9
Cisco VPN Client là một phần mềm mạng riêng ảo phổ biến đƣợc sử dụng để
cung cấp kết nối truy cập từ xa cho các mạng doanh nghiệp. Cisco VPN Client cho
Windows là chƣơng trình phần mềm chạy trên máy tính trên cơ sở Microsoft
Windows. Cisco VPN Client trên một máy điều khiển từ xa giao tiếp với một
Cisco VPN server trên một mạng doanh nghiệp hoặc với các nhà cung cấp dịch
vụ, tạo một kết nối an toànqua Internet. Thông qua kết nối này để truy cập đến
một mạng riêng giống nhƣ một ngƣời dùng tại chỗ. Máy chủ xác minh rằng các
kết nối đến phải có chính sách cập nhật trƣớc khi thiết lập các kết nối đó.[1]
Khi một ngƣời dùng điều khiển từ xa, đầu tiên phải kết nối đến mạng Internet,
sau đó sử dụng VPN Client để truy cập an toàn tới các mạng riêng của doanh
nghiệp qua một Cisco VPN server có hỗ trợ Cisco VPN Client.
Cấu hình sau đây chỉ ra một cách cài đặt cơ bản cho một ứng dụng điều khiển
từ xa sử dụng Cisco VPN Client để kết nối an toàn qua mạng Internet đến mạng
công ty.
10
Hình 1.1. Sơ đồ kết nối Cisco VPN Client
Đầu tiên ngƣời điều khiển từ xa kết nối đến một nhà cung cấp dịch vụ mạng
[ISP]. Tiếp theo, khởi động Cisco VPN Client đã đƣợc cài đặt trên máy và thiết
lập kết nối đến máy chủ VPN đặt tại công ty. Máy chủ VPN có thể là một tƣờng
lửa Cisco [PIX hay ASA], một bộ tập trung Cisco VPN hoặc một bộ định tuyến
Cisco với phần mềm IPSec. Mỗi khi kết nối VPN đƣợc thiết lập, ngƣời dùng truy
cập từ xa có thể giao tiếp với máy chủ trong công ty và các tài nguyên giống nhƣ
đang ở một máy trong nội bộ công ty.
11
1.2. CÁC THÀNH PHẦN CHÍNH CỦA CISCO VPN CLIENT
1/. Bộ định tuyến [Cisco VPN Router]
Những router này tạo ra một hạ tầng mạng, cho phép truy cập nhanh và an
toàn vào những ứng dụng kinh doanh với độ bảo mật cao.
2/. Tường lửa an toàn Cisco PIX [Cisco Private Internet Exchange Firewall]
Tƣờng lửa PIX là thành phần chính trong giải pháp bảo mật của Cisco, bảo
mật về phần cứng và phần mềm, đáp ứng bảo mật mạng mức độ cao mà không
ảnh hƣởng đến hoạt động của mạng. PIX là một thiết bị lai vì nó kết hợp các
đặc điểm của công nghệ lọc gói tin và máy chủ uỷ quyền [proxy server].
3/. Nhóm thiết bị tập trung Cisco VPN [Cisco VPN Concentrator series]
Thiết bị tập trung Cisco VPN 3000 sử dụng RSA SecurID Authentication để
cung cấp quá trình xác thực hai yếu tố thông qua cơ chế xác thực RSA SecurID
hoặc xác thực RADIUS cho cả các kết nối IPSec VPN lẫn SSL VPN.
Để giao tiếp một cách dễ dàng giữa thiết bị tập trung Cisco VPN và thiết bị
quản lý xác thực RSA [RSA Authentication Manager] hay thiết bị RSA
SecurID [RSA SecurID Appliance], phải thêm một bản ghi Agent Host vào cơ
sở dữ liệu RSA Authentication Manager và cơ sở dữ liệu RADIUS Server [nếu
sử dụng RADIUS]. Bản ghi Agent Host nhận dạng thiết bị tập trung Cisco VPN
trong cơ sở dữ liệu của nó và chứa thông tin về cách thức giao tiếp cũng nhƣ
thông tin mã hóa.
4/. Phần mềm đảm bảo an toàn Cisco VPN [Cisco Secure VPN Client]
Cisco Secure VPN Client là một chƣơng trình chạy trên hệ điều hành
Window, cho phép bảo mật việc truy cập từ xa tới bộ định tuyến Cisco và tƣờng
lửa PIX. Cisco Secur VPN Client cho phép thiết lập các hành lang an toàn trên
mạng riêng ảo nối từ xa.
12
5/. Hệ thống phát hiện xâm nhập an toàn và máy quét an toàn
Thƣờng đƣợc sử dụng để giám sát và kiểm tra các vấn đề an toàn trên mạng
riêng ảo.
o Hệ thống phát hiện xâm nhập [Cisco Secure Intrusion Detection System]
Cung cấp cơ chế phát hiện xâm nhập một cách hoàn chỉnh. Cisco đƣa ra
một giải pháp an toàn một cách toàn diện và rộng khắp cho việc chống lại các
xâm nhập bất hợp pháp, các sâu mạng có hại, cùng với băng thông rộng và các
tấn công vào các ứng dụng thƣơng mại điện tử.
o Máy quét [Cisco Secure Scanner]
Cho phép các doanh nghiệp chuẩn đoán và sửa chữa các vấn đề an toàn
thông tin trong các môi trƣờng mạng. Sử dụng máy quét cùng với bức tƣờng
lửa, hệ thống phát hiện xâm nhập và các độ đo an toàn khác để đảm bảo tính
bảo mật theo chiều sâu.
6/. Chương trình quản lý chính sách an toàn và công cụ quản lý mạng
Cung cấp việc quản lý hệ thống mạng riêng ảo rộng khắp:
o Chƣơng trình quản lý chính sách an ninh [Cisco Secure Policy Manager]
Hoạt động trong một vị trí trung tâm trên mạng và phân phối các chính sách
an ninh cho các thiết bị khác trong mạng, bao gồm bộ định tuyến Cisco, tƣờng
lửa, các thiết bị của mạng riêng ảo và hệ thống phát hiện xâm nhập.
o Công cụ quản lý mạng Cisco [CiscoWorks 2000]
Là tập hợp các sản phẩm quản lý mạng của Cisco, quản lý các bộ chuyển
mạch, bộ định tuyến và tƣờng lửa của Cisco. Công cụ quản lý mạng Cisco đơn
giản hoá quá trình cấu hình, quản lý và điều khiển trong các mạng của Cisco,
đồng thời tối đa tính tính an toàn thông qua việc tích hợp với các dịch vụ điều
khiển truy cập và theo các thay đổi trên mạng.
13
1.3. CÁC THÀNH PHẦN CẦN THIẾT ĐỂ TẠO KẾT NỐI VPN
Để tạo đƣợc kết nối VPN, cần có các thành phần sau đây:
1/. Hệ thống xác thực người dùng [User Authentication]
Cung cấp cơ chế chứng thực ngƣời dùng, chỉ cho phép ngƣời dùng hợp lệ
kết nối và truy cập hệ thống VPN.
Cơ chế xác nhận ngƣời dùng thƣờng đƣợc triển khai tại các điểm truy cập và
đƣợc dùng để xác nhận cho ngƣời dùng truy cập vào tài nguyên bên trong
mạng. Kết quả là chỉ có ngƣời dùng hợp lệ thì mới có thể truy cập vào bên
trong mạng, điều này làm giảm đáng kể sự truy cập bất hợp pháp vào những dữ
liệu đƣợc lƣu trữ trên mạng.
2/. Hệ thống quản lý địa chỉ [Address Management]
Cung cấp địa chỉ IP hợp lệ cho ngƣời dùng sau khi gia nhập hệ thống VPN
để có thể truy cập tài nguyên trên mạng nội bộ.
3/. Hệ thống mã hóa dữ liệu [Data Encryption]
Cung cấp giải pháp mã hoá dữ liệu trong quá trình truyền nhằm bảo đảm
tính riêng tƣ và toàn vẹn dữ liệu.
4/. Hệ thống quản lý khoá [Key Management]
Cung cấp giải pháp quản lý các khoá dùng cho quá trình mã hoá và giải mã
dữ liệu.
1.4. THỦ TỤC THIẾT LẬP MỘT KẾT NỐI VPN
Quá trình thiết lập một kết nối VPN gồm các bƣớc sau:
1/. Máy khách [VPN Client] có nhu cầu kết nối tạo kết nối [VPN Connection]
tới máy chủ cung cấp dịch vụ [VPN Server] thông qua kết nối Internet.
2/. Máy chủ cung cấp dịch vụ chứng thực cho kết nối và cấp phép cho kết nối.
3/. Bắt đầu trao đổi dữ liệu giữa máy khách Cisco VPN và mạng công ty.
14
1.5. CÁC ỨNG DỤNG CỦA CISCO VPN CLIENT
Cisco VPN Client có các ứng dụng sau, cho phép lựa chọn từ trình đơn
Programs[1]:
Hình 1.2. Các ứng dụng của Cisco VPN Client
Theo thứ tự sử dụng các ứng dụng nhƣ sau:
Help: Hiển thị một hƣớng dẫn trực tuyến với các chỉ dẫn sử dụng các ứng dụng.
VPN Dialer: Cho phép cấu hình các kết nối tới một VPN server và cho phép bắt
đầu các kết nối.
Certificate Manager: Cho phép kết nạp các chứng chỉ để xác thực các kết nối
đến các VPN server.
Log Viewer: Cho phép hiển thị các sự kiện từ các bản ghi sự kiện.
Uninstall VPN Client: Cho phép loại bỏ một cách an toàn các phần mềm VPN
Client từ hệ thống và tiếp tục kết nối cùng với các cấu hình xác thực.
SetMTU: Cho phép thay đổi bằng tay kích thƣớc tối đa của các khối truyền.
15
1.6. NGUYÊN TẮC HOẠT ĐỘNG CỦA CISCO VPN CLIENT
Cisco VPN Client làm việc với một Cisco VPN server để tạo ra một kết nối
an toàn, đƣợc xem nhƣ hành lang an toàn cho kết nối và gọi là một tunnel, giữa
máy tính và mạng riêng. Nó sử dụng các giao thức IKE [Internet Key Exchange]
và IPSec [Internet Protocol Security] để tạo và quản lý kết nối an toàn.
1.6.1. Giao thức IPSec
Giao thức IPSec [Internet Protocol Security] có quan hệ tới một số bộ giao
thức [AH, ESP, FIP-140-1, và một số chuẩn khác], đƣợc phát triển bởi Tổ chức
quản lý kỹ thuật Internet [IETF].
Mục đích chính của việc phát triển IPSec là cung cấp một cơ cấu an toàn ở
tầng 3 [Network layer] của mô hình OSI. Mọi giao tiếp trong một mạng trên cơ sở
IP đều dựa trên các giao thức IP. Do đó, khi một cơ chế an toàn cao đƣợc tích hợp
với giao thức IP, toàn bộ mạng đƣợc bảo vệ bởi vì các giao tiếp đều đi qua tầng 3.
1.6.2. Giao thức IKE
Giao thức IKE là một trong những giao thức nằm trong bộ giao thức của
IPSec. IPSec dùng giao thức này để thỏa thuận các giao thức bảo mật và các thuật
toán mã hóa. Một phần quan trọng nữa, IPSec phân phối và kiểm tra các khóa mã
và cập nhật những khóa đó khi đƣợc yêu cầu.
IKE giúp cho các thiết bị tham gia mạng riêng ảo trao đổi với nhau các
thông tin nhƣ mã hóa thế nào? Mã hóa bằng thuật toán gì? Bao lâu mã hóa 1 lần?
IKE có tác dụng tự động thỏa thuận các chính sách an ninh giữa các thiết bị tham
gia mạng riêng ảo. Do đó IKE giúp cho IPSec có thể áp dụng cho các hệ thống
mạng mô hình lớn. Trong quá trình trao đổi khoá, IKE dùng thuật toán mã hóa bất
đối xứng gồm bộ khóa công khai và khoá riêng để bảo vệ việc trao đổi key giữa
các thiết bị tham gia mạng riêng ảo.
16
1.7. MỘT SỐ HOẠT ĐỘNG CƠ BẢN CỦA CISCO VPN CLIENT
Điều chỉnh các tham số tunnel: địa chỉ, thuật toán, lifetime,
Thiết lập các tunnel theo các tham số.
Xác thực ngƣời dùng: đảm bảo ngƣời dùng phải cho biết họ là ai thông qua các.
tên đăng nhập, tên nhóm và mật khẩu và chứng chỉ X.509.
Thiết lập các quyền truy cập ngƣời dùng: thời gian truy cập, thời gian kết nối,
các đích cho phép, các giao thức cho phép,
Quản lý các khoá bí mật cho việc mã hóa và giải mã.
Xác thực, mã hóa và giải mã dữ liệu thông qua tunnel.
Ví dụ, để sử dụng một máy điều khiển từ xa để đọc thƣ điện tử tại cơ quan,
ngƣời sử dụng kết nối qua mạng Internet, sau đó bắt đầu Cisco VPN Client và
thiết lập kết nối bảo mật đến mạng riêng của công ty thông qua mạng Internet. Khi
mở thƣ điện tử, Cisco VPN server sử dụng IPSec để mã hoá thông điệp của thƣ
điện tử. Sau đó truyền thông điệp đó qua tunnel đến Cisco VPN Client, tại đây
thông điệp đƣợc giải mã để có thể đọc đƣợc trên máy tính điều khiển từ xa. Nếu
trả lời thông điệp, Cisco VPN Client sử dụng IPSec để xử lý và trả về một thông
điệp đến mạng riêng thông qua Cisco VPN server.
17
1.8. CÁC CÔNG NGHỆ KẾT NỐI TRONG CISCO VPN CLIENT
Cisco VPN Client cho phép sử dụng các loại công nghệ sau đây để kết nối tới
mạng Internet [1]:
1.8.1. Dịch vụ điện thoại analog [POTS]
Là dịch vụ điện thoại analog [kỹ thuật tƣơng tự ] hoạt động trên hệ thống
dây dẫn đồ ng xoắ n đôi và dƣ̣a trên hê ̣ thố ng điê ̣n thoa ̣i B ell nguyên thủy. Các dây
dẫn xoắ n đôi nố i các nhà ở và cƣ̉a hàng kinh doanh với các văn phòng trung tâm
quanh vùng. Kiể u này đƣơ ̣c go ̣i là vành đai cu ̣c bô . Văn phòng trung tâm đƣơ ̣c nố i
̣
với các văn phòng trung tâm khác và các phƣ
ơng tiê ̣n đƣờng dài . Sử dụng một
dial-up modem để kết nối.
1.8.2. Mạng số các dịch vụ tích hợp [ISDN]
Có thể sử dụng một bộ điều giải dạng quay số [dial-up modem] để kết nối.
ISDN là mô ̣t hê ̣ thố ng điê ̣n thoa ̣i chuyể n ma ̣ch số hoàn toàn đƣơ ̣c thiế t kế đầ u tiên
bởi các công ty điê ̣n thoa ̣i và các nhà cung cấ p dich vu ̣ toàn cầ u nhƣ m ột sự thay
̣
thế cho hê ̣ thố ng điê ̣n thoa ̣i tƣơng tƣ̣. Nó đƣợc đề xuất vào năm 1984, với mu ̣c tiêu
xây dƣ̣ng hê ̣ chuyể n ma ̣ch hoàn toàn vào cuố i thế kỷ . Mô ̣t hê ̣ thố ng số hoàn toàn
có nhiều thuận lợi , bao gồ m sƣ̣ tin câ ̣y , tính khả mở và thích hợp cho việc truyền
dƣ̃ liê ̣u.
1.8.3. Cáp [Cable]
Sử dụng một bộ điều giải dạng cáp [cable modem], luôn luôn kết nối. Mô ̣t
khi đã đƣơ ̣c nố i, ngƣời sƣ̉ du ̣ng có mô ̣t liên kế t thƣờng trƣ̣c vào Internet thông qua
mạng băng tần rộng của các công ty cáp.
1.8.4. Đƣờng thuê bao số [DSL]
Sử dụng một bộ điều giải dƣới dạng đƣờng thuê bao số [DSL modem], luôn
luôn kết nối. Công nghê ̣ đƣờng thuê bao số cải tiến đáng kể băng thông. Nó có thể
cung cấ p tốc độ truyền dữ liệu [throughput] lên đế n 52 Mbit/s qua nhƣ̃ng khoảng
cách giới hạn.
Ngoài ra cũng có thể sử dụng Cisco VPN Client trên một máy với một kết nối
mạng LAN trực tiếp.
18
1.9. CÁC TÍNH NĂNG CỦA CISCO VPN CLIENT
Cisco VPN Client bao gồm các tính năng sau[1]:
1.9.1. Các tính năng chƣơng trình
Trợ giúp hoàn chỉnh trên cơ sở HTML theo ngữ cảnh dựa trên trình duyệt.
Hỗ trợ các các nền bộ tập trung [VPN 3000 Series Concentrator] chạy phiên
bản 3.0 hoặc cao hơn. [VPN Client Release 3.0 và cao hơn sẽ không làm việc
với phiên bản 2.x của VPN 3000 Series Concentrator]
Giao diện Command-line đến VPN Dialer.
Truy cập LAN cục bộ: khả năng cho phép truy cập các tài nguyên trên một
mạng LAN cục bộ trong khi kết nối qua một cổng bảo mật đến một central-site
VPN server [nếu central site gán quyền].
Chức năng cấu hình Cisco VPN Client tự động: khả năng nạp một tệp tin cấu
hình.
Log Viewer: một ứng dụng tập hợp các sự kiện cho việc xem xét và phân tích.
Thiết lập kích thƣớc MTU: Cisco VPN Client thiết lập kích thƣớc tối ƣu một
cách tự động cho môi trƣờng. Tuy nhiên, có thể thiết lập kích thƣớc bình
thƣờng.
Application Launcher: khả năng để bắt đầu chạy một ứng dụng hoặc trình quay
số thứ ba từ Cisco VPN Client.
Tự động gỡ Nortel Networks VPN Client và phần mềm 5000 VPN Client với
gói cài đặt InstallShiel.
Kết nối tự động bằng cách của Microsoft Dial-Up hoặc bất kỳ trình quay số truy
cập từ xa thứ ba nào khác.
Thông báo cập nhật phần mềm từ Cisco VPN server dựa vào kết nối.
Khả năng chạy một phần mềm nâng cấp từ một thông báo Cisco VPN server.
Khả năng thiết lập tự động các kết nối mạng riêng ảo không dây bảo mật một
cách liền mạch.
NAT-T [NAT Transparency], cho phép Cisco VPN Client và bộ tập trung Cisco
VPN tự động phát hiện khi sử dụng IPSec qua UDP để hoạt động một cách
chính xác trong các môi trƣờng chuyển đổi địa chỉ cổng.
19
Cập nhật danh sách máy chủ sao lƣu đƣợc điều khiển tập trung: Cisco VPN
Client học danh sách bộ tập trung VPN sao lƣu thông qua việc thiết lập kết nối.
Tính năng này đƣợc cấu hình trên VPN 3000 Concentrator và đẩy vào Cisco
VPN Client.
Hỗ trợ cho Dynamic DNS [DDNS hostname population]: Cisco VPN Client gửi
tên máy chủ [hostname] của nó đến VPN Concentrator trong suốt quá trình thiết
lập kết nối. VPN Concentrator có thể gửi hostname trong một DHCP request
mà có thể dẫn đến một máy chủ DNS để cập nhật cơ sở dữ liệu của nó bao gồm
tên máy chủ mới và địa chỉ máy khách.
1.9.2. Các tính năng Windows NT, Windows 2000 và Windows XP
Thông tin mật khẩu hết hạn khi quá trình xác thực thông qua một RADIUS
server tham chiếu đến một cơ sở dữ liệu ngƣời dùng NT. Khi ngƣời dùng đăng
nhập, VPN Concentrator gửi một message thông báo mật khẩu hết hạn và yêu
cầu nhập mật khẩu mới, sau đó xác thực mật khẩu mới này.Với các VPN Client
phiên bản trƣớc 3.5 sẽ nhắc ngƣời dùng đƣa ra một PIN và xác thực nó. Với
VPN Client phiên bản từ 3.5 trở nên, yêu cầu nhập và xác thực một mật khẩu.
Start Before Logon: là khả năng thiết lập kết nối VPN trƣớc khi đăng nhập vào
một giao diện Windows NT, bao gồm cả Windows NT 4.0, Window 2000 và cả
Windows XP.
Khả năng vô hiệu hóa ngắt kết nối một cách tự động khi thoát khỏi Windows
NT.[1]
1.9.3. Các tính năng của bộ giao thức IPSec
1/.
Giao thức IPSec tunneling
Là một chuẩn bảo mật quốc tế về mạng riêng ảo do Tổ chức quản lý kỹ
thuật Internet phát triển nhằm đảm bảo sự an toàn cho việc truyền những thông
tin nhạy cảm tới một mạng riêng thông qua thiết bị VPN, qua các mạng không
có bảo vệ nhƣ Internet.
IPsec áp dụng bảo mật ở lớp xử lý các gói dữ liệu trong khi những giải pháp
trƣớc đó áp dụng bảo mật ở lớp ứng dụng.