bdkhoi296
14-09-2002, 15:37
Lựa chọn giải pháp
Mục đích
Một bộ Firewall bao gồm một hệ thống phần mềm máy chủ mạnh với hệ điều hành cụ thể, ghép nối vào mạng thông qua các thiết bị mạng: Hub, Switch, Router,...
Do vậy việc la chọn máy chủ, thiết bị mạng, hệ điều hành và phần mềm bảo về và kiểm soát sẽ quyết định khả năng ứng dụng, tốc độ truy nhập và giá thành thực hiện.
Trong phần này chúng tôi sẽ trình bày 3 phơng án ghép nối. Ðối với mỗi phơng án, chúng tôi sẽ phân tích chi tiết mô hình ghép nối, yêu cầu phần cứng và những điểm lợi và điểm bất lợi.
Các giải pháp thực hiện
Với một yêu cầu bảo vệ và kiểm soát hệ thống, có một số phơng phát khả thi. Tuỳ thuộc vào chiến lợc và mức độ yêu cầu, có thể chọn một trong các mô hình kết nối dới đây:
Kết nối trực tiếp đơn
Kết nối song song
Kết nối gián tiếp
Ðối với mỗi mô hình, thiết bị phần cứng và phần mềm là khác nhau, kéo theo chi phí thực hiện sẽ khác nhau. Tất nhiên khả năng và phạm vi cũng khác nhau. Do khuôn khổ của giải pháp này là thiết lập Firewall cho một mạng đã có, nên những yếu tố về thiết bị, phần mềm, đờng truyền trong mạng, đợc xem nh đã có và không đề cập đến nữa. Nếu cần chúng tôi sẽ trình bày trong bản giải pháp về mạng.
Kết nối đơn trc tiếp
Bộ Firewall đợc đặt giữa hai mạng Intranet và Internet (Intranet ở đây hiểu là mạng bên trong cần bảo vệ, còn Internet là mạng bên ngoài). Tất cả các đờng truyền đi ra hoặc đi và đều phải thông qua Firewall.
Mô hình mạng
Ðờng truyền từ ngoài đợc nối vào router, qua HUB vào máy chủ Firewall, sau đó đi vào mạng bên trong. Tất cả các gói tin từ ngoài vào sẽ đợc Firewall Server đón nhận, kiểm tra nếu hợp lệ sẽ chuyển tiếp vào bên trong. Ngợc lại, nếu không hợp lệ sẽ bi loại bỏ ngay. Tơng tự nh vậy đối với đối với các yêu cầu truy nhập từ trong ra cũng bị Firewall kiểm soát.
Phần mềm Firewall sẽ đợc cài trên máy chủ (server). Tuy thuộc vào mục đích kiểm soát, nhà quản lý có thể mua đầy đủ hoặc mua từng phần của bộ chơng trình phần mềm Firewall. Nếu mua từng phần thì chỉ có những truy nhập thông qua các dịch vị đó mới bị kiểm soát. Ngoài ra, cũng có một lựa chọn chỉ cho phép một số dịch vụ nào đó đợc phép.
Lu ý rằng, cấu hình máy chủ này càng mạnh thì tốc độ xử lý càng nhanh, thời gian do firewall chiếm là không đáng kể.
Yêu cầu phần cứng
1 x Máy chủ SUN/HP/IBM/... 2CPU, 332Mhz,256Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
1x HUB: 3Com/IBM/HP/...
Yêu cầu phần mềm
1 x OS: UNIX/NT
1x Firewall Software (depend on your selection)
Ưu điểm
Chi phí thực hiện thấp hơn so với các giải pháp khác.
Có khả năng kiểm soát toàn bộ việc truy nhập từ ngoài vào, và từ trong ra.
Cho phép thống kê và quản lý, đánh giá việc truy nhập hệ thống. Hỗ trợ tốt cho quyết định của nhà quản lý hệ thống.
Cấu hình hệ thống đơn giản.
Nhợc điểm
Khi Máy chủ có sự cố (treo, hỏng vật lý,...) thì toàn bộ việc truy nhập từ trong ra cũng nh từ ngoài vào sẽ bị dừng lại
Kết nối song song trc tiếp
Bộ Firewall đợc đặt giữa hai mạng Intranet và Internet (Intranet ở đây hiểu là mạng bên trong cần bảo vệ, còn Internet là mạng bên ngoài). Tất cả các đờng truyền đi ra hoặc đi và đều phải thông qua Firewall.
Mô hình này sử dụng hai bộ Firewall thiết lập theo chế độ song hành hoặc kiểu dự phòng (main-standby). Trờng hợp một bộ có sự có thì bộ kia sẽ đảm nhận toàn bộ công việc.
Mô hình mạng
Ðờng truyền từ ngoài đợc nối vào router, qua Hub đến máy chủ, sau đó đi vào mạng bên trong. Tất cả các gói tin từ ngoài vào sẽ đợc Server đón nhận, kiểm tra nếu hợp lệ sẽ chuyển tiếp vào bên trong. Ngợc lại, nếu không hợp lệ sẽ bị loại bỏ. Tơng tự nh vậy đối với các yêu cầu truy nhập từ trong ra cũng bị kiểm soát.
Phần mềm Firewall sẽ đợc cài trên 2 máy chủ (server). Tuy thuộc vào mục đích kiểm soát, nhà quản lý có thể mua toàn bộ hoặc mua từng phần. Nếu mua từng phần thì chỉ có những truy nhập thông qua các dịch vị đó mới bị kiểm soát. Ngoài ra cũng có một lựa chọn chỉ cho phép một số dịch vụ nào đó đợc phép.
Cấu hình máy chủ càng mạnh thì tốc độ xử lý càng nhanh, khi đó thời gian do firewall xử lý là không đáng kể. Nếu thiết lập theo chế độ dự phòng, máy chủ thứ hai (máy phụ) có thể chọn cấu hình phần cứng thấy hơn.
Yêu cầu phần cứng
1 x Máy chủ chính: SUN/HP/IBM/... 4CPU, 332Mhz, 256Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
1 x Máy chủ dự phòng: SUN/HP/IBM/... 2CPU, 332Mhz, 128Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
2 x Hub: 3COM/IBM/HP/...
Cable, connector,...
Yêu cầu phần mềm
OS: UNIX/NT cài trên 2 máy chủ (có thể 1 NT và 1UNIX hoặc cả 2 cùng là UNIX hoặc cùng là NT)
Firewall Software (depend on your selection) cài trên 2 máy chủ
Ưu điểm
Chế độ thực hiện an toàn cao, nhanh.
Có khả năng kiểm soát toàn bộ việc truy nhập từ ngoài vào, và từ trong ra.
Cho phép thống kê và quản lý, đánh giá việc truy nhập hệ thống. Hỗ trợ tốt cho quyết định của nhà quản lý hệ thống.
Nhợc điểm
Chi phí thực hiện cao.
Thiết lập cấu hình phức tạp.
Khi có sự cố phải đồng bộ 2 hệ thống trên máy.
Kết nối gián tiếp
Giải pháp dùng dùng để giám sát truy nhập giữa hai mạng Intranet và Internet mà không làm ảnh hởng tới hoạt động hiện tại của mạng. Do vậy, sẽ không có khả năng ngăn cấm truy nhập.
Bộ Firewall đợc đặt song song với đờng truyền giữa mạng Intranet và Internet (Intranet ở đây hiểu là mạng bên trong cần bảo vệ, còn Internet là mạng bên ngoài). Các thông tin trao đổi qua lại sẽ đồng thời chuyển đến cho Firewall.
Mô hình mạng
Giữa đờng truyền nối hai mạng sẽ đợc đặt một thiết bị chuyển mạch. Thiết bị này có chức năng giữ nguyên luồng thông tin trên đờng truyền hiện tại. Ðồng thời tạo một mới đi vào Firewall với nội dung giống hệt. Luồng thông tin này bao gồm cả luồng từ ngoài vào và từ trong ra.
Phần mềm Firewall sẽ đợc cài trên máy chủ (server), dùng để đón nhận tất cả thông tin chuyển đến từ thiết bị chuyênr mạch. Sau đó ghi vào kho lu trữ.
Lu ý rằng, Firewall này không thay đổi bất cứ nội dung nào của các gói tin. Ðồng thời cũng không có khả năng cấm hoặc cho phép các dịch vụ trao đổi qua lại giữa hai mạng.
Yêu cầu phần cứng
Máy chủ SUN/HP/IBM/... 2CPU, 332Mhz,128Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
Thiết bị chuyển mạch
Yêu cầu phần mềm
1 x OS: UNIX/NT cài cho máy chủ
1 x Firewall Software (depend on your selection)
Ưu điểm
Chi phí thực hiện thấp so với các giải pháp khác
Có khả năng thống kê toàn bộ việc truy nhập từ ngoài vào, và từ trong ra.
Nhợc điểm
Không cho phép ngăn chặn những truy nhập cố ý hoặc phá hoại từ bên ngoài cũng nh từ trong ra.
Mục đích
Một bộ Firewall bao gồm một hệ thống phần mềm máy chủ mạnh với hệ điều hành cụ thể, ghép nối vào mạng thông qua các thiết bị mạng: Hub, Switch, Router,...
Do vậy việc la chọn máy chủ, thiết bị mạng, hệ điều hành và phần mềm bảo về và kiểm soát sẽ quyết định khả năng ứng dụng, tốc độ truy nhập và giá thành thực hiện.
Trong phần này chúng tôi sẽ trình bày 3 phơng án ghép nối. Ðối với mỗi phơng án, chúng tôi sẽ phân tích chi tiết mô hình ghép nối, yêu cầu phần cứng và những điểm lợi và điểm bất lợi.
Các giải pháp thực hiện
Với một yêu cầu bảo vệ và kiểm soát hệ thống, có một số phơng phát khả thi. Tuỳ thuộc vào chiến lợc và mức độ yêu cầu, có thể chọn một trong các mô hình kết nối dới đây:
Kết nối trực tiếp đơn
Kết nối song song
Kết nối gián tiếp
Ðối với mỗi mô hình, thiết bị phần cứng và phần mềm là khác nhau, kéo theo chi phí thực hiện sẽ khác nhau. Tất nhiên khả năng và phạm vi cũng khác nhau. Do khuôn khổ của giải pháp này là thiết lập Firewall cho một mạng đã có, nên những yếu tố về thiết bị, phần mềm, đờng truyền trong mạng, đợc xem nh đã có và không đề cập đến nữa. Nếu cần chúng tôi sẽ trình bày trong bản giải pháp về mạng.
Kết nối đơn trc tiếp
Bộ Firewall đợc đặt giữa hai mạng Intranet và Internet (Intranet ở đây hiểu là mạng bên trong cần bảo vệ, còn Internet là mạng bên ngoài). Tất cả các đờng truyền đi ra hoặc đi và đều phải thông qua Firewall.
Mô hình mạng
Ðờng truyền từ ngoài đợc nối vào router, qua HUB vào máy chủ Firewall, sau đó đi vào mạng bên trong. Tất cả các gói tin từ ngoài vào sẽ đợc Firewall Server đón nhận, kiểm tra nếu hợp lệ sẽ chuyển tiếp vào bên trong. Ngợc lại, nếu không hợp lệ sẽ bi loại bỏ ngay. Tơng tự nh vậy đối với đối với các yêu cầu truy nhập từ trong ra cũng bị Firewall kiểm soát.
Phần mềm Firewall sẽ đợc cài trên máy chủ (server). Tuy thuộc vào mục đích kiểm soát, nhà quản lý có thể mua đầy đủ hoặc mua từng phần của bộ chơng trình phần mềm Firewall. Nếu mua từng phần thì chỉ có những truy nhập thông qua các dịch vị đó mới bị kiểm soát. Ngoài ra, cũng có một lựa chọn chỉ cho phép một số dịch vụ nào đó đợc phép.
Lu ý rằng, cấu hình máy chủ này càng mạnh thì tốc độ xử lý càng nhanh, thời gian do firewall chiếm là không đáng kể.
Yêu cầu phần cứng
1 x Máy chủ SUN/HP/IBM/... 2CPU, 332Mhz,256Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
1x HUB: 3Com/IBM/HP/...
Yêu cầu phần mềm
1 x OS: UNIX/NT
1x Firewall Software (depend on your selection)
Ưu điểm
Chi phí thực hiện thấp hơn so với các giải pháp khác.
Có khả năng kiểm soát toàn bộ việc truy nhập từ ngoài vào, và từ trong ra.
Cho phép thống kê và quản lý, đánh giá việc truy nhập hệ thống. Hỗ trợ tốt cho quyết định của nhà quản lý hệ thống.
Cấu hình hệ thống đơn giản.
Nhợc điểm
Khi Máy chủ có sự cố (treo, hỏng vật lý,...) thì toàn bộ việc truy nhập từ trong ra cũng nh từ ngoài vào sẽ bị dừng lại
Kết nối song song trc tiếp
Bộ Firewall đợc đặt giữa hai mạng Intranet và Internet (Intranet ở đây hiểu là mạng bên trong cần bảo vệ, còn Internet là mạng bên ngoài). Tất cả các đờng truyền đi ra hoặc đi và đều phải thông qua Firewall.
Mô hình này sử dụng hai bộ Firewall thiết lập theo chế độ song hành hoặc kiểu dự phòng (main-standby). Trờng hợp một bộ có sự có thì bộ kia sẽ đảm nhận toàn bộ công việc.
Mô hình mạng
Ðờng truyền từ ngoài đợc nối vào router, qua Hub đến máy chủ, sau đó đi vào mạng bên trong. Tất cả các gói tin từ ngoài vào sẽ đợc Server đón nhận, kiểm tra nếu hợp lệ sẽ chuyển tiếp vào bên trong. Ngợc lại, nếu không hợp lệ sẽ bị loại bỏ. Tơng tự nh vậy đối với các yêu cầu truy nhập từ trong ra cũng bị kiểm soát.
Phần mềm Firewall sẽ đợc cài trên 2 máy chủ (server). Tuy thuộc vào mục đích kiểm soát, nhà quản lý có thể mua toàn bộ hoặc mua từng phần. Nếu mua từng phần thì chỉ có những truy nhập thông qua các dịch vị đó mới bị kiểm soát. Ngoài ra cũng có một lựa chọn chỉ cho phép một số dịch vụ nào đó đợc phép.
Cấu hình máy chủ càng mạnh thì tốc độ xử lý càng nhanh, khi đó thời gian do firewall xử lý là không đáng kể. Nếu thiết lập theo chế độ dự phòng, máy chủ thứ hai (máy phụ) có thể chọn cấu hình phần cứng thấy hơn.
Yêu cầu phần cứng
1 x Máy chủ chính: SUN/HP/IBM/... 4CPU, 332Mhz, 256Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
1 x Máy chủ dự phòng: SUN/HP/IBM/... 2CPU, 332Mhz, 128Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
2 x Hub: 3COM/IBM/HP/...
Cable, connector,...
Yêu cầu phần mềm
OS: UNIX/NT cài trên 2 máy chủ (có thể 1 NT và 1UNIX hoặc cả 2 cùng là UNIX hoặc cùng là NT)
Firewall Software (depend on your selection) cài trên 2 máy chủ
Ưu điểm
Chế độ thực hiện an toàn cao, nhanh.
Có khả năng kiểm soát toàn bộ việc truy nhập từ ngoài vào, và từ trong ra.
Cho phép thống kê và quản lý, đánh giá việc truy nhập hệ thống. Hỗ trợ tốt cho quyết định của nhà quản lý hệ thống.
Nhợc điểm
Chi phí thực hiện cao.
Thiết lập cấu hình phức tạp.
Khi có sự cố phải đồng bộ 2 hệ thống trên máy.
Kết nối gián tiếp
Giải pháp dùng dùng để giám sát truy nhập giữa hai mạng Intranet và Internet mà không làm ảnh hởng tới hoạt động hiện tại của mạng. Do vậy, sẽ không có khả năng ngăn cấm truy nhập.
Bộ Firewall đợc đặt song song với đờng truyền giữa mạng Intranet và Internet (Intranet ở đây hiểu là mạng bên trong cần bảo vệ, còn Internet là mạng bên ngoài). Các thông tin trao đổi qua lại sẽ đồng thời chuyển đến cho Firewall.
Mô hình mạng
Giữa đờng truyền nối hai mạng sẽ đợc đặt một thiết bị chuyển mạch. Thiết bị này có chức năng giữ nguyên luồng thông tin trên đờng truyền hiện tại. Ðồng thời tạo một mới đi vào Firewall với nội dung giống hệt. Luồng thông tin này bao gồm cả luồng từ ngoài vào và từ trong ra.
Phần mềm Firewall sẽ đợc cài trên máy chủ (server), dùng để đón nhận tất cả thông tin chuyển đến từ thiết bị chuyênr mạch. Sau đó ghi vào kho lu trữ.
Lu ý rằng, Firewall này không thay đổi bất cứ nội dung nào của các gói tin. Ðồng thời cũng không có khả năng cấm hoặc cho phép các dịch vụ trao đổi qua lại giữa hai mạng.
Yêu cầu phần cứng
Máy chủ SUN/HP/IBM/... 2CPU, 332Mhz,128Mb RAM, 4GB HD, CD ROM, Ethernet Card, Monitor, Mouse hoặc cao hơn
Thiết bị chuyển mạch
Yêu cầu phần mềm
1 x OS: UNIX/NT cài cho máy chủ
1 x Firewall Software (depend on your selection)
Ưu điểm
Chi phí thực hiện thấp so với các giải pháp khác
Có khả năng thống kê toàn bộ việc truy nhập từ ngoài vào, và từ trong ra.
Nhợc điểm
Không cho phép ngăn chặn những truy nhập cố ý hoặc phá hoại từ bên ngoài cũng nh từ trong ra.