tailieunhanh - Chương 5: MỘT SỐ CHỨC NĂNG KHÁC CỦA PIXFIREWALL

Giả sử để phân giải một tên đến một địa chỉ , một host có thể truy vấn (query ) cùng DNS server nhiều lần . Đặc điểm DNS guard của PIX firewall là nhận biết được một truy vấn outbound DNS và chỉ cho phép lần reply đầu tiên từ server được qua PIX firewall . Tất cả các | Chương 5: MỘT SỐ CHỨC NĂNG KHÁC CỦA PIXFIREWALL Bài Viết Về PIX FIREWALL Tác giả: Nguyễn Thị Băng Tâm Chương 5: MỘT SỐ CHỨC NĂNG KHÁC CỦA PIXFIREWALL 1. Attack Guard a. DNS guard Giả sử để phân giải một tên đến một địa chỉ , một host có thể truy vấn (query ) cùng DNS server nhiều lần . Đặc điểm DNS guard của PIX firewall là nhận biết được một truy vấn outbound DNS và chỉ cho phép lần reply đầu tiên từ server được qua PIX firewall . Tất cả các lần replies khác sẽ bị loại bỏ . Sau lần DNS reply đầu tiên đó , DNS guard sẽ đóng tất cả các phiên UDP được mở bởi DNS request mà không cần chờ đến khoảng thời gian timeout của UDP . Một host cũng có thể truy vấn nhiều DNS server khác nhau . Ví dụ , nếu DNS resolver gửi ba query cụ thể đến 3 server khác nhau, PIX firewall sẽ tạo ra 3 kết nối khác nhau. Kết nối đến mỗi server được thực hiện riêng biệt vì request được gửi một cách riêng biệt , mỗi request được đặc trưng bởi một ID . Reply cho request này bao gồm cùng một ID và IP address giống nó . Từ đó , ta kết luận DNS Guard có những đặc điểm sau : - Chỉ chấp nhận các replies nào đúng địa chỉ IP - Chỉ chấp nhận một reply . Trong trường hợp có nhiều replies , ngoại trừ reply đầu tiên , tất cả các replies sẽ bị loại bỏ . - Kết nối UDP tương ứng với kết nối DNS sẽ bị loại bỏ ngay khi nhận được DNS reply mà không đợi đến khi hết thời gian timeout . - Bảo vệ được các phiên làm việc UDP từ các hình thức tấn công như DoS hay hijacking. Để hiểu rõ hơn hoạt động của DNS Guard , ta xem xét ví dụ sau : Client (có địa chỉ ) và Web server ( , có địa chỉ ) nằm trong inside interface của PIX và các địa chỉ private . DNS server nằm ở outside interface . PIX được cấu hình để chuyển địa chỉ của client và server khi đi ra mạng ngoài thành địa chỉ thông qua PAT . Địa chỉ này được DNS server ghi lại là địa chỉ cho . Khi client yêu cầu địa chỉ