text:
Tăng cường bảo mật cho giao thức mạng IP
Chia sẻ: Tran Viet Son | Ngày: | Loại File: DOC | Số trang:22
lượt xem 187
download
Tăng cường bảo mật cho giao thức mạng IP
Bảo mật mạng là một vấn đề rất rộng, có thể được xem xét ở mức dữ liệu (nơi mà những vấn đề về trộm gói tin và mã hóa dữ liệu có thể xảy ra), ở mức giao thức, và ở mức ứng dụng. Ngày càng có nhiều người kết nối Internet và các công ty ngày càng mở rộng mạng, vấn đề bảo mật cho mạng nội bộ trở nên khó khăn hơn.
Bình luận(0) Đăng nhập để gửi bình luận!
Nội dung Text: Tăng cường bảo mật cho giao thức mạng IP
- Tăng cường bảo mật cho mạng IP Nội dung chính Tăng cường bảo mật cho mạng IP Tìm hiểu cách tiếp cận của Cisco với vấn đề bảo mật mạng Điều khiển truy cập tới Cisco Routers Truy cập Console Password cho chế độ nonprivileged ( bình thường ) Password cho chế độ privileged ( đặc quyền ) Giới hạn thời gian phiên làm việc Mã hóa password Truy cập Telnet Password cho chế độ nonprivileged Password cho chế độ privileged Hạn chế truy cập Telnet với những địa chỉ IP cụ thể Hạn chê truy cập Telnet với những sản phẩm của Cisco thông qua các cổng TCP Terminal Access Controller Access Control System (TACACS) Chế độ nonprivileged Chế độ privileged Simple Network Management Protocol ( SNMP) Chế độ nonprivileged Chế độ privileged Thiết lập kiến trúc cho một firewall Điều khiển lưu thông trong mạng Cấu hình cho một Firewall Router Lập danh sách truy cập Áp dụng danh sách truy cập với các interface Cấu hình cho một Firewall Communication Server Lập danh sách truy cập Áp dụng danh sách truy cập với các interface Sử dụng banner tạo các thông báo Bảo vệ những dịch vụ ngoài chuẩn khác Tổng kết Danh sách tài liệu nên đọc ********************************************* Tăng cường Bảo mật cho mạng IP Bảo mật mạng là một vấn đề rất rộng, có thể được xem xét ở mức dữ liệu (nơi mà những vấn đề về trộm gói tin và mã hóa dữ liệu có thể xảy ra), ở mức giao thức, và ở mức ứng dụng. Ngày càng có nhiều người kết nối Internet và các công ty ngày càng mở rộng mạng, vấn đề bảo mật cho mạng nội bộ trở nên khó khăn hơn. Công ty phải xác định khu vực nào của mạng nội bộ cần bảo vệ, tìm cách hạn chế người dùng truy cập tới những khu vực đó, xác định loại dịch vụ mạng
- nào cần sàng lọc để ngăn chặn những lỗ hổng bảo mật. Cisco Systems cung cấp rất nhiều tính năng ở tầng giao thức (protocol hay network layer) để tăng cường bảo mật cho mạng IP. Những tính năng này bao gồm điều khiển hạn chế truy cập tới routers và servers bằng console port, Telnet, Simple Network Management Protocol (SNMP), Terminal Access Control System (TACACS), thẻ chứa mã người dùng và danh sách truy cập Việc thiết lập kiến trúc của một firewal cũng sẽ được nói tới. Bài viết này chỉ nói đến những vấn đề bảo mật ở mức network-layer, nhưng nếu bỏ qua những vấn đề bảo mật ở mức host-level cũng sẽ rất nguy hiểm. Về những biện pháp bảo mật ở host-level bạn hãy xem hướng dẫn về các ứng dụng của bạn, và danh sách liệt kê ở cuối bài viết này. Tìm hiểu cách tiếp cận của Cisco với vấn đề bảo mật mạng Khi người ta nói tới bảo mật, họ muốn chắc chắn rằng người dùng chỉ thực hiện được những việc được cho phép, chỉ nhận được những thông tin được cho phép, và không thể gây ra hư hại với dữ liệu, ứng dụng hay hệ điều hành của hệ thống Từ bảo mật còn bao hàm nghĩa bảo vệ khỏi những tấn công ác ý từ bên ngoài. Bảo mật cũng liên quan đến điều khiển hiệu ứng của các lỗi và sự cố thiết bị. Những gì có thể bảo vệ chống lại những tấn công được tính toán kỹ lưỡng thì cũng ngăn chặn được những rủi ro ngẫu nhiên. Bài viết này cung cấp những việc mà bạn có thể làm để tăng cường bảo mật cho mạng của bạn. Trước khi đi vào chi tiết, sẽ rất có ích nếu bạn hiểu những khái niệm cơ bản không thể thiếu với bất cứ hệ thống nào (*) Biết rõ kẻ thù Ở đây muốn nói tới những kẻ tấn công. Hãy tìm hiểu xem ai muốn vượt qua các biện pháp bảo mật của bạn, xác định động lực thúc đẩy họ. Xác định họ muốn làm gì và những hư hại họ có thể gây ra cho hệ thống của bạn. Các biện pháp bảo mật không thể ngăn chặn tuyệt đối các hành động không được phép, mà chỉ khiến việc đó trở nên khó khăn hơn. Mục tiêu là khiến sự bảo mật của mạng vượt qua khả năng hay động lực thúc đẩy kẻ tấn công. (*) Tính toán chi phí Các biện pháp bảo mật hầu hết đều làm giảm đi sụ tiện lợi. Bảo mật có thể
- khiến công việc đình trệ và tạo thêm chi phí đào tạo và quản trị. Nó có thể đòi hỏi nhiều tài nguyên quan trọng cũng như những phần cứng chuyên dụng. Khi thiết kế các biện pháp bảo mật, bạn cần hiểu được chi phí của chúng, so sánh với lợi ích có thể có. Để làm được như vậy bạn phải hiểu chi phí cho bản thân các biện pháp và chi phí cho những lỗ hổng bảo mật có thể có. (*) Những giả định của bạn Mỗi hệ thống bảo mật đều có những giả định của nó. Ví dụ, bạn có thể giả sử rằng kẻ tấn công biết ít hơn bạn, rằng họ dùng những phần mềm tiêu chuẩn. Hãy kiểm tra và đánh giá cẩn thận các giả định của bạn. Mỗi giả định chưa được xem xét sẽ là một lỗ hổng bảo mật tiềm ẩn. (*) Điều khiển các thông tin bí mật Hầu hết bảo mật là dựa trên các thông tin bí mật, chẳng hạn như password và các khóa mã hóa. Điều quan trọng nhất là hiểu được khu vực bạn cần bảo vệ. Những kiến thức nào sẽ giúp ai đó vượt qua hệ thống của bạn ? Bạn phải bảo vệ cẩn thận với kiến thức đó. Càng nhiều thông tin bí mật, càng khăn cho việc bảo vệ tất cả chúng. Hệ thống bảo mật chỉ nên thiết kế cho một giới hạn nhất định thông tin cần giữ. (*) Hãy nhớ đến yếu tố con người Rất nhiều phương pháp bảo mật thất bại vì những người thiết kế không để ý đến việc người dùng nghĩ gì. Ví dụ, do chúng rất khó nhớ, password tạo 1 cách tự động thường thấy được ghi ở mặt dưới bàn phím.Nếu các biện pháp bảo mật gây trở ngại cho việc sử dụng thiết yếu của hệ thống, những biện pháp đó sẽ bị bỏ qua. Để đạt được ý muốn, bạn phải chắc chắn rằng người dùng có thể hoàn thành công việc của họ, bạn phải làm cho họ hiểu được và chấp nhận sự cần thiết của bảo mật. Người dùng nên có một sự hợp tác với hệ thống bảo mật, ít nhất ở mức độ nào đó.Password, chẳng hạn, có thể nhận được bằng cách đơn giản gọi điên đến người dùng, giả làm người quản trị. Nếu người dùng của bạn hiểu những vấn đề bảo mật và nếu họ hiểu lý do những biện pháp của bạn, họ sẽ không khiến cho kẻ xâm nhập cảm thấy dễ dàng. Ít nhất, người dùng nên được hướng dẫn không bao giờ đưa password hay thông tin bí mật qua đường điện thoại hay email không được bảo vệ, cảnh giác với những câu hỏi qua
- điện thoại. Một vài công ty đã lập ra những chương trình đào tạo về bảo mật thông thường cho nhân viên, nhân viên không được truy cập Internet khi chưa hoàn thành chương trình này. (*) Biết điểm yếu của bạn Mọi hệ thống đều có điểm yếu. Bạn cần hiểu các điểm yếu trong hệ thống của bạn và cách khai thác những điểm yếu đó. Bạn cũng nên biết khu vực có nguy cơ cao nhất và ngăn chặn sự truy cập đến đó. Hiểu được những điểm yếu là bước đầu tiên đưa chúng thành những khu vực an toàn. (*) Giới hạn phạm vi truy cập Bạn nên đặt những giới hạn thích hợp trong hệ thống sao cho nếu kẻ xâm nhập có thể truy cập đến một phần hệ thống, họ không thể tự động có quyền truy cập đến phần còn lại của hệ thống. (*) Hiểu môi trường làm việc của bạn Hiểu hệ thông của bạn hoạt động ra sao, biết được cái gì được mong đợi và cái gì không, quen với việc các thiết bị thường được sử dụng thế nào, sẽ giúp bạn phát hiện những vấn đề bảo mật. Chú ý đến những sự kiện không bình thường giúp bạn phát hiện kẻ xâm nhập trước khi chúng phá hoại hệ thống. Những công cụ giám sát có thể giúp bạn phát hiện những sự kiện không bình thường đó. (*) Giới hạn sự tin tưởng Bạn nên biết chính xác bạn phần mềm nào bạn tin tưởng, và hệ thống bảo mật của bạn không nên dựa trên giả định rằng tất cả các phần mềm không có lỗi (*) Nhớ đến physical security Truy cập một cách trực tiếp vào 1 máy tính ( hay một router ), một người kinh nghiệm có thể chiếm toàn bộ điều khiển trên đó.Sẽ chẳng có ý nghĩa gì nếu cài đặt những phần mềm bảo mật khi quyền sử dụng trực tiếp phần cứng không được quan tâm. (*) Bảo mật ở khắp nơi Hầu hết những thay đổi trong hệ thống của bạn có thể có ảnh hưởng đến bảo mật. Điều này đặc biệt đúng khi một dịch vụ mới được tạo ra. Những nhà quản trị, lập trình, và người dùng phải luôn để ý đến vấn đề bảo mật trong mỗi thay đổi họ tạo ra. Hiểu được khía cạnh bảo mật của mỗi thay đổi đòi hỏi thực hành, khám phá mỗi dịch vụ có thể được sử dụng theo những cách nào. Điều khiển truy cập tới Cisco Routers
- Việc điều khiển truy cập tới Cisco routers của bạn là rất quan trọng. Bạn có thể điều khiển truy cập tới routers sử dụng các phương pháp sau : - Truy cập console - Truy cập telnet - Truy cập bằng Simple Network Management Protocol (SNMP) - Điều khiển truy cập tới servers có những file cấu hình hệ thống Bạn có thể bảo vệ 3 phương pháp đầu tiên bằng cách sử dụng tính năng của phần mềm router. Với mỗi phương pháp, bạn có thể cho phép privileged access (truy cập với đặc quyền ) hay nonprivileged access (truy cập thông thường) đối với mỗi người dùng (hay nhóm người dùng). Nonprivileged access cho phép người dùng theo dõi router nhưng không được thay đổi router. Privileged access cho người dùng toàn quyền thay đổi cấu hìnhcho router. Với truy cập qua console port và Telnet, bạn có thể thiết lập 2 loại password. Loại thứ nhất là password đăng nhập, cho phép nonprivileged access. Sau khi truy cập vào router, người dùng có thể chuyển sang chế độ privileged bằng cách nhập password phù hợp. Ở chế độ privileged người dùng có toàn quyền thay đổi thiết lập Truy cập SNMP cho phép bạn đặt những chuỗi SNMP khác nhau cho cả nonprivileged và privileged access. Nonprivileged access cho phép người dùng ở 1 host gửi đến router những thông điệp SNMP get-request và SNMP get-next-request. Những thông điệp này được dùng để lấy thông tin từ router. Privileged access cho phép người dùng gửi những thông điệp SNMP set-request để thay đổi cấu hìnhvà trạng thái hoạt động của router. Truy cập Console Console là thiết bị đầu cuối gắn trực tiếp với router qua cổng console. Việc bảo mật được áp dụng với console bằng cách buộc người dùng xác nhận bản thân qua password. Theo mặc định, không có password đi kèm với console access. Password cho chế độ nonprivileged Bạn thiết lập password cho chế độ nonprivileged bằng cách đánh dòng lệnh sau vào file cấu hìnhcủa router. Password phân biệt chữ hoa, chữ thường. Ở ví dụ, password là "1forAll"
- line console 0 login password 1forAll Khi bạn đăng nhập vào router, sẽ nhận được thông báo login như sau User Access Verification Password: Bạn phải nhập password "1forAll" để có quyền nonprivileged access đến router. Router sẽ trả lời như sau : router>Dấu nhắc > báo hiệu đây là chế độ nonprivileged. Bây giờ bạn có thể dùng rất nhiều lệnh để xem thông tin về hoạt động của router. Không bao giờ dùng "cisco", hay những biến thể khác như "pancho" cho password của Cisco router. Đó sẽ là những password đầu tiên kẻ xâm nhập thử khi họ nhìn thấy dấu đăng nhập Cisco. Password cho chế độ privileged Thiết lập password cho chế độ privileged bằng cách đưa dòng lệnh sau vào file cấu hìnhcủa router. Trong ví dụ này password là "san-tran". enable-password san-fran Để truy cập chế độ privileged, đánh lệnh sau: router> enable Password: Gõ password "san-fran" để được privileged access tới router. Router trả lời như sau : router# Dấu nhắc # báo hiệu chế độ privileged. Ở chế độ privileged, bạn có thể đánh tất cả các lệnh để xem thông tin và cấu hìnhcho router. Giới hạn thời gian phiên làm việc Đặt password đăng nhập và password enable có thể chưa đủ an toàn trong 1 số trường hợp. Giới hạn thời gian cho một console không được điều khiển ( mặc định 10 phút ) cung cấp thêm một biện pháp an toàn.Bạn có thể thay đổi giới hạn này bằng lệnh exec-timeout mm ss trong đó mm là số phút, ss là số giây. Lệnh sau thay đổi giới hạn thành 1 phut 30 giây line console 0 exec-timeout 1 30 Mã hóa password Tất cả password trên router đều có thể xem được bằng lệnh xem cấu hìnhcủa router trong chế độ privileged. Nếu bạn có quyền truy cập ở chế độ privileged , bạn có thể xem tất cả password ở dạng cleartext, theo mặc
- định. Có một cách để giấu cleartext password. Lệnh password-encryption lưu các password dưới dạng mã hóa.Tuy nhiên, nếu bạn quên password, để lấy lại quyền truy cập, bạn phải có quyền truy cập trực tiếp (physical access) đối với router. Truy cập bằng Telnet Bạn có thể truy cập theo chế độ nonprivileged hoặc privileged tới router thông qua Telnet. Giống như với Console, sự bảo mật với Telnet có được khi người dùng xác nhận bản thân bằng password. Thực tế, rất nhiều khái niệm tương tự mô tả ở phần "Console Access" ở trên cũng áp dụng cho truy cập Telnet. Bạn phải nhập password để chuyển từ chế độ nonprivileged sang privileged, có thể mã hóa password, đặt giới hạn thời gian cho phiên làm việc. Password cho chế độ nonprivileged Mỗi cổng Telnet của router được coi như một thiệt bị đầu cuối "ảo" ( virtual terminal ). Có tối đa 5 cổng dành cho virtual terminal (VTY) trên router , cho phép 5 phiên làm việc Telnet đồng thời. Trên router, các này đánh số từ 0 đến 4. Bạn có thể đặt nonprivileged password cho các cổng với lệnh cấu hình sau.Trong ví dụ này, cổng virtual terminal từ 0 đến 4 sử dụng password "marin" : line vty 0 4 login password marin Khi người dùng telnet đến IP của router, router trả lời tương tự như sau : % telnet router Trying ... Connected to router Escape character is '^]' User Access Verification Password: Nếu người dùng nhập đúng nonprivileged password, dấu nhắc sau sẽ xuất hiện: router> Password cho chế độ privileged Bây giờ người dùng đã có nonprivileged access và có thể chuyển sang chế độ privileged bằng cách gõ lệnh enable giống như đối với Console Access. Hạn chế truy cập Telnet đối với những địa chỉ IP cụ thể Nếu bạn muốn chỉ những IP nhất định có thể dùng Telnet truy cập router, bạn phải dùng lệnh access-class nn in
- để xác định danh sách truy cập (từ 1 đến 99). Lệnh cấu hình sau cho phép truy cập Telnet đến router từ các host trong mạng 192.85.55.0: access-list 12 permit 192.85.55.0 0.0.0.255 line vty 0 4 access-class 12 in Hạn chế truy cập Telnet đối với các sản phẩm Cisco thông qua cổng TCP Có thể truy cập tới 1 sản phẩm của Cisco thông qua Telnet đến những cổng TCP nhất định. Kiểu truy cập Telnet thay đổi tùy theo những phiên bản phần mềm Cisco: - Software Release 9.1 (11.4) và cũ hơn, 9.21 (3.1) và cũ hơn - Software Release 9.1 (11.5) , 9.21 (3.2), 10.0 và mới hơn Với Software Release 9.1 (11.4) và cũ hơn, 9.21 (3.1) và cũ hơn, có thể , theo mặc định, thiết lập kết nối TCP tới sản phẩm của Cisco thông qua các cổng TCP trong Bảng 3-1 Bảng 3-1 : Cổng TCP truy cập Telnet tới các sản phẩm Cisco ( các phiên bản cũ) Cổng TCP Phương thức truy cập 7 Echo 9 Discard 23 Telnet ( tới cổng VTY theo kiểu quay vòng) 79 Finger 1993 SNMP thông qua TCP 2001-2999 Telnet tới cổng hỗ trợ (auxiliary - AUX ), cổng terminal (TTY), và cổng virtual terminal (VTY) 3001-3999 Telnet tới những cổng quay vòng ( chỉ có thể khi đã được cấu hình với lệnh rotary ) 4001-4999 Telnet ( stream mode ) , mirror của các cổng trong khoảng 2000 5001-5999 Telnet ( stream mode), mirror của khoảng 3000 ( chỉ khi đã cấu hình rotary) 6001-6999 Telnet (binary mode), mirror của khoảng 2000 7001-7999 Telnet (binary mode), mirror của khoảng 300 ( chỉ khi đã cấu hình rotary) 8001-8999 Xremote ( chỉ với communication servers) 9001-9999 Reverse Xremote ( chỉ với communication servers) 10001-19999 Reverse Xremote rotary (chỉ với communication servers, khi đã cấu hình rotary trước) Chú ý : Vì Cisco routers không có đường TTY, thiết lập truy cập ( trên communicaiton servers) tới các cổng 2002,2003,2004 và lớn hơn có thể cung cấp truy cập tới VTY (trên routers) tới các cổng tương ứng. Để cung cấp truy cập tới các cổng TTY, bạn có thể tạo danh sách truy cập trong đó hạn chế truy cập đối với VTYs. Khi thiết lập những nhóm quay vòng, luôn nhớ rằng có thể truy cập đến bất cứ
- cổng nào trong nhóm (trừ khi có danh sách giới hạn truy cập). Sau đây là ví dụ minh họa một danh sách truy cập từ chối truy cập đến cổng hỗ trợ (AUX) và chỉ cho phép truy cập telnet từ địa chỉ 192.32.6.7 : access-class 51 deny 0.0.0.0 255.255.255.255 access-class 52 permit 192.32.6.7 line aux 0 access-class 51 in line vty 0 4 Chú ý : nếu lệnh ip alias được cho phép trên sản phẩm Cisco, mọi kết nối TCP tới bất cứ cổng nào cũng được coi là hợp lệ. Có thể bạn sẽ muốn vô hiệu hóa lệnh này Có thể bạn muốn tạo danh sách truy cập hạn chế truy cập tới sản phẩm Cisco qua cổng TCP. đến router. Với Software Release 9.1 (11.5), 9.21 (3.2), và bất cứ phiên bản nào của Software Release 10, những cải tiến sau đã được thực hiện : - Truy cập trực tiếp đến virtual terminal lines (VTYs) qua cổng trong các khoảng 2000,4000 và 6000 đã được vô hiệu hóa theo mặc định - Kết nối tới cổng echo và discard (7 và 9) có thể được vô hiệu hóa với lệnh no service tcp-small-servers - Tất cả sản phẩm Cisco cho phép kết nối tới IP alias chỉ với cổng 23 Với những phiên bản sau này, Cisco router chấp nhận kết nối TCP qua các cổng mặc định trong Bảng 3-2 Bảng 3-2 : Cổng TCP cho truy cập Telnet tới các sản phẩm Cisco ( những phiên bản sau ) Cổng TCP Phương thức truy cập 7 Echo 9 Discard 23 Telnet 79 Finger 1993 Cổng hỗ trợ (AUX) 4001 Cổng AUX (stream) 6001 Cổng AUX (binary) Truy cập qua cổng 23 có thể bị hạn chế bằng cách tạo danh sách truy cập và gán nó cho một đường virtual terminal. Truy cập qua cổng 79 có thể vô hiệu hóa bằng lệnh no service finger. Truy cập qua cổng 1993 có thể được kiểm soát bằng danh sách truy cập SNMP. Truy cập qua cổng 2001,4001 và 6001 có thể được kiểm soát bằng 1 danh
- sách truy cập đặt ở 1 cổng hỗ trợ (AUX) Terminal Access Conroller Access Control System ( TACACS) Password chế độ nonprivileged và privileged được áp dụng cho mỗi người dùng truy cập router từ console port hay Telnet. Ngoài ra, Terminal Access Controller Access Control System (TACACS) cung cấp 1 cách xác nhận mỗi người dùng dựa trên từng cơ sở riêng biệt trước khi họ có thể có quyền truy cập vào router hay communication server. TACACS được xây dựng ở Bộ quốc phòng mỹ và được mô tả trong Request For Comments (RFC) 1492. TACACS được Cisco sử dụng để cho phép quản lý tốt hơn, xem ai có quyền truy cập tới router trong chế độ nonprivileged và privileged . Với TACACS enabled, router nhắc người dùng nhập username và password. Sau đó, router gọi TACACS server để xác định password có đúng không. Một TACACS server thường chạy trên một trạm làm việc UNIX. Domain TACACS servers có thể nhận được thông qua anonymous ftp đến ftp.cisco.com trong thư mục /pub. Sử dụng /pub/README để tim tên file. Một server hỗ trợ TACACS đầy đủ có kèm trong CiscoWorks Version 3. Lệnh cấu hình tacacs-server host xác định UNIX host chạy một TACACS server sẽ xác nhận lại yêu cầu gửi từ routers. Bạn có thể đánh lệnh tacacs-server host nhiều lần để chỉ ra nhiều TACACS server cho một router. Nonprivileged Access Nếu tất cả server đều không sẵn sàng, bạn có thể bị khóa đối với router. Lúc này, lệnh cấu hình tacacs-server last resort [password | succeed] cho phép bạn xác định xem có cho người dùng đăng nhập không cần password ( từ khóa succeed) hay buộc người dùng cung cấp password chuẩn ( từ khóa password) Các lệnh sau chỉ ra một TACACS server và cho phép đăng nhập nếu server gặp sự cố: tacacs-server host 129.140.1.1 tacacs-server last-resort succeed Buộc người dùng truy cập qua Telnet xác nhận bản thân qua lệnh cấu hìnhsau : line vty 0 4 login tacacs Privileged Access (truy cập với đặc quyền)
- Phương pháp kiểm tra password này cũng có thể áp dụng với chế độ privileged dùng lệnh enable use-tacacs. Nếu tất cả server đều không sẵn sàng tiếp nhận, lệnh cấu hìnhenable last-resort [succeed | password] cho biết có để người dùng đăng nhập không cần password hay không. Nếu bạn dùng lệnh enable use-tacacs, bạn cũng phải dùng lệnh tacacs-server authenticate enable. Lệnh tacacs-server extended cho phép thiết bị Cisco chạy chế độ TACACS mở rộng. Hệ thống UNIX phải chạy extended TACACS daemon, có thể nhận được bằng anonymous ftp tới ftp.cisco.com, tên file là xtacacsd.shar. Daemon này cho phép communication servers và những thiết bị khác giao tiếp với hệ thống UNIX và cập nhật thông tin mà thiết bị đó gửi. Lệnh username password [0 | 7] cho phép bạn lưu một danh sách user và password trong thiết bị Cisco thay vì trên một TACACS server. Số 0 lưu password dạng cleartext trong file cấu hình. Số 7 lưu ở dạng mã hóa. Nếu bạn không có một TACACS server và vẫn muốn xác định từng user bạn có thể dùng những lệnh cấu hìnhsau : username steve password 7 steve-pass username allan password 7 allan-pass Token Card Access ( truy cập bằng thẻ ) Sử dụng TACACS cho routers và communication server, có thể hỗ trợ các loại key devices , hay token card. Mã của TACACS server có thể thay đổi để hỗ trợ việc này mà không cần thay đổi cấu hình của router hay communication server. Sự thay đổi này không thể trực tiếp từ Cisco Hệ thống token card dựa trên một tấm thẻ bạn phải có để xác nhận bản thân. Bằng cách móc nối ( hook ) với mã của TACACS server, các công ty thứ 3 ( third-party) có thể cung cấp những dịch vụ này. Một trong những sản phẩm như vậy là Enigma Logic SafeWord, ngoài ra còn có Security Dynamics SmartCard. Simple Network Management Protocol (SNMP) Access SNMP là một phương pháp khác dùng truy cập router. Với SNMP, bạn có thể thu thập thông tin hay cấu hình routers. Thu thập thông tin với thông điệp get-request và get-next-request, cấu hình routers với thông điệp set-request. Mỗi thông điệp SNMP có một community string ( chuỗi công cộng ! ), là 1 password ở dạng cleartext
- được gửi trong mỗi gói tin giữa trung tâm điều khiển( management station ) và router, nơi có chứa một SNMP agent. Chuỗi SNMP được dùng để xác nhận các thông tin gửi đi giữa manager và agent. Chỉ khi manager gửi thông điệp với community string đúng thì agent mới trả lời. SNMP agent trên router cho phép bạn thiết lập những community string cho truy cập ở chế độ nonprivileged và privileged. Bạn có thể thiết lập community strings trên router thông qua lệnh cấu hình snmp-server community [RO | RW ] [access-list]. Tuy nhiên, SNMP community strings được gửi ở dạng cleartext. Do đó, bất cứ ai có khả năng lấy đựợc 1 gói tin nào đó có thể sẽ tìm ra chuỗi này, có thể giả mạo người dùng sửa đổi routers qua SNMP. Vì vậy sử dụng lệnh no snmp-server trap-authentication có thể ngăn chặn những kẻ xâm nhập bắt các thông điệp (gửi giữa SNMP managers và agents) để tìm community strings. Người ta đã cải tiến bảo mật của SNMP version 2 (SNMPv2) , được mô tả trong RFC 1446. SNMPv2 dùng thuật toán MD5 để xác nhận giao tiếp giữa server và agent. MD5 xác nhận tính tương thích của dữ liệu, nguồn gốc cũng như thời gian. Hơn nữa SNMPv2 có thể dùng chuẩn mã hóa dữ liệu DES để mã hóa thông tin. Chế độ nonprivileged Dùng từ khóa RO của lệnh snmp-server community để cung cấp truy cập nonprivileged tới routers qua SNMP. Lệnh cấu hình sau làm agent trong router chỉ cho phép các thông điệp SNMP get- request và get-next-request, được gửi đi với community string "public" : snmp-server community pubic RO 1 Bạn có thể chỉ rõ danh sách địa chỉ IP được phép gửi thông điệp tới router bằng tùy chọn access-list với lệnh snmp-server community. Ở ví dụ sau, chỉ hosts 1.1.1.1 và 2.2.2.2 được phép truy cập nonprivileged tới router qua SNMP: access-list 1 permit 1.1.1.1 access-list 1 permit 2.2.2.2 snmp-server community public RO 1 Chế độ privileged Sử dụng từ khóa RW của lệnh snmp-server community để cung cấp truy cập privileged tới router qua SNMP. Lệnh sau khiến agent trong router chỉ cho phép thông điệp SNMP set-request, được gửi với community string là "private" : snmp-server community private RW 1
- Bạn có thể chỉ rõ danh sách IP được phép gửi thông điệp tới router bằng tùy chọn access-list của lệnh snmp-server community. Ở ví dụ sau , chỉ có hosts 5.5.5.5 và 6.6.6.6 được phép truy cập privileged tới router qua SNMP : access-list 1 permit 5.5.5.5 access-list 1 permit 6.6.6.6 snmp-server community private RW 1 Điều khiển việc truy cập đến các Servers chứa các file cấu hình Nếu 1 router thường xuyên download file cấu hình từ một server Trivial File Transfer Protocol (TFTP) hay Maintenance Operations Protocol (MOP), bất cứ ai có thể truy cập server này cũng có thể thay đổi file cấu hình của router trên server đó. Communication servers có thể đươc cấu hình để chấp nhận một kết nối LAT ( Local Area Transport).Protocol translator và các translating router có thể chấp nhận kết nối X.29. Sự khác biệt về kiểu truy cập này cần được chú ý khi tạo một kiến trúc firewall. Thiết lập kiến trúc firewall của bạn Một kiến trúc firewall là 1 mô hình tồn tại giữa bạn và thế giới bên ngoài nhằm bảo vệ bạn khỏi những kẻ xâm nhập. Trong phần lớn tình huống, những kẻ xâm nhập được đại diện bởi mạng Internet và hàng ngàn mạng kết nối với nó. Điển hình như một firewall dựa trên nhiều bộ máy khác nhau trong hình 3-1 Hình 3-1 : Trong kiến trúc này, một router được nối với Internet (exterior router), buộc mỗi giao tiếp mạng đi vào application gateway (cổng ứng dụng ). Một router được nối với mạng nội bộ (interior router) chỉ tiếp nhận những gói tin từ cổng ứng dụng. Cổng ứng dụng thiết lập policies ( chính sách ) đối với từng người dùng và từng ứng dụng. Hệ quả là nó điều khiển được sử phân phát của các dịch vụ cả đến và đi từ mạng nội bộ. Ví dụ, chỉ một số người dùng được phép giao tiếp với Internet, hay chỉ một số ứng dụng được phép thiết lập kết nối với bên ngoài. Nếu chỉ 1 ứng dụng được phép gửi thư, chỉ những gói thư được đi qua router. Điều khiển lưu thông trong mạng
- Phần này sử dụng tình huống minh họa trong hình 3-2 để mô tả việc sử dụng danh sách truy cập ngăn chặn lưu thông dữ liệu đến và đi từ một firewall router và một firewall communication server Hình 3-2 : Trong bài viết này firewall router cho phép kết nối "đến" từ 1 hay nhiều server hay host. Một router được thiết kế hoạt động như 1 firewall là điều ta mong muốn, vì nó định rõ mục đích của router là external gateway và tránh làm phiền các router khác với nhiệm vụ này. Trong tình huống mạng nội bộ cần được cô lập, firewall router sẽ cung cấp điểm cô lập mà không ảnh hưởng đến phần còn lại của mạng. Cấu hình một Firewall Router Trong cấu hình của firewall router dưới đây, subnet 13 của Class B là firewall subnet, trong khi đó subnet 14 cung cấp kết nối Internet qua một nhà cung cấp dịch vụ : interface ethernet 0 ip address B.B.13.1 255.255.255.0 interface serial 0 ip address B.B.14.1 255.255.255.0 router igrp network B.B.0.0 Cấu hình đơn giản này không có sự bảo mật và cho phép tất cả mọi lưu thông từ thế giới bên ngoài đến mạng. Để có sự bảo mật với firewall router, sử dụng danh sách truy cập và nhóm truy cập như mô tả dưới đây. Xác định danh sách truy cập Danh sách truy cập xác định những lưu thông thực tế sẽ được cho phép hay từ chối, trong khi đó 1 nhóm truy cập áp dụng 1 danh sách truy cập nhất định cho 1 interface. Danh sách truy cập có thể dùng để từ chối kết nối ẩn chứa mối nguy hại về bảo mật và cho phép tất cả các kết nối khác, hoặc cho phép những kết nối chấp nhận được và từ chối tất cả kết nối còn lại. Đối với một firewall, cách thứ 2 là cách an toàn hơn. Trong bài viết này, email và news đến được cho phép với 1 số hosts, nhưng FTP, Telnet và rlogin chỉ cho phép những host nằm trong firewall subnet.Khoảng IP mở rộng (từ 100 đến 199) và các
- số cổng TCP hay UDP được dùng để lọc lưu thông .Khi một kết nối sắp được hình thành cho email,Telnet, FTP,... nó sẽ cố mở một dịch vụ ở một cổng xác định. Do đó bạn có thể lọc những kết nối đó bằng cách từ chối các gói tin tìm cách sử dụng dịch vụ đó. Về danh sách của những dịch vụ và cổng thường gặp, xem phần "Lọc các dịch vụ TCP và UDP" ở phần sau. Một danh sách truy cập được gọi sau quyết định của router nhưng trước khi gói tin được gửi đến 1 interface. Chỗ tốt nhất để xác định danh sách truy cập là tạo 1 file chứa các lệnh access-list, đặt file đó trong thư mục TFTP mặc định và nạp file đó vào router. Server chứa file đó fải chạy TFTP daemon và có kết nối TCP đến firewall router. Trước khi nạp, mọi xác định trước đó của danh sách truy cập này được gỡ bỏ bằng lệnh no access-list 101 Lệnh access-list có thể được dùng để cho phép các gói tin trả về từ những kết nối được thiết lập trước đó. Với từ khóa established, sẽ có sự phù hợp nếu gói TCP chứa acknowledgement (ACK) hay reset(RST) bits set. access-list 101 permit tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 established Nếu firewall routers nào chia sẻ mạng với 1 nhà cung cấp bên ngoài, bạn sẽ muốn cho phép truy cập từ các host đó tới mạng của bạn. Trong bài viết này, nhà cung cấp bên ngoài có một cổng nối tiếp sử dụng firewall router Class B địa chỉ (B.B.14.2) là địa chỉ nguồn như sau : access-list 101 permit ip B.B.14.2 0.0.0.0 0.0.0.0 255.255.255.255 Ví dụ sau minh họa cách từ chối lưu thông từ 1 người dùng cố gắng che giấu một địa chỉ nội bộ của bạn với bên ngoài ( không dùng danh sách truy cập "đầu vào" 9.21 ) : access-list 101 deny ip B.B.0.0 0.0.255.255 0.0.0.0 255.255.255.255 Lệnh sau cho phép Domain Name System (DNS) và Network Time Protocol (NTP) gửi yêu cầu và trả lời : access-list 101 permit udp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 53 access-list 101 permit udp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 123 Lệnh sau từ chối cổng Network File Server (NFS) User Datagram Protocol (UDP) : access-list 101 deny udp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 2049 Lệnh sau từ chối OpenWindows ở cổng 2001 và 2002, từ chối X11 ở cổng 6001 và 6002 : access-list 101 deny tcp 0.0.0.0 255.255.255.2550.0.0.0 255.255.255.255 eq 6001 access-list 101 deny tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 6002 access-list 101 deny tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 2001 access-list 101 deny tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 2002 Lệnh sau cho phép Telnet đến communication server (B.B.13.2) : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.2 0.0.0.0 eq 23
- Lệnh sau cho phép FTP đến host ở subnet 13 : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 21 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 20 Ở những ví dụ sau, mạng B.B.1.0 nằm trong mạng nội bộ.Các lệnh sau cho phép kết nối TCP và UDP tới các cổng lớn hơn 1023 với những host hết sức giới hạn. Nhớ đừng để communication servers bộ dịch giao thức ( protocol translator ) nằm trong danh sách này : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 gt 1023 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 gt 1023 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.101 0.0.0.0 gt 1023 access-list 101 permit udp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 gt 1023 access-list 101 permit udp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 gt 1023 access-list 101 permit udp 0.0.0.0 255.255.255.255 B.B.1.101 0.0.0.0 gt 1023 Chú ý : chuẩn FTP sử dụng cổng >1023 cho kết nối dữ liệu của nó; do đó, cổng >1023 phải đựợc mở. Chi tiết hơn đọc phần "Cổng File Transfer Protocol (FTP) " ở phía dưới Lệnh sau cho phép DNS truy cập tới DNS server(s) liệt kê bởi Network Information Center (NIC) : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 53 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 eq 53 Lệnh sau cho phép SMPT email theo chiều đến với 1 số máy : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 25 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 eq 25 Lệnh sau cho phép news transfer protocol (NNTP) server của mạng nội bộ nhận kết nối NNTP từ danh sách cho phép : access-list 101 permit tcp 16.1.0.18 0.0.0.1 B.B.1.100 0.0.0.0 eq 119 access-list 101 permit tcp 128.102.18.32 0.0.0.0 B.B.1.100 0.0.0.0 eq 119 Lệnh sau cho phép Internet control message protocole (ICMP) cho thông điệp báo lỗi : access-list 101 permit icmp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 Mỗi danh sách truy cập có ẩn câu lệnh "từ chối tất cả những thứ khác" ở cuối danh sách để chắc chắn các thuộc tính không được đề cập đến sẽ bị từ chối. Cổng File Transfer Protocol (FTP) Hiện nay nhiều site chặn các phiên làm việc TCP từ ngoài vào nhưng cho phép kết nối ra ngoài. Vấn đề ở chỗ chặn kết nối từ ngoài vào sẽ ngăn cản những chương trình FTP client truyền thống, vì những chương trình này dùng lệnh "PORT" cho server biết chỗ để gửi file. Máy khách mở một kết nối "điều khiển" đến server, nhưng server sau đó sẽ mở một kết nối "dữ liệu" ở một cổng nào đó ( >1023) trên máy khách. Rất may , còn có 1 cách khác cho phép máy khác mở một socket "dữ liệu" và cho phép bạn có cả firewall và FTP. Máy khách gửi 1 lệnh PASV đến server, nhận lại một số hiệu cổng cho socket dữ
- liệu, mở socket dữ liệu trên cổng đó và bắt đầu gửi . Để thực hiện phương pháp này, chương trình FTP client phải hỗ trợ lệnh PASV. Vấn đề duy nhất với phương pháp này là nó không thực hiện được nếu server chặn luôn kết nối bất kỳ từ ngoài vào Mã nguồn cho 1 chương trình FPT hoạt động được với firewall có thể nhận được bằng anonymous FTP tại ftp.cisco.com, file /pub/passive-ftp.tar.Z .Đây là phiên bản BSD 4.3 FTP có sửa chữa để hỗ trợ PASV. Chú ý : Cẩn thận khi cung cấp dịch vụ anonymous FTP. Rất nhiều FTP server có lỗi ở khu vực này. Áp dụng danh sách truy cập với các Interfaces Sau khi danh sách truy cập được nạp vào router và lưu trên NVRAM, phải gán nó cho một interface phù hợp. Trong bài viết này, lưu thông đến từ bên ngoài qua cổng nối tiếp 0 được lọc trước khi được đặt vào subnet 13 (ethernet 0). Do đó lệnh access-group , dùng 1 danh sách truy cập lọc các kết nối đến, phải được gán cho Ethernet 0 như sau : interface ethernet 0 ip access-group 101 Để điều khiển truy cập Internet từ mạng nội bộ, lập một danh sách truy cập và áp dụng nó với gói tin gửi đi trên cổng nối tiếp 0 của router. Để làm được vậy, những gói tin gửi về từ các hosts sử dụng Telnet hay FTP phải được cho phép truy cập đến firewall subnetwork B.B.13.0 Sàng lọc dịch vụ TCP và UDP Vài cổng TCP và UDP thường gặp được liệt kê ở bảng 3-3 Bảng 3-3 : Một số cổng và dịch vụ TCP và UDP thường gặp Dịch vụ Loại cổng Số cổng FTP-Data TCP 20 FTP-Commands TCP 21 Telnet TCP 23 SMTP-Email TCP 25 TACACS UDP 49 DNS TCP và UDP 53 TFTP UDP 69 finger TCP 79 Sun Remote Procedure Call(RPC) UDP 111 Network News Transfer Protocol (NNTP) TCP 119 Network Time Protocol (NTP) TCP và UDP 123
- NeWS TCP 144 Simple Management Network Protocol (SNMP) UDP 161 SNMP (traps) UDP 162 Border Gateway Protocol (BGP) TCP 179 rlogin TCP 513 rexec TCP 514 talk TCP và UDP 517 ntalk TCP và UDP 518 Open Windows TCP và UDP 2000 Network File System (NFS) UDP 2049 X11 TCP và UDP 6000 Lời khuyên của CERT Computer Emergency Response Team (CERT) khuyên nên lọc những dịch vụ trong bảng 3-4 Bảng 3-4 : Lời khuyên của CERT với các dịch vụ TCP, UDP và cổng Dịch vụ Loại cổng Số cổng DNS zone transfers TCP 53 TFTP daemon (tftpd) UDP 69 link TCP 87 Sun RPC TCP và UDP 1111 NFS UDP 2049 BSD UNIX các lệnh bắt đầu bằng r- TCP từ 512 đến 514 line printer daemon (lpd) TCP 515 UNIX-to-UNIX copy program daemon (uucpd) TCP 540 Open Windows TCP và UDP 2000 X Windows TCP và UDP 6000+ Phần lớn dịch vụ RPC không có số cổng cố định. Bạn nên tìm những cổng có dịch vụ này và chặn lại. Cisco khuyên nên chặn tất cả cổng UDP trừ DNS nếu có thể. Chú ý : Cisco khuyên bạn nên lọc dịch vụ finger ở cổng 79 để ngăn chặn người ngoài tìm hiểu cấu trúc thư mục của người dùng và tên của host mà người dùng đăng nhập danh sách truy cập "đầu vào" Trong Software Release 9.21, Cisco giới thiệu khả năng gán danh sách truy cập "đầu vào" cho 1 interface. Điều này cho phép người quản trị có thể lọc các gói tin trước khi chúng đi qua router. Trong nhiều
- trường hợp, danh sách truy cập "đầu vào" và danh sách truy cập "đầu ra" đạt được những tính năng như nhau; tuy nhiên, danh sách truy cập "đầu vào" được ưa thích hơn với 1 số người và có thể dùng để ngăn chặn một vài kiểu che giấu địa chỉ trong khi danh sách truy cập "đầu ra" sẽ không cung cấp đủ độ bảo mật. Hình 3-3 minh họa 1 host đang bị đánh lừa. Ai đó ở bên ngoài đang mạo nhận rằng đến từ mạng 131.108.17.0.Router interface cho rằng gói tin đến từ 131.108.17.0.Để tránh việc này, 1 input access list được áp dụng cho router interface đối với bên ngoài. Nó sẽ chặn bất cứ gói tin nào từ ngoài vào với địa chỉ nguồn trong mạng nội bộ mà router biết (17.0 và 18.0) Hình 3-3 : Nếu bạn có nhiều mạng nội bộ nối với firewall router và router đang dùng bộ lọc "đầu ra", lưu thông giữa các mạng nội bộ sẽ bị ảnh hưởng bởi bộ lọc. Nếu bộ lọc "đầu vào" chỉ được dùng với router interface với bên ngoài, mạng nội bộ sẽ không bị ảnh hưởng đáng kể. Chú ý : Nếu 1 địa chỉ sử dụng source routing, nó có thể gửi và nhận thông qua firewall router. Vì lý do này, bạn nên vô hiệu hóa source routing trên router với lệnh no ip source-route Cấu hình một Firewall Communication Server Trong bài viết này, firewall communication server có 1 modem ở line 2 interface Ethernet 0 ip address B.B.13.2 255.255.255.0 ! access-list 10 deny B.B.14.0 0.0.0.255 access-list 10 permit B.B.0.0 0.0.255.255 ! access-list 11 deny B.B.13.2 0.0.0.0 access-list 11 permit B.B.0.0 0.0.255.255 ! line 2 login tacacs location FireWallCS#2 ! access-class 10 in access-class 11 out ! modem answer-timeout 60 modem InOut
- telnet transparent terminal-type dialup flowcontrol hardware stopbits 1 rxspeed 38400 txspeed 38400 ! tacacs-server host B.B.1.100 tacacs-server host B.B.1.101 tacacs-server extended ! line vty 0 15 login tacacs Xác định danh sách truy cập Trong ví dụ này, số hiệu mạng được dùng để cho phép hay từ chối truy cập;do đó khoảng IP chuẩn được sử dụng (từ 1 đến 99 ). Với những kết nối từ bên ngoài đến modem lines, chỉ những gói tin từ những host trong mạng nội bộ Class B và những gói tin từ các host trong firewall subnetwork được cho phép: access-list 10 deny B.B.14.0 0.0.0.255 access-list 10 permit B.B.0.0 0.0.255.255 Những kết nối đi chỉ được cho phép đến các hosts trong mạng nội bộ và communication server access-list 11 deny B.B.13.2 0.0.0.0 access-list 11 permit B.B.0.0 0.0.255.255 Áp dụng danh sách truy cập với các đường kết nối Áp dụng 1 danh sách truy cập với 1 đường kết nối bằng lệnh access-class. Trong bài viết này, sự hạn chế trong danh sách truy cập 10 được áp dụng cho các kết nối đến với đường kết nối 2, sự hạn chế trong danh sách truy cập 11 được áp dụng cho các kết nối đi với đường kết nối 2 line 2. access-class 10 in access-class 11 out Sử dụng banners để tạo một thông báo Ta có thể dùng cấu hình banner exec để tạo ra các thông báo, sẽ được hiện trong tất cả các kết nối. Ví dụ, trên một communication server, bạn có thể đưa vào thông điệp sau : banner exec ^C If you have problems with the dial-in lines, please send mail to helpdesk@CorporationX.com. If you get the message "% Your account is expiring", please send mail with name and voicemail box to helpdesk@CorporationX.com, and
CÓ THỂ BẠN MUỐN DOWNLOAD
-
Giáo trình Mạng máy tính - Nguyễn Hoàng Cương
135 p | 4177 | 3096
-
Bảo mật máy tính và mạng
85 p | 540 | 287
-
Những hướng dẫn tăng cường an toàn, bảo mật cho hệ thống mạng
5 p | 417 | 247
-
Mạng IP - Bộ giao thức TCP/IP
25 p | 546 | 233
-
Cách nâng cao tính năng và bảo mật cho mạng WIFI
7 p | 259 | 168
-
Tổng quan về mạng Internet và giao thức TCP/IP
53 p | 406 | 162
-
Bài 3: GIAO THỨC TCP/IP VÀ IP ADDRESS V.4
16 p | 350 | 151
-
Tăng cường bảo mật cho mạng IP Nội dung chính Tăng cường bảo mật cho mạng IP
21 p | 153 | 106
-
Đề cương chi tiết - Họ giao thức TCP / IP
38 p | 195 | 105
-
Giáo trình An ninh mạng: Mạng riêng ảo
42 p | 226 | 96
-
Bài giảng mạng máy tính (ĐH FPT) - Chương 2 Các thiết bị mạng và giao thức mạng
32 p | 189 | 92
-
Giao thức TCP/IP và Mạng Internet
16 p | 156 | 38
-
Tăng cường bảo mật cho mạng IP
21 p | 73 | 25
-
Cách đăng ký bảo mật 2 lớp cho Gmail
7 p | 55 | 13
-
Biện pháp tăng cường bảo mật cho mạng WiMAX
4 p | 47 | 9
-
Bài giảng Mạng máy tính: Chương 4 - Giao thức TCP/IP địa chỉ IP
25 p | 18 | 4
-
Bài giảng Chương 3: Giao thức TCP/IP
119 p | 4 | 3

markdown:
# Tăng cường bảo mật cho giao thức mạng IP
Chia sẻ: Tran Viet Son | Ngày: | Loại File: DOC | Số trang:22
lượt xem 187
download
![](http://image.tlvnimg.com/document/thumbnail/2010/20100323/tranvietson1983/80x100/182007_046.jpg)
##
Tăng cường bảo mật cho giao thức mạng IP
[Vui lòng tải xuống để xem tài liệu đầy đủ](javascript:void(0);)
Download
![](http://static.tlvnimg.com/b2013az/templates/version1/default/images/down16x21.png)
Bảo mật mạng là một vấn đề rất rộng, có thể được xem xét ở mức dữ liệu (nơi mà những vấn đề về trộm gói tin và mã hóa dữ liệu có thể xảy ra), ở mức giao thức, và ở mức ứng dụng. Ngày càng có nhiều người kết nối Internet và các công ty ngày càng mở rộng mạng, vấn đề bảo mật cho mạng nội bộ trở nên khó khăn hơn.
Bình luận(0)
[Đăng nhập để gửi bình luận!](javascript:void(0);)
##
Nội dung Text: Tăng cường bảo mật cho giao thức mạng IP
- Tăng cường bảo mật cho mạng IP Nội dung chính Tăng cường bảo mật cho mạng IP Tìm hiểu cách tiếp cận của Cisco với vấn đề bảo mật mạng Điều khiển truy cập tới Cisco Routers Truy cập Console Password cho chế độ nonprivileged ( bình thường ) Password cho chế độ privileged ( đặc quyền ) Giới hạn thời gian phiên làm việc Mã hóa password Truy cập Telnet Password cho chế độ nonprivileged Password cho chế độ privileged Hạn chế truy cập Telnet với những địa chỉ IP cụ thể Hạn chê truy cập Telnet với những sản phẩm của Cisco thông qua các cổng TCP Terminal Access Controller Access Control System (TACACS) Chế độ nonprivileged Chế độ privileged Simple Network Management Protocol ( SNMP) Chế độ nonprivileged Chế độ privileged Thiết lập kiến trúc cho một firewall Điều khiển lưu thông trong mạng Cấu hình cho một Firewall Router Lập danh sách truy cập Áp dụng danh sách truy cập với các interface Cấu hình cho một Firewall Communication Server Lập danh sách truy cập Áp dụng danh sách truy cập với các interface Sử dụng banner tạo các thông báo Bảo vệ những dịch vụ ngoài chuẩn khác Tổng kết Danh sách tài liệu nên đọc ********************************************* Tăng cường Bảo mật cho mạng IP Bảo mật mạng là một vấn đề rất rộng, có thể được xem xét ở mức dữ liệu (nơi mà những vấn đề về trộm gói tin và mã hóa dữ liệu có thể xảy ra), ở mức giao thức, và ở mức ứng dụng. Ngày càng có nhiều người kết nối Internet và các công ty ngày càng mở rộng mạng, vấn đề bảo mật cho mạng nội bộ trở nên khó khăn hơn. Công ty phải xác định khu vực nào của mạng nội bộ cần bảo vệ, tìm cách hạn chế người dùng truy cập tới những khu vực đó, xác định loại dịch vụ mạng
- nào cần sàng lọc để ngăn chặn những lỗ hổng bảo mật. Cisco Systems cung cấp rất nhiều tính năng ở tầng giao thức (protocol hay network layer) để tăng cường bảo mật cho mạng IP. Những tính năng này bao gồm điều khiển hạn chế truy cập tới routers và servers bằng console port, Telnet, Simple Network Management Protocol (SNMP), Terminal Access Control System (TACACS), thẻ chứa mã người dùng và danh sách truy cập Việc thiết lập kiến trúc của một firewal cũng sẽ được nói tới. Bài viết này chỉ nói đến những vấn đề bảo mật ở mức network-layer, nhưng nếu bỏ qua những vấn đề bảo mật ở mức host-level cũng sẽ rất nguy hiểm. Về những biện pháp bảo mật ở host-level bạn hãy xem hướng dẫn về các ứng dụng của bạn, và danh sách liệt kê ở cuối bài viết này. Tìm hiểu cách tiếp cận của Cisco với vấn đề bảo mật mạng Khi người ta nói tới bảo mật, họ muốn chắc chắn rằng người dùng chỉ thực hiện được những việc được cho phép, chỉ nhận được những thông tin được cho phép, và không thể gây ra hư hại với dữ liệu, ứng dụng hay hệ điều hành của hệ thống Từ bảo mật còn bao hàm nghĩa bảo vệ khỏi những tấn công ác ý từ bên ngoài. Bảo mật cũng liên quan đến điều khiển hiệu ứng của các lỗi và sự cố thiết bị. Những gì có thể bảo vệ chống lại những tấn công được tính toán kỹ lưỡng thì cũng ngăn chặn được những rủi ro ngẫu nhiên. Bài viết này cung cấp những việc mà bạn có thể làm để tăng cường bảo mật cho mạng của bạn. Trước khi đi vào chi tiết, sẽ rất có ích nếu bạn hiểu những khái niệm cơ bản không thể thiếu với bất cứ hệ thống nào (*) Biết rõ kẻ thù Ở đây muốn nói tới những kẻ tấn công. Hãy tìm hiểu xem ai muốn vượt qua các biện pháp bảo mật của bạn, xác định động lực thúc đẩy họ. Xác định họ muốn làm gì và những hư hại họ có thể gây ra cho hệ thống của bạn. Các biện pháp bảo mật không thể ngăn chặn tuyệt đối các hành động không được phép, mà chỉ khiến việc đó trở nên khó khăn hơn. Mục tiêu là khiến sự bảo mật của mạng vượt qua khả năng hay động lực thúc đẩy kẻ tấn công. (*) Tính toán chi phí Các biện pháp bảo mật hầu hết đều làm giảm đi sụ tiện lợi. Bảo mật có thể
- khiến công việc đình trệ và tạo thêm chi phí đào tạo và quản trị. Nó có thể đòi hỏi nhiều tài nguyên quan trọng cũng như những phần cứng chuyên dụng. Khi thiết kế các biện pháp bảo mật, bạn cần hiểu được chi phí của chúng, so sánh với lợi ích có thể có. Để làm được như vậy bạn phải hiểu chi phí cho bản thân các biện pháp và chi phí cho những lỗ hổng bảo mật có thể có. (*) Những giả định của bạn Mỗi hệ thống bảo mật đều có những giả định của nó. Ví dụ, bạn có thể giả sử rằng kẻ tấn công biết ít hơn bạn, rằng họ dùng những phần mềm tiêu chuẩn. Hãy kiểm tra và đánh giá cẩn thận các giả định của bạn. Mỗi giả định chưa được xem xét sẽ là một lỗ hổng bảo mật tiềm ẩn. (*) Điều khiển các thông tin bí mật Hầu hết bảo mật là dựa trên các thông tin bí mật, chẳng hạn như password và các khóa mã hóa. Điều quan trọng nhất là hiểu được khu vực bạn cần bảo vệ. Những kiến thức nào sẽ giúp ai đó vượt qua hệ thống của bạn ? Bạn phải bảo vệ cẩn thận với kiến thức đó. Càng nhiều thông tin bí mật, càng khăn cho việc bảo vệ tất cả chúng. Hệ thống bảo mật chỉ nên thiết kế cho một giới hạn nhất định thông tin cần giữ. (*) Hãy nhớ đến yếu tố con người Rất nhiều phương pháp bảo mật thất bại vì những người thiết kế không để ý đến việc người dùng nghĩ gì. Ví dụ, do chúng rất khó nhớ, password tạo 1 cách tự động thường thấy được ghi ở mặt dưới bàn phím.Nếu các biện pháp bảo mật gây trở ngại cho việc sử dụng thiết yếu của hệ thống, những biện pháp đó sẽ bị bỏ qua. Để đạt được ý muốn, bạn phải chắc chắn rằng người dùng có thể hoàn thành công việc của họ, bạn phải làm cho họ hiểu được và chấp nhận sự cần thiết của bảo mật. Người dùng nên có một sự hợp tác với hệ thống bảo mật, ít nhất ở mức độ nào đó.Password, chẳng hạn, có thể nhận được bằng cách đơn giản gọi điên đến người dùng, giả làm người quản trị. Nếu người dùng của bạn hiểu những vấn đề bảo mật và nếu họ hiểu lý do những biện pháp của bạn, họ sẽ không khiến cho kẻ xâm nhập cảm thấy dễ dàng. Ít nhất, người dùng nên được hướng dẫn không bao giờ đưa password hay thông tin bí mật qua đường điện thoại hay email không được bảo vệ, cảnh giác với những câu hỏi qua
- điện thoại. Một vài công ty đã lập ra những chương trình đào tạo về bảo mật thông thường cho nhân viên, nhân viên không được truy cập Internet khi chưa hoàn thành chương trình này. (*) Biết điểm yếu của bạn Mọi hệ thống đều có điểm yếu. Bạn cần hiểu các điểm yếu trong hệ thống của bạn và cách khai thác những điểm yếu đó. Bạn cũng nên biết khu vực có nguy cơ cao nhất và ngăn chặn sự truy cập đến đó. Hiểu được những điểm yếu là bước đầu tiên đưa chúng thành những khu vực an toàn. (*) Giới hạn phạm vi truy cập Bạn nên đặt những giới hạn thích hợp trong hệ thống sao cho nếu kẻ xâm nhập có thể truy cập đến một phần hệ thống, họ không thể tự động có quyền truy cập đến phần còn lại của hệ thống. (*) Hiểu môi trường làm việc của bạn Hiểu hệ thông của bạn hoạt động ra sao, biết được cái gì được mong đợi và cái gì không, quen với việc các thiết bị thường được sử dụng thế nào, sẽ giúp bạn phát hiện những vấn đề bảo mật. Chú ý đến những sự kiện không bình thường giúp bạn phát hiện kẻ xâm nhập trước khi chúng phá hoại hệ thống. Những công cụ giám sát có thể giúp bạn phát hiện những sự kiện không bình thường đó. (*) Giới hạn sự tin tưởng Bạn nên biết chính xác bạn phần mềm nào bạn tin tưởng, và hệ thống bảo mật của bạn không nên dựa trên giả định rằng tất cả các phần mềm không có lỗi (*) Nhớ đến physical security Truy cập một cách trực tiếp vào 1 máy tính ( hay một router ), một người kinh nghiệm có thể chiếm toàn bộ điều khiển trên đó.Sẽ chẳng có ý nghĩa gì nếu cài đặt những phần mềm bảo mật khi quyền sử dụng trực tiếp phần cứng không được quan tâm. (*) Bảo mật ở khắp nơi Hầu hết những thay đổi trong hệ thống của bạn có thể có ảnh hưởng đến bảo mật. Điều này đặc biệt đúng khi một dịch vụ mới được tạo ra. Những nhà quản trị, lập trình, và người dùng phải luôn để ý đến vấn đề bảo mật trong mỗi thay đổi họ tạo ra. Hiểu được khía cạnh bảo mật của mỗi thay đổi đòi hỏi thực hành, khám phá mỗi dịch vụ có thể được sử dụng theo những cách nào. Điều khiển truy cập tới Cisco Routers
- Việc điều khiển truy cập tới Cisco routers của bạn là rất quan trọng. Bạn có thể điều khiển truy cập tới routers sử dụng các phương pháp sau : - Truy cập console - Truy cập telnet - Truy cập bằng Simple Network Management Protocol (SNMP) - Điều khiển truy cập tới servers có những file cấu hình hệ thống Bạn có thể bảo vệ 3 phương pháp đầu tiên bằng cách sử dụng tính năng của phần mềm router. Với mỗi phương pháp, bạn có thể cho phép privileged access (truy cập với đặc quyền ) hay nonprivileged access (truy cập thông thường) đối với mỗi người dùng (hay nhóm người dùng). Nonprivileged access cho phép người dùng theo dõi router nhưng không được thay đổi router. Privileged access cho người dùng toàn quyền thay đổi cấu hìnhcho router. Với truy cập qua console port và Telnet, bạn có thể thiết lập 2 loại password. Loại thứ nhất là password đăng nhập, cho phép nonprivileged access. Sau khi truy cập vào router, người dùng có thể chuyển sang chế độ privileged bằng cách nhập password phù hợp. Ở chế độ privileged người dùng có toàn quyền thay đổi thiết lập Truy cập SNMP cho phép bạn đặt những chuỗi SNMP khác nhau cho cả nonprivileged và privileged access. Nonprivileged access cho phép người dùng ở 1 host gửi đến router những thông điệp SNMP get-request và SNMP get-next-request. Những thông điệp này được dùng để lấy thông tin từ router. Privileged access cho phép người dùng gửi những thông điệp SNMP set-request để thay đổi cấu hìnhvà trạng thái hoạt động của router. Truy cập Console Console là thiết bị đầu cuối gắn trực tiếp với router qua cổng console. Việc bảo mật được áp dụng với console bằng cách buộc người dùng xác nhận bản thân qua password. Theo mặc định, không có password đi kèm với console access. Password cho chế độ nonprivileged Bạn thiết lập password cho chế độ nonprivileged bằng cách đánh dòng lệnh sau vào file cấu hìnhcủa router. Password phân biệt chữ hoa, chữ thường. Ở ví dụ, password là "1forAll"
- line console 0 login password 1forAll Khi bạn đăng nhập vào router, sẽ nhận được thông báo login như sau User Access Verification Password: Bạn phải nhập password "1forAll" để có quyền nonprivileged access đến router. Router sẽ trả lời như sau : router>Dấu nhắc > báo hiệu đây là chế độ nonprivileged. Bây giờ bạn có thể dùng rất nhiều lệnh để xem thông tin về hoạt động của router. Không bao giờ dùng "cisco", hay những biến thể khác như "pancho" cho password của Cisco router. Đó sẽ là những password đầu tiên kẻ xâm nhập thử khi họ nhìn thấy dấu đăng nhập Cisco. Password cho chế độ privileged Thiết lập password cho chế độ privileged bằng cách đưa dòng lệnh sau vào file cấu hìnhcủa router. Trong ví dụ này password là "san-tran". enable-password san-fran Để truy cập chế độ privileged, đánh lệnh sau: router> enable Password: Gõ password "san-fran" để được privileged access tới router. Router trả lời như sau : router# Dấu nhắc # báo hiệu chế độ privileged. Ở chế độ privileged, bạn có thể đánh tất cả các lệnh để xem thông tin và cấu hìnhcho router. Giới hạn thời gian phiên làm việc Đặt password đăng nhập và password enable có thể chưa đủ an toàn trong 1 số trường hợp. Giới hạn thời gian cho một console không được điều khiển ( mặc định 10 phút ) cung cấp thêm một biện pháp an toàn.Bạn có thể thay đổi giới hạn này bằng lệnh exec-timeout mm ss trong đó mm là số phút, ss là số giây. Lệnh sau thay đổi giới hạn thành 1 phut 30 giây line console 0 exec-timeout 1 30 Mã hóa password Tất cả password trên router đều có thể xem được bằng lệnh xem cấu hìnhcủa router trong chế độ privileged. Nếu bạn có quyền truy cập ở chế độ privileged , bạn có thể xem tất cả password ở dạng cleartext, theo mặc
- định. Có một cách để giấu cleartext password. Lệnh password-encryption lưu các password dưới dạng mã hóa.Tuy nhiên, nếu bạn quên password, để lấy lại quyền truy cập, bạn phải có quyền truy cập trực tiếp (physical access) đối với router. Truy cập bằng Telnet Bạn có thể truy cập theo chế độ nonprivileged hoặc privileged tới router thông qua Telnet. Giống như với Console, sự bảo mật với Telnet có được khi người dùng xác nhận bản thân bằng password. Thực tế, rất nhiều khái niệm tương tự mô tả ở phần "Console Access" ở trên cũng áp dụng cho truy cập Telnet. Bạn phải nhập password để chuyển từ chế độ nonprivileged sang privileged, có thể mã hóa password, đặt giới hạn thời gian cho phiên làm việc. Password cho chế độ nonprivileged Mỗi cổng Telnet của router được coi như một thiệt bị đầu cuối "ảo" ( virtual terminal ). Có tối đa 5 cổng dành cho virtual terminal (VTY) trên router , cho phép 5 phiên làm việc Telnet đồng thời. Trên router, các này đánh số từ 0 đến 4. Bạn có thể đặt nonprivileged password cho các cổng với lệnh cấu hình sau.Trong ví dụ này, cổng virtual terminal từ 0 đến 4 sử dụng password "marin" : line vty 0 4 login password marin Khi người dùng telnet đến IP của router, router trả lời tương tự như sau : % telnet router Trying ... Connected to router Escape character is '^]' User Access Verification Password: Nếu người dùng nhập đúng nonprivileged password, dấu nhắc sau sẽ xuất hiện: router> Password cho chế độ privileged Bây giờ người dùng đã có nonprivileged access và có thể chuyển sang chế độ privileged bằng cách gõ lệnh enable giống như đối với Console Access. Hạn chế truy cập Telnet đối với những địa chỉ IP cụ thể Nếu bạn muốn chỉ những IP nhất định có thể dùng Telnet truy cập router, bạn phải dùng lệnh access-class nn in
- để xác định danh sách truy cập (từ 1 đến 99). Lệnh cấu hình sau cho phép truy cập Telnet đến router từ các host trong mạng 192.85.55.0: access-list 12 permit 192.85.55.0 0.0.0.255 line vty 0 4 access-class 12 in Hạn chế truy cập Telnet đối với các sản phẩm Cisco thông qua cổng TCP Có thể truy cập tới 1 sản phẩm của Cisco thông qua Telnet đến những cổng TCP nhất định. Kiểu truy cập Telnet thay đổi tùy theo những phiên bản phần mềm Cisco: - Software Release 9.1 (11.4) và cũ hơn, 9.21 (3.1) và cũ hơn - Software Release 9.1 (11.5) , 9.21 (3.2), 10.0 và mới hơn Với Software Release 9.1 (11.4) và cũ hơn, 9.21 (3.1) và cũ hơn, có thể , theo mặc định, thiết lập kết nối TCP tới sản phẩm của Cisco thông qua các cổng TCP trong Bảng 3-1 Bảng 3-1 : Cổng TCP truy cập Telnet tới các sản phẩm Cisco ( các phiên bản cũ) Cổng TCP Phương thức truy cập 7 Echo 9 Discard 23 Telnet ( tới cổng VTY theo kiểu quay vòng) 79 Finger 1993 SNMP thông qua TCP 2001-2999 Telnet tới cổng hỗ trợ (auxiliary - AUX ), cổng terminal (TTY), và cổng virtual terminal (VTY) 3001-3999 Telnet tới những cổng quay vòng ( chỉ có thể khi đã được cấu hình với lệnh rotary ) 4001-4999 Telnet ( stream mode ) , mirror của các cổng trong khoảng 2000 5001-5999 Telnet ( stream mode), mirror của khoảng 3000 ( chỉ khi đã cấu hình rotary) 6001-6999 Telnet (binary mode), mirror của khoảng 2000 7001-7999 Telnet (binary mode), mirror của khoảng 300 ( chỉ khi đã cấu hình rotary) 8001-8999 Xremote ( chỉ với communication servers) 9001-9999 Reverse Xremote ( chỉ với communication servers) 10001-19999 Reverse Xremote rotary (chỉ với communication servers, khi đã cấu hình rotary trước) Chú ý : Vì Cisco routers không có đường TTY, thiết lập truy cập ( trên communicaiton servers) tới các cổng 2002,2003,2004 và lớn hơn có thể cung cấp truy cập tới VTY (trên routers) tới các cổng tương ứng. Để cung cấp truy cập tới các cổng TTY, bạn có thể tạo danh sách truy cập trong đó hạn chế truy cập đối với VTYs. Khi thiết lập những nhóm quay vòng, luôn nhớ rằng có thể truy cập đến bất cứ
- cổng nào trong nhóm (trừ khi có danh sách giới hạn truy cập). Sau đây là ví dụ minh họa một danh sách truy cập từ chối truy cập đến cổng hỗ trợ (AUX) và chỉ cho phép truy cập telnet từ địa chỉ 192.32.6.7 : access-class 51 deny 0.0.0.0 255.255.255.255 access-class 52 permit 192.32.6.7 line aux 0 access-class 51 in line vty 0 4 Chú ý : nếu lệnh ip alias được cho phép trên sản phẩm Cisco, mọi kết nối TCP tới bất cứ cổng nào cũng được coi là hợp lệ. Có thể bạn sẽ muốn vô hiệu hóa lệnh này Có thể bạn muốn tạo danh sách truy cập hạn chế truy cập tới sản phẩm Cisco qua cổng TCP. đến router. Với Software Release 9.1 (11.5), 9.21 (3.2), và bất cứ phiên bản nào của Software Release 10, những cải tiến sau đã được thực hiện : - Truy cập trực tiếp đến virtual terminal lines (VTYs) qua cổng trong các khoảng 2000,4000 và 6000 đã được vô hiệu hóa theo mặc định - Kết nối tới cổng echo và discard (7 và 9) có thể được vô hiệu hóa với lệnh no service tcp-small-servers - Tất cả sản phẩm Cisco cho phép kết nối tới IP alias chỉ với cổng 23 Với những phiên bản sau này, Cisco router chấp nhận kết nối TCP qua các cổng mặc định trong Bảng 3-2 Bảng 3-2 : Cổng TCP cho truy cập Telnet tới các sản phẩm Cisco ( những phiên bản sau ) Cổng TCP Phương thức truy cập 7 Echo 9 Discard 23 Telnet 79 Finger 1993 Cổng hỗ trợ (AUX) 4001 Cổng AUX (stream) 6001 Cổng AUX (binary) Truy cập qua cổng 23 có thể bị hạn chế bằng cách tạo danh sách truy cập và gán nó cho một đường virtual terminal. Truy cập qua cổng 79 có thể vô hiệu hóa bằng lệnh no service finger. Truy cập qua cổng 1993 có thể được kiểm soát bằng danh sách truy cập SNMP. Truy cập qua cổng 2001,4001 và 6001 có thể được kiểm soát bằng 1 danh
- sách truy cập đặt ở 1 cổng hỗ trợ (AUX) Terminal Access Conroller Access Control System ( TACACS) Password chế độ nonprivileged và privileged được áp dụng cho mỗi người dùng truy cập router từ console port hay Telnet. Ngoài ra, Terminal Access Controller Access Control System (TACACS) cung cấp 1 cách xác nhận mỗi người dùng dựa trên từng cơ sở riêng biệt trước khi họ có thể có quyền truy cập vào router hay communication server. TACACS được xây dựng ở Bộ quốc phòng mỹ và được mô tả trong Request For Comments (RFC) 1492. TACACS được Cisco sử dụng để cho phép quản lý tốt hơn, xem ai có quyền truy cập tới router trong chế độ nonprivileged và privileged . Với TACACS enabled, router nhắc người dùng nhập username và password. Sau đó, router gọi TACACS server để xác định password có đúng không. Một TACACS server thường chạy trên một trạm làm việc UNIX. Domain TACACS servers có thể nhận được thông qua anonymous ftp đến ftp.cisco.com trong thư mục /pub. Sử dụng /pub/README để tim tên file. Một server hỗ trợ TACACS đầy đủ có kèm trong CiscoWorks Version 3. Lệnh cấu hình tacacs-server host xác định UNIX host chạy một TACACS server sẽ xác nhận lại yêu cầu gửi từ routers. Bạn có thể đánh lệnh tacacs-server host nhiều lần để chỉ ra nhiều TACACS server cho một router. Nonprivileged Access Nếu tất cả server đều không sẵn sàng, bạn có thể bị khóa đối với router. Lúc này, lệnh cấu hình tacacs-server last resort [password | succeed] cho phép bạn xác định xem có cho người dùng đăng nhập không cần password ( từ khóa succeed) hay buộc người dùng cung cấp password chuẩn ( từ khóa password) Các lệnh sau chỉ ra một TACACS server và cho phép đăng nhập nếu server gặp sự cố: tacacs-server host 129.140.1.1 tacacs-server last-resort succeed Buộc người dùng truy cập qua Telnet xác nhận bản thân qua lệnh cấu hìnhsau : line vty 0 4 login tacacs Privileged Access (truy cập với đặc quyền)
- Phương pháp kiểm tra password này cũng có thể áp dụng với chế độ privileged dùng lệnh enable use-tacacs. Nếu tất cả server đều không sẵn sàng tiếp nhận, lệnh cấu hìnhenable last-resort [succeed | password] cho biết có để người dùng đăng nhập không cần password hay không. Nếu bạn dùng lệnh enable use-tacacs, bạn cũng phải dùng lệnh tacacs-server authenticate enable. Lệnh tacacs-server extended cho phép thiết bị Cisco chạy chế độ TACACS mở rộng. Hệ thống UNIX phải chạy extended TACACS daemon, có thể nhận được bằng anonymous ftp tới ftp.cisco.com, tên file là xtacacsd.shar. Daemon này cho phép communication servers và những thiết bị khác giao tiếp với hệ thống UNIX và cập nhật thông tin mà thiết bị đó gửi. Lệnh username password [0 | 7] cho phép bạn lưu một danh sách user và password trong thiết bị Cisco thay vì trên một TACACS server. Số 0 lưu password dạng cleartext trong file cấu hình. Số 7 lưu ở dạng mã hóa. Nếu bạn không có một TACACS server và vẫn muốn xác định từng user bạn có thể dùng những lệnh cấu hìnhsau : username steve password 7 steve-pass username allan password 7 allan-pass Token Card Access ( truy cập bằng thẻ ) Sử dụng TACACS cho routers và communication server, có thể hỗ trợ các loại key devices , hay token card. Mã của TACACS server có thể thay đổi để hỗ trợ việc này mà không cần thay đổi cấu hình của router hay communication server. Sự thay đổi này không thể trực tiếp từ Cisco Hệ thống token card dựa trên một tấm thẻ bạn phải có để xác nhận bản thân. Bằng cách móc nối ( hook ) với mã của TACACS server, các công ty thứ 3 ( third-party) có thể cung cấp những dịch vụ này. Một trong những sản phẩm như vậy là Enigma Logic SafeWord, ngoài ra còn có Security Dynamics SmartCard. Simple Network Management Protocol (SNMP) Access SNMP là một phương pháp khác dùng truy cập router. Với SNMP, bạn có thể thu thập thông tin hay cấu hình routers. Thu thập thông tin với thông điệp get-request và get-next-request, cấu hình routers với thông điệp set-request. Mỗi thông điệp SNMP có một community string ( chuỗi công cộng ! ), là 1 password ở dạng cleartext
- được gửi trong mỗi gói tin giữa trung tâm điều khiển( management station ) và router, nơi có chứa một SNMP agent. Chuỗi SNMP được dùng để xác nhận các thông tin gửi đi giữa manager và agent. Chỉ khi manager gửi thông điệp với community string đúng thì agent mới trả lời. SNMP agent trên router cho phép bạn thiết lập những community string cho truy cập ở chế độ nonprivileged và privileged. Bạn có thể thiết lập community strings trên router thông qua lệnh cấu hình snmp-server community [RO | RW ] [access-list]. Tuy nhiên, SNMP community strings được gửi ở dạng cleartext. Do đó, bất cứ ai có khả năng lấy đựợc 1 gói tin nào đó có thể sẽ tìm ra chuỗi này, có thể giả mạo người dùng sửa đổi routers qua SNMP. Vì vậy sử dụng lệnh no snmp-server trap-authentication có thể ngăn chặn những kẻ xâm nhập bắt các thông điệp (gửi giữa SNMP managers và agents) để tìm community strings. Người ta đã cải tiến bảo mật của SNMP version 2 (SNMPv2) , được mô tả trong RFC 1446. SNMPv2 dùng thuật toán MD5 để xác nhận giao tiếp giữa server và agent. MD5 xác nhận tính tương thích của dữ liệu, nguồn gốc cũng như thời gian. Hơn nữa SNMPv2 có thể dùng chuẩn mã hóa dữ liệu DES để mã hóa thông tin. Chế độ nonprivileged Dùng từ khóa RO của lệnh snmp-server community để cung cấp truy cập nonprivileged tới routers qua SNMP. Lệnh cấu hình sau làm agent trong router chỉ cho phép các thông điệp SNMP get- request và get-next-request, được gửi đi với community string "public" : snmp-server community pubic RO 1 Bạn có thể chỉ rõ danh sách địa chỉ IP được phép gửi thông điệp tới router bằng tùy chọn access-list với lệnh snmp-server community. Ở ví dụ sau, chỉ hosts 1.1.1.1 và 2.2.2.2 được phép truy cập nonprivileged tới router qua SNMP: access-list 1 permit 1.1.1.1 access-list 1 permit 2.2.2.2 snmp-server community public RO 1 Chế độ privileged Sử dụng từ khóa RW của lệnh snmp-server community để cung cấp truy cập privileged tới router qua SNMP. Lệnh sau khiến agent trong router chỉ cho phép thông điệp SNMP set-request, được gửi với community string là "private" : snmp-server community private RW 1
- Bạn có thể chỉ rõ danh sách IP được phép gửi thông điệp tới router bằng tùy chọn access-list của lệnh snmp-server community. Ở ví dụ sau , chỉ có hosts 5.5.5.5 và 6.6.6.6 được phép truy cập privileged tới router qua SNMP : access-list 1 permit 5.5.5.5 access-list 1 permit 6.6.6.6 snmp-server community private RW 1 Điều khiển việc truy cập đến các Servers chứa các file cấu hình Nếu 1 router thường xuyên download file cấu hình từ một server Trivial File Transfer Protocol (TFTP) hay Maintenance Operations Protocol (MOP), bất cứ ai có thể truy cập server này cũng có thể thay đổi file cấu hình của router trên server đó. Communication servers có thể đươc cấu hình để chấp nhận một kết nối LAT ( Local Area Transport).Protocol translator và các translating router có thể chấp nhận kết nối X.29. Sự khác biệt về kiểu truy cập này cần được chú ý khi tạo một kiến trúc firewall. Thiết lập kiến trúc firewall của bạn Một kiến trúc firewall là 1 mô hình tồn tại giữa bạn và thế giới bên ngoài nhằm bảo vệ bạn khỏi những kẻ xâm nhập. Trong phần lớn tình huống, những kẻ xâm nhập được đại diện bởi mạng Internet và hàng ngàn mạng kết nối với nó. Điển hình như một firewall dựa trên nhiều bộ máy khác nhau trong hình 3-1 Hình 3-1 : Trong kiến trúc này, một router được nối với Internet (exterior router), buộc mỗi giao tiếp mạng đi vào application gateway (cổng ứng dụng ). Một router được nối với mạng nội bộ (interior router) chỉ tiếp nhận những gói tin từ cổng ứng dụng. Cổng ứng dụng thiết lập policies ( chính sách ) đối với từng người dùng và từng ứng dụng. Hệ quả là nó điều khiển được sử phân phát của các dịch vụ cả đến và đi từ mạng nội bộ. Ví dụ, chỉ một số người dùng được phép giao tiếp với Internet, hay chỉ một số ứng dụng được phép thiết lập kết nối với bên ngoài. Nếu chỉ 1 ứng dụng được phép gửi thư, chỉ những gói thư được đi qua router. Điều khiển lưu thông trong mạng
- Phần này sử dụng tình huống minh họa trong hình 3-2 để mô tả việc sử dụng danh sách truy cập ngăn chặn lưu thông dữ liệu đến và đi từ một firewall router và một firewall communication server Hình 3-2 : Trong bài viết này firewall router cho phép kết nối "đến" từ 1 hay nhiều server hay host. Một router được thiết kế hoạt động như 1 firewall là điều ta mong muốn, vì nó định rõ mục đích của router là external gateway và tránh làm phiền các router khác với nhiệm vụ này. Trong tình huống mạng nội bộ cần được cô lập, firewall router sẽ cung cấp điểm cô lập mà không ảnh hưởng đến phần còn lại của mạng. Cấu hình một Firewall Router Trong cấu hình của firewall router dưới đây, subnet 13 của Class B là firewall subnet, trong khi đó subnet 14 cung cấp kết nối Internet qua một nhà cung cấp dịch vụ : interface ethernet 0 ip address B.B.13.1 255.255.255.0 interface serial 0 ip address B.B.14.1 255.255.255.0 router igrp network B.B.0.0 Cấu hình đơn giản này không có sự bảo mật và cho phép tất cả mọi lưu thông từ thế giới bên ngoài đến mạng. Để có sự bảo mật với firewall router, sử dụng danh sách truy cập và nhóm truy cập như mô tả dưới đây. Xác định danh sách truy cập Danh sách truy cập xác định những lưu thông thực tế sẽ được cho phép hay từ chối, trong khi đó 1 nhóm truy cập áp dụng 1 danh sách truy cập nhất định cho 1 interface. Danh sách truy cập có thể dùng để từ chối kết nối ẩn chứa mối nguy hại về bảo mật và cho phép tất cả các kết nối khác, hoặc cho phép những kết nối chấp nhận được và từ chối tất cả kết nối còn lại. Đối với một firewall, cách thứ 2 là cách an toàn hơn. Trong bài viết này, email và news đến được cho phép với 1 số hosts, nhưng FTP, Telnet và rlogin chỉ cho phép những host nằm trong firewall subnet.Khoảng IP mở rộng (từ 100 đến 199) và các
- số cổng TCP hay UDP được dùng để lọc lưu thông .Khi một kết nối sắp được hình thành cho email,Telnet, FTP,... nó sẽ cố mở một dịch vụ ở một cổng xác định. Do đó bạn có thể lọc những kết nối đó bằng cách từ chối các gói tin tìm cách sử dụng dịch vụ đó. Về danh sách của những dịch vụ và cổng thường gặp, xem phần "Lọc các dịch vụ TCP và UDP" ở phần sau. Một danh sách truy cập được gọi sau quyết định của router nhưng trước khi gói tin được gửi đến 1 interface. Chỗ tốt nhất để xác định danh sách truy cập là tạo 1 file chứa các lệnh access-list, đặt file đó trong thư mục TFTP mặc định và nạp file đó vào router. Server chứa file đó fải chạy TFTP daemon và có kết nối TCP đến firewall router. Trước khi nạp, mọi xác định trước đó của danh sách truy cập này được gỡ bỏ bằng lệnh no access-list 101 Lệnh access-list có thể được dùng để cho phép các gói tin trả về từ những kết nối được thiết lập trước đó. Với từ khóa established, sẽ có sự phù hợp nếu gói TCP chứa acknowledgement (ACK) hay reset(RST) bits set. access-list 101 permit tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 established Nếu firewall routers nào chia sẻ mạng với 1 nhà cung cấp bên ngoài, bạn sẽ muốn cho phép truy cập từ các host đó tới mạng của bạn. Trong bài viết này, nhà cung cấp bên ngoài có một cổng nối tiếp sử dụng firewall router Class B địa chỉ (B.B.14.2) là địa chỉ nguồn như sau : access-list 101 permit ip B.B.14.2 0.0.0.0 0.0.0.0 255.255.255.255 Ví dụ sau minh họa cách từ chối lưu thông từ 1 người dùng cố gắng che giấu một địa chỉ nội bộ của bạn với bên ngoài ( không dùng danh sách truy cập "đầu vào" 9.21 ) : access-list 101 deny ip B.B.0.0 0.0.255.255 0.0.0.0 255.255.255.255 Lệnh sau cho phép Domain Name System (DNS) và Network Time Protocol (NTP) gửi yêu cầu và trả lời : access-list 101 permit udp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 53 access-list 101 permit udp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 123 Lệnh sau từ chối cổng Network File Server (NFS) User Datagram Protocol (UDP) : access-list 101 deny udp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 2049 Lệnh sau từ chối OpenWindows ở cổng 2001 và 2002, từ chối X11 ở cổng 6001 và 6002 : access-list 101 deny tcp 0.0.0.0 255.255.255.2550.0.0.0 255.255.255.255 eq 6001 access-list 101 deny tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 6002 access-list 101 deny tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 2001 access-list 101 deny tcp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 eq 2002 Lệnh sau cho phép Telnet đến communication server (B.B.13.2) : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.2 0.0.0.0 eq 23
- Lệnh sau cho phép FTP đến host ở subnet 13 : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 21 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 20 Ở những ví dụ sau, mạng B.B.1.0 nằm trong mạng nội bộ.Các lệnh sau cho phép kết nối TCP và UDP tới các cổng lớn hơn 1023 với những host hết sức giới hạn. Nhớ đừng để communication servers bộ dịch giao thức ( protocol translator ) nằm trong danh sách này : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 gt 1023 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 gt 1023 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.101 0.0.0.0 gt 1023 access-list 101 permit udp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 gt 1023 access-list 101 permit udp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 gt 1023 access-list 101 permit udp 0.0.0.0 255.255.255.255 B.B.1.101 0.0.0.0 gt 1023 Chú ý : chuẩn FTP sử dụng cổng >1023 cho kết nối dữ liệu của nó; do đó, cổng >1023 phải đựợc mở. Chi tiết hơn đọc phần "Cổng File Transfer Protocol (FTP) " ở phía dưới Lệnh sau cho phép DNS truy cập tới DNS server(s) liệt kê bởi Network Information Center (NIC) : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 53 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 eq 53 Lệnh sau cho phép SMPT email theo chiều đến với 1 số máy : access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.13.100 0.0.0.0 eq 25 access-list 101 permit tcp 0.0.0.0 255.255.255.255 B.B.1.100 0.0.0.0 eq 25 Lệnh sau cho phép news transfer protocol (NNTP) server của mạng nội bộ nhận kết nối NNTP từ danh sách cho phép : access-list 101 permit tcp 16.1.0.18 0.0.0.1 B.B.1.100 0.0.0.0 eq 119 access-list 101 permit tcp 128.102.18.32 0.0.0.0 B.B.1.100 0.0.0.0 eq 119 Lệnh sau cho phép Internet control message protocole (ICMP) cho thông điệp báo lỗi : access-list 101 permit icmp 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 Mỗi danh sách truy cập có ẩn câu lệnh "từ chối tất cả những thứ khác" ở cuối danh sách để chắc chắn các thuộc tính không được đề cập đến sẽ bị từ chối. Cổng File Transfer Protocol (FTP) Hiện nay nhiều site chặn các phiên làm việc TCP từ ngoài vào nhưng cho phép kết nối ra ngoài. Vấn đề ở chỗ chặn kết nối từ ngoài vào sẽ ngăn cản những chương trình FTP client truyền thống, vì những chương trình này dùng lệnh "PORT" cho server biết chỗ để gửi file. Máy khách mở một kết nối "điều khiển" đến server, nhưng server sau đó sẽ mở một kết nối "dữ liệu" ở một cổng nào đó ( >1023) trên máy khách. Rất may , còn có 1 cách khác cho phép máy khác mở một socket "dữ liệu" và cho phép bạn có cả firewall và FTP. Máy khách gửi 1 lệnh PASV đến server, nhận lại một số hiệu cổng cho socket dữ
- liệu, mở socket dữ liệu trên cổng đó và bắt đầu gửi . Để thực hiện phương pháp này, chương trình FTP client phải hỗ trợ lệnh PASV. Vấn đề duy nhất với phương pháp này là nó không thực hiện được nếu server chặn luôn kết nối bất kỳ từ ngoài vào Mã nguồn cho 1 chương trình FPT hoạt động được với firewall có thể nhận được bằng anonymous FTP tại ftp.cisco.com, file /pub/passive-ftp.tar.Z .Đây là phiên bản BSD 4.3 FTP có sửa chữa để hỗ trợ PASV. Chú ý : Cẩn thận khi cung cấp dịch vụ anonymous FTP. Rất nhiều FTP server có lỗi ở khu vực này. Áp dụng danh sách truy cập với các Interfaces Sau khi danh sách truy cập được nạp vào router và lưu trên NVRAM, phải gán nó cho một interface phù hợp. Trong bài viết này, lưu thông đến từ bên ngoài qua cổng nối tiếp 0 được lọc trước khi được đặt vào subnet 13 (ethernet 0). Do đó lệnh access-group , dùng 1 danh sách truy cập lọc các kết nối đến, phải được gán cho Ethernet 0 như sau : interface ethernet 0 ip access-group 101 Để điều khiển truy cập Internet từ mạng nội bộ, lập một danh sách truy cập và áp dụng nó với gói tin gửi đi trên cổng nối tiếp 0 của router. Để làm được vậy, những gói tin gửi về từ các hosts sử dụng Telnet hay FTP phải được cho phép truy cập đến firewall subnetwork B.B.13.0 Sàng lọc dịch vụ TCP và UDP Vài cổng TCP và UDP thường gặp được liệt kê ở bảng 3-3 Bảng 3-3 : Một số cổng và dịch vụ TCP và UDP thường gặp Dịch vụ Loại cổng Số cổng FTP-Data TCP 20 FTP-Commands TCP 21 Telnet TCP 23 SMTP-Email TCP 25 TACACS UDP 49 DNS TCP và UDP 53 TFTP UDP 69 finger TCP 79 Sun Remote Procedure Call(RPC) UDP 111 Network News Transfer Protocol (NNTP) TCP 119 Network Time Protocol (NTP) TCP và UDP 123
- NeWS TCP 144 Simple Management Network Protocol (SNMP) UDP 161 SNMP (traps) UDP 162 Border Gateway Protocol (BGP) TCP 179 rlogin TCP 513 rexec TCP 514 talk TCP và UDP 517 ntalk TCP và UDP 518 Open Windows TCP và UDP 2000 Network File System (NFS) UDP 2049 X11 TCP và UDP 6000 Lời khuyên của CERT Computer Emergency Response Team (CERT) khuyên nên lọc những dịch vụ trong bảng 3-4 Bảng 3-4 : Lời khuyên của CERT với các dịch vụ TCP, UDP và cổng Dịch vụ Loại cổng Số cổng DNS zone transfers TCP 53 TFTP daemon (tftpd) UDP 69 link TCP 87 Sun RPC TCP và UDP 1111 NFS UDP 2049 BSD UNIX các lệnh bắt đầu bằng r- TCP từ 512 đến 514 line printer daemon (lpd) TCP 515 UNIX-to-UNIX copy program daemon (uucpd) TCP 540 Open Windows TCP và UDP 2000 X Windows TCP và UDP 6000+ Phần lớn dịch vụ RPC không có số cổng cố định. Bạn nên tìm những cổng có dịch vụ này và chặn lại. Cisco khuyên nên chặn tất cả cổng UDP trừ DNS nếu có thể. Chú ý : Cisco khuyên bạn nên lọc dịch vụ finger ở cổng 79 để ngăn chặn người ngoài tìm hiểu cấu trúc thư mục của người dùng và tên của host mà người dùng đăng nhập danh sách truy cập "đầu vào" Trong Software Release 9.21, Cisco giới thiệu khả năng gán danh sách truy cập "đầu vào" cho 1 interface. Điều này cho phép người quản trị có thể lọc các gói tin trước khi chúng đi qua router. Trong nhiều
- trường hợp, danh sách truy cập "đầu vào" và danh sách truy cập "đầu ra" đạt được những tính năng như nhau; tuy nhiên, danh sách truy cập "đầu vào" được ưa thích hơn với 1 số người và có thể dùng để ngăn chặn một vài kiểu che giấu địa chỉ trong khi danh sách truy cập "đầu ra" sẽ không cung cấp đủ độ bảo mật. Hình 3-3 minh họa 1 host đang bị đánh lừa. Ai đó ở bên ngoài đang mạo nhận rằng đến từ mạng 131.108.17.0.Router interface cho rằng gói tin đến từ 131.108.17.0.Để tránh việc này, 1 input access list được áp dụng cho router interface đối với bên ngoài. Nó sẽ chặn bất cứ gói tin nào từ ngoài vào với địa chỉ nguồn trong mạng nội bộ mà router biết (17.0 và 18.0) Hình 3-3 : Nếu bạn có nhiều mạng nội bộ nối với firewall router và router đang dùng bộ lọc "đầu ra", lưu thông giữa các mạng nội bộ sẽ bị ảnh hưởng bởi bộ lọc. Nếu bộ lọc "đầu vào" chỉ được dùng với router interface với bên ngoài, mạng nội bộ sẽ không bị ảnh hưởng đáng kể. Chú ý : Nếu 1 địa chỉ sử dụng source routing, nó có thể gửi và nhận thông qua firewall router. Vì lý do này, bạn nên vô hiệu hóa source routing trên router với lệnh no ip source-route Cấu hình một Firewall Communication Server Trong bài viết này, firewall communication server có 1 modem ở line 2 interface Ethernet 0 ip address B.B.13.2 255.255.255.0 ! access-list 10 deny B.B.14.0 0.0.0.255 access-list 10 permit B.B.0.0 0.0.255.255 ! access-list 11 deny B.B.13.2 0.0.0.0 access-list 11 permit B.B.0.0 0.0.255.255 ! line 2 login tacacs location FireWallCS#2 ! access-class 10 in access-class 11 out ! modem answer-timeout 60 modem InOut
- telnet transparent terminal-type dialup flowcontrol hardware stopbits 1 rxspeed 38400 txspeed 38400 ! tacacs-server host B.B.1.100 tacacs-server host B.B.1.101 tacacs-server extended ! line vty 0 15 login tacacs Xác định danh sách truy cập Trong ví dụ này, số hiệu mạng được dùng để cho phép hay từ chối truy cập;do đó khoảng IP chuẩn được sử dụng (từ 1 đến 99 ). Với những kết nối từ bên ngoài đến modem lines, chỉ những gói tin từ những host trong mạng nội bộ Class B và những gói tin từ các host trong firewall subnetwork được cho phép: access-list 10 deny B.B.14.0 0.0.0.255 access-list 10 permit B.B.0.0 0.0.255.255 Những kết nối đi chỉ được cho phép đến các hosts trong mạng nội bộ và communication server access-list 11 deny B.B.13.2 0.0.0.0 access-list 11 permit B.B.0.0 0.0.255.255 Áp dụng danh sách truy cập với các đường kết nối Áp dụng 1 danh sách truy cập với 1 đường kết nối bằng lệnh access-class. Trong bài viết này, sự hạn chế trong danh sách truy cập 10 được áp dụng cho các kết nối đến với đường kết nối 2, sự hạn chế trong danh sách truy cập 11 được áp dụng cho các kết nối đi với đường kết nối 2 line 2. access-class 10 in access-class 11 out Sử dụng banners để tạo một thông báo Ta có thể dùng cấu hình banner exec để tạo ra các thông báo, sẽ được hiện trong tất cả các kết nối. Ví dụ, trên một communication server, bạn có thể đưa vào thông điệp sau : banner exec ^C If you have problems with the dial-in lines, please send mail to helpdesk@CorporationX.com. If you get the message "% Your account is expiring", please send mail with name and voicemail box to helpdesk@CorporationX.com, and
CÓ THỂ BẠN MUỐN DOWNLOAD
-
Giáo trình Mạng máy tính - Nguyễn Hoàng Cương
135 p |
4177 |
3096
-
Bảo mật máy tính và mạng
85 p |
540 |
287
-
Những hướng dẫn tăng cường an toàn, bảo mật cho hệ thống mạng
5 p |
417 |
247
-
Mạng IP - Bộ giao thức TCP/IP
25 p |
546 |
233
-
Cách nâng cao tính năng và bảo mật cho mạng WIFI
7 p |
259 |
168
-
Tổng quan về mạng Internet và giao thức TCP/IP
53 p |
406 |
162
-
Bài 3: GIAO THỨC TCP/IP VÀ IP ADDRESS V.4
16 p |
350 |
151
-
Tăng cường bảo mật cho mạng IP Nội dung chính Tăng cường bảo mật cho mạng IP
21 p |
153 |
106
-
Đề cương chi tiết - Họ giao thức TCP / IP
38 p |
195 |
105
-
Giáo trình An ninh mạng: Mạng riêng ảo
42 p |
226 |
96
-
Bài giảng mạng máy tính (ĐH FPT) - Chương 2 Các thiết bị mạng và giao thức mạng
32 p |
189 |
92
-
Giao thức TCP/IP và Mạng Internet
16 p |
156 |
38
-
Tăng cường bảo mật cho mạng IP
21 p |
73 |
25
-
Cách đăng ký bảo mật 2 lớp cho Gmail
7 p |
55 |
13
-
Biện pháp tăng cường bảo mật cho mạng WiMAX
4 p |
47 |
9
-
Bài giảng Mạng máy tính: Chương 4 - Giao thức TCP/IP địa chỉ IP
25 p |
18 |
4
-
Bài giảng Chương 3: Giao thức TCP/IP
119 p |
4 |
3

WARC-Type: response

Content-Type: application/http; msgtype=response

Set-Cookie: TLDEVNamespace=bnrn56aqoi0c4jdc0j2aaiioe4; path=/; domain=.tailieu.vn; HttpOnly

Connection: close

Server: Apache/2.2.31 (CentOS)

Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0

Pragma: no-cache

Vary: Accept-Encoding

Content-Type: text/html; charset=UTF-8


text:
Chống quân xâm lược
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 4 bài 14: Cuộc kháng chiến chống quân xâm lược Mông - Nguyên thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
34p nhunhu1212 27-03-2014 162 36 Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 4 bài 14: Cuộc kháng chiến chống quân xâm lược Mông - Nguyên để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 4 bài 14: Cuộc kháng chiến chống quân xâm lược Mông - Nguyên được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
3p vivi1215 27-03-2014 117 14 Download
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 6 bài 18: Trưng Vương và cuộc kháng chiến chống quân xâm lược Hán thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
28p thanhthanh090909 30-03-2014 234 23 Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 6 bài 18: Trưng Vương và cuộc kháng chiến chống quân xâm lược Hán để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 6 bài 18: Trưng Vương và cuộc kháng chiến chống quân xâm lược Hán được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
4p thanhthanh090909 30-03-2014 190 13 Download
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 7 bài 11: Cuộc kháng chiến chống quân xâm lược Tống (1075 - 1077) thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
36p nhannguyen0101 18-03-2014 231 45 Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 7 bài 11: Cuộc kháng chiến chống quân xâm lược Tống (1075 - 1077) để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 7 bài 11: Cuộc kháng chiến chống quân xâm lược Tống (1075 - 1077) được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
5p thuythuy231 18-03-2014 353 22 Download
-
-Dưới thời Trần quân Mông - Nguyên đã ba lần sang xâm lược nước ta và cả ba lần chúng đều bị thất bại. -Quân và dân nhà Trần ba lần chiến thắng vẻ vang trước giặc Mông - Nguyên là do có lòng đoàn kết, quyết tâm đánh giặc, lại có kế sách đánh hay. -Kể về tấm gương yêu nước Trần Quốc Toản. -Tự hào về truyền thống đấu tranh chống giặc ngoại xâm lược vẻ vang của dân tộc.
3p fordec 20-07-2010 512 60 Download
-
Giáo án Lịch sử lớp 7 : Tên bài dạy : NGUYÊN NHÂN THẮNG LỢI VÀ Ý NGHĨA LỊCH SỬ CỦA BA LẦN KHÁNG CHIẾN CHỐNG QUÂN XÂM LƯỢC MÔNG - NGUYÊN
A. Mục tiêu: 1.Kiến thức: -Hiểu được vì sao ở thế kỉ XIII,trong ba lần kháng chiến chống quân xâm lược Mông-Nguyên quân dân Đaị Việt đều giành thắng lợi. -Ý nghĩa lịch sử của ba lần kháng chiến chông quân xâm lược Mông Nguyên. 2.Kĩ năng: Phân tích,so sánh sự kiện và nhân vật lịch sử qua
6p abcdef_29 10-09-2011 323 19 Download
-
3 CUỘC KHÁNG CHIẾN CHỐNG QUÂN XÂM LƯỢC MÔNG - NGUYÊN Thượng hoàng Thái Tông và vua Nhân Tông về Thiên Trường (Nam Định). Thoát Hoan vừa chiếm đựoc Thăng Long vội vàng đuổi quân theo. Trần Quốc Tuấn thấy cần tăng cường cho mặt trận phía nam, chặn đường tiến của Toa Đô. Trần Nhật Duật chịu trách nhiệm giữ trấn Nghệ An, Trần Kiện vào Thanh Hoá, Trần Quang Khải tăng cường cho Nghệ An.
7p heavenmaster2013 21-07-2011 123 17 Download
-
Kiến thức: Thông qua bài hs nắm được: - Âm mưu xâm lược Đại Việt của quân Mông Cổ , diễn biến của cuộc kháng chiến lần 1, nguyên nhân thắng lợi , ý nghĩa lịch sử của cuộc kháng chiến . 2. Kỹ năng: Rèn thêm kĩ năng sử dụng bản đồ 3. Thái độ: Có tinh thần yêu nước, lòng căm thù quân xâm lược. II. Chuẩn bị: 1. Giáo viên: Lược đồ cuộc háng chiến chống quân xâm lược Mông cổ lần 1. 2. Học sinh: Sách giáo khoa,vở ghi, bút, vở bài tập....
4p dantri1209 19-12-2010 203 12 Download
-
Tham khảo bài viết '3 cuộc kháng chiến chống quân xâm lược mông - nguyên_1', tài liệu phổ thông, ôn thi đh-cđ phục vụ nhu cầu học tập, nghiên cứu và làm việc hiệu quả
6p heavenmaster2013 21-07-2011 90 7 Download
-
Kiến thức: Học sinh nắm được: - Diễn biến cơ bản của cuộc kháng chiến lần thứ ba - Nguyên nhân thắng lợi, ý nghĩa lịch sự của ba kháng chiến. 2. Kỹ năng: Rèn thêm kĩ năng sử dụng bản đồ, kỹ năng vẽ và so sánh. 3. Thái độ: Có tinh thần yêu nước, lòng căm thù quân xâm lược, tinh thần đoàn kết và tự cường của dân tộc. II. Chuẩn bị: 1. Giáo viên: Lược đồ cuộc háng chiến chống quân xâm lược Mông cổ lần 3 2. Học sinh: Sách giáo khoa,vở ghi, bút,...
5p dantri1209 19-12-2010 211 6 Download
-
Các bạn học sinh và quý thầy cô tham khảo miễn phí Bài kiểm tra học kì 1 kháng chiến chống quân xâm lược Tần lịch sử lớp 6 để hệ thống kiến thức học tập cũng như trau dồi kinh nghiệm ra đề thi
2p nhungbuoichieuvang15 11-09-2013 46 1 Download
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 7 bài 14: Ba lần kháng chiến chống xâm lược Mông - Nguyên (thế kỉ XIII) thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
64p theanhanh12 02-04-2014 318 97 Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 7 bài 14: Ba lần kháng chiến chống xâm lược Mông - Nguyên (thế kỉ XIII) để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 7 bài 14: Ba lần kháng chiến chống xâm lược Mông - Nguyên (thế kỉ XIII) được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
10p theanhanh12 02-04-2014 482 45 Download
-
A .MỤC TIÊU : (Theo chuẩn KTKN ) - Nêu được một số sự kiện tiêu biểu về ba lần chiến thắng quan xâm lược Mông – Nguyên , thể hiện . + Quyết tâm chống giặc của quan dân nhà Trần : tập trung vào các sự kiện như Hội nghị Diên Hồng , Hịch tướng sĩ , việc chiến sĩ thích vao tay hai chữ “ Sát thát “ vá chuyên Trần Quốc Toản bóp nát quả cam . + Tài thao lược của các tướng sĩ mà tiêu biểu là Trần Hưng Đạo ( thể hiện...
4p abcdef_22 31-08-2011 147 31 Download
-
(BQ) Bắt đầu từ thời kỳ chuyển đổi chính quyền từ Lý sang Trần, và nhà Trần đi vào công cuộc hồi sinh đất nước để chuẩn bị đối phó với quân Mông Cổ đang tràn sang xâm lược Trung Hoa, và lăm le tiến vào Đại Việt, Bão táp triều Trần đã đưa người đọc trở về nước Đại Việt thế kỷ XIII khi những anh thuyền chài bước ra vũ đài chính trị, bắt đầu gầy dựng sự nghiệp hiển hách cho dòng họ mình và cho cả dân tộc.
237p tramnamcodon_10 01-06-2016 34 19 Download
-
Cuộc kháng chiến lần thố nhất chống quân xâm lược Mông Cổ ( 1258) 1. Âm mưu xâm lược Đại việt của quân Mông Cổ - Xâm lược Đại Việt để đánh lên phía nan Trung Quốc, thực hiện kế hoạch gọng kìm tiêu diệt Nam Tống.
5p thientam1001 09-09-2010 293 18 Download
-
(BQ) Bắt đầu từ thời kỳ chuyển đổi chính quyền từ Lý sang Trần, và nhà Trần đi vào công cuộc hồi sinh đất nước để chuẩn bị đối phó với quân Mông Cổ đang tràn sang xâm lược Trung Hoa, và lăm le tiến vào Đại Việt. Ba tập Đuổi quân Mông Thát, Thăng Long nổi giận, Huyết chiến Bạch Đằng tái hiện liên tiếp ba cuộc kháng chiến chống xâm lược Mông - Nguyên của dân tộc ta và các chiến thắng đó đã ghi đậm dấu ấn võ công oanh liệt của nhà Trần.
164p tramnamcodon_10 01-06-2016 37 17 Download
-
Cuộc kháng chiến lần thứ ba chống quân xâm lược Nguyên ( 1287- 1288) 1. Nhà Nguyên xâm lược Đại Việt - Vua Nguyên quyết tâm xâm lược Đại Việt. - Cuối tháng 12/ 1287 quân Nguyên tiến vào nước ta. - Theo 2 đường: Bộ: Do Thoát Hoan .Thuỷ: Ô Mã Nhi chỉ huy= Hội quân ở Vạn Kiếp.
6p thientam1001 09-09-2010 377 14 Download

markdown:
# Chống quân xâm lược
**Chống quân xâm lược**
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 4 bài 14: Cuộc kháng chiến chống quân xâm lược Mông - Nguyên thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
34p
nhunhu1212
27-03-2014
162
36
Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 4 bài 14: Cuộc kháng chiến chống quân xâm lược Mông - Nguyên để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 4 bài 14: Cuộc kháng chiến chống quân xâm lược Mông - Nguyên được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
3p
vivi1215
27-03-2014
117
14
Download
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 6 bài 18: Trưng Vương và cuộc kháng chiến chống quân xâm lược Hán thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
28p
thanhthanh090909
30-03-2014
234
23
Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 6 bài 18: Trưng Vương và cuộc kháng chiến chống quân xâm lược Hán để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 6 bài 18: Trưng Vương và cuộc kháng chiến chống quân xâm lược Hán được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
4p
thanhthanh090909
30-03-2014
190
13
Download
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 7 bài 11: Cuộc kháng chiến chống quân xâm lược Tống (1075 - 1077) thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
36p
nhannguyen0101
18-03-2014
231
45
Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 7 bài 11: Cuộc kháng chiến chống quân xâm lược Tống (1075 - 1077) để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 7 bài 11: Cuộc kháng chiến chống quân xâm lược Tống (1075 - 1077) được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
5p
thuythuy231
18-03-2014
353
22
Download
-
-Dưới thời Trần quân Mông - Nguyên đã ba lần sang xâm lược nước ta và cả ba lần chúng đều bị thất bại. -Quân và dân nhà Trần ba lần chiến thắng vẻ vang trước giặc Mông - Nguyên là do có lòng đoàn kết, quyết tâm đánh giặc, lại có kế sách đánh hay. -Kể về tấm gương yêu nước Trần Quốc Toản. -Tự hào về truyền thống đấu tranh chống giặc ngoại xâm lược vẻ vang của dân tộc.
3p
fordec
20-07-2010
512
60
Download
-
[Giáo án Lịch sử lớp 7 : Tên bài dạy : NGUYÊN NHÂN THẮNG LỢI VÀ Ý NGHĨA LỊCH SỬ CỦA BA LẦN KHÁNG CHIẾN CHỐNG QUÂN XÂM LƯỢC MÔNG - NGUYÊN](http://tailieu.vn/doc/giao-an-lich-su-lop-7-ten-bai-day-nguyen-nhan-thang-loi-va-y-nghia-lich-su-cua-ba-lan-khang-chie-831110.html)
A. Mục tiêu: 1.Kiến thức: -Hiểu được vì sao ở thế kỉ XIII,trong ba lần kháng chiến chống quân xâm lược Mông-Nguyên quân dân Đaị Việt đều giành thắng lợi. -Ý nghĩa lịch sử của ba lần kháng chiến chông quân xâm lược Mông Nguyên. 2.Kĩ năng: Phân tích,so sánh sự kiện và nhân vật lịch sử qua
6p
abcdef_29
10-09-2011
323
19
Download
-
3 CUỘC KHÁNG CHIẾN CHỐNG QUÂN XÂM LƯỢC MÔNG - NGUYÊN Thượng hoàng Thái Tông và vua Nhân Tông về Thiên Trường (Nam Định). Thoát Hoan vừa chiếm đựoc Thăng Long vội vàng đuổi quân theo. Trần Quốc Tuấn thấy cần tăng cường cho mặt trận phía nam, chặn đường tiến của Toa Đô. Trần Nhật Duật chịu trách nhiệm giữ trấn Nghệ An, Trần Kiện vào Thanh Hoá, Trần Quang Khải tăng cường cho Nghệ An.
7p
heavenmaster2013
21-07-2011
123
17
Download
-
Kiến thức: Thông qua bài hs nắm được: - Âm mưu xâm lược Đại Việt của quân Mông Cổ , diễn biến của cuộc kháng chiến lần 1, nguyên nhân thắng lợi , ý nghĩa lịch sử của cuộc kháng chiến . 2. Kỹ năng: Rèn thêm kĩ năng sử dụng bản đồ 3. Thái độ: Có tinh thần yêu nước, lòng căm thù quân xâm lược. II. Chuẩn bị: 1. Giáo viên: Lược đồ cuộc háng chiến chống quân xâm lược Mông cổ lần 1. 2. Học sinh: Sách giáo khoa,vở ghi, bút, vở bài tập....
4p
dantri1209
19-12-2010
203
12
Download
-
Tham khảo bài viết '3 cuộc kháng chiến chống quân xâm lược mông - nguyên_1', tài liệu phổ thông, ôn thi đh-cđ phục vụ nhu cầu học tập, nghiên cứu và làm việc hiệu quả
6p
heavenmaster2013
21-07-2011
90
7
Download
-
Kiến thức: Học sinh nắm được: - Diễn biến cơ bản của cuộc kháng chiến lần thứ ba - Nguyên nhân thắng lợi, ý nghĩa lịch sự của ba kháng chiến. 2. Kỹ năng: Rèn thêm kĩ năng sử dụng bản đồ, kỹ năng vẽ và so sánh. 3. Thái độ: Có tinh thần yêu nước, lòng căm thù quân xâm lược, tinh thần đoàn kết và tự cường của dân tộc. II. Chuẩn bị: 1. Giáo viên: Lược đồ cuộc háng chiến chống quân xâm lược Mông cổ lần 3 2. Học sinh: Sách giáo khoa,vở ghi, bút,...
5p
dantri1209
19-12-2010
211
6
Download
-
Các bạn học sinh và quý thầy cô tham khảo miễn phí Bài kiểm tra học kì 1 kháng chiến chống quân xâm lược Tần lịch sử lớp 6 để hệ thống kiến thức học tập cũng như trau dồi kinh nghiệm ra đề thi
2p
nhungbuoichieuvang15
11-09-2013
46
1
Download
-
Mời quý thầy cô giáo và các bạn học sinh cùng tham khảo Bài giảng Lịch sử 7 bài 14: Ba lần kháng chiến chống xâm lược Mông - Nguyên (thế kỉ XIII) thiết kế bằng Powerpoint chuyên ghiệp giúp nâng cao kĩ năng và kiến thức trong việc soạn bài giảng điện tử giảng dạy và học tập.
64p
theanhanh12
02-04-2014
318
97
Download
-
Mời quý thầy cô và các bạn tham khảo Giáo án Lịch sử 7 bài 14: Ba lần kháng chiến chống xâm lược Mông - Nguyên (thế kỉ XIII) để nâng cao kĩ năng và kiến thức soạn giáo án theo chuẩn kiến thức, kỹ năng trong chương trình dạy học. Giáo án Lịch sử 7 bài 14: Ba lần kháng chiến chống xâm lược Mông - Nguyên (thế kỉ XIII) được soạn với hình thức 3 cột phù hợp quy định bộ GD và nội dung súc tích giúp học sinh dễ dàng hiểu bài học hơn.
10p
theanhanh12
02-04-2014
482
45
Download
-
A .MỤC TIÊU : (Theo chuẩn KTKN ) - Nêu được một số sự kiện tiêu biểu về ba lần chiến thắng quan xâm lược Mông – Nguyên , thể hiện . + Quyết tâm chống giặc của quan dân nhà Trần : tập trung vào các sự kiện như Hội nghị Diên Hồng , Hịch tướng sĩ , việc chiến sĩ thích vao tay hai chữ “ Sát thát “ vá chuyên Trần Quốc Toản bóp nát quả cam . + Tài thao lược của các tướng sĩ mà tiêu biểu là Trần Hưng Đạo ( thể hiện...
4p
abcdef_22
31-08-2011
147
31
Download
-
(BQ) Bắt đầu từ thời kỳ chuyển đổi chính quyền từ Lý sang Trần, và nhà Trần đi vào công cuộc hồi sinh đất nước để chuẩn bị đối phó với quân Mông Cổ đang tràn sang xâm lược Trung Hoa, và lăm le tiến vào Đại Việt, Bão táp triều Trần đã đưa người đọc trở về nước Đại Việt thế kỷ XIII khi những anh thuyền chài bước ra vũ đài chính trị, bắt đầu gầy dựng sự nghiệp hiển hách cho dòng họ mình và cho cả dân tộc.
237p
tramnamcodon_10
01-06-2016
34
19
Download
-
Cuộc kháng chiến lần thố nhất chống quân xâm lược Mông Cổ ( 1258) 1. Âm mưu xâm lược Đại việt của quân Mông Cổ - Xâm lược Đại Việt để đánh lên phía nan Trung Quốc, thực hiện kế hoạch gọng kìm tiêu diệt Nam Tống.
5p
thientam1001
09-09-2010
293
18
Download
-
(BQ) Bắt đầu từ thời kỳ chuyển đổi chính quyền từ Lý sang Trần, và nhà Trần đi vào công cuộc hồi sinh đất nước để chuẩn bị đối phó với quân Mông Cổ đang tràn sang xâm lược Trung Hoa, và lăm le tiến vào Đại Việt. Ba tập Đuổi quân Mông Thát, Thăng Long nổi giận, Huyết chiến Bạch Đằng tái hiện liên tiếp ba cuộc kháng chiến chống xâm lược Mông - Nguyên của dân tộc ta và các chiến thắng đó đã ghi đậm dấu ấn võ công oanh liệt của nhà Trần.
164p
tramnamcodon_10
01-06-2016
37
17
Download
-
Cuộc kháng chiến lần thứ ba chống quân xâm lược Nguyên ( 1287- 1288) 1. Nhà Nguyên xâm lược Đại Việt - Vua Nguyên quyết tâm xâm lược Đại Việt. - Cuối tháng 12/ 1287 quân Nguyên tiến vào nước ta. - Theo 2 đường: Bộ: Do Thoát Hoan .Thuỷ: Ô Mã Nhi chỉ huy= Hội quân ở Vạn Kiếp.
6p
thientam1001
09-09-2010
377
14
Download

Set-Cookie: TLDEVNamespace=llds94f529agctaa9idf55f0b6; path=/; domain=.tailieu.vn; HttpOnly


text:
Theo quy hoạch, giai đoạn đến năm 2020, cơ bản hình thành mạng lưới kiểm soát tải trọng xe trên toàn quốc; đầu tư xây dựng, lắp đặt 28 trạm kiểm tra tải trọng xe cố định trên đường bộ.
Giai đoạn sau năm 2020 đến 2030, hoàn thiện mạng lưới kiểm soát tải trọng xe trên toàn quốc; đầu tư xây dựng, lắp đặt 22 trạm kiểm tra tải trọng xe cố định.
Các trạm kiểm tra tải trọng xe sẽ được bố trí trên các tuyến đường bộ trọng điểm, các hành lang vận tải đường bộ chính; hạn chế việc đặt trạm kiểm tra tải trọng xe trong phạm vi khu vực nội thành, nội thị, các đô thị để chống ùn tắc giao thông; rà soát, điều chỉnh vị trí một số Trạm kiểm tra tải trọng xe cố định để kết hợp với Trạm thu phí lân cận.
Kinh phí đầu tư xây dựng các Trạm kiểm tra tải trọng xe trên hệ thống đường bộ dự kiến khoảng 840 tỷ đồng.
Việc quy hoạch tổng thể Trạm kiểm tra tải trọng xe trên đường bộ nhằm nâng cao hiệu lực, hiệu quả quản lý nhà nước về giao thông đường bộ; ngăn chặn các hành vi vi phạm quy định về tải trọng, khổ giới hạn của đường bộ, góp phần bảo vệ và duy trì tuổi thọ của công trình đường bộ.
Bình luậnÝ kiến của bạn sẽ được biên tập trước khi đăng. Xin vui lòng gõ tiếng Việt có dấu

markdown:
![ Xây dựng 50 trạm kiểm tra tải trọng xe trên đường bộ.](http://static.tapchitaichinh.vn/660x450/Uploaded/tranhuyentrang/2016_10_01/taitrongxe-200326221_GOPC.jpg)
Theo quy hoạch, giai đoạn đến năm 2020, cơ bản hình thành mạng lưới kiểm soát tải trọng xe trên toàn quốc; đầu tư xây dựng, lắp đặt 28 trạm kiểm tra tải trọng xe cố định trên đường bộ.
Giai đoạn sau năm 2020 đến 2030, hoàn thiện mạng lưới kiểm soát tải trọng xe trên toàn quốc; đầu tư xây dựng, lắp đặt 22 trạm kiểm tra tải trọng xe cố định.
Các trạm kiểm tra tải trọng xe sẽ được bố trí trên các tuyến đường bộ trọng điểm, các hành lang vận tải đường bộ chính; hạn chế việc đặt trạm kiểm tra tải trọng xe trong phạm vi khu vực nội thành, nội thị, các đô thị để chống ùn tắc giao thông; rà soát, điều chỉnh vị trí một số Trạm kiểm tra tải trọng xe cố định để kết hợp với Trạm thu phí lân cận.
Kinh phí đầu tư xây dựng các Trạm kiểm tra tải trọng xe trên hệ thống đường bộ dự kiến khoảng 840 tỷ đồng.
Việc quy hoạch tổng thể Trạm kiểm tra tải trọng xe trên đường bộ nhằm nâng cao hiệu lực, hiệu quả quản lý nhà nước về giao thông đường bộ; ngăn chặn các hành vi vi phạm quy định về tải trọng, khổ giới hạn của đường bộ, góp phần bảo vệ và duy trì tuổi thọ của công trình đường bộ.
## Bình luậnÝ kiến của bạn sẽ được biên tập trước khi đăng. Xin vui lòng gõ tiếng Việt có dấu

Cache-Control: public, max-age=300

Content-Type: text/html; charset=utf-8

Set-Cookie: .ASPXANONYMOUS=V-SKWtLc0gEkAAAAOTUwNjljMDUtMDcyZS00YTRiLTkxYTEtODE5NDM5NTc3YzVh0; domain=tapchitaichinh.vn; expires=Sun, 04-Jun-2017 01:31:56 GMT; path=/; HttpOnly


text:
Hotline
Đặt từ 3-4 tuần có hàng
GỌI 09333.22235 để đặt hàng Thời gian làm việc: 9h đến 19h
Trả hàngtrong 2 ngày
Miễn phígiao hàng
Giao hàngnhận tiền
Đảm bảo hàngchính hãng
100% hàngnhập từ mỹ
HOTLINE09333.22235
Lưu ý:
Hàng này không có sẵn, quý khách vui lòng liên hệ để đặt hàng.
Giá này có thể thay đổi tùy thuộc vào giá bán ở Mỹ.
Sau khi xác nhận và đặt cọc thì khoảng từ 3-4 tuần hàng về đến Việt Nam.
TARU

WARC-Truncated: length

Set-Cookie: viewed=4416; expires=Tue, 25-Apr-2017 15:05:42 GMT; Max-Age=2592000; path=/; domain=taru.vn

Vary: User-Agent