Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, dữ liệu và hạ tầng thông tin trở thành tài sản sống còn của mọi tổ chức và doanh nghiệp. Theo các báo cáo thống kê an toàn thông tin toàn cầu từ Cybersecurity Ventures, thiệt hại do tội phạm mạng gây ra ước tính tăng trưởng 15% mỗi năm, trong đó các doanh nghiệp vừa và nhỏ (SMEs) chiếm tới 43% tổng số các cuộc tấn công mạng do thiếu hụt ngân sách và hạ tầng bảo mật chuyên dụng. Tại Việt Nam, nhiều tổ chức đối mặt với nguy cơ rò rỉ dữ liệu nội bộ, thất thoát băng thông và suy giảm hiệu suất lao động do nhân viên lạm dụng tài nguyên mạng vào các mục đích phi công việc (xem phim, nghe nhạc, mạng xã hội) hoặc vô tình kích hoạt các phần mềm độc hại (Trojan, Worm, Ransomware) qua cổng Web.

+-------------------------------------------------------------------------+
|                              VẤN ĐỀ CỐT LÕI                             |
|  Chi phí thiết bị độc quyền cao  <--->  Nguy cơ bảo mật mạng nội bộ     |
|  (Cisco ASA, Microsoft ISA/TMG)         (DoS, Spoofing, Malware, Abuse) |
+-------------------------------------------------------------------------+
                                    |
                                    v
+-------------------------------------------------------------------------+
|                            GIẢI PHÁP ĐỀ XUẤT                            |
|     Hệ thống tường lửa pfSense (FreeBSD) + Squid Proxy + SquidGuard     |
+-------------------------------------------------------------------------+

Vấn đề thực tiễn đặt ra là các giải pháp tường lửa phần cứng thương mại chuyên dụng (như Cisco ASA, Fortinet, Check Point) hay các hệ thống tường lửa phần mềm thương mại độc quyền (như Microsoft ISA Server/TMG) thường có chi phí đầu tư bản quyền, bảo trì và mua sắm thiết bị cực kỳ đắt đỏ, đòi hỏi nhân sự quản trị chuyên sâu. Điều này tạo ra rào cản tài chính lớn cho các doanh nghiệp quy mô vừa và nhỏ.

Đề tài "Tìm hiểu giải pháp an ninh mạng với Firewall" tập trung nghiên cứu, xây dựng và thực nghiệm hệ thống an toàn thông tin toàn diện dựa trên nền tảng tường lửa mã nguồn mở pfSense kết hợp bộ đôi dịch vụ ủy thác và lọc nội dung Squid Proxy cùng SquidGuard.

Mục tiêu của dự án

  1. Nghiên cứu lý thuyết nền tảng: Phân tích bản chất các hình thức tấn công mạng phổ biến (tấn công tràn bộ đệm - Buffer Overflow, từ chối dịch vụ - DoS/DDoS, giả mạo định tuyến nguồn - Source Routing/LSRR, quét cổng - Port Scanning qua Nmap) và phân loại các kiến trúc tường lửa (Dual-homed Host, Screened Host, Screened Subnet/DMZ).
  2. Thiết kế kiến trúc an ninh đa lớp: Xây dựng hệ thống bảo vệ theo chiều sâu (Defense in Depth) trên môi trường ảo hóa VMware Workstation, phân tách rõ ràng giữa phân vùng mạng ngoài (WAN) và mạng nội bộ (LAN).
  3. Triển khai cơ chế kiểm soát gói tin và ứng dụng: Cấu hình Packet Filtering (Bộ lọc gói tin), Application Gateway (Cổng ứng dụng qua Squid Proxy) và Circuit Level Gateway (Cổng mạch).
  4. Kiểm soát nội dung và bảo vệ người dùng: Thiết lập chính sách lọc truy cập web (Web Content Filtering) theo danh mục tên miền và URL, chặn nội dung đa phương tiện tiêu tốn băng thông theo lịch biểu (Firewall Schedules) và phát hiện mã độc từ cổng vào.
  5. Đánh giá hiệu năng và tính khả thi: Đo lường khả năng chịu tải, tỷ lệ lọc chặn website chính xác và tối ưu chi phí hạ tầng cho doanh nghiệp.

Phạm vi và giới hạn đề tài

  • Phạm vi nghiên cứu: Triển khai mô hình tường lửa trên máy ảo pfSense đóng vai trò Gateway phân cách mạng WAN (Internet) và mạng LAN (Client Windows 7), ứng dụng Squid Proxy Server và SquidGuard.
  • Giới hạn kỹ thuật: Thử nghiệm tập trung vào phân tích gói tin TCP/IP, lọc giao thức HTTP (Port 80) và HTTPS (Port 443) thông qua kỹ thuật lọc danh sách tên miền/URL Blacklist. Chưa đi sâu vào giải mã lưu lượng SSL Inspection chuyên sâu đối với toàn bộ các giao thức mã hóa tầng ứng dụng phức tạp.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi triển khai, các doanh nghiệp thường lựa chọn giữa tường lửa phần cứng chuyên dụng hoặc giải pháp tường lửa tích hợp trên hệ điều hành máy chủ. Bảng phân tích so sánh các giải pháp hiện nay:

Tiêu chí Firewall Phần cứng Thương mại (Cisco ASA / FortiGate) Firewall Máy chủ Thương mại (Microsoft ISA / TMG) Firewall Mã nguồn mở pfSense (Squid + SquidGuard)
Chi phí bản quyền Rất cao ($1,500 - $5,000+ và phí license hàng năm) Cao (Bản quyền Windows Server + Client Access License) 0 VNĐ (Hoàn toàn miễn phí, mã nguồn mở)
Yêu cầu phần cứng Thiết bị độc quyền của hãng (Appliance riêng) Máy chủ cấu hình cao, Windows Server Phần cứng thông thường (x86/x64), RAM tối thiểu 256MB
Khả năng mở rộng Giới hạn theo dòng thiết bị (phải nâng cấp model) Phụ thuộc vào hệ sinh thái Microsoft Cực kỳ linh hoạt (Hỗ trợ module, CARP High Availability)
Quản trị hệ thống Giao diện CLI phức tạp, cấu hình dòng lệnh chuyên sâu GUI Windows, tiêu tốn tài nguyên đồ họa WebGUI trực quan, thân thiện trên nền tảng Web
Tính năng lọc Web Cần mua gói bản quyền UTM/URL Filtering Cấu hình proxy nặng, hạn chế cập nhật Blacklist Tích hợp SquidGuard, cập nhật Blacklist Shalla linh hoạt

Yêu cầu hệ thống được lượng hóa và phân loại theo ma trận MoSCoW:

  • Must-have (Bắt buộc): Lọc gói tin hai chiều WAN-LAN theo Stateful Packet Inspection (SPI); chặn truy cập các trang web độc hại, phim ảnh, ca nhạc, chơi game; cấp phát IP động qua DHCP; hỗ trợ NAT (Network Address Translation).
  • Should-have (Cần có): Phân chia quy tắc lọc theo bí danh (Aliases); đặt lịch biểu áp dụng quy tắc theo khung giờ hành chính (Schedules); quản lý nhật ký kết nối (Proxy Logs).
  • Could-have (Có thể có): Quét virus trực tiếp trên luồng truyền tải với ClamAV; cấu hình chịu lỗi qua giao thức CARP (Common Address Redundancy Protocol).
  • Won't-have (Chưa triển khai kỳ này): Tích hợp VPN Site-to-Site trên nền phần cứng vật lý chuyên dụng ngoài môi trường Lab.

Thiết kế hệ thống

Kiến trúc triển khai sử dụng mô hình cổng kiểm soát trung gian với kiến trúc Dual-homed Host mở rộng, kết hợp nguyên lý Screened Subnet để bảo vệ mạng nội bộ.

       +-------------------------------------------------------------+
       |                     MÔI TRƯỜNG INTERNET                     |
       +-------------------------------------------------------------+
                                      |
                                      | (WAN: Bridged Vmnet0 - DHCP)
                                      v
       +-------------------------------------------------------------+
       |                  TƯỜNG LỬA PFSENSE 2.4.x                    |
       |  +-------------------------------------------------------+  |
       |  | Packet Filtering Engine (pf / Stateful Inspection)    |  |
       |  +-------------------------------------------------------+  |
       |  | Squid Proxy Server (Port 3128, Caching, Antivirus)    |  |
       |  +-------------------------------------------------------+  |
       |  | SquidGuard URL Filter (Blacklist Engine: Shalla/Custom)| |
       |  +-------------------------------------------------------+  |
       +-------------------------------------------------------------+
                                      |
                                      | (LAN: Host-Only Vmnet1 - 192.168.1.1/24)
                                      v
       +-------------------------------------------------------------+
       |                  MẠNG NỘI BỘ (LAN CLIENTS)                  |
       |  Workstations (Windows 7/10) - Nhận IP: 192.168.1.10 - .100 |
       +-------------------------------------------------------------+

Ngăn xếp công nghệ (Technology Stack)

  • Hệ điều hành nền tảng: FreeBSD 11.2-RELEASE lõi nhúng.
  • Hệ thống tường lửa: pfSense 2.4.4-RELEASE (hỗ trợ kiến trúc x86_64, Packet Filter pf).
  • Dịch vụ Proxy Ủy thác: Squid version 0.4.44 (lõi Squid 3.5.x).
  • Dịch vụ Lọc nội dung: SquidGuard version 1.4_15.
  • Công cụ Ảo hóa hạ tầng: VMware Workstation 12.0 Pro.
  • Hệ điều hành máy trạm kiểm thử: Microsoft Windows 7 Professional SP1 (x86).
  • Công cụ đánh giá an ninh: Nmap 7.70 (Network Mapper & Port Scanner).

Thiết kế an toàn và hiệu năng

  • Bảo vệ chống IP Spoofing và LSRR: Tự động hủy các gói tin kích hoạt cờ Loose Source Record Route để ngăn kẻ tấn công lách qua bộ định tuyến NAT.
  • Cơ chế lọc gói trạng thái (Stateful Packet Inspection): Mọi kết nối khởi tạo từ mạng LAN ra ngoài đều được ghi nhận vào Bảng trạng thái (State Table); chỉ các gói tin phản hồi hợp lệ tương ứng với phiên giao dịch mới được phép quay trở lại LAN.
  • Phân định vùng mạng:
    • WAN Interface (em0): Cấu hình nhận IP từ Router vật lý qua chế độ Bridged.
    • LAN Interface (em1): Cấu hình địa chỉ tĩnh 192.168.1.1/24, tích hợp DHCP Server cấp dải IP 192.168.1.10 - 192.168.1.100.

Phương pháp nghiên cứu và quy trình thực hiện (Methodology)

Dự án áp dụng phương pháp nghiên cứu thực nghiệm lặp (Iterative Experimental Methodology) qua 4 giai đoạn chính trong 8 tuần:

+----------------+      +----------------+      +----------------+      +----------------+
|  Tuần 1 - 2    |      |  Tuần 3 - 4    |      |  Tuần 5 - 6    |      |  Tuần 7 - 8    |
| Nghiên cứu lý  | ---> | Xây dựng hạ    | ---> | Triển khai cấu | ---> | Đánh giá kiểm  |
| thuyết & an ninh|      | tầng ảo hóa    |      | hình Squid &   |      | thử, tinh chỉnh|
| mạng           |      | pfSense        |      | SquidGuard     |      | & hoàn thiện   |
+----------------+      +----------------+      +----------------+      +----------------+
  • Đánh giá rủi ro và giải pháp khắc phục:
    • Rủi ro nghẽn cổ chai Proxy: Dịch vụ Squid xử lý nhiều yêu cầu đồng thời làm tăng độ trễ (Latency). Giải pháp: Thiết lập giới hạn kích thước bộ nhớ đệm (Cache Memory Size) tối ưu ở mức 64MB cho môi trường Lab, bật tính năng truyền thông suốt (Transparent HTTP Proxy).
    • Rủi ro rò rỉ quy tắc lọc: Xung đột giữa các Rule trên giao diện pfSense. Giải pháp: Tuân thủ nguyên tắc xử lý Rule từ trên xuống dưới (First-Match Rules Processing Engine).

Triển khai thực nghiệm và Kết quả

Quy trình triển khai kỹ thuật

Hệ thống được thiết lập từng bước với các thông số cấu hình cụ thể:

1. Khởi tạo cấu hình Interface và DHCP

Trên giao diện Console gốc của pfSense:

  • Gán Interface WAN: Card mạng em0 (Vmnet0 - Bridged).
  • Gán Interface LAN: Card mạng em1 (Vmnet1 - Host-Only).
  • Cấu hình IP LAN qua Terminal: Chọn Menu Option 2:
    • IPv4 Address: 192.168.1.1
    • Subnet bit count: 24 (tương đương Netmask 255.255.255.0)
    • Bật DHCP Server: Dải IP từ 192.168.1.10 đến 192.168.1.100.

2. Cấu hình gói dịch vụ Squid Proxy Server

Truy cập WebGUI pfSense qua địa chỉ https://192.168.1.1:

  • Vào System > Package Manager > Available Packages, tìm và cài đặt squid và squidGuard.
  • Vào Services > Squid Proxy Server:
    • Tab General: Tích chọn Enable Squid Proxy, chọn Proxy Interface(s) là LAN.
    • Thiết lập Proxy Port: 3128.
    • Tích chọn Transparent HTTP Proxy trên cổng 80 để tự động điều hướng luồng dữ liệu web của Client mà không cần chỉnh tay cấu hình Proxy trên trình duyệt người dùng.
# Đoạn cấu hình trích xuất từ file sinh mã tự động của Squid /var/etc/squid/squid.conf
http_port 192.168.1.1:3128 intercept
acl localnet src 192.168.1.0/24
http_access allow localnet
http_access deny all
visible_hostname pfSense.localdomain

3. Thiết lập chính sách lọc nâng cao với SquidGuard

  • Vào Services > SquidGuard Proxy Filter:
    • Tab General Settings: Bật Enable, bật Enable GUI log, cấu hình đường dẫn Blacklist URL tải từ cơ sở dữ liệu Shalla Blacklist.
    • Tab Blacklist: Nhấn nút Download để nạp danh mục hàng trăm ngàn website được phân loại sẵn (Audio-Video, Movies, Music, Gambling, Porn, Spyware).
    • Tab Target Categories: Tạo danh mục tùy biến Custom_Blocked_Websites:
      • Domain List: nhaccuatui.com, mp3.zing.vn, phimmoi.net, youtube.com.
      • URL List: *.mp3, *.mp4, *.avi, *.mkv.
    • Tab Common ACL:
      • Thiết lập hành vi: Target Rules > Custom_Blocked_Websites: deny, audio-video: deny, movies: deny.
      • Redirect info: Cấu hình trang thông báo lỗi khi bị chặn: http://192.168.1.1/sgerror.php?url=blocked.
# Trích xuất cấu hình quy tắc lọc trong squidGuard.conf
src lan_network {
    ip 192.168.1.0/24
}

dest bl_entertainment {
    domainlist  custom_entertainment/domains
    urllist     custom_entertainment/urls
}

acl {
    lan_network {
        pass !bl_entertainment all
        redirect http://192.168.1.1/error_blocked.html
    }
    default {
        pass none
        redirect http://192.168.1.1/error_blocked.html
    }
}

+--------------------------------------------------------------------------+
|                       KỊCH BẢN KIỂM THỬ THỰC TẾ                          |
|                                                                          |
|   [Client 192.168.1.50]  --- HTTP GET / nhaccuatui.com --->              |
|                                         |                                |
|                                         v                                |
|                       [pfSense: SquidGuard ACL]                          |
|                                         |                                |
|             +---------------------------+---------------------------+    |
|             |                                                       |    |
|       (Thuộc Blacklist)                                       (Hợp lệ)   |
|             v                                                       v    |
|   [CHẶN - Mã phản hồi 403]                                [CHẤP NHẬN]    |
|   Điều hướng về trang cảnh báo                          Truy cập Web     |
|   "Access Denied by Policy"                             thông suốt       |
+--------------------------------------------------------------------------+

Kết quả kiểm thử và Đánh giá thực nghiệm

Kiểm thử hệ thống được thực hiện trên Client Windows 7 (IP: 192.168.1.50) với các kịch bản kiểm tra chức năng và an ninh:

Kịch bản kiểm thử Đối tượng / Giao thức Kỳ vọng Kết quả thực tế Tỷ lệ thành công
Kiểm tra cấp phát mạng DHCP Service / UDP 67-68 Nhận đúng dải IP 192.168.1.x, Gateway 192.168.1.1 Client nhận IP 192.168.1.50, DNS 192.168.1.1 100%
Lọc Web giải trí mp3.zing.vn, nhaccuatui.com Chặn kết nối, hiển thị trang cảnh báo Access Denied Trình duyệt bị chặn tức thì, trả về thông báo lỗi quản trị 100%
Lọc Web xem phim phimmoi.net, youtube.com Chặn stream dữ liệu video Chặn tên miền và luồng tải video hoàn toàn 100%
Truy cập web công vụ google.com, vnexpress.net Cho phép truy cập bình thường Tải trang nhanh chóng, dữ liệu cache phản hồi < 12ms 100%
Quét cổng dịch vụ ẩn Nmap Scanner (SYN Scan -sS) Đóng toàn bộ các Port không cần thiết (Port 21, 23, 139) Chỉ mở cổng Web Administration 80/443 trên LAN; toàn bộ cổng phía WAN bị lọc (filtered) 100%

Kết quả phân tích hiệu năng và số liệu

  • Hiệu suất lọc chặn: Thời gian xử lý kiểm tra danh mục URL của SquidGuard đạt trung bình dưới 4.2 mili-giây cho mỗi truy vấn HTTP.
  • Tiết kiệm băng thông nội bộ: Nhờ cơ chế bộ nhớ đệm (Cache) của Squid Proxy, các tệp tài nguyên tĩnh (CSS, JS, Hình ảnh) tái sử dụng giúp giảm 28% - 35% lưu lượng mạng WAN đối với các tác vụ lặp lại trong mạng LAN.
  • Tài nguyên phần cứng tiêu thụ:
    • CPU Usage trên pfSense: Dao động từ 1.5% đến 6.8% khi phục vụ đồng thời phiên làm việc của máy trạm.
    • RAM Usage: Chiếm khoảng 180MB / 512MB RAM cấp phát (tương đương 35.1% dung lượng bộ nhớ).

Đổi mới và đóng góp của đề tài

  1. Tối ưu hóa mô hình bảo mật chi phí 0 đồng: Hiện thực hóa thành công giải pháp tường lửa phân tầng doanh nghiệp mà không phát sinh chi phí mua sắm bản quyền phần mềm, phù hợp trực tiếp với nhu cầu thực tế của các doanh nghiệp SMEs tại Việt Nam.
  2. Tích hợp sâu cơ chế lọc đa tầng (Multi-layered Filtering): Kết hợp chặt chẽ giữa lọc gói tầng mạng (Network Layer - Packet Filtering) để chống tấn công xâm nhập trái phép và kiểm soát tầng ứng dụng (Application Layer - Proxy Gateway) để điều tiết hành vi người dùng.
  3. Cơ chế quản lý định thời linh hoạt: Tích hợp tính năng Firewall Schedules cho phép cấu hình mở/chặn các dịch vụ giải trí tự động theo khung giờ (ví dụ: chặn trong giờ hành chính 08:00 - 11:30 và 13:30 - 17:00; mở trong giờ nghỉ trưa), giúp cân bằng giữa kỷ luật làm việc và nhu cầu giải trí hợp lý của nhân viên.
  4. Đóng góp học thuật và ứng dụng: Xây dựng tài liệu hướng dẫn kỹ thuật chi tiết từ khâu dựng môi trường mạng ảo, gán interface, biên dịch quy tắc lọc gói đến thiết lập bộ lọc Blacklist, làm tài liệu tham khảo cho sinh viên chuyên ngành Mạng máy tính & An toàn thông tin.

Ứng dụng thực tế và Triển khai

Khả năng ứng dụng thực tiễn

  • Doanh nghiệp vừa và nhỏ (20 - 200 nhân viên): Đặt pfSense làm Gateway chính kết nối Internet, kiểm soát toàn bộ lưu lượng của các phòng ban, ngăn chặn mã độc tống tiền và nâng cao năng suất làm việc.
  • Trường học, thư viện, cơ sở giáo dục: Chặn các nội dung người lớn, cờ bạc, bạo lực và trò chơi điện tử trực tuyến, đảm bảo môi trường học tập an toàn cho học sinh - sinh viên.
  • Chi nhánh văn phòng công ty: Làm thiết bị định tuyến kiêm tường lửa bảo vệ hệ thống trước các đợt quét cổng từ môi trường Internet.

Yêu cầu phần cứng triển khai thực tế

Hệ thống có khả năng tái sử dụng phần cứng máy tính để bàn thông thường hoặc máy chủ rack 1U đời cũ:

  • CPU: Intel Core i3 / Xeon 2.0 GHz trở lên (hỗ trợ tập lệnh AES-NI để tăng tốc xử lý gói tin).
  • RAM: Tối thiểu 2GB (Khuyến nghị 4GB - 8GB nếu kích hoạt trọn bộ Cache Squid và ClamAV Antivirus).
  • Ổ cứng: 60GB SSD (đảm bảo tốc độ đọc/ghi bộ nhớ đệm Squid).
  • Card mạng (NIC): Tối thiểu 2 cổng Gigabit Ethernet (Intel NIC khuyến nghị để tương thích tốt nhất với nhân FreeBSD).

Phân tích hiệu quả kinh tế (ROI)

  • Chi phí mua sắm thiết bị thương mại (Hardware Appliance + License 3 năm): Khoảng 45.000.000 - 80.000.000 VNĐ.
  • Chi phí triển khai pfSense trên phần cứng PC tiêu chuẩn: Khoảng 5.000.000 - 7.000.000 VNĐ (chủ yếu là chi phí phần cứng tái dụng và card mạng chuyên dụng).
  • Tỷ lệ tiết kiệm ngân sách: Giảm hơn 85% chi phí đầu tư ban đầu (CAPEX) và loại bỏ hoàn toàn chi phí duy trì bản quyền hàng năm (OPEX).

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  1. Giải mã lưu lượng HTTPS: Mô hình trong đồ án chủ yếu lọc chặn HTTPS dựa trên phân tích trường SNI (Server Name Indication) và địa chỉ IP của tên miền. Chưa kích hoạt tính năng Man-In-The-Middle (MITM) SSL Filtering để soi quét nội dung sâu bên trong gói tin mã hóa do yêu cầu phải cài đặt chứng chỉ bảo mật CA gốc trên từng máy trạm Client.
  2. Khả năng tự động phát hiện xâm nhập chủ động (IPS/IDS): Chưa tích hợp các module phát hiện xâm nhập nâng cao như Snort hoặc Suricata để nhận diện mã độc theo chữ ký thời gian thực (Signatures-based Detection).
  3. Môi trường thực nghiệm: Hệ thống được mô phỏng toàn diện trên VMware Workstation, chưa thực hiện đo kiểm trên hệ thống đường truyền Internet quang chịu tải thực tế hàng ngàn người dùng cùng lúc.

Hướng phát triển tiếp theo

  • Tích hợp Snort / Suricata: Bổ sung hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS) trực tiếp trên pfSense để phòng chống các cuộc tấn công khai thác lỗ hổng ứng dụng Web.
  • Triển khai cụm HA (High Availability) với CARP: Kết hợp 2 máy chủ pfSense chạy song song theo cơ chế Active-Passive, tự động chuyển mạch khi 1 máy chủ gặp sự cố phần cứng, đảm bảo thời gian hoạt động (Uptime) đạt 99.99%.
  • Tích hợp xác thực tập trung Active Directory / RADIUS: Đồng bộ người dùng với máy chủ Domain Controller để áp dụng chính sách truy cập Internet theo từng tài khoản nhân viên thay vì chỉ theo địa chỉ IP.

Đối tượng hưởng lợi

+--------------------------------------------------------------------------------+
|                             ĐỐI TƯỢNG HƯỞNG LỢI                                |
+--------------------------------------------------------------------------------+
  |-- Sinh viên & Người tự học: Nắm vững nguyên lý TCP/IP, Packet Filtering
  |-- Quản trị viên hệ thống: Nắm quy trình triển khai pfSense, Squid, SquidGuard
  |-- Doanh nghiệp & Tổ chức: Tiết kiệm >85% ngân sách bảo mật, tối ưu băng thông
  |-- Chuyên gia nghiên cứu: Cơ sở tham khảo mở rộng hệ thống IDS/IPS và cụm CARP
  • Sinh viên chuyên ngành CNTT & An toàn thông tin: Nắm vững nguyên lý hoạt động của các tầng lọc trong mô hình TCP/IP, hiểu rõ cơ chế Stateful Packet Inspection và quy trình cấu hình Proxy Server thực tế.
  • Quản trị viên hệ thống (SysAdmin / Network Admin): Sở hữu tài liệu hướng dẫn chuẩn hóa để triển khai nhanh hệ thống tường lửa mã nguồn mở, bảo vệ mạng cơ quan mà không tốn chi phí bản quyền.
  • Chủ doanh nghiệp và Nhà quản trị: Cắt giảm tối đa ngân sách bảo mật, giải quyết triệt để bài toán lãng phí thời gian làm việc và thất thoát băng thông nội bộ của nhân viên.
  • Cộng đồng nghiên cứu mã nguồn mở: Cung cấp dữ liệu thực nghiệm kiểm chứng độ ổn định và tính tương thích của hệ điều hành FreeBSD / pfSense trong môi trường mạng giả lập.

Câu hỏi thường gặp

1. pfSense yêu cầu cấu hình phần cứng tối thiểu như thế nào để vận hành thực tế?

Hệ thống pfSense cơ bản chỉ yêu cầu CPU x86 500MHz, 512MB RAM và 2 cổng mạng Ethernet. Tuy nhiên, nếu triển khai đầy đủ Squid Proxy, SquidGuard và lọc nội dung cho văn phòng từ 30-50 người, cấu hình khuyến nghị là CPU 64-bit đa nhân (Intel Core i3 trở lên), 4GB RAM và ổ cứng SSD 120GB.

2. pfSense có khả năng mở rộng (Scalability) khi doanh nghiệp tăng số lượng nhân viên không?

pfSense có khả năng mở rộng cực kỳ mạnh mẽ. Hệ thống hỗ trợ đa cổng kết nối WAN (Multi-WAN Load Balancing & Failover) và hỗ trợ giao thức CARP để ghép nối 2 thiết bị tường lửa chạy dự phòng (Failover), đáp ứng tốt nhu cầu mở rộng từ mạng văn phòng nhỏ (vài chục máy) lên mạng doanh nghiệp quy mô hàng ngàn thiết bị.

3. Làm thế nào để pfSense chặn triệt để các trang web HTTPS như Facebook hay YouTube?

pfSense xử lý chặn HTTPS qua hai phương pháp: (1) Lọc qua DNS Resolver / pfBlockerNG để chặn phân giải địa chỉ IP của tên miền, hoặc (2) Sử dụng Squid Proxy với tính năng SSL Interception (Squid Bump / SNI Filtering) để đọc tiêu đề SNI của kết nối TLS mà không cần cài đặt chứng chỉ trên máy người dùng.

4. Chi phí vận hành và bảo trì hệ thống pfSense so với thiết bị phần cứng thương mại ra sao?

pfSense không thu bất kỳ khoản phí bản quyền hay phí gia hạn tính năng định kỳ nào. Doanh nghiệp chỉ chi trả chi phí điện năng tiêu thụ cho phần cứng và nhân công bảo trì. Khi có phiên bản mới, hệ thống cho phép cập nhật trực tiếp qua giao diện Web chỉ với một cú nhấp chuột.

5. Tại sao nên sử dụng mô hình kết hợp pfSense + Squid + SquidGuard thay vì chỉ dùng Rule mặc định của pfSense?

Quy tắc (Rule) mặc định của pfSense chủ yếu hoạt động ở Tầng mạng và Giao vận (Layer 3 và Layer 4 - IP, Port, Protocol). Việc kết hợp thêm Squid và SquidGuard mang lại khả năng kiểm soát ở Tầng ứng dụng (Layer 7), cho phép nhận diện URL, lọc nội dung theo danh mục chuyên biệt (Blacklist), lưu đệm dữ liệu (Caching) và ghi nhận nhật ký duyệt web chi tiết của từng người dùng.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu giải pháp an ninh mạng với Firewall" của sinh viên Cù Thế Huy đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm đề ra. Dự án không chỉ hệ thống hóa toàn diện các nguyên lý cốt lõi về an ninh mạng, các hình thức tấn công nguy hiểm và kiến trúc phân tầng bảo vệ dữ liệu, mà còn xây dựng thành công một mô hình tường lửa thực nghiệm hoàn chỉnh trên nền tảng pfSense kết hợp Squid Proxy và SquidGuard.

Giải pháp đạt hiệu quả 100% trong việc kiểm soát truy cập mạng, lọc chặn các trang web phi công vụ, chống quét cổng dịch vụ trái phép và tối ưu hóa băng thông mạng nội bộ với độ trễ xử lý cực thấp (< 5ms). Đây là minh chứng rõ nét cho tính ứng dụng vượt trội của các phần mềm mã nguồn mở trong việc giải quyết bài toán an toàn thông tin tại các doanh nghiệp hiện nay.

Hệ thống cung cấp một nền tảng vững chắc, sẵn sàng để tích hợp thêm các công nghệ bảo mật nâng cao như IPS/IDS, giải mã SSL chuyên sâu và xây dựng cụm dự phòng CARP trong tương lai. Mô hình xứng đáng là tài liệu kỹ thuật hữu ích và giải pháp tham khảo đáng tin cậy cho các kỹ sư mạng và doanh nghiệp trong tiến trình xây dựng pháo đài số an toàn, bền vững.