• Bài viết này giải thích cách thiết lập đường hầm RED-Site-to-Site (S2S) giữa hai Tường lửa Sophos XG, mà không cần một thiết bị RED riêng biệt.

Sơ đồ mạng

Cấu hình trên Firewall RED Server (XG1)

• Nhấp System Services > RED và bật nút RED Status ở trạng thái ON.
• Điền vào các tùy chọn bên dưới và nhấn Apply để bật tính năng RED.
• Organization Name
• City
• Country
• Email
• Chuyển đến Network và nhấn Add Interface.
• Chọn Add Red từ danh sách thả xuống.
• Nhập các chị tiết cài đặt RED cho Firewall Server

• Branch Name: Nhập tên của vị trí từ xa mà RED sẽ được thiết lập.
• Type: Firewall RED Server.
• Tunnel ID: Automatic.
• RED IP: Nhập địa chỉ IP cho RED server trong RED Tunnel (theo sơ đồ mạng là 192.168.1.1).
• RED Netmask: Subnet-Mask cho toàn bộ mạng được sử dụng bởi đường hầm RED. Mạng phải có ít nhất hai địa chỉ có sẵn trong không gian.
• Zone: LAN.
• Một tệp cung cấp được tạo cho Firewall Client từ xa. Nhấp vào nút Edit và sau đó Tải xuống, để lưu tệp có đuôi .red .

Cấu hình trên Firewall RED Client (XG2)

• Lặp lại các bước cấu hình ở XG và điền vào các chi tiết được hiển thị bên dưới khi thêm RED Interface.

• Branch Name: Nhập tên của vị trí từ xa mà RED sẽ được thiết lập.
• Type: Firewall RED Client.
• Firewall IP/Hostname: Địa chỉ IP WAN của RED Server (theo sơ đồ mạng là 172.16.31.230).
• Provisioning File: Nhấp vào chọn tệp và chọn file vừa tải xuống khi cấu hình RED Server.
• RED IP : Nhập địa chỉ cho RED client trong RED tunnel (theo sơ đồ là 192.168.1.2).
• RED Netmask: Subnet-Mask cho toàn bộ mạng được sử dụng bởi đường hầm RED. Mạng phải có ít nhất hai địa chỉ có sẵn trong không gian.
• Zone: LAN.

Static Routes

• Trên Site-to-Site RED tunnels, static route cần phải được cấu hình bằng tay.
• Chuyển đến Routing > Static Routing.
• Nhấp Add để tạo 1 IPv4 Unicast Route.
• Tạo static routes trên cả hai thiết bị tường lửa XG để các mạng con phía sau hai firewall có thể đi qua RED tunnel.
• Sau khi nhấn Add để tạo IPv4 Unicast Route chúng ta cần điền các thông tin như hình sau.
• Server

• Client

Result

• Chúng ta sẽ tracert từ máy con có địa chỉ IP nằm trong dãy 172.16.17.0/24 đến máy con thuộc lớp 172.16.16.0/24 để kiểm tra kết quả.