Chuỗi bài viết này hướng dẫn cấu hình ZTNA tình huống sử dụng Sophos Firewall làm ZTNA gateway để truy cập các tài nguyên bên trong hệ thống mạng.

2 Sơ đồ

Từ bên trái qua chúng ta có mô hình như sau:

Bên trái là phía người dùng cũng như thiết bị từ bên trong hoặc đứng bên ngoài mạng của công ty truy cập vào tài nguyen bên trong hệ thống. Trong bài viết này, thegioifirewall sử dụng các máy tính có cài ZTNA Agent là Sophos Endpoint.

Ở giữa là Cloud Sophos, nơi kiểm tra các thông tin người dùng và quyền truy cập tài nguyên. ZTNA sử dụng Azure identity provider để xác thực tài khoản người dùng.

Bên trái là hệ thống onpremise: Sophos firewall được đăng ký với Sophos central để làm ZTNA Gateway, và các tài nguyên bên trong hệ thống như file server, web server, esxi server. User bên ngoài sử dụng tên miền public vftri.online để truy cập vào các tài nguyên thay vì ip như VPN.

Tên miền sử dụng trong hệ thống ở bài lab này là vftri.online.

3 Các bước thực hiện

3.4 Cấu hình Identity Provider

Tiến hành kết nối Sophos central với Azure identity provider

Truy cập Sophos Central > ZTNA > Identity Providers.

Chọn Add Identity Provider.

Điền các thông tin:

• Name:
• Description:
• Provider: Chọn Azure
• Client ID: Client ID đã tạo ở mục “3.2.1 App Registration”
• Tenant ID: Tenant ID đã tạo ở mục “3.2.1 App Registration”
• Client secret: Client secret  đã tạo ở mục “3.2.1 App Registration”
• Test connection: Bấm nút Test connection để kiểm tra kết quả.

3.5 Verify Domain

Phần này Sophos central sẽ verify domain vftri.online để sử dụng.

Tại Sophos central. Global Setting > Verify domains.

Chọn Add domain. Điền domain và chọn Save.

Sau đó central cung cấp TXT record để xác thực với DNS provider. Chọn Verify để lưu thông tin.

Tạo record trên DNS provider.

Tên miền vftri.online được xác thực thành công. Quá trình verify này có thể mất tới 24h hoặc sớm hơn.

3.6 Cấu hình ZTNA Gateway

Tiến hành tạo ZTNA Gateway để từ bên ngoài truy cập vào tai nguyên bên trong. Bài lab này sử dụng Sophos Firewall làm Gateway, Sophos Firewall đã Register với tài khoản Central này. Yêu cầu Firewall phải cập nhật phiên bản 19.5.3 trở lên.

Tham khảo bài viết hướng dẫn Register Sophos Firewall với Sophos Central nếu Firewall của bạn chưa được add vào Central.

Tiến hành tạo Gateway

Truy cập Sophos Central > ZTNA > Gateways.

Chọn Add gateway.

Điền các thông tin:

• Gateway mode: Chọn Sophos Cloud để chọn Firewall làm Gateway
• Name:
• Location:
• Description:
• FQDN: Chọn tên miền cho gateway.
• Domain: Chọn Domain đã verify ở “3.5 Verify Domain”.
• Platform type: Chọn Firewall
• Identity provider: Chọn Azure vừa tạo ở “3.4 Cấu hình Identity Provider”
• Firewall: Chọn Thiết bị firewall đã register với tài khoản Central này là Gateway
• Region: Chọ region gần VN
• Certificate: Chọn upload file certificate (cert.pen) và private key (private.pen) đã tạo bằng certbot ở mục “3.1 Cấu hình Wildcard certificate”

Nhấn Save để lưu kết quả.

3.7 Cấu hình DNS

Thực hiện trỏ tên miền của ZTNA Gateway về Gateway trên Sophos Central.

Sau khi tạo xong ZTNA Gateway thì Central sẽ tạo ra domain cho gateway. Cần trỏ domain của gateway về địa chỉ này trên DNS provider của tên miền bạn quản lý.

Tại DNS Provider vftri.online tạo record CNAME. Trỏ tên miền znta.vftri.online về domain của Sophos Central vừa tạo ở trên.

3.8 Cấu hình Policy

Policy sẽ quản lý các chính sách để cho phép Client được truy cập vào ZTNA

Truy cập Sophos Central > ZTNA > Policies.

Chọn Add Policy.

Tại Policy này ta yêu cầu Client phải cài phần mềm Ztna Client (Sophos endpoint) thì mới cho phép truy cập tài nguyen. Chọn Agent > Continue.

Đặt tên policy. Tại Access rules.

Tại Allow access. Chọn điều kiện để truy cập tài nguyên. Ở đây chọn Green tức là máy tính của Client phải có trạng thái Health status là Green.

Plicy enforced được enable. Nhấn Save để tạo Policy.

3.9 Cấu hình Resource

Resource là các tài nguyên mà Client dùng ZTNA để truy cập vào bên trong On premise thay vì kết nối VPN đến mạng On premise đó.

Ở bài lab này sẽ tạo 3 Reosurce là Web server, Esxi server và File server.

Truy cập Sophos Central > ZTNA > Resources & Access.

Chọn Add resources.

Điền các thông tin:

• Name:
• Description:
• Gateway: Chọn Gateway vừa tạo ở “3.6 Cấu hình ZTNA Gateway”
• Access method: Chọn Agent và chọn Policy vừa tạo ở “3.8 Cấu hình Policy”
• Resource type: Ở đây tạo resource là web server nên chọn Web Application
• External FQDN: là tên miền để truy cập resource web. Ở đây đặt là agwebsite.vftri.online
• Port: Chọn TCP/80
• Internal FQDN/IP: Chọn IP của resource ở trong mạng On premise
• Assign user group: Chọn User hoặc Group muốn cho phép truy cập tài nguyên web này

Nhấn save.

Tương tự tạo các tài nguyên Esxi cho phép IT truy cập, File server cho phép cả IT và Sale truy cập.

3.9 Kiểm tra kết quả

Tiến hành kiểm tra kết quả trên máy tính có cài Sophos Endpoint. Module ZTNA cũng được cài đặt.

Máy tính được join vào tài khoản Azure có tên miền vftri.online.

Phần này sẽ tiến hành kiểm tra đăng nhập các user Azure vào máy tính và kiểm tra truy cập tài nguyên.

3.9.1 Esxi server

Kiểm tra truy cập Esxi server.

Tại máy client có cài Sophos endpoint. Đăng nhập bằng tài khoản it

Endpoint nhận diện it ở mục ZTNA

Truy cập Esxi thành công bằng tên miền agesxi.vftri.online.

3.9.2 Web server và file server

Kiểm tra truy cập Web server và File server.

Đăng nhập vào máy tính với tài khoản Sale

Sophos Endpoint nhận diện tài khoản sale.

Tiến hành truy cập tài nguyên web server nội bộ thành công.

Truy cập file server cũng bằng tên miền agfile.vftri.online.

3.9.3 Health Check

Đánh giá hành xử của ZTNA khi thiết bị nhiễm virus truy cập tài nguyên.

Tiến hành giải nén tệp virus lên máy tính để máy tính. Lúc này trạng thái health check không còn là Green nữa.

Đồng thời tài web server cũng không thể truy cập được nữa.

Thông báo chặn hiện ra ở mục event.

Sau khi tự động clean up xong mối nguy hai thì trạng thái thiết bị về lại Green và web server lại truy cập bình thường. Vậy là đã hoàn thành bài cấu hình ZTNA với Sophos Firewall làm gateway.

Chuỗi bài viết này hướng dẫn cấu hình ZTNA tình huống sử dụng Sophos Firewall làm ZTNA gateway để truy cập các tài nguyên bên trong hệ thống mạng.

2 Sơ đồ

Từ bên trái qua chúng ta có mô hình như sau:

Bên trái là phía người dùng cũng như thiết bị từ bên trong hoặc đứng bên ngoài mạng của công ty truy cập vào tài nguyen bên trong hệ thống. Trong bài viết này, thegioifirewall sử dụng các máy tính có cài ZTNA Agent là Sophos Endpoint.

Ở giữa là Cloud Sophos, nơi kiểm tra các thông tin người dùng và quyền truy cập tài nguyên. ZTNA sử dụng Azure identity provider để xác thực tài khoản người dùng.

Bên trái là hệ thống onpremise: Sophos firewall được đăng ký với Sophos central để làm ZTNA Gateway, và các tài nguyên bên trong hệ thống như file server, web server, esxi server. User bên ngoài sử dụng tên miền public vftri.online để truy cập vào các tài nguyên thay vì ip như VPN.

Tên miền sử dụng trong hệ thống ở bài lab này là vftri.online.

3 Các bước thực hiện

3.1 Cấu hình Wildcard certificate

Do giải pháp Sophos ZTNA sẽ sử dụng tất cả các subdomain của domain vftri.online và kết nối và sử dụng trên nền https nên chúng ta cần phải có một wildcard certificate về https để áp dụng cho tất cả subdomain của domain vftri.online: agfile.vftri.online, agwwebsite.vftri.online, agesxi.vftri.online.

Trong bài viết này chúng ta sẽ đăng kí wildcard certificate miễn phí từ Let’s Encrypt.

Đầu tiên chúng ta cần tải xuống phần mềm Certbot client về máy tính cá nhân.

Vào link phía dưới để download.

https://dl.eff.org/certbot-beta-installer-win32.exe

Tiếp theo thực hiện cài đặt phần mềm certbot client vào máy và mở nó lên.

Chúng ta sẽ nhập câu lệnh sau để đăng kí wild certificate cho tên miền vftri.online.

sudo certbot certonly \

–manual \

–preferred-challenges=dns \

–server https://acme-v02.api.letsencrypt.org/directory \

–agree-tos \

–domain *.vftri.online

Sau khi chạy dòng lệnh certbot sẽ yêu cầu chúng ta tạo DNS TXT record trên domain vftri.online với các thông số phía dưới.

Tại trang quản lý tên miền vftri.online. Tiến hành tạo bảng ghi TXT như thông tin ở trên

Quay trở lại certbot client nhấn Enter để tiếp tục.

Chúng ta thấy việc đăng kí wild certfificate đã thành công. Với file được lưu vào đường dẫn trên.

Đổi tên file private.key thành private.pem.

Hai file certificate có tên là fullchain.pem và file key có tên là privkey.pem được dùng để import vào Sophos central sau.

3.2 Azure Directory Service

3.2.1 App Registration

Bài viết giả định sử dụng Default Directory (Default) tenant có sẵn. Ta sẽ tạo App Registration tại Default Directory.

Tại App registration > New registration. Điền các thông tin yêu cầu.

Nhập tên

Chọn Supported account type theo mặc định.

Chọn Redirect URI. Bài lab sử dụng Sophos firewall làm gateway nên điền thông tin như ví dụ sau: ztna.vftri.online/oauth2/callback. Trong đó: vftri.onine là tên miền đăng ký, /oauth2/callback dùng khi trường hợp gateway là firewall, ztna là subdomain sẽ được trỏ về địa chỉ của gateway và ở đây gateway là Sophos firewall nên địa chỉ này do Sophos Central cung cấp sau khi cấu hình xong gateway ở phần sau của bài viết.

Tại App Registration vừa tạo. Chọn API permissions > Add a permission

Chọn Microsoft Graph

Tại Delegated permissions và thêm vào:

Directory.Read.All

Group.Read.All

openID

profile

User.Read

User.Read.All

Tại Application permissions. Thêm vào

Directory.Read.All

Chọn Grant Admin Consent để apply

Tiếp tục tạo Secret. Chọn Certificates & secrets > New client secret

Điền mô tả và chọn add.

Lưu lại thông tin Client secrets tại value và expires time để nhập vào Sophos central.

Tại mục overview, lưu lại thông tin Client ID, Tenant ID để nhập vào Sophos central.

3.2.2 User Group

Bài viết này giả định Azure Default Directory có sẵn các user sale và it. User này sẽ dùng để xác thực cho việc truy cập vào các resource bên trong hệ thống.

3.3 Đồng bộ user Azure với Sophos central

Tiến hành động bộ user của Azure vào Sophos Central

Truy cập Sophos Central > People > Set up AD Sync Directory Service. Chọn Add directory service

Điền các thông tin yêu cầu. Chọn Next.

Điền các thông tin về Client ID và Client secret, Client secret expiration đã tạo ở mục “3.2.1 App Registration”. Bấm Test connection để kiểm tra.

Tại mục Select users and group to include in the synchronization.

Ở bài lab này sẽ chọn đồng bộ user với filter. Điều kiện bên dưới đó là tên user bắt đầu bằng It và Sale.

Sau khi tạo thành công thì có thể bấm Synchronize để đồng bộ ngay lập tức hoặc tự động theo thời gian Schedule ở trên.

Chuỗi bài viết này sẽ cung cấp cho các bạn chi tiết các bước cần thực hiện cũng như cách triển khai toàn diện giải pháp Sophos Zero Trust Network Access.

2.Sơ đồ mạng

Chi tiết:

Chúng ta sẽ thiết bị tường lửa Sophos được kết nối với internet tại Port 2 với IP WAN tĩnh là 115.78.x.x.

Mạng nội bộ sẽ được cấu hình tại Port 1 của thiết bị Sophos Firewall với IP 172.16.31.1/24 và đã được cấu hình DHCP.

Trong mạng nội bộ sẽ có một máy chủ chạy hạ tầng ảo hóa VMWware Esxi có IP 172.16.31.11/24 và có các máy ảo như sau:

• Active Directory kiêm DNS server có hostname là pdc.valab.xyz với IP 172.16.31.250/24.
• Sophos ZTNA Gateway có hostname là ztna.valab.xyz với IP 172.16.31.251/24.

Ở phía ngoài internet chúng ta sẽ có các thành phần dùng để triển khai Sophos ZTNA như sau:

• Public domain: đang sử dụng domain của Mắt Bảo.
• Identity Provider: Okta.
• Sophos Central: nơi quản lý các policy, user, logs.
• Hai máy tính Windows 10 với 1 máy đã được cài Agent và 1 máy không cài Agent.

3.Tình huống cấu hình

Trong phần 2 của series này thegioifirewall sẽ hướng dẫn các bạn cấu hình thành phần còn lại là Sophos ZTNA Gateway và thực hiện kết nối với resource trong hệ thống bằng Sophos ZTNA với 2 phương thức là Agent và Agentless.

4.Các bước thực hiện

Sophos ZTNA Gateway:

• Thực hiện NAT.
• Khai báo thông số ZTNA Gateway trên Sophos Central.
• Triển khai Sophos ZTNA Gateway trên VMWare Esxi.

Sophos Central:

• Đồng bộ user từ Active Directory.

Tạo Policy và kiểm tra hoạt động:

• Tạo Policy.
• Khai báo resource.
• Hoạt động với Agent.
• Hoạt động với Agentless.
• Kiểm tra Logs and Reports.

5.Hướng dẫn cấu hình

5.1.Sophos ZTNA Gateway

5.1.1.Thực hiện NAT

5.1.2.Khai báo thông số ZTNA Gateway trên Sophos Central.

Bước đầu tiên chúng ta cần phải khai báo thông số về Sophos ZTNA Gateway như IP Address, Subnet Mask, Default Gateway, DNS Server, Wildcard Certificate, Identity Provider, hệ thống ảo hóa sẽ triển khai trên Sophos Central để nó đóng gói lại cho chúng ta thành file dùng để triển khai.

Để khai báo chúng ta cần đăng nhập vào trang quản trị của Sophos Central với quyền admin.

Vào My Products > ZTNA > Gateways > nhấn Add gateway và khai báo các thông số như sau:

• Name*: ztna.
• FQDN*: ztna.valab.xyz.
• Domain*: valab.xyz.
• Platform type*: VMware ESXi.
• Identity provider: okta.
• Deployment mode*: chọn One-arm.
• IP address*: chọn Static IP (phần dưới chúng ta sẽ khai báo thông số IP, Subnet Mask, … giống như trên sơ đồ mạng).
• IP address*: 172.16.31.251.
• Subnet mask: 255.255.255.0.
• Gateway*: 172.16.31.1.
• DNS server1*: 172.16.31.250.
• Upload certificate*: nhấn Choose và chọn file wildcard certificate fullchain.pem mà chúng ta đã có từ phần 1.
• Upload private key*: nhấn Choose và chọn file key privkey.key (lưu ý là file gốc sẽ có đuôi là privkey.pem, chúng ta cần đổi đuôi file là .key).
• Nhấn Save and generate file.

Sau khi hoàn thành việc khai báo thì ztna gateway đã được tạo thành công.

Tiếp theo chúng ta sẽ cần download 2 file phục vụ cho quá trình cài đặt ở bước sau.

Chúng ta nhấn chuột trái vào Download image (Ready for download) để download file iso về máy tính cá nhân.

Đây là file chứa các thông tin như IP, Subnet Mask, DNS, Identity Provider,… m2 chúng ta đã khai báo phía trên và cũng dùng để thực hiện giao tiếp giữa ZTNA Gateway đã triển khai trong nội bộ và Sophos Central.

Chúng ta nhấn tiếp tục nhấn chuột trái vào Download gateway VM > Download Gateway VM image for VMware để download Sophos ZTNA đã được đóng gói sẵn bằng file ova dùng để triển khai trên VMWare ESXi.

Đây là 2 file mà chúng ta đã download được.

5.1.3.Triển khai Sophos ZTNA Gateway trên VMWare Esxi.

Trước khi chúng ta triển khai Sophos ZTNA trên VMware ESXi chúng ta cần upload file iso mà chúng ta đã tải từ Sophos Central lên Datastore của VMware ESXi.

Để upload chúng ta cần đăng nhập vào trang quản trị của VMware ESXi với quyền admin.

Vào Storage và chọn datastore mà chúng ta sẽ upload, trong bài viết này chúng ta sẽ upload file iso lên datastore tên ISO Storage.

Nhấn Datastore browser.

Nhấn Upload.

Chọn file iso mà chúng ta đã download.

Chúng ta đã upload file iso lên datastore ISO Storage thành công.

Tiếp theo chúng ta sẽ thực hiện triển khai Sophos ZTNA Gateway.

Trên trang quản trị của VMware ESXi nhấn phải chuột vào Virtual Machines > Create/Register VM để tạo máy ảo mới.

Bảng New Virtual Machine xuất hiện, tại Select creation type chọn Deploy a virtual machine from an OVF or OVA file.

Nhấn Next.

Tại Select OVF and VMDK files:

• Enter a name for the virtual machine: điền tên máy ảo là Sophos ZTNA Gateway.
• Nhấn chuột trái vào Click to select files or drag/drop.
• Sau đó chọn file OVA mà chúng ta đã download từ Sophos Central trước đó và nhấn Next.

Tại Select storage chúng ta sẽ chọn nơi lưu máy ảo, trong bài viết này thegioifirewall sẽ lưu máy ảo tại VM Storage 3 và nhấn Next.

Tại Deployment options, chúng ta sẽ chọn card mạng VM Network cho External (WAN) và Local cho Internal (LAN).

Power on automatically: bỏ chọn.

Lưu ý: card VM Network phải có kết nối internet.

Tại Ready to complete, review lại các cấu hình đã thiết lập và nhấn Finish.

Như vậy là chúng ta đã hoàn thành việc tạo máy ảo Sophos ZTNA Gateway từ file OVA.

Tiếp theo chúng ta sẽ cần phải import file iso mà chúng ta đã upload từ trước vào máy ảo này để nó có thể thiết lập các thông số mà chúng ta đã khai báo trên Sophos Central cũng như giao tiếp với Sophos Central và tắt card Internal (LAN).

Để thực hiện chúng ta nhấn phải chuột vào máy ảo Sophos ZTNA Gateway và chọn Edit settings.

Tại CD/DVD Drive: chọn Datastore.

Bảng Datastore browser hiện ra chọn file iso và nhấn Select.

Sau đó tích chọn Connect tại CD/DVD Drive 1 và bỏ chọn Connect tại Network Adapter 2 (đây là card Internal (LAN) của Sophos ZTNA, do chúng ta triển khai theo mode One-arm nên chỉ cần 1 card External (WAN) có kết nối internet).

Nhấn Save để lưu.

Sau đó chúng ta thực hiện Start máy ảo Sophos ZTNA Gateway và nó sẽ hiện thị như hình sau.

Sau khi khởi động và máy ảo đã hoạt động, chúng ta đợi khoảng vài phút để máy ảo thực hiện xác thực với Sophos Central.

Sau khoảng vài phút chúng ta quay trở lại trang quản trị của Sophos Central.

Vào MY PRODUCTS > ZTNA > Gateways.

Chúng ta sẽ thấy chữ Approve tại cột Status của ztna mà chúng ta khai báo đã xuất hiện.

Điều này cho chúng ta biết là máy ảo Sophos ZTNA Gateway trong nội bộ đã giao tiếp thành công với Sophos Central.

Chúng ta nhấn vào Approve để hoàn tất quá trình triển khai.

5.2.Sophos Central

5.2.1.Đồng bộ user từ Active Directory.

5.3.Tạo Policy và kiểm tra hoạt động

Phần này chúng ta sẽ thực hiện việc tạo policy, định nghĩa các resource và phân quyền truy cập vào các resource này.

5.3.1.Tạo Policy

Do Sophos ZTNA hỗ trợ 2 hình thức truy cập là Agent và Agentless nên chúng ta sẽ tạo 2 policy.

Để tạo đăng nhập vào trang quản trị của Sophos Central bằng tài khoản với quyền admin.

Vào MY PRODUCTS > ZTNA > Policies > Nhấn Add policy > Chọn Agent.

Lưu ý: với tùy chọn Agent, nó sẽ hỗ trợ kết hợp với phần mềm antivirus Sophos Intercept X Advanced để kiểm tra trạng thái bảo mật của máy trạm khi truy cập vào resource và hỗ trợ truy cập vào resource bằng nhiều protocol khác nhau như Remote Desktop, SSH, Telnet,… .

Tạo policy tên Agent với các thông số sau:

• Policy name: Agent
• Use condition to manage access: tích chọn (đây chính là lựa chọn sử dụng phần mềm antivirus Sophos Intercept X Advanced kiểm tra trạng thái của máy trạm khi truy cập vào máy trạm.
• Tại Allow access: chọn green (lựa chọn này sẽ chỉ cho phép các máy trạm có trạng thái của phần mềm antivirus là green thì mới có thể truy cập vào resource bên trong).
• Nhấn Save.

Tại Policy enforced chúng ta nhớ bật policy lên.

Tương tự chúng ta cũng nhấn Add policy > chọn Agentless.

Lưu ý: với tùy chọn Agentless, nó sẽ không hỗ trợ kiểm tra trạng thái của phần mềm antivirus khi truy cập cũng như là chỉ hỗ trợ truy cập web resource.

Tạo policy tên Agentless với các thông số sau:

• Policy enforced: bật policy lên.
• Nhấn Save.

5.3.2.Khai báo resource.

Sau khi tạo policy chúng ta sẽ thực hiện khai báo các resource và phân quyền người dung nào sẽ được truy cập vào resource đó.

Để khai báo chúng ta và MY PRODUCTS > ZTNA > Resources & Access > nhấn Add resource.

Chúng ta sẽ khai báo các resource như sau:

• Active Directory: sử dụng máy tính đã được cài Agent, truy cập bằng Remote Desktop và chỉ các user từ group TECHNICAL TEAM mới có thể truy cập.
• Sophos Firewall: sử dụng máy tính đã được cài Agent, truy cập bằng trình duyệt web và chỉ các user từ group TECHNICAL TEAM mới có thể truy cập.
• ESXI11: sử dụng máy tính không được cài Agent, truy cập bằng trình duyệt web và chỉ các user từ group TECHNICAL TEAM mới có thể truy cập.

Chúng ta sẽ tạo resource Active Directory với các thông số sau:

• Name: Active Directory.
• Gateway: chọn ztna.
• Access method: chọn Agent.
• Resource type: chọn RDP.
• External FQDN: nhập vào FQDN mà người dùng bên ngoài sử dụng để truy cập, đặt ngẫu nhiên bằng subdomain valab.xyz, trong bài lab này sẽ đặt là pdc.valab.xyz.
• Internal FQDN/IP address: nhập vào IP của máy chủ AD trong nội bộ là 172.16.31.250.
• Assign user group: chọn group TECHNICAL TEAM và nhấn “>”.
• Nhấn Save.

Tương tự nhấn Add resource và tạo resource Sophos Firewall với các thông số sau:

• Name: Sophos Firewall.
• Gateway: chọn ztna.
• Access method: chọn Agent.
• Resource type: chọn Web Application.
• External FQDN: nhập vào FQDN mà người dùng bên ngoài sử dụng để truy cập, đặt ngẫu nhiên bằng subdomain valab.xyz, trong bài lab này sẽ đặt là sf.valab.xyz.
• Internal FQDN/IP address: nhập vào IP LAN của tường lửa Sophos Firewall trong nội bộ là 172.16.31.1.
• Port: nhập 4444.
• Assign user group: chọn group TECHNICAL TEAM và nhấn “>”.
• Nhấn Save.

Tạo resource ESXI11 với các thông tin sau:

• Name: ESXI11.
• Gateway: chọn ztna.
• Access method: chọn Agentless.
• External FQDN: nhập vào FQDN mà người dùng bên ngoài sử dụng để truy cập, đặt ngẫu nhiên bằng subdomain valab.xyz, trong bài lab này sẽ đặt là esxi11.valab.xyz.
• Internal FQDN/IP address: nhập vào IP của máy chủ Vmware ESXi trong nội bộ là 172.16.31.11.
• Assign user group: chọn group TECHNICAL TEAM và nhấn “>”.
• Nhấn Save.

5.3.3.Hoạt động với Agent.

Chúng ta sẽ truy cập vào 2 resource Active Directory và Sophos Firewall bằng máy tính đã được cài sẵn Sophos Endpoint với 2 module Sophos Antivirus và Sophos ZTNA.

Chúng ta mở phần mềm Remote Desktop Connection và nhập vào External FQDN của resource Active Directory mà chúng ta đã khai báo vào Computer sau đó nhấn Connect.

Lúc này Sophos sẽ chuyển hướng người dùng sang Okta để xác thực bằng tài khoản.

Nhập username và password sau đó nhấn Sign in.

Một dòng thông báo chúng ta đã xác thực thành công hiện ra.

Trở lại với Sophos Endpoint Dashboard chúng ta sẽ tên user đã được xác thực được hiện thị tạo Zero Trust Network Access.

Chúng ta sẽ thực hiện remote desktop vào server và nhập username password.

Nhấn Yes.

Kết quả là đã remote vào server Active Directory thành công.

Tiếp theo chúng ta sẽ truy cập trang quản trị của Sophos Firewall thông qua FQDN mà chúng ta đã khai báo là sf.valab.xyz.

Mở bất kì trình duyệt nào và nhập vào đường dẫn là https://sf.valab.xyz:4444.

Và kết quả là chúng ta đã có thể truy cập vào trang quản trị của Sophos Firewall thông qua ZTNA.

Cuối cùng chúng ta sẽ thực hiện kiểm tra khả năng tự động ngắt kết nối của máy trạm tới máy chủ khi máy trạm bị nhiễm virus.

Chúng ta remote desktop đến Active Diretory và sẽ giải nén một file virus như hình dưới và thấy được rằng Sophos Antivirus đã phát hiện ra nó.

Sau đó trạng thái bảo mật của phần mềm antivirus trên máy tính đã chuyển sang màu cam và đồng nghĩa với việc Sophos ZTNA sẽ ngay lập tức ngắt kết nối từ máy trạm đến máy chủ Active Directory.

Sau khi Sophos antivirus xử lý thành công file virus, nó sẽ tự động chuyển trạng thái bảo mật sang màu xanh và lúc này Sophos ZTNA sẽ trả lại quyền truy cập đến máy chủ Active Directory.

5.3.4.Hoạt động với Agentless.

Chúng ta sẽ cùng kiểm tra xem Agentless sẽ hoạt động như thế nào trong bài viết này.

Với Agentless thì chúng ta có thể truy cập vào máy chủ VMware ESXi bằng trình duyệt web mà chúng ta đã khai báo ở phần trước.

Để truy cập chúng ta mở bất kì một trình duyệt nào và nhập vào FQDN của Sophos ZTNA Gateway là https://ztna.valab.xyz.

Sau đó Sophos sẽ chuyển hướng người dùng sang trang Okta để xác thực.

Sau khi xác thực thành công người dùng sẽ truy cập vào 1 trang gọi là ZTNA Application Portal.

Đây là trang liệt kê tất cả các resource mà user vừa xác thực được phép truy cập.

Như chúng ta thấy trong danh sách là máy chủ VMware ESXI11.

Chúng ta chỉ cần nhấp chuột trái vào máy chủ để truy cập.

Như chúng ta thấy là việc truy cập bị lỗi và lỗi gặp phải ở đây là lỗi DNS.

Chúng ta cần lưu ý là mặc dù chúng ta đã khai báo resource cho máy chủ VMware ESXi với FQDN là esxi11.valab.xyz nhưng do chúng ta chưa trỏ DNS record FQDN này về IP WAN của Sophos Firewall nên khi chúng ta truy cập resource sẽ gặp lỗi này.

Chúng ta cần vào trang quản trị của tên miền và tạo DNS record như hình dưới đây.

Và sau đó quay trở lại ZTNA Application Portal và thử truy cập vào máy chủ VMware ESXi một lần nữa.

Kết quả là chúng ta đã truy cập thành công.

5.2.5.Kiểm tra Logs and Reports.

Do chúng ta đã thực hiện truy cập vào các resource bằng cả 2 phương thức là Agent và Agentless nên trong phần này chúng ta sẽ thực hiện review xem logs của Sophos ZTNA sẽ hiện thị như thế nào và có các loại log nào.

Đầu tiên đó chính là log ghi lại việc các user nào đã xác thực và trạng thái là xác thực thành công hay không.

Như chúng ta thấy tại hình dưới, log của Sophos ZTNA liệt kê rất chi tiết user nào đã xác thực, trạng thái xác thực, OS version mà máy tính người dùng đó dùng để xác thực, nếu là Agentless sẽ có thêm phần trình duyệt nào dùng để xác thực và version của trình duyệt đó.

Nội dung thứ 2 mà Sophos ZTNA ghi log lại đó chính là danh sách các truy cập vào resource bị từ chối.

Ở phần trên chúng ta có thực hiện giải nén file virus và bị ngắt kết nối vào máy chủ Active Directory.

Như hình dưới chúng ta có thể thấy Sophos ZTNA đã ghi lại log rất chi tiết gồm các thông số ngày-giờ, tên resource, user dùng để truy cập, lý do bị từ chối.

Nội dung thứ 3 mà Sophos ghi log lại chính là ghi lại lượng băng thông được truy cập của các resource.

Cuối cùng nội dung mà Sophos ghi log lại chính là băng thông được truy cập của Sophos ZTNA Gateway.

Chuỗi bài viết này sẽ cung cấp cho các bạn chi tiết các bước cần thực hiện cũng như cách triển khai toàn diện giải pháp Sophos Zero Trust Network Access.

2.Sơ đồ mạng

Chi tiết:

Chúng ta sẽ thiết bị tường lửa Sophos được kết nối với internet tại Port 2 với IP WAN tĩnh là 115.78.x.x.

Mạng nội bộ sẽ được cấu hình tại Port 1 của thiết bị Sophos Firewall với IP 172.16.31.1/24 và đã được cấu hình DHCP.

Trong mạng nội bộ sẽ có một máy chủ chạy hạ tầng ảo hóa VMWware Esxi có IP 172.16.31.11/24 và có các máy ảo như sau:

• Active Directory kiêm DNS server có hostname là pdc.valab.xyz với IP 172.16.31.250/24.
• Sophos ZTNA Gateway có hostname là ztna.valab.xyz với IP 172.16.31.251/24.

Ở phía ngoài internet chúng ta sẽ có các thành phần dùng để triển khai Sophos ZTNA như sau:

• Public domain: đang sử dụng domain của Mắt Bảo.
• Identity Provider: Okta.
• Sophos Central: nơi quản lý các policy, user, logs.
• Hai máy tính Windows 10 với 1 máy đã được cài Agent và 1 máy không cài Agent.

3.Tình huống cấu hình

Trong phần 1 của series này thegioifirewall sẽ hướng dẫn các bạn cấu hình 3 thành phần đầu tiên của là khai báo record trên public domain trỏ FQDN của Sophos ZTNA Gateway về IP WAN của Sophos Firewall, cấu hình Wildcard certificate và cấu hình Okta.

4.Các bước thực hiện

Public Domain:

• Tạo record.

Cấu hình Wildcard certificate:

• Get wildcard certificate cho domain valab.xyz.

Identity Provider Okta:

• Sync user từ Active Directory
• Tạo Application cho Sophos ZTNA.
• Tạo Authorization Server cho Sophos ZTNA.
• Khai báo Identity Provider Okta trên Sophos Central.

5.Hướng dẫn cấu hình

5.1.Public Domain

5.1.1.Tạo record.

Do Sophos ZTNA hoạt động bằng tên miền nên thegioifirewall đã chuẩn bị sẵn một tên miền được mua từ Mắt Bảo là valab.xyz.

Việc đầu tiên chúng ta cần làm với tên miền này là trỏ FQDN của Sophos ZTNA về IP WAN của Sophos Firewall.

Để làm chúng ta cần đăng nhập vào trang quản trị DNS cho tên miền valab.xyz trên trang web của Mắt Bảo.

Chúng ta sẽ tạo các record trỏ FQDN của Sophos ZTNA Gateway về IP WAN của Sophos Firewall như hình sau:

Để kiểm tra xem record đã hoạt động chưa chúng ta bật Command Prompt trên máy tính.

Nhập lệnh nslookup > gõ vào tên miền ztna.valab.xyz và chúng ta sẽ thấy tên miền này sẽ được phân giải thành địa chỉ IP 115.78.x.x.

5.2.Cấu hình Wildcard certificate

5.2.1.Đăng kí wildcard certificate cho domain valab.xyz.

Do giải pháp Sophos ZTNA sẽ sử dụng tất cả các subdomain của domain valab.xyz và kết nối mà nó sử dụng là https nên chúng ta cần phải có một wildcard certificate về https để áp dụng cho tất cả subdomain của domain valab.xyz.

Trong bài viết này chúng ta sẽ đăng kí wildcard certificate miễn phí từ Let’s Encrypt.

Đầu tiên chúng ta cần tải xuống phần mềm Certbot client về máy tính cá nhân.

Vào link phía dưới để download.

https://dl.eff.org/certbot-beta-installer-win32.exe

Tiếp theo thực hiện cài đặt phần mềm certbot client vào máy và mở nó lên.

Khi mở lên thì nó sẽ có giao diện như hình dưới đây.

Chúng ta sẽ nhập câu lệnh sau để đăng kí wild certificate cho tên miền valab.xyz.

certbot certonly –manual –preferred-challenges=dns –server https://acme-v02.api.letsencrypt.org/directory –agree-tos –domain valab.xyz

Sau khi chạy dòng lệnh certbot sẽ yêu cầu chúng ta tạo DNS TXT record trên domain valab.xyz với các thông số phía dưới.

Chúng ta cần đăng nhập vào trang quản trị của domain valab.xyz và thêm TXT record như sau.

Sau đó chúng ta vào https://toolbox.googleapps.com/apps/dig/#TXT/ để kiểm tra xem TXT record đã hoạt động hay chưa.

Nhập _acme-challenge.valab.xyz vào ô và nhấn enter, chúng ta sẽ thấy kết quả là TXT record đã hoạt động.

Quay trở lại certbot client nhấn Enter để tiếp tục.

Chúng ta thấy việc đăng kí wild certfificate đã thành công.

Hai file certificate có tên là fullchain.pem và file key có tên là privkey.pem được lưu tại ổ C:/Certbot/Archive/valab.xyz-0001

Lưu ý: chúng ta cần giữ 2 file này để dùng cho việc triển khai Sophos ZTNA Gateway ở phần sau.

5.3.Identity Provider Okta

5.3.1.Sync user từ Active Directory

Mục đích của việc sync user này là để Okta sẽ sử dụng trực tiếp user từ Active Directory cho bước xác thực người dùng.

Hình dưới đây là danh sách các user và groups sẽ được sync lên Okta.

Để sync chúng ta truy cập vào trang quản trị của Okta.

Vào Directory > Directory Integrations > nhấn Add Active Directory.

Nhấn Set Up Active Directory.

Nhấn Download Agent.

Chúng ta sẽ cài đặt file OktaADAgentSetup vừa tải vừa và chúng ta cần copy thông số Your Okta Orgnization URL để sử dụng cho quá trình cài đặt.

Nhấn Next.

Nhấn Install.

Okta AD Agent sẽ tự động phát hiện được tên domain trên máy chủ Active Directory.

Nhấn Next.

Chọn Create or use the OktaService account (recommended), với lựa chọn này Okta Agent sẽ tạo ra một tài khoản với username OktaService chỉ dùng để chạy cho duy nhất dịch vụ của Okta.

Nhấn Next.

Chúng ta nhập password cho tài khoản OktaService và nhấn Next.

Nhấn Next nếu chúng ta không sử dụng proxy trong hệ thống.

Copy Okta Organization URL mà chúng ta đã lưu tại bước download Okta Agent vào ô Enter Organization URL.

Một cửa sổ đăng nhập hiện ta, chúng ta cần đăng nhập tài khoản quản trị của Okta và nhấn Sign in.

Nhấn Allow Access để cho phép các service cần thiết Okta Agent có thể hoạt động.

Quá trình đăng kí Okta Agent và cài đặt sẽ diễn ra trong khoảng 5 giây.

Chúng ta nhấn Finish để hoàn thành việc cài đặt Okta Agent.

Quay trở lại trang quản trị chúng ta sẽ tiếp tục phần cấu hình còn lại.

Tại Basic Settings, chúng ta sẽ chọn OU mà chúng ta sẽ sync lên Okta.

Ở đây chúng ta sẽ chọn OU valab vì đây là nơi chứa users và group.

Tại Okta username format, chúng ta sẽ chọn Email Address và nhấn Next.

Nhấn Next.

Tại Build User Profile nhấn Next.

Nhấn Done để hoàn thành.

Vào Directory > Directory Integrations và chúng ta sẽ thấy Okta đã kết nối với máy chủ Active Directory thành công.

Tiếp theo chúng ta sẽ import users và groups lên Okta, để import chúng ta nhấn chuột trái vào Active Directory.

Tại tab Import nhấn Import Now.

Chọn Incremental import (fastest) và nhấn Next.

Quá trình import sẽ diễn ra trong vài giây.

Okta đã scan thành công 7 user và 2 group.

Để import user lên Okta chúng ta tích chọn tất cả user và nhấn Confirm Assignments.

Tích chọn Auto-active users after confirmation và nhấn Confirm.

Với việc tích chọn Auto-active users after confirmation thì sau khi confirm thành công Okta sẽ gửi email đến cho từng người dùng thông báo về việc tài khoản Okta của user đó đã được tạo và username và mật khẩu sẽ tương tự như của tài khoản domain mà user đang dùng.

Email được gửi đến người dùng sẽ có nội dung như hình sau.

Để xem danh sách user vừa được import vào Directory > People, chúng ta sẽ thấy danh sách user đã được import như hình dưới đây.

Để xem các group đã được import vào Directory > Groups.

5.3.2.Tạo Application cho Sophos ZTNA

Chúng ta cần tạo một Application cho Sophos ZTNA để khi người dùng truy cập và xác thực thì sẽ được chuyển hướng tới trang xác thực của Okta.

Để tạo vào trang quản trị của Okta > Applications > Applications > Create App Integration.

• Sign-in method: chọn OIDC – OpenID Connect.
• Application type: chọn Web Application.

App integration name: Sophos ZTNA.

Tại Grand type: tích chọn Client Credentials và Refresh Token.

Tại Sign-in redirect URIs chúng ta nhập vào đường dẫn, đây là đường dẫn mà người dùng sẽ được chuyển hướng tới để thực hiện xác thực.

Đường dẫn này sẽ có định dạng là https://FQDN<Sophos ZTNA Gateway>/oauth2/callback.

Ví dụ: FQDN của Sophos ZTNA Gateway sẽ được triển khai trong phần sau là ztna.valab.xyz => đường dẫn sẽ là https://ztna.valab.xyz/oauth2/callback.

Tại Assignments chọn Skip group assignment for now và nhấn Save.

Quay lại Applications > Applications chúng ta sẽ thấy Sophos ZTNA đã được tạo.

Chúng ta sẽ cần assign group và điều chỉnh scope cho app Sophos ZTNA này.

Để điều chỉnh nhấn chuột trái vào tên Sophos ZTNA.

Tại tab General chúng ta sẽ cần phải nhấn vào biểu tượng copy tại Client ID và Client Secrets và lưu chúng lại để sử dụng ở phần khai báo Identity Okta trên Sophos Central.

Tại tab Okta API Scopes chúng ta nhấn Grant tại okta.idps.read.

Tại tab Assignments, nhấn Assign > Assign to Groups để chỉ định các groups nào sẽ được sử dụng app Sophos ZTNA này.

Tại Assign Sophos ZTNA to Groups nhấn Assign 2 group SALE TEAM và TECHNICAL TEAM.

Chúng ta sẽ thấy phía bên phải của 2 group hiện chữ Assigned tức đã chỉ định thành công.

Nhấn Done.

Quay trở lại với trang quản trị tại Assignments > Groups, chúng ta sẽ thấy 2 group mà chúng ta vừa Assign đã được liệt kê.

Tại Assignments > People chúng ta cũng sẽ thấy các các user thuộc 2 group đã được liệt kê.

5.3.3.Tạo Authorization Server cho Sophos ZTNA.

Để tạo chúng ta truy cập trang quản trị Okta vào Security > API > Nhấn Add Authorization Server

Bảng Add Authorization Server hiện ra, điền ZTNA vào Name và Audience và nhấn Save.

Chúng ta sẽ thấy là Authorization Server ZTNA đã được tạo, chúng ta cần lưu lại thông tin Issuer URI để phục vụ cho việc khai báo Identity Provider Okta trên Sophos Central.

Tiếp theo chúng ta nhấn vào tên ZTNA để điều chỉnh một vài thông số.

Đầu tiên chúng ta cần tạo Scope tên làm customScope với mục đích duy nhất là kiểm tra kết nối giữa Okta và Sophos Central.

Để tạo vào tab Scope > nhấn Add Scope.

Tại Name điền vào customScope và nhấn Save.

Trên Claim tab, nhấn Add Claim. Một Claim cho phép ZTNA xem các nhóm để xác thực. Nhập các thông tin chi tiết như sau:

• Name: groups.
• Inlcude in token type: ID Token – Iserinfo / id_token request.
• Value type: chọn Expression.
• Value: Arrays.isEmpty(Arrays.toCsvString(Groups.startsWith(“active_directory”,””,100))) ? Groups.startsWith(“OKTA”,””,100) : Arrays.flatten(Groups.startsWith(“OKTA”,””,100), Groups.startsWith(“active_directory”,””,100))
• Include in: chọn Any scope.
• Nhấn Save.

Để mà Sophos Central có thể kết nối đến customScope trên Okta chúng ta cần phải tạo policy cho phép.

Tại tab Access Policies nhấn Add New Access Policy và cấu hình theo thông số sau:

• Name: ZTNA.
• Description: ZTNA.

5.3.4.Khai báo Identity Provider Okta trên Sophos Central,

Để khai báo chúng ta truy cập vào trang quản trị của Sophos Central bằng quyền admin.

Vào ZTNA > Identity Providers > nhấn Add identity provider.

• Name: Okta.0
• Provider: Okta
• Client ID: nhập vào Client ID đã copy ở bước tạo App Integration Sophos ZTNA.
• Client secret: nhập vào Client secrets đã copy ở bước tạo App Integration Sophos ZTNA.
• Issue URI: nhập vào Issue URI đã copy ở bước tạo Authorization Server ZTNA.
• Scope: nhập vào customScope và nhấn Test connection để kiểm tra kết nối giữa Sophos Central và Okta.
• Nhấn Save.

Giải pháp ZTNA  của Sophos giúp chúng ta kiểm soát đối tượng truy cập cũng như cấp quyền đối với các tài nguyên trong hệ thống mạng của mình.

Trong đó ZTNA client là một Agent được cài đặt lên máy user để xác thực và cung cấp dịch vụ ZTNA đến user, Agent này chỉ cần đăng nhập 1 lần và sẽ tự động lưu thông tin đăng nhập của user đó. Trong một số trường hợp chúng ta muốn thay đổi user tại Agent thì không có giao diện để thực hiện các thao tác này. Sau đây Thegioifirewall sẽ hướng dẫn các bạn thực hiện thay đổi user đăng nhập ZTNA tại Agent.

2 Các bước thực hiện

Các bước cần thực hiện như sau:

– Gỡ bỏ tamper protection khỏi thiết bị

– Chạy đoạn script xóa thông tin đăng nhập cũ

– Nhập thông tin mới vào

– Bật lại tamper protection cho thiết bị

Sau đây là các bước thực hiện như sau:

Chúng ta truy cập vào trang central của mình. Chọn mục Devices tìm kiếm thiết bị cần cài đặt. Ta chọn disable tamper protection tại thiết bị này.

Sau đó tại máy agent ta chọn mục About. Chọn Update now để áp dụng các cài đặt từ central xuống ngay lập tức.

Ta chọn Tab Events và sẽ thấy user hiện đăng nhập tại máy.

Bạn tạo script như ở dưới và đổi đuôi file thành .BAT. Sau đó chạy đoạn Script bằng quyền của admin.

@echo off
del /s /q "C:\ProgramData\Sophos\Sophos Network Threat Protection\ztnacookies\*.*"
taskkill /F /IM "Sophos UI.exe"
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 255
REG DELETE HKEY_LOCAL_MACHINE\SOFTWARE\Sophos\Ztna\Config /v UserInfo /f
start C:\"Program Files"\Sophos\"Sophos UI"\"Sophos UI.exe"
taskkill /F /IM "SophosNTPService.exe"
net start sntpservice

Tiến hành truy cập vào tài nguyên của mình trên ZTNA. Ở đây tôi sử dụng dịch vụ Remote desktop thông qua ZTNA. Connect đến tên miền của ứng dụng.

Trang đăng nhập sẽ hiện ra. Ta điền thông tin user mới vào, nhấn Sign in

Ta vào tab Events để kiểm tra lại thì thấy là user mới đã được đăng nhập. 

Sau khi thiết lập tại Agent xong. Tiến hành Enable Tamper protection tại Central.

Chúng ta đã thay đổi tài khoản xong. Chúc các bạn thành công

Bài viết này sẽ mô tả cho các bạn các báo cáo và cảnh báo về Sophos ZTNA khi bạn sử dụng giải pháp này.

2.Các phần sẽ tìm hiểu

Dashboard

Alerts

Reports

• Reports: Gateway Bandwidth
• Reports: Authenticated Users
• Reports: Denied Resource Access
• Reports: Resource Bandwidth

3.Hướng dẫn

3.1.Dashboard

Bảng điều khiển ZTNA cung cấp bản tóm tắt các cảnh báo và 5 ứng dụng hàng đầu bằng cách truyền dữ liệu.

3.2.Alert

Bạn có thể đi sâu vào các cảnh báo để xem thêm chi tiết. Theo mặc định, chế độ xem này sẽ nhóm các cảnh báo, sau đó bạn có thể đi sâu hơn vào.

Đây là một ví dụ về một ứng dụng không khả dụng, chẳng hạn như nếu máy chủ Backend ngoại tuyến. Bạn có thể xác nhận các cảnh báo để xóa chúng khỏi trang Dashboard và thay đổi tần suất gửi email cho cảnh báo đó.

Đây là ví dụ về một email cho cùng một cảnh báo.

3.3.Reports

Các báo cáo cung cấp thông tin chi tiết về nền tảng ZTNA của bạn. Có bốn mẫu báo cáo được định cấu hình trước mà bạn chọn. Chúng có thể được tùy chỉnh và sau đó được lưu dưới dạng mẫu mới.

3.3.1.Reports: Gateways Bandwidth

In the top-right you can also choose the type of chart to be generated.

You can also optionally apply text query filters to the report.

3.3.2.Reports: Authenticated Users

Another report template shows Authenticated Users.

3.3.3.Reports: Denied Resource Access

In this example, Denied resource access shows that one user is making repeated attempts to access to a resource for which they have no rights.

3.3.4.Reports: Resource Bandwidth

In our final example the Resource bandwidth report shows bandwidth used by the three applications during the last 24 hours.

Bài biết này sẽ hướng dẫn chi tiết cách triển khai Sophos ZTNA Gateway trên nền tảng cloud AWS.

2.Sơ đồ mạng

3.Các bước cấu hình

• Thêm AWS ZTNA Gateway vào Sophos Central
• Cấu hình CloudFormation Template
• Accept AWS ZTNA Gateway on Sophos Central

4.Hướng dẫn cấu hình

4.1.Thêm AWS ZTNA Gateway vào Sophos Central

Bước đầu tiên để triển khai ZTNA trong AWS là thêm một Gateway vào Sophos Central với ‘Platform type’ là Amazon Web Service.

Sau khi được thêm, sẽ có một liên kết Launch Stack cho Gateway sẽ mở CloudFormation template trên AWS.

4.2.Cấu hình CloudFormation template

Trước khi bạn bắt đầu hoàn thành CloudFormation template, hãy đảm bảo rằng bạn đã chọn khu vực mà bạn muốn triển khai ở trên cùng bên phải của trang. Trong mẫu CloudFormation, hãy tùy chỉnh Stack name.

Bạn cần chọn hai hoặc ba vùng khả dụng để triển khai.

Không được sửa đổi các trường trong phần ‘Registration Configuration’, chẳng hạn như OTP, Serial Number và Instance ID.

Trong phần cấu hình mạng VPC, hãy đặt ‘Number of Availability Zones’ để khớp với number of availability zones mà bạn đã chọn trong phần “Parmaters” của CloudFormation template.

Kiểm tra cấu hình của các mạng con cho VPC để đảm bảo rằng chúng không xung đột với các tài nguyên hiện có và tùy chỉnh chúng theo yêu cầu.

Chọn loại phiên bản EC2 bạn muốn sử dụng cho các nút cụm ZTNA và chọn số lượng nút bạn muốn triển khai.

Lưu ý, số lượng nút không được vượt quá giá trị ‘MaxNumberOfNodes’, theo mặc định là năm, nhưng có thể tăng lên. Tính năng tự động thay đổi tỷ lệ sẽ được hỗ trợ trong các bản phát hành trong tương lai.

Việc tạo ngăn xếp có thể mất đến một giờ. Chờ trạng thái của ngăn xếp thay đổi thành ‘CREATE_COMPLETE’ trước khi tiếp tục.

4.3.Accept AWS ZTNA Gateway trên Sophos Central

Sau khi quá trình triển khai hoàn tất, bạn cần phải Accept AWS ZTNA Gateway vừa tạo trong Sophos Central.

Bài viết này sẽ hướng dẫn cấu hình sử dụng Azure AD là nhà cung cấp xác thực cho Sophos ZTNA.

2.Các bước cấu hình

Tạo Azure AD App.

• Tạo client secret
• Cấu hình app permissions
• Thêm Authentication URLs

Cấu hình Central Azure AD Synchronization

Cấu hình ZTNA Identity Provider trên Sophos Central

3.Hướng dẫn cấu hình

3.1.Tạo Azure AD APP

App Registration phải được tạo trong Azure AD để Sophos Central có thể đồng bộ hóa người dùng và nhóm, đồng thời ZTNA có thể xác thực người dùng. Bạn sẽ cần tạo một client secret mà Central sử dụng để xác thực chính nó.

3.1.1.Tạo client secret

Để tạo Client Secret vào Certificates & secrets > Client secrets > nhấn New client secret.

Khi client secret được tạo, nó sẽ chỉ được hiển thị một lần, vì vậy điều quan trọng là phải cất giữ nó ở một nơi an toàn.

3.1.2.Cấu hình app permissions

Bạn sẽ cần phải định cấu hình các API permission cho app registration, quyền này kiểm soát những thứ gì có thể được truy cập bằng cách sử dụng client secret mà bạn đã tạo. Microsoft Graph được ủy quyền và các quyền ứng dụng phải được chỉ định. Quyền được ủy quyền dành cho các ứng dụng chạy với người dùng đã đăng nhập. Quyền ứng dụng cho phép các dịch vụ chạy mà không cần người dùng đăng nhập.

3.1.3.Thêm Authentication URLs

Bạn cần thêm các redirect URI để xác thực, các URI này được sử dụng để chuyển hướng trở lại ứng dụng sau khi xác thực hoàn tất. Khi tạo đăng ký ứng dụng để đồng bộ hóa người dùng Sophos Central, bạn thêm https://central.sophos.com. Đối với ZTNA, bạn cần thêm một URI gọi lại cho mỗi cổng ZTNA. Đây sẽ là FQDN của cổng có thêm / oauth2 / callback, như trong ví dụ.

3.2.Cấu hình Central Azure AD Synchronization

Khi bạn đã tạo app registration, bạn có thể thiết lập đồng bộ hóa Azure AD trong Sophos Central bằng cách sử dụng Application ID (Client) và Client secret.

Để thiết lập Azure AD làm Identity Provider, bạn cũng cần có ‘Tenant ID’, bạn có thể tìm thấy ID này bằng cách nhấp vào liên kết ‘Display name’ trong trang App registration.

3.3.Cấu hình ZTNA Identity trên Sophos Central

Bây giờ chúng ta sẽ xem xét cách thêm Azure AD làm nhà cung cấp danh tính cho ZTNA. Cấu hình rất giống với cấu hình Azure AD Sync, nhưng cũng bao gồm ‘Tenant ID’.

Bài viết hướng dẫn cấu hình Agent Access cho hệ thống Sophos ZTNA. Với bài viết này, chúng ta sẽ có thể triển khai ZTNA Agent và cấu hình các tài nguyên để cho phép truy cập từ bên ngoài

Agent được chạy trên máy trạm sẽ sử dụng giao thức mã hoá WebSockets và xác thực TLS 1.2

Agent được cài hỗ trợ Windows 10 trở lên

Các bước cấu hình

• Cài đặt ZTNA Agent trên máy trạm
• Xác thực người dùng
• Cấu hình Resource Access cho phép các truy cập
• Kiểm tra hoạt động kết nối

Hướng dẫn cấu hình

Cài đặt ZTNA Agent trên máy trạm

Để cài đặt ZTNA Agent ta sẽ có nhiều cách để thực hiện

Cách 1: Cài đặt ZTNA Agent được bao gồm trong gói cài đặt Endpoint Protection Installer hoàn chỉnh hoặc bạn có thể cài đặt ZTNA Agent riêng lẻ ở mục chọn components

Cách 2: Cài đặt từ xa ZTNA Agent từ trên Sophos Central

• Tìm kiếm đến máy mà bạn muốn cài ZTNA Agent -> Nhấn Assign this software ở mục ZTNA hoặc nhấn Manage Endpoint Software -> Nhấn Install ở mục ZTNA

Kiểm tra ZTNA đã được cài đặt thành công

• Mở phần mềm Sophos Endpoint trên máy trạm

Xác thực người dùng

• Người dùng sẽ sử dụng tài khoản domain được xác thực thông qua Azure AD hoặc Okta để được duyệt cho phép truy cập vào các tài nguyên của doanh nghiệp

• Người dùng đã xác thực sẽ được hiển thị ở phần mềm Sophos Endpoint Agent trên máy tính của người dùng

Cấu hình Resource Access cho phép các truy cập

• Trên Sophos Central -> Đi đến mục ZTNA -> Chọn mục Resource & Access -> Nhấn Add resource

• Đặt tên cho resource
• Ở mục Gateway: Chọn ZTNA Gateway của bạn
• Ở mục Access method: Chọn Agent
• Ở mục Policy: Chọn Green Health nếu bạn bắt buộc máy trạm ở trạng thái an toàn mới được truy cập vào tài nguyên của doanh nghiệp, chọn Yellow or Green Health nếu bạn cho phép trạng thái Warning cũng được phép truy cập tài nguyên hoặc Agent – No condition nếu không yêu cầu về mức độ an toàn của máy trạm
• Ở mục Resource type: Chọn dịch vụ mà bạn cho phép người dùng được truy cập
• Ở mục External FQDN: Nhập địa chỉ domain FQDN External để người dùng từ xa truy cập tới
• Ở mục Internal FQDN/IP address: Nhập địa chỉ domain FQDN local hoặc IP của ZTNA Gateway để cho phép các yêu cầu truy cập tới
• Ở mục Access port type: Chọn protocol phù hợp với dịch vụ mà bạn muốn cho phép truy cập
• Ở mục Port: Nhập port phù hợp với dịch vụ mà bạn muốn cho phép truy cập
• Ở mục Assign user group: Chọn Group user mà bạn cho phép truy cập vào tài nguyên của hệ thống
• Nhấn Save để lưu lại

Kiểm tra hoạt động kết nối

• Người dùng đã cài Sophos ZTNA và Sophos Endpoint với trạng thái xanh, đồng thời đã xác thực user với hệ thống Azure AD hoặc Okta sẽ được cho phép kết nối RDP

1 Giới thiệu

Okta là 1 nền tảng cloud cung cấp ứng dụng dùng cho việc xác thực user. Sophos ZTNA hỗ trợ 2 Identity Provider là Okta và Azure AD. Hôm nay mình sẽ hướng dẫn các bạn cấu hình Okta làm Identity Provider cho Sophos ZTNA.

Các bước để cấu hình Okta thành Identity Provider cho Sophos ZTNA như sau:

• Tạo App Integration
• Thêm Authorization Server
• Thêm Okta vào Identity Provider cho ZTNA

Sau đây mình xin đi vào từng bước thực hiện.

2 App Integration

2.1 Tổng quát các bước thực hiện

App Integration cần cho API Services để kết nối Okta và ZTNA. Ví dụ trên ta có 1 App Integration tên là Sophos Central. 

Khi tạo 1 App Integration, chọn OIDC-OpenID Connect như là Sign-in method và Web Application như là Application type.

Bạn cần thêm Sign-in redirects cho ứng dụng. Đây là FQDN của ZTNA Gateway theo sau đường dẫn là /oauth2/callback

1 Sign-in redirect sẽ dùng cho 1 ZTNA Gateway. 

Tại mục Client Credentials của Application bạn có thể copy Client ID và Client secret, ta có thể dùng để thêm Okta như là Identity Provider cho ZTNA trên Sophos Central.

Tại mục Assignments tab, dùng Assign menu để lựa chọn những group có thể xác thực bằng Okta này 

Bước cuối cùng là cho phép Okta app đọc thông tin về group và thành viên trong tổ chức của bạn. Tại Okta API Scopes tab ta cho phép quyền okta.groups.read.

2.2 Hướng dẫn chi tiết cách tạo App Integration

Tại Applications ta ạo 1 App Integration

Chọn 2 mục trên và nhấn next

Ta nhập tên App. Tích chọn các mục giữa và nhập đường dẫn ZTNA Gateway

Kéo xuống dưới. Tích chọn như hình và nhấn save

Tại tab General ta lấy thông tin ID để nhập vào Sophos central. Chuyển sang tab Okta API Scope

Grant access cho okta.group.read

Tại Assignment. Assign to groups

Thêm group ZTNA ALL và nhấn done. Vậy là ta đã hoàn thành bước tạo App Integration.

3 Authorization Server

3.1 Tổng quát các bước thực hiện

ZTNA cần tạo 1 kết nối đến Okta Authorization Server. Server được tạo tại mục Security > API

Bạn cần Issuer URI để thêm Okta như là Identity Provider cho ZTNA trên Sophos Central.

Việc test kết nối giữa ZTNA và Okta yêu cầu 1 Scope. Ví dụ trên chúng ta có 1 Scope tên là customScope.

Để thành viên trong group user cho xác thực được gửi đến ZTNA Gateway, bạn cần thêm 1 Claim.

Claim phải có name là “group”, tên viết thường như trên hình. Value của Claim này như sau:

Arrays.isEmpty(Arrays.toCsvString(Groups.startsWith(“active_directory”,””,100))) ?

Groups.startsWith(“OKTA”,””,100) :

Arrays.flatten(Groups.startsWith(“OKTA”,””,100),Groups.startsWith(“active_directory”,””,100))

Authorization server mới sẽ không có bất cứ access policy nào. Bạn có thể thêm access policy và thêm policy rule cho nó bằng cách dùng default settings, hoặc bạn có thể tùy chỉnh lại nếu cần thiết.

3.2 Hướng dẫn chi tiết tạo Authorization Server

Tại Security > API ta Add Authorization Server

Điền Name và Audience và nhấn save

Tại Setting ta lưu thông tin Issuer và URI. Chuyển sang tab Scopes

Thêm 1 Scope

Tạo 1 scope với name là customScope

Tại tab Claim ta add thêm Claim

Đặt tên là groups chọn các mục như trên. Tại value ta copy ở phần các bước thực hiện phía trên và nhấn create.

Tại Access Policies chọn add policy

Điền name và description và nhấn create policy

Tại tab Access Policies chọn add rule

Đặt tên và nhấn phím Enter

Vậy là ta đã tạo thành công Authorization Server.

4 Thêm Okta và Identity Provider cho ZTNA

Quá trình thêm Okta vào Identity Provider sẽ ngắn gọn hơn các phần trên và mình sẽ tóm lược theo các bước sau

Để thêm Okta vào Identity Provider ta vào mục Identity Providers chọn Add Identity Provider

Điền Client ID và Client secret như ở phần tạo App Integration

Nhập issuer URI của Authorization Server

Điền tên của scope được tạo ra để test kết nối

Nhấn Test connection 

Bạn sẽ nhận được thông báo quá trình tạo thành công.

Vậy là chúng ta đã hoàn thành việc tạo Okta thành Identity Provider cho Sophos ZTNA. Chúc các bạn thành công.