Tiểu Luận Đồ Án Chuyên Ngành Về Bảo Mật Và Triển Khai Tường Lửa pfSense Cho Mạng Doanh Nghiệp

Đồ án nghiên cứu Tiểu luận đồ án chuyên ngành đề tài tìm hiều về bảo mật và triển khai tường lửa pfsense cho mạng, thiết kế chi tiết, tính toán kỹ thuật theo tiêu chuẩn, đánh giá

• Tác giả: Nguyễn Văn Phát
• Người hướng dẫn: ThS. Nguyễn Lê Văn
• Trường học: Trường Đại Học Công Nghệ TP. HCM
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Bảo Mật Mạng Doanh Nghiệp: Triển Khai Tường Lửa pfSense
• Loại tài liệu: báo cáo đồ án chuyên ngành
• Năm xuất bản: 2021
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. Tổng quan về công nghệ Firewall
• 2.2. Định nghĩa Firewall
• 2.3. Chức năng của Firewall
• 2.4. Cấu trúc Firewall
• 2.5. Phân loại firewall
• 2.6. Giới thiệu tường lửa Pfsense
• 2.7. Một số dịch vụ của Pfsense
• 2.7.1. Pfsense Aliases
• 2.7.2. NAT
• 2.7.3. Firewall Rules
• 2.7.4. Firewall Schedules
• 2.7.5. DHCP Server
• 2.7.6. Cài đặt Packages
• 2.7.7. Cấu hình NTP Server cho Pfsense
• 2.7.8. Cài đặt Failover và Load Balancing cho Pfsense
• 2.7.9. High Availability Sync và CARP
• 2.8. Cài đặt Pfsense
• 2.9. Triển khai Pfsense
• 2.10. Tính năng của Pfsense
• 3. CHƯƠNG 3: KẾT LUẬN
• 3.1. Kết quả đạt được
• 3.2. Những mặt hạn chế
• 3.3. Hướng phát triển trong tương lai
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về An ninh Mạng Doanh nghiệp và Tường lửa pfSense

Bài viết tập trung phân tích triển khai tường lửa doanh nghiệp sử dụng pfSense, một giải pháp Open Source Firewall mạnh mẽ và linh hoạt. Bảo mật mạng doanh nghiệp là vấn đề then chốt, đòi hỏi giải pháp toàn diện. pfSense, với tính năng UTM (Unified Threat Management), cung cấp nhiều lớp bảo vệ, từ kiểm soát truy cập đến ngăn chặn tấn công mạng. Việc triển khai pfSense giúp doanh nghiệp tối ưu hóa bảo mật thông tin doanh nghiệp và an toàn thông tin doanh nghiệp, giảm thiểu rủi ro từ các mối đe dọa như tấn công DDoS.

1.1 Lý do chọn pfSense

So với các giải pháp tường lửa doanh nghiệp thương mại đắt tiền, pfSense nổi bật với tính năng mở nguồn, chi phí thấp, và khả năng tùy biến cao. Là một tường lửa mã nguồn mở, pfSense được cộng đồng hỗ trợ mạnh mẽ, đảm bảo cập nhật thường xuyên các bản vá lỗi và tính năng mới. Khả năng tích hợp nhiều dịch vụ như VPN pfSense, IPSec pfSense, và các ứng dụng tường lửa khác làm cho pfSense trở thành giải pháp lý tưởng cho nhiều doanh nghiệp, đặc biệt là các doanh nghiệp vừa và nhỏ. Việc cấu hình pfSense tương đối dễ dàng nhờ giao diện người dùng thân thiện. Do đó, việc triển khai pfSense đáp ứng nhu cầu bảo mật dữ liệu doanh nghiệp và quản lý bảo mật hiệu quả.

1.2 Phân tích các khía cạnh bảo mật

Triển khai pfSense giúp doanh nghiệp thực hiện phân tích rủi ro an ninh mạng, thiết lập chính sách bảo mật, và giám sát an ninh mạng hiệu quả. PfSense cho phép thiết lập các quy tắc tường lửa chi tiết, kiểm soát chặt chẽ lưu lượng truy cập vào mạng nội bộ. Việc tích hợp VPN pfSense và IPSec pfSense tăng cường bảo mật cho kết nối từ xa. Các tính năng ngăn chặn tấn công mạng và ngăn chặn tấn công DDoS của pfSense góp phần bảo vệ mạng doanh nghiệp khỏi các mối đe dọa bên ngoài. Việc áp dụng best practice bảo mật mạng trong quá trình cài đặt pfSense và quản lý tường lửa là rất quan trọng để đảm bảo hiệu quả bảo mật.

II. Triển khai và Cấu hình pfSense cho Mạng Doanh nghiệp

Phần này tập trung vào quá trình triển khai pfSense trong môi trường doanh nghiệp. Việc thiết lập pfSense cho doanh nghiệp nhỏ khác với thiết lập pfSense cho doanh nghiệp vừa và lớn. Các bước cài đặt pfSense bao gồm cấu hình giao diện mạng (WAN, LAN), thiết lập các quy tắc tường lửa, và cấu hình các dịch vụ khác như DHCP, NTP. Quá trình cấu hình pfSense cần tuân thủ các tiêu chuẩn bảo mật và tuân thủ pháp luật về bảo mật. Việc so sánh pfSense với các tường lửa khác cho thấy ưu điểm pfSense về tính linh hoạt, hiệu quả chi phí, và khả năng mở rộng.

2.1 Cài đặt và Cấu hình cơ bản

Quá trình cài đặt pfSense bắt đầu bằng việc tải xuống ảnh ISO và cài đặt lên máy chủ vật lý hoặc máy ảo. Sau đó, cần cấu hình các giao diện mạng, bao gồm WAN và LAN. Cần xác định địa chỉ IP, subnet mask, và gateway cho mỗi giao diện. Thiết lập DHCP server để tự động cấp phát địa chỉ IP cho các máy khách trong mạng LAN. Cấu hình NTP server để đồng bộ hóa thời gian trên hệ thống. Việc cài đặt packages thêm giúp mở rộng chức năng của pfSense, như tích hợp thêm các dịch vụ bảo mật nâng cao. Hướng dẫn pfSense chi tiết có sẵn trên trang web chính thức và nhiều tài nguyên trực tuyến khác.

2.2 Cấu hình nâng cao và Quản lý

Sau khi cài đặt cơ bản, cần cấu hình các tính năng bảo mật nâng cao. Thiết lập các quy tắc tường lửa để kiểm soát lưu lượng truy cập vào mạng nội bộ. Sử dụng aliases để quản lý các nhóm IP hoặc port một cách hiệu quả. Cấu hình NAT để chuyển đổi địa chỉ IP giữa mạng nội bộ và mạng bên ngoài. Thiết lập firewall schedules để tự động bật/tắt các quy tắc tường lửa theo lịch trình. Quản lý tường lửa bao gồm theo dõi nhật ký sự kiện, giám sát tình trạng hệ thống, và cập nhật các bản vá bảo mật. Việc kiểm tra an ninh mạng định kỳ giúp phát hiện và khắc phục các lỗ hổng bảo mật tiềm ẩn. Quản lý tường lửa cũng bao gồm việc đào tạo nhân viên về nhận diện mối đe dọa an ninh mạng và phản hồi sự cố an ninh mạng.

III. Đánh giá và Ứng dụng Thực tiễn

Việc triển khai pfSense mang lại nhiều lợi ích cho doanh nghiệp. pfSense là giải pháp an ninh mạng hiệu quả với chi phí hợp lý. Khả năng tùy biến cao giúp pfSense đáp ứng nhu cầu cụ thể của từng doanh nghiệp. Cộng đồng hỗ trợ lớn đảm bảo giải quyết nhanh chóng các vấn đề kỹ thuật. Tuy nhiên, cần lưu ý một số tài nguyên pfSense, bao gồm hỗ trợ pfSense, có thể hạn chế ở một số khu vực. Việc lựa chọn cấu hình phù hợp tùy thuộc vào quy mô và nhu cầu cụ thể của doanh nghiệp.

3.1 Lợi ích và hạn chế

Ưu điểm pfSense: Chi phí thấp, mã nguồn mở, cộng đồng hỗ trợ lớn, linh hoạt, dễ cấu hình, tích hợp nhiều tính năng bảo mật. Nhược điểm pfSense: Cần kiến thức kỹ thuật để cấu hình và quản lý, tài nguyên hỗ trợ có thể hạn chế ở một số khu vực, hiệu năng có thể bị ảnh hưởng khi xử lý lưu lượng lớn. Việc đánh giá tài nguyên pfSense cần được xem xét kỹ lưỡng trước khi triển khai.

3.2 Ứng dụng thực tiễn

pfSense phù hợp cho nhiều loại doanh nghiệp, từ các doanh nghiệp nhỏ đến các doanh nghiệp lớn. Có thể sử dụng pfSense để bảo vệ mạng nội bộ khỏi các mối đe dọa bên ngoài. Có thể sử dụng pfSense để thiết lập kết nối VPN an toàn cho nhân viên làm việc từ xa. Có thể sử dụng pfSense để quản lý và kiểm soát truy cập vào các tài nguyên mạng. Việc triển khai pfSense cần được lên kế hoạch cẩn thận và thực hiện bởi đội ngũ kỹ thuật có kinh nghiệm. Sự thành công của việc triển khai phụ thuộc vào việc lựa chọn cấu hình phù hợp, thực hiện đúng quy trình, và đảm bảo bảo trì định kỳ.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong tiến trình công nghiệp hóa và hiện đại hóa, cơ sở hạ tầng mạng máy tính và truyền thông tại Việt Nam phát triển nhanh chóng, tạo điều kiện thuận lợi cho việc gia tăng và trao đổi dịch vụ trực tuyến. Tuy nhiên, sự mở rộng của mạng Internet cũng đi kèm với nguy cơ mất an toàn thông tin ngày càng nghiêm trọng. Các cuộc tấn công phá hoại, đánh cắp dữ liệu kinh doanh và phát tán mã độc diễn ra với tần suất cao, gây thiệt hại lớn về vật chất lẫn uy tín của các tổ chức và doanh nghiệp.

Để bảo vệ hệ thống mạng nội bộ khi giao tiếp với môi trường Internet bên ngoài, các giải pháp phần cứng hoặc bản quyền thương mại (như thiết bị định tuyến Cisco, tường lửa Microsoft ISA) thường đòi hỏi chi phí đầu tư và vận hành lớn. Nhằm đáp ứng nhu cầu bảo mật mạng hiệu quả nhưng tối ưu hóa ngân sách cho doanh nghiệp, đề tài "Tìm hiểu về bảo mật và triển khai tường lửa pfSense cho mạng doanh nghiệp" đã được nhóm tác giả lựa chọn thực hiện.

Mục tiêu và nhiệm vụ nghiên cứu của đồ án bao gồm:

1. Tìm hiểu tổng quan lý thuyết về công nghệ tường lửa (Firewall), bao gồm định nghĩa, chức năng, cấu trúc và các tiêu chí phân loại tường lửa trong mạng máy tính.
2. Nghiên cứu kiến trúc, các tính năng cốt lõi và hệ sinh thái dịch vụ tích hợp của phần mềm tường lửa mã nguồn mở pfSense dựa trên nền tảng FreeBSD.
3. Thiết lập mô hình thực nghiệm, cài đặt hệ điều hành pfSense, phân bổ giao diện mạng (Interfaces) và cấu hình các thông số địa chỉ IP, dịch vụ cấp phát động (DHCP), đồng bộ thời gian (NTP).
4. Cấu hình các cơ chế quản trị nâng cao: định danh nhóm (Aliases), chuyển dịch địa chỉ mạng (NAT), thiết lập luật bảo vệ và lập lịch tường lửa (Firewall Rules, Firewall Schedules), cân bằng tải và chịu lỗi đa đường truyền (Load Balancing, Failover), cùng cơ chế sẵn sàng cao (High Availability Sync với giao thức CARP).

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Công nghệ tường lửa mạng máy tính và hệ điều hành tường lửa mã nguồn mở pfSense.
• Phạm vi thực hiện: Triển khai mô hình mạng doanh nghiệp thực nghiệm tại Khoa Công nghệ Thông tin, Trường Đại học Công nghệ TP. HCM (HUTECH), thực hiện vào tháng 12/2021.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình công nghệ

Tài liệu xây dựng nền tảng dựa trên các khái niệm an ninh mạng và kiến trúc tường lửa tiêu chuẩn:

• Khái niệm tường lửa: Là hệ thống phần cứng hoặc phần mềm kiểm soát lưu lượng giữa các vùng mạng có mức độ tin cậy khác nhau thông qua một tập hợp các quy tắc định sẵn (Rules).
• Cấu trúc tường lửa cơ bản: Bao gồm bộ lọc gói tin (Packet Filtering), cổng ứng dụng / máy chủ ủy quyền (Application Gateways / Proxy Server), cổng mức mạch (Circuit Level Gateway), hệ thống chính sách mạng (Network Policy), cơ chế xác thực nâng cao và phân hệ ghi nhận nhật ký phát hiện hành vi bất thường (Logging & suspicious activity detection).
• Nền tảng pfSense: Hệ điều hành định tuyến và tường lửa mã nguồn mở phát triển từ dự án m0n0wall (khởi đầu từ năm 2004), hoạt động trên nền hệ điều hành FreeBSD. pfSense hỗ trợ quản trị qua giao diện web (WebGUI), cung cấp các giao thức và công nghệ gồm:
  • Common Address Redundancy Protocol (CARP): Giao thức chia sẻ IP ảo (Virtual IP) giữa các máy chủ để tự động chuyển đổi dự phòng khi có nút bị lỗi, thay thế cho giao thức định tuyến ảo VRRP.
  • pfsync và XMLRPC Sync: Cơ chế đồng bộ hóa trạng thái phiên làm việc của tường lửa và đồng bộ hóa tệp cấu hình giữa các nút trong cụm CARP cluster.
  • Network Address Translation (NAT): Bao gồm chuyển tiếp cổng (Port Forwarding), NAT 1:1 và Outbound NAT tự động hoặc thủ công.

Phương pháp nghiên cứu

Đồ án sử dụng kết hợp hai phương pháp nghiên cứu chính:

1. Phương pháp phân tích - tổng hợp tài liệu: Nghiên cứu tài liệu kỹ thuật chuyên ngành về hệ thống mạng, tài liệu chính thức của nền tảng FreeBSD, pfSense và các giao thức mạng liên quan.
2. Phương pháp thực nghiệm và thiết kế hệ thống: Cài đặt trực tiếp hệ thống trên môi trường máy chủ thực nghiệm; gán các card mạng giao tiếp; triển khai cấu hình từng dịch vụ và kiểm tra luồng lưu lượng dữ liệu qua bảng giám sát (Dashboard, Traffic Graph).

Nguồn dữ liệu

Dữ liệu sử dụng trong đồ án là các thông số kỹ thuật cấu hình hệ thống, bản ghi nhật ký hoạt động, sơ đồ phân bổ cổng mạng và các gói tin thử nghiệm qua hệ thống pfSense trong môi trường phòng lab.

Thiết kế và triển khai

Hệ thống tường lửa pfSense được thiết kế và cấu hình từng bước từ mức giao diện dòng lệnh (CLI console) đến giao diện đồ họa người dùng (WebGUI).

Hạng mục cấu hình	Thông số / Giao diện áp dụng	Chi tiết thực hiện trong đồ án
Gán card mạng (Interfaces)	LAN: em0 WAN1: em1 WAN2: em2 (OTP1)	Không cấu hình VLAN (chọn "N"). Gán cổng vật lý tương ứng cho luồng mạng nội bộ và các luồng mạng ra ngoài.
Cấu hình mạng LAN	Địa chỉ IP: 10.10.x.x Subnet mask: /24	Thiết lập IP tĩnh cho card em0, tắt tùy chọn tích hợp Webserver nội bộ khi cài đặt từ console.
Dịch vụ DHCP Server	Kích hoạt trên giao diện LAN	Phân dải cấp phát địa chỉ IPv4 tự động cho máy trạm từ 10.100 đến 10.200.
Dịch vụ NTP Server	Menu Services $\rightarrow$ NTP	Cấu hình máy chủ đồng bộ thời gian mạng, sử dụng bộ đệm khử biến thiên độ trễ (jitter buffer).
Quản lý gói (Package Manager)	Menu System $\rightarrow$ Package Manager	Cài đặt và quản lý các module mở rộng chức năng bổ sung cho hệ điều hành.
Nhóm định danh (Aliases)	Menu Firewall $\rightarrow$ Aliases	Gom nhóm nhiều địa chỉ host, dải mạng hoặc cổng dịch vụ vào một nhãn duy nhất để tối ưu quy tắc lọc.
Chuyển dịch địa chỉ (NAT)	Menu Firewall $\rightarrow$ NAT	Cấu hình chuyển tiếp cổng (Port Forwarding) và NAT tĩnh (1:1); thiết lập Outbound NAT dạng Automatic/Manual.
Luật tường lửa (Firewall Rules)	Menu Firewall $\rightarrow$ Rules	Định nghĩa chính sách cho phép/chặn lưu lượng vào/ra qua từng Interface cụ thể.
Lập lịch lọc (Schedules)	Menu Firewall $\rightarrow$ Schedules	Thiết lập lịch trình Lichhoctrongtuan áp dụng cho tháng 11, các ngày thứ 3, 5, 7 trong khung giờ từ 07:30 đến 11:15.
Cân bằng tải & Chịu lỗi (Multi-WAN)	WAN1 (em1), WAN2 (em2)	Bỏ tùy chọn Block Private Networks trên các WAN. Cấu hình Monitor IP cho từng Gateway, tạo Gateway Groups, gán DNS Server riêng biệt và áp dụng luật định tuyến cho mạng LAN.
Độ sẵn sàng cao (High Availability)	pfSense 1 (Master) & pfSense 2 (Backup)	Cấu hình CARP chia sẻ IP ảo (Virtual IP) cho mạng LAN và WAN, bật pfsync và XMLRPC Sync để đồng bộ trạng thái phiên và cấu hình.

Nội dung chính theo từng chương

Chương 1: Tổng quan về đề tài

Chương 1 trình bày bối cảnh chung của lĩnh vực an toàn thông tin doanh nghiệp trong kỷ nguyên số hóa. Tác giả phân tích tính cấp thiết của việc bảo vệ dữ liệu nội bộ trước các mối đe dọa trực tuyến, tình trạng đánh cắp dữ liệu và mã độc. Chương này xác định rõ mục tiêu chọn lựa giải pháp tường lửa mã nguồn mở pfSense nhằm giảm thiểu chi phí đầu tư thiết bị đắt đỏ nhưng vẫn đảm bảo tính linh hoạt và khả năng kiểm soát mạng toàn diện. Bố cục toàn văn báo cáo được khái quát thành 3 chương cụ thể.

Chương 2: Cơ sở lý thuyết

Chương 2 là phần nội dung trọng tâm của đồ án, tích hợp cả phần cơ sở lý luận kỹ thuật lẫn quy trình triển khai thực hành:

• Lý thuyết về Firewall: Hệ thống hóa các khái niệm căn bản, nhiệm vụ kiểm soát luồng thông tin, mô hình cấu trúc phân lớp (packet filtering, application gateway, circuit level gateway), và phân loại tường lửa theo phần cứng/phần mềm hoặc theo công nghệ xử lý.
• Giới thiệu và đánh giá pfSense: Trình bày lịch sử phát triển của pfSense từ m0n0wall trên nền tảng FreeBSD. Nêu rõ các đặc tính nổi bật như giao diện WebGUI trực quan, khả năng hoạt động ở chế độ cầu nối (Bridge) hoặc trong suốt (Transparent), hỗ trợ chính sách định tuyến linh hoạt. Tài liệu cũng chỉ rõ các hạn chế kỹ thuật hiện hữu của pfSense khi xử lý giao thức qua NAT như PPTP, GRE, SIP, cũng như giới hạn trong việc phân bổ lưu lượng cân bằng tải giữa hai đường truyền WAN.
• Quy trình cài đặt hệ điều hành: Hướng dẫn chi tiết các bước thiết lập pfSense từ đĩa khởi động, quá trình phân bổ các Interface (em0, em1, em2), cấu hình dải mạng LAN IPv4 /24 và kích hoạt dịch vụ DHCP cấp phát dải 10.100 - 10.200.
• Triển khai các tính năng bảo mật: Trình bày giao diện và các bước thao tác cụ thể cho Aliases, bảng NAT, Firewall Rules, và Firewall Schedules (với ví dụ lịch học cụ thể Lichhoctrongtuan).
• Thiết lập các dịch vụ mạng và tính năng nâng cao: Cấu hình Package Manager để cài đặt tiện ích mở rộng; thiết lập máy chủ thời gian NTP; triển khai giải pháp Multi-WAN (Load Balancing và Failover) thông qua việc cấu hình Monitor IP và Gateway Groups; xây dựng cụm High Availability Sync phối hợp giao thức CARP, pfsync và XMLRPC Sync trên cặp máy chủ pfSense 1 và pfSense 2.

Chương 3: Kết luận

Chương 3 tổng kết các kết quả mà nhóm nghiên cứu đã đạt được trong quá trình tìm hiểu và thực hiện đồ án, đưa ra các nhận định về những điểm còn hạn chế trong mô hình thực nghiệm và định hướng mở rộng nghiên cứu trong tương lai.

Kết quả và đóng góp

Kết quả đạt được

1. Xây dựng hoàn chỉnh hệ thống tường lửa doanh nghiệp: Triển khai thành công hệ điều hành pfSense trên hệ thống mạng thử nghiệm, đáp ứng đầy đủ các chức năng cơ bản của một thiết bị định tuyến kiêm tường lửa bảo vệ mạng nội bộ.
2. Kiểm soát lưu lượng và chính sách truy cập: Phân bổ các nhóm đối tượng thông qua Aliases, thiết lập các bộ quy tắc Firewall Rules và cơ chế lọc theo thời gian thực tế bằng Firewall Schedules.
3. Hiện thực hóa giải pháp Multi-WAN: Cấu hình thành công 2 đường WAN (WAN1 và WAN2) chạy song song, thiết lập cơ chế giám sát Monitor IP để tự động chuyển đổi dự phòng (Failover) khi một đường truyền gặp sự cố và phân phối lưu lượng dữ liệu (Load Balancing) qua biểu đồ Traffic Graph.
4. Triển khai cụm dự phòng sẵn sàng cao: Cấu hình thành công mô hình High Availability kết hợp giữa pfSense 1 và pfSense 2 thông qua giao thức CARP, IP ảo và đồng bộ hóa cấu hình XMLRPC Sync, đảm bảo mạng không bị gián đoạn khi xảy ra lỗi phần cứng trên nút chính.

Đóng góp của đề tài

• Cung cấp tài liệu thực hành chi tiết, minh họa bằng các bước chụp màn hình cụ thể về quy trình triển khai tường lửa mã nguồn mở cho mạng doanh nghiệp vừa và nhỏ.
• Chứng minh tính khả thi của việc thay thế các thiết bị phần cứng tường lửa thương mại đắt tiền bằng giải pháp phần mềm mã nguồn mở pfSense nhằm tối ưu hóa chi phí vận hành cho tổ chức.

Hạn chế và hướng nghiên cứu tiếp

Những mặt hạn chế

Theo các nội dung được nhóm tác giả ghi nhận trong văn bản:

• Hệ thống pfSense gặp một số hạn chế nhất định khi xử lý cơ chế NAT đối với các giao thức đường hầm và truyền thông đặc thù như Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP).
• Khả năng cân bằng tải giữa các đường truyền WAN mới chỉ thực hiện phân phối lưu lượng giữa hai kết nối và chưa cho phép người quản trị chỉ định chi tiết lưu lượng riêng biệt cho từng kết nối WAN cụ thể.
• Cơ chế CARP sử dụng địa chỉ truyền thông đa hướng (Multicast), do đó đòi hỏi thiết bị chuyển mạch (Switch) trong hạ tầng mạng phải hỗ trợ và không được chặn/lọc các gói tin multicast.

Hướng phát triển trong tương lai

• Nghiên cứu và tích hợp thêm các gói mở rộng chuyên sâu về phát hiện và ngăn chặn xâm nhập (IDS/IPS như Snort hoặc Suricata) thông qua Package Manager của pfSense.
• Tối ưu hóa các chính sách kiểm soát nội dung, tích hợp máy chủ phân giải tên miền bảo mật và mạng riêng ảo (VPN) liên kết nhiều chi nhánh doanh nghiệp.
• Hoàn thiện các kịch bản kiểm thử hiệu năng chịu tải lớn trong môi trường sản xuất thực tế.

Giá trị tham khảo

Đồ án là tài liệu tham khảo thực tiễn dành cho:

• Sinh viên chuyên ngành Mạng máy tính, Truyền thông và An toàn thông tin: Nắm bắt quy trình từng bước từ việc cài đặt trên môi trường dòng lệnh FreeBSD đến việc cấu hình các tính năng bảo mật trên giao diện WebGUI của pfSense.
• Kỹ sư quản trị mạng tại các doanh nghiệp vừa và nhỏ (SMEs): Tham khảo kiến trúc triển khai hệ thống định tuyến, cân bằng tải đa WAN, chuyển dịch địa chỉ NAT và thiết lập cụm máy chủ dự phòng High Availability (CARP) với chi phí bản quyền tối thiểu.
• Người làm đồ án hoặc bài tập chuyên ngành tương tự: Có thể sử dụng các thông số cấu hình cụ thể (phân bổ interface, cấu hình dải DHCP, tạo lịch Firewall Schedules) làm tài liệu đối chiếu cho mô hình lab thực nghiệm.

Câu hỏi thường gặp

1. Đồ án sử dụng phiên bản hệ điều hành nào làm nền tảng cho pfSense?
pfSense được phát triển dựa trên hệ điều hành mã nguồn mở FreeBSD, kế thừa các công nghệ mạng và an ninh mạng như tường lửa gói tin và giao thức mạng dự phòng CARP.

2. Giao diện mạng (Interfaces) trong mô hình đồ án được phân bổ như thế nào?
Hệ thống sử dụng 3 card mạng vật lý: card em0 được gán cho mạng nội bộ (LAN), card em1 được gán cho cổng mạng ngoài thứ nhất (WAN1), và card em2 (OTP1) được gán cho cổng mạng ngoài thứ hai (WAN2).

3. Cơ chế High Availability (HA) trong đồ án được thiết lập bằng những công nghệ nào?
Hệ thống đạt được độ sẵn sàng cao nhờ sự kết hợp của ba thành phần kỹ thuật: giao thức CARP (chia sẻ IP ảo giữa 2 nút tường lửa), giao thức pfsync (đồng bộ trạng thái các kết nối mạng) và XMLRPC Sync (tự động đồng bộ hóa tệp cấu hình giữa nút chính và nút phụ).

4. Dải địa chỉ IP mạng nội bộ và dịch vụ DHCP được thiết lập với thông số nào?
Giao diện LAN được cấu hình địa chỉ IP tĩnh lớp mạng 10.10.x.x với Subnet mask /24. Dịch vụ DHCP Server trên pfSense được kích hoạt để cấp phát dải địa chỉ IPv4 tự động cho các máy trạm trong khoảng từ 10.100 đến 10.200.

5. pfSense trong đồ án gặp hạn chế gì khi xử lý NAT và cân bằng tải WAN?
Văn bản nêu rõ pfSense gặp hạn chế khi sử dụng NAT với các giao thức PPTP, GRE và SIP. Đồng thời, tính năng cân bằng tải chỉ thực hiện phân phối lưu lượng giữa hai kết nối WAN mà không cho phép chỉ định luồng lưu lượng cụ thể đi qua một kết nối cố định.

Kết luận

Đồ án chuyên ngành "Tìm hiểu về bảo mật và triển khai tường lửa pfSense cho mạng doanh nghiệp" của nhóm sinh viên Trường Đại học Công nghệ TP. HCM (HUTECH) đã hệ thống hóa toàn diện cơ sở lý thuyết về công nghệ tường lửa và nền tảng pfSense trên FreeBSD. Báo cáo cung cấp quy trình thực nghiệm chi tiết từ cài đặt giao diện mạng, cấu hình các dịch vụ cốt lõi (DHCP, NTP, NAT, Rules, Schedules) đến các giải pháp nâng cao như cân bằng tải đa WAN và cụm dự phòng sẵn sàng cao CARP. Đây là tài liệu tham khảo mang tính ứng dụng kỹ thuật rõ ràng cho sinh viên và kỹ sư quản trị mạng trong việc triển khai giải pháp bảo mật mạng tối ưu chi phí.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan về đề tài Chương 2: Cơ sở lI thuyBt - Tổng quan về công nghệ firewall và giới thiệu pfsense - Cài đặt pfsense - Triển khai pfsense 1 0 0 Tieu luan Chương 3: KBt luận. 2 0 0 Tieu luan CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 2. Tổng quan về cộng nghệ Firewall 2. Định nghĩa Firewall Firewall là một phần c1a hệ thống hay mạng máy tInh đư=c thiBt kB để điều khiển truy nhập gi;a các mạng bằng cách ngăn chặn các truy cập không đư=c phép trong khi cho phép các truyền thông h=p lệ.

Nó cũng là một hay một nhóm các thiBt bJ đư=c c<u h?nh để cho phép, ngăn c8n, mã hóa, gi8i mã hay proxy lưu lư=ng trao đổi c1a các máy tInh gi;a các miền b8o mật khác nhau dựa trên một bộ các luật (rule) hay tiêu chu:n nào khác. Chức năng của Firewall ChGc năng chInh c1a firewall là kiểm soát lưu lư=ng gi;a hai hay nhiều mạng có mGc độ tin cậy khác nhau để từ đó thiBt lập cơ chB điều khiển luồng thông tin gi;a chúng. Cụ thể là: - Cho phép hoặc ngăn c8n truy nhập vào ra gi;a các mạng. - Theo dHi luồng d; liệu trao đổi gi;a các mạng.

- Kiểm soát ngưKi sử dụng và việc truy nhập c1a ngưKi sử dụng. - Kiểm soát nội dung thông tin lưu chuyển trên mạng. Cấu trúc Firewall Không hoàn toàn giống nhau gi;a các s8n ph:m đư=c thiBt kB bởi các hãng b8o mật, tuy nhiên có nh;ng thành phần cơ b8n sau trong c<u trúc c1a một firewall nói chung (mà một số trong đó sẽ đư=c t?m hiểu rH hơn trong phần 2.2 về các công nghệ firewall): - Bộ lDc gói (packet filtering) - Application gateways / Proxy server - Circuit level gateway - Các chInh sách mạng (network policy) - Các cơ chB xác thực nâng cao (advanced authentication mechanisms) 3 0 0 Tieu luan - Thống kê và phát hiện các hoạt động b<t thưKng (logging and detection of suspicious activity) 2. Phân loại firewall Có r<t nhiều tiêu chI có thể đư=c sử dụng phân loại các s8n ph:m firewall, vI dụ như cách chia ra thành firewall cGng (thiBt bJ đư=c thiBt kB chuyên dụng hoạt động trên hệ điều hành dành riêng cùng một số xử lý trên các mạch điện tử tIch h=p) và firewall mềm (phần mềm firewall đư=c cài đặt trên máy tInh thông thưKng)…Nhưng có lẽ việc phân loại firewall thông qua công nghệ c1a s8n ph:m firewall đó đư=c xem là phổ biBn và chInh xác hơn t<t c8.

Giới thiệu tường lửa Pfsense Để b8o vệ cho hệ thống mạng bên trong th? chúng ta có nhiều gi8i pháp như sử dụng Router Cisco, dùng tưKng lửa c1a Microsoft như ISA…. Tuy nhiên nh;ng thành phần kể trên tương đối tốn kém. V? vậy đối với ngưKi dùng không muốn tốn tiền nhưng lại muốn có một tưKng lửa b8o vệ hệ thống mạng bên trong (mạng nội bộ) khi mà chúng ta giao tiBp vối hệ thống mạng bên ngoài (Internet) th? pfsense là một gi8i pháp tiBt kiệm và hiệu qu8 tương đối tốt nh<t đối với ngưKi dùng. PfSense là một Gng dụng có chGc năng đJnh tuyBn vào tưKng lửa mạnh và miễn phI, Gng dụng này sẽ cho phép bạn mở rộng mạng c1a m?nh mà không bJ thỏa hiệp về sự b8o mật.

Bẳt đầu vào năm 2004, khi monowall mới bắt đầu chập ch;ng đây là một dự án b8o mật tập trung vào các hệ thống nhúng pfSense đã có hơn 1 triệu download và đư=c sử dụng để b8o vệ các mạng ở t<t c8 kIch cỡ, từ các mạng gia đ?nh đBn các mạng lớn c1a c1a các công ty.