Giáo trình Advanced Certificate in Information Technology - Sanlein part 10 pdf

Bài Viết Về PIX FIREWALL


Tác giả: Nguyễn Thị Băng Tâm
Chương 2: CẤU HÌNH CƠ BẢN CỦA PIX
1. ASA Security levels
Khi cấu hình PIX firewall , một điều quan trọng cần lưu ý
là cấu hình pix có 2 interface cũng giống như cấu hình
cho pix có 6 interface . Đó là vì PIX firewall hoạt động
dựa trên cơ chế ASA (Adaptive Security Algorithm) sử
dụng Security levels . Giữa 2 interface thì một sẽ có
Security level cao hơn , một có Security level thấp hơn .
ASA Security levels :
Security level thiết kế cho interface là inside (trusted)
hoặc interface outside (untrusted) quan hệ với các
interface khác . Một interface được xem là inside trong
mối quan hệ với các interface khác nếu nó có Security
level cao hơn các interface khác , một interface được xem
là outside nếu nó có Security level thấp hơn Security level
của các interface khác .
Quy tắc cơ bản cho Security level là :
Khi PIX firewall được cấu hình với 6 command cơ bản ,
dữ liệu có thể đi vào pix thông qua một interface với
Security level cao hơn , đi qua pix và đi ra ngoài thông
qua interface có Security level thấp hơn . Ngược lại , dữ
liệu đi vào interface có Security level thấp hơn không thể
đi qua pix và đi ra ngoài thông qua interface có Security
level cao hơn nếu trên pix không có cấu hình conduit
hoặc access-list để cho phép nó thực hiện điều này .
Security level xắp xếp từ 0 đến 100 , cụ thể :
- Security level 100 : đây là Security level cao nhất

cho một interface . Nó được sử dụng cho inside
interface của PIX firewall , là cấu hình mặc định cho
Pix và không thể thay đổi . Vì 100 là Security level
trusted nhất cho interface , mạng của tổ chức thường ở
sau interface này , không ai có thể truy nhập vào mạng
này trừ khi được phép thực hiện điều đó . Việc cho
phép đó phải được cấu hình trên pix , các thiết bị bên
trong mạng này có thể truy cập ra mạng outside .
- Security level 0 : đây là Security level thấp nhất .
Security level này được sử dụng cho outside interface .
Đây là cấu hình mặc định cho Pix và không thể thay
đổi . Vì 0 là Security level ít trusted nhất cho một
interface , các untrusted network thường ở sau
interface này . Các thiết bị ở outside chỉ được phép
truy cập vào pix khi nó được cấu hình để làm điều đó .
Interface này thường được dùng cho việc kết nối
internet .
- Security level 1-99 : Các Security level này có thể
được đăng kí cho perimeter interface kết nối đến PIX ,
mà thông thường là những kết nối đến một mạng hoạt
động như là demilitarized zone (DMZ) . DMZ là một
thiết bị hay là một mạng thường được sử dụng cho
phép user từ untrusted network truy cập vào . DMZ là
vùng được cách ly với môi trường internal , trusted .
Ví dụ về ASA với pix có 3 interface , Security level trong
ví dụ này cụ thể như sau :
Error!

· Outside security 0 đến DMZ security 50 thì DMZ này
được coi là inside . Do đó cần phải có static

translation với conduit cấu hình cho phép các session
được khởi tạo từ outside đến DMZ .
· Inside security 100 đến DMZ security 50 thì DMZ
này được coi là outside . Do đó global và nat thường
được cấu hình để cho phép các session khởi tạo từ
inside interface đến DMZ interface .
?Note : Một PIX firewall có thể có đến 4 perimeter
network do đó nó có tối đa tổng cộng là 6 interfaces .
Khi có nhiều kết nối giữa PIX firewall và các perimeter
device thì :
· Dữ liệu đi từ interface có Security level cao hơn đến
interface có Security level thấp hơn : Cần phải có một
translation (static hay dynamic) để cho phép traffic từ
interface có Security level cao hơn đi đến interface có
Security level thấp hơn . Khi đã có translation này ,
traffic bắt đầu từ inside interface đến outside interface
sẽ được phép , trừ khi nó bị chặn bởi access-list ,
authentication hoặc là authorization .
· Dữ liệu đi từ interface có Security level thấp hơn đến
interface có Security level cao hơn : 2 điều quan trọng
cần thiết phải được cấu hình để cho traffic từ interface
có security thấp hơn đến interface security cao hơn là
static translation và conduit hoặc access-list . Nếu
conduit được cấu hình , user cũng có thể chặn traffic
nếu cấu hình thêm authentication hoặc là authorization
.
· Dữ liệu đi qua 2 interface có Security level như nhau :
Không có traffic đi giữa 2 interface có level như nhau .
2. Cấu hình cơ bản của PIX firewall
Phần này sẽ mô tả cấu hình cơ bản cần thiết để sử dụng

PIX firewall và cách thiết lập kết nối cơ bản từ internal
network đến public Internet .
a. Các mode truy nhập :
Cũng giống như các thiết bị của Cisco , pix cũng có các
mode sau :
- Unprivileged mode : là mode được sử dụng khi ta
truy nhập vào pix lần đầu tiên thông qua cổng console
hoặc telnet . Mode này cho phép ta xem tập hợp các
lệnh có trong pix . User không thể thay đổi cấu hình tại
mode này .
- Privileged mode : tại mode này user có thể thay đổi
một vài cấu hình hiện tại và xem cấu hình trong pix .
Các câu lệnh ở mode unprivileged đều hoạt động tốt ở
mode này . Khi ta đã vào được mode privileged , thì ta
có thể vào được configuration mode .
- Configuration mode : Tại mode này ta có thể thay
đổi cấu hình của hệ thống . Tất cả các lệnh
unprivileged , privileged , configuration đều làm việc ở
mode này .
- Monitor mode : Tại mode này cho phép ta thao tác
một số cấu hình đặc biệt như là update image hay
password recovery .
Dấu hiệu để nhận biết đang ở trong mode nào :

Mode dấu hiệu
Unprivileged
mode
Pixfirewall>
Privileged
mode

Pixfirewall#
Configuration
mode
Pixfirewall(config)#
Monitor
mode
Monitor>

b. Các lệnh dùng để duy trì và kiểm tra PIX firewall
- Enable command : lệnh enable cho phép ta tiến vào
mode privileged . Để thoát ra và trở về mode trước đó ,
sử dụng disable command .
- Enable password : tham số cấu hình này thiết lập
password cho việc truy nhập vào mode enable . Không
có password mặc định . Khi truy cập vào mode này lần
đầu tiên (trước khi enable command được tạo ra) , pix
đưa ra dấu nhắc cần nhập password . Bởi vì password
chưa được cấu hình nên chỉ đơn giản là nhấn Enter .
Password là case-sensitive và có thể dài đến 16 chữ cái
. Ta có thể sử dụng bất kì kí tự nào ngoài khoảng trắng
, dấu hỏi , và dấu hai chấm . Password ở dạng mã hóa .
- Passwd : password này được thiết lập cho inbound
traffic telnet đến pix . Password mặc định là cisco .
- Hostname : câu lệnh hostname cho phép ta thay đổi
tên của Pix , mặc định pix có tên là pixfirewall .
- Ping : lệnh ping quyết định PIX firewall có kết nối
đến một đích cụ thể nào đó hay không . Khi ping
command được sử dụng , pix sẽ gửi ra ngoài echo-
request. Đích sẽ đáp lại bằng một echo-reply. nếu
echo-reply được nhận thì host có tồn tại . Nếu không

được nhận , ngõ ra sẽ xuất hiện “no response received”
. Ping command truyền đi 3 echo-request để tìm địa
chỉ . Nếu ta muốn internal host có thể ping được
external host , ta phải tạo một ICMP conduit hoặc là
access-list để cho phép echo-reply .
?Note: Sau khi pix được cấu hình và hoạt động , user sẽ
không thể từ outside interface ping được inside interface
và ngược lại . Nếu từ inside interface ping thấy được
inside network , và outside interface ping thấy outside
network thì pix họat động đúng và bìng thường .
- Telnet : lệnh telnet cho phép ta chỉ ra host nào có
thể truy cập cổng console PIX firewall thông qua telnet
. Với các version 5.0 trở về trứơc , chỉ có các internal
host mới có thể truy cập vào PIX firewall thông qua
telnet , nhưng các version sau này , user có thể telnet
vào PIX firewall qua tất cả các interface . Tuy nhiên ,
PIX firewall khuyến cáo rằng , tất cả telnet traffic đến
outside interface phải được bảo vệ bởi IPSEC . Do đó ,
để khởi động một telnet session đến PIX , user cần cấu
hình pix để thiết lập IPSEC tunnel họăc là với một pix
khác , hoặc là router , hay là VPN Client . Tunnel đó
phải được mã hóa cho các traffic đặc biệt trong đó có
telnet đến một host nào đó được định nghĩa trong câu
lệnh telnet . Có đến 16 host hoặc mạng được phép
telnet đến Pix , nhưng trong một lúc chỉ có 5 mà thôi .
telnet ip_address [netmask] [if_name]
clear telnet [ip_address] [netmask] [if_name]
no telnet ip_address [netmask] [if_name]
telnet timeout minutes
show telnet

show telnet timeout
- write terminal : cho xem cấu hình đang chạy trên
pix , câu lệnh này có ý nghĩa như câu lệnh show
running-config . Cấu hình này được lưu trong RAM
- write net : dùng để lưu running configuration vào
TFTP server .
- write erase : xóa tập tin cấu hình trong Flash
memory
- write memory : lưu tập tin running configuration
vào Flash .
- write floppy : lưu cấu hình hiện tại vào đĩa mềm .
- write standby : ghi lại cấu hình được lưu trong
RAM của active failover PIX , đến RAM của standby
PIX firewall . Khi active PIX firewall boot , nó tự động
ghi cấu hình này đến standby PIX firewall .
c. Sáu câu lệnh cơ bản cho cấu hình PIX firewall :
· Nameif command :
nameif hardware_id if_name security_level
câu lệnh nameif dùng để đăng kí 1 tên cho mỗi
interface của Pix và chỉ ra mức security của nó (ngoại trừ
outside và inside interface , chúng có tên mặc định )
Với cấu hình mặc định , e0 có tên là outside với mức
security là 0 , e1 có tên là inside với mức security là 100