hữu hiệu hơn. Cải thiện chính sách có thể là những hành động nhằm đơn giản
công việc người sử dụng, giảm nhẹ độ phức tạp trên hệ thống ...
Những hoạt động cải thiện chính sách bảo mật có thể diễn ra trong suốt
thời gian tồn tại của hệ thống đó. Nó gắn liền với các công việc quản trị và duy
trì hệ thống.
Đây cũng chính là một yêu cầu trong khi xây dựng một chính sách
bảo mật, cần phải luôn luôn mềm dẻo, có những thay đổi phù hợp tùy theo điều
kiện thực tế. II. Tổng quan về hệ thống firewall
II.1. Giới thiệu về Firewall
II.1.1. Khái niệm Firewall
Firewall là thiết bị nhằm ngăn chặn sự truy nhập không hợp lệ từ mạng
ngoài vào mạng trong. Hệ thống firewall thường bao gồm cả phần cứng và
phần mềm. Firewall thường được dùng theo phương thức ngăn chặn hay tạo
các luật đối với các địa chỉ khác nhau.
II.1.2. Các chức năng cơ bản của Firewall
Chức năng chính của Firewall là kiểm soát luồng thông tin giữa mạng
cần bảo vệ (Trusted Network) và Internet thông qua các chính sách truy nhập
đã đợc thiết lập.
- Cho phép hoặc cấm các dịch vụ truy nhập từ trong ra ngoài và từ ngoài
vào trong.
- Kiểm soát địa chỉ truy nhập, và dịch vụ sử dụng.
- Kiểm soát khả năng truy cập người sử dụng giữa 2 mạng.
- Kiểm soát nội dung thông tin truyền tải giữa 2 mạng.
- Ngăn ng
ừa khả năng tấn công từ các mạng ngoài.
Xây dựng firewalls là một biện pháp khá hữu hiệu, nó cho phép bảo vệ
và kiểm soát hầu hết các dịch vụ do đó được áp dụng phổ biến nhất trong các
biện pháp bảo vệ mạng. Thông thường, một hệ thống firewall là một cổng

- DMZ: Khu "phi quân sự", là vùng có nguy cơ bị tấn công từ Internet.
- Gateway: là cổng ra vào giữa mạng LAN và DMZ, kiểm soát mọi liên
lạc, thực thi các cơ chế bảo mật.
- IF1: Interface 1: Là card giao tiếp với vùng DMZ.

297
Giáo trình đào tạo Quản trị mạng và các thiết bị mạng
Trung tâm Điện toán Truyền số liệu KV1
- IF2: Interface 2: Là card giao tiếp với vùng mạng LAN.
ng DMZ. Các
truy cậ
net giữa mạng LAN và Internet.
Giống
ổng giao tiếp, nhận diện
các y
II.1.4. Phân loại Firewall
all, mỗi loại có những ưu và nhược điểm riêng.
Tuy nh
ệ thống firewall cho phép chuyển thông tin giữa hệ
thống
ống firewall thực hiện các kết nối
thay ch
- FTP gateway: Kiểm soát truy cập FTP giữa LAN và vù
p ftp từ mạng LAN ra Internet là tự do. Các truy cập FTP vào LAN đòi
hỏi xác thực thông qua Authentication Server.
- Telnet Gateway: Kiểm soát truy cập tel
như FTP, người dùng có thể telnet ra ngoài tự do, các telnet từ ngoài vào
yêu cầu phải xác thực qua Authentication Server
- Authentication Server: được sử dụng bởi các c
êu cầu kết nối, dùng các kỹ thuật xác thực mạnh như one-time

giờ đến được mạng trong.
Các firewall hoạt động ở lớp mạng (tương tự như một router) thường
cho phép tốc độ xử lý nhanh bởi nó chỉ kiểm tra địa chỉ IP nguồn mà không có
một lệnh thực sự nào trên router, nó không cần một khoảng thời gian nào để
xác định xem là địa chỉ sai hay bị cấm. Nhưng
điều này bị trả giá bởi tính tin
cậy của nó. Kiểu firewall này sử dụng địa chỉ IP nguồn làm chỉ thị, điểu này tạo
ra một lỗ hổng là nếu một gói tin mang địa chỉ nguồn là địa chỉ giả thì như vậy
nó sẽ có được một số mức truy nhập vào mạng trong của bạn.
Tuy nhiên có nhiều biện pháp kỹ thuật có thể được áp dụng cho việc lọ
c
gói tin nhằm khắc phục yếu điểm này. Ví dụ như đối với các công nghệ packet
filtering phức tạp thì không chỉ có trường địa chỉ IP được kiểm tra bởi router
mà còn có các trường khác nữa được kiểm tra với các luật được tạo ra trên
firewall, các thông tin khác này có thể là thời gian truy nhập, giao thức sử
dụng, port ...

Firewall kiểu Packet Filtering có thể được phân thành 2 loại:

a) Packet filtering firewall: hoạt động tại lớp mạng của mô hình OSI
hay lớp IP trong mô hình giao th
ức TCP/IP. 299
Giáo trình đào tạo Quản trị mạng và các thiết bị mạng
Trung tâm Điện toán Truyền số liệu KV1
Hình 2.3: Packet filtering firewall
b) Circuit level gateway: hoạt động tại lớp phiên (session) của mô hình
OSI hay lớp TCP trong mô hình giao thức TCP/IP.

vụ http... Như vậy ta có thể thấy rằng trong kiểu giao thức client-server như
dịch vụ telnet làm ví dụ thì cần phải thực hiện hai bước để cho hai máy ngoài
mạng và trong mạng có thể kết nối đượ
c với nhau. Khi sử dụng firewall kiểu
này các máy client (máy yêu cầu dịch vụ) có thể bị thay đổi. Ví dụ như đối với
dịch vụ telnet thì các máy client có thể thực hiện theo hai phương thức: một là
bạn telnet vào firewall trước sau đó mới thực hiện việc telnet vào máy ở mạng
khác; cách thứ hai là bạn có thể telnet thẳng tới đích tuỳ theo các luật trên
firewall có cho phép hay không mà việc telnet của bạn sẽ được thực hiện. Lúc
này firewall là hoàn toàn trong suốt, nó
đóng vai trò như một cầu nối tới đích
của bạn.

Firewall kiểu Application-proxy có thể được phân thành 2 loại:
a) Application level gateway: tính năng tương tự như loại circuit-level
gateway nhưng lại hoạt động ở lớp ứng dụng trong mô hình giao thức TCP/IP. 301
Giáo trình đào tạo Quản trị mạng và các thiết bị mạng
Trung tâm Điện toán Truyền số liệu KV1

Hình 2.5: Application level gateway

b) Stateful multilayer inspection firewall: đây là loại kết hợp được các
tính năng của các loại firewall trên: lọc các gói tại lớp mạng và kiểm tra nội
dung các gói tại lớp ứng dụng. Firewall loại này cho phép các kết nối trực tiếp
giữa các client và các host nên giảm được các lỗi xảy ra do tính chất "không
trong suốt" của firewall kiểu Application gateway. Stateful multilayer
inspection firewall cung cấp các tính năng bảo mật cao và lại trong suốt đối với