SSH (Secure Shell) là một giao thức giúp người dùng quản lý và giao tiếp với server. SSH Key được sinh ra để thay thế mật khẩu thông thường nhằm đảm bảo hơn về tính bảo mật. Nó bao gồm 2 key (Public key và Private key) được mã hoá.

Private key phải được đảm bảo giữ bí mật tuyệt đối. Bất kỳ người nào có key này đều có thể truy cập vào server. Ngược lại Public key được phép công khai nhằm mã hoá thông tin mà chỉ có thể giải mã bởi Private key.

Bài viết này sẽ hướng dẫn thiết lập xác thực khóa công khai cho quản trị viên firewall Sophos

Bước 1: Tạo cặp khóa RSA.

Tải xuống và cài đặt PuTTY và PuTTYGen từ www.putty.org

Mở PuTTYGen và chọn kiểu khóa RSA và nhấn vào Generate.

Lưu Public Key và Private Key vào máy.

Lưu ý: PuTTYGen sẽ tạo cảnh báo nếu keyfile không được bảo vệ bằng mật khẩu (passphrase). Nên bảo vệ bằng mật khẩu như một biện pháp bảo mật bổ sung nhưng không bắt buộc để SSH hoạt động.

Nếu bạn muốn đặt mật khẩu, hãy nhập mật khẩu đó vào Key passphrase và Confirm passphrase. Trước khi bạn nhấn vào Save private key.

Bước 2: Thêm khóa công khai vào tường lửa Sophos.

Sao chép Public Key từ PuTTYGen hoặc từ vị trí đã tải về máy tính của bạn.

Điều hướng tới SYSTEM >  Administrator > Device Access. 

Thêm phần Public Key đã sao chép vào phần Public Key Authentication và Enable Authencation lên.

Bước 3: Thêm Private Key vào PuTTY và xác thực với firewall Sophos.

Mở PuTTY và di chuyển đến Connection > SSH > Auth > Credentials 

Nhấn vào Browse để chọn keyfile .ppk vừa lưu trước đó.

Điều hướng đến Session và nhập địa chỉ IP hoặc tên máy chủ của Tường lửa Sophos. Đảm bảo loại kết nối được đặt thành SSH và nhấp vào Open để kết nối với Tường lửa Sophos.

Nhập user là admin để xác thực với tường lửa Sophos.

Việc tạo nhiều tài khoản theo cách thủ công kèm theo bảo mật sẽ tốn nhiều thời gian và khó quản lý.Bài viết sẽ hướng dẫn giải quyết vấn đề này thông qua đồng bộ domain có các user đã được tạo sẵn trên windows server và xác thực bằng ứng dụng google authenticator(trên CH Play).

Sơ đồ mạng:

1.Sơ lược sơ đồ

-Ta dùng cổng WAN FPT sẽ là cổng VPN đi vào

-Chọn 1 cổng trên firewall với IP 2.2.2.250 cho vùng mạng DMZ tiến hành cấp phát DHCP,VMware Esxi thuộc DMZ ta đặt ip 2.2.2.100

-Windows SRV tạo OU và Group,user cho IT,và được cài remote desktop

-Ubuntu được cài web,và đã cài đặt SSH

2.Chi tiết nội dung cấu hình

Dùng user đã được đồng bộ AD sử dụng tài khoản đó làm tài khoản đăng nhập VPN,ta tiến hành thực hiện SSL Client to Site vào firewall (kèm xác thực OTP) ,kết quả nhận được user IT có thể remote desktop vào windows SRV và SSH vào Web SRV

3.Tiến hành cấu hình

3.1 Đồng bộ AD

Kết quả tạo OU,Group,user IT và Sale

Ta vào Authentication->chọn servers-> nhấn add

Server type:chọn active directory

Server name:có thể đặt tên theo ý muốn không ảnh hưởng đến cấu hình

Server IP/domain:điền địa chỉ IP server(ip server:2.2.2.20)

Connection security: chọn plaintext

Port:389

NetBIOS domain:điền tên domain(điền firewall)

ADS user name: điền administrator

Password:nhập mật khẩu của server

Domain name:điền tên đầy đủ AD server (ta điền firewall.local)

Search queries: nhập dc=firewall, dc=local

Nhấn save

Tiếp theo kiểm tra tệp vừa tạo,nhấn vào điểm màu vàng được đánh dấu

Làm theo những bước trong hình

Nhấn Start

Chọn dc=firewall, dc=local

Nhấn kí tự > để next

Chọn group IT và Sale rồi nhấn > để next

Để như mặc định

Nhấn vào > để next

Tiếp tục nhấn > để tới bước kết thúc

Kết quả:vào mục groups thấy group IT và Sale

3.2 Cấu hình SSL VPN client to site

3.2.1 Tạo groups VPN

Vào  Authentication->chọn groups->nhấn add

Group name:điền tên theo ý muốn(điền SSL VPN Group)

Surfing quota: chọn unlimited internet access

Access time:chọn allowed all the time

Mục khác để mặc định

Nhấn save

Định danh cho lớp mạng VPN

Hosts and Services ->  IP Host -> Add

3.2.2 Cấu hình SSL VPN

Ta vào Remote access VPN-> chọn SSL VPN->nhấn Add

Name:nhập tên tùy chọn(SSL VPN Remote Access)

Policy members:chọn groups IT ,Sale và SSL VPN Group

Permitted network resources (IPv4):chọn lớp mạng DMZ

Nhấn Apply để tạo

3.2.3 Cấu hình SSL VPN Global Setting

Override hostname:nhập địa chỉ IP WAN

Port:8443

Assign IPv4 addresses:nhập dải IP cần gán cho user khi thực hiện VPN(trùng với host ip_ssl_vpn)

Nhấn apply để tạo

3.2.4 Tạo rule cho VPN

Như hình

Cấu hình xác thực OTP

Chọn Authentication-> Multi-factor authentication (MFA) settings

Chọn như hình

3.2.4 Đăng nhập user portal

Với cú pháp https://địa_chỉ_IP_web_sophos

Truy cập trang user portal bằng u1(u1 là user đồng bộ AD từ windows server)

Nhấn login sẽ hiện thông tin và mã QR sau

Điện thoại Androi vào chplay tải app google authentication,sau đó quét đoạn mã rồi điền vào đây

Truy cập trang user portal lại bằng u1

Passcode lúc này =passcode củ+số xác thực trên ứng dụng google authentication

Đăng nhập thành công tải 2 mục sau cài vào máy tính

Tiến hành đăng nhập dùng tài khoản u1 đăng nhập

Kết quả:

Quá trình SSH tới Ubuntu

Bài viết hướng dẫn cấu hình chỉ cho phép phòng ban IT SSH tới web server và remote desktop vào windows server, không cho người dùng phòng ban Sale thực hiện tương tự như phòng ban IT,bằng 2 phương pháp .

Sơ đồ mạng:

Các cấu hình chuẩn bị trước:

-Windows srv được cài AD,các PC phòng IT và Sale ping được lớp mạng windows srv,web srv

-Ubuntu cài đặt Web srv,cấu hình SSH

Cài web link tham khảo: https://www.thegioifirewall.com/linux-huong-dan-cai-dat-lamp-stack-tren-ubuntu-server/

-Windows srv cấu hình remote desktop

-PC phòng ban IT và Sale tất cả được join domain

Hướng dẫn cấu hình:

Cách 1: Application Control
1.1.Cấu hình Application Control cho remode desktop và SSH

• Ta vào Protect->chọn Applications->tiếp Application Filter->nhấn Add
• Name: Nhập tên tùy ý
• Template: Allow All
• Nhấn Save để tạo

• Tại smart filter ta nhập lần lược SSH và windows remote desktop
• Tại Action chọn deny
• Nhấn save để tạo

1.2 Định danh cho lớp mạng

• Ta vào System->chọn Hosts and services ->nhấn Add
• Name: Nhập tên tùy ý
• Type:Chọn network
• IP address:Nhập ip local

Làm tương tự

1.3 Tạo rule và add block applications vào Identify and control applications (App control)

• Ta vào Protect->chọn rules and policies-> nhấn add firewall rule
• Source zones:ta chọn mạng nội bộ LAN
• Source networks and devices:ta chọn lớp mạng cần đi
• Destination zones:ta chọn lớp mạng của server (có thể LAN hoặc DMZ)
• Destination networks:ta chọn lớp mạng của server
• Identify and control applications:ta add Block_RDP vào

Kết Quả: Dùng máy PC thuộc Sale điều bị block khi SSH vào web server và remote desktop vào windows server
Kết quả không remote desktop được

Kết quả không SSH tới web server được

Cách 2: Cấu hình cấu hình services trong rules and policies

1.Tạo services cho giao thức UDP và TCP có thể join domain

• Ta vào system->chọn Hosts and services -> vào services->gõ như hình

2. Tạo rules cho từng phòng ban đến server
   2.1 Rules cho phòng ban IT đến server

Tạo lớp mạng local cho phòng ban IT

• Tương tự tạo rule ở trên (xem tại mục 1.3)
• Phần services ta add như hình

2.2 Rules cho phòng ban Sale đến server

• Cách tạo rules như trên (xem tại mục 1.3)
• Phần services:ta add DNS,Ping,UDP&TCP-AD

2.3 Tạo rule cho Server đi đến mạng lan
Cách tạo rules như trên (xem mục 1.3)

Kết quả:
U2 thuộc sale không thể SSH tới web server và không remote desktop tới windows server