Hướng dẫn cấu hình cơ bản trên Firewall Sophos

Trong bài viết này mình sẽ hướng dẫn các bạn cấu hình cơ bản cho 1 mạng nhỏ sử dụng thiết bị tường lửa Firewall Sophos, với 2 VLAN là VLAN10: 10.0.0.0/24 và VLAN11: 10.0.1.0/24. Chúng ta sẽ thực hiện các cấu hình cơ bản như đặt IP cho interface, tạo VLAN, cấu hình Policy cho phép 2 vlan truy cập interenet, cấu hình default route.

Cấu hình các thông số cơ bản trong trình Wizard

Các mã Firewall Sophos mới hiện này đều có IP mặc định được setup ở cổng mạng đầu tiên trên Firewall là 172.16.16.16 với password defaul là admin. Kết nối dây mạng từ cổng đầu tiên trên firewall tới laptop và đặt ip cùng subnet 172.16.16.0/24 (Ví dụ 172.16.16.100). Mở trình duyệt web và nhập địa chỉ ip của Sophos cùng port 4444 để truy cập vào trang quản trị: https://172.16.16.16:4444

Màn hình Setup Wizard sẽ hiển thị cho phép chúng ta thiết lập 1 số thông số cơ bản ban đầu. Các thông số này có thể thay đổi sau khi hoàn thành, tuy nhiên chúng ta cần cấu hình đúng các thông số trên cổng wan, kết nối sao cho firewall có thể truy cập internet để Register và Active thiết bị.

Click Click to begin để bắt đầu quá trình thiết lập.

Đặt mật khẩu cho thiết bị. Các bạn có thể tích vào ô Install the latest firmware automatically during setup (recommended) để Firewall tự động kiểm tra và cài đặt phiên bản firmware mới nhất. Tích vào ô I accept the Sophos End User License Agreement and acknowledge the Sophos Privacy Policy, nhấn Continue.

Thiết lập kết nối Internet. Mặc định firewall sophos sử dụng DHCP để nhận IP, các bạn có thể chọn Manual configuration để thiết lập ip tĩnh và chọn cổng kết nối ra internet.

Sophos sẽ kiểm tra kết nối và sử dụng cổng này để active thiết bị. Trong trường hợp chưa có kết nối Internet, tích chọn Continue offline để thiết lập sau (các bạn sẽ phải active dùng 30 ngày). Các tùy chọn cấu hình PPPoE cũng không được hỗ trợ ở bước này.

Trong bài hướng dẫn này mình chưa có kết nối internet nên sẽ lựa chọn offline.

Thiết lập Hostname và timezone cho firewall, ở Việt Nam chúng ta có thể chọn timezone là Asia/Ho_Chi_Minh.

Ở đây mình sẽ chọn Skip to finish để hoàn tất trình setup wizard, các thông số khác chúng ta sẽ cấu hình sau trong giao diện quản trị. Firewall sẽ Apply các cấu hình và khởi động lại thiết bị, quá trình này sẽ mất 1 vài phút. Sau khi firewall khởi động xong, truy cập lại IP quản trị của thiết bị và đăng nhập vào thiết bị với mật khẩu vừa tạo ở trên.

Register và Active Firewall

Do demo nên mình không có link kết nối internet nên phần này mình sẽ chọn I don't have a serial number (start a trial) để kích hoạt dùng thử 30 ngày. Nếu  đã có kết nối internet tới Firewall, các bạn làm theo hướng dẫn sau để active thiết bị:

Hướng dẫn đăng ký và kích hoạt Firewall Sophos

Sau khi register thiết bị thành công, firewall sẽ hiển thị màn hình Dashboard:

Cấu hình Interface DHCP Server và VLAN

Mô hình kết nối của bài lap:

PortC là cổng WAN kết nối tới Internet với IP 100.0.1.100/24. PortB là cổng LAN, mình sẽ tạo 2 VLAN trên cổng này và đặt gateway của 2 VLAN trên firewall. Dịch vụ DHCP được enable trên 2 VLAN để cấp phát IP có các máy tính.

Cổng e0/0 của Core-Switch cấu hình trunk cho phép 2 VLAN 10 và 11 đi qua. Cổng e0/1 access vào VLAN 10 còn cổng e0/2 access vào VLAN 11.

Cấu hình Physical Interface trên firewall Sophos

Cấu hình PortC:

Truy cập CONFIGURE > Network, click PortC để cấu hình IP cho PortC

Thiết lập các thông số trên PortC

• Name: đặt tên cho PortC
• Network zone: chọn WAN
• Tích chọn IPv4 Configuration
• IP assingment: chọn Static để đặt IP. Nếu quay PPPoE, chọn PPPoE (DSL) và nhập tài khoản của nhà mạng.
• IPv4/Netmask: nhập địa chỉ IP gán cho cổng và chọn netmask /24.
• Gateway name: đặt tên cho gateway
• Gateway IP: nhập địa chỉ IP Gateway của mạng
• Chọn Save để lưu cấu hình.

Cấu hình VLAN trên firewall Sophos

PortB sẽ bao gồm 2 VLAN trên interface. Trong mục Network, chọn Add Interface > Add VLAN

• Name: đặt tên cho VLAN
• Interface: chọn PortB để tạo vlan 11 trên PortB
• Zone: chọn LAN
• VLANID: 11
• Tích chọn IPv4 configuration
• IP assignment: chọn Static
• IPv4/Netmask: nhập ip cho interface vlan 11, IP này sẽ là ip gateway của vlan 11
• Chọn Save để lưu cấu hình

Các bạn thực hiện tương tự để cấu hình vlan 12 trên Firewall Sophos. Sau khi cấu hình xong các bạn sẽ thấy 2 interface vlan với hardware là PortB

Cấu hình DHCP Server trên Firewall Sophos

Truy cập CONFIGURE > Network, Chọn table DHCP, chọn Add để tạo DHCP Pool cấp IP cho client trong VLAN 11

• Name: đặt tên cho DHCP Pool
• Interface: chọn VLAN11 để cấp IP cho vlan 11
• Dynamic IP lease: nhập Start IP và End Ip trong DHCP Pool.
• Static IP MAC mapping: tùy chọn này cho phép DHCP cấp duy nhất 1 IP chỉ định ứng với 1 địa chỉ MAC. IP này sẽ không được cấp cho các Client khác.
• Subnetmask: chọn /24
• Tích chọn Use interface IP as gateway để lấy địa chỉ IP trên interface vlan 11 làm gateway.

Tương tự tạo 1 DHCP Pool để cấp cho Client trong VLAN 12.

Cấu hình Default Route

Truy cập CONFIGURE > Routing, trong table Static routing, chọn Add trong mục IPv4 unicast route:

• Destination IP/Netmask: nhập 0.0.0.0/0
• Gateway: nhập địa chỉ IP nexthop, với cổng WAN quay PPPoE thì các bạn chỉ cần chọn mục Interface
• Interface: chọn cổng WAN

Cấu hình Policy

Mặc định tất cả các dòng Firewall sẽ không cho phép các zone, vlan... khác nhau truy cập lẫn nhau. Để cho phép traffic từ các vùng mạng khác nhau có thể access thì chúng ta cần tạo policy và permit các traffic này.

Cấu hình Policy cho phép 2 VLAN truy cập Internet

Truy cập PROTECT > Rules and policies, trong table Firewall rules chọn Add firewall rule > New firewall rule

Tạo Policy cho phép 2 VLAN truy cập internet. Trong bài viết mình gộp 2 policy bằng cách chọn source là cả VLAN 11 và VLAN 12. Các bạn có thể tách thành 2 policy để áp dụng các chính sách khác nhau cho 2 vlan.

• Rule status: chọn ON để bật policy này.
• Rule name: đặt tên cho rule đang tạo.
• Description: viết mô tả cho rule.
• Rule position: vị trí của rule, nếu có nhiều rule được tạo trong 1 group, firewall sẽ thực hiện kiểm tra từ trên xuống.
• Rule group: chọn group để nhóm các rule liên quan lại. Ví dụ các rule có cùng nguồn và cùng đích sẽ được gán chung 1 group để dễ quản lý.
• Log firewall traffic: tích chọn để cho phép firewall ghi lại nhật ký của các traffic matching với rule đang tạo.
• Source
  • Source zone: chọn zone nguồn, ở đây chúng ta đang tạo policy cho 2 VLAN đã gán vào zone LAN ở phần trên nên sẽ chọn mục này là LAN.
  • Source networks and devices: Chọn Add new item, chọn Add > Network, sau đó tạo 2 network tương ứng với 2 dải mạng của VLAN 11 và 12.
  • During scheduled time: chọn thời gian rule có hiệu lực. Chọn All the time.
• Destination and services:
  • Destination zones: chọn zone WAN.
  • Destination networks: chọn Any để cho phép truy cập mọi IP trên internet.
  • Services: chọn Any để cho phép truy cập tất cả dịch vụ trên Internet.

Kích chọn Create Linked NAT rule. Trong phần Translated Source (SNAT), các bạn chọn là MASQ, còn lại các thông số khác để các thông số mặc định, chọn Save để tạo NAT rule cho các IP local đi qua cổng WAN sẽ được NAT qua IP public để truy cập internet. 

chọn Save để lưu policy.

Cấu hình Policy cho phép 2 VLAN truy cập lẫn nhau

Làm tương tự với policy cho phép 2 vlan được phép truy cập lẫn nhau. Tuy nhiên 2 VLAN đều sử dụng IP nội bộ nên chúng ta sẽ không cần sử dụng NAT trong policy này.

Như vậy chúng ta đã cấu hình xong firewall Sophos cho phép mạng nội bộ truy cập internet. Các bạn có thể thay đổi các thông số tùy thuộc vào hệ thống mạng đang triển khai.

Chúc các bạn thành công!