Bài viết này hướng dẫn cấu hình IPsec Site-to-Site VPN giữa hai thiết bị Sophos Firewall XGS sử dụng firmware v22, nhằm xây dựng kết nối bảo mật giữa hai hệ thống mạng đặt tại hai địa điểm khác nhau.

Mục tiêu của bài lab:

• Thiết lập thành công đường hầm IPsec giữa hai firewall.
• Cho phép hai mạng LAN tại hai site truy cập và trao đổi dữ liệu với nhau.
• Đảm bảo toàn bộ lưu lượng truyền qua Internet được mã hóa an toàn.
• Kiểm tra và xác minh trạng thái hoạt động của VPN Tunnel.
• Hiểu rõ cơ chế hoạt động của Phase 1 (IKE SA) và Phase 2 (IPsec SA) trong quá trình thiết lập VPN.

Môi trường triển khai:

• 02 Sophos Firewall XGS (Virtual Appliance).
• Cài đặt trên nền tảng ảo hóa Proxmox VE.
• Hai đầu sử dụng IP WAN tĩnh, được cấp từ firewall/router thật để mô phỏng môi trường thực tế.

Doanh nghiệp có hai site sử dụng hai thiết bị Sophos Firewall XGS kết nối ra Internet qua router Viettel với IP WAN lần lượt là 123.123.123.11 và 123.123.123.15. Mỗi site có một mạng LAN riêng là 100.100.100.0/24 và 200.200.200.0/24. Hiện tại hai mạng này không thể truy cập lẫn nhau qua Internet. Yêu cầu đặt ra là cho phép hai mạng LAN giao tiếp an toàn và ổn định. Giải pháp là triển khai VPN Site-to-Site IPsec để mã hóa và kết nối hai hệ thống qua Internet.

• Chuẩn bị thông tin cấu hình
• Tạo các Network Object (Host/Subnet)
• Cấu hình IPsec Site-to-Site VPN
• Tạo Firewall Rule cho phép lưu lượng LAN VPN
• Kiểm tra trạng thái hoạt động của VPN

Đến phần Hosts and services > IP Host > Add để thêm local and remote LAN network như hình ở bên dưới.

Vào mục Site to site > IPsec > Add

• IP Version: IPv4 -> Tunnel sử dụng địa chỉ IPv4 để thiết lập IKE và truyền dữ liệu ESP.
• Connection Type: Policy-based -> Chỉ những subnet khai báo ở Local subnet và Remote subnet mới được phép đi qua tunnel.
• Gateway Type: Respond only -> Firewall này không chủ động kết nối, chỉ phản hồi khi bên kia gọi.
• Profile: IKEv2 → Chuẩn VPN mới, ổn định và bảo mật hơn IKEv1.
• Authentication: Preshared Key (PSK) → Hai firewall dùng chung một mật khẩu bí mật

• Listening interface: 123.123.123.11 -> Đây là IP WAN của firewall này, firewall sẽ chờ kết nối VPN tại IP này.
• Gateway address: 123.123.123.15 -> Đây là IP WAN của firewall bên kia, VPN sẽ kết nối đến IP này.
• Local Subnet: LOCAL_VLAN_100 -> Mạng nội bộ phía mình được phép đi qua VPN.
• Remote Subnet: VPN_VLAN_200 -> Mạng nội bộ phía bên kia.

• Rule name: VPN_SF_TO_SF1
• Action: Accept -> Cho phép lưu lượng đi qua
• Log firewall traffic: Tick chọn -> Ghi log để kiểm tra khi cần

• Source zones: LAN, VPN -> Nghĩa là lưu lượng có thể xuất phát từ mạng nội bộ, hoặc từ phía VPN bên kia
• Source networks: LOCAL_VLAN_100, VPN_VLAN_200 ->chỉ những mạng này mới được phép sử dụng rule
• Destination zones: LAN, VPN -> Cho phép truy cập hai chiều giữa LAN và VPN
• Destination networks: LOCAL_VLAN_100, VPN_VLAN_200
• Services: Any -> Cho phép tất cả dịch vụ (ping, RDP, SMB, HTTP…)

 Vào mục Site to site VPN -> IPsec -> Tick chọn Active và Connection để bật cấu hình.

Vào Hosts and services > IP Host > Add để thêm local and remote LAN network như hình ở bên dưới.

Đến phần Site-to-Site VPN > IPsec và chọn Add. Tạo kết nối với thông số bên dưới.

Đến phần Rules and Policies -> Firewall rules chọn Add như hình bên dưới.

• Vào mục Site to site -> IPsec -> Tick chọn Active và Connection để bắt đầu kết nối.
• Từ máy tính đang ở trong LAN 100.100.100.0/24 ping đến máy tính trong LAN 200.200.200.0/24 -> ping thành công.
• Ngược lại, từ máy tính đang ở trong LAN 200.200.200.0/24 ping đến máy tính trong LAN 100.100.100.0/24 –> ping thành công.

Bài viết này nhằm:

• Hướng dẫn cách theo dõi và lọc log Sophos Firewall trên Sophos Central.
• Hướng dẫn xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Sophos Central giúp quản trị viên theo dõi và quản lý toàn bộ Sophos Firewall ttrên một giao diện web duy nhất, không cần đăng nhập từng thiết bị. Để giám sát, theo dõi, xuất Report tổng quan các thiệt bị Firewall, làm như sau:

Trên Sophos Central, chọn My Products -> Firewall Management -> Report Generator

Report Generator là công cụ để quản trị viên giám sát, theo dõi và tạo báo cáo (report) tùy chỉnh cho Sophos Firewall.

• Firewalls: chọn Firewall cần xuất report.
• Report Template: Chọn Template có sẵn phù hợp với nhu cầu xem, chi tiết:
  • Antivirus: Các mã độc hoặc đối tượng nghi ngờ đã bị chặn.
  • Bandwidth usage: Mức sử dụng băng thông theo từng ứng dụng.
  • Cloud app risks and usage: Các ứng dụng Cloud được sử dụng và rủi ro liên quan.
  • Firewall: Số lượng kết nối giữa các địa chỉ IP cụ thể.
  • IPS: Các cuộc tấn công bị phát hiện/chặn bởi hệ thống IPS.
  • Log viewer and search: Log chi tiết của firewall (chỉ có biểu đồ dạng bảng).
  • SD-WAN: Tóm tắt mức độ đáp ứng SLA theo từng profile SD-WAN, kèm biểu đồ xu hướng.
  • SD-WAN SLA trend: Xu hướng SLA theo gateway (jitter, latency, packet loss).
  • SD-WAN Bandwidth usage: Thống kê băng thông theo gateway và theo thời gian.
  • Security posture assessment (SPA): Đánh giá tổng thể mức độ an toàn của hệ thống. (Có thể chọn tối đa 10 thành phần như: Bandwidth, Web usage, Threat geo activity…) (Recommend sử dụng)
  • Synchronized app: Thống kê ứng dụng được nhận diện bởi Synchronized App Control.
  • Threat geo activity: Các mối đe dọa bị chặn theo quốc gia.
  • Threats and events blocked: Toàn bộ các mối đe dọa/sự kiện đã bị chặn.
  • VPN usage: Mức độ sử dụng các kết nối VPN.
  • Web usage: Thống kê truy cập website.
  • Web user risk: Hoạt động web của người dùng truy cập website rủi ro cao.
  • X-Ops: Hoạt động tấn công nâng cao (Advanced Threat activities) do firewall phát hiện/chặn. Bao gồm traffic trong MDR.
  • Zero-day protection: File/email nghi ngờ được gửi đến module phân tích Sandstorm

• Time Frame: Chọn mốc thời gian phù hợp với nhu cầu xem
• Query: Tùy chọn query phù hợp với nhu cầu lọc.

Sau đó, nhấn Schedule để lên lịch gửi report:

• Template Name: Đặt tên của mẫu báo cáo.
• Export scheduling: Bật/Tắt việc xuất report tự động theo lịch.
• Time frame: Chọn khoảng thời gian dữ liệu trong mỗi report
• Export frequency: Chọn chu kỳ xuất báo cáo
• Export format: Chọn định xạng file xuất (PDF, CSV, HTML)
• Export notification / delivery: Chọn cách gửi email
• Send this export to other Sophos admins?: Chọn chia sẻ report cho các admin khác

Sau khi hoàn tất, Nhấn Save.

Thông báo hiển thị đã tạo Template và Schedule thành công

Đúng Schedule, Sophos sẽ tự động xuất file Export dựa trên cấu hình đã setup

Bài viết này hướng dẫn cách cấu hình IPSec VPN Site-to-Site giữa hai thiết bị tường lửa Fortinet Firewall và Sophos Firewall, nhằm kết nối an toàn các mạng LAN tại hai site khác nhau thông qua Internet.

Sau khi cấu hình hoàn tất, các lớp mạng LAN sau có thể kết nối và truy cập lẫn nhau:

• 172.16.16.0/24 – Site A
• 10.10.10.0/24 – Site B
• 192.168.20.0/24 – Site B

Site A – Fortinet Firewall

• Đường Internet được kết nối vào cổng WAN của thiết bị Fortinet
• IP WAN: 192.168.1.2
• Mạng LAN nội bộ: 172.16.16.0/24
• LAN được cấu hình trên interface LAN của Fortinet

Site B – Sophos Firewall

• Đường Internet được kết nối vào interface a (WAN) của Sophos Firewall
• IP WAN: 192.168.1.3
• Mạng LAN nội bộ gồm 2 lớp mạng: 10.10.10.0/24, 192.168.20.0/24

• Kết nối VPN sử dụng IPSec Site-to-Site
• Xác thực bằng Pre-shared Key
• Sử dụng IKEv2

• Fortinet (192.168.1.2)
• Sophos (192.168.1.3)

Mạng LAN 172.16.16.0/24 (Fortinet) ⬄ Mạng LAN 10.10.10.0/24 và 192.168.20.0/24 (Sophos) có thể kết nối qua lại trực tiếp.

• Tạo VPN Tunnels
• Tạo Static Route
• Tạo Firewall Policy

• Tạo subnet
• Tạo IPSec Profile
• Tạo IPSec Connection
• Tạo Firewall Rule

Vào VPN → IPsec Tunnels → Create New → Custom

Name: S2S-LAB

Template Type: Custom

Dùng Custom để chủ động cấu hình Phase 1 / Phase 2

Selector 1

• Local Address: 172.16.16.0/24
• Remote Address: 10.10.10.0/24

Selector 2

• Local Address: 172.16.16.0/24
• Remote Address: 192.168.20.0/24

Nhấn OK để tạo VPN Tunnel.

Vào Network → Static Routes → Create New

Vào Hosts and Services → Add

Vào SYSTEM > Profiles → IPsec Profiles → Add

Vào CONFIGURE → Site-to-site VPN →  IPsec → Add

• Listening interface: Port 2 – 192.168.1.3
• Gateway address: 192.168.1.2 (WAN Fortinet)
• Local Subnet: 10.10.10.0/24 , 192.168.20.0/24
• Remote Subnet: 172.16.16.0/24

Sophos: VPN → IPsec Connections → Status: Connected

Fortinet: Monitor → IPsec Monitor → Tunnel: UP (Có Incoming / Outgoing Data)

Test:

• 172.16.16.x → 10.10.10.x
• 172.16.16.x → 192.168.20.x

• Đảm bảo thời gian hệ thống đồng bộ (NTP) để tránh lỗi IKEv2 do lệch thời gian.
• PSK, thuật toán mã hóa và nhóm DH phải trùng khớp 2 đầu – sai khác sẽ khiến Phase 1/2 thất bại.
• Tắt NAT trên policy đi vào VPN; bật NAT sẽ làm sai nguồn và gói tin không match selector.
• Mỗi cặp Local/Remote subnet cần 1 selector (Phase 2). Không gộp nhiều subnet nếu thiết bị không hỗ trợ.
• Nếu tunnel UP nhưng không ping được, kiểm tra: Static Route, Policy thứ tự, và bảng ARP/Route trên hai đầu.

Bài viết này nhằm:

• Hướng dẫn cách xem và lọc log trên Sophos Firewall.
• Hướng dẫn đọc và xuất report phục vụ vận hành và báo cáo.
• Giúp quản trị viên nhanh chóng phát hiện sự cố và mối đe dọa bảo mật.

Qua đó, giúp hệ thống được giám sát hiệu quả và vận hành an toàn hơn.

Xem thông tin về lưu lượng mạng đi qua firewall và các mối đe dọa bảo mật

Các loại Dashboard chính:

• Traffic dashboard: Phân loại theo lưu lượng mạng
• Security dashboard:  Hoạt động bị chặn và các mối đe dọa: Malware, IPS, Spam, nguồn tấn công.
• Executive report: Thông tin tổng hợp cho người quản lý: Traffic & Threat nổi bật.
• User threat quotient (UTQ): Xếp hạng người dùng dựa trên điểm rủi ro bảo mật.

Xem thông tin về việc sử dụng ứng dụng và Internet trên hệ thống mạng của bạn.

Application risk meter là cách thức mà Firewall sẽ tính điểm dựa trên mức độ rủi ro và số lần truy cập (hits) của từng ứng dụng. Chỉ số rủi ro ứng dụng được xác định dựa trên điểm trung bình của toàn bộ lưu lượng ứng dụng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• User app risks & usage: Thống kê việc sử dụng các ứng dụng và mức độ rủi ro tương ứng.
• Cloud applications usage: Thống kê việc sử dụng các ứng dụng đám mây
• Blocked user apps: Các lần truy cập ứng dụng bị chặn.
• Synchronized applications: Các ứng dụng được phân loại và đồng bộ từ endpoint lên firewall.
• Web risks & usage: Hoạt động truy cập web trong mạng và các rủi ro liên quan.
• Blocked web attempts: Các lần truy cập web bị chặn
• Search engine: Thống kê hành vi tìm kiếm của người dùn
• Web content: Các kết quả khớp của bộ lọc nội dung và các thông tin liên quan.
• Web server usage: Lưu lượng Application, Web, Internet và FTP.
• Web server protection: Trạng thái bảo mật của các Web Server, bao gồm các cuộc tấn công và nguồn tấn công.
• User data transfer: User traffic
• FTP usage: FTP activity
• FTP protection: Malicious FTP activity

Xem thông tin về việc sử dụng mạng và các mối đe dọa liên quan.

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Intrusion attacks: Các lượt tấn công
• Active threat response: Threat events và các máy bị xâm nhập được phát hiện bởi MDR (Managed Detection and Response) và Sophos X-Ops
• Wireless: Access point và SSID được sử dụng
• Security Heartbeat: Tình trạng sức khỏe của máy trạm trong mạng dựa trên kết nối giữa máy trạm và Firewall.
• Zero-day protection: Bảo vệ nâng cao trước các cuộc tấn công mới.

Xem thông tin về remote user (người dùng kết nối từ xa) vào hệ thống mạng của bạn thông qua IPSEC VPN, SSL VPN và Clientless access

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• VPN: Lưu lượng phát sinh từ remote users qua IPsec, L2TP hoặc PPTP
• SSL VPN: Lưu lượng phát sinh từ remote users thông qua SSL VPN Client.
• Clientless Access: Lưu lượng phát sinh từ remote users thông qua trình duyệt web.

Xem thông tin về email traffic (lưu lượng email) trong hệ thống mạng

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Email Usage: Email traffic trong hệ thống mạng của mình
• Email Protection: Email Traffic bị Virus và Spam trong hệ thống mạng của mình

Xem thông tin về việc tuân thủ các quy định/quy chuẩn:

Các nhóm Quy chuẩn có thể theo dõi trong phần này, bao gồm:

• HIPAA: Security Report tuân thủ chuẩn HIPAA
• GLBA: Security Report tuân thủ chuẩn GLBA
• SOX: Security Report tuân thủ chuẩn SOX
• FISMA: Security Report tuân thủ chuẩn FISMA
• PCI: Security Report tuân thủ chuẩn PCI
• NERC CIP v3: Security Report tuân thủ chuẩn NERC CIP v3
• CIPA: Security Report tuân thủ chuẩn CIPA
• Events: Network Event và các mức độ nghiêm trọng tương ứng

Tạo báo cáo bao gồm các tiêu chí được chỉ định.

Các loại Report có thể tạo trong phần này, bao gồm:

• Web Report: Tìm kiếm hoạt động duyệt web hoặc virus. Có thể lọc theo user, domain và các tiêu chí khác
• Mail Report: Tìm kiếm lưu lượng Email, Spam và Virus. Có thể lọc theo protocol, user và các tiêu chí khác.
• FTP Report: Tìm kiếm hoạt động FTP và Virus. Có thể lọc theo kiểu truyền, user, file hoặc source IP
• User Report: Thống kê mức độ sử dụng: ứng dụng rủi ro cao, website không hiệu quả, virus phát hiện. Có thể lọc theo username, source host.
• Web Server Report: Tìm kiếm hoạt động Web Server (time, user, URI) và cả các sự kiện bảo vệ Web Server.

Log Viewer hiển thị event logs và được tự động cập nhật khi có event mới (Real-time).

Để truy cập, ở góc phải phía trên Sophos Firewall, nhấn Log viewer

Cửa sổ Log Viewer mới sẽ xuất hiện, và quản trị viên có thể xem log Realtime ở đây

Quản trị viên có thể tùy chọn các loại log cụ thể để giám sát như sau:

• Admin
• Active Threat Response
• Application filter
• Authentication
• Email
• Firewall
• IPS
• Malware
• Security Heartbeat
• SSL/TLS inspection
• SD-WAN
• System
• VPN
• Web content policy
• Web filter
• Web server protection
• Zero-day protection

Trong quá trình quản trị hệ thống, người quản trị cần các file báo cáo tổng hợp phản ánh tình trạng sử dụng hệ thống và các mối đe dọa tiêu biểu. Vì vậy, trong bài hướng dẫn này sẽ lựa chọn Executive report để thực hiện việc xuất báo cáo.

 Để xuất Report báo cáo theo lịch trình, chọn Show Reports Settings

Chọn Report Scheduling, nhấn Add

Nhập thông tin sau:

• Name: Đặt tên lịch report.
• Description: Mô tả (không bắt buộc).
• To email address: Địa chỉ email nhận report (có thể nhập nhiều email)
• Report type: Chọn loại report (VD: Report group)
• Report group: Chọn nhóm report phù hợp (VD: Executive Report)
• Email frequency: Chọn Daily hoặc Weekly và mốc thời gian gửi report qua email.

Sau khi nhập hoàn tất, nhấn Save.

Đúng lịch trình cấu hình, Sophos sẽ gửi email bảng báo cáo report về email.

Nếu chưa có tài khoản Sophos Central, tham khảo: https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Đăng nhập Sophos Central bằng tài khoản Super Admin.

– Vào Account → Licensing Firewall licenses

– Chọn Firewall licenses 

– Chọn Claim firewall 

– Nhập Serial Number thiết bị 

Sau khi claim thành công, thiết bị sẽ hiển thị trong danh sách quản lý.

– Chọn thiết bị → Apply subscriptions

– Nhập License Key

– Preview subscription → Apply license

Đối với các lần gia hạn (renew) license trong tương lai, cần lưu ý

– License Number: chỉ dùng để tracking và support, không dùng để activate.

– License Key: bắt buộc để kích hoạt hoặc renew license.

• Trong hầu hết các trường hợp, nếu Sophos Firewall đã được liên kết đúng Sophos Central account, license sau khi renew sẽ tự động đồng bộ xuống thiết bị mà không cần thao tác thủ công.
• Tuy nhiên, nếu license không tự đồng bộ và vẫn hiển thị trạng thái Expired, bạn có thể thực hiện các bước sau:
  • Kiểm tra license trong Sophos Central hoặc Sophos Partner Portal để xác định License Key tương ứng
  • Thực hiện apply License Key thủ công cho thiết bị Firewall (theo hướng dẫn ở Mục II.3)

• Nếu email gia hạn không chứa License Key, khuyến nghị:
  • Kiểm tra lại thông tin license trong Sophos Portal
  • Hoặc liên hệ Sophos Support / Partner để xác nhận chính xác License Key trước khi apply

Sơ đồ mạng 

Firewall sophos cấp dhcp cho switch và AP TP-Link trong lớp mạng có IP là 172.14.14.0/24

Switch PoE được cấp lớp mạng từ firewall có địa chỉ quản trị là 172.14.14.15/24

2 AP TP-Link được cấp IP để vào giao diện quản trị lần lượt là 172.14.14.16/24 và 172.14.14.18/24

Các bước cấu hình

1. Cấu hình Sophos Firewall
2. Cấu hình địa chỉ IP của EAP

Hướng dẫn cấu hình

1. Cấu hình Sophos Firewall

Đầu tiên vào firewall cấu hình để cấp dhcp cho các AP và switch. Vào Network > Mục Interfaces > Ở đây mình chọn Port 4 làm cổng cấp dhcp

Tiếp theo vào Phần DHCP để cấp DHCP cho các lớp mạng ở port 4, Ở đây mình đặt tên là LAN1

Tiếp theo tạo policy để cho các lớp mạng ra internet và ping được với nhau. 

Tiếp theo để vào được giao diện standalone của AP và Switch TP-Link thì cần phải xem địa chỉ IP mà Firewall đã cấp, vào mục Network > DHCP. Ở đây mình có 2 IP của AP TP-Link có tên lần lượt là 172.14.14.16 và 172.14.14.18, IP của switch TP-Link là 172.14.14.15

Vào mục wifi trên máy tính > Wifi TP-Link sẽ xuất hiện và chúng ta cần kết nối vào > TP-Link_5GHz_8A6D97

Khi đã kết nối vào Wifi, vào google và gõ IP mà firewall đã cấp cho AP.

Nhập tài khoản và password mặc định là admin.

Set up a new account > Đặt name và password theo ý mình.

Ở đây do mình không cần xài 2.4GHz nên sẽ dissable. 5GHz Wireless Radio: Tick chọn Enable > SSID: VFLUX > Password: Monday@123 > Sau đó chờ đợi AP load

Enable > SSID: VFLUX > Password: Monday@123 > Sau đó chờ đợi AP load

Tick chọn I have connected to the new wireless network và bấm finish để hoàn thành.

Sau đó vào lại mục wifi trên pc > Kết nối vào wifi VFLUX mà mình mới tạo.

Quay lại trang IP của AP thì sẽ hiện ra 1 giao diện mới.

2. Cấu hình địa chỉ IP của EAP

Địa chỉ IP của EAP có thể là địa chỉ IP động được gán bởi máy chủ DHCP hoặc địa chỉ IP tĩnh do bạn chỉ định. Mặc định, EAP nhận một địa chỉ IP động từ máy chủ DHCP; bạn cũng có thể chỉ định một địa chỉ IP tĩnh theo nhu cầu của mình.

Để cấu hình địa chỉ IP của EAP, vào mục Management > Network > IP Settings.

Thực hiện theo các bước dưới đây để cấu hình địa chỉ IP của EAP:

• Chọn chế độ địa chỉ IP mà bạn muốn: Dynamic hoặc Static.
• Cấu hình các tham số liên quan theo lựa chọn của bạn.

Dynamic

Nếu bạn chọn Động làm chế độ địa chỉ IP, hãy đảm bảo rằng có một máy chủ DHCP có thể truy cập trên mạng của bạn và máy chủ DHCP được cấu hình đúng để gán địa chỉ IP và các tham số mạng khác cho EAP.

Để đảm bảo sự ổn định mạng, bạn cũng có thể cấu hình các tham số IP dự phòng cho EAP:

Fallback IP: Khi IP dự phòng được cấu hình, nếu EAP không nhận được địa chỉ IP từ máy chủ DHCP trong vòng 10 giây, địa chỉ IP dự phòng sẽ hoạt động như địa chỉ IP của EAP. Sau đó, EAP sẽ tiếp tục thử kết nối với máy chủ DHCP cho đến khi thành công.

DHCP  Fallback IP: Xác định một địa chỉ IP dự phòng cho EAP. Đảm bảo rằng địa chỉ IP này không được sử dụng bởi bất kỳ thiết bị nào khác trong cùng một mạng LAN.

DHCP Fallback IP MASK: Xác định mặt nạ mạng cho địa chỉ IP dự phòng.

DHCP Fallback Gateway: Xác định cổng mạng cho địa chỉ IP dự phòng.

Static

Nếu bạn chọn chế độ địa chỉ IP tĩnh, bạn cần chỉ định thủ công địa chỉ IP và các tham số mạng liên quan cho EAP. Đảm bảo rằng địa chỉ IP đã chỉ định không được sử dụng bởi bất kỳ thiết bị nào khác trong cùng một mạng LAN.

Cấu hình địa chỉ IP và các tham số mạng như bảng sau:

IP Address: Chỉ định một địa chỉ IP tĩnh cho EAP.

IP Mask: Chỉ định mặt nạ mạng.

Gateway: Chỉ định cổng mạng.

Click save

1. Cải Thiện Trải Nghiệm Người Dùng (UX) VPN

Một trong những cải tiến quan trọng nhất của Sophos Firewall V21 là các cải tiến về trải nghiệm người dùng (UX) liên quan đến VPN. Sophos đã giới thiệu tính năng kích hoạt và hủy kích hoạt hàng loạt các kết nối VPN, giúp việc quản lý trở nên thuận tiện hơn cho quản trị viên. Điều này đặc biệt hữu ích khi phải xử lý nhiều kết nối cùng lúc, giảm thiểu thời gian quản lý và tăng hiệu suất.

Trên trang quản lý VPN, tính năng lọc đã được cải tiến, giúp người dùng dễ dàng tìm kiếm và truy cập thông tin trên nhiều trang khác nhau. Sophos cũng đã thêm tính năng tìm kiếm theo văn bản tự do và tìm kiếm dựa trên giá trị vào cấu hình VPN. Điều này cho phép người dùng dễ dàng tìm kiếm các mạng, subnet, hoặc người dùng cho cả VPN truy cập từ xa và VPN site-to-site (kết nối giữa các địa điểm). Ví dụ, khi thêm một mục mới dưới phần Subnet Local, bạn có thể tìm kiếm ngay các tùy chọn phù hợp với từ khóa “20.20”, giúp tìm kiếm nhanh chóng các mạng và subnet.

Ngoài ra, Sophos đã thêm bộ lọc cho các giao diện XFRM trong giao diện trang quản lý VPN. Điều này giúp đơn giản hóa việc quản lý và tìm kiếm các giao diện phù hợp với VPN dựa trên RB, giải quyết các thách thức khi xây dựng VPN trên các giao diện VLAN và WAN.

2. Hỗ Trợ DHCP Relay Qua Giao Diện XFRM Tunnel

Một tính năng đáng chú ý khác trong Sophos Firewall V21 là hỗ trợ cho tính năng DHCP relay qua các giao diện XFRM tunnel. Tính năng này cho phép các quản trị viên triển khai DHCP relay cho các máy chủ nằm phía sau các tường lửa từ xa, một điều trước đây không thể thực hiện được trong các triển khai SD-WAN. Trước khi có bản cập nhật này, các quản trị viên phải dựa vào các VPN dựa trên chính sách để đáp ứng các trường hợp sử dụng nhất định. Tuy nhiên, với Sophos Firewall V21, giờ đây DHCP relay có thể được cấu hình qua các giao diện XFRM tunnel, giúp cải thiện khả năng triển khai và quản lý DHCP trong các mạng phức tạp.

Lưu ý rằng, trong bản phát hành này, Sophos Firewall hỗ trợ DHCP relay cho các máy chủ nằm phía sau tường lửa. Tuy nhiên, các giao diện tường lửa được cấu hình như các máy chủ DHCP sẽ không hỗ trợ cho các giao diện tunnel.

3. Tối Ưu Hóa Hiệu Suất VPN IPsec

Sophos đã cải thiện hiệu suất VPN IPsec cho các cổng vào từ xa dựa trên FQDN (Fully Qualified Domain Name) trong phiên bản V21. Trước đây, các quản trị viên phải cấu hình cổng vào từ xa bằng cách sử dụng FQDN, nhưng điều này không cho phép sử dụng các mục wildcard và thường gặp vấn đề khi có độ trễ DNS cao. Quá trình phân giải FQDN có thể khiến toàn bộ kết nối VPN bị trì trệ, ảnh hưởng đến các kết nối khác.

Giờ đây, các quản trị viên có thể chọn sử dụng địa chỉ IP đã phân giải thay vì dựa vào phân giải FQDN trong dịch vụ VPN. Tùy chọn này được thiết lập trong giao diện dòng lệnh (CLI) và bị tắt theo mặc định để tránh những thay đổi không mong muốn trong quá trình di chuyển. Tuy nhiên, nếu được kích hoạt, hệ thống sẽ thực hiện phân giải lại IP cứ mỗi 5 phút để phát hiện bất kỳ thay đổi IP nào liên quan đến FQDN. Nếu có thay đổi về IP, quá trình khôi phục kết nối cụ thể có thể mất một chút thời gian.

4. Tăng Tốc Độ Khôi Phục Giao Diện Và Tốc Độ Khởi Động Lại Dịch Vụ

Một cải tiến quan trọng khác trong Sophos Firewall V21 là tốc độ khôi phục giao diện đã được tăng lên đến 20 lần trong các trường hợp khởi động lại dịch vụ, reboot thiết bị, hoặc xảy ra sự cố chuyển đổi dự phòng (HA failover). Những cải tiến này giúp giảm thiểu thời gian cần thiết để khôi phục kết nối mạng so với các phiên bản trước, đặc biệt trong các môi trường SD-WAN và triển khai VPN với quy mô lớn.

5. Tích Hợp Google Workspace

Sự gia tăng của Google Workspace trong môi trường doanh nghiệp đã thúc đẩy Sophos hỗ trợ tích hợp Google Workspace với tường lửa trong phiên bản V21. Phiên bản này hỗ trợ tích hợp Google Workspace thông qua giao thức LDAP thông thường, giúp các doanh nghiệp sử dụng Google Workspace dễ dàng kết nối với hệ thống tường lửa của họ.

Một cải tiến đặc biệt là khả năng tích hợp SSO (Single Sign-On) cho Google Chromebook với các máy chủ kiểu LDAP, một tính năng trước đây chỉ giới hạn cho Active Directory. Điều này giúp triển khai tính năng SSO cho Chromebook dễ dàng hơn thông qua Google LDAP.

Sophos cũng lưu ý rằng việc tích hợp Google Workspace không yêu cầu domain cho các yêu cầu AAA, vì vậy người dùng chỉ cần cung cấp tên đăng nhập mà không cần domain. Ngoài ra, bạn cần đảm bảo không chọn hộp kiểm “PEN-based DN” trong trang cấu hình máy chủ.

6. Cải Thiện Khả Năng Xử Lý Yêu Cầu SSO

Sophos Firewall V21 cũng mang lại những cải tiến đáng kể trong việc xử lý các yêu cầu SSO (Single Sign-On), giúp tường lửa có thể quản lý hàng nghìn yêu cầu đăng nhập đồng thời một cách hiệu quả. Trước đây, trong các triển khai phức tạp sử dụng nhiều cơ chế SSO khác nhau như STAS, RADIUS SSO, và SYNCHRON-ized user ID, hệ thống thường bị quá tải khi tất cả các phương thức SSO cố gắng đăng nhập cùng một người dùng cùng lúc, dẫn đến việc xử lý yêu cầu AAA bị ảnh hưởng.

Với Sophos V21, tường lửa có thể xử lý các yêu cầu nhanh gấp 4 lần và tự động loại bỏ các yêu cầu trùng lặp từ nhiều loại khách hàng SSO khác nhau sau khi một người dùng đã được xác thực thành công.

7. Cải Tiến Quản Lý Định Tuyến Tĩnh Và Động

Quản lý định tuyến là một chức năng quan trọng trong bất kỳ hệ thống tường lửa nào, và Sophos Firewall V21 đã mang đến những cải tiến lớn trong quản lý định tuyến tĩnh và động. Trên trang quản lý định tuyến, Sophos đã giới thiệu một số tính năng mới quan trọng, bao gồm khả năng bật/tắt các tuyến đường tĩnh, giúp quản trị viên dễ dàng kiểm soát và khắc phục sự cố hơn.

Ngoài ra, Sophos đã thêm tính năng “nhân bản tuyến đường” (clone route), cho phép quản trị viên tạo các tuyến đường giống nhau nhanh chóng, bao gồm cả trường mô tả để theo dõi thông tin tuyến đường. Một tính năng hữu ích khác là “giao diện kiểu black hole” (black hole type interface), giúp chặn các lưu lượng không mong muốn một cách dễ dàng. Với tính năng Equal Cost Multipath (ECMP), Sophos Firewall V21 còn hỗ trợ cân bằng tải lưu lượng qua nhiều tuyến đường tĩnh, tăng cường khả năng xử lý lưu lượng mạng.

Trong định tuyến động, phiên bản V21 giờ đây có thể phân phối lại các tuyến BGP vào OSPFv3, trong khi tất cả các cấu hình nâng cao khác vẫn có sẵn thông qua CLI. Trước đây, trong các tình huống chuyển đổi dự phòng (failover), định tuyến động thường bị gián đoạn nhiều lần để khôi phục kết nối giữa các thiết bị SFOS. Tuy nhiên, với bản phát hành này, Sophos đã giảm thiểu hoàn toàn tác động của sự cố thiết bị phụ trợ, chỉ còn một lần gián đoạn dịch vụ trong trường hợp thiết bị chính gặp sự cố.

Kết Luận

Sophos Firewall V21 mang đến hàng loạt tính năng và cải tiến mạnh mẽ, giúp các quản trị viên hệ thống dễ dàng quản lý các kết nối mạng, VPN, và định tuyến trong các môi trường phức tạp. Các cải tiến này không chỉ tăng cường tính linh hoạt và hiệu suất mà còn giúp tối ưu hóa quá trình quản trị và giảm thiểu các vấn đề về hiệu suất mạng.

Để tìm hiểu thêm về Sophos Firewall V21 và các tính năng mới khác, bạn có thể xem thêm các tài liệu hướng dẫn và video demo từ Sophos được liên kết trong phần mô tả. Đừng quên tham gia cộng đồng Sophos trên community.sophos.com để đặt câu hỏi và thảo luận thêm với các chuyên gia. Nếu bạn cần hỗ trợ chi tiết hơn, bạn có thể ghé thăm techvids.sophos.com để xem thêm nhiều video hữu ích về các sản phẩm khác của Sophos.

Cảm ơn bạn đã theo dõi bài viết này và hy vọng những thông tin trên sẽ giúp bạn hiểu rõ hơn về các cải tiến trong Sophos Firewall phiên bản 21, cũng như cách những tính năng này có thể tối ưu hóa hiệu suất hoạt động và quản lý mạng của bạn. Đừng ngần ngại liên hệ với đội ngũ hỗ trợ của Sophos nếu bạn gặp bất kỳ thắc mắc hay vấn đề nào trong quá trình sử dụng!

SSH (Secure Shell) là một giao thức giúp người dùng quản lý và giao tiếp với server. SSH Key được sinh ra để thay thế mật khẩu thông thường nhằm đảm bảo hơn về tính bảo mật. Nó bao gồm 2 key (Public key và Private key) được mã hoá.

Private key phải được đảm bảo giữ bí mật tuyệt đối. Bất kỳ người nào có key này đều có thể truy cập vào server. Ngược lại Public key được phép công khai nhằm mã hoá thông tin mà chỉ có thể giải mã bởi Private key.

Bài viết này sẽ hướng dẫn thiết lập xác thực khóa công khai cho quản trị viên firewall Sophos

Bước 1: Tạo cặp khóa RSA.

Tải xuống và cài đặt PuTTY và PuTTYGen từ www.putty.org

Mở PuTTYGen và chọn kiểu khóa RSA và nhấn vào Generate.

Lưu Public Key và Private Key vào máy.

Lưu ý: PuTTYGen sẽ tạo cảnh báo nếu keyfile không được bảo vệ bằng mật khẩu (passphrase). Nên bảo vệ bằng mật khẩu như một biện pháp bảo mật bổ sung nhưng không bắt buộc để SSH hoạt động.

Nếu bạn muốn đặt mật khẩu, hãy nhập mật khẩu đó vào Key passphrase và Confirm passphrase. Trước khi bạn nhấn vào Save private key.

Bước 2: Thêm khóa công khai vào tường lửa Sophos.

Sao chép Public Key từ PuTTYGen hoặc từ vị trí đã tải về máy tính của bạn.

Điều hướng tới SYSTEM >  Administrator > Device Access. 

Thêm phần Public Key đã sao chép vào phần Public Key Authentication và Enable Authencation lên.

Bước 3: Thêm Private Key vào PuTTY và xác thực với firewall Sophos.

Mở PuTTY và di chuyển đến Connection > SSH > Auth > Credentials 

Nhấn vào Browse để chọn keyfile .ppk vừa lưu trước đó.

Điều hướng đến Session và nhập địa chỉ IP hoặc tên máy chủ của Tường lửa Sophos. Đảm bảo loại kết nối được đặt thành SSH và nhấp vào Open để kết nối với Tường lửa Sophos.

Nhập user là admin để xác thực với tường lửa Sophos.

Dòng Sophos Firewall XG: tất cả các phiên bản có sẵn đều được hỗ trợ.

Dòng Sophos Firewall XGS:

• Phiên bản được hỗ trợ: 19.5 GA trở lên, 19.0.2 MR2 trở lên.
• Phiên bản không được hỗ trợ: 19.0.1 MR1, 19.0 GA, 18.x – tất cả các phiên bản.

2.Các bước thực hiện

Bước 1: Dùng ứng dụng Putty để vào CLI của giao diện Sophos.

Bước 2: Nhập phím 7 để reboot lại thiết bị.

Bước 3: Nhấn phím R hoặc r để reboot.

Bước 4: Trong quá trình khởi động lại sẽ hiện ra 2 tùy chọn như hình dưới, ta chọn SFLoader.

Bước 5: Ta chọn tiếp Troubleshoot.

Bước 6: Cuối cùng ta chọn Memory Test.

Đây là kết quả. Nhấn Enter để tiếp tục.

Ấn Reboot để tiến hành thoát ra khỏi SFLoader.

Nhập mật khẩu Firewall.

Sau đó sẽ trở về giao diện như hình.

Packet Capture là quá trình bắt và ghi lại lưu lượng truy cập, từ đó bạn có thể phân tích các gói tin dữ liệu được truyền qua một mạng, giúp điều tra sự cố mạng, giám sát cũng như quản lý mạng. Bài viết này sẽ hướng dẫn cách bắt gói và download PCAP từ Sophos Firewall bằng cách sử dụng PSCP.

2.Các bước thực hiện

Để tạo Packet Capture (bắt gói), ta tiến hành truy cập vào Sophos Firewall CLI thông qua sử dụng Putty hoặc trên trang Web Admin của Sophos Firewall bằng cách ta chọn Console.

Sau đó bạn sẽ phải nhập mật khẩu dùng để truy cập vào Web Admin của Sophos Firewall.

Ở đây ta cần truy cập vào Device Console.

Bạn tiến hành nhập dòng lệnh sau: tcpdump filedump 'host x.x.x.x -s0

Lưu ý: Thay x.x.x.x bằng địa chỉ IP interface của Sophos Firewall.

Nhấn Ctrl + C để dừng quá trình Packet Capture.

Lưu ý: Khi tạo Packet Capture xong, file sẽ được lưu dưới dạng tcpdump.pcap trong thư mục /tmp/data/. Khi bạn bắt đầu tạo 1 Packet Capture khác thì nó sẽ ghi đè lên file Packet Capture đã bắt trước đó. Vì vậy, bạn có thể download xuống hoặc đổi tên file Packet Capture lần đầu tiên trước khi bạn bắt đầu tạo 1 Packet Capture khác.

Để đổi tên bằng cách đi vào Device Management.

Sau đó chọn Advanced Shell.

Chạy với câu lệnh sau:  cp /tmp/data/tcpdump.pcap /tmp/data/ tcpdump1.pcap

Sau khi đã xong các bước trên, ta sẽ tiến hành download Packet Capture thông qua PSCP. Có thể hiểu đơn giản là phần mềm này sẽ giúp bạn di chuyển file trong hệ thống một cách an toàn. Để làm được điều này, bạn cần vào đường link sau để download: https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html

Tiếp theo bạn mở CMD (Command Prompt) lên và nhập các lệnh sau:

cd Desktop: lệnh cd này sẽ giúp di chuyển file cần lưu vào vị trí mình muốn, ở đây mình chọn Desktop, bạn có thể chọn nơi chứa khác.

pscp.exe -scp admin@172.16.16.1:/tmp/data/tcpdump.pcap /Users/CHAU/Desktop/

Cuối cùng, bạn nhập mật khẩu admin của Sophos Firewall.

Sau khi chạy lệnh xong, bạn ra Desktop sẽ thấy file Packet Capture đã được download xuống.

Sau khi có file, bạn download thêm phần mềm WireShark, đây là phần mềm sẽ giúp bạn đọc được cũng như phân tích các gói tin mạng.

Đến đây thì mình xin kết thúc bài viết, chúc các bạn thực hiện thành công.