DYNAMIC ACCESS LISTS<o></o>
Xét ngữ cảnh sau: admin tạo một Access List (ACL) để cấm không cho các PC trên mạng 10.0.0.0 truy xuất ra bên ngoài.
Tuy nhiên, vì một số lý do nào đó, admin muốn tạm thời cho phép một vài PC trên mạng 10.0.0.0 được phép truy xuất ra bên
ngoài trong một khoảng thời gian định trước. Để thực hiện điều này, admin có 2 giải pháp:<o></o>
Chỉnh sửa lại ACL trên router<o></o>
Sử dụng dynamic ACLTrước hết, chúng ta tìm hiểu một số khái niệm liên quan đến dynamic ACL.
1.Lock-and-Key
Là một đặc tính bảo mật cho phép lọc các IP traffic động.<o></o>
Được cấu hình với IP dynamic extended ACL.Khi Lock-and-Key được cấu hình, những người dùng mà traffic của họ đang bị
cấm bởi ACL có thể tạm thời được phép đi qua router trong một khoảng thời gian định trước. Khi được kích hoạt, lock-and-
key sẽ cấu hình lại ACL đang được áp dụng trên interface để cho phép những người dùng xác định trước được phép đi qua
interface. Sau một khoảng thời gian định nghĩa trước, lock-and-key sẽ cấu hình interface trở lại trạng thái ban đầu.
Với lock-and-key, admin có thể cho phép người dùng được phép tạm thời vượt qua firewall trong khi vẫn giảm thiểu nguy cơ
tấn công vào hệ thống mạng.
2.Khi nào sử dụng Lock-and-Key
Khi bạn muốn một người dùng ở xa (hay một nhóm người dùng ở xa) có thể truy xuất vào một host bên trong hệ thống mạng
của bạn thông qua Internet. Lock-and-key sẽ chứng thực người dùng, sau đó sẽ cho phép truy xuất có giới hạn (thông qua
firewall router) vào một host hay một subnet trong một khoảng thời gian định trước.<o></o>
Khi bạn muốn một số host trong mạng LAN truy xuất đến một remote host được bảo vệ bởi một firewall. Các host này đòi hỏi
phải được chứng thực thông qua TACACS+ server hay một server chứng thực khác trước khi được phép truy xuất đến remote
host
3.Lock-and-Key làm việc như thế nào
User telnet đến router firewall biên (border firewall router) được cấu hình lock-and-key.
<o></o>Hệ điều hành mạng Cisco IOS nhận gói tin telnet, mở một phiên làm việc telnet, yêu cầu người dùng nhập mật khẩu
và thực thi quá trình chứng thực người dùng. Người dùng phải được chứng thực thành công trước khi có thể vượt qua firewall
để ra ngoài. Quá trình chứng thực được thực thi bởi chính router hay TACACS+, RADIUS server.
<o></o>Khi quá trình chứng thực thành công, người dùng sẽ tự động thoát ra khỏi phiên làm việc telnet và phần mềm sẽ tạo
ra một entry (mục) tạm thời trong dynamic ACL.
<o></o>Lúc này, người dùng đã có thể trao đổi dữ liệu qua firewall.<o></o>
Phần mềm sẽ tự động xóa entry tạm thời khi hết thời gian time-out được cấu hình hoặc khi admin xóa bằng tay.(còn tiếp)
4. Nguy cơ spoofing với lock-and-key
Khi lock-and-key được kích hoạt, nó sẽ tự mở một "cánh cửa" trên firewall, bằng cách tạm thời cấu hình lại interface, để cho
phép người dùng truy xuất qua. Khi "cánh cửa" này đang mở, một host khác có thể spoof địa chỉ của người dùng đã được
chứng thực để đoạt quyền truy xuất qua firewall5. Các điều kiện tiên quyết cho việc cấu hình Lock-and-Key
Sử dụng IP extended ACL.
Triển khai quá trình chứng thực và phân quyền người dùng theo mô hình AAA của Cisco.
Sử dụng lệnh autocommand.Các thí dụ cấu hình
Thí dụ 1
username name password password
interface ethernet0
ip address 172.18.23.9 255.255.255.0
ip access-group 101 in
access-list 101 permit tcp any host 172.18.23.2 eq telnet
access-list 101 dynamic mytestlist timeout 120 permit ip any any
line vty 0
login local
autocommand access-enable timeout 5
Thí dụ 2
aaa authentication login default tacacs+ enable
aaa accounting exec stop-only tacacs+
aaa accounting network stop-only tacacs+
enable password ciscotac
isdn switch-type basic-dms100
interface ethernet0
ip address 172.18.23.9 255.255.255.0
!
interface BRI0
ip address 172.18.21.1 255.255.255.0
encapsulation ppp
dialer idle-timeout 3600
dialer wait-for-carrier-time 100
dialer map ip 172.18.21.2 name diana
dialer-group 1
isdn spid1 2036333715291
isdn spid2 2036339371566
ppp authentication chap
ip access-group 102 in
!
access-list 102 permit tcp any host 172.18.21.2 eq telnet
access-list 102 dynamic testlist timeout 5 permit ip any any
!
!
ip route 172.18.250.0 255.255.255.0 172.18.21.2
priority-list 1 interface BRI0 high
!
tacacs-server host 172.18.23.21
tacacs-server host 172.18.23.14
tacacs-server key test1
tftp-server rom alias all
!
dialer-list 1 protocol ip permit
!
line con 0
password cisco
line aux 0
line VTY 0 4
autocommand access-enable timeout 5
password cisco
!
II.4. Dynamic ACLs
Đặc điểm: chỉ sử dụng lọc các IP traffic, Dynamic ACLs bị phụ thuộc vào sự kết nối Telnet, sự xác thực (local or remote), và
extended ACLs.
+ Một user sẽ mở kết nối đến router biên được cấu hình lock-and-key. Những kết nối của user thông qua virtual terminal port
trên router.
+ Khi nhận telnet packet router sẽ mỡ một telnet session và yêu cầu xác thực một password hoặc một tài khoản username.
User phải vượt qua sát thực mới được cho phép đi qua router. Quá trình xác thực sẽ thực hiện bởi router hoặc một server xác
thực sử dụng giao thức RADIUS hoặc TACACS server.
+ Khi user qua được sát thực, chúng sẽ thoát ra khỏi telnet session và một entry sẽ xuất hiện trọng Dynamic ACLs
+ Lúc đó, các người dùng sẽ trao đổi dữ liệu thông qua Firewall.
+ Khi dúng khoảng thời gian timeout được cấu hình, router sẽ xóa entry vừa tạo trong dynamic ACLs hoặc người quản trị có
thể xóa bằng tay. Timeout có hai loại là idle timeout hoặc absolute timeout. Idle timeout là nếu user không sử dụng session
này trong một khoảng thời gian thì entry trong Dynamip sẽ bị xóa. Absolute timeout là khoảng thời gian cố định cho phép
user sử dụng session này khi hết thời gian thì entry trong Dynamic ACLs sẽ bị xóa.
Ứng dụng:
+ Khi bạn muốn chỉ định một user hay một group user truy cập đến một host nào đó trong mạng của bạn, hay kết nối tới
những host từ xa thông qua Internet. Lock-and-key ACLs sẽ xác thực người dùng và sau đó cho phép giới hạn truy cập thông
qua router firewall cho một host hay một mạng con trong một chu kỳ thời gian giới hạn.
+ Khi bạn muốn một đường mạng con trong mạng local network truy cập tới một host nào đó trong mạng từ xa mà được bảo
vệ bởi một firewall. Với lock-and-key ACLs, bạn có thể truy cập tới host ở xa chỉ với một nhóm host được đề nghị. Lock-and-
key ACLs yêu cầu những người dùng xác thực thông qua một AAA, TACACS+ server, hay những server bảo mật khác trước
khi cho phép những host truy cập đến những host ở xa.
Cách tạo Dynamic ACLs:
Ví dụ
[Only registered and activated users can see links]
Các bước cấu hình:
Step 1: Tạo một tài khoản người dùng local trên router
Step 2: Tạo một Extended ACLs cho phép tất cả các host được telnet đến host 10.2.2.2. Khi telnet thành công sẽ cho phép
đường mạng 192.168.10.0 đi qua đường mạng 192.168.30.0 với thời gian timeout 15 phút (absolute time)(ALCs động sẽ sinh
ra khi lệnh access-enable được bật lên và sẽ mất đi sau 15 phút bất chấp user có sử dụng nó hay ko)
Step 3: Gán ACLs cho interface chỉ định
Step 4: Chỉ định nếu user telnet và xác thực thành công thì sẽ thiết lập một session 5 phút, nếu user ko sử dụng session này
nó sẽ kết thúc sau 5 phút (idle timeout) nếu user sử dụng session này nó sẽ kết thúc sau 120 phút.
[Only registered and activated users can see links]
6. Reflexive ACLs:
Đặc điểm: ACLs này chỉ đc tạo bởi Extend Name ACLs không đc tạo bởi Numbering hay Standard Name ACL
Ứng dụng: được sử dụng để cho phép các IP traffic từ bên ngoài của session mà khởi tạo từ bên trọng nội mạng và ngăn
những IP traffic khởi tạo session từ mạng bên ngoài. ACLs này sẽ xem xét gói tin gởi ra ngoài nếu là gói khởi tạo session nó
tự động thêm vào một outbound entry để cho phép traffic trả lời về. Rèflexive ACLs có thể lọc session tốt hơn thay vì chỉ
ACK và RST bit như câu lệnh permit…established. Rèflexive lọc cả địa chỉ nguồn, đích, port, ACK và RST bit của gói tin.
Ngoài ra, session filtering sử dụng những bộ lọc tạm thời cái mà được xóa khi một session kết thúc.
Cách tạo Reflexive ACLs:
Ví dụ
[Only registered and activated users can see links]
+ Cấu hình ACLs cho phép ICMP và TCP traffic cả chiều inbound và outbound nhưng chỉ cho phép nếu gói tin đầu tiên của
session bắt nguồn từ mạng nội bộ. Tất cả các traffic khác sẽ bị cấm. Reflexive ACLs được gán trên interface s0/1/0
+ Các bước cấu hình:
Step 1: Tạo một Extend name ACLs để cho phép các traffic đi ra ngoài Internet
Step 2: Tạo một Extend name ACLs để chứa Reflexive ACLs tự động được tạo ra khi có gói outbound match với Name ACLs
ở bước 1.
Step 3: Gán các name ACLs cho interface
7. Time-based ACLs
Đặc điểm: chức năng tương tự extended ACLs, nhưng chúng cho phép điều khiển truy cập dựa vào thời gian
Ứng dụng: Dùng để lọc gói tin dựa vào nhiều thông tin như Exended ACLs và dựa vào cả thông tin về thời gian.
Cách tạo Time-based ACLs:
Ví dụ: Thiết lập ACLs cho phép một kết nối Telnet được cho phép từ inside network tới the outside network vào Monday,
Wednesday, and Friday trong suốt giờ hành chánh.
+ Các bước cấu hình:
Step 1. Định nghĩa khoảng thời gian để thi hành ACLs và đặt cho nó một cái tên.(khoảng thời gian này phụ thuộc vào giờ hệ
thống trên router, chức năng này làm việc tốt với sự đồng bộ thời gian của giao thức Network Time Protocol (NTP) nhưng lúc
này đồng hồ của router không được sử dụng. )
Step 2. Áp dụng khoảng thời gian này cho ACLs
Step 3. ÁP dụng ACL cho interface.