Khóa lưu lượng Ping với IPSec

[Mr.Quangvd]

Trong bài này chúng tôi sẽ hướng dẫn bạn cách cấu hình các máy tính Windows 2000/XP/2003 để khóa các gói dữ liệu Ping. Các máy tính Windows 2000/XP/2003 có một cơ chế bảo mật IP đi kèm mang tên IPSec (IP Security). IPSec là một giao thức được thiết kế để bảo vệ các gói dữ liệu TCP/IP khi chúng truyền tải trong mạng bằng cách sử dụng mã hóa khóa công. Về bản chất, máy nguồn sẽ gói địa chỉ IP chuẩn tắc bên trong một gói IPSec đã được mã hóa. Sau đó gói dữ liệu này sẽ được duy trì ở trạng thái mã hóa cho tới khi nó đến được máy đích.
Ngoài tính năng kể trên, bên cạnh việc mã hóa, IPSec còn cho phép bạn có thể bảo vệ và cấu hình máy trạm cũng như máy chủ với một cơ chế giống như tường lửa.
Bạn có thể bảo vệ các máy tính của mình bằng IPSec? Rất đơn giản, chỉ cần tạo một chính sách để chỉ thị cho máy tính khóa tất cả lưu lượng IP nào đó đã được cấu hình bởi rule đó.
Khóa PING trên một máy tính
Để khóa lưu lượng PING đến và đi khỏi một máy tính, bạn cần tạo một chính sách IPSec dùng để khóa tất cả lưu lượng ICMP.
Kiểm tra xem máy tính có đáp trả các yêu cầu PING bằng cách ping đến nó:

Để cấu hình, bạn thực hiện theo các bước sau:
Cấu hình danh sách lọc địa chỉ IP và các hành động lọc.

• Mở cửa sổ MMC (Start > Run > MMC).

• Add Security Policy Management Snap-In.

• Trong cửa sổ Select which computer this policy will manage, chọn Local Computer (hoặc bất cứ chính sách nào phụ thuộc vào nhu cầu của bạn). Kích Close sau đó kích Ok.

• Kích phải vào IP Security Policies trong panel bên trái của giao diện điều khiển MMC. Chọn Manage IP Filter Lists and Filter Actions.

• Bạn không cần cấu hình một bộ lọc (IP Filter) IP cụ thể cho ICMP (giao thức được sử dụng cho PING) vì bộ lọc như vậy đã tồn tại mặc định - All ICMP Traffic.

Mặc dù vậy bạn vẫn có thể cấu hình nhiều bộ lọc (IP Filter) IP cụ thể cho ICMP. Cho ví dụ, bạn có thể muốn ngăn chặn một máy chủ nào đó trả lời tất cả các PING ngoại trừ các PING được gửi bởi một máy tính nào đó được sử dụng bởi phòng trợ giúp. Trong trường hợp đó, bạn cần add một IP Filter mới và sử dụng các địa chỉ IP đích và nguồn đã định nghĩa của mình, và giao thức ICMP. Chúng tôi sẽ giới thiệu cho các bạn cách khóa hành động duyệt web nhưng vẫn cho phép lưu lượng mạng nội bộ với IPSec trong một bài khác để bạn biết thêm về cách tạo bộ lọc IP Filter.

• Trong Manage IP Filter Lists and Filter actions, xem lại các bộ lọc của bạn và cân nhắc xem liệu tất cả đã ok, kích vào tab Manage Filter Actions. Lúc này chúng ta cần thêm hành động lọc để khóa lưu lượng được chỉ định của mình, vì vậy hãy kích Add.

• Trong màn hình chào, kích Next.

• Trong Filter Action Name, kích Next.

• Trong Filter Action General Options kích Block sau đó kích Next.

• Quay trở lại Manage IP Filter Lists and Filter actions, xem lại tất cả các bộ lọc của bạn liệu đã ok, sau đó kích nút Close. Bạn có thể thêm các Filters Actions và Filter Actions bất cứ lúc nào nếu muốn.

Bước tiếp theo là cấu hình IPSec Policy và gán nó.

 

[Mr.Quangvd]

Cấu hình IPSec Policy

• Trong giao diện MMC, kích phải vào IP Security Policies trên Local Computer và chọn Create IP Security Policy.

• Trong màn hình chào, kích Next

• Trong IP Security Policy Name, nhập vào tên mô tả, chẳng hạn như "Block PING". Kích Next.

• Trong cửa sổ Request for Secure Communication, bỏ chọn hộp kiểm Active the Default Response Rule. Kích Next.

• Trong cửa sổ Completing IP Security Policy Wizard, kích Finish.

• Lúc này chúng ta cần add IP Filters và Filter Actions khác nhau vào IPSec Policy mới. Trong cửa sổ IPSec Policy mới, kích Add để thêm vào IP Filters và Filter Actions

• Trong cửa sổ chào, kích Next.

• Trong Tunnel Endpoint, bảo đảm rằng thiết lập mặc định được chọn và kích Next.

• Trong cửa sổ Network Type, chọn All Network Connections và kích Next.

• Trong cửa sổ IP Filter List, chọn "All ICMP Traffic" (hoặc bất cứ IP Filter nào đã được cấu hình trong bước 5 ở phần trên bài viết). Nếu vì một lý do nào đó, bạn không cấu hình đúng IP Filter từ trước thì bạn có thể nhấn Add và thêm nó vào lúc này. Khi xong, kích Next.

• Trong cửa sổ Filter Action chọn "Block". Tiếp đến, nếu bạn chưa cấu hình đúng Filter Action từ trước, bạn có thể nhấn Add để thêm nó lúc này. Khi thực hiện xong, kích Next.

• Lưu ý về cách add IP Filter.

Tiếp đến, bạn có thể thêm bất cứ sự kết hợp của IP Filters và Filter Actions nếu muốn.
Lưu ý rằng bạn không thể thay đổi thứ tự của chúng giống như các tường lửa đúng nghĩa. Tuy nhiên cấu hình này làm việc khá hoàn hảo.
Giai đoạn tiếp theo là gán IPSec Policy.
Gán IPSec Policy

• Trong giao diện MMC, kích phải vào IPSec Policy và chọn Assign.

Khi thực hiện xong, bạn có thể test cấu hình bằng cách thử lướt đến một website bị hạn chế và bị cấm nào đó.
Khóa nhiều máy tính
Việc khóa nhiều máy tính có thể được thực hiện theo hai cách: Export và Import IPSec Policy
Cấu hình IPSec Policy thông qua GPO
Cả hai phương pháp trên đều được sử dụng để ngăn chặn một số máy tính có thể sử dụng ICMP (cho cho các IPSec Policy khác).