Sơ đồ mạng

Sophos Firewall Cấp dhcp từ port 4 xuống switch và AP TP-Link có lớp mạng là 172.14.14.0/24.

Các AP TP-Link nhận ip để vào web quản trị từ port 4 lần lượt là 172.14.14.13/24 và 172.14.14.18/24

User sau khi kết nối đến wifi – VFLUX 1 di chuyển xa vùng wifi – VFLUX 1 thì sẽ tự transfer sang wifi – VFLUX 2

Các bước cấu hình

Bước 1: Cấu hình Sophos Firewall

+ Tạo network

+ Tạo policy 

Bước 2: Cấu hình AP TP-Link

+ Cấu hình SSID

+ Cấu hình tính năng roaming

Hướng dẫn cấu hình

1. Cấu hình Sophos Firewall

Đầu tiên vào firewall để cấp dhcp cho các AP. Vào Network > Mục Interfaces > Chọn Port 4

Name: Port4 > Network zone: LAN > Tick chọn configuration > IP assignment: Tick chọn Static > Ipv4/netmask* nhập IP 172.14.14.1/24 > Save

Tiếp theo vào Phần DHCP để cấp DHCP cho các lớp mạng ở port 4 > Network > DHCP > Add 

Name: LAN1 > Interface: Port4 – 172.14.14.1 > Dynamic IP lease: Start IP 172.14.14.10; End IP 172.14.14.100 > Save

Tiếp theo tạo policy để cho các lớp mạng ra internet và ping được với nhau. Rules and policies > Firewall rules > Add firewall rule

Rule name: LAN TO WAN > Tick chọn firewall traffic để thấy lưu lượng

Source zones: Chọn LAN > Source networks and devices > Add new item > Add > Network.

Name: LAN1 > IP version: Ipv4 > Type: Chọn Network > IP address: 172.14.14.0

Destination zones: WAN > Destination network: any > Service: Any.

Tương tự như trên, tạo policy cho mạng nội bộ giao tiếp với nhau. Rule name: LAN TO LAN > Action: Accept > Tick chọn Log firewall traffic

Source zones: LAN > Source networks and device: LAN1

Destination zone: LAN > Source network and device: LAN1

Sau khi làm xong các bước trên, để vào được giao diện quản trị trên AP TP-Link. Vào Network > DHCP > AP TP-Link lần lượt được cấp IP là 172.14.14.13 có tên EAP613-40-AE-30-8A-6D-98 và 172.14.14.18 có tên EAP613-40-AE-30-8A-6D-96

Bước 2: Cấu hình AP TP-Link

Vào mục wifi trên máy tính > Wifi TP-Link sẽ xuất hiện và chúng ta cần kết nối vào > TP-Link_5GHz_8A6D97

Khi đã kết nối vào Wifi, vào google và gõ IP mà firewall đã cấp cho AP.

Nhập tài khoản và password mặc định là admin.

Set up a new account > Đặt name và password theo ý mình.

Ở đây do mình không cần xài 2.4GHz nên sẽ dissable. 5GHz Wireless Radio: Tick chọn Enable > SSID: VFLUX > Password: Monday@123 > Sau đó chờ đợi AP load

Tick chọn I have connected to the new wireless network và bấm finish để hoàn thành.

Sau đó vào lại mục wifi trên pc > Kết nối vào wifi VFLUX mà mình mới tạo.

Quay lại trang IP của AP thì sẽ hiện ra 1 giao diện mới.

Để xem mạng đang phát thì vào mục Wireless > Wireless Settings > 5GHz

Tương tự, với AP còn lại chúng ta sẽ thao tác như trên > Đặt cùng 1 SSID và mật khẩu thì AP TP-Link sẽ tự động roaming cho chúng ta.

Sau khi phân giải file MIB, ta có được các thông tin như sau, bạn có thể sử dụng vào phần mềm quản lý SNMP như Zabbix, PRTG….

“org”                                                                 “1.3”

“dod”                                                               “1.3.6”

“internet”                                                        “1.3.6.1”

“directory”                                                      “1.3.6.1.1”

“mgmt”                                                            “1.3.6.1.2”

“mib-2”                                                            “1.3.6.1.2.1”

“transmission”                                               “1.3.6.1.2.1.10”

“inetAddressMIB”                                         “1.3.6.1.2.1.76”

“experimental”                                              “1.3.6.1.3”

“private”                                                          “1.3.6.1.4”

“enterprises”                                                  “1.3.6.1.4.1”

“sophosMIB”                                                  “1.3.6.1.4.1.2604”

“sfosXGMIB”                                                   “1.3.6.1.4.1.2604.5”

“sfosXGMIBObjects”                                     “1.3.6.1.4.1.2604.5.1”

“sfosXGDeviceInfo”                                       “1.3.6.1.4.1.2604.5.1.1”

“sfosDeviceName”                                        “1.3.6.1.4.1.2604.5.1.1.1”

“sfosDeviceType”                                          “1.3.6.1.4.1.2604.5.1.1.2”

“sfosDeviceFWVersion”                               “1.3.6.1.4.1.2604.5.1.1.3”

“sfosDeviceAppKey”                                    “1.3.6.1.4.1.2604.5.1.1.4”

“sfosWebcatVersion”                                   “1.3.6.1.4.1.2604.5.1.1.5”

“sfosIPSVersion”                                            “1.3.6.1.4.1.2604.5.1.1.6”

“sfosXGDeviceStats”                                     “1.3.6.1.4.1.2604.5.1.2”

“sfosCurrentDate”                                        “1.3.6.1.4.1.2604.5.1.2.1”

“sfosUpTime”                                                 “1.3.6.1.4.1.2604.5.1.2.2”

“sfosDiskStatus”                                            “1.3.6.1.4.1.2604.5.1.2.4”

“sfosDiskCapacity”                                        “1.3.6.1.4.1.2604.5.1.2.4.1”

“sfosDiskPercentUsage”                              “1.3.6.1.4.1.2604.5.1.2.4.2”

“sfosMemoryStatus”                                    “1.3.6.1.4.1.2604.5.1.2.5”

“sfosMemoryCapacity”                                “1.3.6.1.4.1.2604.5.1.2.5.1”

“sfosMemoryPercentUsage”                      “1.3.6.1.4.1.2604.5.1.2.5.2”

“sfosSwapCapacity”                                      “1.3.6.1.4.1.2604.5.1.2.5.3”

“sfosSwapPercentUsage”                            “1.3.6.1.4.1.2604.5.1.2.5.4”

“sfosLiveUsersCount”                                   “1.3.6.1.4.1.2604.5.1.2.6”

“sfosHTTPHits”                                              “1.3.6.1.4.1.2604.5.1.2.7”

“sfosFTPHits”                                                 “1.3.6.1.4.1.2604.5.1.2.8”

“sfosMailHits”                                                “1.3.6.1.4.1.2604.5.1.2.9”

“sfosPOP3Hits”                                              “1.3.6.1.4.1.2604.5.1.2.9.1”

“sfosImapHits”                                               “1.3.6.1.4.1.2604.5.1.2.9.2”

“sfosSmtpHits”                                               “1.3.6.1.4.1.2604.5.1.2.9.3”

“sfosXGServiceStatus”                                 “1.3.6.1.4.1.2604.5.1.3”

“sfosPoP3Service”                                        “1.3.6.1.4.1.2604.5.1.3.1”

“sfosImap4Service”                                      “1.3.6.1.4.1.2604.5.1.3.2”

“sfosSmtpService”                                        “1.3.6.1.4.1.2604.5.1.3.3”

“sfosFtpService”                                            “1.3.6.1.4.1.2604.5.1.3.4”

“sfosHttpService”                                          “1.3.6.1.4.1.2604.5.1.3.5”

“sfosAVService”                                             “1.3.6.1.4.1.2604.5.1.3.6”

“sfosASService”                                             “1.3.6.1.4.1.2604.5.1.3.7”

“sfosDNSService”                                          “1.3.6.1.4.1.2604.5.1.3.8”

“sfosHAService”                                             “1.3.6.1.4.1.2604.5.1.3.9”

“sfosIPSService”                                            “1.3.6.1.4.1.2604.5.1.3.10”

“sfosApacheService”                                     “1.3.6.1.4.1.2604.5.1.3.11”

“sfosNtpService”                                           “1.3.6.1.4.1.2604.5.1.3.12”

“sfosTomcatService”                                    “1.3.6.1.4.1.2604.5.1.3.13”

“sfosSSLVpnService”                                     “1.3.6.1.4.1.2604.5.1.3.14”

“sfosIPSecVpnService”                                 “1.3.6.1.4.1.2604.5.1.3.15”

“sfosDatabaseservice”                                 “1.3.6.1.4.1.2604.5.1.3.16”

“sfosNetworkService”                                  “1.3.6.1.4.1.2604.5.1.3.17”

“sfosGarnerService”                                     “1.3.6.1.4.1.2604.5.1.3.18”

“sfosDroutingService”                                  “1.3.6.1.4.1.2604.5.1.3.19”

“sfosSSHdService”                                        “1.3.6.1.4.1.2604.5.1.3.20”

“sfosDgdService”                                          “1.3.6.1.4.1.2604.5.1.3.21”

“sfosXGHAStats”                                            “1.3.6.1.4.1.2604.5.1.4”

“sfosHAStatus”                                              “1.3.6.1.4.1.2604.5.1.4.1”

“sfosDeviceCurrentAppKey”                       “1.3.6.1.4.1.2604.5.1.4.2”

“sfosDevicePeerAppKey”                             “1.3.6.1.4.1.2604.5.1.4.3”

“sfosDeviceCurrentHAState”                      “1.3.6.1.4.1.2604.5.1.4.4”

“sfosDevicePeerHAState”                            “1.3.6.1.4.1.2604.5.1.4.5”

“sfosDeviceHAConfigMode”                       “1.3.6.1.4.1.2604.5.1.4.6”

“sfosDeviceLoadBalancing”                        “1.3.6.1.4.1.2604.5.1.4.7”

“sfosDeviceHAPort”                                      “1.3.6.1.4.1.2604.5.1.4.8”

“sfosDeviceHACurrentIP”                            “1.3.6.1.4.1.2604.5.1.4.9”

“sfosDeviceHAPeerIP”                                  “1.3.6.1.4.1.2604.5.1.4.10”

“sfosDeviceHAMonitoringPort”                 “1.3.6.1.4.1.2604.5.1.4.11”

“sfosDeviceAuxAdminPort”                        “1.3.6.1.4.1.2604.5.1.4.11.1”

“sfosDeviceHAAuxAdminIP”                       “1.3.6.1.4.1.2604.5.1.4.11.2”

“sfosDeviceHAAuxAdminIPv6”                   “1.3.6.1.4.1.2604.5.1.4.11.3”

“sfosXGLicenseDetails”                                “1.3.6.1.4.1.2604.5.1.5”

“sfosDeviceBaseFWLic”                               “1.3.6.1.4.1.2604.5.1.5.1”

“sfosBaseFWLicRegStatus”                         “1.3.6.1.4.1.2604.5.1.5.1.1”

“sfosBaseFWLicExpiryDate”                        “1.3.6.1.4.1.2604.5.1.5.1.2”

“sfosDeviceNetProtecLic”                           “1.3.6.1.4.1.2604.5.1.5.2”

“sfosNetProtectionLicRegStatus”              “1.3.6.1.4.1.2604.5.1.5.2.1”

“sfosNetProtectionLicExpiryDate”             “1.3.6.1.4.1.2604.5.1.5.2.2”

“sfosDeviceWebProtecLic”                          “1.3.6.1.4.1.2604.5.1.5.3”

“sfosWebProtectionLicRegStatus”             “1.3.6.1.4.1.2604.5.1.5.3.1”

“sfosWebProtectionLicExpiryDate”           “1.3.6.1.4.1.2604.5.1.5.3.2”

“sfosDeviceMailProtecLic”                          “1.3.6.1.4.1.2604.5.1.5.4”

“sfosMailProtectionLicRegStatus”             “1.3.6.1.4.1.2604.5.1.5.4.1”

“sfosMailProtectionLicExpiryDate”           “1.3.6.1.4.1.2604.5.1.5.4.2”

“sfosDeviceWebServerLic”                          “1.3.6.1.4.1.2604.5.1.5.5”

“sfosWebServerProtectionLicRegStatus” “1.3.6.1.4.1.2604.5.1.5.5.1”

“sfosWebServerProtectionLicExpiryDate””1.3.6.1.4.1.2604.5.1.5.5.2”

“sfosDeviceSandstromLic”                          “1.3.6.1.4.1.2604.5.1.5.6”

“sfosSandstromLicRegStatus”                    “1.3.6.1.4.1.2604.5.1.5.6.1”

“sfosSandstromLicExpiryDate”                   “1.3.6.1.4.1.2604.5.1.5.6.2”

“sfosDeviceEnhancedSupportLic”             “1.3.6.1.4.1.2604.5.1.5.7”

“sfosEnhancedSupportLicRegStatus”       “1.3.6.1.4.1.2604.5.1.5.7.1”

“sfosEnhancedSupportLicExpiryDate”      “1.3.6.1.4.1.2604.5.1.5.7.2”

“sfosDeviceEnhancedPlusSupportLic”      “1.3.6.1.4.1.2604.5.1.5.8”

“sfosEnhancedPlusLicRegStatus”               “1.3.6.1.4.1.2604.5.1.5.8.1”

“sfosEnhancedPlusLicExpiryDate”             “1.3.6.1.4.1.2604.5.1.5.8.2”

“sfosDeviceCentralOrchestrationLic”       “1.3.6.1.4.1.2604.5.1.5.9”

“sfosCentralOrchestrationLicRegStatus”  “1.3.6.1.4.1.2604.5.1.5.9.1”

“sfosCentralOrchestrationLicExpiryDate””1.3.6.1.4.1.2604.5.1.5.9.2”

“sfosXGTunnelInfo”                                      “1.3.6.1.4.1.2604.5.1.6”

“sfosVPNInfo”                                                “1.3.6.1.4.1.2604.5.1.6.1”

“sfosIPSecVPNConnInfo”                             “1.3.6.1.4.1.2604.5.1.6.1.1”

“sfosIPSecVpnTunnelTable”                        “1.3.6.1.4.1.2604.5.1.6.1.1.1”

“sfosIPSecVpnTunnelEntry”                        “1.3.6.1.4.1.2604.5.1.6.1.1.1.1”

“sfosIPSecVpnConnId”                                 “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.1”

“sfosIPSecVpnConnName”                          “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.2”

“sfosIPSecVpnConnDes”                              “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.3”

“sfosIPSecVpnPolicyUsed”                          “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.4”

“sfosIPSecVpnConnMode”                          “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.5”

“sfosIPSecVpnConnType”                            “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.6”

“sfosIPSecVpnLocalgwPort”                        “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.7”

“sfosIPSecVpnActiveTunnel”                      “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.8”

“sfosIPSecVpnConnStatus”                         “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.9”

“sfosIPSecVpnActivated”                             “1.3.6.1.4.1.2604.5.1.6.1.1.1.1.10”

“sfosIPSecVPNPolicyInfo”                            “1.3.6.1.4.1.2604.5.1.6.1.2”

“sfosIPSecVpnPolicyTable”                          “1.3.6.1.4.1.2604.5.1.6.1.2.1”

“sfosIPSecVpnPolicyEntry”                          “1.3.6.1.4.1.2604.5.1.6.1.2.1.1”

“sfosIPSecVpnPolicyId”                                “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.1”

“sfosIPSecVpnPolicyName”                        “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.2”

“sfosIPSecVpnPolicyKeyLife”                       “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.3”

“sfosIPSecVpnPolicyKeyMargin”                “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.4”

“sfosIPSecVpnPolicyEncAlgo1”                   “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.5”

“sfosIPSecVpnPolicyAuthAlgo1”                “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.6”

“sfosIPSecVpnPolicyEncAlgo2”                   “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.7”

“sfosIPSecVpnPolicyAuthAlgo2”                “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.8”

“sfosIPSecVpnPolicyEncAlgo3”                   “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.9”

“sfosIPSecVpnPolicyAuthAlgo3”                “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.10”

“sfosIPSecVpnPolicyKeyExchangeType”   “1.3.6.1.4.1.2604.5.1.6.1.2.1.1.11”

“sfosXGWiFiInfo”                                           “1.3.6.1.4.1.2604.5.1.7”

“sfosDeviceAPTable”                                    “1.3.6.1.4.1.2604.5.1.7.1”

“sfosDeviceAPEntry”                                    “1.3.6.1.4.1.2604.5.1.7.1.1”

“sfosDeviceAPName”                                   “1.3.6.1.4.1.2604.5.1.7.1.1.1”

“sfosDeviceAPModel”                                  “1.3.6.1.4.1.2604.5.1.7.1.1.2”

“sfosDeviceAPIPAddress”                            “1.3.6.1.4.1.2604.5.1.7.1.1.3”

“sfosDeviceAPMacAddress”                       “1.3.6.1.4.1.2604.5.1.7.1.1.4”

“sfosDeviceAPStatus”                                  “1.3.6.1.4.1.2604.5.1.7.1.1.5”

“sfosDeviceAPClientCount”                        “1.3.6.1.4.1.2604.5.1.7.1.1.6”

“sfosDeviceAPClientTable”                          “1.3.6.1.4.1.2604.5.1.7.2”

“sfosDeviceAPClientEntry”                          “1.3.6.1.4.1.2604.5.1.7.2.1”

“clientIndex”                                                 “1.3.6.1.4.1.2604.5.1.7.2.1.1”

“clientName”                                                 “1.3.6.1.4.1.2604.5.1.7.2.1.2”

“clientIPAddType”                                         “1.3.6.1.4.1.2604.5.1.7.2.1.3”

“clientIPAdd”                                                 “1.3.6.1.4.1.2604.5.1.7.2.1.4”

“clientMacAdd”                                             “1.3.6.1.4.1.2604.5.1.7.2.1.5”

“clientChannel”                                             “1.3.6.1.4.1.2604.5.1.7.2.1.6”

“clientSSID”                                                    “1.3.6.1.4.1.2604.5.1.7.2.1.7”

“sfosXGTrap”                                                  “1.3.6.1.4.1.2604.5.1.8”

“sfosNotificationAlerts”                               “1.3.6.1.4.1.2604.5.1.8.1”

“sfosNotification”                                         “1.3.6.1.4.1.2604.5.1.8.1.1”

“sfosTrapMessage”                                       “1.3.6.1.4.1.2604.5.1.8.1.2”

“sfosXGMIBConformance”                          “1.3.6.1.4.1.2604.5.2”

“sfosXGMIBCompliances”                           “1.3.6.1.4.1.2604.5.2.1”

“sfosBasicCompliance”                                “1.3.6.1.4.1.2604.5.2.1.1”

“sfosXGMIBGroups”                                     “1.3.6.1.4.1.2604.5.2.2”

“sfosDeviceStatusGroup”                            “1.3.6.1.4.1.2604.5.2.2.1”

“sfosDeviceStatsGroup”                              “1.3.6.1.4.1.2604.5.2.2.2”

“sfosServiceStatusGroup”                           “1.3.6.1.4.1.2604.5.2.2.3”

“sfosHAStatusGroup”                                   “1.3.6.1.4.1.2604.5.2.2.4”

“sfosLicInfoGroup”                                       “1.3.6.1.4.1.2604.5.2.2.5”

“sfosIPSecInfoGroup”                                   “1.3.6.1.4.1.2604.5.2.2.6”

“sfosWiFiInfoGroup”                                     “1.3.6.1.4.1.2604.5.2.2.7”

“sfosTrapInfoGroup”                                    “1.3.6.1.4.1.2604.5.2.2.8”

“security”                                                        “1.3.6.1.5”

“snmpV2”                                                       “1.3.6.1.6”

“snmpDomains”                                            “1.3.6.1.6.1”

“snmpProxys”                                                “1.3.6.1.6.2”

“snmpModules”                                            “1.3.6.1.6.3”

“zeroDotZero”                                                “0.0”

Khi sử dụng tính năng Scan SSL/TLS, một số trang khi truy cập sẽ cảnh báo not secure

Ta tiến hành truy cập trang web kiểm tra ssl: https://www.ssllabs.com/ssltest/index.html

Nhập trang cần kiểm tra vào đây

Kết quả ra Chain issues là incomplete, trang web này không cung cấp CA trung gian trong chuỗi CA.

2 Hướng dẫn troubleshoot

2.1 Cách 1 Import Certificate vào Firewall

Ta download CA trung gian của trang web này ở đường dẫn AIA ở giữa hình trên, sau đó import CA đó vào firewall. Ví dụ như trong hình là:  http://secure.globalsign.com/cacert/gsrsaovsslca2018.crt.

Truy cập mục Certificate > Certificate Authorities > Add

Tiến hành Add file vừa tải và Save.

2.2 Cách 2 Exclude trang web không scan SSL/TLS

Cách này không khuyến khích đó là thêm trang web vào exclude scan ssl/tls

3 Kiểm tra

Sau đó thoát trình duyệt hoặc đợi xóa cache và truy cập lại trang web để kiểm tra.

Packet Capture là quá trình bắt và ghi lại lưu lượng truy cập, từ đó bạn có thể phân tích các gói tin dữ liệu được truyền qua một mạng, giúp điều tra sự cố mạng, giám sát cũng như quản lý mạng. Bài viết này sẽ hướng dẫn cách bắt gói và download PCAP từ Sophos Firewall bằng cách sử dụng PSCP.

2.Các bước thực hiện

Để tạo Packet Capture (bắt gói), ta tiến hành truy cập vào Sophos Firewall CLI thông qua sử dụng Putty hoặc trên trang Web Admin của Sophos Firewall bằng cách ta chọn Console.

Sau đó bạn sẽ phải nhập mật khẩu dùng để truy cập vào Web Admin của Sophos Firewall.

Ở đây ta cần truy cập vào Device Console.

Bạn tiến hành nhập dòng lệnh sau: tcpdump filedump 'host x.x.x.x -s0

Lưu ý: Thay x.x.x.x bằng địa chỉ IP interface của Sophos Firewall.

Nhấn Ctrl + C để dừng quá trình Packet Capture.

Lưu ý: Khi tạo Packet Capture xong, file sẽ được lưu dưới dạng tcpdump.pcap trong thư mục /tmp/data/. Khi bạn bắt đầu tạo 1 Packet Capture khác thì nó sẽ ghi đè lên file Packet Capture đã bắt trước đó. Vì vậy, bạn có thể download xuống hoặc đổi tên file Packet Capture lần đầu tiên trước khi bạn bắt đầu tạo 1 Packet Capture khác.

Để đổi tên bằng cách đi vào Device Management.

Sau đó chọn Advanced Shell.

Chạy với câu lệnh sau:  cp /tmp/data/tcpdump.pcap /tmp/data/ tcpdump1.pcap

Sau khi đã xong các bước trên, ta sẽ tiến hành download Packet Capture thông qua PSCP. Có thể hiểu đơn giản là phần mềm này sẽ giúp bạn di chuyển file trong hệ thống một cách an toàn. Để làm được điều này, bạn cần vào đường link sau để download: https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html

Tiếp theo bạn mở CMD (Command Prompt) lên và nhập các lệnh sau:

cd Desktop: lệnh cd này sẽ giúp di chuyển file cần lưu vào vị trí mình muốn, ở đây mình chọn Desktop, bạn có thể chọn nơi chứa khác.

pscp.exe -scp admin@172.16.16.1:/tmp/data/tcpdump.pcap /Users/CHAU/Desktop/

Cuối cùng, bạn nhập mật khẩu admin của Sophos Firewall.

Sau khi chạy lệnh xong, bạn ra Desktop sẽ thấy file Packet Capture đã được download xuống.

Sau khi có file, bạn download thêm phần mềm WireShark, đây là phần mềm sẽ giúp bạn đọc được cũng như phân tích các gói tin mạng.

Đến đây thì mình xin kết thúc bài viết, chúc các bạn thực hiện thành công.

Bài viết hướng dẫn chặn application vpn và Proxy thường thấy trên Sophos firewall.

2 Các bước thực hiện

2.1 Tạo Application Filter

2.2 Apply application Filter vào Firewall Rule

2.3 Kiểm tra kết quả

2.1 Tạo Application Filter

Tạo 1 App Filter và thêm các ứng dụng VPN vào App Filter này

Application > application filter > Add

Tạo Application filter test. Trước tiên cho Allow all và Save.

Sau khi tạo xong. Bấm vào Application filter vừa tạo. Chọn Add để thêm danh sách App VPN.

Tại Category: chọn Proxy and Tunnel.

Tại Action: chọn Deny.

Nhấn Save để lưu.

Sau đó nhấn Save để lưu lại Application Filter.

2.2 Apply application Filter vào Firewall Rule

Quay trở lại Firewall Rule. Tại rule từ Lan ra Wan muốn chặn VPN. Thêm Application Filter vừa tạo tại mục App Control. Save để lưu lại Firewall Rule.

2.3 Kiểm tra kết quả

Chạy ultrasurf để kiểm tra

Kiểm tra log. Application filter thì Ultrasurf đã bị chặn.

Vậy là đã hoàn thành cấu hình chặn VPN.

Bài viết này sẽ mô tả cách thực hành tốt nhất để xây dựng khả năng kết nối giữa nhiều kết nối với các phương pháp failover cao và tiếp cận zero downtime, đồng thời đi kèm với ví dụ và tình huống thực tế.

Chúng tôi đang mở rộng về các tính năng mới và cũ của SFOS (Sophos Firewall OS) và cách sử dụng chúng để hiện đại hóa kết nối mạng. Hướng dẫn này cung cấp một hướng dẫn về cách xây dựng và mở rộng mạng riêng của bạn. Cấu hình có thể thay đổi tùy thuộc vào cấu hình cụ thể của bạn.

Tất cả các bước trong hướng dẫn này đều có thể được tự động hóa bằng Sophos Central Orchestration trong trường hợp triển khai lớn hơn. Vì lý do tùy chỉnh và học hỏi, chúng tôi muốn đặc biệt làm nổi bật toàn bộ cấu hình trong hướng dẫn.

1.Sản phẩm và điều kiện tiên quyết

• Quyền read-write trên giao diện quản trị web của SFOS cho các tính năng liên quan.
• Phiên bản 19.5 trở lên và không yêu cầu đăng ký riêng biệt.
• Phiên bản 20 đã được sử dụng trong hướng dẫn sau đây.

2.Sơ đồ mạng

Để mô tả sơ đồ mạng và các tính năng đang hoạt động, chúng tôi xây dựng một ví dụ mạng.

• Wiesbaden là trụ sở chính (HQ – Headquarters) của chúng tôi với kết nối Dual WAN.
• Berlin và Hamburg là các chi nhánh của chúng tôi với một kết nối WAN duy nhất.
• Chúng tôi sử dụng một cấu trúc mạng hình sao, và tất cả các địa điểm kết nối đến trụ sở chính.

Ngoài ra, chúng tôi đang kết nối đến Third-Party VPN Site, điều này là trách nhiệm của chúng tôi.

Best Practice: Sử dụng location name làm hostname cho thiết bị SFOS để phân biệt web admin console trong khi cấu hình.

Lưu ý: Trên các ảnh chụp màn hình sau đây, chúng tôi đang di chuyển giữa Wiesbaden và Hamburg. Hostname sẽ được hiển thị ở góc phải trên cùng.

3.Cấu hình

VPN

Mục tiêu của chúng tôi trong phần VPN là tận dụng đầy đủ cả hai kết nối WAN.

Chúng tôi sẽ sử dụng phương pháp Route Based VPN với XFRM interface để tận dụng 4 tunnel. Mỗi địa điểm sẽ xây dựng lên 2 tunnel.

Ví dụ, chúng ta sẽ đi qua quá trình cấu hình của một trong những tunnel.

Để thuận tiện trong triển khai, chúng tôi đang xây dựng các tunnel trên cả hai đầu đồng thời, do đó chúng ta có thể copy/paste cấu hình giữa mỗi Firewall và tránh bất kỳ lỗi nào.

Chúng tôi đang sử dụng Route Based VPN Tunnel (được gọi là XFRM hoặc Tunnel Interface).

• Wiesbaden là trụ sở chính và ở chế độ (Respond only).
• Các Profile đã được định nghĩa là IKEv2 (Internet Key Exchange Protocol Version 2) và có thể được chọn trên mọi cài đặt SFOS.
• Authentication Type là RSA Key được xác định bởi tunnel, Vì RSA Key cung cấp cấp hình nhanh chóng thông qua copy/paste và không yêu cầu quản lý external key.

Ở Hamburg, chúng tôi khởi tạo kết nối và chọn các cài đặt tương tự.

• RSA Key được xác định mặc định từ từng thiết bị riêng lẻ và mong đợi remote key từ thiết bị đối tác.

Phần cuối cùng là sự kết hợp giữa cổng liệt kê trên thiết bị local và (remote) gateway address.

Interface được liệt kê là WAN interface trên tường lửa cục bộ, chúng tôi sẽ chọn cho tunnel này là WAN1 (Fiber). Gateway address cho WAN IP / FQDN của vị trí remote (WAN1 của Hamburg).

Lưu ý: Chúng tôi đang sử dụng DNS hostname cho các remote peer. Dựa trên cài đặt của bạn, bạn có thể có các IP WAN khác nhau (Static IP or Dynamic DNS).

Best Practice: Bạn cũng có thể dùng bản ghi Dynamic DNS cho Gateway address hoặc một Wildcard (*) trong trường hợp bạn có một dynamic peer.

Ngoài ra, chúng tôi chỉ định loại Local ID là DNS và đặt tên chính xác cho cả hai. Điều này giúp xác định các tunnel. Bước này không bắt buộc nhưng được khuyến khích.

Chúng tôi sẽ thực hiện điều này bốn lần cho bốn tunnel tại trụ sở chính và hai lần ở mỗi địa điểm.

Để xác nhận điều này, chúng ta có thể kiểm tra trạng thái của tunnel trong phần tổng quan IPsec bằng cách điều hướng đến CONFIGURE>Site-to-site VPN>Tab IPsec.

Trụ sở chính

Vị trí Site riêng biệt

Đề xuất mapping XFRM Interface

Các XFRM Interface giống như một sợi cáp dài giữa hai thiết bị, và cả hai đầu của tunnel đều yêu cầu một địa chỉ IP.

• Bạn không nên tái sử dụng cùng một dải mạng trên nhiều tunnel.
• Cần phải thực hiện phân đoạn.
  

Một cách tiếp cận phổ biến là chia một subnet /24 thành nhiều subnet /30 như sau:

• Đường hầm 1: 10.252.0.1/30 + 10.252.0.2/30
• Đường hầm 2: 10.252.0.5/30 + 10.252.0.6/30
• Đường hầm 3: 10.252.0.9/30 + 10.252.0.10/30
• […]
• Đường hầm 64: 10.252.0.253/30 + 10.252.0.254/30

Cách tiếp cận này không đòi hỏi nhiều kế hoạch, nhưng nó khó nhận biết interface chính xác khi gặp sự cố.

Một cách tiếp cận thay thế trong hướng dẫn này là tạo các phân đoạn có thể đọc được cho mỗi tunnel. Chúng tôi gán cho mỗi tunnel một nhiệm vụ riêng.

XFRM Interface 

Route Based Tunnel (Tunnel Interface) tạo ra một XFRM Tunnel interface. Trong Configuration >Network >Interfaces bạn sẽ thấy XFRM Interface dưới mỗi WAN Interface.

Lưu ý: bạn có thể click vào line màu xanh để mở rộng WAN Interface.

XFRM Interface là các mạng transfer. Bạn cần một địa chỉ IP ở cả hai đầu của tunnel, và nó phải ở trong cùng một phạm vi subnet.

Best Practice: Để có khả năng quan sát tốt hơn, tên XFRM Interface có thể khớp với tên tunnel.

Chúng tôi mạnh mẽ khuyến khích bạn thiết lập một kế hoạch chi tiết cho XFRM Interface.

Có nhiều cách tiếp cận để thực hiện cài đặt này, và cách tiếp cận của chúng tôi có thể chỉ là một ý tưởng và không phù hợp với cài đặt của bạn. Bạn nên bố trí mapping XFRM Interface trước khi bắt đầu cấu hình để tránh cấu hình sai.

SD-WAN gateway

Với các tunnel IPsec đã được thiết lập, chúng tôi muốn route traffic thông qua những tunnel đó.

Đối với routing, chúng tôi có nhiều cách tiếp cận như sau:

• Static Routing
• Dynamic Routing
• SD-WAN Routing

Để xây dựng khả năng hoạt động liên tục và tận dụng cao của tất cả các WAN interface, chúng tôi quyết định sử dụng các đường tuyến SD-WAN.

Sẽ cần thiết lập sau đây:

• Gateway
• SD-WAN Profiles
• SD-WAN Route

Sẽ cần một Gateway cho mỗi tunnel XFRM.

Chúng tôi chọn XFRM Interface mà chúng tôi muốn sử dụng và địa chỉ peer gateway IP.

Trong trường hợp này, interface là 10.20.10.1 và địa chỉ peer gateway IP là 10.20.10.2.

• Bằng cách chọn Interface, dễ dàng xác định địa chỉ IP Local.
• Sử dụng một bản gán XFRM /30, chúng ta có thể xác định địa chỉ IP tiếp theo sẽ là gateway.

SD-WAN profiles

Các Profile SD-WAN sẽ được tạo ra cho mỗi vị trí mà bạn muốn thực hiện kết nối.

Trong các Profile SD-WAN, chúng tôi chọn tất cả các địa điểm có thể áp dụng và chọn “Load Balancing”.

Phương pháp Load Balancing quyết định khi nào SFOS nên chọn một VPN Tunnel cụ thể.

Bạn sẽ tìm thấy thêm thông tin về Load Balancing trong Phụ Lục.

Ví dụ của chúng tôi, chúng tôi thiết lập gateway weight là 1 và 1 điều này dẫn đến cân bằng tải 50% / 50%. Trong cài đặt của bạn, độ ưu tiên có thể khác nhau dựa trên công suất truyền thông hoặc các tiêu chí khác như chi phí.

SLA strategy có thể thay đổi trong cài đặt của bạn và có thể được tùy chỉnh nếu cần. Bạn có thể giữ lại tất cả các cài đặt mặc định hoặc tùy chỉnh dựa trên nhu cầu của bạn.

Chúng tôi đang sử dụng IP LAN địa điểm peer làm mục tiêu thăm dò (192.168.130.1 là LAN Port1 của Hamburg Site).

SD-WAN Routes

Bước cuối cùng của chúng tôi là làm cho mạng có thể truy cập được. Chúng tôi sử dụng SD-WAN Routes để xây dựng tuyến đường giữa các địa điểm của chúng tôi.

Chúng tôi đã tạo một SD-WAN Route cho mỗi vị trí để có thể truy cập được.

Trong SD-WAN Routes, chúng tôi sử dụng IP Host Group làm destination và để phần còn lại là ANY. Bạn có thể tùy chỉnh điều này nếu bạn chỉ muốn định tuyến cụ thể.

Best Practice: Bằng cách sử dụng IP Host Group, chúng tôi luôn đảm bảo rằng tất cả các dải mạng của tất cả các địa điểm được định tuyến đúng cách.

Best Practice: Chúng tôi đang xuất bản và duy trì những đối tượng đó thông qua Sophos Central Firewall Management. Các mạng Hamburg, mạng Berlin và mạng Wiesbaden được tự động xuất bản trên tất cả các tường lửa để đảm bảo các đường tuyến được xuất bản. Việc thay đổi đối tượng trong Central sẽ thay đổi cả đường tuyến.

Bạn cũng có thể sử dụng các đối tượng mạng; chúng tôi nhận thấy việc sử dụng IP host group đơn giản hơn và ít nhạy cảm với lỗi hơn.

Firewall Rules

Chúng tôi sử dụng các quy tắc VPN to LAN và LAN to VPN trong hướng dẫn này.

Bạn nên xây dựng khái niệm quy tắc tường lửa dựa trên nhu cầu bảo mật của mình.

4.Redundancy and Zero Downtime

Proof of Concept

Nếu 1 client từ Berlin cố gắng liên lạc với 1 client ở Hamburg, chúng ta có thể xem kết nối đó trong phần Diagnostic – Packet capture.

Ở Wiesbaden, bạn sẽ thấy các gói tin đến từ XFRM3, đi ra khỏi XFRM1 và phản hồi từ XFRM1 quay trở lại XFRM3.

Lưu ý: Packet capture hiển thị gói tin mới nhất ở trên cùng – để đọc kết nối, bạn sẽ bắt đầu với phiên cuối cùng.

Mạng WAN1 của chúng tôi bị lỗi ở Wiesbaden, dẫn đến 2/4 tunnel bị lỗi. Tuy nhiên, mọi thứ đều có thể truy cập được thông qua kết nối khác.

Zero Downtime failover

Thiết lập của chúng tôi mặc định hỗ trợ zero-downtime failover trong trường hợp kịch bản failover nói trên. Khách hàng của chúng tôi sẽ không phát hiện ra failover sang tunnel khác và tất cả các kết nối vẫn hoạt động.

Chúng ta cũng có thể thấy điều này trong quá trình packet capture.

Trước khi failover, chúng tôi đã sử dụng XFRM1 và XFRM3.

Sau khi failover SFOS tự động chuyển sang thiết lập XFRM4 và XFRM2.

Điều quan trọng cần chú ý: Các source port của kết nối vẫn giống nhau – client vẫn kết nối với server và không ngừng (hoặc xây dựng lại) kết nối.

Lưu ý: “IN Interface” trong packet capture trong trường hợp SD-WAN failover được phản ánh không chính xác trong web admin. Đây là một vấn đề đã biết và chỉ mang tính thẩm mỹ.

SFOS sẽ tự động chuyển về kết nối VPN cũ nếu WAN1 online. Source port vẫn không thay đổi.

5.Third Party VPN

Việc kết nối đến Third Party có thể thay đổi tùy thuộc vào sản phẩm được sử dụng và mức độ ảnh hưởng của sản phẩm đó đối với tunnel. Thông thường, khách hàng chỉ nhận được một bộ quy tắc chính sách để sử dụng.

Trong ví dụ của chúng tôi, bên Third Party yêu cầu chúng tôi thực hiện NAT cho mạng của mình trong tunnel (masquerade), và nó cung cấp một phạm vi mạng mà chúng tôi muốn đạt được. Ngoài ra, chúng tôi nhận được một bộ rule yêu cầu về IPsec để tuân theo. Phần này cũng được mô tả trong phụ lục.

Chúng tôi đang xây dựng với Tunnel loại Site-to-Site (Policy Based) và khởi tạo kết nối.

Ở trong Gateway Settings, chúng ta phải chỉ định local và remote subnet.

Dựa trên yêu cầu, chúng ta sử dụng “ThirdPartyNetwork” như được quy định bởi ThirdParty và sử dụng Translated IP yêu cầu trong Local Subnet. Để giảm độ phức tạp của hướng dẫn này, chúng tôi không cung cấp ví dụ về những địa chỉ IP đó.

Chúng ta cũng cần tạo một NAT Rule.

NAT nó sẽ translate mọi traffic đến ThirdPartyNetwork và MASQ lưu lượng truy cập sang Translated IP.

Như bước cuối cùng, chúng ta cần tạo một IPsec Route trên dòng lện (CLI) cho destination network.

Lệnh có thể là: system ipsec_route add net <remote subnet> tunnelname <ipsec_tunnel>

system ipsec_route add net 192.168.3.0/255.255.255.0 tunnelname ThirdPartyTunnel

Lưu ý: Bạn có thể sử dụng “TAB” để tự động hoàn thành.

ThirdPartyRessource hiện có thể truy cập được từ Wiesbaden. Để có thể truy cập tới Berlin/Hamburg, chúng tôi cần có SD-WAN Route bổ sung.

SD-WAN Route này sẽ route traffic đi đến ThirdPartyNetwork thông qua Wiesbaden đến ThirdParty.

6.Scalability

Hướng dẫn của chúng tôi phản ánh cách thiết lập nhỏ hơn với 2 địa điểm từ xa, và chúng tôi muốn xem xét các tùy chọn để mở rộng hệ thống này đến các mạng lớn hơn.

Các bước để kết nối một New Location

Tạo 1 new location bao gồm các bước cấu hình sau đây:

• IPsec Tunnel trên cả 2 thiết bị
• IPsec XFRM Interface trên cả 2 thiết bị
• Gateway trên cả 2 thiết bị
• SD-WAN Profile trên cả 2 thiết bị
• SD-WAN Route trên cả 2 thiết bị

Sử dụng SD-WAN Orchestration trong Sophos Central

Sophos central với xStream Protection License hỗ trợ SD-WAN Orchestration và tạo ra tất cả các điểm trên cho tất cả các thiết bị được quản lý.

Bạn sẽ tìm thấy thêm thông tin ở đây: Sophos Firewall: Managing Firewall and SD-WAN Orchestration

Dynamic Routing

Trong triển khai mạng lớn hơn, các quản trị viên có thể muốn sử dụng dynamic Routing thay vì các tuyến SD-WAN. Các tuyến SD-WAN cung cấp một cách dễ dàng để triển khai latency, jitter và packet loss và quyết định định tuyến mà không cần phải có kinh nghiệm với chính giao thức định tuyến. Bạn có thể tìm thêm thông tin về dynamic routing trong phụ lục.

7.Phụ lục

• WAN Link Load Balancing
• SD WAN Profiles
• NAT in Policy Based
• Dynamic Routing( OSPF)
• Dynamic Routing (BGP)

Bài viết hướng dẫn cách triển khai IP tĩnh cho những người dùng kết nối VPN Client to Site trên thiết bị tường lửa Sophos Firewall. Việc triển khai IP tĩnh sẽ giúp nâng cao khả năng quản lý, nhận diện người dùng đang kết nối vào hệ thống, đồng thời áp dụng các chính sách phù hợp cho từng người dùng

Hướng dẫn cấu hình

• Đăng nhập vào thiết bị Sophos Firewall bằng tài khoản admin
• Vào mục Groups để tạo VPN Client to Site Group

• Vào mục Users để tạo các người dùng VPN và chọn Group VPN Client to Site mà bạn đã tạo trước đó

• Đi đến mục Remote access VPN -> Vào tab SSL VPN -> Tạo 1 profile SSL VPN
• Ở mục Policy member -> Chọn Group VPN Client to Site mà bạn đã tạo trước đó
• Ở mục Permitted network resources (IPv4): Chọn những network mà bạn cho phép người dùng trong group VPN truy cập vào
• Nhấn Apply

• Vào mục SSL VPN global settings

• Ở mục Override hostname: Nhập IP public mà bạn cho phép người dùng VPN kết nối
• Ở mục Assign IPv4 addresses: Sophos sẽ cho bạn 1 subnet VPN mặc định, bạn có thể điều chỉnh subnet mà bạn muốn
• Ở mục Lease mode: Tick chọn mục Use static IP addresses -> Sophos sẽ cho chúng ta 1 range IP, chúng ta có thể sử dụng IP trong range đó để set tĩnh cho người dùng
• Nhấn Apply

• Quay lại mục Users -> Edit user mà chúng ta cần set IP tĩnh
• Khi đó sẽ xuất hiện mục SSL VPN IP address: Nhập IP mà bạn muốn gán cho user (IP cần nằm trong range IP tĩnh mà Sophos cho phép trong SSL VPN global setting
• Nhấn Save

Đầu tiên bạn cần tải file .zip từ đường dẫn sau đây: https://www.sophos.com/en-us/products/next-gen-firewall/free-trial.

Để tải được file, bạn cần điền vào 1 số thông tin như trong ảnh rồi tích vào ô I agree to all... và sau đó ấn Submit.

Sau đó bạn kéo xuống dòng Hyper-V chọn Download.

Sau khi tải về, bạn giải nén ra sẽ được 2 file như trong ảnh.

Tiếp theo, bạn vào Windows Server đã có cài sẵn Hyper V, mở lên và ta tiến hành tạo 1 máy ảo mới bằng cách nhấp chuột phải vào tên Windows Server -> New -> chọn Virtual Machine…

Chọn Next.

Đặt tên cho thiết bị ở phần Name. Về phần lưu trữ máy ảo mình chọn mặc định, nếu bạn muốn đổi thì tích vào ô Store the virtual machine… và trỏ tới 1 đường dẫn khác.

Tiếp theo bạn phải chọn thế hệ Hyper V cho máy ảo của mình. Mình chọn Generation 1. Sau đó ấn Next.

Ở phần này sẽ gán bộ nhớ, có thể tăng thêm tùy thuộc vào phần cứng của máy chủ. Sau đó ấn Next.

Đến phần cấu hình mạng, vì Sophos Firewall hoạt động theo cơ chế Lan to Wan để ra Internet. Nên ở đây mình sẽ cho Network Adapter trỏ về LAN Virtual Switch.

Đây là cách tạo LAN Virtual Switch, để tạo bạn chọn dòng Virtual Switch Manager for….ở phía bên phải của giao diện Hyper V. Bạn nên tạo trước bước này khi tạo máy ảo.

Tiếp theo đến phần kết nối ổ đĩa cứng ảo, bạn chọn dòng Use an existing virtual hard disk. Ở mục Location -> Browse…. và chọn đường dẫn đến 2 file lúc đầu bạn đã giải nén.

Rồi bạn chọn tiếp file có tên PRIMARY-DISK.

Ấn tiếp Next.

Ấn Finish.

Tiếp theo, bạn chuột phải vào máy ảo Firewall vừa tạo -> Setting để thêm 1 Network Adapter cho WAN vì ở trên ta chỉ mới tạo cho LAN mà thôi.

Giao diện phần Setting hiện ra, bạn chọn Add Hardware -> chọn tiếp Network Adapter -> ấn Add -> Ok.

Sau khi add xong Network Adapter mới thì bạn phải chọn thêm Virtual Switch đang nối với card thật của máy chủ đang cài Hyper V để giúp ra Internet. Sau đó nhấn Ok.

Tiếp theo bạn cần chọn SCSI Controller -> Hard Drive -> ấn Add -> Ok.

Chọn Hard Drive vừa tạo -> chọn dòng Virtual hard disk -> chọn tiếp file AUXILIARY-DISK đã giải nén lúc đầu -> rồi ấn Ok.

Sau khi cài xong các bước, bạn chuột phải vào thiết bị firewall vừa tạo ấn Connect. Quá trình cài đặt Sophos Virtual Firewall sẽ diễn ra.

2.Kiểm tra kết quả

Sau khi cài xong sẽ hiển thị các thông số như hình. Password mặc định sẽ là admin.

Hiển thị ra LAN, WAN như ta đã cấu hình.

Đây là giao diện tổng thể sau khi cấu hình xong.

Vậy là mình đã hướng dẫn xong các bạn cách cài đặt Sophos Virtual Firewall trên Hyper V. Chúc các bạn thành công.

1.Sơ đồ mạng

Trên Sophos Firewall đã cấu hình dịch vụ SSL VPN, để người dùng ngoài Internet có thể VPN vào mạng nội bộ và kết nối tới lớp LAN thông qua Sophos Firewall, thì trên Modem Viettel chúng ta phải NAT port cho dịch vụ này.

Về phần cấu hình SSL VPN, bạn có thể tham khảo qua link này: https://thegioifirewall.com/sophos-firewall-v19-huong-dan-cau-hinh-ssl-vpn-client-to-site-tren-thiet-bi-tuong-lua-sophos/

2.Các bước cần làm

Đầu tiên, bạn cần truy cập vào Modem Viettel trên trình duyệt Web với IP 192.168.15.1 sẽ hiển thị ra giao diện như hình:

Sau đó, bạn tiến hành nhập Username là admin, Password được in dưới đáy của Modem.

Đây là giao diện sau khi bạn Login thành công. Để cấu hình bạn chọn Advanced Setup.

Tiếp theo bạn chọn mục Internet -> Security -> Port Forwarding.

Ở mục Port Forwarding bạn tích vào Create New Item để tiến hành tạo NAT port.

Ở đây, bạn sẽ cần điền dịch vụ mà bạn cần NAT port, trong bài viết này mình sẽ NAT port SSL VPN.

Điền các thông số sau:

Name: Đặt tên bất kỳ

Protocol: Chọn giao thức phù hợp

WAN Connection: chọn kiểu omci_ipv4_pppoe_1

WAN Host IP Address: Để trống

LAN Host: Nhập địa chỉ IP WAN của thiết bị Sophos Firewall

WAN Port: Nhập vào port bạn muốn mở

LAN Host Port: Nhập vào port bạn muốn mở

Sau đó bấm Apply.

Có rất nhiều trang để ta thực hiện kiểm tra NAT port có thành công hay không.

Ở đây mình vào trang https://www.yougetsignal.com/tools/open-ports/ này để kiểm tra, bạn nhập IP WAN Modem với số port cần check. Chúng ta có thể thấy port 8443 đang open.

Như vậy thì mình đã hướng dẫn xong các bạn cách NAT port dịch vụ SSL VPN trên Modem Viettel, chúc các bạn thành công.

Đầu tiên, tải chứng chỉ của Sophos Firewall. Đăng nhập vào Sophos firewall, truy cập mục Certificate > Certificate Authorities > Download Certificate SSL

Tiến hành upload file lên máy MacOS. Sau đó double click để chạy file hoặc chuột phải chọn open with Keychain Access.

Certificate được import vào mục login tại Default keychain. File có x đỏ là chưa được trust, tiến hành double click vào Certificate để chọn trust file CA của Sophos.

Tại mục trust xổ ra, chọn Always trust sau đó nhấn thóat để lưu

Nhập Password máy tính để đồng ý. Sau đó truy cập 1 trang web bất kỳ để kiểm tra tính năng SSL/TLS Scanning