Tài liệu Network Security and The Cisco PIX Firewall P8 pdf

CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT The PIX Firewall as a DHCP Server Phần này sẽ giải thích cách cấu hình PIX Firewall để hoạt động như là một DHCP Server Truyền thô

Trang 1

CHAPTER 8: DYNAMIC HOST CONFIGURATION PROTOCOL SUPPORT

Chương 8:

Dynamic Host Configuration Protocol Support

HỖ TRỢ GIAO THỨC CẤU HÌNH HOST ĐỘNG (DHCP) Tổng quan:

Chương này bao gồm các topic sau:

 Mục tiêu

 Giao thức cấu hình host động

 PIX Firewall là một server DHCP

 PIX Firewall là một client DHCP

 Tổng hợp

 Lab excersice

Tổng tiêu:

Trang 2

GIAO THỨC CẤU HÌNH HOST ĐỘNG

DHCP cũng có thể cấp phát những tham số cấu hình khác như là địa chỉ server DNS

,WINS và domain names (tên miền) Host cấp phát địa chỉ và các tham số cấu hình

cho DHCP clients gọi là DHCP server Một DHCP client là bất kỳ host nào sử dụng DHCP để lấy các tham số cấu hình

Lưu lương DHCP bao gồm các gói tin quảng bá của router để điều khiển sự gia tăng không cần thiết của các gói tin quảng bá, nó có thể là cần thiết để cho phép đẩy các gói tin quảng bá DHCP trên router giữa DHCP server và clients của nó Để có phần mềm CISCO IOS đẩy những gói tin quảng bá này, sử dụng lệnh cấu hình giao diện

Trang 3

Bất kỳ PIX Firewall nào mà chạy phiên bản 5.2 hoặc cao hơn đều hỗ trợ DHCP server và client Một DHCP server là một thiết bị cung cấp các tham số cấu hình cho một DHCP client, và một DHCP client là một thiết bị sử dụng DHCP để lấy các tham số cấu hình mạng

Trong một môi trường mạng được đảm bảo an ninh bởi PIX Firewall, PC clients kết nối đến PIX Firewall và thiết lập kết nối mạng để truy cập một mạng doanh nghiệp hoặc tập đoàn Như là một DHCP server, PIX Firewall cung cấp cho những PC này (là DHCP client của nó) những tham số mạng cần thiết để truy cập tới mạng của doanh nghiệp hay tổ chức., và một mạng inside PIX Firewall cung cấp các dịch vị mạng để sử dụng như là DNS server Giống như DHCP clients, PIX Firewall có thể lấy một địa chỉ IP, subnet mask, các tùy chọn và một tuyến đường mặc định từ một

Trang 4

The PIX Firewall as a DHCP Server

Phần này sẽ giải thích cách cấu hình PIX Firewall để hoạt động như là một DHCP Server

Truyền thông DHCP bao gồm một vài thông điệp được truyền qua giữa DHCP client

và DHCP server Dưới đây là các sự kiện sẽ xảy ra trong quá trình trao đổi này:

1 Client broadcast (quảng bá) một thông điệp DHCPDISCOVER trên cổng vật lý cục bộ đến DHCP server

2 Bất kỳ DHCP server nào nhận được thông điệp đó có thể đáp ứng với một thông điệp DHCPOFFER, thông điệp này bao gồm một địa chỉ mạng (địa chỉ phải tồn tại) và một vài tham số cấu hình khác

3 Dựa trên các tham số cấu hình được đưa ra trong thông điệp DHCPOFFER Client chọn một server để yêu cầu các tham số cấu hình Client quảng bá một thông điệp DHCPREQUEST yêu cầu đưa ra các tham số từ một server và hủy thông điệp từ tất cả các server khác

4 Server chọn trong thông điệp DHCPREQUEST đáp ứng với một thông điệp DHCPACK chưa các tham số cấu hình cho yêu cầu của client Nếu việc chọn server mà không đáp ứng được các yêu cầu của client (ví dụ trường hợp địa chỉ mạng yêu cầu đã được cấp phát) thì server sẽ phản hồi bằng một thông điệp

Trang 5

Để kích hoạt DHCP server hỗ trợ trên PIX Firewall, hoàn thành các bước dưới đây:

1 Gán một địa chỉ IP tĩnh cho inside interface bằng cách sử dụng lệnh ip

address

2 Chỉ định một dải các địa chỉ cho DHCP server dùng để phân phối bằng lệnh

dhcp address

3 Chỉ định địa chỉ IP của DNS server mà client sẽ sử dụng bằng lệnh dhcp dns

Bước này là tùy chọn

4 Chỉ định địa chỉ IP của WIN server mà client sẽ sử dụng bằng lệnh dhcp

wins Bước này cũng là tùy chọn

Trang 6

Lệnh dhcp address chỉ định dải địa chỉ IP cho server để phân phối Dải địa chỉ này

cần phải cùng với subnet interface của PIX Firewall Hay client cần được kết nối vật lý đến subnet của interface của PIX Firewall Hỗ trợ 32 địa chỉ trong một dải

mặc định interface name là inside (và chỉ hỗ trợ interface này) Lệnh no dhcpd

address gỡ sẽ gỡ dải địa chỉ của DHCP server

Trong PIX Firewall phiên bản 5.3 trở lên, luôn có lệnh dhcpd ping timeout DHCP

server có thể ping một địa chỉ trước khi cấp phát nó cho một client Nếu một hồi âm

là đã nhận được ping, địa chỉ sẽ được gỡ bỏ khỏi dải địa chỉ và sẽ không được gán

nữa Lệnh dhcpd ping_timeout được sử dụng để chỉ định khoảng thời gian DHCP

server sẽ chờ trước khi cấp phát một địa chỉ cho một client

Dưới đây là cú pháp lệnh dhcpd address:

dhcpd address ip1[-ip2] [if_name]

Address ip1[ip2] Dải địa chỉ IP Kích thước giới hạn là 32 địa chỉ

If_name Tên của interface Mặc định là inside (và nó chỉ hỗ trợ

inside interface)

Trang 7

Lệnh dhcpd dns chỉ định địa chỉ IP của DNS server cho DHCP clients Hỗ trợ 2 DNS server có thể được chỉ định với lệnh này Sử dụng lệnh no dhcpd dns để gỡ

địa chỉ IP trong cấu hình

Cú pháp lệnh dhcpd dns:

dhcpd dns dns1 [dns2]

Dns dns1[dns2] Địa chỉ của DNS server cho DHCP client Địa chỉ thứ 2

là tùy chọn (dns2)

Trang 8

Lệnh dhcpd wins có thể được sử dụng để chỉ định hỗ trợ 2 WINS server cho DHCP

server clients sử dụng Lệnh này là tùy chọn

Lệnh no dhcpd wins gỡ bỏ địa chỉ IP của WINS server Cú pháp lệnh dhcp wins:

dhcpd wins wins1 [wins2]

wins wins1[wins2] Địa chỉ IP của tên server Microsoft NetBios (WINS

servers) Server thứ 2 là tùy chọn (wins2)

Trang 9

Lệnh dhcpd lease chỉ định thời gian (tính bằng giây) mà client có thể sử dụng để

gán địa chỉ IP Mặc định là 3600 giấy Lease length (chiều dài của lease) tối thiểu là

300 giây, tối đa là 2.147.483.647 giây

Cú pháp lệnh dhcpd lease:

dhcpd lease lease_length

lease lease_length Khoảng thời gian tính bằng giây Lease chỉ ra độ dài

(về thời gian) mà client có thể sử dụng để gán địa chỉ

IP Mặc định là 3600 giấy Lease length tối thiểu là

300 giây, tối đa là 2.147.483.647 giây

Trang 10

Để tránh xung đột địa chỉ IP DHCP server trong PIX Firewall sẽ ping đến một địa chỉ trước khi cấp phát nó cho một client Nếu một phản hồi lại ping là đã nhận được,

PIX Firewall sẽ gỡ bỏ địa chỉ đó ra khỏi dải địa chỉ của DHCP address Trong phần mềm PIX Firewall phiên bản 5.3 trở lên, thời gian tính bằng mili giây mà DHCP

server chờ một response (phản hồi) có thể được cấu hình sử dụng lệnh dhcpd

ping_timeout.Mặc định là 750 mili giây, cực tiểu là 100 và cực đại là 10000 Lệnh

no dhcpd ping_timeout có thể được sử dụng để reset giá trị timeout về mặc định

Cú pháp lệnh dhcpd ping_timeout:

dhcpd ping_timeout timeout

Ping_timeout timeout Chỉ định thời gian của DHCP server chờ trước khi định

vị một địa chỉ cho một client

Trang 11

Bạn có thể cấu hình domain name mà client sẽ sử dụng với lệnh dhcpd domain

Đây là một tùy chọn trong cấu hình PIX Firewall như là một DHCP server Sử dụng

dạng no của lệnh đó (no dhcpd domain) để gỡ bỏ cấu hình domain name

Cú pháp lệnh dhcp domain:

dhcpd domain domain_name

Domain domian_name DNS domain name (ví dụ: dantri.com;

cisco.com)

Trang 12

Sử dụng lệnh dhcpd enable để cho phép DHCP trong PIX Firewall lắng nghe yêu

cầu của DHCP client trên interface được phép (interface được kích hoạt trong câu

lệnh) Hiện tại bạn chỉ có thể kích hoạt đặc tính DHCP server trên inside interface

và đây cũng chính là giá trị mặc định Sử dụng dạng no của lệnh đó để disable DHCP (Note: khi mình sử dụng thuật ngữ “dạng no của lệnh xyz nào đó tức là lệnh:

no xyz”) Cú pháp của lệnh dhcpd enable:

dhcpd enable [if_name]

định là inside interface DHCP server chỉ có thể kích hoạt trên inside interface

Trang 13

Lệnh debug dhcpd hiển thị thông tin của DHCP server Sử dụng lệnh debug dhcpd

event để hiển thị các thông tin sự kiện về DHCP server và sử dụng lệnh debug dhcpd packet để hiển thị thông tin packet về DHCP server Sử dụng dạng no của

lệnh debug dhcpd để disable debuging

Cú pháp lệnh debug dhcpd:

debug dhcpd event | packet

Debug event Hiển thị các thông tin sự kiện của DHCP server

Dhcp packet Hiển thị các thông tin packet của DHCP server

Lệnh clear dhcpd có thể được sử dụng để xóa tất cả lệnh dhcp, tập hợp và thống kê thông tin Sử dụng dạng no của lệnh clear dhcpd để gỡ bỏ tất cả các khai báo lệnh

dhcpd

Trang 14

The PIX Firewall as a DHCP Client

Phần này sẽ giải thích cách cấu hình PIX Firewall như là một DHCP client

Sử dụng lệnh ip address dhcp kích hoạt đặc tính DHCP client trên PIX Firewall

DHCP client hỗ trợ trong PIX Firewall được thiết kế sử dụng trong gia đình hoặc văn phòng nhỏ sử dụng một PIX Firewall kết nối trực tiếp đến một DSL hoặc cáp của modem mà hỗ trợ chức năng DHCP server Ouside interface có thể có được địa chỉ và subnet mask của nó từ một DHCP server Địa chỉ này sau đó được sử dụng như là địa chỉ global PAT Chính điều này làm cho ISP không cần thiết phải gán địa chỉ IP tĩnh cho PIX Firewall

Cú pháp lệnh ip address dhcp:

ip address if_name dhcp [setroute]

ip address outside dhcp [setroute] [retry retry_cnt]

If_name Tên interface bên trong hoặc bên ngoài được thiết kế bởi lệnh

nameif

Trang 15

Retry_cnt Chỉ định thời gian PIX Firewall lấy thông tin DHCP, giá trị sẵn

có là 4 đến 16 nếu không đưa ra giá trị nào thì mặc định sẽ là 4

Trang 16

Các lệnh debug dhcpc packet, debug dhcpc detail và dhcpc error hiển thị thông

tin về DHCP lease

Sử dụng dạng no của các lệnh này để disable debugging

Cú pháp lệnh debug:

debug dhcpc

Dhcpc detail Hiển thị thông tin chi tiết về DHCP client packets

Dhcpc error Hiển thị thông điệp lỗi DHCP client

Dhcpc packet Hiển thị thông tin packet DHCP client

Trang 17

Sử dụng lệnh dhcp auto_config để kích hoạt PIX Firewall tự động cấu hình các

tham số nó nhận được từ một DHCP server đến DHCP client của chính nó DHCP

cần phải được kích hoạt bằng lệnh dhcp enable để sử dụng lệnh dhcp auto_config

Sử dụng dạng no của lệnh này để disable đặc tính auto_config

Cú pháp của lệnh dhcp auto_config

dhcpd auto_config [client_ifx_name]

no dhcpd auto_config [client_ifx_name]

Auto_config Kích hoạt PIX Firewall tự động cấu hình DNS, WINS và

domain name từ DHCP client đến DHCP server

Client_ifx_name Chỉ hỗ trợ ouside interface tại thời điểm này Khi mà nhiều

Trang 18

Lab Exercise—Configure the PIX Firewall’s DHCP Server and Client Features Mục tiêu: trong bài lab này các bạn sẽ hoàn thành các nhiệm vụ sau:

 Kiểm tra địa chỉ Ip của inside PIX Firewall

 Cấu hình đặc tính DHCP server PIX Firewall

 Kiểm tra đặc tính DHCP server PIX Firewall

 Disable DHCP trên NT server

 Disable đặc tính DHCP server PIX Firewall

Topo:

Nhiệm vụ 1 – kiểm tra địa chỉ IP inside PIX Firewall

Bạn cần hoàn thành các bước sau đây:

Bước 1: hiển thị cấu hình địa chỉ IP hiện tại

pixP(config)# show ip address

Bước 2: đảm bảo rằng địa chỉ IP trên inside interface là 10.0.P.1

Trang 19

Nhiệm vụ 2 – cấu hình các đặc tính PIX Firewall’s DHCP server Bước 1: chỉ định một dải địa chỉ cho DHCP server để cấp phát

pixP (config)# dhcpd address 10.0.P.51-10.0.P.60 inside

Bước 2: chỉ định địa chỉ IP của DNS server mà client sẽ sử dụng

pixP (config)# dhcpd dns 10.0.P.75

Bước 3: chỉ định địa chỉ IP của WINS server mà client sẽ sử dụng

pixP (config)# dhcpd wins 10.0.P.76

Bước 4: chỉ định lease

pixP (config)# dhcpd lease 3000

Bước 5: cấu hình domain name mà client sử dụng

pixP (config)# dhcpd domain cisco.com

Bước 6: kích hoạt DHCP trong PIX Firewall để “lắng nghe” các yêu cầu của DHCP client trên interface được phép

pixP (config)# dhcpd enable inside

Bước 7: Hiển thị cấu hình DHCP và sự tống hợp

pixP (config)# show dhcpd

Trang 20

Bước 4: chọn TCP/IP cà click vào propertise cửa sổ Internet Protocol (TCP/IP)

Properties được mở

Bước 5: chọn Obtain an IP address automatically

Bước 6: click Ok

Bước 7: OK

Bước 8: đóng cửa sổ Local Area Connection Status

Bước 9: đóng cửa sổ Network and Dial-up Connections

Bước 10: mở một dấu nhắc lệnh Windows NT và làm mới lại địa chỉ IP

Bước 12: thiết lập một kết nối đến web server tại 172.26.26.50 (http://172.26.26.50)

Nhiệm vụ 4 – disable DHCP trên NT server

Bước 1: kích phải vào biểu tượng My Network Places trên desktop Windows NT

và chọn Propertise Cửa sổ Network and Dial-up Connections được mở

Bước 2: nháy đúp vào biểu tượng Local Area Connection

Bước 3: click Propertise

Bước 4: chọn TCP/IP cà click vào propertise cửa sổ Internet Protocol (TCP/IP)

Properties được mở

Bước 5: chọn Specify an IP address

Bước 6: nhập 10.0.P.3 trong text box địa chỉ IP

Bước 7: nhập 255.255.255.0 trong text box subnet mask

Bước 8: nhập 10.0.P.1 trong text box default gateway

Bước 9: click Advanced

Bước 10: click Add

Bước 11: trong hộp TCP/Ip nhập địa chỉ Ip là 10.1.P.3, subnet mask là

Trang 21

Bước 14: OK

Bước 15: OK

Bước 16: đóng cửa sổ Local Area Connection Status

Bước 17: đóng cửa sổ Network and Dial-up Connections

Bước 18: khởi động lại máy tính

Bước 19: kiểm tra cấu hình được cung cấp bở PIX Firewall’s DHCP server vừa mới

gỡ bỏ và cấu hình địa chỉ IP tồn tại trên máy tính Windows NT server

 (where P = pod number)

Nhiệm vụ 5 – Disable các đặc tính PIX Firewall’s DHCP server Bước 1: từ dấu nhắc lệnh của Windows NT, telnet đến router backone

C:\> telnet 10.0.P.100

Trang 22

Bước 5: kiểm tra đặc tính DHCP vừa mới bị disable

pixP (config)# show dhcpd

Bước 6: ghi lại cấu hình

pixP(config)# write memory

Trang 23

Configure the PIX Firewall’s DHCP Client Feature Cấu hình đặc tính PIX Firewall’ DHCP client Mục tiêu: trong bài lab này bạn sẽ hoàn thành các nhiệm vụ sau

 Cấu hình PIX Firewall để sử dụng địa chỉ outside interface cho PAT

 Cấu hình router để cho phép DHCP broadcast

 Cấu hình các đặc tính PIX Firewall’s DHCP client

 Kiểm tra DHCP client và PAT

 Gỡ bỏ cấu hình DHCP client

Topo

Trang 24

Bước 3: cấu hình PAT sử dụng địa chỉ ousit interface

pixP(config)# global (outside) 1 interface

(where P = pod number)

Nhiệm vụ 2 – cấu hình router cho phép DHCP broadcast

Bước 1: từ dấu nhắc lệnh Wndows NT, telnet đến router backone

C:\> telnet 10.0.P.100

Bước 2: khi nhắc mật khẩu, ấn Enter

Bước 3: kết nối đến router vành đai

rbb> rP

Bước 4:vào chế độ đặc quyền

rP> enable

Bước 5: khi nhắc mật khẩu, nhập cisco

Bước 6: nhập chế độ cấu hình cục bộ

rP# configure terminal

Bước 7: truy cập vào inside interface

rP(config)# interface e0/0

Bước 8: cấu hình router cho phép DHCP broadcast, bởi vì server bacone là là DHCP server, sử dụng địa chỉ của nó 172.25.25.50

rP(config-if)# ip helper-address 172.26.26.50

Bước 9: thoát chế độ cấu hình bằng cách ấn Ctrl+Z

Bước 10: ghi lại cấu hình

rP# write memory

Nhiệm vụ 3 – cấu hình đặc tính PIX Firewall’ DHCP client

Bước 1: kết nối đến PIX Firewall, vào chế độ cấu hình và gỡ cấu hình địa chỉ IP hiện tại

Tiêu đề	Dynamic host configuration protocol support
Tác giả	Trần Giáo
Trường học	Đại học Thái Nguyên
Chuyên ngành	Công nghệ thông tin
Thể loại	Chương sách
Thành phố	Thái Nguyên

Định dạng
Số trang	26
Dung lượng	1,2 MB