Tổng quan về Firewall của Windows Server 2008 với tính năng bảo mật nâng cao pot

Tổng quan về Firewall của
Windows Server 2008 với tính
năng bảo mật nâng cao

Tổng quan về Firewall của Windows Server 2008 với tính
năng bảo mật nâng cao - Phần 1
Tổng quan về Firewall của Windows Server 2008 với tính
năng bảo mật nâng cao - Phần 2
Tổng quan về Firewall của Windows Server 2008 với tính
năng bảo mật nâng cao - Phần 3
Thomas Shinder
Trong phần 3 giới thiệu về cách tạo một chính sách miền cách lý
bằng cách sử dụng giao diện điều khiển IPsec và Windows
Firewall with Advanced Security tích hợp trong Windows Server
2008 Group Policy Editor, chúng tôi đã giới thiệu cho các bạn
cách cấu hình chính sách IPsec mặc định để sử dụng mã hóa ESP
trên kết nối được bảo vệ bởi IPsec, sau đó là giới thiệu về cách tạo
rule chính sách IPsec cho các domain controller.
Trong phần tiếp theo này chúng tôi sẽ giới thiệu cho các bạn về
cách tạo chính sách miền cách ly IPsec trong một mạng đơn giản,
tạo một rule miền cách ly cho máy chủ và máy khách yêu cầu bảo
mật (thẩm định quyền), cấu hình máy chủ để sử dụng các kết nối
ping gửi đến chúng nhằm kiểm tra rule vừa tạo. Cuối cùng của
phần này la kiểm tra rule để xác nhận rằng IPsec được sử dụng
cho các kết nối và kết nối đó được mã hóa bằng ESP.
Tạo một rule miền cách ly cho máy chủ và khách
Rule tiếp theo chúng ta sẽ tạo là cách ly miền cho máy chủ và
khách. Rule này sẽ không yêu cầu bảo mật giống như các rule
trước mà chúng ta đã tạo cho các kết nối với domain controller.

Nó chỉ yêu cầu sự thẩm định quyền và bảo mật khi các thành viên
miền kết nối với nhau. Yêu cầu sự thẩm định quyền cho các kết
nối gửi đến, bảo mật cho các kết nối gửi đi.
Khi bạn yêu cầu bảo mật cho kết nối gửi đến, cần yêu cầu các
máy tính muốn kết nối đến thành viên miền phải thẩm định quyền
đối với thành viên miền đó bằng Kerberos. Nếu máy tính đó
không thẩm định quyền cũng đồng nghĩa kết nối đó sẽ bị thất bại.
Nếu máy tính có thể thẩm định quyền thì kết nối đó sẽ được cho
phép. Rule này cho phép các thành viên có thể thiết lập các kết
nối an toàn với nhau trong khi đó vẫn cho phép các thành viên
miền kết nối với các thành viên không thuộc miền (thành viên
không thể thẩm định quyền).
Điều hướng đến nút Connection Security Rules ở panel bên trái
của Group Policy Editor như những gì bạn đã thực hiện khi tạo
rule trước.
Kích chuột phải vào Connection Security Rules, sau đó
kích New Rule.

Hình 1
Trong trang Rule Type, hãy chọn tùy chọn Isolation và
kích Next.

Hình 2
Trong trang Authentication Method, chọn Default và kích Next.

Hình 3
Trong trang Name, đặt tên cho rule. Trong ví dụ này chúng tôi đặt
là Client/Server Domain Isolation và nhập vào đó chỉ
dẫn Encrypts and secure connections between all machines
that are not DCs or infrastructure servers (DNS, DHCP,

Default Gateway, WINS).
Kích Next.

Hình 4
Lưu ý rule trong danh sách các rule bảo mật kết nối. Bạn có thể sẽ
phân vân liệu chúng ta sẽ gặp phải vấn đề nào đó ở đây không,
vì Client/Server Domain Isolation rule có tất cả các địa chỉ IP,
trong đó có cả các địa chỉ IP của domain controller.
Tuy nhiên điều này không gây ảnh hưởng gì vì các rule được đánh
giá từ cụ thể nhất đến kém cụ thể nhất. Chính vì vậy, rule cụ thể
hơn sẽ được đánh giá trước rule kém cụ thể hơn. Trong trường
hợp hai rule mà chúng ta có ở đây, DC Request Security rule cụ
thể hơn vì Endpoint 2 là một địa chỉ IP cụ thể, còn Client/Server
Domain Isolation rule thì Endpoint 2 là bất kỳ địa chỉ IP nào.

Hình 5
Lưu ý nữa, trong môi trường sản xuất chúng ta cần phải tạo một
số rule ngoại lệ cho một số thiết bị nào đó được miễn thẩm định
quyền. DHCP, DNS, WINS và các địa chỉ gateway mặc định cần
phải được sử dụng bởi các máy không phải là thành viên miền và
như vậy không thể thẩm định quyền bằng Kerberos.
Tạo Firewall Rule để cho phép Ping gửi đến
Để kiểm tra cấu hình, bạn có thể sử dụng lệnh ping để ping đến
máy chủ từ một máy khách Vista nào đó. Để thực hiện, cần phải
cho phép các ping ICMP gửi yêu cầu tới được máy chủ test. Tạo
mọt rule cho phép máy khách Vista có thể ping đến máy chủ bằng
Windows Firewall with Advanced Security MMC.
Trên máy chủ, bạn hãy mở Windows Firewall with Advanced
Security từ Administrative Tools menu.
Bên trái panel giao diện điều khiển Windows Firewall with

Advanced Security, hãy kích chuột phải vào nútInbound
Rules trong panel bên trái và kích tiếp New Rule.

Hình 6
Trong trang Rule Type, chọn tùy chọn Custom và kích Next.

Hình 7
Trong trang Program, chọn tùy chọn All Programs và
kích Next.

Hình 8
Trong trang Protocol and Ports, kích mũi tên chỉ xuống trong
danh sách Protocol Type và chọn tùy chọnICMPv4.
Kích nút Customize. Trong hộp thoại Customize ICMP
Settings, chọn tùy chọn Specific ICMP types. Sau đó hãy tích
vào hộp kiểm Echo Request. Kích OK.

Hình 9
Kích Next trong trang Protocol and Ports.

Hình 10
Trong hộp thoại Scope, sử dụng các thiết lập mặc định cho các
địa chỉ IP từ xa và cục bộ, Any IP address.Kích Next.

Hình 11
Trong trang Action, chọn tùy chọn Allow the connection và
kích Next.

Hình 12
Trong trang Profile, remove các dấu chọn từ các hộp

chọn Private và Public và kích Next.

Hình 13
Trong trang Name, hãy đặt tên cho rule. Trong ví dụ này chúng
tôi đặt tên cho nó là Allow ICMP Request. Sau đó kích Finish.

Hình 14
Bạn có thể thấy Allow ICMP Request rule trong danh sách các
rule gửi đến.

Hình 15
Quan sát hành động của bảo mật kết nối
OK, lúc này chúng ta đã sẵn sàng để xem xem mọi thứ có làm
việc hay không! Hãy vào máy chủ và mở giao diện điều
khiển Windows Firewall with Advanced Security, kích
nút Connection Security Rules trong phần panel bên trái của
giao diện. Bạn cần phải thấy các rule mà mình đã tạo trong Group
Policy. Nếu không thấy các rule này, hãy thực hiện theo hướng
dẫn sau:
 Tại domain controller, mở một nhắc lệnh và đánh gpupdate
/force, sau đó nhấn ENTER để cập nhật Group Policy trên
domain controller.
 Sau khi cập nhật Group Policy trên domain controller, hãy
cập nhật Group Policy trên máy chủ bằng cách mở một nhắc lệnh
và đánh gpupdate /force, nhấn ENTER để cập nhật Group Policy
cho máy chủ.
 Nếu vẫn không thấy làm việc, bạn hãy thử khởi động lại
máy chủ và đăng nhập trở lại.
Sau đó refresh toàn bộ quang cảnh của Connection Security
Rules

trên máy chủ để xem danh sách được cập nhật của các rule
này. Đây là một danh sách tương tự như vậy mà bạn thấy trong
Group Policy Editor.

Hình 16
Kích nút Main Mode trong phần panel bên trái của giao diện điều
khiển. Bạn phải thấy được máy chủ đã được thiết lập các kết nối
an toàn cho cả domain controller và máy khách Vista. Nếu không
thấy các kết nối an toàn đến máy khách Vista, hãy thực hiện theo
các hướng dẫn sau:
 Chạy gpupdate /force trene máy khách Vista
 Cấu hình Connection Security Rules đã được áp dụng trên
máy khách Vista bằng cách kiểm tra chúng trongWindows
Firewall with Advanced Security MMC snap-in trên máy khách
này.
 Nếu không thấy làm việc, bạn hãy khởi độnglại máy khách
 Ping đến máy khách Vista từ máy chủ
Sau khi thực hiện các bước này, bạn cần phải thấy các kết nối
IPsec an toàn giữa máy chủ và domain controller và máy khách
Vista.

Hình 17
Khi bạn kích đúp vào một trong các entry trong phần panel chi
tiết của nút Main Mode, bạn có thể thấy các thông tin chi tiết của
kết nối an toàn.

Hình 18
Kích nút Quick Mode trong panel bên trái của giao diện điều
khiển. Bạn cần phải thấy được các kết nối an toàn cho cả domain
controller và máy khách Vista.

Hình 19
Nếu kích đúp vào một trong các entry trong panel chi tiết của
nút Quick Mode, bạn sẽ thấy các thông tin chi tiết của kết nối.
Lưu ý rằng ESP confidentiality được sử dụng và đang sử dụng
mã hóa AES-128 bit. Điều này có nghĩa rằng kết nối này hoàn
toàn an toàn trên mạng và không thể bị đánh cắp bởi kẻ xâm nhập.

Hình 20
Kết luận
Trong phần này chúng tôi đã giới thiệu cho các bạn cách cấu hình
rule miền cách ly cho máy chủ và khách, sau đó đã cấu hình
tường lửa trên máy chủ để cho phép các yêu cầu ping gửi đến.
Cũng trong bài này chúng ta đã kiểm tra xem mọi thứ có làm việc
tốt như mong đợi hay không bằng cách sử dụng các tính năng
kiểm tra có trong giao diện điều khiển Windows Firewall with
Advanced Security. Phần này cũng tập trung vào cách tạo một
chính sách miền cách ly đơn giản để minh chứng cho việc cấu
hình các chính sách miền cách ly bằng các công cụ mới có trong
Windows Server 2008 và Vista là hoàn toàn dễ dàng. Quan trọng
hơn nữa, chúng tôi còn minh chứng được cho các bạn cách sử
dụng Group Policy để tập trung cấu hình để có được chính sách
cách ly miền là một giải pháp quản lý tập trung.
Trong phần tiếp theo của loạt bài này chúng tôi sẽ minh chứng
cho các bạn về sự cách ly máy chủ. Sự hữu dụng của nó như thế
nào khi các máy tính không phải là thành viên miền. Trong trường