CẤU HÌNH VPN IPSEC CLIENT-TO-SITE (REMOTE ACCESS) TRÊN ROUTER CISCO

2-CÁC BƯỚC CẤU HÌNH VPN IPSEC CLIENT-TO-SITE (REMOTE ACCESS) TRÊN ROUTER CISCO

CÁC BƯỚC CẤU HÌNH VNP REMOTE ACCESS TRÊN ROUTER CISCO

I. ỨNG DỤNG CỦAVPN IPSEC CLIENT-TO-SITE

VPN IPsec Client-to-Site (hay còn gọi là Remote Access VPN) là giải pháp cho phép các thiết bị cá nhân của người dùng (Laptop, điện thoại, máy tính bảng) kết nối mã hóa an toàn từ xa qua môi trường Internet vào mạng nội bộ của một tổ chức/doanh nghiệp.

Dưới đây là các ứng dụng thực tế quan trọng nhất của mô hình này trong môi trường doanh nghiệp:

1. Hỗ trợ Mô hình Làm việc Từ xa (Remote Work / Hybrid Work)

Đây là ứng dụng phổ biến và thiết yếu nhất hiện nay.

Kết nối an toàn từ mọi nơi: Nhân viên có thể ngồi tại nhà, quán cà phê, sân bay hoặc khi đi công tác nước ngoài mà vẫn truy cập được vào tài nguyên nội bộ của công ty.

Bảo vệ dữ liệu trên mạng công cộng: Khi nhân viên dùng Wifi công cộng (vốn rất dễ bị nghe lén), kênh truyền IPsec sẽ mã hóa toàn bộ dữ liệu từ thiết bị đến Firewall của công ty, ngăn chặn hoàn toàn nguy cơ bị đánh cắp thông tin (tấn công Man-in-the-Middle).

2. Truy cập Tài nguyên Nội bộ Bảo mật (Internal Resources Access)

Khi triển khai Client-to-Site VPN, các tài nguyên vốn chỉ cho phép truy cập nội bộ (Local) sẽ được mở rộng cho người dùng từ xa một cách an toàn:

Hệ thống quản trị doanh nghiệp: Truy cập các phần mềm kế toán, ERP (SAP, Oracle), CRM, hoặc hệ thống quản lý nhân sự (HRM) đặt tại cơ quan.

Máy chủ tệp tin (File Server/NAS): Tải lên, tải xuống tài liệu làm việc chung của công ty mà không cần phơi bày các máy chủ này ra ngoài Internet.

Môi trường Phát triển (Development Environments): Giúp các kỹ sư hệ thống, lập trình viên truy cập vào các vùng Dev/Staging hoặc cơ sở dữ liệu (Database) để làm việc từ xa.

3. Quản trị và Bảo trì Hệ thống Từ xa (Remote Administration)

Đối với đội ngũ IT và các kỹ sư hệ thống, Client-to-Site VPN là "chìa khóa" để xử lý sự cố mọi lúc mọi nơi:

Quản lý thiết bị mạng: Đăng nhập an toàn vào giao diện Web hoặc CLI của Switch, Router, Firewall, Tổng đài IP nội bộ.

Điều khiển máy chủ từ xa: Sử dụng RDP (Remote Desktop) hoặc SSH để cấu hình, backup, vá lỗi hệ thống máy chủ Windows/Linux khi không có mặt tại văn phòng.

4. Kiểm soát Quyền truy cập và Xác thực Tập trung

Giao diện VPN Client-to-Site trên Firewall (ví dụ như Cisco ASA/FTD, Fortinet, Palo Alto) cho phép tích hợp sâu với hạ tầng bảo mật sẵn có:

Phân quyền dựa trên User (Role-Based Access): Nhân viên kế toán khi VPN vào chỉ thấy Server kế toán, trong khi IT khi VPN vào sẽ thấy toàn bộ hạ tầng mạng.

Xác thực đa yếu tố (MFA): Bắt buộc người dùng nhập thêm mã OTP (từ Google Authenticator, Microsoft Authenticator, Cisco Duo) bên cạnh mật khẩu thông thường để tăng cường độ bảo mật, tránh việc lộ mật khẩu làm ảnh hưởng hệ thống.

5. Tiết kiệm Chi phí so với Đường truyền Thuê riêng (Leased Line)

Thay vì phải đầu tư đường truyền thuê riêng đắt đỏ cho từng nhân viên hoặc các văn phòng siêu nhỏ (kiosk, điểm bán hàng di động):

Doanh nghiệp chỉ cần tận dụng đường truyền Internet sẵn có của người dùng.

Cài đặt phần mềm VPN Client (như Cisco Secure Client/AnyConnect, FortiClient...) lên máy tính là đã có một kênh truyền bảo mật tương đương với đường truyền riêng.

II. CÁC BƯỚC CẤU HÌNHVPN IPSEC CLIENT-TO-SITE

Các bước để cấu hình VPN remote access trên Router, Firewall Cisco, bạn sẽ cần thực hiện như sau. Dưới đây là quy trình chung và một ví dụ cấu hình sử dụng IPsec (Internet Protocol Security), một giao thức VPN phổ biến & an toàn:

Các bước cấu hình VPN Remote Access (IPsec) trên Router Cisco:

1. Xác định yêu cầu và thiết kế VPN:

Loại VPN: Bạn muốn sử dụng loại VPN nào? (Ví dụ: Client-to-Site IPsec VPN).

Địa chỉ IP: Dải địa chỉ IP bạn sẽ cấp phát cho các VPN client.

Phương thức xác thực: Bạn sẽ sử dụng phương thức xác thực nào cho người dùng VPN (Ví dụ: Pre-shared key, AAA server).

Giao thức mã hóa và băm: Lựa chọn các thuật toán mã hóa (ví dụ: AES) và băm (ví dụ: SHA-256) mạnh mẽ.

Chính sách bảo mật (ACL): Xác định lưu lượng nào được phép đi qua VPN tunnel.

2. Cấu hình Internet Key Exchange (IKE) Phase 1:

IKE Phase 1 thiết lập một kênh liên lạc an toàn (ISAKMP SA - Internet Security Association and Key Management Protocol Security Association) giữa VPN client và router.

Bạn cần cấu hình một IKE policy bao gồm:

Encryption algorithm: Thuật toán mã hóa (ví dụ: aes 256).

Hashing algorithm: Thuật toán băm (ví dụ: sha256).

Authentication method: Phương thức xác thực (ví dụ: pre-shared-key).

Diffie-Hellman group: Nhóm Diffie-Hellman (ví dụ: group 14) để trao đổi khóa an toàn.

Lifetime: Thời gian tồn tại của ISAKMP SA (ví dụ: lifetime 86400).

Gán pre-shared key (nếu sử dụng phương thức này) cho policy. (pre-shared key= Cisco123)

Bật ISAKMP trên interface public của router.

3. Cấu hình IPsec Phase 2:

IPsec Phase 2 thiết lập SA IPsec thực tế để bảo vệ lưu lượng dữ liệu.

Bạn cần cấu hình một IPsec transform-set bao gồm:

Encapsulating Security Payload (ESP) hoặc Authentication Header (AH): Giao thức bảo mật (thường sử dụng ESP).

Encryption algorithm: Thuật toán mã hóa cho dữ liệu (ví dụ: esp-aes 256).

Hashing algorithm: Thuật toán băm cho tính toàn vẹn dữ liệu (ví dụ: esp-sha256-hmac).

Tạo một Crypto map để liên kết các thành phần lại với nhau:

Chỉ định địa chỉ IP peer (thường là 0.0.0.0 cho VPN client quay số động).

Chỉ định transform-set đã tạo.

Chỉ định access-list để xác định lưu lượng nào sẽ được bảo vệ bởi VPN.

Liên kết Crypto map với interface public của router.

4. Cấu hình Access Control List (ACL):

Tạo một extended ACL để xác định lưu lượng nào từ mạng LAN của bạn được phép đi qua VPN tunnel đến VPN client.

Tạo một extended ACL khác (thường là "reverse route injection" hoặc "NAT exemption") để cho phép lưu lượng từ VPN client truy cập vào mạng LAN của bạn.

5. Cấu hình cấp phát địa chỉ IP cho VPN client:

Bạn có thể sử dụng local address pool trên router hoặc external DHCP server để cấp phát địa chỉ IP cho các VPN client.

Nếu sử dụng local pool, bạn cần định nghĩa một dải địa chỉ IP không trùng với dải IP mạng LAN của bạn.

6. Cấu hình xác thực người dùng (nếu sử dụng AAA server):

Định cấu hình router để sử dụng AAA server (ví dụ: RADIUS hoặc TACACS+) để xác thực người dùng VPN.

Định nghĩa các nhóm người dùng và quyền truy cập trên AAA server.

7. Áp dụng cấu hình lên interface:

Gán crypto map đã tạo cho interface public của router.

VÍ DỤ CẤU HÌNH MỘT DẢI MẠNG CLIENT REMOTE ACCESS VÀO LAN NỘI BỘ CỦA CÔNG TY

Giả định cấu hình (Pre-shared key, Local IP Pool):

Giả sử chúng ta đang có:

Interface public: GigabitEthernet0/0 với địa chỉ IP 198.51.100.1

Mạng LAN: 192.168.20.0/24

Dải IP cấp phát cho VPN client: 172.16.10.0/24

Pre-shared key: FdcCisco123456

CÂU LỆNH CẤU HÌNH

FdcRcisco(Config)# crypto isakmp policy 10

FdcRcisco(Config-crypto)# encr aes 256

FdcRcisco(Config-crypto)# hash sha256

FdcRcisco(Config-crypto)# authentication pre-share

FdcRcisco(Config-crypto)# group 14

FdcRcisco(Config-crypto)# lifetime 86400

FdcRcisco(Config)# crypto isakmp key Cisco123 address 0.0.0.0 0.0.0.0

FdcRcisco(Config)# crypto ipsec transform-set ESP-AES256-SHA256 esp-aes 256 esp-sha256-hmac

FdcRcisco(Config-crypto)# mode tunnel

FdcRcisco(Config)# ip local pool VPN-POOL 172.16.10.1 255.255.255.0

FdcRcisco(Config)# access-list 100 permit ip 192.168.20.0 0.0.0.255 172.16.10.0 0.0.0.255

FdcRcisco(Config)# crypto map VPN-MAP 10 ipsec-isakmp

FdcRcisco(Config-crypto)# set peer 0.0.0.0

FdcRcisco(Config-crypto)# set transform-set ESP-AES256-SHA256

FdcRcisco(Config-crypto)# set pfs group14

FdcRcisco(Config-crypto)# set isakmp-profile REMOTE-VPN

FdcRcisco(Config-crypto)# match address 100

FdcRcisco(Config)# isakmp profile REMOTE-VPN

FdcRcisco(Config-isakmp)# match identity address 0.0.0.0 0.0.0.0

FdcRcisco(Config-isakmp)# client authentication list default

FdcRcisco(Config-isakmp)# virtual-template 1

FdcRcisco(Config)# interface Virtual-Template1 type tunnel

FdcRcisco(Config-if)# ip unnumbered GigabitEthernet0/0

FdcRcisco(Config-if)# tunnel mode ipsec ipv4

FdcRcisco(Config-if)# tunnel source GigabitEthernet0/0

FdcRcisco(Config-if)#tunnel destination 0.0.0.0

FdcRcisco(Config-if)# ip address 172.16.10.1 255.255.255.0

FdcRcisco(Config)# interface GigabitEthernet0/0

FdcRcisco(Config-if)#ip address 198.51.100.1 255.255.255.0

FdcRcisco(Config-if)#crypto map VPN-MAP

FdcRcisco(Config)# ip route 172.16.10.0 255.255.255.0 Virtual-Template1 local

FdcRcisco(Config-if)#line vty 0 4

FdcRcisco(Config-if)#login local

FdcRcisco(Config-if)# username vpnclient password <mật khẩu client>

Giải thích cấu hình:

crypto isakmp policy: Định nghĩa policy IKE Phase 1.

crypto isakmp key: Cấu hình pre-shared key cho tất cả các peer (0.0.0.0 0.0.0.0).

crypto ipsec transform-set: Định nghĩa bộ transform IPsec Phase 2.

ip local pool: Tạo một local IP pool để cấp phát địa chỉ cho VPN client.

access-list 100: Xác định lưu lượng từ mạng LAN đến dải IP VPN được bảo vệ.

crypto map VPN-MAP: Liên kết các thành phần cấu hình VPN.

isakmp profile REMOTE-VPN: Định nghĩa profile ISAKMP cho VPN client.

virtual-template 1: Tạo một interface virtual tunnel để gán địa chỉ IP cho VPN client.

interface GigabitEthernet0/0: Áp dụng crypto map lên interface public.

ip route: Thêm một static route để router biết đường đi đến mạng VPN client thông qua virtual tunnel.

line vty: Cho phép truy cập từ xa vào router.

username: Tạo tài khoản local (nếu không sử dụng AAA).

Lưu ý quan trọng:

Đây chỉ là một ví dụ cấu hình cơ bản sử dụng pre-shared key và local IP pool. Tùy thuộc vào yêu cầu cụ thể của bạn, cấu hình có thể phức tạp hơn.

Bạn cần đảm bảo rằng các cổng UDP 500 và 4500 được mở trên firewall để cho phép lưu lượng IKE và NAT-T đi qua.

Trên VPN client (ví dụ: Cisco AnyConnect, Windows VPN client), bạn cần cấu hình kết nối VPN với địa chỉ IP public của router, pre-shared key (nếu sử dụng), và thông tin xác thực người dùng.

Hãy kiểm tra kỹ lưỡng cấu hình sau khi hoàn tất và đảm bảo rằng kết nối VPN hoạt động đúng như mong đợi.