Thiết kế và bảo mật web server

Mô tả: SSL VPN cung cấp giải pháp truy cập từ xa, cho phép người dùng bên ngoài có thể sử dụng tài nguyên được bảo vệ một cách bảo mật thông qua SSL.. WEBVPN có 3 mode hoạt động: Client

SSL VPN với Clientless

I Mô tả:

SSL VPN cung cấp giải pháp truy cập từ xa, cho phép người dùng bên ngoài có thể sử dụng tài nguyên được bảo vệ một cách bảo mật thông qua SSL Giải pháp này cho phép truy cập tài nguyên từ nhiều vị trí mà không cần sử dụng tiện ích VPN Client SSL VPN hay còn gọi là WEBVPN cho phép sử dụng những dịch vụ VPN thông qua giao diện WEB Và router sẽ đóng vai trò như proxy để chuyển những kết nối từ bên ngoài vào tài nguyên bên trong

WEBVPN có 3 mode hoạt động:

Clientless: Những dịch vụ bao gồn HTTP và chia sẽ file

Thin Client: Với tính năng port-forwarding cho phép những dịch vụ TCP (với port không thay

đổi) như: http, smtp, pop3, imap, telnet

Tunnel mode: Hoạt động tương tự như IPSec VPN với việc thiết lập tunnel cho phép tất cả dịch

vụ có thể được sử dụng

Trong bài tập này sử dụng Clientless để thực hiện SSL VPN đảm bảo người dùng bên ngoài có

thể sử dụng được dịch vụ http và chia sẽ file

II Cấu hình

Xác định phương thức xác thực

GATEWAY(config)#aaa new-model

GATEWAY(config)#aaa authentication login SSL local

Cấu hình Webvpn Gateway (hoạt động tương tự như proxy cho những kết nối đến tài nguyên được bảo vệ)

GATEWAY(config)#webvpn gateway SSLVPN

% Generating 1024 bit RSA keys, keys will be non-exportable [OK]

Địa chỉ mà có thể truy cập từ bên ngoài

GATEWAY(config-webvpn-gateway)#ip address 150.1.1.1

Kích hoạt dịch vụ

GATEWAY(config-webvpn-gateway)#inservice

Cấu hình Webvpn Context ( Tương tự như profile cho việc xác định chính sách)

GATEWAY(config)#webvpn context WEBVPN

GATEWAY(config-webvpn-context)#aaa authentication list SSL

Kích hoạt dịch vụ

GATEWAY(config-webvpn-context)#inservice

GATEWAY(config-webvpn-context)#gateway SSLVPN

Cấu hình url-list ( sử dụng dịch http)

GATEWAY(config-webvpn-context)#url-list WEB_URL

GATEWAY(config-webvpn-url)#url-text Internal_Website url-value http://192.168.1.2

Cấu hình cifs-url-list (sử dụng dịch chia sẽ file)

GATEWAY(config-webvpn-context)#cifs-url-list FILE_URL

GATEWAY(config-webvpn-cifs-url)#url-text Internal_File url-value cifs://192.168.1.2

Xác định NBNS

GATEWAY(config-webvpn-context)#nbns-list NBNS

GATEWAY(config-webvpn-nbnslist)#nbns-server 192.168.1.2

Cấu hình chính sách nhóm

GATEWAY(config-webvpn-context)#policy group ADMIN

GATEWAY(config-webvpn-group)#url-list WEB_URL

GATEWAY(config-webvpn-group)#cifs-url-list FILE_URL

Xác định chức năng cho chia sẽ file

GATEWAY(config-webvpn-group)#functions file-access

GATEWAY(config-webvpn-group)#functions file-browse

GATEWAY(config-webvpn-group)#nbns-list NBNS

Mặc định ta sẽ có phần “textbox” để nhập đường link cho web, tuy nhiên vì lý do bảo mật, phần

“textbox” này có thể được ẩn đi

GATEWAY(config-webvpn-group)#hide-url-bar

Gán chính sách nhóm vào Context

GATEWAY(config-webvpn-context)#default-group-policy ADMIN

III Cấu hình đầy đủ

GATEWAY

Building configuration

Current configuration : 3200 bytes

!

hostname GATEWAY

!

aaa new-model

!

aaa authentication login SSL local

!

crypto pki trustpoint TP-self-signed-1769152701

enrollment selfsigned

subject-name cn=IOS-Self-Signed-Certificate-1769152701

revocation-check none

rsakeypair TP-self-signed-1769152701

!

crypto pki certificate chain TP-self-signed-1769152701

certificate self-signed 01

3082023F 308201A8 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274

quit

!

username ssix password 0 ssix

!

interface FastEthernet0/0

ip address 192.168.1.1 255.255.255.0

duplex auto

speed auto

!

interface FastEthernet0/1

ip address 150.1.1.1 255.255.255.0

duplex auto

speed auto

!

interface Serial0/3/0

no ip address

shutdown

no fair-queue

clock rate 2000000

!

ip route 0.0.0.0 0.0.0.0 150.1.1.2

!

webvpn gateway SSLVPN

ip address 150.1.1.1 port 443

ssl trustpoint TP-self-signed-1769152701

inservice

!

webvpn context WEBVPN

ssl authenticate verify all

!

url-list "WEB_URL"

url-text "Internal_Website" url-value "http://192.168.1.2"

!

nbns-list "NBNS"

nbns-server 192.168.1.2

!

cifs-url-list "FILE_URL"

url-text "Internal_File" url-value "cifs://192.168.1.2"

!

policy group ADMIN

url-list "WEB_URL"

cifs-url-list "FILE_URL"

nbns-list "NBNS"

functions file-access

functions file-browse

hide-url-bar

default-group-policy ADMIN

aaa authentication list SSL

gateway SSLVPN

inservice

!

!

End

IV Kiểm tra

Đảm bảo trạng thái của Gateway và Context được UP

GATEWAY#sh webvpn gateway

Gateway Name Admin Operation

- - -

SSLVPN up up

GATEWAY#sh webvpn context

Codes: AS - Admin Status, OS - Operation Status

VHost - Virtual Host

Context Name Gateway Domain/VHost VRF AS OS

- - - - -

WEBVPN SSLVPN - - up up

Dùng trình duyệt WEB thực hiện kết nối Do hoạt động trên nền SSL nên sẽ yêu cầu chứng chỉ

để thực hiện việc xác thực Tuy nhiên ở PC chưa có chứng chỉ nên yêu cầu sự chấp nhận để cài đạt chúng chỉ

Nhập thông tin người dùng được khai báo trên router thông qua aaa

Lúc này có thể sử dụng được dịch vụ http hoặc chia sẽ file

Truy cập Web nội bộ thành công

Truy cập ứng dụng chia sẽ file Với thông tin người dùng được khai báo trên máy chủ mà thực hiện việc chia sẽ file

Truy cập thành công thư mục chia sẽ

Có thể thực hiện những mọi thao tác với thư mục và file được chia sẽ