Hướng dẫn cấu hình HA trên firewall Sophos XGS (version 21.x)

Trong bài viết này, mình sẽ hướng dẫn các bạn cấu hình High Availability trên Firewall Sophos phiên bản firmware 21.x.

HA trên Sophos sẽ có 1 số yêu cầu về phần cứng, phần mềm cũng như license, nên trước khi cấu hình, hoặc lên kế hoạch để thiết kế 2 firewall Sophos chạy HA, thì các bạn cần phải đảm bảo các yếu tố này nhé. Để biết thêm thông tin, các bạn có thể tham khảo bài viết: Tổng quan về High Avaiability trên Sophos, Yêu cầu và License.

Cả 2 chế độ HA Active-Active hay Active-Passive đều có chung cách cấu hình, chỉ khác nhau về yêu cầu, cách firewall xử lý lưu lượng, và 1 số tính năng hỗ trợ như mình đã đề cập trong bài viết tổng quan. Do vậy nên mình sẽ hướng dẫn chung cách cấu hình 2 chế độ HA trong bài viết này.

Nếu các bạn đang sử dụng Firewall dòng XG series, hoặc phiên bản firmware cũ hơn, thì giao diện cấu hình sẽ khác, các bạn có thể tham khảo bài viết: Hướng dẫn cấu hình HA trên Sophos XG Firewall phiên bản 19.x (XG Firewall).

Các chế độ cấu hình

Các dòng Firewall Sophos sẽ có 2 cách để cấu hình HA, là QuickHA mode và Interactive mode.

Ở chế độ QuickHA, ban đầu chúng ta chỉ cần cấu hình các thông số cơ bản như: role của thiết bị, tên, và các cổng HA. Các bạn có thể cấu hình HA trước khi lắp đặt. Sau khi lắp đặt và kết nối link, thì các firewall sẽ cố gắng tìm các đối tác cho đến khi tìm thấy. Sau đó thì các firewall sẽ hoàn tất cấu hình và thiết lập HA. Sau khi firewall thiết lập HA xong thì chúng ta có thể thay đổi các cài đặt khác như: cổng monitor, timer... Một số cấu hình sẽ tự động được cấu hình.

Còn ở chế độ Interactive thì chúng ta sẽ cần phải thiết lập tất cả các cài đặt ngay từ ban đầu.

Nói chung là kết quả sẽ giống nhau, chỉ là chúng ta cấu hình cái gì trước, cái gì sau thôi. Nếu thiết bị đã được lắp đặt và đấu nối theo đúng mô hình, thì các bạn sử dụng cách nào cũng như nhau. Mình sẽ hướng dẫn cả 2 cách.

Với cấu hình HA thì các bạn nên cấu hình đầu tiên, sau đó mới triển khai các dịch vụ khác.

Cấu hình HA ở chế độ QuickHA

Yêu cầu Firewall ở chế độ Quick HA

Sẽ có 1 số yêu cầu các bạn cần phải thực hiện khi cấu hình HA ở chế độ QuickHA.

• Đối với cổng quản trị.
  • Cổng quản trị là cổng cho phép các bạn truy cập vào giao diện web của Firewall. Các dòng firewall cao cấp sẽ có cổng quản trị riêng, còn với dòng SMB thì các bạn sẽ sử dụng các cổng mạng bình thường mà các bạn sử dụng cho mạng LAN.
  • QuickHA sẽ tự động chỉ định giao diện mà các bạn đang sử dụng để truy cập vào giao diện web của thiết bị là cổng quản trị, cho cả 2 thiết bị. Sau khi HA được thiết lập, thì với firewall Primary các bạn có thể truy cập bằng bất kỳ IP nào mà mình cấu hình, nhưng với thiết bị phụ thì các bạn chỉ có thể truy cập được bằng địa chỉ IP này.
  • Ví dụ, các bạn sử dụng IP cấu hình trên PortA là 10.0.1.50 và 10.0.1.51 để truy cập vào firewall. Khi cấu hình QuickHA thì PortA trên 2 firewall sẽ là cổng quản trị, và sau khi HA thiết lập xong, các bạn chỉ có thể truy cập vào giao diện web của firewall 2 bằng IP 10.0.1.51 thôi, còn Firewall 1 thì các bạn có thể truy cập bằng IP trên các port khác nếu như các bạn cho phép.
  • IP trên cổng quản trị này cũng phải cùng subnet, không được giống nhau. Nếu 2 IP quản trị thuộc 2 subnet khác nhau thì các bạn sẽ không thể thiết lập HA. Còn nếu 2 địa chỉ IP giống nhau, thì chúng ta sẽ không thể truy cập được vào giao diện web của thiết bị phụ.
• Đối với cổng HA thì các bạn sẽ để cấu hình mặc định, không có cấu hình phụ thuộc, ví dụ như sử dụng trong các Policy, Objects, NAT rule... Nếu đã có cấu hình sử dụng các cổng HA này, thì các bạn sẽ không chọn được khi cấu hình.

Cấu hình QuickHA

Để cấu hình HA ở QuickHA mode, thì các bạn vào menu System Services, chọn tab High Avaiability. Thiết lập các thông số cho HA:

• HA configuration mode: chọn QuickHA mode.
• Initial device role: chọn role và HA mode. Firewall này mình sẽ cấu hình là Primary ở mode Active-Passive. Bên dưới sẽ có phần cảnh báo về license, các bạn có thể tham khảo bài viết tổng quan để tìm hiểu thêm về cách mua license cho các thiết bị trong cụm HA.
• Node name: thì các bạn đặt tên cho node, để dễ phân biệt trong cụm HA.
• Nhập mật khẩu trong mục Passphrase. Các firewall sẽ sử dụng mật khẩu này để xác thực khi tham gia cụm HA. Cả 2 firewall phải có Passphrase giống nhau thì mới có thể join được vào cụm.
• Dedicated HA link: chọn cổng được sử dụng làm cổng HA, các bạn có thể chọn nhiều cổng để dự phòng. Tuy nhiên các cổng này phải không có cấu hình phụ thuộc, nghĩa là không được sử dụng cho các cấu hình khác như policy, objects nhé. Nếu đã được cấu hình thì các bạn sẽ không nhìn thấy ở đây, các bạn cần phải xóa hết cấu hình liên quan đi, tốt nhất là cổng ở mặc định.
• Nhấn Initiate HA.

Firewall sẽ hiển thị thông báo là nên chọn thiết bị có nhiều license nhất là Primary. Nếu đúng thiết kế thì các bạn chọn OK để xác nhận.

Tương tự mình sẽ cấu hình thiết bị phụ.

• Trên thiết bị phụ thì role sẽ là Auxiliary.
• HA configuration mode: vẫn là QuickHA mode.
• Passphrase thì các bạn sẽ cần cấu hình giống như trên firewall chính.
• Cổng HA cũng cần giống trên firewall chính.
• Nhấn Initiate HA.

Sau khi cấu hình xong cả 2 firewall thì các bạn chờ 1 lúc để 2 firewall thiết lập HA và trao đổi các thông tin với nhau. Có thể mất 1 vài phút. Sau khi firewall thiết lập xong HA, các bạn thấy trạng thái HA là "Connnected", và có dòng thông báo "HA nodes are connected and fully functional" là OK.

Lúc này các bạn có thể cấu hình thêm các thông số khác cho QuickHA:

• Select ports to be monitored: các bạn sẽ chọn các cổng sẽ được monitor bởi HA. Mặc định thì chỉ khi Firewall hoặc link HA bị lỗi thì firewall mới chuyển đổi dự phòng. Tuy nhiên nếu các bạn cấu hình thêm link monitor, thì khi các link này bị lỗi thì firewall cũng sẽ chuyển đổi dự phòng. Các bạn nên chọn các interface quan trọng, ví dụ như cổng wan, hay cổng kết nối xuống server để monitor thôi, không nên chọn tất cả các interface. Vì nếu chọn nhiều quá thì firewall có thể sẽ bị chuyển đổi dự phòng liên tục.
• Peer administration settings: là địa chỉ để truy cập vào firewall phụ, mặc định thì HA đã tự động lấy IP trên cổng quản trị lúc thiết lập HA, các bạn có thể cấu hình thêm các IP khác. Tuy nhiên nó phải thuộc cổng quản trị nhé. Vì IP Services thì trên 2 firewall sẽ phải giống nhau.
• Preferred primary device: tương tự như tính năng preemt trên VRRP, firewall là được prefer primary thì sẽ luôn đòi lại quyền Primary khi nó hoạt động bình thường. Còn nếu các bạn chọn No Preference thì sau khi có chuyển đổi dự phòng, Firewall đó vẫn sẽ giữ nguyên rule cho đến khi có chuyển đổi dự phòng tiếp theo mà không đòi lại quyền Primary.
• Keepalive request interval: là thời gian để 2 firewall gửi gói tin check thông tin về peer. Tính bằng mili giây. Nếu các bạn cấu hình interval là 250 mili giây, attempts là 16, thì sau 250*16 = 4000 mili giây (4 giây) mà firewall ko nhận được heartbeat, thì firewall sẽ thông báo peer bị lỗi và sẽ có chuyển đổi dự phòng. Các bạn cấu hình thời gian tùy theo thiết kế, càng nhanh thì chuyển đổi dự phòng càng nhanh, và downtime cũng sẽ thấp hơn.
• Nhấn Apply để lưu lại cấu hình.

Như vậy là các bạn đã cấu hình thành công HA bằng QuickHA mode. Các bạn có thể cấu hình các dịch vụ khác cho firewall.

Cấu hình HA ở chế độ Interactive

Yêu cầu khi cấu hình HA Interactive mode

Interactive mode thì sẽ có 1 số điểm khác so với QuickHA mode.

Đầu tiên thì các bạn vẫn phải đảm bảo các cổng quản trị đã được cấu hình, 2 IP quản trị phải sử dụng IP khác nhau và cùng thuộc 1 subnet. Cổng HA thì vẫn phải yêu cầu không có cấu hình phụ thuộc nào, nghĩa là chưa được add vào bất kỳ policy, objects nào, tương tự như chế độ QuickHA.

Sophos HA sẽ sử dụng SSH tunnel giữa các liên kết HA, và cổng được chọn làm HA sẽ được đưa vào zone DMZ. Do vậy đầu tiên các bạn cần phải bật SSH trong zone DMZ trước. Cấu hình này cần được thực hiện trên cả 2 firewall.

Các bạn truy cập vào menu Administration, chuyển sang tab Device Access. Tích chọn SSH trong zone DMZ nếu chưa được cấu hình, nhấn Apply.

Tiếp theo các bạn sẽ cần add port sẽ sử dụng làm HA vào DMZ zone, vì chỉ các cổng thuộc DMZ mới chọn được làm HA link. Các bạn truy cập vào menu Network, nhấn vào cổng sẽ làm HA link để edit port này, mình sẽ edit PortC.

Thiết lập các thông tin cơ bản cho cổng HA:

• Network zone: chọn DMZ.
• Đặt IP cho cổng này, IP này chỉ sử dụng giữa 2 cổng HA, nên các bạn có thể sử dụng subnet /30 cũng được. Các bạn có thể lấy dải bất kỳ chưa được sử dụng trong mạng, mỗi Firewall sẽ sử dụng 1 IP trong subnet này. Trong ví dụ của mình, mình đang sử dụng dải 172.16.16.0/30, Primary sẽ sử dụng IP 172.16.16.1/30, Auxiliary sẽ sử dụng IP 172.16.16.2/30.
• Nhấn Save để lưu.
• Chọn Update Interface khi xuất hiện popup.

Tương tự với firewall Auxiliary.

Cấu hình HA Interactive Mode

Trong Interactive mode, các bạn sẽ cần cấu hình trên thiết bị Auxiliary trước.

Trên thiết bị Auxiliary, các bạn vào menu System Services, chọn tab High Availability.

• HA configuration mode: chọn Interactive Mode.
• Initial device role: chọn Auxiliary, vì chúng ta cần phải cấu hình thiết bị phụ trước.
• Node name: đặt tên cho Firewall.
• Nhập mật khẩu trong mục Passphrase. Các firewall sẽ sử dụng mật khẩu này để xác thực khi tham gia cụm HA. Cả 2 firewall phải có Passphrase giống nhau thì mới có thể join được vào cụm.
• Dedicated HA link: chọn các cổng mà các bạn đã cấu hình vào DMZ zone cho HA.
• Nhấn Save.

Firewall sẽ vẫn hỏi về phần license, chọn OK để xác nhận.

Tiếp theo chúng ta sẽ cấu hình firewall được chọn làm Primary.

• HA configuration mode: chọn Interactive Mode.
• Initial device role: chọn Primary, còn mode Active-Active hay Active-Passive thì tùy thiết kế của các bạn.
• Cluster ID: để phân biệt giữa các cụm HA khác nhau. Giá trị có thể từ 0 đến 63. Nếu trong mạng của bạn có nhiều cụm HA thì các bạn cần phải thiết kế sao cho các cụm HA có Cluster ID khác nhau. Vì nếu trùng nhau thì có thể địa chỉ MAC ảo giữa các cụm HA sẽ trùng nhau.
• Nhập Node name.
• Passphrase giống như đã cấu hình trên thiết bị Auxiliary.
• Dedicated HA link: chọn các cổng sẽ sử dụng làm HA link, trong mô hình của mình thì chỉ có port C.
• Dedicated peer HA link IPv4 address: nhập địa chỉ IP trên cổng HA của thiết bị phụ, trong ví dụ của mình là IP 172.16.16.2 mà mình đã cấu hình trên PortC của thiết bị Auxiliary.
• Select ports to be monitored: chọn cổng sẽ monitor. Tương tự như chế độ QuickHA, Mặc định thì chỉ khi Firewall hoặc link HA bị lỗi thì firewall mới chuyển đổi dự phòng. Tuy nhiên nếu các bạn cấu hình thêm link monitor, thì khi các link này bị lỗi thì firewall cũng sẽ chuyển đổi dự phòng. Các bạn nên chọn các interface quan trọng, ví dụ như cổng wan, hay cổng kết nối xuống server để monitor thôi, không nên chọn tất cả các interface. Vì nếu chọn nhiều quá thì firewall có thể sẽ bị chuyển đổi dự phòng liên tục.
• Peer administration settings: các bạn sẽ nhập IP quản trị trên thiết bị phụ. Sau khi HA được thiết lập thì các bạn có thể truy cập vào thiết bị phụ thông qua IP này. IP này sẽ phải là IP trên cổng quản trị.
• Preferred primary device: tương tự như tính năng preemt trên VRRP, firewall là được prefer primary thì sẽ luôn đòi lại quyền Primary khi nó hoạt động bình thường. Còn nếu các bạn chọn No Preference thì sau khi có chuyển đổi dự phòng, Firewall đó vẫn sẽ giữ nguyên rule cho đến khi có chuyển đổi dự phòng tiếp theo mà không đòi lại quyền Primary.
• Keepalive request interval: là thời gian để 2 firewall gửi gói tin check thông tin về peer. Tính bằng mili giây. Nếu các bạn cấu hình interval là 250 mili giây, attempts là 16, thì sau 250*16 = 4000 mili giây mà firewall ko nhận được heartbeat, thì firewall sẽ thông báo peer bị lỗi và sẽ có chuyển đổi dự phòng. Các bạn cấu hình thời gian tùy theo thiết kế, càng nhanh thì chuyển đổi dự phòng càng nhanh, và downtime cũng sẽ thấp hơn.
• Nhấn Initiate HA.
• Chọn OK.

Các bạn sẽ cần chờ 1 lúc để 2 firewall thiết lập HA và trao đổi thông tin. Sau khi firewall báo trạng thái là connected và có dòng fully functional ở phía dưới là 2 firewall đã thiết lập HA thành công. Với Interactive Mode thì các bạn sẽ không cần cấu hình thêm như QuickHA, vì chúng ta đã cấu hình toàn bộ các thông số cho HA.

Kết luận

Cả 2 phương pháp cấu hình thì đều giống nhau, các bạn có thể cấu hình theo cách nào cũng được. Với Interactive mode thì chúng ta sẽ cần thiết lập tất cả các cấu hình, còn QuickHA thì sẽ đơn giản hơn. Các bạn chỉ cần chắc chắn về các lưu ý mà mình đã đưa ra cho mỗi mode là được

OK Như vậy là mình đã hướng dẫn các bạn cấu hình HA trên firewall Sophos. Nếu các bạn có thắc mắc hay góp ý nào thì hãy để lại comment để mọi người cùng trao đổi nhé.

Chúc các bạn thành công!