:6"..!:_hZ
|KA5"T.&72#): &7.$"!.,
*Firewall mềm
a]))/)C:*/&$D&W3(&A J)
\])),KAe).)h\)a]))s?$%)[Au h)a]))
s?$%)[5u,
GW&Bg
|KA()..gAB3)@.WT F"!AH
)b:*/,
|•.&72*4I,
|KA5"T5B74Ad5A&$D&0
.$+F,
5.Ưu-Nhược điểm Firewall
* Ưu Điểm:
a]))4..$%!FAB4!773.)#4C
)6 744C)6&BTW&$D1&M'!d3.$g
f
&U:@N63)66&F&BN6
/58,
|a]))ABTW7! . N!).
4.6:,
|X.\]))JA5"T> :Z5&$D(D:
CI*8,
*Nhược Điểm:
a]))5&$.$%&BAB&#Bd).
:N(74'!A,a]))HABTW
'N@:CM5.$:"'&0=
&0H,
|a]))5BTW77!87!59&
<A,p7IB\]))5B)77!d7)
4)|:.W4JH4.4C)60.>:!D:::)3&q/,
|a]))E5B)7!L4C)6s4|4
5u,
|-A7$+F&$DB.$&6[ $D\])) .
.].5 U&*.&72&N,p7 (4I) (,
a]))AB)6 I> 34C)6&$DBA,X$
4.&7) 6'!6)3I 4.A!/&B
QA4C)6Z V.5R5"T>\])),
„
Chương II: CHỨC NĂNG , NHIỆM VỤ CỦA FIWALL CỨNG
b, Chức năng của Firewall.
KT(a])))5B.)MC
,?8)@:+8&/5B4JC3.su
,
|K.:>:.W!40 I@:.,
|K.:>:.W!40 Id.@: ..,
|?.4=)M4C)6C ,
|-B.&0H@:!.W.:>:&0H@:,
|-B.$%4 6@:$%4,
|-B.74)$B3,
|XTd5"T!d.,
-a])).&7A5".!")M)$)$DC
&B')M)$)$DA&S5,X8&A&$D&08C
$D))$)$D0,
v7)#a]))A5"T)#")$)$D)V)$)$D .,XAE
AB")1 6@:d3. .M33.,
a]))AB&$D[4I&B)!"U@: .
3 &$".50:%& CN@::>:,
a]))AB)#A4 .&0HM&0H&(
Y&N&$D#))#&0H,a]))EAB)#).)$)$D&W
6 &/&$D#))#.2 F 68&0.
B8:.Wd)$)$D:I7 ..&$D[4I (4I
…
•??_a?_.W?),a]))EAB)#)M)$)$D7(
A,
p7a]))AT.!:$g&)d&$D•5).
•5*$2L&Q: †&$D6.$ /+"A:
6! 8:"A4V4U5ƒ!&.7$!&0
L&B•5L#&Q .&$D7:*6 AB@:'
+#&75ƒ!AB&$D) .4=,X8ABC5ƒ
:..7%$%"0AB)*.4! 8#,(4IA
B4)6\&B. 85ƒ!.W.@:9VM<&B#:"!
%/)N&A. 8 6/@: /+5ƒ!58
e, Nhiệm vụ của Firewall.
e,b,v". 6,
|v". 64C)6#.677,
|v". 636,
|v". 6482C*". 6,
e,e,_J7!
|X. 6". 6d3.6a]))JAB
)7!d3. .$g
|•5$%[4I7$+FA5"T4JF /
6$5." :].4&T@:,a]))A5"T:
6 TW50:%!.5B!,
|a]))EA5"T:6 TW$+Fh\\
sK$+FA5"TI:)A5A&$D/&3u
•5$%[4I&B)!&&$D/&3,
|•5[4I)w$+F4I "N6&/
&Q&$D[4IdC I!&*3 V&$D&B8/
@:sA&$D/$%"06u,
‡
rX7gKAB8&$D3@5S/
$+F.:>:&$ H.8:sXKu .8
&7@.7)$/,
r{".&0H_,
r6.T6s4 u,GN)5B!
L)3)6.765.A6T
A&$D858,-B!5BTW&$D4.C:$+
6!E():$+6&B) 6 @:
3,
rOw$%"06,
rˆ8.$% C( 5B=*
# 6".@634^4&B)7#.
5,
X.a]))JA/T5B)#)$)$D .`6
". 6.d3. TWUN@:
d3. .6,
b€
CHƯƠNG III
CẤU TRÚC & NGUYÊN TẮC HOẠT ĐỘNG CÙA FIREWALL CỨNG
, Cấu trúc của Firewall cứng
-A&8 6)$4C)6C \]))
F&/&AAqL\])).&758D:W .?K_`_,F
.) 6.@.R4C)6@&$Dd4I
3('+)40 I3.s?)hp?_
thXhpX_Xah,,,uA4C)6s4:5uM.:5
C&0H&BAB&$D&08@4 )@:)2&(*[&8
4.&A).\]))E)3!/&8:5 C.&0H
Y,Xa]))&$D'N443+27)#As:5\)u
34Ism::).]u5q@sh\)
:u 7\]))5v.•.a]))s:.G_JXu,
?.$+Fn58Y\]))+"4.$:N).&A,
1. Firewall bộ lọc gói tin (PACKET FILTERING FIREWALL)
O.\]))6 65B&/5B.$%
4A_&B.:>:YAB)$)5,K
AB)#&$D7A$g
bb
‰G0H_Ms._44u
‰G0H_&(s4._44u
‰K?K_Ms?K_.:.u
‰K?K_&(s?K_4.:.u
X% @\]))ABT"&$D58 .C.W
.&A&Q&$D'&0.W5A 6@: .677dC
&0HM5.:>:,•+C 65B.).\]))A
5"TH.:>:7).58!&0 ..&A.WHA
C40 I.&As?)hp?_a?_,,,u&$D:>:&$D36
77,
Hình 2.5 Tưởng lửa lọc gói n.
2. Firewall các dịch vụ uỷ thác (PROXY SERVER)
a]))40 I)780bình phong".@4&B:N(
A4C)6&$DB .,-A4C)6d3.&8:.'
Y&$D5B &&B'&0'(".@A.:>:
Y .5,_.' 5H&00&0H_J
''>4C)6.A&BF)w [
be
,
Hình 2.6. Tường lửa dịch vụ ủy thác
KAe).:.' +"&A)g 4I$"
4$&N,
2.1. Gateway mức mạng (Network Level Gateway)
O.:.' !:58sA&/5BuC67
.,KA7".C$%47 :.' ,K3*&
&8:.' :.' B.3*&8
5&&0H_,X$%4.H!&0H_:.' ,K
:"M&$D:.' @ 2&8$%4".,pW4
)M)$&$D:>:&6.5.%!&$D6
7,O.58$%&$D4&B58$%479&$D
< ,
2.2. Gateway mức ứng dụng (Application level Gateway)
_.' 4I!:!"T+":.'
J:N(A4C)6,-Ad3.&8Y
&$D5B &&B'&0(.A.:>:A& .
775,_.' 5H&&0H_AJF .
4C)6.A&BTC5ƒ&7@:!4!.&A,
bn
:.' (.+ /4ƒ.+/ F!"
.A&$D$%&/[4I&B)@'&0'[
)1A,KAB4^4# 6'"3:.' ,vEAB
R3(&B4!63. AB&74
A4C)6 FI&(D:)1 .,?(9D:)1<)7#Y 0,vA
B8)@:7)#&B).R#"&6[745&$D:>:,
Hình 2.7. Giao ếp trên mạng thông qua proxy server
p7:.' &BFAB!:40 I/.
4I .$?)a?_sa)?\_. )u•??_s•:'?\
_...)u hp?_sh:)p)?\_...)u,_.' 5.
:>:!5‚7A.&;8:C).a]))
&$D858&BT$%5"T5B.40 I$%&46
s_.'h u,-73.58 3.$%
)[740 I.&AF3.:"_.'h ,X8
40 I 3.5746!& _.'F_.'
h &F&(3.$%)[&B.58 3.
$D)3.58.E @,F
&&$D7).!+"$N7&6$%)[,
?3EA78& 4$%)[).)gGN)
).$%)[&$D&W.d).40 I33 (4I$?)
p)a_?Z,X8YwD740 I.&A.F
by
$%)[FY!8:"3 .:.'.).40 I&A,F @
833.A374 I.&AF$%"0$%)[
:"'N4(&46(D: 40 I&A,KA3U&B.
(&46W&02&N&A).Td!"C5&$D
&46.W)!:@!"C40 I5A40 I&463$%
)[,X$"4/NC+ !6.6
3.$%)[,
3. Kĩ thuật kiểm tra trạng thái (Stateful packet filtering)
p7.C !&/ :.' )A:"&7)$D)
.7)$D)A4C)6,X.:"&Wd:.'.
w4I,G/"$2&86! )T:(,5o@
5BVA4C)6&$D. A9@<&Q
8,
(4I8@:740 I3.:.' # /
3*&*$6&0HM &(,K9<&$D#)
)$,-63.:"M3*\])) .
A@&$D &Q)$&B'&0Y&$D:>: .
5,
.%&B58?K_.Wzt_&$D8)@:.$& .
&5RF&$D&$ .b"#)"9\).\).]
)<,
v"J&$D#)bảng trạng tháiA.MC /&0H
M&0H&(&0H /6A?K_ %4!3 .
w58?K_zt_58&/)358 b:3.&A,?
.&$D58 4.&AA& ..W&&$D.
:3.9":3A<,tC)6H&$D:>:&\]))8
&QM758$+'@)NB&A,
4. Firewall pháo đài phòng ngự (BASTION HOST FIREWALL )
b}
O7&$D!F&BW!d:(3.
.,GN)&B.8:8: 5@3.4.&A4^0!
!,KA4:J
Pháo đài phòng ngự
4.1. Dạng thứ nhất là máy phòng thủ có hai card mạng
?.&AA7 63.s77u 4J)
3.,GN)4$%)[Ad!A3*$%[
4I3.:"58 $%)[$5) 6 3.,
"::$%)[&Q)@:&$D3. 3.L
C:Js.u$AE.783. 658
C$%[4I3. 3.,
4.2. Dạng thứ hai là máy phòng thủ có một card mạng
XA&$D8:&876363‰:.'
]Y4I,{]!:&/5B .,v7&08
s.uA/T.!F,XA5H&0$A&8
677J.:>:67258 .W5.
:>:58,-8YJ3*.&B
bf
77 ,O14.&B) 6).775R0!
8$..0&@:,
II. Nguyên tắc hoạt động của Firewall
2.1. Cơ chế lọc gói tin (packet filtering)
K+8)#A\]))$4Jmhm_jKhKi43
.&7mK..)OsmKOuJ#)4&/5B
@:,@3U.&7mKO$8.,
mKO&0q)@&$D[4I&BTWA)$3
,p7mKO)@:D:/N)6su)38:4&B.
&/5B.$%4A_&A8
\]))67.e )WA).W.:>:&,
t&/5B@:_s_..))u587&08R
CA43C3(&W$%"0,pI&()&B
TWC)$)$D5&$D:>:)$3&AAB)T
W5ƒ:.! .77H&+")$%[
4I@: .36#53 5&$D:>: .,
mKO)&A J#.8)$D5B.,
2.2. Một số đặc điểm ACL:
| {AAB0)#5Y& ..W& .7$5&$D&0
8,
| {AAB0)#5Y&5R75&$D&08,
| ?dstu)7@C4&BALA0W)0)#
s\)4uJ.:>:s_uFAq)A50)#&$D
:>:&,
b„
| K).)#)@)#&$D!F.4&/
5B@:smKOu,
| -8YwmKO8)$)$D&5RQ7&/56.
.).mKOF!"0d)5&$D:>:&
&A,
2.3. Phân loại ACL
| Có 2 loại ACL cơ bản: 4&/5B@:+" 4
&/5B@:27sh44mKO l'44mKOu,Standard
ACLA!Y&+"4^6.5&AExtended ACL A !Y
:: 5A6+,
2.3.1. Danh sách điều khiển truy nhập cơ bản (Standard IP Access Control
Lists)
| Chỉ cóTWA43 /địa chỉ IP đíchs_.
44u.$%4A_,
| •.&7standard ACL $"[)mKO&$D&W3k.b
.)$)$D)hbJ)l€,
b…
Hoạt động của Standard ACL
1,-A_ .hb&0H_MA&A&$D.
)@&W.N)6mKO)6L &0HM&AFA&$D
:>:&W),
2,X8A7A.&ARQs:D:u&/567N)6&$D&0
q.mKOFA&$D.:>:&.W0W),
3,X85A7:D:.'"2$eF)2)$b e
.&85F&$D7&/56RQ,
4,X85B'. !"N)6 V5RQ 7&/56
.FA&A0ds4u,
2.3.2. Danh sách điều khiển truy nhập mở rộng (Extended IP Access Control
Lists)
b‡
l'44mKO dAC&B$+ d5. h44mKO,
KE$h44mKOAB.:>::&Wl'44mKO)3.
/& ..W&A,ih\]))E.A )6
.)*)$DN)6&A,X8N)6&*3RQFA
4d 6. )6J)2.) '&0&7*8
A&A,?!"(TE&/ '[
h44mKO,
GB58Ce).)'44mKOAB[4I/
&/5B.$%4&B.+)44mKO,h44
mKOH5B&$D&0H_MFl'44J[4I&$D3"&0
H_&(&0H).4I&0HpmK)..ZG/)
.l'44mKOAB5B )#&$D/)$)$D &7('
..+,?3AE5A6+ F::+h44mKO!
/,
2.3.3. So sánh giữa standard ACL và extended ACL
Loại ACL Các tham số có thể so sánh
Standard ACL và Extandard ACL
G0H_M
_*&0H_M[4I])44
5H&0HM,
Extandard ACL
_*&0H_&([4I])445
H&0H&(
O..s?K_zt_Kp_{k_
{p_ .5u
KM
K&(
m))?K_\).]':\
IP TOS
IP precedence (quyền ưu tiên)
2.4. Ứng dụng ACL
K:*/ih.80&08\])):&W
).)#mKO5A& ..W&7.&A380&A,
e€
•A5ih)3587ih 7 43.C)$
)$D .3&A,h5#&$D7&08\]))
&WmKO8:&A:"#E$/A&& .
&B:).)# .&A,
Di chuyển của gói n giữa các vùng có độ an toàn khác nhau
K!FW&080\])))& A/& .F
.)b€€s&A)..!uJA/&F
.)€s.5>!u,-AF.L77 E
5AF5>.+):(.,h5!F+8:340
&0HFW&0!".8:.$&J./d+A
.+&8+A.5>+J!")$)$Dd+A
.5>+&&8+A..+F&/0!,
ŠU'[mKO437.b/) 7.
/&.W& .F:&$DbmKO,
mKO3.:>:.WdA52../& .&3
&A,
mKOH*"A52.4I‹5*8&8A
2)4I&A&/43+R+8Un$,
X85A7mKO.&$D:)37\]))F2&A:
4I(W&0)g
• KA&&$D.:>:
eb
• KA& .0!
• mKO[4IN)69|)<&B.:>:.WW)$)$D3
,h&N)CU&B858 6mKO
-)$)$D&d A&7..+ A&7.!:+Fg
• mKO&$D4&BTW)$)$DA/&s..4\\u
• G0HM4&B.mKO:")&0Hb2
3
-&d+A.!:++A..+Fg
• mKOW)$A/& .s.4\\u
• G0H&(4&B.N)6mKO:")&0H&$D:340
&0H_).))&0HAB[4I33,
Có một điều lưu ý là: ACL luôn luôn được kiểm tra trước khi thực hiện quá trình
phiên dịch địa chỉ trên các thiết bị firewall.
Chức năng phân vùng của @rewall
Hoạt động của lưu lượng HTTP đi vào vùng đệm DMZ
?3F $%"0*.:>:$%[4I3
@: .P7,pP&A&$D
&W3 tp•&$DT J)3I72\])),
?.!FW&0F!"@:d .3
ee
&/0d,GB!:/@:.$%[4I3$%
"0:"6b$g
• K!F:340&0Hq.P.F&0H
@P50F!d:($%[4I3,
• K!F7mKO.$& .&B.A!:/@: .
..&A77,
• Œ:mKO)3(D:
Cơ chế phiên dịch địa chỉ NAT (Network Address Translation)
k&% .Tb‡‡yXm?&Q275q@:8&B856&0
H.I2 T:J E)&B4!&.:.F5Fd
,a4l &Q&$7580[4I /Xm?sk
a.K..Xm?u,
XXm?)I&.&B)40&8&0H_3
,?$%F77[4IA&0H_&$D&0
q.kaKb‡b…,F&0H&$DH&04.I&(77
)&0H43Xm?&$D&W&BRQ*583,
G)YXm?&$D4&B4&0H77.4.6: (4I&B:J
5&!:,
Xm?.:>:TW:(3.5#&$D&0H_
.77L2:(\])),Xm?)&$D&/L:3
40C&0H_5A4!3s&0H_I7u
&0H4!s&0H{).)u&$D!:@3$5A
&$DB:(3.,
en
Quá trình phiên dich địa chỉ
-7A_&$D[d78023.&:(.F
A:"&\]))&$D!F&B:340&0HXm?,X8$&0H
805A~."FA&$D:340,p7"
&$D..80 A&$D7&0H_L.b4"&0H_
&$D's#)_ )u,_ )&0H')C&0H).),h5
F:3404^F"B&&0H&$D@:@ A_
&$DB&&0H&$DB&,?.5."%%.:>:
$%W&0)n%suserconfigurable timeout periodu5AAA
.&$D:340.&0H_&AF"&A0'A&5R" &0H
4&B')&$D&B%.780.&Ad:(.&
.,
?.F .b€,€,€,bb52.583.,a])):340
&0HMb‡e,bf…,€,e€,KAd.b€,€,€,bb&$Dd:(. .
&0HM)b‡e,bf…,€,e€,A")%).&Ad:(3
.&0Hb‡e,bf…,b€,bb&$D&&0H')b‡e,bf…,€,e€,
III. Hạn chế cửa Firewall cứng
ey
Firewall không thể làm được những gì ?
a]))AB)". 6)&4#d3.
$a]))5:")b6::.46b&4#L
.*5B.a])),t.&A*F6::&B)
&4#&AL58D: @)1E$
.4I$%4 .b(,
• Hạn chế so v‚i Firewall mềm:
- -&$D).$a]))/g F*$\]))&/
$.'$(D:!".7s (4Ig5B3U
T.CT&Q&$D(D:~,,u& C
\]))$5,
- a])).&72*!:+a]))/s?*X].5 *
?:.J\]))/2*•4Iu,
- a]))5B5B&$D74A$\]))/,
- {80)U:&W\])).+/. \]))/
- a]))&$D(D:8:)3:*s$gk.K.
K5:._)Ž:Z,u,A VAB0R)w:*).
\])),
• Hạn chế khác:
+ Firewall không thể chống lại các mối nguy hại đã xâm nhập vào bên trong
| p7a]))AB5B.(@b[5R
77&b58,?3 VAB.:4C)6 .&qT
! A&a]))5BT",
| X8$5ƒ!&Q23.a]))MFABa]))*$
5B)F&$DC,K3.ABTU:4C)6::*
:*/&$+F5*8:@a])),
e}
