Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghiệp hóa, hiện đại hóa và sự phát triển mạnh mẽ của công nghệ thông tin, cơ sở hạ tầng mạng máy tính và truyền thông không ngừng được nâng cấp nhằm đáp ứng nhu cầu gia tăng của các dịch vụ trao đổi dữ liệu toàn cầu. Tuy nhiên, cùng với sự mở rộng của Internet, các cuộc tấn công mạng, phá hoại và đánh cắp dữ liệu doanh nghiệp diễn ra ngày càng phổ biến và phức tạp. Những nguy cơ này xuất phát từ nhiều động cơ như chiếm đoạt thông tin trọng yếu, phát tán mã độc hoặc cạnh tranh không lành mạnh, gây thiệt hại nghiêm trọng về vật chất và uy tín của tổ chức.

Để bảo vệ hệ thống mạng nội bộ khi kết nối ra môi trường Internet bên ngoài, các doanh nghiệp thường đứng trước nhu cầu trang bị tường lửa. Mặc dù các giải pháp thiết bị phần cứng chuyên dụng như Cisco Router hoặc giải pháp thương mại như Microsoft ISA mang lại hiệu quả bảo vệ cao, chi phí đầu tư và duy trì bản quyền của các hệ thống này tương đối tốn kém. Do đó, việc nghiên cứu và ứng dụng giải pháp tường lửa mã nguồn mở pfSense trở thành lựa chọn tối ưu về mặt kinh tế và kỹ thuật cho các doanh nghiệp vừa và nhỏ.

Đồ án chuyên ngành "Tìm hiểu về bảo mật và triển khai hệ thống tường lửa pfSense cho mạng doanh nghiệp" do nhóm sinh viên Nguyễn Văn Phát, Trần Cao Đăng Duy và Phạm Việt Cường thực hiện dưới sự hướng dẫn của ThS. Nguyễn Lê Văn tại Khoa Công nghệ Thông tin, Trường Đại học Công nghệ TP. HCM (HUTECH), hoàn thành vào tháng 12/2021.

Mục tiêu và nhiệm vụ nghiên cứu của đồ án bao gồm:

  1. Tìm hiểu tổng quan về công nghệ tường lửa (Firewall), bao gồm định nghĩa, chức năng, cấu trúc và phân loại tường lửa trong an ninh mạng.
  2. Khảo sát kiến trúc, tính năng và các dịch vụ tích hợp của hệ điều hành tường lửa mã nguồn mở pfSense.
  3. Thực hiện cài đặt, cấu hình và triển khai thực tế hệ thống pfSense trên môi trường mạng đa giao tiếp (LAN, WAN1, WAN2).
  4. Thiết lập các cơ chế kiểm soát truy cập, định thời gian lọc gói, cân bằng tải (Load Balancing), chuyển tiếp dự phòng (Failover) và cơ chế độ sẵn sàng cao (High Availability) bằng giao thức CARP.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Công nghệ bảo mật tường lửa, phần mềm tường lửa định tuyến mã nguồn mở pfSense (trên nền FreeBSD), các cơ chế lọc gói dữ liệu, NAT, Gateway Groups, giao thức CARP, pfsync và XMLRPC Sync.
  • Phạm vi nghiên cứu: Mô hình mạng doanh nghiệp thử nghiệm với 3 cổng giao tiếp mạng (LAN nội bộ và 2 đường kết nối WAN ra Internet), thực hiện tại Khoa Công nghệ Thông tin - Trường Đại học Công nghệ TP. HCM vào tháng 12/2021.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và công nghệ

  • Khái niệm và chức năng tường lửa: Tường lửa là một phần của hệ thống mạng được thiết kế để điều khiển truy nhập giữa các vùng mạng khác nhau bằng cách ngăn chặn truy cập trái phép và cho phép truyền thông hợp lệ. Tường lửa thực hiện 4 chức năng chính: kiểm soát lưu lượng vào/ra giữa các mạng có độ tin cậy khác nhau; theo dõi luồng dữ liệu trao đổi; kiểm soát người sử dụng và quyền truy nhập; kiểm soát nội dung thông tin lưu chuyển.
  • Cấu trúc tường lửa: Một hệ thống tường lửa tiêu chuẩn bao gồm bộ lọc gói (Packet Filtering), cổng ứng dụng / máy chủ proxy (Application Gateways / Proxy Server), cổng mức mạch (Circuit Level Gateway), chính sách mạng (Network Policy), cơ chế xác thực nâng cao (Advanced Authentication Mechanisms), cùng hệ thống ghi nhật ký và phát hiện hoạt động bất thường (Logging and Detection of Suspicious Activity).
  • Phân loại tường lửa: Phân loại theo hình thức vật lý (tường lửa phần cứng chuyên dụng và tường lửa phần mềm cài trên máy tính thông thường) hoặc phân loại theo công nghệ xử lý.
  • Hệ điều hành pfSense: Khởi nguồn từ năm 2004 dựa trên dự án m0n0wall dành cho hệ thống nhúng, pfSense phát triển trên nền hệ điều hành FreeBSD. Hệ thống cung cấp giao diện quản trị đồ họa qua Web (WebGUI), hỗ trợ lọc gói theo địa chỉ nguồn/đích, cổng nguồn/đích, hoạt động ở chế độ định tuyến, Bridge hoặc Transparent.
  • Các giao thức và kỹ thuật hỗ trợ:
    • Network Address Translation (NAT): Cung cấp NAT tĩnh (1:1), chuyển tiếp cổng (Port Forwarding), Outbound NAT tự động (Automatic/Dynamic) hoặc thủ công (Manual).
    • Network Time Protocol (NTP): Đồng bộ thời gian hệ thống qua mạng chuyển mạch gói, sử dụng bộ đệm jitter để giảm thiểu ảnh hưởng của độ trễ biến đổi.
    • Độ sẵn sàng cao (High Availability - HA): Kết hợp giao thức chia sẻ IP ảo CARP (Common Address Redundancy Protocol - nguồn gốc từ OpenBSD thay thế cho VRRP, sử dụng địa chỉ Multicast), cơ chế đồng bộ trạng thái kết nối pfsync và cơ chế đồng bộ cấu hình qua XMLRPC Sync.

Phương pháp nghiên cứu

  • Phương pháp nghiên cứu lý thuyết: Tổng hợp, phân tích tài liệu kỹ thuật về các chuẩn an toàn mạng, kiến trúc bộ lọc gói và tài liệu hướng dẫn cấu hình pfSense.
  • Phương pháp thực nghiệm và thiết kế hệ thống: Cài đặt trực tiếp hệ điều hành pfSense, gán các cổng mạng vật lý/ảo hóa, thiết lập dải địa chỉ IP, xây dựng các tập luật (Rules), kiểm tra hoạt động của dịch vụ DHCP, NTP, kiểm thử cân bằng tải đa đường truyền WAN và kiểm tra khả năng chuyển đổi dự phòng khi xảy ra sự cố cổng mạng hoặc sự cố máy chủ tường lửa.
  • Nguồn dữ liệu: Dữ liệu cấu hình hệ thống, bảng ghi trạng thái kết nối, thông số giám sát cổng Gateway (Monitor IP) và đồ thị lưu lượng mạng (Traffic Graph) thu nhận trực tiếp trên giao diện WebGUI của pfSense.

Thiết kế và triển khai

Hệ thống được thiết kế và triển khai qua các bước cấu hình cụ thể từ môi trường dòng lệnh console ban đầu đến giao diện quản trị WebGUI.

1. Phân bổ cổng giao tiếp mạng (Interfaces)

Trong quá trình khởi tạo pfSense từ màn hình điều khiển:

  • Hệ thống không sử dụng VLAN (chọn N).
  • Cổng mạng WAN thứ nhất (WAN1) được gán cho card mạng em1.
  • Cổng mạng LAN nội bộ được gán cho card mạng em0.
  • Cổng mạng WAN thứ hai (WAN2) được gán cho card mạng em2.
Tên cổng giao tiếp Card mạng vật lý Vai trò trong hệ thống Dải địa chỉ IP / Cấu hình
LAN em0 Mạng nội bộ doanh nghiệp 10.10.x.x/24 (DHCP cấp 10.10.x.100 – 10.10.x.200)
WAN1 em1 Đường truyền Internet chính Cấu hình IP tĩnh/DHCP, thiết lập Gateway Monitor IP
WAN2 em2 Đường truyền Internet phụ Đổi tên từ OPT1 thành WAN2, bỏ chọn Block Private Networks

2. Cấu hình dịch vụ hạ tầng mạng

  • Cấu hình IP LAN và DHCP Server: Lựa chọn menu số 2 trên console để gán địa chỉ IPv4 10.10.x.x với Subnet Mask 24. Kích hoạt DHCP Server trên pfSense để cấp phát dải IP tự động từ 10.10.x.100 đến 10.10.x.200. Tắt chức năng máy chủ Web độc lập (chọn n tại mục Webserver để không chiếm dụng cổng quản trị).
  • Cài đặt NTP Server: Truy cập WebGUI qua địa chỉ IP mạng LAN, vào menu dịch vụ NTP để cấu hình đồng bộ thời gian chuẩn cho các máy trạm trong mạng doanh nghiệp.
  • Package Manager: Sử dụng trình quản lý gói trong menu System -> Package Manager để tìm kiếm, cài đặt và quản lý các mô-đun phần mềm mở rộng.

3. Thiết lập chính sách bảo mật và định thời gian

  • Aliases: Gom nhóm các địa chỉ IP máy chủ, dải mạng hoặc cổng dịch vụ vào một định danh duy nhất trong Firewall -> Aliases để tái sử dụng khi tạo luật, giúp tinh gọn tập luật tường lửa.
  • NAT: Cấu hình chuyển tiếp cổng (Port Forwarding), NAT 1:1 cho máy chủ nội bộ hoặc Outbound NAT.
  • Firewall Rules: Thiết lập các tập luật cho phép hoặc ngăn chặn lưu lượng mạng ra/vào cổng LAN và WAN.
  • Firewall Schedules: Thiết lập lịch hoạt động định kỳ cho các luật tường lửa tại Firewall -> Schedules. Đồ án triển khai ví dụ lịch Lichhoctrongtuan áp dụng cho tháng 11, kích hoạt vào các ngày Thứ 3, Thứ 5, Thứ 7 trong khung giờ từ 07:30 đến 11:15.

4. Cân bằng tải, Chuyển đổi dự phòng và High Availability

  • Load Balancing và Failover:
    • Cấu hình địa chỉ IP giám sát (Monitor IP) cho từng Gateway WAN1 và WAN2.
    • Tạo các Gateway Groups: nhóm cân bằng tải (gộp cả WAN1 và WAN2 cùng cấp bậc ưu tiên để chia tải lưu lượng từ LAN) và các nhóm dự phòng (Group WAN1 Failover, Group WAN2 Failover với các cấp Tier khác nhau).
    • Cấu hình Firewall Rules cho card mạng LAN để trỏ Gateway sang các nhóm Gateway Groups đã tạo; gán địa chỉ máy chủ DNS tương ứng cho từng Gateway.
  • High Availability Sync và CARP:
    • Thiết lập cụm gồm 2 tường lửa hoạt động song song: pfSense 1 (Master) và pfSense 2 (Backup).
    • Kích hoạt giao thức CARP để chia sẻ một địa chỉ IP ảo (Virtual IP - VIP) dùng chung cho cổng LAN và cổng WAN.
    • Cấu hình đồng bộ trạng thái kết nối qua giao thức pfsync và đồng bộ cấu hình qua XMLRPC Sync, đảm bảo khi máy chủ chính gặp sự cố, máy chủ phụ sẽ tự động tiếp quản dịch vụ mạng mà không làm gián đoạn kết nối của người dùng.

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI

Chương 1 trình bày lý do chọn đề tài dựa trên thực trạng phát triển hạ tầng mạng và sự gia tăng của các mối đe dọa an ninh mạng đối với doanh nghiệp. Tác giả phân tích tính cần thiết của việc xây dựng hệ thống bảo vệ an toàn thông tin, đồng thời giới thiệu cấu trúc tổng thể của báo cáo đồ án gồm 3 chương nghiên cứu và triển khai.

CHƯƠNG 2: CƠ SỞ LÝ THUYẾT

Chương 2 tập trung vào hai nội dung lớn: lý thuyết nền tảng về tường lửa và quy trình triển khai kỹ thuật trên pfSense.

  • Tổng quan công nghệ tường lửa: Nêu rõ định nghĩa, 4 chức năng cơ bản, cấu trúc 6 thành phần của hệ thống tường lửa và các tiêu chí phân loại tường lửa (phần cứng/phần mềm, công nghệ lọc gói).
  • Giới thiệu tường lửa pfSense: Phân tích lịch sử phát triển từ m0n0wall (2004), nền tảng FreeBSD, khả năng quản trị WebGUI, các tính năng lọc gói theo IP/Port, chế độ hoạt động Bridge/Transparent, các khả năng xử lý NAT và các hạn chế kỹ thuật liên quan.
  • Các tính năng và dịch vụ của pfSense: Khảo sát chi tiết tính năng Aliases, NAT, Firewall Rules, Firewall Schedules, dịch vụ DHCP Server, Package Manager, cấu hình NTP Server, cơ chế cân bằng tải Load Balancing, Failover và kỹ thuật High Availability thông qua CARP, pfsync, XMLRPC Sync.
  • Cài đặt và triển khai pfSense: Hướng dẫn từng bước từ giai đoạn cài đặt hệ điều hành ban đầu, gán cổng mạng (em0, em1, em2), cấu hình dải IP LAN/DHCP, đến các thao tác cấu hình nâng cao trên WebGUI bao gồm tạo Schedules, cấu hình Monitor IP, tạo Gateway Groups, gán DNS Server, cấu hình IP ảo CARP và kiểm tra đồng bộ giữa hai node tường lửa.

CHƯƠNG 3: KẾT LUẬN

Chương 3 tổng kết các kết quả đạt được sau quá trình nghiên cứu và thực nghiệm mô hình, thẳng thắn chỉ ra những mặt hạn chế kỹ thuật còn tồn tại của hệ thống và đề xuất các hướng phát triển, hoàn thiện trong tương lai.

Kết quả và đóng góp

Kết quả đạt được

  1. Triển khai thành công hệ thống tường lửa đa cổng: Thiết lập hoàn chỉnh hệ điều hành pfSense kết nối 3 cổng mạng vật lý (em0 cho LAN, em1 cho WAN1, em2 cho WAN2).
  2. Thiết lập dịch vụ mạng nội bộ chuẩn hóa: Cấu hình thành công dịch vụ cấp phát địa chỉ IP động DHCP (cấp trong dải 10.10.x.100 đến 10.10.x.200 thuộc lớp mạng 10.10.x.x/24) và dịch vụ đồng bộ thời gian mạng NTP Server.
  3. Hoàn thiện chính sách an ninh mạng linh hoạt: Xây dựng các tập luật lọc gói tin kết hợp tính năng Aliases giúp tối ưu hóa quản trị; thiết lập thành công lịch lọc gói Firewall Schedules định kỳ theo ngày và khung giờ cụ thể (07:30 - 11:15 các ngày Thứ 3, 5, 7).
  4. Hiện thực hóa giải pháp Cân bằng tải và Dự phòng đa WAN: Thiết lập thành công Gateway Groups để chia tải lưu lượng mạng LAN ra 2 đường truyền WAN1, WAN2 và tạo các nhóm chuyển đổi dự phòng (Failover) tự động khi có sự cố ngắt kết nối gateway dựa trên tính năng Monitor IP.
  5. Xây dựng cụm dự phòng sẵn sàng cao (High Availability): Ghép nối thành công hai thiết bị pfSense 1 và pfSense 2 thành một cụm CARP cluster; triển khai địa chỉ IP ảo (Virtual IP) cho cả giao tiếp LAN và WAN, đồng bộ phiên làm việc qua pfsync và đồng bộ cấu hình qua XMLRPC Sync.

Đóng góp của đồ án

  • Cung cấp tài liệu quy trình cài đặt, cấu hình và kiểm thử thực tế giải pháp tường lửa mã nguồn mở pfSense cho mạng doanh nghiệp.
  • Chứng minh tính khả thi của việc sử dụng nền tảng pfSense thay thế các thiết bị định tuyến/tường lửa thương mại đắt tiền, giúp doanh nghiệp tiết kiệm chi phí đầu tư phần cứng mà vẫn đảm bảo đầy đủ các tính năng bảo mật, phân tải và dự phòng mạng nâng cao.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế được ghi nhận trong văn bản

  • Hạn chế tương thích giao thức qua NAT: pfSense vẫn còn tồn tại một số hạn chế khi xử lý NAT đối với các giao thức như PPTP (Point-to-Point Tunneling Protocol), GRE (Generic Routing Encapsulation) và SIP (Session Initiation Protocol).
  • Hạn chế trong cơ chế phân phối lưu lượng đa WAN: Tính năng cân bằng tải đa kết nối WAN trên pfSense chỉ thực hiện cân bằng lưu lượng phân phối giữa hai kết nối WAN, chưa hỗ trợ khả năng chỉ định lưu lượng cụ thể bắt buộc đi qua một kết nối nhất định theo chính sách tùy biến sâu.
  • Phụ thuộc vào hạ tầng phần cứng mạng đối với CARP: Do giao thức CARP sử dụng cơ chế truyền tin Multicast để gửi thông điệp quảng bá giữa các nút, hệ thống đòi hỏi các thiết bị chuyển mạch (Switch) kết nối trong mạng không được thiết lập chính sách chặn hoặc lọc địa chỉ Multicast.

Hướng phát triển trong tương lai

  • Nghiên cứu tích hợp thêm các gói dịch vụ nâng cao từ trình quản lý Package Manager của pfSense để tăng cường khả năng phát hiện xâm nhập và kiểm soát an ninh chuyên sâu.
  • Nghiên cứu các giải pháp khắc phục triệt để hạn chế định tuyến và chuyển tiếp giao thức đặc thù qua NAT.
  • Mở rộng thử nghiệm mô hình mạng trên quy mô lớn hơn với nhiều phân vùng mạng nội bộ (VLAN, DMZ) phức tạp.

Giá trị tham khảo

Đồ án là tài liệu tham khảo chuyên ngành hữu ích dành cho:

  • Sinh viên ngành Công nghệ thông tin: Đặc biệt là sinh viên chuyên ngành Mạng máy tính và Truyền thông, An toàn thông tin đang thực hiện các đồ án chuyên ngành, khóa luận tốt nghiệp về thiết kế và bảo mật hạ tầng mạng.
  • Quản trị viên hệ thống mạng doanh nghiệp (Network/System Admin): Cung cấp tài liệu tham khảo thực tế về các bước cấu hình cân bằng tải 2 đường truyền Internet, thiết lập lịch firewall theo thời gian và xây dựng cụm dự phòng nóng High Availability (CARP/pfsync) hoàn toàn trên phần mềm mã nguồn mở.

Câu hỏi thường gặp

1. Hệ điều hành pfSense được xây dựng dựa trên nền tảng nào và có nguồn gốc từ đâu?

pfSense được phát triển dựa trên nền tảng hệ điều hành FreeBSD và khởi nguồn từ năm 2004 dựa trên dự án tường lửa nhúng m0n0wall.

2. Trong quy trình cài đặt ban đầu của đồ án, các cổng giao tiếp mạng vật lý được phân bổ như thế nào?

Hệ thống không sử dụng VLAN (chọn N). Card mạng em1 được gán cho đường truyền mạng ngoài thứ nhất (WAN1), card mạng em0 được gán cho mạng nội bộ (LAN), và card mạng em2 được gán cho đường truyền mạng ngoài thứ hai (WAN2).

3. Cụm độ sẵn sàng cao (High Availability) trong đồ án được thiết lập bằng các kỹ thuật nào?

Cụm High Availability được xây dựng dựa trên sự kết hợp của 3 kỹ thuật chính: giao thức chia sẻ IP ảo CARP (Common Address Redundancy Protocol), cơ chế đồng bộ trạng thái kết nối pfsync và cơ chế đồng bộ dữ liệu cấu hình XMLRPC Sync giữa hai nút pfSense 1 (Master) và pfSense 2 (Backup).

4. pfSense gặp phải những hạn chế kỹ thuật nào khi sử dụng NAT và cân bằng tải WAN theo văn bản đồ án?

Khi sử dụng qua NAT, pfSense gặp hạn chế đối với các giao thức PPTP, GRE và SIP. Đối với cân bằng tải WAN, hệ thống chỉ hỗ trợ phân phối lưu lượng giữa hai kết nối WAN mà không cho phép chỉ định lưu lượng bắt buộc truyền qua một kết nối duy nhất.

5. Tính năng Firewall Schedules trong đồ án được cấu hình thử nghiệm như thế nào?

Đồ án cấu hình một lịch mẫu có tên Lichhoctrongtuan áp dụng cho tháng 11, thiết lập các khoảng thời gian có hiệu lực vào các ngày Thứ 3, Thứ 5 và Thứ 7 trong tuần, từ 07:30 đến 11:15.

Kết luận

Đồ án chuyên ngành "Tìm hiểu về bảo mật và triển khai hệ thống tường lửa pfSense cho mạng doanh nghiệp" của nhóm sinh viên Trường Đại học Công nghệ TP. HCM đã hệ thống hóa đầy đủ cơ sở lý thuyết về an ninh mạng và kiến trúc tường lửa hiện đại. Bằng phương pháp thực nghiệm trực tiếp trên nền tảng FreeBSD, nhóm tác giả đã triển khai thành công một hệ thống pfSense hoàn chỉnh với đầy đủ các phân vùng mạng LAN, WAN1, WAN2 cùng các dịch vụ cốt lõi như DHCP, NTP, lọc gói theo lịch định kỳ, cân bằng tải đa đường truyền và cụm dự phòng nóng High Availability qua CARP. Công trình mang lại giá trị thực tiễn cao, cung cấp hướng dẫn kỹ thuật chi tiết giúp các doanh nghiệp tối ưu hóa chi phí đầu tư bảo mật mà vẫn đảm bảo độ tin cậy và khả năng sẵn sàng cao cho hạ tầng mạng.