Bảo mật lưu lượng mạng không dây – Phần 5

Chia sẻ: Abcdef_46 Abcdef_46 | Ngày: | Loại File: PDF | Số trang:6

Thêm vào BST

Báo xấu

144
lượt xem 12
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Quản trị mạng – Trong phần tiếp theo của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn một số tùy chọn bảo mật mạng không dây trong hệ điều hành Windows Server 2008. Một trong những giải pháp tốt nhất có thể thực hiện để bảo mật mạng không dây là tránh kết nối các điểm truy cập không dây trực tiếp với các đoạn mạng riêng tư mang nhiều thông tin nhạy cảm. Tốt hơn hết nên coi mạng không dây là một mạng không an toàn và yêu cầu tất cả máy khách tự...

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Bảo mật lưu lượng mạng không dây – Phần 5

Bảo mật lưu lượng mạng không dây – Phần 5 Quản trị mạng – Trong phần tiếp theo của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn một số tùy chọn bảo mật mạng không dây trong hệ điều hành Windows Server 2008. Một trong những giải pháp tốt nhất có thể th ực hiện để bảo mật mạng không dây là tránh kết nối các điểm truy cập không dây trực tiếp với các đoạn mạng riêng tư mang nhiều thông tin nhạy cảm. Tốt h ơn hết nên coi mạng không dây là một mạng không an toàn và yêu cầu tất cả máy khách tự minh chứng bản thân chúng là tin cậy trước khi được phép truy cập tài nguyên mạng. Phương thức này cũng giống như phương thức được sử dụng bởi máy chủ VPN. Các máy khách VPN kết nối với mạng thông qua Internet. Giống nh ư một mạng không dây, Internet là môi trường không tin cậy, vì vậy các máy khách VPN phải được xác thực trước khi được phép truy cập tài nguyên mạng. Cho rằng cả VPN và mạng không dây đều yêu cầu người dùng thiết lập kết nối từ một môi trường không tin cậy, khi đó các kỹ thuật bảo mật các kết nối n ày sẽ hoàn toàn giống nhau. Các tùy chọn bảo mật mạng không dây Microsoft cung cấp hai tùy chọn chính để bảo mật các mạng không dây (bên cạnh đó cũng có các giải pháp của các h ãng thứ ba). Tùy chọn thứ nhất là xác thực các kết nối không dây bằng PEAP-MS_CHAP v2 (trong bài chúng tôi dùng PEAP để đơn giản) và tùy chọn khác là sử dụng EAP-TLS. Sự khác biệt chủ yếu giữa hai ph ương pháp xác thực này là, phương pháp PEAP cho phép xác th ực thông qua việc sử dụng mật khẩu. Trong khi đó phương pháp EAP-TLS sử dụng các chứng chỉ số. Các chứng chỉ số này có thể tồn tại trên thẻ thông minh, hoặc có thể đ ược phát hành trực tiếp đến máy khách Windows bởi Enterprise Certificate Authority. Nói chung, PEAP phù h ợp hơn với các tổ chức có kích th ước nhỏ và trung bình vì nó đơn giản trong triển khai cũng như giá thành chi phí thấp. EAP-TLS thường được sử dụng trong các mô tr ường doanh nghiệp lớn, tuy nhiên cũng có thể được sử dụng trong các tổ chức nhỏ h ơn. Cả hai phương pháp đều thực hiện tốt việc điều khiển truy cập mạng không dây v à cả hai đều cho phép bạn quản lý tập trung bảo mật các máy khách.
Triển khai CA doanh nghiệp Không quan tâm đến việc bạn sử dụng PEAP hay EAP -TLS để xác thực l ưu lượng không dây, quá trình xác thực đều phụ thuộc vào việc sử dụng các chứng chỉ số. Trong trường hợp sử dụng PEAP, bạn có thể triển khai Enterprise Certificate Authority hoặc có thể mua chứng chỉ từ một CA th ương mại như VeriSign hoặc Go Daddy. Nếu sử dụng EAP-TLS, bạn sẽ cần phải có một CA doanh nghiệp vì việc xác thực máy khách sẽ dựa tr ên việc sử dụng các chứng chỉ chứ không phải mật khẩu, thêm vào đó bạn phải khả năng phát hành các chứng chỉ cần thiết cho máy khách. Do cả hai thiết kế đều có thể sử dụng CA doanh nghiệp nên chúng tôi sẽ giới thiệu cho cách triển khai và cấu hình CA doanh nghiệp của riêng bạn. Một số lưu ý Trước khi bắt đầu, chúng tôi muốn cung cấp cho các bạn một số l ưu ý. Đầu tiên đó là, cả hai thiết kế mà chúng tôi sẽ giới thiệu đều yêu cầu bạn phải có một Active Directory. Các thiết kế này sẽ không làm việc nếu mạng của bạn là mạng workgroup. Một vấn đề khác là, chúng tôi sẽ cài đặt CA doanh nghiệp vào một máy tính domain controller ch ạy Windows Server 2008 R2. Khi CA doanh nghiệp đ ược cài đặt xong, bạn sẽ không thể đặt lại tên của domain controller. Các bạn cũng phải nỗ lực để gia cố thêm máy chủ làm CA doanh nghiệp. Cần nhớ rằng, nếu có ai đó thỏa hiệp CA thì về cơ bản người này sẽ sở hữu được mạng của bạn. Việc gia cố thêm máy chủ nằm ngoài phạm vi của loạt bài này, tuy nhiên nơi bạn có thể thực hiện việc đó l à chạy Security Configuration Wizard của Microsoft. Vấn đề quan trọng nhất là bạn phải backup CA thường xuyên. Nếu máy chủ bị lỗi, toàn bộ quá trình xác thực của bạn sẽ bị đổ vỡ. Quá trình triển khai Bắt đầu quá trình bằng việc mở Server Manager và chọn mục Roles. Kích liên kết Add Roles, khi đó Windows sẽ khởi chạy Add Roles Wizard. Kích Next để băng qua màn hình chào của wizard, sau đó bạn sẽ thấy màn hình hỏi bạn muốn cài đặt role nào. Chọn Active Directory Certificate Services role như
hiển thị trong hình A và kích Next để tiếp tục. Hình A: Chọn Active Directory Certificate Services role Bạn sẽ thấy m àn hình giới thiệu Active Directory Certificate Services. Kích Next, Windows sẽ hỏi bạn về thành phần mà bạn muốn cài đặt. Lúc này, hãy chọn các tùy chọn Certification Authority và Certification Authority Web Enrollment. Phụ thuộc vào cách cấu hình máy chủ mà bạn sẽ thấy thông báo chỉ thị cần cài đặt một số dịch vụ role bổ sung. Nếu nhận đ ược thông báo này, hãy kích nút Add Required Role Services. Kích Next, Windows sẽ hỏi bạn muốn tạo Standalone Certificate Authority hay Enterprise Certificate Authority. Hãy ch ọn tùy chọn Enterprise và kích Next. Lúc này bạn sẽ thấy một thông báo hỏi bạn muốn tạo Root CA hay Subordinate CA. Do đây là CA đầu tiên nên bạn phải chọn tùy chọn Root CA như thể hiện trong hình B bên dưới.
Hình B: Chọn tùy chọn Root CA và kích Next. Màn hình tiếp theo sẽ hỏi bạn có muốn tạo khóa mới hay không hay muốn sử dụng khóa cũ hiện có. Do đây là một triển khai mới hoàn toàn nên chúng ta hãy tạo một khóa mới. Kích Next, Windows sẽ yêu cầu bạn cấu hình các thiết lập mã hóa cho CA. Kích Next để chấp nhận các gia trị mặc định. Lúc này bạn sẽ được nhắc nhở cung cấp tên cho CA. Mặc dù bạn có thể sử dụng các giá trị mặc định nhưng cách tốt nhất là chúng ta nên thay thành tên dễ nhớ. Cho ví dụ, bạn có thể thấy trong hình C chúng tôi đã đặt tên cho CA c ủa mình là Lab2-CA.
Hình C: Nên chọn tên dễ nhớ Kích Next, bạn sẽ thấy nhắc nhở chọn thời gian hiệu lực cho các chứng chỉ được phát hành bởi CA. Giá trị mặc định là 5 năm, tuy nhiên bạn có thể điều chỉnh tham số này nếu muốn. Kích Next, Windows sẽ yêu cầu bạn chọn vị trí cho c ơ sở dữ liệu chứng chỉ. Cần lưu ý như những gì chúng tôi đề cập ở trên là tầm quan trọng trong việc bảo vệ kho chứa chứng chỉ. Việc n ên làm ở đây là chọn một vị trí nào đó tồn tại mảng tự động chuyển đổi dự ph òng nếu có thể. Phụ thuộc vào việc bạn có bị yêu cầu thêm dịch vụ IIS role vào máy chủ hay không, màn hình tiếp theo mà bạn thấy có thể sẽ là một giới thiệu của IIS. Kích Next để chuyển sang màn hình tiếp theo. Lúc này bạn sẽ thấy một m àn hình hỏi có muốn cài đặt các dịch vụ role bổ sung hay không. Do Windows sẽ tự động chọn tất cả các dịch vụ role đ ược yêu cầu, vì vậy bạn không cần phải bổ sung thêm bất cứ dịch vụ nào mà chỉ cần kích Next để tiếp tục. Sau đó bạn sẽ thấy màn hình tóm tắt các tùy chọn cấu hình đã chọn, như thể hiện trong hình D. Hãy thẩm định lại mọi thông tin xuất hiện có đúng hay
không, sau đó kích Install. Khi quá trình cài đặt hoàn tất, kích Close. Hình D: Đọc qua bảng tóm tắt cấu hình để bảo đảm mọi thứ chính xác Kết luận Cho đến đây, chúng tôi đã giới thiệu cho các bạn cách triển khai một CA doanh nghiệp, đây là lúc chúng ta có thể bắt đầu xây dựng phần còn lại của cơ sở hạ tầng cần thiết cho việc bảo mật mạng không dây. Trong phần tiếp theo của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn cách thực thi bảo mật dựa tr ên PEAP. Văn Linh (Theo Windowsnetworking)