Bài giảng An toàn mạng máy tính nâng cao: Chương 1 - ThS. Nguyễn Duy

Bài giảng An toàn mạng máy tính nâng cao - Chương 1: Thiết kế và triển khai VPN cung cấp cho người học các kiến thức: VPN là gì, những lợi ích của VPN, những yêu cầu của VPN. Mời các bạn cùng tham khảo nội dung chi tiết.

Trang 1

CHƯƠNG 01 Thiết Kế và Triển Khai

VPN

q  Giảng Viên : Ths.Nguyễn Duy

q  Email : duyn@uit.edu.vn

Trang 2

Nội dung

q  Chương 1 : Giới thiệu VPN

q  Chương 2 : Các thành phần của VPN q  Chương 3 : Bảo mật trong VPN

q  Chương 4 : Các giao thức đường hầm q  Chương 5 : Thiết kế VPN

Trang 3

Nội dung

q  Chương 1 : Giới thiệu VPN

Trang 4

Chương 1 : Giới thiệu VPN

q  VPN là gì ?

q  Những lợi ích của VPN

q  Những yêu cầu của VPN

Trang 6

Những lợi ích của VPN

q  Bảo mật dữ liệu trên mạng WAN

Ø Sử dụng kĩ thuật Tunneling để truyền dữ liệu Ø Tăng cường bảo mật với các phương pháp

mã hóa, xác thực và ủy quyền

q  Giảm chi phí thiết lập

Ø VPN có giá thành thấp hơn ISDN, ATM và

Frame Relay

Trang 7

Những lợi ích của VPN

q  Giảm chi phí vận hành

Ø Nhân công

Ø Chi phí chi trả cho ISP hàng tháng để duy trì

q  Nâng cao kết nối

Ø Kết nối mọi nơi và mọi lúc

q  Nâng cấp dễ dàng

Trang 8

Những yêu cầu của VPN

q  Tính an toàn

Ø Theo dõi hoạt động của User VPN

Ø Phân vùng hoạt động của User VPN

Ø Tách biệt User VPN với User trong Domain Ø …

q  Tính sẵn sàng và sự tin cậy

Ø Độ sẵn sàng phụ thuộc chủ yếu vào ISP

Trang 9

Những yêu cầu của VPN

q  Chất lượng dịch vụ

Ø Latency

Ø Throughput

q  Cam kết của nhà cung cấp dịch vụ

Trang 10

Nội dung

q  Chương 2 : Các vấn đề chính của VPN

q  Chương 3 : Bảo mật trong VPN

Trang 12

Qui trình hoạt động của VPN

Các thành phần của VPN

Domain

Controller

VPN Client VPN Server

Trang 13

VPN Tunnel Tunneling Protocols Tunneled Data

VPN Client

Address and Name Server Allocation

DHCP Server

Domain

Controller

Authentication

Transit Network VPN

Server

Trang 14

q  VPN Server :

Ø Lắng nghe yêu cầu kết nối của VPN Client

Ø Xác thực thông tin kết nối của User

Ø Cung cấp cơ chế mã hóa dữ liệu

Ø …

q  VPN Client :

Ø Kết nối tới VPN Server

Ø Mã hóa dữ liệu ở máy client theo cơ chế đã được VPN Server yêu cầu

Trang 15

Ø Phân loại Tunnel

Trang 17

VPN Tunnel

q  Các thành phần kĩ thuật của Tunnel :

Ø  Mạng đích : Mạng chứa những tài nguyên được sử dụng từ xa bởi các máy khách ( home network )

Ø  Nút initiator : người khởi tạo phiên làm việc VPN Có thể là người dùng di động hoặc người trong mạng nội bộ

Ø  Home agent (HA) : Phần mềm nằm ở một điểm truy cập ở target

network HA sẽ nhận yêu cầu và kiểm tra xem máy chủ yêu cầu có thẩm quyền truy cập không Nếu kiểm tra thành công, nó sẽ bắt đầu

thiết lập đường hầm

Ø  Foreign agent : Phần mềm nằm trong initiator hoặc một điểm truy

cập mạng chứa initiator Initiator sử dụng FA để yêu cầu một phiên

làm việc VPN từ HA tại mạng đích

Trang 18

VPN Tunnel

q  Hoạt động của kĩ thuật đường hầm :

Ø  Pha I : điểm bắt đầu ( hay những client từ xa ) sẽ yêu

cầu thiết lập VPN, yêu cầu này sẽ được kiểm tra bởi

HA xem tính hợp pháp của nó

Trang 19

VPN Tunnel

q  Hoạt động của kĩ thuật đường hầm :

Ø  Pha II : Dữ liệu sẽ được truyền trong đường hầm

Trang 20

VPN Tunnel

q  Định dạng gói tin trong Tunnel :

Trang 21

VPN Tunnel

q  Phân loại Tunnel :

Ø  Voluntary Tunnel

Trang 22

VPN Tunnel

q  Phân loại Tunnel :

Ø  Compulsory Tunel

Trang 23

Mô hình hoạt động của VPN

q Remote Access

Trang 24

Mô hình hoạt động của VPN

q Site-to-Site

Trang 25

Nội dung

q  Chương 2 : Các thành phần của VPN

q  Chương 3 : Bảo mật trong VPN

Trang 27

Xác thực người dùng và quản lý truy cập

Trang 28

User authentication

q Xác thực người dùng (User authentication) :

là cơ chế xác nhận tính hợp lệ của người

dùng trong mạng riêng ảo

q Các dạng xác thực :

Ø Local (tại VPN Server)

Ø Remote (tại hệ thống xác thực khác : Domain Controller Server hoặc RADIUS Server)

Trang 29

Quản lý truy cập

q Sau khi đã xác thực thành công, người dùng

có khả năng truy cập vào dữ liệu

q Để tăng mức độ bảo mật cho hệ thống,

chúng ta nên có những chính sách sau để quản lý VPN User :

Ø Theo dõi hoạt động

Ø Phân quyền nghiêm ngặt

Trang 31

Mã hóa dữ liệu

q Mã hóa đối xứng : AES, DES, 3DES, RC4

Trang 32

Mã hóa dữ liệu

q Mã hóa bất đối xứng : Diffie-Hellman và RSA

Trang 33

PKI

q Các thành phần chính của PKI :

Ø Khách hàng PKI

Ø Người cấp giấy chứng nhận (CA)

Ø Người cấp giấy đăng ký (RA)

Ø Các giấy chứng nhận số (Certificate)

Ø Hệ thống phân phối các giấy chứng nhận (CDS)

Trang 34

PKI

q Các giao dịch trên PKI

Trang 36

CA đơn

Trang 37

Tin cậy giữa 2 CA

Trang 38

Thứ bậc

Trang 39

Lưới

Trang 40

Nội dung

q  Chương 2 : Các thành phần của VPN

q  Chương 3 : Bảo mật trong VPN

q  Chương 4 : Các giao thức đường hầm

q  Chương 5 : Thiết kế VPN

Trang 41

Các giao thức đường hầm

q Giao thức đường hầm lớp 2

Trang 42

Giao thức đường hầm lớp 2

q Các giao thức phổ biến ở lớp hai:

Ø Point-to-Point Tunneling Protocol (PPTP) Ø Layer 2 Forwarding (L2F)

Ø Layer 2 Tunneling Protocol (L2TP)

Trang 43

Trang 44

PPTP

q PPTP là một giải pháp mạng riêng cho phép bảo mật dữ liệu truyền giữa các máy khách

di động và máy chủ bằng cách thiết lập mạng riêng ảo dựa trên nền IP của mạng internet

q PPTP được phát triển bởi Microsoft Corporation, Ascend Communications,

3COM, US Robotics và ECI Telematics

q PPTP ( chủ và khách) nhận dữ liệu TCP và

IP ở cổng 1723 và cổng 47

Trang 46

PPTP

Trang 47

PPTP - Encapsulation

Trang 49

Generic Routing Encapsulation

Trang 51

PPTP – bảo mật

q Mã hóa và nén dữ liệu

Ø  PPTP không cung cấp cơ chế mã hóa để bảo mật dữ liệu PPTP sử dụng dịch vụ mã hóa dữ liệu được cung cấp bởi PPP

Ø  PPP sử dụng phương pháp mã hóa điểm tới điểm của Microsoft (MPPE - Microsoft Point-to-Point Encryption)

Ø  Phưương pháp mã hóa công khai-bí mật (ID và pass)

Trang 52

PPTP – bảo mật

q Chứng thực

Ø PAP (Password Authentication Protocol)

Ø MS-CHAP (Microsoft Challenge Handshake Authentication Protocol)

q Kiểm soát truy cập

q Access Right

q Permission

Trang 53

PAP

Trang 54

MS-CHAP

Trang 55

q MS-CHAP là một phiên bản được điều chỉnh

từ CHAP của Microsoft

q MS-CHAP có rất nhiều điểm tương đồng với CHAP nên các chức năng của MS-CHAP cũng tương tự các chức năng của CHAP

q Điểm khác biệt cơ bản :

Ø CHAP sử dụng giải thuật băm MD5 và mã RSA

Ø MS-CHAP sử dụng giải thuật băm RC4 và mã DES

Trang 56

Ø  Điểm yếu lớn nhất của PPTP là cơ chế bảo mật của nó yếu do

sử dụng mã hóa với khóa mã phát sinh từ password của user Ø  PPTP bảo mật yếu hơn so với ký thuật L2TP và IPSec

Trang 57

Trang 58

Layer 2 Forwarding

q Cisco Systems, cùng với Nortel, một trong

những doanh nghiệp đứng đầu về thị phần đã bắt đầu đưa ra giải pháp bảo mật có các chức năng

Trang 59

Trang 60

q  Qui trình tạo đường hầm trong L2F :

Ø  User từ xa đẩy Frame tới NAS được đặt ở ISP

Ø  POP loại bỏ thông tin về lớp Data Link hay các bytes trong suốt và công thêm header, trailer của L2F vào Frame Framme vừa được đóng gói tiếp tục được gửi đến mạng đích thông qua đường hầm

Ø  Gateway của máy chủ mạng nhận các gói được chuyển qua đường

hầm này, loại bỏ header và trailer của L2F và gửi tiếp Frame tới nút

đích trong mạng nội bộ

Ø  Nút đích xử lý Frame nhận được giống như một Frame bình thường, không thông qua đường hầm

Trang 61

q Qui trình tạo đường hầm trong L2F :

Trang 62

Layer 2 Forwarding – Bảo mật

Trang 63

Layer 2 Forwarding – Bảo mật

q L2F cung cấp các dịch vụ bảo mật

Ø Chứng thực :

§  L2F sử dụng PAP để chứng thực máy khách từ xa

§  L2F cũng sử dụng quy trình chứng thực sau để tăng cưòng bảo mật dữ liệu:

Trang 64

q Ưu điểm

Ø Tăng cường bảo mật

Ø Hỗ trợ nhiều kỹ thuật mạng : ATM, FDDI, IPX, NetBEUI và Frame Relay

q Nhược điểm

Ø Việc chứng thực và mã hóa ở L2F làm cho tốc

độ trong đường hầm của L2F thấp hơn so với PPTP

Trang 65

Trang 66

Layer 2 Tunneling Protocol – L2TP

q Được phát triển bởi IETF và được ủng hộ bởi các nhà công nghiệp khổng lồ như Cisco Systems, Microsoft, 3COM, và Ascend

q L2TP là sự kết hợp hai giao thức VPN sơ khởi PPTP và L2F

q L2TP cung cấp dịch vụ mềm dẻo với giá cả truy cập từ xa hiệu quả của L2F và tốc độ kết nối điểm tới điểm nhanh của PPTP

Trang 67

L2TP

q Lợi ích :

Ø L2TP hỗ trợ nhiều giao thức và kỹ thuật mạng: IP, ATM, FFR và PPP

Ø L2TP cho phép nhiều kỹ thuật truy cập trung gian

hệ thống thông qua Internet và các mạng công

cộng khác

Ø Việc chứng thực và kiểm quyền L2TP được thực hiện tại gateway của máy chủ

Trang 68

L2TP - Encapsulation

Trang 70

L2TP – Bảo mật

q Các phương pháp chứng thực thông dụng của L2TP

Ø PAP và SPAP

Ø EAP

Ø CHAP

Trang 71

L2TP

q Ưu điểm :

Ø L2TP tăng cường bảo mật bằng cách cách mã hóa

dữ liệu dựa trên IPSec trên suốt đường hầm và khả năng chưng thực gói của IPSec

Ø L2TP có thể hỗ trợ giao tác thông qua liên kết non-IP của mạng WAN mà không cần IP

q Khuyết điểm

Ø L2TP chậm hơn PPTP và L2F vì nó sử dụng IPSEc

để chứng thực từng gói nhận được

Trang 72

Trang 74

Nội dung

q  Chương 4 : Các giao thức đường hầm

q  Chương 5 : Thiết kế VPN

Trang 75

Mô hình 1

Trang 78

Mô hình 4

Trang 79

Mô hình 5

Trang 83

Mô hình 8 - 1

Định dạng
Số trang	84
Dung lượng	2,23 MB