Giới thiệu dự án
Trong kỷ nguyên số hóa và công nghiệp hóa hiện đại, cơ sở hạ tầng mạng máy tính và truyền thông đóng vai trò huyết mạch trong việc duy trì hoạt động kinh doanh liên tục của mọi doanh nghiệp. Sự gia tăng vượt bậc của các dịch vụ trực tuyến toàn cầu kéo theo những hiểm họa an ninh mạng khôn lường: các cuộc tấn công phá hoại, đánh cắp dữ liệu kinh doanh quan trọng, và phát tán mã độc diễn ra với tần suất ngày càng dày đặc và tính chất phức tạp.
Đối với các doanh nghiệp vừa và nhỏ (SME), việc đầu tư các thiết bị tường lửa phần cứng thương mại độc quyền từ các hãng lớn như Cisco hay Check Point thường đòi hỏi chi phí đầu tư ban đầu (CAPEX) và chi phí vận hành (OPEX) rất lớn. Xuất phát từ nhu cầu thực tiễn đó, đồ án chuyên ngành "Tìm hiểu về bảo mật và triển khai hệ thống tường lửa pfSense cho mạng doanh nghiệp" (thực hiện bởi nhóm sinh viên Khoa Công nghệ Thông tin, Đại học Công nghệ TP.HCM - HUTECH, dưới sự hướng dẫn của ThS. Nguyễn Lê Văn) đã nghiên cứu và hiện thực hóa một giải pháp an ninh mạng toàn diện, chi phí tối ưu trên nền tảng mã nguồn mở pfSense.
graph TD
subgraph Internet_Zone [External Networks / ISPs]
ISP1[ISP 1 - WAN 1: DHCP/Public IP]
ISP2[ISP 2 - WAN 2: DHCP/Public IP]
end
subgraph HA_Cluster [pfSense High Availability Cluster]
Master[pfSense Master Node<br/>IP: 10.10.0.1 / VIP: 10.10.0.254]
Backup[pfSense Backup Node<br/>IP: 10.10.0.2 / VIP: 10.10.0.254]
Master <--> |pfsync: State Sync<br/>XMLRPC: Config Sync<br/>CARP: Heartbeat| Backup
end
subgraph Internal_Zone [Enterprise LAN - 10.10.0.0/24]
Switch[Core Managed Switch]
Client1[Workstation 1<br/>10.10.0.100]
Client2[Workstation 2<br/>10.10.0.101]
Server[Internal Web/App Server]
end
ISP1 --> Master
ISP1 --> Backup
ISP2 --> Master
ISP2 --> Backup
Master --> Switch
Backup --> Switch
Switch --> Client1
Switch --> Client2
Switch --> Server
Mục tiêu của dự án
- Nghiên cứu kiến trúc an toàn thông tin: Khảo sát toàn diện về công nghệ firewall, cơ chế lọc gói dữ liệu (Packet Filtering), cổng ứng dụng (Application Gateway), và cơ chế chuyển đổi địa chỉ mạng (NAT).
- Triển khai kiến trúc mạng phân vùng: Thiết lập cấu hình mạng đa giao diện gồm 2 cổng kết nối ngoài (Dual WAN:
em1, em2) và 1 cổng mạng nội bộ (LAN: em0).
- Hiện thực hóa các dịch vụ mạng lõi: Triển khai DHCP Server cấp phát dải IP
10.10.0.100 - 10.10.0.200/24, cấu hình NTP Server đồng bộ thời gian hệ thống và quản lý chính sách thông qua Aliases và Firewall Schedules.
- Tối ưu hóa đường truyền mạng (Multi-WAN): Thiết lập cơ chế cân bằng tải (Load Balancing) và chuyển đổi dự phòng (Failover) dựa trên việc giám sát Monitor IP và tỷ lệ mất gói (Packet Loss).
- Đảm bảo tính sẵn sàng cao (High Availability - HA): Xây dựng cụm máy chủ tường lửa hoạt động song song Master - Backup sử dụng giao thức CARP, pfsync và XMLRPC Sync, loại bỏ hoàn toàn điểm nghẽn đơn lẻ (Single Point of Failure).
Phạm vi và giới hạn
- Phạm vi: Triển khai thử nghiệm trên hệ điều hành pfSense (nhân FreeBSD), tích hợp quản trị qua WebGUI, cấu hình Multi-WAN 2 ISP, phân phối lưu lượng LAN nội bộ và đồng bộ dữ liệu phiên kết nối HA.
- Giới hạn: Tập trung vào các giao thức TCP/IP tiêu chuẩn; một số giao thức đường hầm hoặc thoại đặc thù như Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi đi qua NAT còn phụ thuộc vào module hỗ trợ riêng của hệ thống.
Phân tích và thiết kế giải pháp
Phân tích hiện trạng
Trước khi triển khai pfSense, các doanh nghiệp thường lựa chọn giữa router mạng thông thường, tường lửa phần cứng chuyên dụng hoặc các máy chủ tường lửa chạy trên nền tảng Windows/Linux truyền thống.
| Tiêu chí so sánh |
Router Cisco / Hardware Firewall |
Microsoft ISA / TMG Server |
Tường lửa pfSense (Đề tài lựa chọn) |
| Bản quyền phần mềm |
Rất cao, tính theo license tính năng |
Đắt đỏ, yêu cầu Windows Server license |
Hoàn toàn miễn phí (Mã nguồn mở) |
| Yêu cầu phần cứng |
Thiết bị độc quyền của hãng |
Máy chủ cấu hình cao chạy Windows |
Phần cứng x86 tiêu chuẩn, máy ảo hoặc PC |
| Khả năng Multi-WAN |
Có (yêu cầu cấu hình CLI phức tạp) |
Hạn chế, cấu hình phức tạp |
Trực quan qua WebGUI, linh hoạt theo Tier |
| Tính sẵn sàng cao (HA) |
HSRP / VRRP độc quyền |
Khó triển khai đồng bộ trạng thái |
Tích hợp sẵn chuẩn CARP + pfsync |
| Mở rộng chức năng |
Mua thêm license module |
Hạn chế, dịch vụ đã ngừng phát triển |
Kho gói mở rộng Package Manager phong phú |
Phân loại yêu cầu theo phương pháp MoSCoW
- Must have (Bắt buộc có): Stateful Packet Filtering, NAT Outbound/Inbound, Dual WAN Load Balancing, WAN Failover tự động, DHCP Server nội bộ.
- Should have (Cần có): Cụm HA CARP Master/Backup, đồng bộ bảng trạng thái kết nối (pfsync), đồng bộ cấu hình qua XMLRPC, định thời gian lọc gói (Firewall Schedules).
- Could have (Có thể mở rộng): NTP Server nội bộ, cấu hình Aliases nhóm IP/Port, tích hợp gói mở rộng từ Package Manager.
- Won't have (Chưa thực hiện ở giai đoạn này): Phân tích gói tin tầng ứng dụng chuyên sâu Deep Packet Inspection (DPI) bằng phần cứng ASIC độc quyền.
Thiết kế hệ thống
Kiến trúc tường lửa pfSense được xây dựng trên nền tảng hệ điều hành FreeBSD, kế thừa sức mạnh của engine lọc gói pf (Packet Filter) từ OpenBSD với các thành phần cốt lõi:
- Engine lọc gói tin (Packet Filtering Engine): Quản lý trạng thái kết nối (Stateful Inspection), kiểm soát lưu lượng ra vào dựa trên 5 bộ thông số (Source IP, Destination IP, Source Port, Destination Port, Protocol).
- Quản trị Aliases: Tập hợp các địa chỉ IP, dải mạng hoặc cổng dịch vụ vào một định danh duy nhất giúp rút ngắn thời gian tạo rule và đơn giản hóa bảng luật.
- Chính sách lịch trình (Firewall Schedules): Áp dụng luật kiểm soát truy cập theo các khung thời gian linh hoạt (theo giờ trong ngày, ngày trong tuần).
- Cơ chế dự phòng CARP (Common Address Redundancy Protocol): Giao thức chia sẻ địa chỉ IP ảo (Virtual IP - VIP) giữa 2 node Master và Backup, sử dụng gói tin multicast định kỳ để theo dõi trạng thái sống còn của node.
classDiagram
class FirewallEngine {
+PacketFiltering()
+StateTableSync()
+NAT_Translation()
}
class MultiWAN_Manager {
+MonitorIP: 8.8.8.8 / ISP_DNS
+GatewayGroup: Tier1 / Tier2
+Trigger: PacketLoss / HighLatency
+LoadBalance()
+Failover()
}
class HighAvailability {
+Protocol: CARP (Multicast)
+StateSync: pfsync
+ConfigSync: XMLRPC
+VirtualIP_LAN: 10.10.0.254
+VirtualIP_WAN: VIP_Public
}
class NetworkServices {
+DHCPServer: 10.10.0.100-200
+NTPServer: JitterBuffer
+AliasesManager()
+SchedulesManager()
}
FirewallEngine --> MultiWAN_Manager : Điều hướng gói tin
FirewallEngine --> HighAvailability : Đồng bộ phiên kết nối
FirewallEngine --> NetworkServices : Quản lý dịch vụ mạng
Phương pháp luận và Quy trình triển khai
Đề tài áp dụng quy trình kiểm thử từng bước (Step-by-step Iterative Validation) trong môi trường mạng thực nghiệm:
gantt
title Kế hoạch Triển khai Hệ thống Tường lửa pfSense
dateFormat YYYY-MM-DD
section Khảo sát & Chuẩn bị
Nghiên cứu lý thuyết Firewall & pfSense :done, 2021-10-01, 14d
Thiết kế mô hình kết nối & Quy hoạch IP :done, 2021-10-15, 7d
section Cài đặt & Cấu hình Lõi
Cài đặt pfSense & Gán Card mạng (Interfaces) :done, 2021-10-22, 7d
Cấu hình DHCP, NTP, Aliases, Rules, Schedules :done, 2021-10-29, 10d
section Multi-WAN & HA
Triển khai Multi-WAN Load Balancing & Failover :done, 2021-11-08, 12d
Thiết lập High Availability (CARP, pfsync, Sync) :done, 2021-11-20, 14d
section Kiểm thử & Đánh giá
Đo kiểm hiệu năng, giả lập ngắt đường truyền :done, 2021-12-04, 7d
Nghiệm thu và hoàn thiện báo cáo đồ án :done, 2021-12-11, 7d
Implementation và kết quả
Chi tiết quá trình triển khai cấu hình
1. Khởi tạo và gán Interface hệ thống
Hệ thống pfSense được cấu hình trên phần cứng gồm 3 cổng giao tiếp mạng vật lý:
- LAN (
em0): Kết nối switch mạng nội bộ, thiết lập IP tĩnh 10.10.0.1/24.
- WAN1 (
em1): Kết nối đường truyền ISP chính, nhận cấu hình qua DHCP.
- WAN2 / OPT1 (
em2): Kết nối đường truyền ISP phụ, nhận cấu hình qua DHCP.
# Sơ đồ gán Interface tại Console Menu của pfSense:
# 1) Interfaces:
# em0 -> LAN (10.10.0.1/24)
# em1 -> WAN1 (DHCP Client from ISP 1)
# em2 -> WAN2 (DHCP Client from ISP 2)
#
# Cấu hình DHCP Server cấp phát cho mạng LAN:
Subnet: 10.10.0.0
Subnet Mask: 255.255.255.0
Available Range: 10.10.0.100 - 10.10.0.200
Default Gateway: 10.10.0.1 (hoặc VIP 10.10.0.254 trong mô hình HA)
2. Cấu hình dịch vụ định thời và quản lý lưu lượng
Hệ thống kích hoạt dịch vụ NTP Server với bộ đệm triệt tiêu độ trễ biến đổi (Jitter Buffer) tại menu Services -> NTP, đồng bộ hóa thời gian toàn hệ thống.
Tại menu Firewall -> Schedules, tạo lịch biểu Lichhoctrongtuan áp dụng cho các ngày thứ 3, thứ 5, thứ 7 trong khung giờ từ 07:30 đến 11:15 nhằm điều tiết băng thông giải trí trong giờ học tập/làm việc.
<!-- Trích xuất cấu hình Schedule lưu trữ trong file config.xml của pfSense -->
<schedule>
<name>Lichhoctrongtuan</name>
<descr>Lich hoc ap dung quy tac chan mang</descr>
<time>
<month>11</month>
<day>2,4,6</day>
<hour>7:30-11:15</hour>
<range_type>repeating</range_type>
</time>
</schedule>
3. Cấu hình Multi-WAN Load Balancing & Failover
Để định tuyến thông minh giữa hai đường truyền Internet, hệ thống thiết lập:
- Monitor IP: Gán IP kiểm tra cho WAN1 (DNS Server nhà mạng ISP
218.x.x.x) và WAN2 (Google DNS 8.8.8.8).
- Gateway Groups:
LoadBalancer_Group: WAN1 (Tier 1), WAN2 (Tier 1) $\rightarrow$ Phân chia tải đồng đều theo cơ chế Round-Robin trên từng session.WAN1Failover_Group: WAN1 (Tier 1), WAN2 (Tier 2), Trigger Level: Packet Loss $\rightarrow$ Tự động chuyển toàn bộ lưu lượng sang WAN2 khi WAN1 mất gói.WAN2Failover_Group: WAN2 (Tier 1), WAN1 (Tier 2), Trigger Level: Packet Loss.
# Bảng luật tường lửa chuyển hướng Gateway tại Firewall -> Rules -> LAN:
Rule 1 (Failover Priority):
- Interface: LAN
- Protocol: ANY
- Source: LAN net
- Destination: ANY
- Gateway: WAN1Failover_Group
- Description: Chuyen huong tu dong khi WAN1 gap su co
Rule 2 (Load Balancing Default):
- Interface: LAN
- Protocol: ANY
- Source: LAN net
- Destination: ANY
- Gateway: LoadBalancer_Group
- Description: Can bang tai 2 duong truyen khi ca hai WAN cung Online
4. Cấu hình High Availability Sync và CARP
- Node 1 (Master): LAN IP
10.10.0.1, WAN1 IP nhận từ ISP 1. Kích hoạt XMLRPC Sync đẩy toàn bộ cấu hình luật, aliases sang IP của Node 2.
- Node 2 (Backup): LAN IP
10.10.0.2, nhận đồng bộ trạng thái bảng kết nối qua giao thức pfsync.
- Virtual IP (VIP): Thiết lập địa chỉ IP ảo LAN
10.10.0.254/24 (vhid: 1) và WAN VIP. Tất cả máy trạm Client trong mạng trỏ Default Gateway về địa chỉ IP ảo 10.10.0.254.
sequenceDiagram
autonumber
participant Client as LAN Workstations
participant VIP as Virtual IP (10.10.0.254)
participant Master as pfSense Master (10.10.0.1)
participant Backup as pfSense Backup (10.10.0.2)
participant Internet as Public Internet
Note over Master,Backup: CARP Heartbeat Multicast (Mỗi 1 giây)
Client->>VIP: Gửi gói tin dữ liệu ra Internet
VIP->>Master: Master đang xử lý Virtual MAC
Master->>Internet: NAT và chuyển tiếp gói ra ngoài
Master-->>Backup: pfsync: Đồng bộ State Table liên tục
Note over Master: SỰ CỐ: Master bị ngắt nguồn / sập card mạng!
Master--xBackup: Mất tín hiệu CARP Heartbeat
Note over Backup: Backup phát hiện timeout (>3 chu kỳ CARP)
Backup->>VIP: Backup nhận quyền MASTER, chiếm giữ Virtual IP
Client->>VIP: Gửi tiếp các phiên TCP đang mở
VIP->>Backup: Backup xử lý ngay lập tức
Backup->>Internet: Tiếp tục truyền dữ liệu (Không rớt session!)
Kiểm thử và Đánh giá kết quả
Hệ thống được đưa qua 3 kịch bản kiểm thử nghiêm ngặt nhằm xác minh tính năng và đo lường các chỉ số vận hành:
| Kịch bản kiểm thử |
Hành động thực hiện |
Kết quả ghi nhận |
Trạng thái |
| 1. Cân bằng tải Multi-WAN |
Tạo đồng thời 20 luồng tải tệp dung lượng lớn từ các client khác nhau |
Lưu lượng được phân bổ đều trên Traffic Graph của cả 2 giao diện em1 (WAN1) và em2 (WAN2). Tốc độ tổng đạt ~96% băng thông lý thuyết của cả 2 line. |
ĐẠT |
| 2. Tự động chuyển đổi Failover |
Rút đột ngột cáp mạng của giao diện WAN1 khi client đang xem video trực tuyến |
Gateway Monitor kích hoạt sự kiện Packet Loss trong 1.8 giây, toàn bộ lưu lượng chuyển mượt mà sang WAN2, video không bị gián đoạn. |
ĐẠT |
| 3. Cụm dự phòng HA CARP |
Tắt nguồn node pfSense 1 (Master) khi đang duy trì các phiên kết nối SSH và download |
Node pfSense 2 nhận diện trạng thái trong vòng < 2.5 giây, nâng quyền Virtual IP 10.10.0.254, phiên tải tệp duy trì liên tục nhờ pfsync. |
ĐẠT |
Đổi mới và đóng góp của đề tài
- Tối ưu hóa chi phí với hiệu năng tương đương phần cứng đắt tiền: Đề tài chứng minh rằng một hệ thống dựng trên pfSense mã nguồn mở hoàn toàn có khả năng thay thế các bộ định tuyến chuyên dụng đắt tiền của Cisco, Juniper trong bài toán Multi-WAN và High Availability tại các doanh nghiệp quy mô vừa và nhỏ.
- Hiện thực hóa cụm chuyển đổi dự phòng cấp doanh nghiệp: Thay vì chỉ sử dụng pfSense đơn lẻ, nhóm tác giả đã tích hợp thành công bộ ba công nghệ: CARP (chuyển đổi địa chỉ IP ảo không gián đoạn), pfsync (đồng bộ bảng trạng thái kết nối thời gian thực), và XMLRPC Sync (tự động hóa sao chép cấu hình giữa các node).
- Quản trị linh hoạt qua giao diện Web trực quan: Xóa bỏ rào cản dòng lệnh (CLI) phức tạp của các hệ điều hành mạng truyền thống, cho phép quản trị viên theo dõi lưu lượng mạng theo thời gian thực (Real-time Traffic Graph), kiểm soát lịch trình học tập/làm việc chi tiết đến từng phút.
Ứng dụng thực tế và triển khai
Khả năng ứng dụng thực tế
- Khối Doanh nghiệp Vừa và Nhỏ (SME): Triển khai làm cổng bảo mật Internet Gateway trung tâm, gộp băng thông từ nhiều nhà mạng (Viettel, VNPT, FPT) để vừa tiết kiệm chi phí cáp quang, vừa đảm bảo 100% không mất kết nối khi có sự cố từ một ISP.
- Trường học và Cơ sở giáo dục: Sử dụng tính năng Firewall Schedules kết hợp Aliases để ngăn chặn truy cập mạng xã hội, game online trong giờ học chính khóa và mở lại băng thông vào giờ giải lao.
- Trung tâm Dữ liệu / Server Farm nội bộ: Đặt cụm pfSense HA phía trước các cụm máy chủ Web, Database nội bộ để thực hiện chuyển tiếp cổng (Port Forwarding), cân bằng tải vào máy chủ ảo (Virtual Server) và bảo vệ trước các đợt quét cổng trái phép.
Yêu cầu cấu hình phần cứng triển khai
Yêu cầu hệ thống đề xuất cho mạng 100 - 300 người dùng:
- CPU: Intel Core i3 / Intel Xeon 64-bit đa nhân (hỗ trợ AES-NI để tăng tốc mã hóa)
- RAM: 4 GB - 8 GB DDR4 (đáp ứng lưu trữ bảng trạng thái State Table lớn)
- Ổ cứng: 64 GB SSD SATA/NVMe
- Card mạng (NIC): Tối thiểu 3 cổng Gigabit Ethernet (Khuyến nghị sử dụng chipset Intel Pro/1000 để đạt độ ổn định tối đa trên FreeBSD)
Hạn chế và hướng phát triển
Những mặt hạn chế
- Hạn chế giao thức NAT đặc thù: Cơ chế NAT mặc định vẫn gặp một số trở ngại khi xử lý các gói tin thoại và đường hầm cũ như Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) nếu chưa cấu hình tinh chỉnh chuyên sâu.
- Cơ chế cân bằng tải: Hiện tại cơ chế cân bằng tải dựa trên phiên (Per-session Round-Robin) qua Gateway Groups, chưa hỗ trợ cân bằng tải theo từng gói tin (Per-packet) hoặc tự động phân luồng thông minh theo độ ưu tiên ứng dụng tầng 7 mà không cài thêm gói ngoài.
- Yêu cầu hỗ trợ hạ tầng cho CARP: Giao thức CARP sử dụng gói tin Multicast nên đòi hỏi các thiết bị Switch trung gian trong mạng nội bộ không được khóa hoặc chặn lưu lượng Multicast.
Hướng phát triển trong tương lai
- Tích hợp hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS): Cài đặt thêm các gói mở rộng như Snort hoặc Suricata trực tiếp qua Package Manager để phát hiện mã độc và ngăn chặn tấn công từ chối dịch vụ (DDoS).
- Triển khai mạng riêng ảo VPN bảo mật: Cấu hình OpenVPN hoặc WireGuard trên pfSense để hỗ trợ cán bộ nhân viên làm việc từ xa (Remote Work) truy cập an toàn vào tài nguyên nội bộ.
- Tích hợp Proxy Server và Caching: Cài đặt Squid và SquidGuard để tăng tốc độ duyệt web thông qua bộ nhớ đệm và lọc nội dung web theo danh mục tên miền (URL Blacklist).
- Xác thực người dùng tập trung: Kết nối hệ thống tường lửa với máy chủ Windows Active Directory / LDAP Server qua giao thức RADIUS để quản lý truy cập mạng theo từng tài khoản nhân viên.
Đối tượng hưởng lợi
mindmap
root((Hệ thống Tường lửa pfSense))
Sinh viên & Nghiên cứu sinh
Hiểu sâu kiến trúc mạng FreeBSD
Thực hành mô hình HA CARP thực tế
Tài liệu tham khảo cấu hình Multi-WAN
Quản trị viên Hệ thống SysAdmin
Tiết kiệm thời gian cấu hình qua WebGUI
Bộ công cụ Monitor IP và cảnh báo tức thì
Khả năng backup và restore cấu hình nhanh
Doanh nghiệp & Tổ chức SME
Cắt giảm 80% chi phí đầu tư bảo mật
Duy trì kết nối 24/7 không gián đoạn
Kiểm soát năng suất làm việc qua Schedules
- Sinh viên chuyên ngành Mạng máy tính & An toàn thông tin: Có được tài liệu tham khảo chi tiết từ cài đặt, gán card mạng, cấu hình dịch vụ DHCP/NTP đến các kỹ thuật nâng cao như CARP và Multi-WAN.
- Quản trị viên hệ thống (SysAdmin): Sở hữu giải pháp tường lửa mạnh mẽ, dễ quản trị qua giao diện đồ họa, có khả năng mở rộng linh hoạt theo quy mô phát triển của đơn vị.
- Ban lãnh đạo doanh nghiệp: Tối ưu hóa ngân sách đầu tư CNTT, bảo vệ an toàn tài sản số và dữ liệu kinh doanh trước các mối đe dọa an ninh mạng.
Câu hỏi thường gặp (FAQ)
1. pfSense có yêu cầu phần cứng chuyên dụng độc quyền để hoạt động không?
Không. pfSense được thiết kế để chạy trên mọi nền tảng phần cứng kiến trúc x86-64 tiêu chuẩn, các dòng máy tính công nghiệp mini PC, máy chủ rackmount thông thường hoặc các môi trường ảo hóa như VMware ESXi, Proxmox VE, Hyper-V.
2. Sự khác biệt giữa cơ chế Load Balancing và Failover trên pfSense là gì?
- Load Balancing (Cân bằng tải): Các cổng Gateway (WAN1, WAN2) được gán cùng một cấp độ (Tier 1) trong Gateway Group. Lưu lượng mạng ra Internet sẽ được chia đều qua các đường truyền.
- Failover (Chuyển đổi dự phòng): Các Gateway được gán khác cấp độ (ví dụ WAN1 là Tier 1, WAN2 là Tier 2). Toàn bộ lưu lượng chạy qua WAN1; chỉ khi WAN1 bị đứt hoặc mất gói vượt ngưỡng (Packet Loss), hệ thống mới tự động chuyển hướng qua WAN2.
3. Tại sao khi cấu hình HA trên pfSense lại cần cả 3 công nghệ CARP, pfsync và XMLRPC Sync?
Cả 3 công nghệ này bổ trợ lẫn nhau để tạo nên giải pháp High Availability toàn diện:
- CARP: Quản lý và chia sẻ địa chỉ IP ảo (Virtual IP) giữa 2 máy chủ Master - Backup.
- pfsync: Đồng bộ liên tục bảng trạng thái các kết nối mạng đang mở (State Table) để khi Master gặp sự cố, Backup tiếp quản ngay mà người dùng không bị rớt mạng hay đứt file download.
- XMLRPC Sync: Tự động đồng bộ các thay đổi về luật tường lửa, aliases, cấu hình mạng từ máy Master sang máy Backup.
4. Giao thức CARP có hoạt động được trên mọi loại Switch mạng không?
Giao thức CARP sử dụng địa chỉ MAC ảo và gói tin Multicast để gửi tín hiệu Heartbeat. Do đó, hạ tầng mạng LAN yêu cầu Switch mạng phải hỗ trợ và không được bật tính năng chặn gói tin Multicast hoặc khóa cổng MAC ảo (Port Security quá nghiêm ngặt).
5. Doanh nghiệp có thể tiết kiệm được bao nhiêu chi phí khi dùng pfSense thay cho thiết bị phần cứng thương mại?
Doanh nghiệp có thể tiết kiệm từ 70% đến 90% tổng chi phí sở hữu (TCO) trong 3 năm đầu. pfSense không thu phí bản quyền sử dụng hàng năm, không giới hạn số lượng kết nối người dùng (User/Session limits), và có thể tận dụng lại hệ thống máy chủ sẵn có.
Kết luận
Đồ án chuyên ngành "Tìm hiểu về bảo mật và triển khai hệ thống tường lửa pfSense cho mạng doanh nghiệp" của nhóm sinh viên Trường Đại học Công nghệ TP.HCM (HUTECH) đã giải quyết trọn vẹn bài toán an ninh mạng và tính liên tục của dịch vụ mạng cho doanh nghiệp. Thông qua việc nghiên cứu nền tảng lý thuyết vững chắc về công nghệ lọc gói, kết hợp với việc triển khai thực nghiệm thành công các mô hình Multi-WAN Load Balancing, WAN Failover và High Availability (CARP/pfsync), đề tài đã chứng minh tính khả thi, hiệu quả kinh tế vượt trội và độ tin cậy cao của giải pháp tường lửa mã nguồn mở.
Đây là tài liệu tham khảo có giá trị ứng dụng thực tiễn cao cho các kỹ sư mạng, quản trị viên hệ thống và các bạn sinh viên đang theo đuổi chuyên ngành Mạng máy tính và Truyền thông dữ liệu.
