Đề tài: Hệ thống lọc gói trong IPV6

Đề tài: Hệ Thống Lọc Gói Trong IPv6<br /> <br /> GVHD: Nguyễn Thị Phương Dung<br /> <br /> Phần I : Lý Thuyết............................................................................................................ 4<br /> 1. Hệ thống lọc gói IPv4............................................................................................ 5<br /> 1.1<br /> Hệ thống lọc gói trong IPv4 kiểu phi trạng thái......................................... 6<br /> 1.1.1<br /> Lọc dựa trên cổng kết nối.................................................................... 7<br /> 1.1.2<br /> Lọc dựa trên các cờ TCP...................................................................... 9<br /> 1.1.3<br /> Lọc dựa trên địa chỉ.............................................................................. 9<br /> 1.1.4<br /> Lọc các gói phân mảnh ....................................................................... 11<br /> 1.1.5<br /> Lọc các gói ICMP................................................................................ 12<br /> 1.1.6<br /> Lọc dựa trên Options của IP.............................................................. 12<br /> 1.1.7<br /> Lọc các lưu lượng đường hầm ........................................................... 13<br /> 1.1.8<br /> IPsec ..................................................................................................... 14<br /> 1.2<br /> Hệ thống lọc gói trong IPv4 kiểu có trạng thái ........................................ 16<br /> 1.2.1<br /> Lọc dựa vào giao thức TCP................................................................ 17<br /> 1.2.2<br /> Lọc các gói UDP .................................................................................. 19<br /> 1.2.3<br /> Lọc các gói ICMP................................................................................ 19<br /> 1.2.4<br /> Lọc gói dựa trên đặc điểm của lưu lượng ......................................... 20<br /> 1.2.5<br /> Lọc các gói phân mảnh ......................................................................... 21<br /> 2. Hệ thống lọc gói trong IPv6................................................................................ 22<br /> 2.1<br /> Hệ thống lọc gói trong IPv6 kiểu phi trạng thái....................................... 23<br /> 2.1.1<br /> Lọc gói dựa trên địa chỉ...................................................................... 24<br /> 2.1.2<br /> Lọc các gói ICMPv6............................................................................ 24<br /> 2.1.3<br /> Lọc các tiêu đề mở rộng của IPv6...................................................... 25<br /> 2.1.3.1 Tiêu đề mở rộng Hop-by-Hop........................................................ 25<br /> 2.1.3.2 Tiêu đề mở rộng Destination.......................................................... 25<br /> 2.1.3.3 Tiêu đề mở rộng Routing ............................................................... 26<br /> 2.1.3.4 Tiêu đề mở rộng Fragment ............................................................ 26<br /> 2.1.3.5 IPsec ................................................................................................. 27<br /> 2.1.4<br /> Kỹ thuật chuyển tiếp từ IPv4 sang IPv6 ........................................... 28<br /> 2.1.5<br /> Lọc các gói tin tại biên của hệ thống mạng IPv6.............................. 28<br /> 2.2<br /> Hệ thống lọc gói trong IPv6 kiểu có trạng thái ........................................ 30<br /> 2.2.1<br /> Flow Label ........................................................................................... 30<br /> 2.2.2<br /> Flow label và lọc gói có trạng thái ..................................................... 31<br /> Phần II : Triển khai hệ thống lọc gói IPv6 trên FreeBSD.......................................... 32<br /> 3. Giới thiệu FreeBSD............................................................................................. 33<br /> 4. Công cụ lọc gói IPv6 trong FreeBSD................................................................. 34<br /> 5. Triển khai hệ thống lọc gói IPv6........................................................................ 36<br /> 5.1<br /> Đặt vấn đề .................................................................................................... 36<br /> 5.2<br /> Yêu cầu......................................................................................................... 36<br /> 5.3<br /> Mô hình mạng ............................................................................................. 36<br /> 5.4<br /> Tài nguyên sử dụng..................................................................................... 37<br /> 5.5<br /> Thực hiện ..................................................................................................... 37<br /> 5.5.1<br /> Xây dựng FreeBSD router ................................................................. 38<br /> 5.5.2<br /> Xây dựng Web server IPv6 ................................................................ 38<br /> 5.5.3<br /> Xây dựng DNS server IPv6 ................................................................ 38<br /> 5.5.4<br /> Cấu hình SSH cho phép điều khiển truy cập từ xa.......................... 40<br /> 5.6<br /> Xây dựng kịch bản và triển khai lọc gói ................................................... 41<br /> <br /> Sinh viên: Nguyễn Thanh Sơn<br /> <br /> 1<br /> <br /> Đề tài: Hệ Thống Lọc Gói Trong IPv6<br /> <br /> GVHD: Nguyễn Thị Phương Dung<br /> <br /> 5.6.1<br /> Kiểm thử lưu lượng ICMPv6............................................................. 41<br /> 5.6.2<br /> Kiểm thử lưu lượng DNS.................................................................... 43<br /> 5.6.3<br /> Kiểm thử lưu lượng Web.................................................................... 44<br /> 5.6.4<br /> Điều khiển lưu lượng SSH.................................................................. 45<br /> Phần III :<br /> Kết Luận ............................................................................................... 48<br /> Phần Phụ lục<br /> Giới Thiệu Hạ Tầng IPv6 ............................................................... 50<br /> 6. Giới thiệu IPv6 .................................................................................................... 50<br /> 7. Hạ tầng IPv6........................................................................................................ 50<br /> 7.1<br /> Tiêu đề IPv6..................................................................................................... 50<br /> 7.2<br /> Tiêu đề mở rộng .............................................................................................. 51<br /> 7.3<br /> Cấu trúc địa chỉ mới ....................................................................................... 55<br /> 7.3.1<br /> Định danh Interface (interface ID)........................................................ 56<br /> 7.4<br /> Các loại địa chỉ trong IPv6............................................................................. 56<br /> 7.4.1<br /> Địa chỉ Unicast......................................................................................... 57<br /> 7.4.2<br /> Địa chỉ Anycast........................................................................................ 60<br /> 7.4.3<br /> Địa chỉ Multicast ..................................................................................... 60<br /> 7.5<br /> Giao thức ICMPv6.......................................................................................... 61<br /> 7.6<br /> Giao thức Neighbor discovery ....................................................................... 62<br /> 7.6.1<br /> Các loại thông điệp Neighbor Discovery............................................... 62<br /> 7.6.2<br /> Định dạng của Neighbor Discovery options ......................................... 64<br /> 7.6.3<br /> Neighbor Discovery và các thông điệp Options tương ứng................. 66<br /> 7.6.4<br /> Các chức năng hoạt động của Neighbor Discovery ............................. 67<br /> 7.6.4.1 Duplicate address detection ............................................................... 67<br /> 7.6.4.2 Neighbor Unreachability Detection................................................... 67<br /> 7.6.4.3 Network prefix assignment ................................................................ 67<br /> 7.6.4.4 Tự động cấu hình địa chỉ.................................................................... 68<br /> <br /> Sinh viên: Nguyễn Thanh Sơn<br /> <br /> 2<br /> <br /> Đề tài: Hệ Thống Lọc Gói Trong IPv6<br /> <br /> GVHD: Nguyễn Thị Phương Dung<br /> <br /> Lời giới thiệu<br /> <br /> Hệ thống lọc gói cho phép lọc lưu lượng vào và ra hệ thống mạng của tổ chức,<br /> nhằm chống lại những truy cập trái phép hoặc hạn chế những truy cập ra bên ngoài.<br /> Khi hệ thống mạng internet có xu hướng chuyển dần sang môi trường IPv6 để<br /> thỏa mãn nhu cầu về không gian địa chỉ, cũng như những ưu điểm trong hổ trợ điều khiển<br /> chất lượng dịch vụ và bảo mật truyền thông, thì hệ thống lọc gói IPv6 vẫn tiếp tục được<br /> sử dụng, phát triển khả năng kiểm tra và ngăn chặn bước đầu trong chiến lược bảo mật hệ<br /> thống mạng của một tổ chức.<br /> Do tính thời sự của nhu cầu chuyển tiếp sang mạng IPv6 cũng như sự cấp thiết<br /> bảo mật hệ thống mạng, Tôi đã chọn đề tài “nghiên cứu Hệ Thống Lọc Gói Trong IPv6”<br /> cho đồ án tốt nghiệp của mình.<br /> Đề tài được triển khai trên hệ thống mã nguồn mở, sử dụng hệ điều hành<br /> FreeBSD và được chia thành 4 phần như sau:<br /> Phần 1: lý thuyết hệ thống lọc gói, giới thiệu về lý thuyết lọc gói của IPv4 và<br /> IPv6.<br /> Phần 2: thực hành, giới thiệu và mô tả những ưu điểm của FreeBSD. Triển khai<br /> hệ thống lọc gói trên FreeBSD.<br /> Phần 3: kết luận, đánh giá những kết quả đạt được của đồ án, những thiếu xót, hạn<br /> chế và hưóng phát triển của đề tài.<br /> Phần phụ lục: trong phần này, giới thiệu về hạ tầng mạng IPv6 nhằm làm rõ hơn<br /> lý thuyết lọc gói của IPv6.<br /> Tháng 11, năm 2006<br /> Sinh viên<br /> Nguyễn Thanh Sơn<br /> <br /> Sinh viên: Nguyễn Thanh Sơn<br /> <br /> 3<br /> <br /> Đề tài: Hệ Thống Lọc Gói Trong IPv6<br /> <br /> GVHD: Nguyễn Thị Phương Dung<br /> <br /> Phần I : Lý Thuyết<br /> <br /> Trong phần này, tập trung làm rõ lý thuyết lọc gói, phân tích các loại lưu lượng,<br /> nhận dạng và đưa ra cách giải quyết. Từ đó, có cái nhìn tổng quan về hệ thống lọc gói,<br /> tạo tiền đề triển khai trên hệ thống thực.<br /> Nội dung chính của phần này gồm:<br /> 1.<br /> <br /> Hệ thống lọc gói IPv4<br /> 1.1<br /> Hệ thống lọc gói trong IPv4 kiểu phi trạng thái<br /> 1.2<br /> Hệ thống lọc gói trong IPv4 kiểu có trạng thái<br /> <br /> 2.<br /> <br /> Hệ thống lọc gói trong IPv6<br /> 2.1<br /> Hệ thống lọc gói trong IPv6 kiểu phi trạng thái<br /> 2.2<br /> Hệ thống lọc gói trong IPv6 kiểu có trạng thái<br /> <br /> Sinh viên: Nguyễn Thanh Sơn<br /> <br /> 4<br /> <br /> Đề tài: Hệ Thống Lọc Gói Trong IPv6<br /> <br /> GVHD: Nguyễn Thị Phương Dung<br /> <br /> 1. Hệ thống lọc gói IPv4<br /> Lọc gói là một hệ thống thực hiện việc kiểm tra và lọc lưu lượng trên một host<br /> hay tại một ví trí cần thiết trong hạ tầng mạng của một tổ chức.<br /> Các thành tố chính của một hệ thống lọc gói là:<br /> •<br /> <br /> Chính sách (policy)<br /> <br /> •<br /> Luật (rules): áp dụng cụ thể chính sách vào hệ thống lọc gói thông qua<br /> công tác nhận diện lưu lượng và điều khiển lưu lượng tương ứng. Cụ thể<br /> như :<br /> o<br /> Nhận diện lưu lượng: hệ thống lọc gói dựa vào một số tiêu chí để<br /> nhận diện lưu lượng như: điểm xuất phát của lưu lượng, điểm đến lưu<br /> lượng , lọai lưu lượng (web, mail, telnet..), đặc điểm lưu lượng<br /> (fragment, cờ TCP (syn, cờ rst…).<br /> o<br /> Điều khiển lưu lượng: hệ thống lọc gói điều khiển lưu lượng<br /> bằng cách cho phép các gói tin đi qua (allow), chặn các gói tin lại<br /> (drop) hoặc chuyển tiếp các gói tin (forward)…<br /> Hệ thống lọc gói hoạt động thông qua cơ chế so khớp các gói tin dựa trên các luật<br /> được định nghĩa trước.<br /> Trong hệ thống lọc gói IPv4 có hai trường hợp: lọc gói trong IPv4 kiểu phi trạng<br /> thái và lọc gói trong IPv4 kiểu có trạng thái.<br /> <br /> Sinh viên: Nguyễn Thanh Sơn<br /> <br /> 5<br /> <br />