CẤU HÌNH BẰNG GIAO DIỆN WEBISTE

11- CẤU HÌNH BẰNG GIAO DIỆN WEBISTE

Cisco FTD (Firepower Management Center - FMC Configuration):

I. ỨNG DỤNG CỦA FMC (Firewall Management Center)

Giao diện web FMC (Firewall Management Center) của Cisco là trung tâm đầu não được sử dụng để quản lý tập trung các thiết bị tường lửa thế hệ mới Cisco Firepower Threat Defense (FTD).

Thay vì phải gõ từng dòng lệnh CLI phức tạp, FMC cung cấp một giao diện đồ họa trực quan (Web GUI) giúp các kỹ sư mạng cấu hình, triển khai và giám sát hệ thống bảo mật một cách toàn diện.

Dưới đây là các ứng dụng và tính năng cốt lõi khi cấu hình Firewall Cisco thông qua giao diện FMC:

1. Quản lý Chính sách Bảo mật Tập trung (Access Control Policies)

Đây là ứng dụng quan trọng nhất của FMC, cho phép bạn tạo ra các quy tắc (Rules) để kiểm soát lưu lượng mạng dựa trên rất nhiều tiêu chí:

Layer 3 & Layer 4: Quản lý dựa trên địa chỉ IP (Source/Destination), Port và Giao thức (TCP/UDP).

Kiểm soát Ứng dụng (AVC - Application Visibility and Control): Nhận diện và chặn/cho phép hơn 4.000 ứng dụng cụ thể (ví dụ: cho phép dùng Facebook Chat nhưng chặn Facebook Video).

Lọc URL (URL Filtering): Chặn các trang web theo danh mục (Đồi trụy, Cờ bạc, Game...) hoặc theo mức độ uy tín (Reputation Score) được cập nhật liên tục từ Cisco Talos.

2. Ngăn chặn Xâm nhập (IPS/IDS) và Chống Mã độc (AMP)

FMC tích hợp sâu các công nghệ bảo mật cao cấp của Cisco để bảo vệ hệ thống trước các cuộc tấn công tinh vi:

Cấu hình Snort IPS Policy: Kích hoạt các bộ luật (Signatures) để phát hiện và tự động chặn các hành vi khai thác lỗ hổng, quét cổng (port scanning), hoặc tấn công từ chối dịch vụ (DoS).

Cisco Malware Defense (AMP): Cấu hình kiểm tra file truyền qua mạng. FMC sẽ gửi mã hash của file lên đám mây Cisco Talos để phân tích, giúp phát hiện và cách ly mã độc (Malware, Ransomware) ngay lập tức.

3. Quản lý VPN (Virtual Private Network) Đơn giản

Việc thiết kế và thiết lập VPN trên giao diện FMC trực quan hơn rất nhiều so với dòng lệnh:

Site-to-Site VPN: Kết nối các chi nhánh văn phòng lại với nhau (hỗ trợ các chuẩn mã hóa mạnh như AES-GCM, IKEv2).

Remote Access VPN (AnyConnect): Cấu hình cho phép nhân viên làm việc từ xa kết nối an toàn về hệ thống mạng công ty, tích hợp các phương thức xác thực mạnh như RADIUS, LDAP, hoặc MFA (Duo Security).

4. Giám sát Visbility và Phân tích Sự cố (Dashboards & Events)

FMC đóng vai trò như một "màn hình radar" cho toàn bộ hệ thống mạng:

Trực quan hóa dữ liệu: Cung cấp các biểu đồ về lưu lượng mạng, các ứng dụng đang tiêu tốn băng thông nhất, và các quốc gia có lượng traffic đáng ngờ.

Phân tích sâu (Connection & Intrusion Events): Khi có sự cố bảo mật, FMC hiển thị chi tiết dòng dữ liệu (Ai tấn công? Tấn công vào đâu? Dùng lỗ hổng nào?) giúp quản trị viên phản ứng nhanh chóng (Incident Response).

5. Tự động hóa và Đồng bộ cấu hình (Deployment)

Triển khai hàng loạt: Bạn có thể tạo một chính sách chung (Policy Template) trên FMC và áp dụng nó xuống hàng chục thiết bị tường lửa FTD đặt tại các chi nhánh khác nhau chỉ bằng vài cú click chuột (Deploy).

Quản lý đối tượng (Objects): Tạo sẵn các đối tượng như IP, Network, VLAN, URL... để tái sử dụng trong nhiều luật khác nhau, giúp cấu hình luôn gọn gàng và dễ quản lý.

II. CÁC THỨC CÀI ĐẶT TRÊN FMC (Firewall Management Center)

Bước 1: Tạo Connection Profile:

Navigate to Objects > Object Management > VPN > Connection Profiles.

Click Add Connection Profile.

Name: Đặt tên cho connection profile.

Connection Type: Chọn Remote Access VPN.

Authentication: Chọn phương thức xác thực (AAA Server Group hoặc Local).

AAA Server Group: Chọn server group đã cấu hình (nếu dùng RADIUS/TACACS+).

Local Authentication: Chọn realm local (nếu dùng local database).

Client Address Pools: Thêm dải IP pool bạn muốn cấp phát cho client (Objects > Object Management > Address Pools).

Group Policy: Chọn hoặc tạo Group Policy.

SSL Settings: Chọn trustpoint (certificate).

Các tùy chọn khác như Idle Timeout, Session Timeout.

Bước 2: Tạo Group Policy:

Navigate to Objects > Object Management > VPN > Group Policies.

Click Add Group Policy.

Name: Đặt tên cho group policy.

VPN Protocol: Chọn SSL VPN Client.

Client Address Pools: Thêm IP pool.

DNS Servers: Cấu hình DNS servers.

WINS Servers: Cấu hình WINS servers (nếu cần).

Split Tunneling:

Policy: Chọn Tunnel Specified.

Network List: Thêm Network Object Group chứa các mạng nội bộ bạn muốn client truy cập (Objects > Object Management > Network Objects > Network Groups).

VPN Filter: Chọn Access Control Policy để kiểm soát truy cập (sẽ được cấu hình sau).

Các tùy chọn khác như Idle Timeout, Session Timeout.

Bước 3: Cấu hình AAA Server Group (nếu dùng RADIUS/TACACS+):

Navigate to Objects > Object Management > AAA > AAA Server Groups.

Click Add AAA Server Group.

Chọn RADIUS hoặc TACACS+.

Thêm các server và cấu hình thông tin kết nối (IP, secret key).

Bước 4: Cấu hình Local Users (nếu dùng Local Authentication):

Navigate to Objects > Object Management > AAA > Users.

Click Add User.

Nhập username và password.

Liên kết với Group Policy.

Bước 5: Cấu hình Trustpoint (Certificate):

Navigate to Objects > Object Management > PKI > Trustpoint.

Add Trustpoint.

Chọn phương thức đăng ký (Self-Signed, Manual, SCEP).

Nhập thông tin certificate.

Bước 6: Cấu hình Access Control Policy:

Navigate to Policies > Access Control > Access Control Policy.

Chỉnh sửa policy áp dụng cho interface bên trong.

Thêm rule cho phép lưu lượng từ mạng IP pool của VPN client đến các mạng nội bộ.

Source Zones: Thường là interface VPN tunnel group (ví dụ outside_anyconnect_ipv4).

Destination Zones: Các zone chứa mạng nội bộ.

Source Networks: Network Object Group chứa dải IP pool VPN.

Destination Networks: Network Object Group chứa mạng nội bộ.

Applications: Các ứng dụng/port được phép.

Action: Allow.

Bước 7: (Tùy chọn) Cấu hình NAT Exemption:

Navigate to Policies > NAT > NAT Policy.

Thêm rule để exempt lưu lượng từ mạng IP pool VPN đến mạng nội bộ khỏi quá trình NAT.

Source Interface: Interface VPN tunnel group.

Destination Interface: Interface bên trong.

Source Network: Network Object Group chứa dải IP pool VPN.

Destination Network: Network Object Group chứa mạng nội bộ.

NAT Type: No NAT.

Bước 8: Deploy Configuration:

Sau khi hoàn tất cấu hình, deploy các thay đổi lên FTD device (Deploy > Deployment).

Lưu ý quan trọng cho cả ASA và FTD:

Certificate: Việc sử dụng certificate tin cậy từ CA là rất quan trọng cho bảo mật.

Cisco AnyConnect Client: Người dùng cần cài đặt Cisco AnyConnect VPN Client trên thiết bị của họ.

Firewall Rules: Đảm bảo các rule tường lửa cho phép lưu lượng HTTPS (port 443) đến interface public của firewall.

NAT Exemption: Cấu hình NAT exemption để lưu lượng VPN có thể truy cập tài nguyên nội bộ bằng địa chỉ IP thực tế của chúng.

Split Tunneling: Cấu hình split tunneling cẩn thận để chỉ định lưu lượng nào đi qua VPN.

AAA: Lựa chọn phương thức xác thực phù hợp với môi trường của bạn (local hoặc AAA server).

Đây là các bước và câu lệnh/khái niệm chi tiết để cấu hình VPN Remote Access SSL VPN (Client-based) trên Firewall Cisco (ASA và FTD). Hãy nhớ thay thế các giá trị giữ chỗ (<...>) bằng thông tin thực tế của mạng và yêu cầu bảo mật của bạn.