Giả sử người dùng được kết nối với mạng LAN của công ty thông qua Sophos Connect Client. User home network range là “192.168.10.0/24” và mạng LAN công ty cũng đang sử dụng là “ 192.168.10.0/24 ”. Vì vậy, nếu người dùng kết nối VPN qua Sophos connect Client khi ping bất kỳ địa chỉ IP LAN nào của công ty, yêu cầu sẽ không chuyển qua Sophos connect client VPN tunnel thay vào đó yêu cầu sẽ tìm kiếm destination host trong cùng một home network.

2. Network Diagram

Bài viết sẽ hướng dẫn các cấu hình fix lỗi khi sử dụng Sophos Connect Client mà network của remote user trùng với lớp mạng của LAN công ty do Sophos Firewall cấp.

Để giải quyết vẫn đề này, bạn sẽ cấu hình add 1 lớp mạng khác trong Sophos Connect Client và tạo DNAT rule để translate đến LAN network của công ty.

3. Hướng dẫn cấu hình

Bước 1: Tạo Host & Service

Trên giao diện quản trị của Sophos Firewall (version 19.0) > Configure > Remote Access VPN > IPsec.

Kéo xuống phần Advanced settings > Permitted network resources (IPv4) > Add new item > Add > Network.

Tạo network như hình dưới. Click Save.

Tiếp theo bạn cần tạo network range cho host “10.1.1.0_Network” để map với Internal Network Range.

Bạn di chuyển đến System > Host & Service > IP host > Add. Bạn tạo như hình dưới.

Bước 2: Tạo DNAT rule.

Note: Để NAT rule on top.

Di chuyển đến phần Protect > Rule & Policies > Nat rule > New Nat rule. Bạn tạo rule như hình dưới.

Bằng cách tạo rule này, bất kỳ người dùng nào đang cố gắng truy cập network 10.1.1.0/24 (10.1.1.10-0.1.1.200) thì sẽ được chuyển hướng đến (192.168.10.10-192.168.10.200).

Bước 3: Tạo Firewall rule.

Note: Để firewall rule on top.

Di chuyển đến phần Protect > Rule & Policies > Firewall rule > Add new firewall rule.

Bây giờ chúng ta sẽ tạo firewall rule để allow traffic khi user đang truy cập vào mạng 10.1.1.0/24 (10.1.1.10-0.1.1.200) từng Zone VPN > Zone LAN. Bạn tạo firewall rule như hình dưới.

Như vậy chúng ta đã cấu hình xong đưa thêm 1 lớp mạng giả vào Sophos Connect client, khi client cố gắng truy cập mạng giả này, tường lửa khi phát hiện sẽ thực hiện NAT và tranlate sang mạng nội bộ khi chúng ta tạo DNAT rule.

Sophos Connect Client cho phép bạn thực thi các cài đặt bảo mật nâng cao và linh hoạt, chẳng hạn như kết nối đường hầm tự động. Bạn cũng có thể cấu hình và thiết lập kết nối SSL VPN truy cập từ xa bằng Sophos Connect Client bạn chỉ cần thực hiện các bước sau:

+ Cấu hình cài đặt SSL VPN (Remote Access).

+ Gửi tệp cấu hình cho người dùng.

+ Cấu hình Firewall Rule.

+ Gửi ứng dụng Sophos Connect Client cho người dùng. Ngoài ra, người dùng có thể tải xuống từ User Portal.

Hiện tại, Sophos Connect Client không hỗ trợ macOS cho SSL VPN. Nó cũng không hỗ trợ các nền tảng di động cho IPsec và SSL VPN. Đối với macOS và các nền tảng di động, bạn nên sử dụng ứng dụng OpenVPN Connect Client.

Bài viết sẽ hướng dẫn các bạn cấu hình SSL VPN (Remote Access) với Sophos Connect Client.

Sơ đồ mạng

Hướng dẫn

Bước 1: Tạo User và Group remote access

Để tạo Group: Bạn đi đến phần Configure > Authentication > Group > Add.

Group Name: Điền tên group bạn muốn.

Surting quota: Chọn Unlimited internet Access

Access time: Allowed all the time

Click Save.

Bạn chuyển qua tab User.

User name: Điền tên user (Đây là tên dùng để xác thực user)

Name: Tên người dùng.

Password: Điền password cho user

Email: Điền email của user

Kéo xuống phần Policies.

Chọn Group là tên Group đã tạo ở bước trên. Click Save.

Bước 2: Tạo Local Subnet và remote SSL VPN range.

Tạo Local Subnet:

Đi đến Hosts and Services > IP Host > Add.

Name: Điền tên Local Subnet bạn muốn

Type: chọn Network

Ip address: Điền ip subnet local của bạn.

Click Save.

Tạo Remote SSL Range.

Bạn check trong VPN > Show VPN setting.

Ipv4 lease range: Đây là SSL VPN range mặc định của Sophos. Bạn cũng có thể chỉnh tạo range mới.

Chọn Ip host > Add.

Name: Điền tên ban muốn

Type: chọn IP range.

Ip address: Điền ip range như đã check ở bước trên.

Bước 3: Cấu hình SSL VPN (Remote Access)

Đi đến Configure > VPN > SSL VPN (Remote Access) > Add

General Settings:

Name: Điền tên bạn muốn

Policy Member: Chọn group đã tạo ở bước 1.

Permitted network resource (Ipv4): Chọn local subnet tạo ở bước 2 và các subnet khác trong LAN bạn muốn sử dụng để SSL VPN. Click Apply.

Bước 4: Check Authentication Service

Đi đến Authentication > Services.  Check Firewall authentication methods.

Check Selected authentication server là Local.

Kéo xuống và check SSL VPN authentication methods là Local.

Check Device Access Setting

Đi điến Administration > Device access. Check SSL VPN và User Portal được tích chọn trong LAN và WAN.

Bước 5: Tạo Firewall rule cho SSL VPN remote access.

Bạn tạo rule như hình dưới.

Bước 6: Download Sophos Connect Client

Có 2 cách để download Sophos Connect.

Cách 1: Người dùng tự downlaod. Đăng nhập và Download trên User Portal. Click Download client for Windows.

Cách 2: Trên Sophos v17 bạn download bằng cách đi đến VPN > Sophos Connect Client > Download.

Trên Sophos V18, nếu bạn không thấy tab Sophos Connect client, bạn có thể đi đến Ipsec (Remote Access) chọn Download client để tải xuống Sophos Connect.

Bước 7: Download file cấu hình để Import lên Sophos Connect.

Download file cấu hình trên User Portal. Click chọn Download configuration for other OSs.

Bạn sẽ tải xuống 1 file có đuôi .ovpn

Bước 8: Cài đặt và cấu hình Sophos Connect Client trên máy người dùng.

Sau khi tải sophos connect bạn click chọn run SophosConnect_2.1.20 (Ipsec_and_SSLVPN).msi và cài đặt theo hướng dẫn.

Import file đuôi chấm .ovpn

Sau khi cài đặt bạn ở Sophos Connect > click Import connection.

Chọn file đuôi .ovpn ở bước trên. Click Open.

Chọn Connect.

Authenticate user. Nhập user và password được cấp để VPN. Click Sign in.

SSL VPN thành công.

Check trên máy tính đã nhận ip range SSL VPN là 10.81.234.6.

Check trên Sophos. Bạn đi đến Current Activities > Live User.

User johnD đang kết nối.

Sophos Connect Client là một phần mềm VPN chạy trên hệ điều hành Windows 7 SP2 và Mac OS 10.12 trở lên. Nó được sử dụng để thiết lập các đường hầm VPN được mã hóa, bảo mật cao cho các nhân viên bên ngoài có một kết nối an toàn về trụ sở chính.

Bài viết sẽ hướng dẫn các bước cấu hình Sophos Connect Client trên Sophos XG v18.

Hướng dẫn

Bước 1: Cấu hình IPsec (Remote Access)

Đi đến Configure > VPN > IPsec (remote access). Điền các thông số sau:

IPsec remote access: click chọn Enable

Interface: chọn port WAN

Authentication Type: chọn Preshared key hoặc Digital Certificate

Nếu chọn Preshared key: Điền 1 preshared key bất kì bạn muốn.

Allowed users and group: Add các user bạn muốn.

Bạn có thể tạo user tại Authentication > User > Add. Hoặc bạn có thể syn user từ Active Directory.

Kéo xuống phần Client information:

Name: Điền tên bạn muốn

Assign IP from: Điền dải IP bạn muốn cấp đến user sử dụng Sophos Connect Client.

Ex: 10.10.10.10-10.10.10.100.

Idle_Settings:

Click Enable Disconnect when tunnel is idle

Idle session time interval: Điền 1 số bạn muốn từ 120-999.

Click Apply và OK.

Bước 2: Download file cài đặt.

Có 2 cách để download Sophos Connect:

Cách 1: Download trực tiếp tại trang cấu hình.

Click chọn Download Client và share cho user cài đặt

Cách 2: User tự download trên trang User Portal.

Sau khi download sẽ có các file như hình dưới.

Tiếp theo ta sẽ export file cấu hình để import lên Sophos Connect. Click Export connection sẽ tự động down file cấu hình xuống và bạn share cho user.

Bước 3: Cài đặt Sophos Connect Client.

Trên máy user mở file cài đặt mới tải ở bước trên, click cài đặt SophosConnect 2.1.20(Ipsec and SSLVPN).msi

Click và cài đặt theo hướng dẫn. Sau khi cài xong mở Sophos Connect.

Click chọn Import connection.

Chọn file cài đặt .tgb bạn vừa down từ Export Connection. Click Open.

Sau khi import xong, sẽ xuất hiện giao diện như hình dưới. Bạn click chọn Connect.

Authentication user: Điền user và pass đã tạo cho user trên Sophos ở phần Allowed users and group. Click Sign in.

Sophos Connect kết nối thành công.

Kiểm tra trên Sophos: Vào phần Monitorv và Analyze > Current Activities > Live Users.

User đã kết nối và có IP là 10.10.10.10.

Cho đến nay Sophos SSL VPN Client là giải pháp thường được sử dụng nhất để thiết lập kết nối VPN với Sophos Firewall. Tuy nhiên, Sophos hiện cung cấp một giải pháp thay thế mới với Sophos Connect Client. Trong bài viết này, chúng ta sẽ tìm hiểu về những lợi thế và bất lợi của hai giải pháp này.

Sophos SSL VPN Client

Ưu điểm:

+ OpenVPN : Sophos SSL VPN Client là một OpenVPN Client có thương hiệu. Hoạt động tốt với máy chủ OpenVPN chạy trên tường lửa Sophos.

+ Hỗ trợ nhiều hệ điều hành: OpenVPN Client có sẵn cho Windows, macOS, Android và iOS.

+ Tiêu chuẩn mở: Có thể sử dụng các SSL VPN Client khác, chẳng hạn như:

pritunl Client – Windows, macOS, Linux (Mã nguồn mở và miễn phí)

Tunnelblick – macOS (Mã nguồn mở và miễn phí)

Viscosity  – Windows, macOS (Phần mềm chia sẻ)

+ Multiple settings – SSL VPN Client cũng cho phép bạn chọn một cổng khác cho kết nối tại Sophos.

Nhược điểm:

+ Software distribution: Không thể cài đặt VPN Client thông qua phân phối phần mềm vì mỗi người dùng có chứng chỉ riêng của mình.

+ Hiệu suất: Tùy thuộc vào cài đặt, lưu lượng chạy qua đường hầm TCP hoặc UDP. Nhưng ngay cả với UDP, hiệu suất vẫn kém hơn với giao thức IPsec.

+ Firewall load : SSL yêu cầu nhiều hiệu suất hơn trên tường lửa Sophos, vì vậy không thể thiết lập nhiều kết nối song song. Tùy thuộc vào thiết bị, không thể có nhiều hơn 6 kết nối.

Sophos Connect Client

Ưu điểm:

+ Hiệu suất: IPsec mang lại hiệu suất tốt hơn.

+ Triển khai: Công cụ có thể được triển khai thông qua bản phân phối phần mềm.

+ Phát triển riêng: Sophos Connect Client được phát triển trực tiếp bởi Sophos và cũng có thể được phân phối qua Central trong tương lai. Điều này giúp quản trị viên dễ dàng hơn.

+ Sophos Synchronized Security: Sophos Connect Client giúp việc cấu hình security heartbeat dễ dàng hơn nhiều so với SSL VPN Client.

+ macOS / iOS: Với macOS, Cisco IPsec Client được tích hợp vào hệ điều hành. Thông qua “Sophos User Portal”, bạn có thể tải xuống cấu hình IPsec ‘iOS_IPSECProfile.mobileconfig’ và cài đặt nó bằng một cú nhấp chuột.

Nhược điểm:

+ Client Download: Hiện chỉ có quản trị viên mới có thể tải xuống các tệp thiết lập và cấu hình. Ngoài macOS và iOS, người dùng không thể tự mình thực hiện việc này thông qua cổng thông tin người dùng. Tuy nhiên, chúng tôi giả định rằng điều này sẽ thay đổi trong tương lai.

+ Protocol Ports: Đối với các cổng kết nối IPsec được sử dụng, các cổng này không được mở ở mọi nơi, ví dụ: khách sạn hoặc các điểm truy cập công cộng.

+ Quyền của người dùng: Mỗi người dùng phải được thêm riêng trong cấu hình SFOS. Không thể cho phép các nhóm ActiveDirectory cho Sophos Connect Client.