Một số chức năng khác của PIX FIREWALL pot

Bài Viết Về PIX FIREWALL

Tác giả: Nguyễn Thị Băng Tâm

Chương 5: MỘT SỐ CHỨC NĂNG KHÁC CỦA

PIXFIREWALL

1. Attack Guard

a. DNS guard

Giả sử để phân giải một tên đến một địa chỉ , một host có thể truy

vấn (query ) cùng DNS server nhiều lần . Đặc điểm DNS guard

của

PIX firewall là nhận biết được một truy vấn outbound DNS và chỉ

cho

phép lần reply đầu tiên từ server được qua PIX firewall . Tất cả

các

lần replies khác sẽ bị loại bỏ . Sau lần DNS reply đầu tiên đó ,

DNS

guard sẽ đóng tất cả các phiên UDP được mở bởi DNS request

mà không cần chờ đến khoảng thời gian timeout của UDP .

Một host cũng có thể truy vấn nhiều DNS server khác nhau .

Ví dụ , nếu DNS resolver gửi ba query cụ thể đến 3 server khác

nhau,

PIX firewall sẽ tạo ra 3 kết nối khác nhau. Kết nối đến mỗi server

được thực hiện riêng biệt vì request được gửi một cách riêng biệt ,

mỗi request được đặc trưng bởi một ID . Reply cho request này

bao gồm cùng một ID và IP address giống nó . Từ đó , ta kết luận

DNS Guard có những đặc điểm sau :

- Chỉ chấp nhận các replies nào đúng địa chỉ IP

- Chỉ chấp nhận một reply . Trong trường hợp có nhiều replies ,

ngoại trừ reply đầu tiên , tất cả các replies sẽ bị loại bỏ .

- Kết nối UDP tương ứng với kết nối DNS sẽ bị loại bỏ ngay khi

nhận được DNS reply mà không đợi đến khi hết thời gian

timeout .

- Bảo vệ được các phiên làm việc UDP từ các hình thức tấn

công

như DoS hay hijacking.

Để hiểu rõ hơn hoạt động của DNS Guard , ta xem xét ví dụ sau :

Client (có địa chỉ 192.168.0.1) và Web server (web.company.com ,

có địa chỉ 192.168.0.5 ) nằm trong inside interface của PIX và

các địa chỉ private . DNS server nằm ở outside interface . PIX

được

cấu hình để chuyển địa chỉ của client và server khi đi ra mạng

ngoài

thành địa chỉ 1.2.3.4 thông qua PAT . Địa chỉ này được DNS

server ghi lại là địa chỉ cho web.company.com. Khi client yêu cầu

địa chỉ IP của server , PIX sẽ chuyển yêu cầu đó đến DNS

server, đổi địa chỉ source từ 192.168.0.1 thành 1.2.3.4 (PIX

thực hiện NAT ) . Khi PIX nhận được reply từ DNS server ,

ngoài việc pix đổi địa chỉ đích của gói tin (từ 1.2.3.4 đến

192.168.0.1) , nó còn thay đổi địa chỉ của Web server có trong

reply đó (đó là 1.2.3.4 chuyển thành 192.168.0.5) .

 NOTE : không thể tắt tính năng DNS Guard cũng như thay đổi giá

trị mặc định là port 53 của DNS trong PIX .

b. Mail Guard

Mail Guard được thiết kế để bảo đảm độ an toàn cho các kết nối

SMTP từ outside đến email server inside , nó sẽ hạn chế server