Tạo VNP Site to Site bằng ISA 2006 Firewall Branch Office Connection Wizard – Phần 1

Quản trị mạng – Trong loạt bài này chúng tôi sẽ giới thiệu cho các bạn về cách cấu hình một mạng riêng ảo (VPN) site to site bằng cách sử dụng Branch Office Connectivity Wizard trong ISA 2006 Firewall.

Virtual Private Network (VPN) - Mạng riêng ảo là một công nghệ cho phép mở rộng phạm vi của các mạng LAN (Local Area Networks) mà không cần bất kì đường dây riêng nào. VPN được dùng để kết nối các chi nhánh phân tán về mặt địa lý thành một mạng duy nhất và cho phép sử dụng từ xa các chương trình ứng dụng dựa trên các dịch vụ trong công ty.

Kịch bản Domain Controller cho văn phòng chi nhánh

Một trong những cải tiến có trong phiên bản Enterprise của ISA 2006 Firewall là Branch office connectivity wizard. Trong ISA 2000, chúng ta đã có site to site VPN wizard để có thể tạo dễ dàng một VPN site to site. Mặc dù trong ISA 2004, site to site VPN wizard được nhiều người ưa thích này đã biến mất, tuy nhiên mọi người sẽ không gặp bất kỳ một trở ngại nào trong việc làm cho một VPN site to site làm việc giữa hai ISA Firewall. Nhóm phát triển ISA Firewall đã có những cải tiến để chúng ta có được một site to site VPN wizard thú vị, Branch Office Connectivity Wizard là tên được đặt lại.

Branch Office Connectivity Wizard sử dụng các thông tin chứa trong cấu hình Remote Site mà bạn tạo tại văn phòng chính và sử dụng các thông tin đó để trợ giúp cho việc tạo VPN site to site trở nên dễ dàng hơn. Khi kết thúc wizard, một file sẽ được tạo để bạn có thể đưa đến ISA Firewall văn phòng chi nhánh nhằm tạo một VPN site to site. Ngoài việc tạo kết nối VPN site to site, wizard còn cho phép bạn có được tùy chọn tạo ISA Firewall tại văn phòng chi nhánh một thành viên miền, đây thực sự là một cách thức tốt nhất của ISA Firewall vì tính bảo mật toàn diện của một thành viên miền mạnh hơn nhiều so với một ISA Firewall đứng độc lập.

Trong loạt bài về sử dụng ISA Firewall Branch Office Connectivity Wizard để tạo một VPN site to site này, đầu tiên chúng tôi sẽ giới thiệu qua quá trình tạo một kết nối VPN site to site bằng Wizard, sau khi tạo xong một VPN site to site, chúng ta sẽ tạo các luật truy cập (Access Rule) cho bộ điều khiển miền (domain controller) của văn phòng chi nhánh, các máy khách thành viên miền tại văn phòng chi nhánh và sử dụng đặc quyền tối thiểu để thực hiện điều này.

Hình bên dưới thể hiện một cái nhìn tổng quan về mạng lab được sử dụng trong loạt bài này.

Hình 1

Có 5 máy tính được sử dụng trong kịch bản này:

Chúng ta cũng sẽ tạo những thay đổi đối với cấu hình DNS của ISA Firewall văn phòng nhánh để nó có thể sử dụng DC văn phòng nhánh sau khi cấu hình hoàn tất.

Các thủ tục gồm có:

Những lưu ý về VPN Site to Site

Một trong những phần bận rộn nhất trên ISAserver.org phải kể đến các phần VPN và nó thường là các vấn đề về VPN site to site. Lý do cho điều này theo tôi chính là nhiều người không hiểu về cách các kết nối VPN site to site làm việc như thế nào và một số yêu cầu cơ bản gì cho các kết nối đó làm việc.

VPN Gateway là một VPN Router

Khi ISA Firewall được cấu hình làm VPN gateway site to site, ISA Firewall sẽ trở thành một router cho các ID mạng nằm phía sau VPN gateway từ xa. Cho ví dụ, giả sử rằng văn phòng chính nằm trên ID mạng 10.1.0.0/16 và các địa chỉ IP của văn phòng chi nhánh nằm trên ID mạng 10.2.0.0/16. Khi một host tại văn phòng chính cần kết nối đến một ID mạng từ xa, 10.2.0.0/16, nó phải thực hiện thông qua VPN gateway tại văn phòng chính.

Để làm việc, các máy khách trong mạng văn phòng chính phải được cấu hình với địa chỉ cổng để biết tuyến đến ID mạng 10.2.0.0/16. ISA Firewall biết rõ về tuyến, vì vậy các máy khách được cấu hình để sử dụng ISA Firewall với tư cách gateway mặc định của chúng sẽ có thể truy cập đến mạng từ xa thông qua VPN gateway của ISA Firewall.

Chúng tôi thấy có rất nhiều câu hỏi đề cập đến cách “fix” các vấn đề gặp phải khi các site từ xa và nội bộ được đánh địa chỉ với cùng ID mạng. Họ muốn biết liệu có cách nào có thể “fix” vấn đề này. Câu trả lời là thực sự không có cách nào có thể “fix” vấn đề này từ quan điểm định tuyến, vì các hệ thống máy khách kết nối với các ID mạng nội bộ sẽ không bao giờ chuyển tiếp các kết nối đến một địa chỉ cổng. Tại sao các máy khách sẽ chuyển tiếp các kết nối đến ID mạng nội bộ sang một gateway khi không được yêu cầu và vi phạm tất cả các nguyên lý định tuyến tenets của TCP/IP?

Nhớ việc phân định tên

Một vấn đề khác thường gặp phải nữa với các VPN site to site là sự phân định tên. Các máy khách tại văn phòng chi nhánh cần khả năng phân định các tên máy tính tại văn phòng chính, và tại cả văn phòng chi nhánh. Để thực hiện được điều này, cần phải có một cơ sở hạ tầng máy chủ DNS thích hợp có thể phân định tất cả các tên. Thêm vào đó, bạn cũng cần nghĩ liệu người dùng tại văn phòng chi nhánh có nên phân định hostname Internet một cách trực tiếp hay phụ thuộc vào ISA Firewall tại các văn phòng chi nhánh hoặc văn phòng chính để phân định hostname nhân danh của họ.

Có hai kịch bản chính liên quan đến việc phân định tên tại văn phòng chi nhánh: một là có một domain controller tại văn phòng chi nhánh và hai là không có domain controller tại văn phòng chi nhánh. Nếu công ty giữ các DC tại văn phòng chi nhánh, các host tại văn phòng chi nhánh có thể sử dụng domain controller nội bộ của họ để đăng nhập vào phân định tên, vì máy tính đó có thể được cấu hình như một máy chủ DNS tích hợp Active Directory. Trường hợp nếu không có domain controller tại văn phòng chi nhánh, các máy khách tại các văn phòng chi nhánh có thể được cấu hình để sử dụng máy chủ DNS tại văn phòng chính nhằm mục đích phân định tên miền cho các máy chủ tại văn phòng chi nhánh và văn phòng chính.

Phân định hostname Internet là một vấn đề khác. Một số tổ chức thích cho máy khách có thể tự phân định hostname Internet (quá trình được yêu cầu cho các máy khách SecureNET), trong khi đó một số tổ chức khác lại muốn có sự kiểm soát chặt chẽ về sự phân định hostname Internet và chỉ cho phép ISA Firewall có thể phân định tên với tư cách các máy khách.

Có nhiều cách có thể thực hiện quá trình phân định này tuy nhiên tôi không thể cung cấp cho bạn được một công thức nào để nhận biết về cách nào tốt nhất. Mặc dù vậy, những gì tôi thường thực hiện là cấu hình ISA Firewall và các host trên mạng công ty để sử dụng các máy chủ DNS tích hợp Active Directory nhằm phân định hostname, sau đó cấu hình các máy chủ DNS này sử dụng một bộ chuyển tiếp được điều khiển bởi công ty để phân định hostname Internet.

Một vấn đề quan trọng trong việc phân định tên trong môi trường văn phòng chi nhánh liên quan đến các entry WPAD. Như bạn biết, cả Web proxy và các máy khách Firewall đều sử dụng các entry WPAD để tự động phát hiện địa chỉ nội bộ của ISA Firewall để sử dụng cho các kết nối Web proxy và Firewall client với ISA Firewall. Điều này có thể hơi khó hiểu khi bạn sử dụng một cơ sở hạ tầng DNS riêng cho các văn phòng chi nhánh và văn phòng chính, vì bạn không thể sử dụng một entry WPAD cho tất cả các địa điểm, giả định bạn muốn các host có thể kết nối đến các ISA Firewall nội bộ. Nói một cách khác, nếu bạn muốn tất cả các host kết nối với Internet thông qua một mảng Firewall văn phòng chính thì bạn hoàn toàn có thể sử dụng một entry WPAD.

Bạn có thể giải quyết vấn đề bằng cách tạo nhiều entry WPAD, một cho văn phòng chính và một cho mỗi văn phòng chi nhánh, sau đó kích hoạt trình tự mặt nạ mạng (netmask ordering) trên các máy chủ DNS. Khi netmask ordering được kích hoạt, các máy chủ DNS sẽ phân định các truy vấn WPAD để so khớp với ID mạng nhận yêu cầu. Điều đó có nghĩa rằng khi một host tại một văn phòng chính gửi một truy vấn WPAD đến DNS, địa chỉ được trả về sẽ là địa chỉ gần nhất với ID mạng của host tại văn phòng chính và khi truy vấn WPAD được nhận bởi một host tại văn phòng chi nhánh, địa chỉ được trả về sẽ là địa chỉ gần nhất với ID mạng nơi đặt host của văn phòng chi nhánh.

Để xem thêm thông tin về cách thực hiện này, bạn có thể tham khảo thêm bài báo của tác giả Stefaan Pouseele tại đây.

Một vấn đề DNS cuối cùng mà bạn cần xem xét là sự ảnh hưởng của các đăng ký DDNS cho các VPN gateway. Khi DDNS được kích hoạt trên máy chủ DNS, giao diện RAS (RAS interface) của ISA Firewall sẽ tự đăng ký trong DNS và sinh ra các vấn đề kết nối cho Web proxy và Firewall client, vì chúng sẽ cố gắng kết nối đến giao diện RAS chứ không phải địa chỉ LAN thực của ISA Firewall. Với lý do này, trong kịch bản được thảo luận trong loạt bài này, chúng tôi sẽ vô hiệu hóa DDNS trên các máy chủ DNS khi tạo VPN gateway và sau đó sẽ nghiên cứu tỉ mỉ xem có thể vô hiệu hóa vấn đề đăng ký DDNS trong demand-dial interface bằng cách sử dụng giao diện RRAS.

Các giao thức VPN

ISA Firewall hỗ trợ ba giao thức VPN cho các site to site VPN: IPSec tunnel mode, L2TP/IPSec và PPTP.

Sự hỗ trợ IPSec tunnel mode được giới thiệu trong ISA 2004 để ISA Firewall có thể được sử dụng như một site to site VPN gateway với các VPN gateway của bên thứ ba. Đây chỉ là một kịch bản bạn nên sử dụng IPSec tunnel mode, vì IPSec tunnel mode vẫn bị coi là một giao thức kém an toàn và hiệu suất thấp hơn so với L2TP/IPSec. Thêm vào đó, sự hỗ trợ định tuyến cho IPSec tunnel mode rất khó và bị hạn chế.

L2TP/IPSec là một giao thức site to site VPN khá được ưa thích khi cả hai phía của site to site VPN đều đang sử dụng ISA Firewall hoặc VPN gateway của bên thứ ba có hỗ trợ L2TP/IPSec. Do L2TP/IPSec hỗ trợ các khóa được chia sẻ trước, trong một môi trường an toàn, nên bạn phải sử dụng sự thẩm định chứng chỉ cho cả tài khoản máy tính và tài khoản người dùng đã được sử dụng để thẩm định đường hầm VPN. Tuy đây là một cấu hình rất an toàn nhưng hầu hết các công ty mà tôi bắt gặp thường sử dụng thẩm định non-EAP cho các tài khoản người dùng với demand-dial interface và sử dụng thẩm định chứng chỉ cho các tài khoản máy tính.

PPTP là giao thức dễ dàng nhất để hỗ trợ cho các kết nối site to site VPN. Không yêu cầu chứng chỉ và hầu hết các quản trị viên ISA Firewall sẽ phát hiện thấy ở PPTP mỗi điều là “chỉ làm việc”. Nhược điểm của PPTP là kém an toàn hơn so với L2TP/IPSec vì những thông tin quan trọng (credentials hash) đều được gửi trên một kênh không an toàn. Chính vì vậy, mức bảo mật của kết nối PPTP có thể cung cấp phụ thuộc chủ yếu vào độ phức tạp của mật khẩu. Thêm vào đó, PPTP không cung cấp các tính năng non-repudiation (không thoái thác) và sự bảo vệ chống replay mà L2TP/IPSec cung cấp.

Khi sử dụng IPSec tunnel mode để kết nối với các VPN gateway của bên thứ ba, hoàn toàn không có cách thực hiện dễ dàng nào. Thứ đầu tiên mà bạn nên thử là các thông tin về việc sử dụng ISA Firewall với các VPN gateway của bên thứ ba tại website của Microsoft.

Nếu hướng dẫn đó không phù hợp với kịch bản triển khai thì bạn sẽ phải quay trở lại với những hiểu biết của mình về IPSec và bảo đảm rằng tất cả các tham số IPSec đều đúng trên cả hai phía. Thậm chí có trường hợp khi thấy các tham số IPSec đúng trên cả hai phía, bạn vẫn có thể gặp các vấn đề với các VPN gateway không có sự tuân thủ RFC (non-RFC compliant). Cho ví dụ, có một vài báo cáo về các Sonicwall firewall không làm việc với VPN gateway của ISA Firewall vì chúng không có sự tuân thủ RFC (RFC compliant) và không cho phép cổng nguồn nào đó cho IKE ngoài UDP 500. Do ISA Firewall có sự tuân thủ RFC, nên nó có thể sử dụng một cổng khác và vì vậy không kết nối đến thiết bị Sonicwall. Trong trường hợp của Sonicwall, có thể một nâng cấp phần mềm đã tạo sự tuân thủ RFC cho thiết bị.

Một vấn đề hay gặp khác đối với site to site VPN là các tài khoản người dùng không được cấu hình phù hợp với demand-dial interface name (Lưu ý: Interface name bên này là username bên kia!). Khi xảy ra điều này, có lúc nó có thể xuất hiện mà site to site VPN được kết nối, tuy nhiên không có lưu lượng từ một mạng này sang mạng khác qua các VPN gateway, hoặc có thể giống như các kết nối được cho phép từ một mạng, tuy nhiên không từ mạng khác. Lý do cho điều này là vì kết nối site to site VPN không được thiết lập. Bạn có thể xác nhận điều đó bằng cách mở giao diện RRAS và kiểm tra mục Remote Access Clients trong phần panel bên trái. Nếu thấy một kết nối máy khách truy cập từ xa cho VPN gateway từ xa, thì bạn sẽ biết rằng kết nối VPN của máy khách truy cập từ xa đã được tạo mà không phải kết nối site to site VPN. Các kết nối máy khách truy cập từ xa sẽ không cho phép định tuyến thông qua các VPN gateway.

Với kinh nghiệm, chúng tôi luôn khuyến khích các quản trị viên ISA Firewall sử dụng L2TP/IPSec với thẩm định chứng chỉ máy. Mặc dù vậy trong hầu hết trường hợp, trong suốt quá trình triển khai ban đầu, chúng tôi sẽ thiết lập site to site VPN bằng khóa chia sẻ trước, để xây dựng sự tự tin trong giải pháp và gỡ bỏ một số phức tạp cố hữu trong một PKI. Sau khi giải pháp site to site VPN được thực hiện, chúng tôi sẽ chuyển sang thẩm định chứng chỉ máy và bỏ các khóa chia sẻ trước.

Kết luận

Đây là phần đầu tiên của loạt bài về cách cấu hình site to site VPN bằng cách sử dụng branch office connectivity wizard. Trong kịch bản này, sẽ có các ISA Firewall cũng như các domain controller nằm tại các văn phòng chính và chi nhánh. Trong các phần tiếp theo, chúng tôi sẽ giới thiệu cách sử dụng branch office connectivity wizard có trong ISA 2006 Enterprise Edition này cho các bạn trong việc tạo kết nối và sau đó là tùy chỉnh các luật truy cập. NDS và các tham số cấu hình khác để hỗ trợ đầy đủ cho kết nối site to site VPN từ văn phòng chi nhánh.