Giải pháp IP-VPN của Nortel

Giải pháp IP-VPN của Nortel VPN là giải pháp truy nhập từ xa (remote access) dựa trên nền tảng mạng Internet công cộng. Đây là một giải pháp kinh tế, có tính bảo mật cao, một giải pháp của tương lai. I. VPN là gì? Các kênh truyền riêng ảo sẽ được thiết lập giữa các đầu cuối thông qua mạng Internet công cộng, giúp cho các nhân viên có thể truy cập về mạng LAN trong công ty mình bất cứ lúc nào, bất cứ nơi đâu, chỉ cần có kết nối được tới Internet. II. Ưu điểm của VPN so với các giải pháp truy cập từ xa truyền thống Trước đây, để truy nhập từ xa ta thường dùng giải pháp quay số (dial-in), thuê các đường truyền riêng, thuê kênh riêng trong dịch vụ truyền dữ liệu gói. Tuy nhiên các giải pháp này có những hạn chế nhất định. Giải pháp thuê kênh riêng hoặc đường truyền riêng: –         Chi phí cho việc thuê đường truyền riêng hoặc kênh truyền riêng là rất đắt. –         Không thể đáp ứng việc kết nối từ mọi nơi, mọi lúc. –         Khi số điểm kết nối tăng (n) thì số kết nối cần thuê tăng lên rất nhiều n*(n-1)/2 . Giải pháp quay số từ xa: –         Giá thành khi thực hiện các cuộc quay số ngoại hạt cao. –         Hạn chế bởi tốc độ đường truyền điện thoại thông thường 56K. –         Số lượng kết nối đồng thời hạn chế. Trong khi đó, giải pháp VPN đem lại cho chúng ta rất nhiều lợi ích: o       Khả năng linh hoạt cao, có thể kết nối bất cứ khi nào, bất cứ nơi đâu, chỉ cần ở đó có thể truy cập Internet. o       Giá thành rẻ, chỉ mất chi phí cho việc truy cập Internet thông thường (giảm từ 60%- 80% chi phí cho các Client truy cập từ xa). o       Băng thông không bị hạn chế, chỉ phụ thuộc vào tốc độ đường truyền Internet mà bạn xử dụng. o       Số lượng kết nối đồng thời lớn. o       Đảm bảo khả năng bảo mật cao với các cơ chế mã hoá. Quản lý các kết nối dễ dàng thông qua các Account người dùng. III. Hệ thống IP-VPN với giải pháp của Nortel Contivity Secure IP Gateway là dòng sản phẩm chuyên dụng cho giải pháp VPN của Nortel Network, đứng đầu trên thế giới trong việc cung cấp các thiết bị chuyên dụng cho IP-VPN, tiếp theo sau là Cisco, Lucent, Check Point, Nokia . Cho phép xây dựng hệ thống IP-VPN với chi phí hợp lý cho mọi mô hình doanh nghiệp từ nhỏ, trung bình đến lớn và rất lớn. Từ mô hình các doanh nghiệp lẫn mô hình cho các nhà cung cấp dịch vụ (ISP), các mô hình site-to-site VPN, Extranet VPN. Contivity Secure IP Gateway là một sản phẩm duy nhất tích hợp đầy đủ các chức năng: VPN + IP Routing + Security. Giúp cho hệ thống mạng của bạn có cấu trúc đơn giản hơn, dễ quản trị hơn mà vẫn đảm bảo an ninh. –         VPN Client được hỗ trợ trên tất cả các hệ điều hành Microsoft windows từ version 95 trở lên. Có khả năng hỗ trợ các hệ điều hành khác như Linux, Unix … (Với điều kiện mua thêm Lisence). –         Số lượng kênh VPN kết nối đồng thời: Từ 5 đến 5000 kết nối. Với tốc độ mã hoá 3DES VPN đạt tối đa 140Mpps. –         Chức năng định tuyến của Router: Với khả năng định tuyến động, với các giao thức OSPF, RIP. –         Firewall: State full Firewall có khả năng lọc gói hiệu quả với hệ thống tập lệnh phong phú. Đảm bảo băng thông của mạng không bị tắc nghẽn với tốc độ xử lý của Firewall lên tới 400Mpps. –         Các giao thức thiết lập kênh ảo: IPSec, P2PPP, L2TP, L2F. –         Khả năng nhận thực: Internal/External LDAP, RADIUS, Hard or soft Tokens, X.509 Certificates. –         Đảm bảo QoS với các giao thức: Diffserv, RSVP, RED (Random early Detect). IV. Một số bài toán thực tế 1. Các doanh nghiệp qui mô vừa và nhỏ:  a. Bài toán: Công ty A, có hệ thống mạng, máy chủ Hà Nội, với 100 máy trạm, mail server, file server lưu dữ liệu. Chi nhánh ở Hồ Chí Minh với khoảng 20 máy. Yêu cầu đặt ra là giải pháp để các thành viên ở Hồ Chí Minh có thể truy cập được Dữ liệu trên Server tại Hà Nội, một số nhân viên thường xuyên đi công tác có thể kết nối từ xa về hệ thống dữ liệu của công ty. Hệ thống mạng tại Hà Nội kết nối Internet với yêu cầu bảo mật cao (có firewall), cấu trúc mạng đơn giản, dễ quản trị, giá thành thấp.  b. Giải pháp: Sử dụng giải pháp VPN với sản phẩm của Nortel. Nhận xét, do hệ thống yêu cầu: VPN + Firewall + Routing, như vậy nếu dùng theo mô hình truyền thống, ta sẽ phải sử dụng 2-3 thiết bị, nhưng với Nortel bạn chỉ phải dùng duy nhất 1 sản phẩm, cấu trúc mạng rất đơn giản, dễ quản lý, giá thành thấp: –         Tại Hà nội dùng Contivity 600, có phần mềm Statefull firewal, hỗ trợ các giao thức định tuyến động, hỗ trợ IP-VPN với 30 kết nối đồng thời. Các nhân viên tại HCM và các nhân viên thường xuyên đi công tác sẽ được cài phần mềm VPN client, mỗi khi kết nối vào Internet chỉ cần kích hoạt phần mềm VPN thì họ có thể truy cập về hệ thống máy chủ tại Hà Nội. Mô hình VPN cho các doanh nghiệp vừa và nhỏ –         Với giải pháp này chỉ cần chi phí ban đầu cho trung tâm tại Hà Nội (thuê đường truyền internet + Contivity 600). Chi nhánh tại HCM thì chỉ cần thuê đường truyền ADSL thông thường để kết nối Internet. Các nhân viên lưu động có truy cập từ xa về mạng mình ở bất cứ điểm truy cập Internet nào (trong nước, quốc tế). –         Khả năng đáp ứng của hệ thống: Với Contivity 600, với tốc độ 15Mbps 3DES, 160 Mbps firewall đảm bảo cho 100 máy trạm kết nối Internet, đảm bảo Security. Với 30 Tunnel truy cập đồng thời đảm bảo cho các user tại HCM và các user lưu động truy cập về trung tâm. Đảm bảo Security với: Ipsec, 3Des, Client policy,  RADIUS, LDAP. Statefull firewall với tập lệnh phong phú, khả năng lọc gói hiệu quả. Tại phía người truy cập sẽ được đảm bảo an ninh với các cơ chế đóng gói và mã hoá của VPN client soffware. Cấu hình chi tiết: Contivity 600 128Bit Encryption DM1401066 Contivity 600, 30 tunnels, dual 10/100 autosense ethernet controllers, Server S/W w/128Bit Encryption, external auto-sensing power supply, Unlimited license for IPsec Client S/W, . CPC:A0831586 Contivity Adv Routing Lic – 600 DM0016010 Contivity Advanced Routing License including OSPF, VRRP, IETF Differentiated Services, and Bandwidth Management for the Contivity 600. Requires V3.50 software. CPC: A0852828 Contivity Stateful Firewall Lic. – C600/10×0/1100 DM0016009 Contivity Stateful Firewall License for the 600/1010/1050/1100 platforms. (Minimum required software for 600: V3.60; Minimum Required Software for 10×0/1100: V4.07. CPC: A0852827 Single x.21 v.35 half height card- field installed DM2111026 Single x.21 v.35 half height card-Field Installed CPC:  N0030266 V.35 CABLE – DTE DS28/V.35 DM0011045 V.35 CABLE – DTE DS28/V.35, for use with Single V.35 card (DM2111007). CPC: A0718084  c. Hạch toán chi phí: Chi phí rất tiết kiệm, ngoài các chi phí để thuê đường truyền Internet tại Hà Nội và HCM, nếu hệ thống mạng LAN đã có sẵn, ta chỉ việc mua thêm bộ sản phẩm Contivity 600 với cấu hình: Với giá thành khoảng 4,800USD. 2. Cho các doanh nghiệp qui mô trung bình:  a. Bài toán: Công ty B, có hệ thống mạng, máy chủ Hà Nội, với 300 máy trạm, mail server, file server lưu dữ liệu. Chi nhánh ở Hồ Chí Minh với khoảng 200 máy, Server lưu dữ liệu. Hải phòng với 30 máy. Yêu cầu đặt ra là tất cả nhân viên tại HN, HCM, Hải phòng đều có thể truy cập được Dữ liệu trên Server tại HN, HCM. Các nhân viên thường xuyên đi công tác xa, công tác nước ngoài vẫn có thể kết nối về hệ thống dữ liệu của công ty. Các hệ thống mạng tại 2 trung tâm chính kết nối Internet với yêu cầu có firewall, cấu trúc mạng đơn giản, dễ quản trị, giá thành thấp.  b. Giải quyết: –         Tại HN và HCM ta sử dụng 2 contivity 1740. –         Tại Hải phòng dùng 1 Contivity 600. –         Các user tại mỗi địa điểm sẽ truy cập DL trong mạng HCM, HN theo kiểu site to site, không cần dùng đến chương trình VPN client. –         Các nhân viên đi công tác xa sẽ kết nối về 2 trung tâm bằng VPN client. Mô hình VPN cho các doanh nghiệp qui mô trung bình –         Đảm bảo yêu cầu của hệ thống: o       Tại HN và HCM sử dụng Contivity 1740 với khả năng cung cấp 500 Tunnel đồng thời, đảm bảo cung cấp khả năng truy cập  từ xa cho toàn bộ nhân viên tại các vùng. o       Cấu hình của 1740: 100Mbps 3DES, 200Mbps Firewall đảm bảo đáp ứng được tốc độ cho hệ thống mạng LAN truy cập Internet và mạng từ ngoài truy cập vào. Đảm bảo Security cho toàn mạng với phần mềm Statefull firewall với tập lệnh phong phú cho việc thiết lập Policy và lọc gói. Các kết nối VPN được bảo mật với các giao thức Ipsec, 3Des, Client policy,  RADIUS, LDAP. o       Với Contivity 600, cung cấp đồng thời 30 Tunnel đảm bảo cung cấp cùng lúc cho 30 máy trạm tại Hải Phòng truy cập đến các Server tại HCM và HN. Cấu hình chi tiết: Contivity 1740 C1740 2 LAN 3 PCI 128BIT DM1401135 Contivity 1740, 500 tunnels, Dual 10/100 Ethernet LAN Ports, 3 PCI Exp Slot, Server S/W with (128-Bit) Encryption, Contivity VPN Client for Windows, (Incl Documentation). See Note 1. CPC: A0519954 10/100 Ethernet Card (FACTORY)(price included) DM1004002 10/100 Ethernet Card (FACTORY INSTALL), for use in the Contivity 1600/1700/2500/2600/2700/4500/4600 only. CPC:A0717454 Contivity Advanced Routing License – S/W v3.5 Min DM0016005 Contivity Advanced Routing License including OSPF, VRRP, IETF Differentiated Services, and Bandwidth Management for the Contivity 15X0/1600 Series  (Minimum Required Software: V3.50).  CPC:A0843946  Contivity Stateful Firewall License – S/W v3.5 Min DM0016002 Contivity Stateful Firewall license for the 15X0/1600/1700 platform  (Minimum Required Software: V3.50).  CPC:A0843943  Single x.21 v.35 half height card- field installed DM2111026 Single x.21 v.35 half height card-Field Installed CPC:  N0030266 V.35 CABLE – DTE DS28/V.35, use with DM2111007 DM0011087 V.35 CABLE – DTE DS28/V.35, length: 6 in. for use with Single V.35 card (DM2111006 and DM2111007). For use with Contivity 1600 and 17×0 only. CPC:A0995160 Contivity 600: Contivity 600 128Bit Encryption DM1401066 Contivity 600, 30 tunnels, dual 10/100 autosense ethernet controllers, Server S/W w/128Bit Encryption, external auto-sensing power supply, Unlimited license for IPsec Client S/W. CPC:A0831586 ADSL Annex A – Field Install C600/17×0/2700/5000 DM2111016 Asymmetrical Digital Subscriber Line Annex A (ADSL)(FIELD INSTALL), for use in Contivity 600/17×0/2700/5000 Only. Includes RJ11 Cable. CPC: A0538049 Contivity Adv Routing Lic – 600 DM0016010 Contivity Advanced Routing License including OSPF, VRRP, IETF Differentiated Services, and Bandwidth Management for the Contivity 600. Requires V3.50 software. CPC: A0852828  c. Hạch toán chi phí: –         Chi phí kết nối Lease-Line tại HN và HCM. –         Kết nối ADSL thông thường tại HP. Giá thành thiết bị mạng: mỗi thiết bị contivity 1740 giá khoảng 10,000USD, contivity 600 giá khoảng 3,400USD. V. Cụ thể cấu hình và thông số kỹ thuật của từng sản phẩm Ở trên ta chỉ nêu ra 2 trường hợp mạng điển hình, với 2 qui mô doanh nghiệp vừa và nhỏ, tuy nhiên dòng sản phẩm Contivity của Nortel rất phong phú, có thể đáp ứng mọi mô hình mạng từ nhỏ đến lớn, các bạn có thể tham khảo trong các bảng sau: Contivity 600, 1100, 1010/1050 Contivity 1700, 1740, 2700, 5000

Giới thiệu về DNS và chuyển vùng DNS

Giới thiệu chung

DNS (Domain Name System) là một hệ cơ sở dữ liệu phân tán dùng để ánh xạ giữa các tên miền và các địa chỉ IP. DNS đưa ra một phương pháp đặc biệt để duy trì và liên kết các ánh xạ này trong một thể thống nhất. Trong phạm vi lớn hơn, các máy tính kết nối với internet sử dụng DNS để tạo địa chỉ liên kết dạng URL (Universal Resource Locators). Theo phương pháp này, mỗi máy tính sẽ không cần sử dụng địa chỉ IP cho kết nối.

Các tên DNS tạo ra theo định dạng sau ., ví dụ infosec.vasc.com.vn. Trong khi danh sách các kiểu tên DNS được thiết kết lại bởi ICANN (Công ty quản lý dịch vụ tên miền), một số các kiểu thông thường bao gồm: .edu (dạng các website giáo dục) , .mil (các website cho quân đội), .org (thuộc dạng các tổ chức phi thương mại) .com (các tổ chức kinh tế),… Và cũng có các kiểu tên miền chỉ định theo tên nước, ví dụ .ie (Ireland), .jp (Japan), .de (Germany)

Khi một máy tính (một DNS client) muốn tìm kiểm một URL, nó đưa yêu cầu (GetHostByName) tới DNS server của nó. DNS client sử dụng một DNS resolver để định vị DNS server. Nếu DNS server không xác định được tên miền cần tìm, hay DNS server không có chút thông tin gì về URL đó trong vùng nhớ đệm của nó, nó sẽ không thể trả lời yêu cầu của client ngay lập tức. Thay vào đó, DNS server sẽ hoặc sử dụng một DNS forwarder hoặc tạo lại một yêu cầu theo quy tắc đệ quy.

Việc giả mạo DNS liên quan tới việc bắt buộc một DNS client tạo yêu cầu tới một server mạo danh, và khi đó client sẽ nhận được trả lời sai từ server giả mạo đó. Có 3 cách thực hiện kiểu tấn công giả mạo DNS này, bao gồm:

1. Giả mạo các phản hồi DNS

Kẻ tấn công có thể sử dụng cơ chế đệ quy, giả mạo yêu cầu mà DNS server gửi ra ngoài trong quá trình tìm kiểm một địa chỉ, và phản hồi các thông tin sai trước khi các thông tin thật đến. Mỗi gói tin DNS có một số ID dạng 16 bit mà DNS server dùng để kiểm tra yêu cầu ban đầu gửi đi là gì. Khi sử dụng BIND, một phần mềm thông dụng dạng DNS server, số này tăng lên 1 sau mỗi yêu cầu gửi đến, và việc tạo yêu cầu rất dễ dàng giả mạo. BIND đã được sửa lỗi theo phiên bản gần đây, mà các gói tin DNS được khởi tạo theo các con số ngẫu nhiên (phiên bản BIND v9).

Để kiểm tra liệu một DNS server có thể có lỗ hổng hay không đối với sự tấn công giả mạo địa chỉ DNS, bạn có thể gửi các yêu cầu tới server, thẩm định liệu có thể đoán số ID kế tiếp trong một gói tin yêu cầu giử tới DNS. Nếu các yêu cầu ID có thể đoán trước được, điều này có nghĩa là vùng nhớ đệm trong DNS có thể ánh xạ không đúng tới địa chỉ IP thật, và đó chính là lỗ hổng bảo mật trong DNS.

2. Giả mạo địa chỉ trong vùng nhớ đệm của DNS

Sau các yêu cầu đệ quy, các ánh xạ địa chỉ nhận được sẽ tồn tại trong DNS cache. DNS server sẽ dựa vào cùng nhớ đệm này để xác định thông tin cho các yêu cầu đến và phản hồi từ client gửi tới, giúp cho việc truy cập thông tin nhanh hơn. Độ dài thời gian mà các kết quả yêu cầu đệ quy được giữ luôn trong DNS cache (kí hiệu là TTL — time to live) có thể được thiết lập.

Việc các địa chỉ bị giả mạo nằm trong DNS cache kéo theo việc gửi thông tin ánh xạ không đúng với thời gian tồn tại (TTL) dài. Vậy nên, tại thời điểm kế tiếp khi có một yêu cầu gửi tới, nó sẽ nhận được thông tin sai. Việc sai thông tin này cũng có thể bị ảnh hưởng do việc nhận dữ liệu từ một DNS server từ xa nào đó bị giả mạo . Có thể giới hạn sự giả mạo thông tin này bằng cách giảm thời gian thông tin tồn tại trong cache (TTL), nhưng điều này cũng làm giảm hiệu năng của server.

Một ứng dụng thông dụng của DNS dạng phần mềm mã nguồn mở là BIND (Berkeley Internet Name Daemon), mà cung cấp hầu hết các chức năng quan trọng về DNS server. Tuy nhiên, cũng có rất nhiều lỗ hổng bảo mật trong BIND, và vì vậy, việc đảm bảo đang sử dụng phần mềm BIND với phiên bản mới nhất là rất quan trọng. Hiện tại, các chuẩn mới về DNS đã khắc phục được lỗi này trong vùng nhớ đệm của DNS.

3. Phá vỡ mức bảo mật môi trường

Việc tấn công bằng cách giả mạo địa DNS phá vỡ mức bảo mật của môi trường làm việc mạng trong DNS server. Ví dụ: tấn công dựa theo các lỗ hổng dạng tràn vùng đệm đối với các phiên bản BIND cũ, mà cho phép kẻ tấn công đoạt được quyền root truy cập. Khi kẻ tấn công đoạt được quyền truy cập trong môi trường DNS, anh ta có thể điều khiển được môi trường mạng.

Để giúp đỡ trong việc quản lý và gỡ rối, rất hữu ích khi biết rằng việc truyền thông DNS sử dụng cả giao thức TCP (Transmission Control Protocol) và UDP (User Datagram Protocol), và thông thường người ta sử dụng một firewall được cấu hình đứng lọc gói tin trước khi đi qua DNS.

Một cách để ngăn các nguy hiểm không được chứng thực là sử dụng một hệ thống DNS được chia theo vùng quản lý. Điều này liên quan tới cài đặt một DNS server bên trong. Khi đó, mỗi DNS bên ngoài được thiết lập chỉ chứa các thông tin liên quan bởi các host bên ngoài,như SMTP gateway, hay một NS bên ngoài. Hầu hết các mail server hiện tại có thể điều khiển SMTP mail rất tốt (như MS Outlook và Lotus Lote của IBM đều có các SMTP gateway), nó cũng an toàn hơn vì có cơ chế riêng rẽ cho việc nhận SMTP mail. Sau đó, nếu mail bên ngoài chuyển đổi thành công, kẻ tấn công sẽ không thể tự động truy cập tới hệ thống mail bên trong.

Tương lai phát triển của DNS

DNS có thể có lỗ hổng do bị giả mạo gói tin bởi vì thiếu vắng quyền chứng thực khi truy cập. Điều này có thể được khắc phục với DNSSEC. Đây là một cơ chế bảo mật mới bằng cách cho phép các Website kiểm tra các tên miền của họ và chịu trách nhiệm đối với các địa chỉ IP theo các chữ ký điện tử và thuật toán mã hoá công khai. Điều này cũng có nghĩa rằng, khi DNS client nhận một phản hồi từ yêu cầu của nó, nó có thể kiểm tra yêu cầu đó từ một tài nguyên được chứng thực. DNSSEC đã bắt đầu được nhúng trong BIND 9, và trong một số hệ điều hành.

DNSSEC sẽ đòi hỏi nhiều hơn về hiệu năng của phần cứng, băng thông lớn hơn và đòi hỏi phải thay đổi đối với tất cả các DNS server hiện tại. Vì vậy, việc áp dụng công nghệ mới này vẫn còn đang được triển khai và hứa hẹn trong tương lai.

Hôm nay,thông qua bài viết này Bình triệu đề cập tới vấn đề chuyển vùng.Chắc hẳn bạn sẽ quan tâm.Mong bài viết sẽ cho bạn hiểu rõ hơn về nó,cũng như có nhưng kiến thức nhất định về vấn đề này.

Chuyển vùng (Phần này được sưu tập của tác giả Binh Trieu – vietnam security)
Một trong những cấu hình sai nghiêm trọng mà người quản trị hệ thống có thể mắc phải là cho phép người dùng Internet không đáng tin cậy được tiến hành chuyển vùng DNS.

Chuyển vùng (Zone Transfer)cho phép máy phục vụ phụ cập nhật cơ sỡ dữ liệu từ máy chính.Như vậy là làm dư thừa khi chạy DNS,nhỡ như máy phục vụ tên chính không khả dụng.Nói chung,máy phục vụ DNS phụ chỉ cần chuyển vùng DNS.Thế nhưng,nhiều máy phục vụ DNS bị lập cấu hình sai và cung cấp bản sao vùng cho người nào yêu cầu.không nhất thiết là xấu nếu thông tin cung cấp liên quan đến hệ thống nối mạng Internet và có tên máy chủ hợp lệ,dẫu tạo điều kiện dễ dàng cho kẻ tấn công tìm thấy đích.Vấn đề thực sự nảy sinh khi tổ chức không áp cụng cơ chế DNS cổng riêng để cách ly thông tin DNS ngoài (công khai) với thông tin DNS trong.Cung cấp thông tin địa chỉ IP trong cho người dùng không đáng tin cậy qua mạng Internet cũng giống như cung cấp bản đồ trong của tổ chức.
Chúng ta hãu xem xét một vài phương pháp chuyển vùng,và các loại thông tin.Tuy có nhiều công cụ chuyển vùng,nhưng tôi giới hạn thào luận ở vài loại phổ biến mà thôi.

Cách đơn giản để chuyển vùng là dùng máy khách “nslookup”thường do thi hành UNIX và NT mang lại.Chúng ta áp dụng “nslookup” trong chế độ tương tác với nhau:

[bash] $ nslookup
Default Server: ns1.example.net
Address:10.10.20.2
>216.182.1.1
Default Server : [10.10.20.2]
Address: 10.10.20.2
Name: gate.tellurian.net
Address:10.10.20.2
>set type=any
>ls –d tellurian.net. >>/tmp/zone_out

Đầu tiên chúng ta chạy “nslookup” trong chế độ tương tác.Một khi khởi động xong,nó sẽ cho biết máy phục vụ tên mặc định,thường là máy phục vụ DNS của tổ chức hoặc máy phục vụ DNS của người cung cấp dịch vụ Internet.Tuy nhiên,máy phục vụ DNS (10.10.20.2)không có thẩm quyềncho vùng đích,nên sẽ không có hết thảy mẫu tin DNS.Bởi vậy,chúng ta cần tự tay cho “nslookup” biết là sẽ truy vấn máy phục vụ DNS nào.Trong ví dụ này,chúng ta dùng máy phục vụ DNS chính cho Tellurian network (10.10.20.2).

Tiếp theo chúng ta định loại mẫu tin là “any”.Tác vụ này cho phép bạn kéo mẫu tin DNS bất kì (man nslookup) cho danh sách hoàn chỉnh.
Sau cùng,liệt kê toàn bộ mẫu tin liên quan đến vùng bằng tuỳ chọn “ls”.”-d” liệt kê tất cả mẩu tin vùng.Chúng ta thêm “.”ở cuối câu để cho biết tên vùng hội đủ điều kiện-song đa phần là để vậy.Hãy đổi hướng kết quả và tập tin “/tmp/zone_out” để có thể thao tác sau này.
Chuyển vùng xong,chúng ta xem trong tập tin coi có thông tin lý thú nào cho phép nhắm đến hệ thống cụ thể không.Hãy xem kết quả sau:
[bash] more zone_out

acct18 1D IN A 192.168.230.3
1D IN HINFO
1D IN MX 0 tellurianadmin-smtp
1D IN RP- bsmith.rci bsmith.who
1D IN TXT “Location:Telephone Room”
ce 1D IN CNAME aesop
au 1D IN A 192.168.230.4
1D IN HINFO “aspect” “MS-DOS”
1D IN MX 0 andromeda
1D IN RP jcoy.erebus jcoy.who
1D IN TXT “Location: Library”
acct21 1D IN A 192.168.230.5
1D IN HINFO “Gateway2000” “WinWKGRPS”
1D IN MX 0 tellurianadmin-smtp
1D IN RP bsmith.rci bsmith.who
1D IN TXT “Location: Acounting”

Chúng ta sẽ không đi chi tiết từng mẫu tin,chỉ lưu ý vài loại quan trọng.Đối với mỗi mục nhập,chúng ta có mẫu tin A cho biết địa chỉ IP của tên hệ thống nằm bên phải.Ngoài ra,mỗi máy chủ đều có mẩu tin HINFO nhận diện nền hoặc hoặc loại hệ điều hành đang chạy (RFC-952).Mẩu tin HINFO tuy không cần thiết song cung cấp nhiều thông tin cho kẻ tấn công.Vì chúng ta đã lưu kết quả chuyển vùng vào tập tin đầu ra nên dễ dàng thao tác kết quả bằng chương trình UNIX như : grep,sed,awk,hoặc Perl.

Giả thiết chúng ta là những chuyên gia trong SunOS hoặc Solaris,có thể tìm ra địa chỉ IP có mẩu tin HINFO liên quan đến SPARC,Sun,hoặc Solaris.

[bash] $ grep -i solaris zone_out |wc -1

388

Chúng ta có 388 mẩu tin tham chiếu “Solaris”.Khỏi phải nói,chúng ta có quá nhiều mục tiêu.

Giả sử chúng ta muốn tìm hệ thống thử nghiệm,vô tình là chọn lựa cho kẻ tấn công.Tại sao? Thật đơn giản-chúng thường không kích hoạt nhiều đặc tính bảo mật,mật mã để đoán,nhà quản trị không hay để ý hoặc bận tâm ai đăng nhập chúng.Một chốn lý tưởng cho những kẻ xâm nhập.Do đó,chúng ta tìm hệ thống thử nghiệm như sau:

[bash] $ grep -i test /tmp/zone_out |wc -1

96

Nên có khỏang 96 mục nhập trong tập tin vùng có chứa từ “test”.Phải bằng với số hệ thống thử nghiệm thật.Trên đây chỉ là một vài ví dụ đơn giản.Hầu hết kẻ xâm nhập sẽ mổ xẻ dữ liệu này để tập trung vào loại hệ thống cụ thể có chổ yếu đã biết.

Có vài điểm cần ghi nhớ.Phương pháp neu trên chỉ truy cập lần lượt máy phục vụ tên.Tức là bạn phải thực hiện cùng một tác vụ cho tất cả máy phục vụ tên có thẩm quyền đối với vùng đích.Chúng ta chỉ truy vấn vùng Tellurian.net mà thôi.Nếu có vùng con,sẽ phải thực hiện cùng loại truy vấn cho từng vùng con(chẳng hạn như greenhouse.tellurian.net).Sau cùng bạn nhận thông báo không thể liệt kê vùng hoặc từ chối truy vấn.Thường điều này cho thấy máy phục vụ đã được lập cấu hình để vô hiệu hóa chuyển vùng của người dùng bất hợp pháp.Vì vậy,bạn khó lòng chuyển vùng từ máy phục vụ này.Nhưng nếu có nhiều máy phục vụ DNS,bạn sẽ có cơ may tìm được máy cho phép chuyển vùng.

Có rất nhiều công cụ đẩy nhanh tiến trình này,bao gồm: host,Sam Spade,axfr và dig(không đề cập ở đây).

Lệnh “host” mang nhiều hương vị của UNIX.Cách dùng lệnh “host”như sau:

host -1 tellurian.net
hoặc
host -1 -v -t any tellurian.net

Nếu cần mỗi địa chỉ IP để đưa vào kịch bản shell,bạn cut(cắt) địa chỉ IP khỏi lệnh “host”

host -1 tellurian.net |cut -f 4 -d” ” >>/tmp/ip_out

Không phải chức năng in dấn chân nào cũng buộc phải thực hiện qua lệnh UNIX.Một số sản phẩm Windows cũng cung cấp thông tin như vậy.

Sau cùng bạn chuyển vùng bằng một trong những công cụ siêu việt,axfr của Gaius.Trình tiện ích này sẽ chuyển thông tin vùng,cơ sở dữ liệu vùng và tập tin máy chủ cho từng vùng được truy vấn dưới dạng nén.Thâm chí bạn có thể chuyểnvu2ng cấp cao như com và edu để lấy tất cả vùng liên quan đến “com” và “edu”.Tuy nhiên,không nên làm vậy.Muốn chạy axfr,bạn gõ như sau”

[bash] $ axfr tellurian.net
axfr: Using default directory: /root/axfrdb
Found 2 name servers for domain “Tellurian.net”;
Text deleted.
Received xxx answer (xxx records).

Để truy vấn thông tin vừa lấy trong cơ sở dữ liệu “axfr”,bạn gõ như sau:

[bash] $ axfr tellurian.net