Hướng dẫn nâng cấp Server lên Domain Controller.

Domain là một khái niệm logic nói về một nhóm các máy có sự quản lý tập trung, nó đối lập với môi trường Workrgoup  trong đó việc quản ý đươc thực hiện trên từng máy. Khi quản lý 1 máy tính có nhiều máy , môi trường domain là một sự lự chọn tối ưu.

-         Domain Controller ( cần ít nhất 1 máy)

-         Workstation ( máy trạm làm việc)

-         Member Server ( các server khác trong hệ thống

Có rất nhiều thành phần logic trong một Domain như: Account, OU, Site,.. gọi chung là Object.

Mạng riêng ảo (VPN) - Phần 7

Phần này sẽ giới thiệu cách cài đặt VPN kiểu LAN nối LAN theo giao thức L2TP/IPSec. Đây là giao thức có mức độ bảo mật cao nhất dành cho mạng riêng ảo vì cả người sử dụng và máy tính đều phải qua giai đoạn kiểm định quyền truy cập.

Các công cụ kiểm định là Microsoft Challenge Handshake Authentication Protocol (MS-CHAP) Version 2 hoặc Extensible Authentication Protocol (EAP).

Một mô hình VPN điểm-nối-điểm. Ảnh: Microsoft.
Cơ chế này có mức độ bảo mật cao hơn PPTP hay IPSec Tunnel Mode vì chúng không có phần thẩm định quyền truy cập đối với người sử dụng.
Bạn có thể chọn một trong 2 phương pháp thẩm định đối với máy tính là chứng nhận (certificate) hoặc mật khẩu chung, trong đó phương pháp chứng nhận an toàn hơn. Tuy nhiên, dùng mật khẩu chung là lựa chọn hợp lý nếu bạn không thể cung cấp các chứng nhận cho gateway của VPN. Trước khi quyết định dùng cách này, cần chú ý những điểm sau:
- Tất cả các máy khách và gateway phải dùng một mã chia sẻ duy nhất.
- Nếu mật khẩu này được thay đổi để đảm bảo bí mật (thường thì các mật khẩu nên thay thường xuyên), bạn phải đổi bằng tay trên mỗi máy tính sử dụng nó để kết nối tới gateway VPN.
- Mật khẩu chung này hiển thị trong giao diện cấu hình của máy chủ ISA và trong registry, giúp xác định ai đã truy cập vào ISA. Nhưng nếu một chứng nhận được cài đặt lên máy này, nó không được cấu hình truy xuất thông tin; do đó, kẻ đột nhập chỉ có thể dùng chứng nhận khi kiểm soát được cả máy tính.
- Dải mã Unicode của mật khẩu được chuyển đổi sang mã nhị phân ASCII và mã này được dùng đến nếu kết nối thành công. Khi mật khẩu dùng mã ASCII không thể gửi được đi, quá trình sẽ thay thế bằng dải mã Unicode. Tuy nhiên, các thiết bị không theo chuẩn Unicode có thể từ chối, khiến cho kết nối không thực hiện được.

Tình huống thực nghiệm
Ví dụ: Công ty XYZ có văn phòng chính ở Hà Nội và chi nhánh tại TP HCM, muốn liên kết với nhau bằng mạng riêng ảo theo giao thức L2TP, dùng mật khẩu chung. Giao thức L2TP cũng yêu cầu đầy đủ các máy tính như khi kết nối VPN điểm-nối-điểm PPTP, nhưng các công đoạn có sự khác biệt.
Mô hình thực nghiệm có 2 tường lửa (firewall), một ở văn phòng chính, một ở chi nhánh; một máy kiểm soát DC chạy Exchange 2003; một máy khách nằm sau tường lửa ISA của chi nhánh. Tường lửa này chạy Windows Server 2003 SP1 và bản ISA Firewall 2006.
Quy trình tạo lập mạng VPN bao gồm 7 bước như sau:
- Tạo mạng LAN kết nối ở xa (TP HCM) tại văn phòng chính (Hà Nội).
- Tạo tài khoản gọi ở Gateway VPN tại văn phòng Hà Nội.
- Tạo mạng LAN kết nối ở xa tại văn phòng TP HCM.
- Tạo Network Rule ở văn phòng TP HCM.
- Tạo Access Rules ở văn phòng TP HCM.
- Tạo tài khoản gọi ở Gateway VPN tại văn phòng TP HCM.
- Kích hoạt kết nối giữa các LAN.

Kỳ 1: Tạo mạng LAN TP HCM tại ISA Firewall ở văn phòng Hà Nội
1. Trên ISA Firewall tại văn phòng Hà Nội, mở cây chương trình Microsoft Internet Security and Acceleration Server 2006 và mở đến tên máy chủ. Chọn biểu tượng Virtual Private Networks.
2. Nhấn vào thẻ Remote Sites trong ô Details > chọn thẻ Tasks trong ô Task > nhấn vào Add Remote Site Network.
3. Trên trang Welcome to the Create VPN Site to Site Connection Wizard, gõ tên của mạng khách trong ô Site to site network name. Ở ví dụ này, gõ VPN_TPHCM. Nhấn Next.
4. Trên trang VPN Protocol, bạn có 3 lựa chọn về giao thức, chọn Layer Two Tunneling Protocol (L2TP) over IPSec. Nhấn Next.
5. Một hộp thoại xuất hiện, thông báo rằng bạn cần phải tạo một tài khoản người sử dụng trên firewall của ISA tại văn phòng Hà Nội. Tài khoản này sẽ được firewall của ISA tại TP HCM sử dụng để thẩm định quyền truy cập cho firewall của trụ sở.
Tài khoản này phải trùng tên với mạng khách đã tạo ra trong bước 3 ở trên. Vì vậy, bạn cũng nhập tên VPN_TPHCM. Nhấn OK.
6. Trên trang Connection Owner, chọn máy trong danh sách làm định danh kết nối. Lựa chọn này chỉ có thể thấy trong bản ISA Enterprise Edition chứ không có trong Standard Edition. Nếu có cân bằng tải (NLB) trên dãy máy, bạn không cần tự chỉ định máy kết nối vì quá trình NLB sẽ tự động chọn.
Trong ví dụ này chúng ta không dùng NLB vì chỉ có một máy trong dãy. Vì vậy, hãy dùng cổng mặc định là tên firewall ở văn phòng chính VPN_Hanoi. Nhấn Next.
7. Trên trang Remote Site Gateway, gõ địa chỉ IP hoặc tên miền đầy đủ cho máy chủ VPN mạng khách. Chú ý đây là tính năng mới trong ISA firewall 2006; ở bản cũ bạn chỉ có thể nhập địa chỉ IP. Tính năng này tỏ ra hữu ích khi nhiều văn phòng chi nhánh phải dùng IP động; do đó, cách duy nhất để kết nối chắc chắn nhất là thông qua dịch vụ tên miền. Ví dụ, trong trường hợp này là tphcm.xyz.com.vn Nhấn Next.
8. Trên trang Remote Authentication, đánh dấu vào ô Local site can initiate connections to remote site using these credentials. Gõ tên tài khoản mà bạn sẽ tạo trên firewall ở văn phòng TP HCM để cho phép văn phòng Hà Nội truy cập. Trong ví dụ này, nhập tên VPN_Hanoi vào ô User name.
Domain là tên của firewall ISA Server 2006 tại chi nhánh TP HCM, trong ví dụ này là ISA2006VPN_TPHCM. Nếu firewall này cũng là máy chủ quản lý domain (domain controller), bạn sẽ dùng tên miền thay cho tên máy. Gõ mật khẩu và xác nhận lại trong hai ô tiếp theo. Nhấn Next.
9. Trên trang L2TP/IPSec Outgoing Authentication, chọn phương pháp bạn muốn dùng để thẩm định quyền truy cập đối với firewall ở văn phòng TP HCM. Trong thực nghiệm này, chúng ta chọn Pre-shared key authentication (mật khẩu chung) rồi gõ mật khẩu vào ô tương ứng. Nhấn Next.
10. Nhấn vào mục Add Range trên trang Network Address. Trong hộp thoại IP Address Range Properties, gõ địa chỉ 10.0.1.0 vào ô Starting address. Gõ 10.0.1.255 vào ô Ending address. Nhấn OK.
11. Nhấn Next trên trang Network Addresses.
12. Trên trang Remote NLB, kiểm tra NLB có được dùng ở firewall này không. Nếu có, đánh dấu vào ô The remote site is enabled for Network Load Balancing. Sau đó, thêm địa chỉ IP vào dãy NLB của chi nhánh TP HCM bằng cách nhấn vào nút Add Range.
Thực nghiệm này không dùng NLB nên bạn bỏ dấu trong ô The remote site is enabled for Network Load Balancing. Nhấn Next.
13. Trên trang Site to Site Network Rule, bạn có thể cấu hình một Network Rule để kết nối văn phòng chính với chi nhánh. Chú ý rằng firewall ISA luôn yêu cầu bạn có Network Rule để kết nối các mạng với nhau. Ngay cả khi đã tạo ra các mạng và Access Rules, kết nối vẫn không thành công cho đến khi bạn tạo Network Rule.
Firewall ISA mới đã giải quyết được trục trặc mà nhiều người gặp phải khi dùng bản cũ, như ISA 2004, là họ thường quên hoặc không biết tới vai trò của Network Rule. Bản 2006 sẽ yêu cầu bạn làm việc này ngay trong wizard.
Chọn Create a Network Rule specifying a route relationship để chấp nhận tên mặc định. (Chú ý: bạn có thể chọn I'll create a Network Rule later nếu muốn tự tạo một Network Rule. Chú ý rằng lựa chọn mặc định dùng để kết nối mạng của văn phòng chính và chi nhánh). Nhấn OK.
14. Một tính năng nổi bật nữa trong bản 2006 là trang Site to Site Network Access Rule. Tại đây, bạn có thể cấu hình một Access Rule để cho phép các kết nối từ trụ sở đến chi nhánh.
Khi chọn Create an allow Access Rule. This rule will allow traffic cetween the Internal Network and the new site to site Network for all users, bạn có 3 lựa chọn từ menu xổ xuống Apply the rule to these protocols.
- All outbound traffic: dùng khi bạn muốn cho phép tất cả các truy cập từ văn phòng chính đến chi nhánh.
- Selected protocols: Mục này được dùng khi bạn muốn kiểm soát các truy cập từ trụ sở tới chi nhánh. Nếu muốn hạn chế kết nối trong một số giao thức, chọn mục này rồi nhấn vào nút Add cho tất cả các giao thức. Chú ý: lúc này bạn không thể khóa việc sử dụng giao thức ở phía người sử dụng. Bạn phải đợi cho đến khi wizard này kết thúc rồi tới mục Firewall Policy để thay đổi sau.
- All outbound traffic except selected: Lựa chọn này giúp bạn cho phép tất cả các truy cập nhưng giới hạn giao thức. Nhấn nút Add để thiết lập các giao thức bạn muốn khóa.
Ở thực nghiệm này, chúng ta chọn All outbound traffic. Nhấn Next.
15. Nhấn Finish trên trang Completing the New Site to Site Network Wizard.
16. Hộp thoại Remaining VPN Site to Site Tasks hiện ra báo bạn cần phải tạo một tài khoản với cái tên VPN_TPHCM. Nhấn OK.
17. Chọn Remote Site Network và nhấn vào đường liên kết Edit Selected Network trong cửa sổ Task.
18. Trong hộp thoại VPN_TPHCM Properties, thẻ General cung cấp thông tin về Remote Site Network. Bạn có thể tắt hoặc bật kết nối VPN điểm-nối-điểm từ thẻ này.
19. Trên thẻ Server, người dùng có thể thay đổi máy định danh kết nối cho kiểu VPN điểm-nối-điểm. Bạn chỉ có thể chỉ định một máy duy nhất khi NLB không được bật trên giao diện mở rộng của tường lửa ISA.
Nếu NLB được bật trên giao diện này, nó sẽ tự động chỉ định máy kết nối cho bạn. Chú ý rằng bạn có thể tạo ra các dãy gateway VPN mà không cần bật NLB. Tuy nhiên, trong hầu hết các trường hợp, bạn nên dùng đến cân bằng tải.
20. Trên thẻ Address, bạn có thể thay đổi hay thêm địa chỉ mạng khách.
21. Trên thẻ Remote NLB, bạn xác định các địa chỉ IP được chỉ định trên gateway VPN ở mạng khách. Bạn chỉ cần cấu hình các địa chỉ IP nếu gateway VPN ở mạng khách có sử dụng NLB.
Ở thực nghiệm này, chúng ta không thêm các địa chỉ mới vì NLB không được bật lên ở tường lửa ISA tại mạng văn phòng TP HCM.
22. Trên thẻ Authentication, chọn giao thức thẩm định quyền truy cập mà bạn muốn trên tường lửa ISA để dùng khi làm việc với gateway ở mạng chi nhánh. Mặc định ở đây là Microsoft CHAP Version 2.
Lựa chọn an toàn nhất là EAP nhưng phương pháp này yêu cầu bạn chỉ định chứng nhận (certificate) của người dùng cho các tài khoản.
23. Trên thẻ Protocol, cấu hình giao thức VPN mà bạn muốn để tạo ra tunnel truyền dẫn cho mạng riêng ảo. Người dùng có thể thay đổi mật mã chung ở đây.
24. Trên thẻ Connection, bạn có thể thay đổi các thuộc tính cho gateway VPN của mạng khách. Người dùng sẽ thay đổi được thời gian duy trì kết nối VPN trong khi không làm việc với máy (trạng thái idle). Mặc định là Never drop the connection. Đóng hộp thoại VPN_TPHCM Properties.
25. Nhấn phải chuột vào Remote Site Network > Site to Site Summary command. Trong hộp thoại, bạn sẽ thấy các thông tin cài đặt trên mạng chính và Required site to site settings for the other end of this tunnel (yêu cầu cài đặt đối với mạng khách).

26. Hoàn thành công đoạn cấu hình bằng cách nhấn vào Apply để lưu các thay đổi. Nhấn OK trong hộp thoại Apply New Configuration.

Mạng riêng ảo (VPN) - Phần 6

Nếu muốn cho máy tính ở một mạng LAN truy cập vào máy ở mạng LAN khác, người sử dụng có thể dùng loại VPN điểm-nối-điểm.

Phần này sẽ giới thiệu cách cài đặt theo giao thức PPTP. Mô hình thích hợp với các tổ chức, công ty có nhiều văn phòng ở cách xa nhau.

Những thiết bị cần dùng

Mô hình một VPN điểm-nối điểm. Ảnh: Microsoft
Chúng ta sẽ dùng mô hình thực nghiệm với 5 máy tính đóng các vai trò khác nhau. Đây là con số tối thiểu để chạy được VPN điểm-nối-điểm. Trên thực tế, quy mô của từng mạng LAN và máy chủ của VPN sẽ lớn hơn nhiều, như thẩm định quyền truy cập, kiểm soát domain, IAS... Giả sử mạng này là của công ty XYZ với hai LAN ở Hà Nội và TP HCM. Máy khách ở đầu TP HCM đang cần gọi tới văn phòng Hà Nội.

Ngoài ra, mạng cần đến 4 hub (hoặc switch Layer 2)
- Một hub nối văn phòng Hà Nội (máy CLIENT1) với router trả lời (ROUTER1).
- Một hub nối văn phòng ở TP HCM (CLIENT2) với router gọi đi (ROUTER2).
- Một hub nối router gọi (ROUTER1) với router Internet (INTERNET).
- Một hub nối router gọi (ROUTER2) với router Internet (INTERNET).
Chú ý:
- Do ở mô hình thực nghiệm chỉ có 2 máy ở mỗi mạng nhỏ nên các hub có thể được thay thế bằng cáp chéo Ethernet.
- Trong mô hình thực nghiệm, Windows Firewall đã được cài đặt và bật tự động trên các máy khách. Bạn sẽ định cấu hình một Windows Firewall ngoại lệ trên CLIENT1, cho phép hai máy khách liên hệ được với nhau. Trên 3 máy còn lại, Windows Firewall đã được cài đặt nhưng không mặc định bật tự động. Ngoài ra, dịch vụ Windows Firewall/Internet Connection Sharing (ICS) cần được tắt đi trong các máy.

 Mô hình thực nghiệm. Ảnh: Microsoft

- Thiết lập địa chỉ IP cho các máy, giả định như sau:

Địa chỉ IP cho mạng con ở văn phòng Hà Nội
Máy tính/Giao diện Địa chỉ IP
CLIENT1 172.16.4.3
ROUTER1 (tới Intranet của Hà Nội) 172.16.4.1

Địa chỉ IP cho các mạng con Internet
Máy tính/Giao diện Địa chỉ IP
ROUTER1 (tới Internet) 10.1.0.2
INTERNET (tới ROUTER1) 10.1.0.1
ROUTER2 (tới Internet) 10.2.0.2
INTERNET (tới ROUTER2) 10.2.0.1

Địa chỉ IP cho mạng con ở văn phòng TP HCM
Máy tính/Giao diện Địa chỉ IP
ROUTER2 (tới mạng Intranet của TP HCM) 172.16.56.1
CLIENT2 172.16.56.3

Định cấu hình cho các máy khách
CLIENT1
- Các thuộc tính TCP/IP
1. Mở Network Connections trong Control Pannel, nhấn chuột phải vào đó rồi chọn Properties.
2. Trên thẻ General, chọn Internet Protocol (TCP/IP), nhấn vào Properties.
3. Nhấn vào Use the following IP address, gõ 172.16.4.3 cho mục IP address, gõ 255.255.255.0 cho mục Subnet mask và 172.16.4.1 cho Default gateway.
- Thiết lập cổng riêng trên Windows Firewall để các máy khách nhận nhau.
1. Mở Control Pannel, nhấn vào mục Security Center.
2. Nhấn vào Windows Firewall, trong hộp thoại của chương trình, nhấn vào thẻ Advanced.
3. Nhấn vào Settings, chọn tiếp ICMP, nhấn vào Allow incoming echo request.
4. Nhấn OK hai lần để đóng Windows Firewall.
CLIENT2
- Các thuộc tính TCP/IP
1. Mở Network Connections trong Control Pannel, nhấn chuột phải vào đó rồi chọn Properties.
2. Trên thẻ General, chọn Internet Protocol (TCP/IP), nhấn vào Properties.
3. Nhấn vào Use the following IP address, gõ 172.16.56.3 cho mục IP address, gõ 255.255.255.0 cho mục Subnet mask và 172.16.56.1 cho Default gateway.
- Do CLIENT2 ở văn phòng TP HCM đang đóng vai trò là máy gọi đến nên không cần định cổng đặc biệt cho Windows Firewall. Người dùng cứ để mặc định sẵn như phần chú ý trên. Chỉ khi nào CLIENT2 trở thành máy trả lời thì mới cần cài đặt như với CLIENT1.
Định cấu hình cho các router gọi và trả lời.
ROUTER1
- Các thuộc tính TCP/IP
1. Mở Network Connections trong Control Pannel, nhấn chuột phải vào đó rồi chọn Properties.
2. Trên thẻ General, chọn Internet Protocol (TCP/IP), nhấn vào Properties.
3. a. Trên giao diện To the Internet, gõ 10.1.0.2 ở mục IP address, 255.255.0.0 ở Subnet mask và 10.1.0.1 ở mục Default gateway.
3. b. Trên giao diện To Hanoi intranet, gõ 172.16.4.1 ở ô IP address, 255.255.255.0 ở Subnet mask và ô Default gateway bỏ trống.
- Windows Firewall và Routing and Remote Access không thể chạy đồng thời trên một máy chủ VPN nên nếu Windows Firewall được bật lên, bạn phải tắt đi. Nếu dịch vụ Windows Firewall/Internet Connection Sharing (ICS) đã thiết lập tự động trước khi định cấu hình Routing and Remote Access, bạn cũng phải tắt đi.
1. Nhấn vào Administrative Tools > Services.
2. Trong bảng hiển thị chi tiết của Services, nhấn chuột phải vào Windows Firewall/Internet Connection Sharing (ICS), chọn Properties.
3. Nếu Startup Type là Automatic hay Manual, chọn lại là Disabled.
4. Nhấn OK hai lần để lưu thay đổi.
ROUTER2
- Các thuộc tính TCP/IP
1. Mở Network Connections trong Control Pannel, nhấn chuột phải vào đó rồi chọn Properties.
2. Trên thẻ General, chọn Internet Protocol (TCP/IP), nhấn vào Properties.
3. a. Trên giao diện To the Internet, gõ 10.2.0.2 ở mục IP address, 255.255.0.0 ở Subnet mask và 10.2.0.1 ở mục Default gateway.
3. b. Trên giao diện To Hanoi intranet, gõ 172.16.56.1 ở ô IP address, 255.255.255.0 ở Subnet mask và ô Default gateway bỏ trống.
- Tắt Windows Firewall như với ROUTER1.

Định cấu hình cho router Internet
1. Mở Network Connections trong Control Pannel, nhấn chuột phải vào đó rồi chọn Properties.
2. Trên thẻ General, chọn Internet Protocol (TCP/IP), nhấn vào Properties.
3.a. Trên giao diện To Router1, gõ 10.1.0.1 ở mục IP address, 255.255.0.0 ở mục Subnet mask.
3.b. Trên giao diện To Router2, gõ 10.2.0.1 ở mục IP address, 255.255.0.0 ở mục Subnet mask.
4. Vào Administrative Tools, chọn Routing and Remote Access và mở trình Routing and Remote Access Microsoft Management Console (MMC).
5. Nhấn chuột phải vào INTERNET (local) trong cây chương trình rồi nhấn vào Configure and Enable Routing and Remote Access.
6. Nhấn Next trên trang Routing and Remote Access Server Setup Wizard.
7. Trên trang Configuration, chọn Custom configuration.
8. Nhấn Next. Trên trang Custom Configuration, chọn LAN routing.
9. Nhấn Next. Trên trang Completing the Routing and Remote Access Server Setup, nhấn Finish > Yes để khởi động dịch vụ.
Tắt Windows Firewall như với ROUTER1.

Kiểm tra
- Trên ROUTER1, ping địa chỉ IP 10.2.0.2. Việc này thành công.
- Trên CLIENT2, ping địa chỉ IP 172.16.4.3. Việc này không thành công vì CLIENT1 không liên lạc được với CLIENT2 bằng phân đoạn mạng Internet mô phỏng, cho tới khi kết nối VPN điểm-nối-điểm hoàn thành.
Thiết lập VPN điểm-nối-điểm theo giao thức PPTP
- Định cấu hình VPN cho router trả lời
1. Trên ROUTER1, nhấn vào Administrative Tools, chọn Routing and Remote Access.
2. Nhấn chuột phải vào ROUTER1 (local) trong cây chương trình, chọn Configure and Enable Routing and Remote Access.
3. Nhấn Next trên trang Routing and Remote Access Server Setup Wizard.
4. Trên trang Configuration, chọn Remote access (dial-up or VPN).
5. Nhấn Next. Trên trang Remote Access, chọn VPN.
6. Nhấn Next. Trên trang VPN Connection, chọn To the Internet, đánh dấu vào ô Enable security on the selected interface by setting up static packet filters.
7. Nhấn Next. Trên trang IP Address Assignment, chọn From a specified range of addresses.
8. Nhấn Next. Trên trang Address Range Assignment, nhấn New.
9. Trong hộp thoại New Address Range, làm các việc sau:
a. Gõ 172.16.100.1 ở ô Start IP address
b. Gõ 172.16.100.2 ở ô End IP address
c. Chấp nhận giá trị 2 ở hộp Number of Addresses
10. Nhấn OK. Trên trang Address Range Assignment, nhấn Next.
11. Trên trang Managing Multiple Remote Access Servers, chọn No, use Routing and Remote Access to authenticate connection requests.
12. Nhấn Next. Trên trang Completing the Routing and Remote Access Server Setup, nhấn Finish.
13. Nhấn OK để đóng hộp thoại yêu cầu định cấu hình DHCP Relay Agent. Trường hợp này DHCP Relay Agent sẽ không được định cấu hình.
- Định cấu hình giao diện quay số yêu cầu trên router trả lời
1. Trên trình Routing and Remote Access, chọn ROUTER1, nhấn chuột phải vào Network Interfaces.
2. Chọn New Demand-dial Interface để mở Demand-Dial Interface Wizard, nhấn Next.
3. Trên trang Interface Name, gõ VPN_TPHCM. Chú ý: tên trên giao diện phải đúng như tên tài khoản người sử dụng trên router gọi.
4. Nhấn Next. Trên trang Connection Type, chọn Connect using virtual private networking (VPN).
5. Nhấn Next. Trên trang VPN Type, chọn Point-to-Point Tunneling Protocol (PPTP).
6. Nhấn Next. Trên trang Destination Address, gõ 10.2.0.2 ở ô Host name or IP address.
7. Nhấn Next. Trên trang Protocols and Security, làm những việc sau:
a. Chọn Route IP packets on this interface.
b. Chọn Add a user account so a remote router can dial in.
8. Nhấn Next. Trên trang Static Routes for Remote Networks, nhấn Add.
9. Trong hộp thoại Static Route, làm những công việc sau:
a. Gõ 172.16.56.0 ở ô Destination.
b. Gõ 255.255.255.0 ở ô Network Mask.
c. Chấp nhận giá trị 1 trong ô Metric.
10. Nhấn OK. Trên trang Address Range Assignment , nhấn Next.
11. Trên trang Dial In Credentials, gõ mật khẩu cho tài khoản VPN_TPHCM.
12. Nhấn Next. Trên trang Dial Out Credentials, làm những việc sau:
a. Gõ VPN_Hanoi trong ô User name.
b. Gõ ROUTER2 trong ô Domain.
c. Gõ mật khẩu VPN_Hanoi trong ô Password.
d. Gõ lại mật khẩu này trong ô Confirm password.
13. Nhấn Next. Trên trang Demand-Dial Interface Wizard, nhấn Finish.
14. Nhấn OK để đóng hộp thoại yêu cầu định cấu hình DHCP Relay Agent. Trường hợp này DHCP Relay Agent sẽ không được định cấu hình.
- Định cấu hình VPN trên router gọi
1. Trên ROUTER2, chọn Administrative Tools, nhấn vào Routing and Remote Access.
2. Nhấn chuột phải vào ROUTER2 (local) trong cây chương trình rồi nhấn vào Configure and Enable Routing and Remote Access.
3. Nhấn Next trên trang Remote Access Server Setup Wizard.
4. Trên trang Configuration, chọn Remote access (dial-up or VPN), nhấn Next.
5. Trên trang Remote Access, chọn VPN > Next.
6. Trên trang VPN Connection, chọn To the Internet, đánh dấu vào ô Enable security on the selected interface by setting up static packet filters > nhấn Next.
7. Trên trang IP Address Assignment, chọn From a specified range of addresses, nhấn Next, trên trang Address Range Assignment, chọn New.
8. Trong hộp thoại New Address Range, làm những việc sau:
a. Gõ 172.56.200.1 trong ô Start IP address.
b. Gõ 172.56.200.2 trong ô End IP address.
c. Chấp nhận giá trị 2 ở hộp Number of Addresses > nhấn OK.
9. Trên trang Address Range Assignment, nhấn Next.
10. Trên trang Managing Multiple Remote Access Servers, chọn No, use Routing and Remote Access to authenticate connection requests > Next.
11. Trên trang Completing the Routing and Remote Access Server Setup, nhấn Finish.
12. Nhấn OK để đóng hộp thoại yêu cầu định cấu hình DHCP Relay Agent. Trường hợp này DHCP Relay Agent sẽ không được định cấu hình.
- Định cấu hình trên giao diện quay số yêu cầu trên router gọi
1. Trên trình Routing and Remote Access, chọn ROUTER2, nhấn chuột phải vào Network Interfaces.
2. Chọn New Demand-dial Interface để mở Demand-Dial Interface Wizard, nhấn Next.
3. Trên trang Interface Name, gõ VPN_TPHCM. Chú ý: tên trên giao diện phải đúng như tên tài khoản người sử dụng trên router gọi.
4. Nhấn Next. Trên trang Connection Type, chọn Connect using virtual private networking (VPN).
5. Nhấn Next. Trên trang VPN Type, chọn Point-to-Point Tunneling Protocol (PPTP).
6. Nhấn Next. Trên trang Destination Address, gõ 10.1.0.2 ở ô Host name or IP address.
7. Nhấn Next. Trên trang Protocols and Security, làm những việc sau:
a. Chọn Route IP packets on this interface.
b. Chọn Add a user account so a remote router can dial in.
8. Nhấn Next. Trên trang Static Routes for Remote Networks, nhấn Add.
9. Trong hộp thoại Static Route, làm những công việc sau:
a. Gõ 172.16.4.0 ở ô Destination.
b. Gõ 255.255.255.0 ở ô Network Mask.
c. Chấp nhận giá trị 1 trong ô Metric.
10. Trên trang Static Routes for Remote Networks, nhấn Next.
11. Trên trang Dial In Credentials, gõ mật khẩu cho tài khoản VPN_Hanoi và gõ mật khẩu VPN_Hanoi trong ô Password.
12. Trên trang Dial Out Credentials, làm những việc sau:
a. Gõ VPN_TPHCM trong User name
b. Gõ ROUTER1 trong ô Domain.
c. Gõ mật khẩu tài khoản người dùng VPN_TPHCM đã tạo ra trên ROUTER1.
d. Xác nhận lại mật khẩu trong Confirm password.
13. Trên trang cuối cùng của Demand-Dial Interface Wizard, nhấn Finish.
- Xác nhận chính sách truy cập từ xa trên các router gọi và trả lời
1. Trên ROUTER2, trong mục Routing and Remote Access, nhấn vào Remote Access Policies.
2. Trong bảng hiển thị chi tiết, nhấn chuột phải vào Connections to Microsoft Routing and Remote Access server, chọn Properties.
3. Trên thẻ Settings, chọn Grant remote access permission rồi nhấn OK để lưu các thay đổi.
4. Lặp lại 3 bước trên với ROUTER1.
- Tạo kết nối VPN
1. Trên ROUTER2, trong cây chương trình của Routing and Remote Access, chọn Network Interfaces.
2. Trong ô hiển thị chi tiết, nhấn chuột phải vào VPN_Hanoi > Connect.
3. Kiểm tra tình trạng kết nối của VPN_Hanoi.
- Kiểm tra kết nối
1. Trên CLIENT2, tại dấu nhắc lệnh, gõ ping 172.16.4.3. Đây là địa chỉ IP của CLIENT1. Việc "ping" địa chỉ IP này sẽ kiểm tra được máy có truy cập được vào mạng con ở Hà Nội hay không.
2. Để kiểm tra các gói tin được truyền qua kết nối VPN, tại dấu nhắc lệnh, gõ tracert 172.16.4.3. Chú ý rằng cần phải dùng địa chỉ IP của CLIENT1 chứ không phải tên máy tính vì máy chủ DNS không được định cấu hình trong mô hình thực nghiệm này. Còn trên thực tế, khi có một máy chủ quản lý tên miền, người dùng có thể nhập tên của máy tính, ví dụ như xyzhanoi_quangminh, để truy cập.
Kết quả tương tự như sau đây sẽ cho biết kết nối thành công:
Tracing route to 172.16.4.3 over a maximum of 30 hops:
1 <1 ms <1 ms <1 ms [172.16.56.1]
2 1 ms <1 ms <1 ms [172.56.200.2]
3 1 ms 1 ms 1 ms [172.16.4.3]
Trace complete.

Ý nghĩa của thông báo trên:

172.16.56.1 là địa chỉ IP của ROUTER2 kết nối tới Intranet của TP HCM. 172.56.200.2 là địa chỉ IP mà ROUTER2 gán cho ROUTER1; địa chỉ IP này xuất hiện nghĩa là các gói tin đang được truyền qua kết nối VPN điểm-nối-điểm. 172.16.4.3 là địa chỉ IP của CLIENT1.

Mạng riêng ảo (VPN) - Phần 5

Như đề cập ở phần trước, bảo mật của VPN còn được hỗ trợ bằng công nghệ thẻ thông minh và sinh trắc học. Micrsoft đã tích hợp một giao thức khác gọi là EAP-TLS trong Windows, chuyên trách công việc này cho VPN truy cập từ xa.

EAP-TLS là chữ viết tắt của Extensible Authentication Protocol - Transport Layer Security (giao thức thẩm định quyền truy cập có thể mở rộng - bảo mật lớp truyền dẫn). Kết nối dựa trên giao thức này đòi hỏi có một chứng nhận người sử dụng (user certificate) trên cả máy khách và máy chủ IAS của mạng VPN. Đây là cơ chế có mức độ an toàn nhất ở cấp độ người sử dụng.
Mặc dù công nghệ thẻ thông minh hay sinh trắc học vẫn còn là khái niệm mới mẻ ở Việt Nam, chúng tôi xin giới thiệu cách cài đặt để độc giả có thể hình dung những gì Windows hỗ trợ.

Mô hình thực nghiệm VPN truy cập từ xa. Ảnh: Microsoft
Mô hình thực nghiệm vẫn là 5 máy tính với các chức năng khác nhau (xem lại phần 3, 4 hoặc 5 để biết thêm chi tiết). Khi bắt tay vào cài đặt, bạn bật tất cả các máy (5 máy tính này đã kết nối trước với nhau như hình vẽ).

Máy DC1
Bạn sẽ định cấu hình để DC1 làm nhiệm vụ tiếp nhận tự động các chứng nhận về người sử dụng.
1. Nhấn menu Start > Run > gõ mmc ở dấu nhắc > OK.
2. Trên menu File, nhấn Add/Remove Snap-in > Add.
3. Dưới mục Snap-in, kích đúp vào Certificate Templates > Close > OK.
4. Trong cây chương trình, nhấn Certificate Templates. Tất cả mô hình chứng nhận sẽ được trình bày trong ô hiển thị chi tiết.
5. Trong ô hiển thị chi tiết, nhấn vào mẫu User.
6. Trên menu Action, nhấn vào Duplicate Template.
7. Trong hộp Template display name, gõ VPNUser.
8. Đánh dấu chọn trong ô Publish Certificate in Active Directory.
9. Nhấn vào thẻ Security.
10. Trong danh sách Group or user names, nhấn vào Domain Users.
11. Trong danh sách Permissions for Domain Users, đánh dấu chọn ở các ô Read, Enroll và Autoenroll để cho phép các chức năng này.
12. Nhấn vào thẻ Subject Name.
13. Bỏ dấu chọn trong các ô Include E-mail name in subject name và E-mail name. Do bạn đã không định cấu hình một tên e-mail nào cho tài khoản VPNUser nên bạn phải bỏ dấu này để "phát hành" được chứng nhận người sử dụng.
14. Nhấn OK.
15. Mở trình quản lý Certification Authority từ thư mục Administrative Tools.
16. Trong cây chương trình, mở Certification Authority > mở Example CA > Certificate Templates.
17. Trên menu Action, trỏ vào New rồi nhấn Certificate Template to Issue.
18. Nhấn VPNUser.
19. Nhấn OK.
20. Mở trình quản lý Active Directory Users and Computers.
21. Trong cây chương trình, nhấn đúp vào Active Directory Users and Computers, nhấn chuột phải vào example.com > chọn Properties.
22. Trên thẻ Group Policy, chọn Default Domain Policy > Edit.
23. Trong cây chương trình, mở User Configuration > Windows Settings > Security Settings > Public Key Policies.
24. Trong ô hiển thị chi tiết, nhấn đúp vào Autoenrollment Settings.
25. Nhấn Enroll certificates automatically. Đánh dấu chọn trong ô Renew expired certificates, update pending certificates, and remove revoked certificates và ô Certificates that use certificate templates.
26. Nhấn OK.
 Một sản phẩm thẻ thông minh dùng "trạm xử lý" GlobalAdmin của hãng Realtime dùng cho VPN truy cập từ xa. Ảnh: Realtime

Máy chủ IAS1
Bạn sẽ định cấu hình cho IAS1 với một chứng nhận máy tính cho thẩm định quyền truy cập EAP-TLS.
1. Khởi động lại IAS1 để đảm bảo máy này đã tự động nạp một chứng nhận máy tính.
2. Mở trình quản lý Internet Authentication Service.
3. Trong cây chương trình, nhấn Remote Access Policies.
4. Trong ô hiển thị chi tiết, nhấn đúp vào VPN remote access to Intranet. Hộp thoại VPN remote access to intranet Properties xuất hiện.
5. Nhấn vào Edit Profile, chọn thẻ Authentication.
6. Trên thẻ Authentication, chọn EAP Methods. Hộp thoại Select EAP Providers hiện ra.
7. Nhấn Add. Hộp thoại Add EAP xuất hiện.
8. Nhấn vào Smart Card or other certificate > OK.
9. Nhấn Edit. Hộp thoại Smart Card or other Certificate Properties xuất hiện.
10. Các thuộc tính của chứng nhận máy tính cho IAS1 được hiển thị. Bước này xác định rằng IAS1 có một chứng nhận máy tính được cài đặt để thực hiện quyền thẩm định truy cập theo giao thức EAP-TLS. Nhấn OK.
11. Nhấn OK để lưu lại các thay đổi đối với nhà cung cấp EAP. Nhấn OK để lưu các thay đổi về cài đặt cấu hình.
12. Khi được hỏi xem các mục trợ giúp, nhấn No. Nhấn OK để lưu các thay đổi để lưu các thay đổi đối với quy định truy cập từ xa.
Các thay đổi cấu hình này sẽ cho phép truy cập từ xa trong VPN hay truy cập từ xa trong Intranet thẩm định các kết nối VPN dùng phương pháp xác định quyền truy cập theo giao thức EAP-TLS.

Máy CLIENT1
Bạn cũng nạp một chứng nhận trên máy này rồi định cấu hình cho kết nối VPN truy cập từ xa dựa trên giao thức EAP-TLS.
1. Tắt máy CLIENT1.
2. Ngắt kết nối khỏi phân đoạn mạng Internet mô phỏng và kết nối vào phân đoạn mạng Intranet.
3. Khởi động lại máy CLIENT1 và đăng nhập bằng tài khoản VPNUser. Lúc này, máy tính và Group Policy được cập nhật tự động.
4. Tắt máy CLIENT1.
5. Ngắt CLIENT1 khỏi phana đoạn mạng Intranet và kết nối nó vào phân đoạn mạng Internet mô phỏng.
6. Khởi động lại CLIENT1 và đăng nhập vào bằng tài khoản VPNUser.
7. Trên CLIENT1, trong Control Panel, mở thư mục Network Connections.
8. Trong mục Network Tasks, chọn Create a new connection.
9. Trên trang Welcome to the New Connection Wizard page của New Connection Wizard, nhấn Next.
10, Trên trang Network Connection Type, chọn Connect to the network at my workplace.
11. Nhấn Next. Trên trang Network Connection, chọn kết nối Virtual Private Network.
12. Nhấn Next. Trên trang Connection Name, gõ EAPTLStoMangcongty trong ô Company Name.
13. Nhấn Next. Trên trang Public Network, nhấn Do not dial the initial connection.
14. Nhấn Next. Trên trang VPN Server Selection, gõ 10.0.0.2 trong ô địa chỉ Host name or IP address.
15. Nhấn Next. Trên trang Connection Availability , nhấn Next.
16. Trên trang Completing the New Connection Wizard , nhấn Finish. Hộp thoại Connect EAPTLStoMangcongty xuất hiện.
17. Nhấn vào Properties > thẻ Security.
18. Trên thẻ Security, nhấn Advanced > Settings. Hộp thoại Advanced Security Settings xuất hiện.
19. Trong hộp thoại Advanced Security Settings, nhấn vào Use Extensible Authentication Protocol (EAP).
20. Nhấn vào Properties. Trong hộp thoại Smart Card or other Certificate Properties, nhấn Use a certificate on this computer.
21. Nhấn OK để lưu các thay đổi trong hộp thoại. Nhấn OK để lưu các thay đổi trong Advanced Security Settings. Nhấn OK để lưu các thay đổi trong thẻ Security. Kết nối ngay lập tức được khởi tạo và dùng đến chứng nhận người sử dụng vừa cài đặt. Lần đầu tiên bạn thử kết nối, máy có thể mất vài lần mới hoạt động thành công.
22. Khi kết nối thành công, bạn hãy chạy trình duyệt web.
23. Trong ô Address, gõ http://IIS1.example.com/iisstart.htm. Bạn sẽ nhìn thấy thông báo trang web đang trong quá trình xây dựng. Trên thực tế, đây phải là một tên miền thật.
24. Nhấn Start > Run, gõ IIS1ROOT > OK. Bạn sẽ thấy nội dung của ổ nội bộ (ổ C) trên IIS1.
25. Nhấn chuột phải vào kết nối EAPTLStoMangcongty rồi nhấn Disconnect.
Các máy còn lại được cài đặt như trong phần 4.
Các lưu ý khi sử dụng quyền chứng nhận CA (Certificate Authority) của các bên phát triển thứ 3 cho cơ chế thẩm định quyền truy cập theo giao thức EAP-TLS:

Chứng nhận trên máy chủ thẩm định phải:
- Được cài đặt trong kho chứng nhận của máy tính nội bộ.
- Có một key riêng tương ứng.
- Có nhà cung cấp dịch vụ mật mã để hỗ trợ. Nếu không, chứng nhận không thể được dùng và không thể chọn được từ trình Smart Card or Other Certificate trên thẻ Authentication.
- Có mục đích chứng nhận thẩm định quyền truy cập máy chủ, còn được gọi là EKU (Enhanced Key Usage).
- Phải chứa tên miền được thẩm định đầy đủ, gọi là FQDN, của tài khoản máy tính trong Subject Alternative Name của chứng nhận.
Hơn nữa, các chứng nhận CA gốc của các CA phải được cài đặt trong kho chứng nhận Trusted Root Certification Authorities của các máy chủ thẩm định.
Chứng nhận trên các máy khách VPN phải:
- Có một key riêng tương ứng.
- Phải chứa EKU thẩm định quyền truy cập cho máy khách.
- Phải được cài đặt trong kho chứng nhận của Current User.
- Chứa tên UPN (universal principal name) của tài khoản người sử dụng trong Subject Alternative Name của chứng nhận.

Ngoài ra, các chứng nhận CA gốc của các CA (đã phát hành các chứng nhận máy tính trên máy chủ IAS) phải được cài đặt trong kho Trusted Root Certification Authorities của máy khách VPN.