Giáo trình Advanced Certificate in Information Technology - Sanlein part 59 pps

- shutdown : administratively shut down interface
?Note: tránh sử dụng từ khóa auto trên bất kì interface Ethernet
nào . Duplex mismatch có thể xảy ra và làm giảm hoạt động của
Pix .
· ip address command :
Mỗi interface trên pix phải được cấu hình với 1 địa chỉ .
ip address if_name ip_address [netmask]
· nat command :
Network address translation (NAT) giúp cho user dấu được địa
chỉ internal khi đi ra mạng ngoài .
nat (if_name) nat_id local_ip [netmask]
- if_name : tên của internal interface sẽ sử dụng địa chỉ
global . Dữ liệu sẽ đi ra khỏi pix thông qua interface
được chỉ ra trong global command .
- nat_id : chỉ ra global pool , id này phải giống với id
trong global commad
- local_ip : địa chỉ IP được đăng kí đến thiết bị của
inside netword .0.0.0.0 (có thể viết tắt là 0) được sử dụng
để cho phép tất cả các kết nối outbound được nat ra
ngoài với điạ chỉ trong global command .
- netmask : mặt nạ mạng cho local ip address
Khi bắt đầu cấu hình pix , tất cả các host có thể truy cập các kết
nối outbound với nat 1 0.0.0.0 0.0.0.0 command . Câu lệnh này có
ý nghĩa cho phép tất cả các inside host được phép nat ra ngoài
tương ứng với địa chỉ trong global command . 0 có thể được sử
dụng để thay thế 0.0.0.0
· global command :
Khi dữ liệu được gửi đi từ một trusted network đến untrusted
network, địa chỉ source ip thường được chuyển đổi . Pix thực hiện
điều này bằng 2 câu lệnh , câu lệnh thứ nhất là nat – định nghĩa
địa chỉ trusted source sẽ được chuyển đổi , câu lệnh thứ hai là

global command - định nghĩa tầm địa chỉ mà source address sẽ
chuyển đổi thành .
global (if_name) nat_id interface | global_ip [- global_ip]
netmask [global_mask]
Ví dụ về NAT :
Khi gói dữ liệu outbound được gửi từ một thiết bị thuộc mạng
inside đến pix , địa chỉ source được extract ra và so sánh với bảng
chuyển đổi internal . Nếu địa chỉ của thiết bị không có trong bảng ,
nó sẽ được chuyển đổi thành . Một entry mới được tạo ra cho thiết
bị đó , sau đó nó được đăng kí một địa chỉ global ip từ pool địa chỉ
global . Đây được gọi là translation slot . Sau khi translation xảy
ra , bảng được update và gói ip được chuyển đổi đó được gửi ra
ngoài . Sau khoảng thời gian timeout (mặc định là 3 giờ) , sẽ
không có gói tin được translate nào dành cho địa chỉ global đó ,
entry của nó ở trong bảng translation sẽ bị loại bỏ và địa chỉ global
được sử dụng bởi bất kì host nào trong mạng inside .
Quá trình được miêu tả như hình vẽ sau :
Error!

?NOTE : PIX firewall đăng kí địa chỉ từ global pool bắt đầu từ
thấp cho đến cao . Sau khi thay đổi , thêm vào , hay loại bỏ một
global statement , sử dụng clear xlate để xóa tất cả các translation
slot .
· Route command : định nghĩa một static route cho một
interface .
route if_name ip_address netmask gateway_ip [metric]
3. PIX firewall translation
PIX firewall có thể được sử dụng để translate tất cả địa chỉ bên
trong , khi dữ liệu đi từ inside ra outside hay đi đến một mạng có
mức security thấp hơn . Nếu user ở mạng outside cố gắng thực

hiện kết nối đến inside , user đó sẽ không thành công . Một session
không thể được tạo ra từ Internet với địa chỉ đích là địa chỉ private
trừ khi nó được cấu hình cho phép thực hiện điều đó .
Có hai cách để một mạng ít tin cậy hơn đi vào một mạng có độ tin
cậy cao hơn là :
- Response to Valid Request : Khi user ở inside thành lập một
kết nối đến thiết bị ở outside , mặc định response cho request
đó được phép qua pix . Tất cả kết nối từ inside đến outside sẽ
được update trong bảng translation . Khi một thiết bị outside
đáp ứng cho request đó , PIX firewall sẽ kiểm tra bảng
translation để xem thử có translation slot nào tồn tại cho
request đó hay không ? Nếu nó tồn tại, PIX firewall cho phép
response tiếp tục . Sau khi session được tạo ra , idle timer sẽ
bắt đầu khởi động , mặc định là 3 giờ .
- Cấu hình Conduit : Được sử dụng cho việc liên lạc từ
outside đến inside . Static translation hoặc là global và nat được
cấu hình trước , sau đó cấu hình conduit để định nghĩa địa chỉ ,
hay là một nhóm địa chỉ , source port hay là destination port
được phép đi qua pix .
a. Static address translation :
Static address translation được sử dụng nếu một host được
translate đến cùng một địa chỉ khi mỗi outbound session được tạo
ra qua pix . Tức là nó được dùng để tạo ra một ánh xạ cố định
(static translation slot) giữa một địa chỉ local và một địa chỉ global
. Khi kết nối đến internet , địa chỉ global phải được phải là địa chỉ
thực ( địa chỉ được đăng kí )
Static address translation được sử dụng bằng câu lệnh sau :
Static [(internal_if_name , external_if_name)] global_ip
local_ip [netmask network_mask] [max_conns [em_limit]]
[norandomseq]

Đối với outbound connection , sử dụng static để chỉ ra một địa chỉ
global luôn được sử dụng cho việc translation giữa local host và
global host đó . Đối với inbound connection , mặc định là các host
ở untrusted network sẽ không được vào trusted network , do đó
muốn cho các mạng outside vào inside , ta sẽ phải sử dụng kết hợp
cả static command và conduit command để định nghĩa các địa chỉ
trong mạng outside .
Một chú ý quan trọng là :
o Conduit command cho phép kết nối từ interface có mức bảo
mật thấp hơn đến interface có mức bảo mật cao hơn .
o Static command được sử dụng để tạo ra ánh xạ cố định giữa
local host và global ip address .
Conduit command :

conduit permit | deny protocol global_ip global_mask [operator
port [port]] foreign_ip foreign_mask [operator port [port]]
Một ví dụ khi sử dụng conduit command là kiểm tra kết nối thông
qua pix với các message ICMP . Để cho phép một gói tin echo-
request từ outside qua pix , conduit phải được cấu hình . Ngoài ra ,
user outside cũng cần phải có một địa chỉ đích để sử dụng , thông
tin này có thể được map vào pix sử dụng static command .
b. Dynamic address translation : đây chính là sử dụng nat và
global command mà ta đã nhắc đến phía trước .
Ngoài ra thay vì nat các địa chỉ inside ra outside trong một pool
địa chỉ , ta cũng có thể nat bằng một địa chỉ global bằng cách sử
dụng PAT (port address translation) . PAT là sự kết hợp một địa
chỉ và một source port number để tạo ra một session duy nhất . Pix
sẽ translate mỗi địa chỉ local đến cùng một điạ chỉ global nhưng
đăng kí giá trị port khác nhau và lớn hơn 1024. Câu lệnh cấu hình
PAT giống như Nat , nhưng trong global command , thay vì sử

dụng một pool địa chỉ ,ta chỉ sử dụng 1 địa chỉ .
c. Cấu hình NAT 0
Đây là chức năng phổ biến khi kết nối đến internet để cho phép
truy cập từ outside đến HTTP server hoặc là SMTP server . Các
server này phải có địa chỉ thực để còn liên lạc với các thiết bị khác
trong mạng internet . Do đó có thể cấu hình pix để địa chỉ private
của thiết bị đó trong inside network được phép đi ra ngoài mạng
mà không có quá trình translation .
Sử dụng nat 0 command phụ thuộc vào chính sách bảo mật mà nơi
ta áp đặt nó vào . Nếu chính sách đó cho phép các internal client
sử dụng địa chỉ private của chúng để đi ra ngoài internet , nat 0 sẽ
đáp ứng dịch vụ đó . Sử dụng nat 0 một minh sẽ không cho phép
truy cập từ outside đến inside . Nếu chính sách cho phép truy cập
từ outside đến inside , ta phải cấu hình thêm conduit command .
4. Truy nhập vào PIX firewall
Pix có thể được truy nhập vào thông qua port console hoặc là truy
cập từ xa qua các phương pháp sau :
- telnet
- Secure Shell (SSH)
- Browser sử dụng PIX device Manger (PDM)
a. Truy cập vào PIX bằng Telnet
Có thể quản lí PIX firewall thông qua Telnet từ các host thuộc
internal interface . Nếu IPSEC được cấu hình thì ta có thể quản lí
PIX từ các interface có security level thấp hơn
Để truy cập vào PIX thông qua kết nối Telnet , ta cấu hình như
sau :
bước 1 : cho phép host hay mạng được phép telnet :
telnet local_ip [mask] [if_name]
bước 2 : đặt password cho Telnet :
passwd telnetpasswd

bước 3 : Nếu cần thiết thì thiết lập cho phép Telnet session được
idle trong khoảng bao lâu trước khi Pix làm rớt kết nối . Mặc định
là 5 phút .
telnet timeout time
b. Cấu hình truy cập PIX qua Secure Shell (SSH)
SSH là một chương trình ứng dụng chạy trên lớp transport , có khả
năng xác thực và mã hóa mạnh do đó nó có độ bảo mật cao hơn
Telnet . 5 SSH client có thể được phép truy cập PIX console đồng
thời . PIX firewall hỗ trợ SSH v1 .
Cấu hình PIX cho việc truy cập thông qua SSH có 2 bước :
- Cấu hình trên PIX để chấp nhận kết nối SSH
- Cấu hình SSH client để kết nối đến PIX
5. LAB
Bài 1 : Cấu hình translation
Scenario :
Error!

Địa chỉ của các interface như sau :

Device Interface Address
PIX E0
E1
E2
209.162.1.1/24
10.10.10.1/24
172.16.1.1/24
Router
2530
E0 209.162.1.2/24
Router

dmz
E0 172.16.1.2/24
PC 10.10.10.10/24

Cấu hình toàn bộ :
Pix# write terminal
Building configuration
: Saved
:
PIX Version 6.2(2)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
enable password 2KFQnbNIdI.2KYOU encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname Pix