Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh cuộc Cách mạng Công nghiệp 4.0 phát triển mạnh mẽ, dữ liệu và thông tin trở thành tài sản có giá trị then chốt đối với mọi cơ quan, tổ chức và doanh nghiệp. Đi kèm với sự bùng nổ kết nối Internet là những nguy cơ thường trực về mất an toàn thông tin, rò rỉ dữ liệu nội bộ và các cuộc tấn công mạng nhằm làm tê liệt hệ thống. Đứng trước yêu cầu cấp thiết về quản lý mạng nội bộ và ngăn chặn các truy cập trái phép, việc xây dựng và triển khai hệ thống tường lửa (firewall) là một giải pháp bảo mật thiết yếu.

Báo cáo thực tập tốt nghiệp đại học ngành An toàn thông tin với đề tài “Nghiên cứu về tường lửa pfSense” do sinh viên Vũ Hoàng (Lớp D17CQAT01-N, Khóa 2017 – 2022, Học viện Công nghệ Bưu chính Viễn thông – Cơ sở tại TP. Hồ Chí Minh) thực hiện dưới sự hướng dẫn của ThS. Huỳnh Thanh Tâm. Quá trình thực tập diễn ra tại Công ty Cổ phần FUJINET SYSTEMS (FUJINET SYSTEMS JSC, địa chỉ: Tòa nhà WASECO, 10 Phổ Quang, Q. Tân Bình, TP.HCM) từ ngày 26/07/2021 đến ngày 03/09/2021 theo hình thức trực tuyến do ảnh hưởng của dịch bệnh và giãn cách xã hội theo Chỉ thị 16.

Đề tài tập trung giải quyết các nhiệm vụ nghiên cứu cụ thể sau:

  1. Nghiên cứu tổng quan về nguyên lý hoạt động, vai trò của tường lửa và các tính năng cốt lõi của giải pháp tường lửa mã nguồn mở pfSense.
  2. Tìm hiểu chi tiết các dịch vụ mạng tích hợp trên pfSense bao gồm: Aliases, Rules, NAT, Routing, Virtual IPs, Schedules, Traffic Shaper (QoS), VPN (OpenVPN, IPSec, L2TP), Package Manager, Captive Portal, DHCP Server và DHCP Relay.
  3. Nắm vững cấu trúc, ý nghĩa và phương pháp thiết lập qua dòng lệnh (Command Line Interface) cũng như giao diện quản trị đồ họa trên nền Web (WebGUI).
  4. Thiết kế mô hình mạng topology doanh nghiệp phân chia 3 vùng độc lập (WAN, LAN, DMZ) trên nền tảng ảo hóa VMware.
  5. Thực nghiệm và đánh giá các kịch bản cấu hình thực tế: kiểm soát lưu lượng liên vùng, thiết lập bộ lọc chặn truy cập, định tuyến NAT Outbound, xuất bản dịch vụ Web Server qua NAT Port Forward, triển khai cổng xác thực Captive Portal và đặt lịch trình thực thi luật tường lửa (Rule Schedule).
Thuộc tính Chi tiết
Sinh viên thực hiện Vũ Hoàng (MSSV: N17DCAT030)
Ngành đào tạo An toàn thông tin (Hệ Đại học chính quy)
Đơn vị đào tạo Khoa Công nghệ Thông tin 2 – Học viện Công nghệ Bưu chính Viễn thông (Cơ sở TP.HCM)
Giảng viên hướng dẫn ThS. Huỳnh Thanh Tâm
Cơ sở tiếp nhận thực tập Công ty Cổ phần FUJINET SYSTEMS (FUJINET SYSTEMS JSC)
Thời gian thực hiện 26/07/2021 – 03/09/2021
Đối tượng nghiên cứu Hệ điều hành tường lửa pfSense, các cơ chế lọc gói và dịch vụ bảo mật mạng
Phạm vi thực nghiệm Mô hình mạng ảo hóa 3 vùng (WAN, LAN, DMZ) tích hợp máy trạm Windows 7 và máy chủ Web IIS

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và công nghệ nền tảng

Tác giả xây dựng đề tài dựa trên nền tảng lý thuyết mạng máy tính và an toàn thông tin tiêu chuẩn:

  • Nguyên lý Tường lửa (Firewall): Thiết bị hoặc phần mềm đóng vai trò rào chắn kiểm soát lưu lượng ra/vào giữa các vùng mạng dựa trên bộ quy tắc chính sách hoặc Danh sách kiểm soát truy cập (Access Control List - ACL). Tường lửa hoạt động và kiểm soát tại các tầng L3 (Network), L4 (Transport) và L7 (Application) theo mô hình tham chiếu OSI.
  • Hệ thống tường lửa pfSense: Là giải pháp tường lửa và định tuyến mã nguồn mở phát triển trên nền tảng hệ điều hành FreeBSD. pfSense hỗ trợ định tuyến, cân bằng tải, failover, tường lửa đa tầng, quản lý băng thông QoS, hỗ trợ đa giao thức VPN, máy chủ DHCP, xác thực Captive Portal và mở rộng tính năng qua kho ứng dụng Package Manager (tích hợp Snort, Squid, SquidGuard, DarkStat, pfBlockerNG).
  • Các giao thức mạng và bảo mật liên quan:
    • Network Address Translation (NAT): Cơ chế chuyển đổi địa chỉ IP bao gồm Port Forward, Outbound NAT và NAT 1:1.
    • Virtual Private Network (VPN): Công nghệ tạo đường truyền bảo mật gồm OpenVPN (sử dụng giao thức SSLv3/TLSv1, kênh điều khiển trao đổi khóa và kênh truyền dữ liệu mã hóa), IPSec (sử dụng Authentication Header - AH và Encapsulating Security Payload - ESP ở tầng Network), L2TP (kết hợp chứng thực IPSec/3DES, trao đổi khóa qua cổng UDP 500, 1701, 4500).
    • Dynamic Host Configuration Protocol (DHCP): Tự động cấu hình và cấp phát dải IP, subnet mask, default gateway và DNS cho thiết bị mạng.

Phương pháp nghiên cứu

Tác giả kết hợp đồng thời hai phương pháp:

  • Phương pháp nghiên cứu lý thuyết: Thu thập, tổng hợp, dịch thuật và phân tích các tài liệu kỹ thuật chuyên ngành từ trang chủ pfSense, tài liệu bảo mật mạng của IETF và các hướng dẫn chuẩn về quản trị an toàn hệ thống mạng doanh nghiệp.
  • Phương pháp thực nghiệm mô phỏng:
    • Sử dụng phần mềm ảo hóa VMware Workstation để xây dựng mô hình mạng doanh nghiệp độc lập.
    • Cài đặt hệ điều hành pfSense từ file ảnh ISO chính thức, thiết lập 3 card mạng ảo tương ứng với 3 phân vùng mạng.
    • Xây dựng máy trạm ảo chạy hệ điều hành Windows 7 và máy chủ dịch vụ Web chạy Windows Server tích hợp IIS (Internet Information Services).
    • Kiểm thử và thẩm định tính đúng đắn của từng kịch bản cấu hình bằng công cụ ICMP Ping, truy cập trình duyệt Web và đối soát nhật ký hoạt động (log) trên giao diện pfSense.

Thiết kế và triển khai hệ thống

Hệ thống thực nghiệm được thiết kế theo cấu trúc phân tầng an ninh chuẩn của mạng doanh nghiệp với 3 vùng mạng cách ly:

[ Mạng WAN / Internet ] (Máy thật - Bridged)
     [ WAN Interface ]
[ LAN Interface ]  [ DMZ Interface ]
 (Host-only Network)(Host-only Network)
[ Windows 7 ]      [ Windows Server ]
(Máy trạm nội bộ)  (Web Server IIS)

Thông số kỹ thuật cấu hình môi trường

Phân vùng mạng Chế độ Card mạng VMware Thiết bị / Hệ điều hành Vai trò trong hệ thống Địa chỉ mạng / Cấu hình
WAN Bridged / Physical Interface Máy trạm vật lý (Host OS) Đại diện mạng Internet / Môi trường bên ngoài Nhận địa chỉ IP từ mạng ngoài qua giao diện WAN
LAN Host-only Máy ảo Windows 7 Mạng nội bộ người dùng, máy trạm nội bộ doanh nghiệp Thuộc dải mạng nội bộ riêng (cổng LAN của pfSense)
DMZ Host-only Máy ảo Windows Server Vùng phi quân sự (Demilitarized Zone), lưu trữ máy chủ dịch vụ Chạy dịch vụ Web IIS, chịu sự kiểm soát nghiêm ngặt
Firewall 3 Network Adapters Máy ảo pfSense (FreeBSD) Thiết bị định tuyến và trung tâm kiểm soát an ninh mạng Quản lý 3 giao diện: WAN, LAN, DMZ; cung cấp WebGUI

Quy trình triển khai kỹ thuật

  1. Khởi tạo và cài đặt máy ảo pfSense: Tải tập tin ISO từ website chính thức của pfSense, tạo máy ảo trên VMware với 3 card mạng ảo. Tiến hành cài đặt hệ thống với các tùy chọn phân vùng, bàn phím mặc định và thiết lập tài khoản quản trị admin / pfsense.
  2. Gán giao diện mạng (Assign Interfaces): Sử dụng giao diện điều khiển console để gán các cổng mạng vật lý ảo tương ứng: WAN (kết nối mạng ngoài), LAN (kết nối vùng người dùng) và DMZ (kết nối máy chủ dịch vụ), bỏ qua cấu hình VLANs.
  3. Cấu hình hệ thống qua WebGUI: Truy cập giao diện web của pfSense thông qua địa chỉ IP cổng LAN, cấu hình thông số hệ thống chung (System > General Setup) và kích hoạt địa chỉ IP tĩnh cho từng giao diện mạng LAN, DMZ, WAN.
  4. Cấu hình dịch vụ hạ tầng: Kích hoạt máy chủ DHCP Server trên giao diện LAN để tự động cấp phát IP, subnet mask, default gateway và DNS cho máy trạm Windows 7.

Nội dung chính theo từng chương

Chương I: Giới thiệu về tường lửa pfSense

Chương I tập trung hệ thống hóa các kiến thức cơ bản về tường lửa và tổng quan về hệ điều hành pfSense:

  • Khái niệm và tác dụng của tường lửa: Định nghĩa tường lửa là rào chắn kiểm soát lưu lượng giữa mạng riêng và Internet dựa trên các bộ lọc (ACL). Phân tích vai trò ngăn chặn hacker, mã độc, lọc các luồng dữ liệu độc hại và phân tích giám sát lưu thông mạng.
  • Tổng quan về pfSense: Nêu rõ pfSense là dự án nguồn mở phát triển trên nền FreeBSD, hoạt động như một thiết bị định tuyến kết hợp tường lửa chuyên dụng. Đánh giá pfSense là giải pháp tối ưu cho phân khúc doanh nghiệp vừa và nhỏ (dưới 1000 người dùng), có năng lực xử lý hàng triệu kết nối đồng thời với yêu cầu phần cứng tối thiểu.
  • Các tính năng nổi bật của pfSense: Hỗ trợ tường lửa L3/L4/L7, lọc theo khu vực địa lý, quản lý chất lượng dịch vụ QoS, Proxy, mạng không dây, VLAN, cân bằng tải, hỗ trợ VPN 4 giao thức, DynDNS, tính năng dự phòng High Availability/Failover, giao diện đa ngôn ngữ (có tiếng Việt), tự động cập nhật danh sách đen (blacklist) và nâng cấp phiên bản tự động.
  • Ưu điểm thực tế: Miễn phí bản quyền, tiết kiệm chi phí so với các dòng tường lửa phần cứng chuyên dụng (như Cisco, Juniper, Fortigate, Check Point), hoạt động ổn định và có khả năng mở rộng linh hoạt nhờ các gói tiện ích bên thứ ba.

Chương II: Tìm hiểu các chức năng của tường lửa pfSense

Chương II phân tích chi tiết cơ chế vận hành và tham số cấu hình của các tính năng, dịch vụ mạng cốt lõi trên pfSense:

  • Aliases (Bí danh): Cơ chế gom nhóm nhiều địa chỉ IP (Host), dải mạng (Network) hoặc cổng dịch vụ (Port) dưới một tên định danh chung, giúp rút ngắn thời gian và tối ưu hóa việc quản lý các quy tắc bảo mật.
  • Rules (Quy tắc lọc gói): Cơ chế xử lý lưu lượng theo chiều từ trên xuống dưới. Mặc định pfSense cho phép lưu thông; quản trị viên phải định nghĩa các quy tắc theo Action (Pass/Block/Reject), Interface, Protocol, Source và Destination (Any, Single host, LAN subnet, Network, WAN address, PPTP/PPPoE clients).
  • NAT (Biên dịch địa chỉ mạng): Phân tích 3 cơ chế NAT chính:
    • NAT Port Forward: Mở cổng chuyển tiếp lưu lượng từ cổng ngoài vào máy chủ dịch vụ nội bộ.
    • NAT 1:1: Ánh xạ tĩnh 1 địa chỉ IP công cộng tương ứng với 1 địa chỉ IP riêng.
    • NAT Outbound: Quản lý lưu lượng ra ngoài Internet với 2 chế độ Automatic hoặc Manual Outbound NAT.
  • Routing và Virtual IPs (IP ảo): Cung cấp các tính năng Gateway, Static routes và Gateway groups. Định nghĩa 3 loại IP ảo: Proxy ARP, CARP và loại Other nhằm hỗ trợ NAT đa địa chỉ công cộng và cơ chế dự phòng failover.
  • Schedules (Lịch trình hoạt động): Cho phép đặt khung thời gian thực thi (theo giờ trong ngày, ngày trong tuần/tháng) cho các luật tường lửa nhằm kiểm soát thời gian truy cập mạng của người dùng.
  • Traffic Shaper (Quản lý băng thông / QoS): Giải quyết tình trạng nghẽn băng thông thông qua phân phối lưu lượng cho các dịch vụ: VoIP, Penalty Box (phạt thiết bị vượt hạn mức), kết nối P2P, Network Games và tối ưu hóa các ứng dụng khác.
  • Các dịch vụ mạng nâng cao:
    • VPN (Mạng riêng ảo): Hỗ trợ OpenVPN (xác thực qua chứng thư số công khai, pre-shared key, phân tách kênh dữ liệu và điều khiển), IPSec (sử dụng chuẩn IETF, giao thức AH và ESP tại tầng Network), L2TP (chạy trên UDP, hỗ trợ mã hóa 3DES/256-bit).
    • Package Manager: Quản lý cài đặt gói bổ trợ như Squid, Snort, SquidGuard, DarkStat, pfBlockerNG.
    • Captive Portal: Cổng xác thực người dùng qua trang web trung gian trước khi cấp quyền ra mạng ngoài. Cấu hình chi tiết gồm: Maximum concurrent connections, Idle timeout, Hard timeout, URL chuyển hướng trước/sau xác thực, quản lý MAC bị chặn và danh sách Pass-through MAC.
    • DHCP Server và DHCP Relay: Cung cấp cơ chế cấp phát địa chỉ IP tự động hoặc chuyển tiếp yêu cầu DHCP sang máy chủ khác (lưu ý hệ thống chỉ cho phép chạy một trong hai dịch vụ tại cùng một thời điểm).

Chương III: Tìm hiểu và xây dựng mô hình triển khai pfSense

Chương III trình bày toàn bộ quá trình thiết kế, cài đặt và thực nghiệm 6 kịch bản cấu hình trên mô hình mạng ảo hóa:

  • Kịch bản 1 - Cấu hình Rules cho phép kết nối liên thông: Thiết lập quy tắc Pass trên các giao diện WAN và DMZ (chiều Any to Any). Tiến hành kiểm tra ICMP Ping hai chiều giữa các vùng: LAN kết nối WAN, LAN kết nối DMZ, DMZ kết nối LAN, DMZ kết nối WAN, WAN kết nối LAN, WAN kết nối DMZ. Kết quả ghi nhận thông suốt kết nối 100%.
  • Kịch bản 2 - Cấu hình Rules chặn kết nối (Block):
    • Tạo luật chặn kết nối từ WAN đến LAN: Action = Block, Interface = WAN, Source = WAN net, Destination = LAN net.
    • Tạo luật chặn kết nối từ DMZ đến LAN: Action = Block, Interface = DMZ, Source = DMZ net, Destination = LAN net.
    • Kết quả kiểm thử ICMP Ping ghi nhận các gói tin bị rớt (Request timed out / Blocked), bảo vệ an toàn cho vùng LAN nội bộ.
  • Kịch bản 3 - Cấu hình NAT Outbound cho vùng LAN: Do card mạng của máy trạm Windows 7 ở chế độ Host-only không thể ra mạng ngoài, tiến hành tạo quy tắc NAT Outbound trên giao diện WAN với nguồn mạng 192.168.x.0/24 (dải IP LAN). Kết quả máy trạm nội bộ truy cập ra mạng Internet thành công.
  • Kịch bản 4 - Cấu hình NAT Port Forward xuất bản Web Server: Cấu hình chuyển tiếp cổng HTTP (port 80) từ giao diện WAN trỏ trực tiếp đến địa chỉ IP của máy chủ Windows Server chạy dịch vụ IIS trong vùng DMZ. Kết quả máy tính ngoài WAN truy cập thành công trang web nội bộ qua địa chỉ IP WAN.
  • Kịch bản 5 - Cấu hình dịch vụ Captive Portal: Kích hoạt Captive Portal trên vùng LAN, tùy biến giao diện trang đăng nhập (Custom Login Page) và thiết lập cơ chế xác thực người dùng. Máy trạm khi mở trình duyệt web bắt buộc phải nhập tài khoản hợp lệ mới được cấp quyền truy cập.
  • Kịch bản 6 - Thiết lập lịch trình (Schedule) cho Rules: Tạo khung thời gian làm việc trong mục Schedule và áp dụng vào luật cấm truy cập mạng. Tường lửa tự động kích hoạt hoặc vô hiệu hóa luật theo đúng mốc thời gian đã định.

Chương IV: Đánh giá và kết luận

Tổng kết lại quá trình nghiên cứu lý thuyết và triển khai thực nghiệm, đối chiếu các mục tiêu đã đề ra ban đầu, đánh giá ưu điểm về tính linh hoạt, khả năng mở rộng của pfSense trong doanh nghiệp và rút ra kết luận nghiệm thu đề tài.

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

Đề tài đã hoàn thành đầy đủ các mục tiêu đề ra trong phiếu giao đề cương thực tập:

  • Xây dựng thành công mô hình mạng ảo hóa doanh nghiệp 3 vùng (WAN, LAN, DMZ) tích hợp tường lửa pfSense trên môi trường VMware Workstation.
  • Thực nghiệm thành công toàn bộ 6 kịch bản điều khiển lưu lượng:
    1. Thiết lập thông suốt liên lạc giữa các phân vùng mạng (LAN, WAN, DMZ).
    2. Cách ly và bảo vệ thành công vùng mạng nội bộ (LAN) trước các truy cập trái phép từ Internet (WAN) và vùng máy chủ công cộng (DMZ).
    3. Định tuyến và biên dịch địa chỉ mạng thành công qua NAT Outbound, giúp các máy trạm trong dải mạng riêng Host-only kết nối Internet.
    4. Xuất bản dịch vụ Web IIS từ vùng DMZ ra ngoài môi trường Internet an toàn qua cơ chế NAT Port Forward.
    5. Thiết lập cổng xác thực người dùng Captive Portal hoạt động chính xác theo chính sách truy cập.
    6. Áp dụng thành công lịch trình tự động (Schedule) để thực thi chính sách bảo mật theo thời gian.
Kịch bản thực nghiệm Cấu hình kỹ thuật chính Kết quả thẩm định
1. Liên thông các vùng Rules Pass: WAN net / DMZ net to Any ICMP Ping thành công hai chiều giữa WAN, LAN, DMZ
2. Chặn truy cập vùng LAN Rules Block: Source = WAN/DMZ net, Dest = LAN net Kết nối từ WAN/DMZ vào LAN bị chặn hoàn toàn
3. NAT Outbound Outbound NAT: Interface = WAN, Source = LAN Subnet Máy trạm LAN (Host-only) truy cập Internet thành công
4. Xuất bản Web Server Port Forward: Interface = WAN, Port = 80, Redirect Target IP = DMZ Server Người dùng ngoài WAN truy cập được Web IIS trong DMZ
5. Cổng xác thực Captive Portal Kích hoạt Captive Portal trên LAN, tùy biến Custom Login Page Bắt buộc xác thực tài khoản trước khi duyệt web
6. Lịch trình tường lửa Gán Schedule thời gian vào quy tắc Rules Tường lửa tự động áp dụng luật đúng khung giờ quy định

Đóng góp thực tiễn

  • Cung cấp tài liệu nghiên cứu và hướng dẫn chi tiết từng bước từ cài đặt, phân chia giao diện đến cấu hình các dịch vụ thiết yếu trên pfSense.
  • Chứng minh tính khả thi, hiệu quả kinh tế và độ tin cậy của giải pháp tường lửa mã nguồn mở pfSense trong việc thay thế hoặc bổ trợ cho các thiết bị tường lửa phần cứng đắt tiền tại các doanh nghiệp vừa và nhỏ.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung được trình bày trong báo cáo, đề tài còn một số điểm hạn chế và hướng mở rộng:

  • Hạn chế:
    • Quá trình thực nghiệm được triển khai trên môi trường ảo hóa VMware trong giai đoạn thực tập trực tuyến, chưa có điều kiện thử nghiệm trên hạ tầng thiết bị phần cứng vật lý chuyên dụng và tải lưu lượng thực tế lớn.
    • Các gói dịch vụ mở rộng nâng cao như Snort (phát hiện/ngăn ngừa xâm nhập IDS/IPS), pfBlockerNG hay Squid Proxy mới chỉ được khảo sát về mặt lý thuyết, chưa xây dựng kịch bản kiểm thử chuyên sâu trong mô hình thực nghiệm.
  • Hướng phát triển tiếp theo:
    • Triển khai giải pháp pfSense trên máy chủ vật lý độc lập trong hệ thống mạng doanh nghiệp thực tế.
    • Cấu hình và đánh giá hiệu năng thực tế của các giải pháp VPN Site-to-Site (IPSec/OpenVPN) liên kết nhiều chi nhánh.
    • Tích hợp và cấu hình chuyên sâu hệ thống IDS/IPS (Snort) và Proxy Filter (Squid/SquidGuard) để ngăn chặn các cuộc tấn công mạng phức tạp ở tầng ứng dụng (L7).

Giá trị tham khảo

Báo cáo là tài liệu tham khảo hữu ích cho:

  • Sinh viên chuyên ngành An toàn thông tin, Mạng máy tính và Công nghệ thông tin: Làm tài liệu tham khảo trực quan khi thực hiện đồ án môn học, khóa luận tốt nghiệp hoặc bài tập lớn liên quan đến quản trị an ninh mạng, thiết kế phân vùng mạng (DMZ/LAN) và cấu hình tường lửa.
  • Quản trị viên hệ thống mạng (System/Network Administrator): Tham khảo quy trình thiết lập, cấu hình các chính sách NAT, phân bổ băng thông QoS, cài đặt cổng xác thực Captive Portal và cấu hình lịch trình hoạt động cho tường lửa tại các doanh nghiệp vừa và nhỏ nhằm tối ưu chi phí đầu tư hạ tầng.

Câu hỏi thường gặp

1. Tại sao pfSense được đánh giá là giải pháp phù hợp cho doanh nghiệp vừa và nhỏ?

pfSense là phần mềm mã nguồn mở hoàn toàn miễn phí, phát triển trên nền FreeBSD, có khả năng cài đặt linh hoạt trên phần cứng máy tính thông thường hoặc máy chủ x86 mà không đòi hỏi cấu hình cao. Hệ thống đáp ứng tốt mạng quy mô dưới 1000 người dùng với năng lực xử lý lên tới hàng triệu kết nối đồng thời, tích hợp đầy đủ tính năng tương đương các thiết bị phần cứng đắt tiền của Cisco, Fortinet hay Juniper.

2. Mô hình mạng thực nghiệm trong báo cáo gồm những phân vùng nào?

Mô hình thực nghiệm được xây dựng trên VMware Workstation gồm 3 phân vùng mạng:

  • Vùng WAN: Kết nối mạng ngoài / Internet (sử dụng chế độ Bridged tới máy tính thật).
  • Vùng LAN: Mạng nội bộ người dùng (sử dụng chế độ Host-only kết nối với máy ảo Windows 7).
  • Vùng DMZ: Vùng mạng phi quân sự (sử dụng chế độ Host-only kết nối với máy ảo Windows Server chạy dịch vụ Web IIS).

3. Hai dịch vụ DHCP Server và DHCP Relay có thể kích hoạt đồng thời trên pfSense không?

Không. Theo nguyên lý hoạt động của pfSense được trình bày trong báo cáo, hệ thống chỉ cho phép chạy một trong hai dịch vụ: hoặc là DHCP Server (tự cấp phát địa chỉ IP nội bộ), hoặc là DHCP Relay (chuyển tiếp yêu cầu cấp phát IP sang một DHCP Server khác cho trước).

4. Giao thức L2TP VPN trên pfSense sử dụng các cổng UDP nào để trao đổi khóa và truyền dữ liệu?

Giao thức L2TP trên pfSense sử dụng các cổng UDP: 500, 1701 và 4500 để thực hiện trao đổi khóa, cấu hình kết nối và xử lý NAT. Giao thức này thường được ghép nối với IPSec để sử dụng thuật toán mã hóa 3DES và độ dài khóa lên đến 256-bit nhằm bảo vệ an toàn payload dữ liệu.

5. Dịch vụ Captive Portal trên pfSense cung cấp những tùy chọn cấu hình cơ bản nào?

Captive Portal trên pfSense hỗ trợ các tùy chọn cấu hình chính gồm: kích hoạt dịch vụ (Enable captive portal), giới hạn số kết nối đồng thời trên mỗi IP/User/MAC (Maximum concurrent connections), thời gian ngắt kết nối khi không hoạt động (Idle timeout), giới hạn tổng thời gian kết nối (Hard timeout), bật cửa sổ thông báo (Logout popup window), đặt URL chuyển hướng trước và sau xác thực (Pre/After authentication redirect URL), URL chuyển hướng cho MAC bị chặn và danh sách bỏ qua xác thực (Pass-through MAC auto entry).

Kết luận

Báo cáo thực tập tốt nghiệp của sinh viên Vũ Hoàng đã nghiên cứu một cách có hệ thống cơ sở lý thuyết và các tính năng quản trị an toàn mạng trên nền tảng tường lửa pfSense. Bằng việc xây dựng thành công mô hình mạng ảo hóa 3 phân vùng WAN - LAN - DMZ và hoàn thành 6 kịch bản cấu hình thực nghiệm từ kiểm soát luồng dữ liệu, phân dịch địa chỉ NAT đến xác thực Captive Portal, đề tài đã chứng minh tính đúng đắn và hiệu quả vận hành của hệ thống. Đây là tài liệu tham khảo có giá trị ứng dụng cao cho sinh viên ngành An toàn thông tin và các kỹ sư quản trị mạng trong việc triển khai giải pháp tường lửa mã nguồn mở tại doanh nghiệp.