Tiểu Luận Về Triển Khai Hệ Thống Tường Lửa pfSense Trong Mạng Doanh Nghiệp

Phần này tập trung vào việc cấu hình tường lửa pfSense trong môi trường doanh nghiệp. 54 trang · Trường Đại Học Công Nghệ TP. HCM · 2021.

• Tác giả: Nguyễn Văn Phát
• Người hướng dẫn: ThS. Nguyễn Lê Văn
• Trường học: Trường Đại Học Công Nghệ TP. HCM
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Triển Khai Hệ Thống Tường Lửa pfSense Cho Mạng Doanh Nghiệp
• Loại tài liệu: báo cáo đồ án chuyên ngành
• Năm xuất bản: 2021
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. Tổng quan về cộng nghệ Firewall
• 2.2. Định nghĩa Firewall
• 2.3. Phân loại firewall
• 2.4. Giới thiệu tường lửa Pfsense
• 2.5. Một số tính năng Pfsense
• 2.5.1. Pfsense Aliases
• 2.5.2. NAT
• 2.5.3. Firewall Rules
• 2.5.4. Firewall Schedules
• 2.6. Một số dịch vụ của Pfsense
• 2.6.1. DHCP Server
• 2.6.2. Cài đặt Packages
• 2.6.3. Cấu hình NTP Server cho Pfsense
• 2.6.4. Cài đặt Failover và Load Balancing cho Pfsense
• 2.6.5. High Availability Sync và CARP
• 3. CHƯƠNG 3: KẾT LUẬN
• 3.1. Kết quả đạt được
• 3.2. Những mặt hạn chế
• 3.3. Hướng phát triển trong tương lai
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Cấu hình tường lửa pfSense Cấu hình tường lửa pfSense pfSense doanh nghiệp Triển khai pfSense

Phần này tập trung vào việc cấu hình tường lửa pfSense trong môi trường doanh nghiệp. Điều quan trọng là thiết lập chính xác các giao diện mạng (WAN, LAN). Cần chỉ định địa chỉ IP, subnet mask và gateway phù hợp cho mỗi giao diện. Việc sử dụng DHCP Server để tự động phân phối địa chỉ IP cho các thiết bị trong mạng LAN được khuyến khích. Quản trị viên cần xác định rõ các quyền truy cập tường lửa cho phép hoặc chặn lưu lượng mạng cụ thể. Một khía cạnh quan trọng khác là việc thiết lập NAT (Network Address Translation) để bảo vệ mạng nội bộ khỏi các mối đe dọa từ bên ngoài. pfSense cung cấp nhiều tùy chọn NAT linh hoạt, bao gồm cả NAT tĩnh và động. Hệ thống cần được cài đặt và tối ưu hóa hiệu quả. Mô hình triển khai cần được lập kế hoạch cẩn thận để đáp ứng nhu cầu cụ thể của doanh nghiệp.

1.1 Thiết lập Giao diện Mạng

Việc thiết lập chính xác các giao diện mạng (WAN, LAN) là bước đầu tiên và cực kỳ quan trọng trong quá trình cấu hình tường lửa pfSense. Phải chỉ định địa chỉ IP, subnet mask và gateway đúng cho mỗi giao diện. Sử dụng DHCP Server cho mạng LAN giúp đơn giản hóa việc quản lý địa chỉ IP. Cần xem xét việc sử dụng nhiều WAN để tăng độ tin cậy và hiệu suất. Điều này giúp đảm bảo an ninh mạng doanh nghiệp được cải thiện đáng kể. Quản trị viên cần đảm bảo an toàn và khả năng khắc phục sự cố pfSense hiệu quả. Cài đặt pfSense cần được thực hiện theo hướng dẫn của nhà sản xuất để tránh lỗi. Bên cạnh đó, quản lý tường lửa pfSense cần được thực hiện thường xuyên để đảm bảo hiệu suất hoạt động tốt nhất. An toàn mạng doanh nghiệp phụ thuộc rất nhiều vào việc cấu hình chính xác các giao diện mạng này.

1.2 Cấu hình NAT và Firewall Rules

Sau khi thiết lập giao diện mạng, bước tiếp theo là cấu hình NAT và Firewall Rules. NAT che giấu địa chỉ IP nội bộ, tăng cường bảo mật mạng. Firewall Rules cho phép quản trị viên kiểm soát chặt chẽ lưu lượng mạng, cho phép hoặc chặn truy cập dựa trên địa chỉ IP, cổng, giao thức và nhiều yếu tố khác. Việc sử dụng Aliases giúp đơn giản hóa quá trình quản lý Firewall Rules. pfSense cung cấp nhiều tính năng nâng cao như VPN pfSense, IPsec pfSense, OpenVPN pfSense để tạo kết nối an toàn giữa các mạng. Quản lý tường lửa pfSense cần cẩn thận và chính xác. Thiết lập quy trình triển khai tường lửa rõ ràng là rất cần thiết. Hiểu rõ về tính năng pfSense giúp quản trị viên tối ưu hóa cấu hình hệ thống. An ninh mạng và pfSense có mối quan hệ mật thiết, cần được xem xét kỹ lưỡng.

II. Triển khai Hệ Thống Tường Lửa Doanh Nghiệp Hệ thống tường lửa doanh nghiệp tường lửa pfSense cho mạng LAN giải pháp tường lửa bảo mật mạng doanh nghiệp lựa chọn tường lửa cho doanh nghiệp

Phần này tập trung vào việc triển khai hệ thống tường lửa doanh nghiệp sử dụng pfSense. Đây là một giải pháp tường lửa hiệu quả về chi phí, cung cấp nhiều tính năng bảo mật mạnh mẽ. Việc lựa chọn pfSense như một tường lửa mã nguồn mở có nhiều ưu điểm. Chi phí triển khai pfSense thấp hơn so với các giải pháp thương mại. Tuy nhiên, quản trị viên cần có kiến thức về mạng và bảo mật để cấu hình và quản lý hệ thống hiệu quả. An toàn mạng doanh nghiệp được đảm bảo tốt hơn với sự hỗ trợ của pfSense. Việc tích hợp pfSense với các hệ thống khác trong doanh nghiệp cần được xem xét kỹ lưỡng. Mô hình triển khai pfSense phụ thuộc vào quy mô và cấu trúc mạng của doanh nghiệp.

2.1 Lựa Chọn và Thiết Kế Hệ Thống

Trước khi triển khai, cần lựa chọn phần cứng phù hợp với quy mô mạng và nhu cầu bảo mật của doanh nghiệp. Cần thiết kế một mô hình triển khai pfSense hợp lý, đảm bảo tính khả năng mở rộng và bảo trì. Việc lựa chọn tường lửa UTM hoặc tường lửa Next-Generation phụ thuộc vào yêu cầu cụ thể. Quản lý tường lửa tập trung là một yếu tố quan trọng cần xem xét. pfSense có thể được cấu hình để hoạt động như một tường lửa UTM, cung cấp nhiều tính năng bảo mật tích hợp. So sánh pfSense với các tường lửa khác giúp doanh nghiệp lựa chọn giải pháp tối ưu. An ninh mạng và pfSense có mối quan hệ mật thiết. Bảo mật mạng doanh nghiệp được nâng cao đáng kể nhờ pfSense.

2.2 Triển Khai và Quản Lý

Sau khi thiết kế xong, tiến hành triển khai pfSense. Cần đảm bảo các bước cài đặt pfSense được thực hiện chính xác. Quản trị viên cần thiết lập quy trình quản lý tường lửa pfSense rõ ràng, bao gồm cả việc backup và khôi phục pfSense, cập nhật pfSense, và monitoring pfSense. Việc quản lý tường lửa pfSense cần được thực hiện thường xuyên để đảm bảo hệ thống hoạt động ổn định và an toàn. High availability pfSense và failover pfSense cần được cấu hình để đảm bảo tính sẵn sàng cao của hệ thống. Load balancing pfSense giúp phân phối tải mạng hiệu quả. Thống kê pfSense, báo cáo pfSense và log pfSense giúp quản trị viên theo dõi hoạt động của hệ thống. Audit pfSense là một phần quan trọng trong việc đảm bảo an ninh mạng.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghiệp hóa và hiện đại hóa, hạ tầng mạng máy tính và truyền thông đã có những bước phát triển vượt bậc, tạo điều kiện thuận lợi cho các dịch vụ trao đổi thông tin trực tuyến trên toàn cầu. Tuy nhiên, sự phát triển nhanh chóng của Internet cũng kéo theo sự gia tăng phức tạp của các cuộc tấn công mạng, phá hoại hệ thống và đánh cắp dữ liệu nội bộ. Các mối đe dọa này xuất phát từ nhiều mục đích khác nhau như trục lợi dữ liệu nhạy cảm, phát tán mã độc hoặc cạnh tranh không lành mạnh, gây thiệt hại nghiêm trọng về cả vật chất lẫn uy tín của các tổ chức và doanh nghiệp.

Để bảo vệ hệ thống mạng nội bộ trước các nguy cơ từ môi trường Internet, các doanh nghiệp thường tiếp cận các giải pháp phần cứng chuyên dụng như Router Cisco hoặc tường lửa thương mại như Microsoft ISA. Tuy nhiên, rào cản lớn nhất của các hệ thống này là chi phí đầu tư thiết bị và bản quyền tương đối tốn kém, tạo áp lực ngân sách cho các đơn vị vừa và nhỏ. Xuất phát từ nhu cầu thực tiễn về một giải pháp an ninh mạng hiệu quả, ổn định nhưng tiết kiệm chi phí, nhóm nghiên cứu đã lựa chọn đề tài: "Tìm hiểu về bảo mật và triển khai tường lửa pfSense cho mạng doanh nghiệp".

Nhiệm vụ và mục tiêu nghiên cứu của đồ án bao gồm:

1. Nghiên cứu tổng quan về lý thuyết an ninh mạng, các khái niệm, chức năng, cấu trúc và phân loại công nghệ tường lửa (Firewall).
2. Tìm hiểu kiến trúc, nguyên lý hoạt động và các tính năng tích hợp của hệ điều hành tường lửa mã nguồn mở pfSense.
3. Thiết kế mô hình mạng doanh nghiệp tích hợp đa đường truyền WAN (Multi-WAN) và cơ chế dự phòng độ sẵn sàng cao (High Availability).
4. Thực hành cài đặt, cấu hình chi tiết các dịch vụ mạng (DHCP, NTP, Package Manager, Firewall Rules, Aliases, NAT, Schedules) và kiểm thử thực tế các kịch bản cân bằng tải (Load Balancing), chuyển lỗi tự động (Failover) và đồng bộ cụm CARP trên pfSense.

Đối tượng nghiên cứu chính là giải pháp phần mềm tường lửa mã nguồn mở pfSense hoạt động trên nền tảng hệ điều hành FreeBSD. Phạm vi nghiên cứu tập trung vào việc triển khai mô hình mạng doanh nghiệp có kết nối Internet qua hai nhà cung cấp dịch vụ mạng (ISP), mạng cục bộ nội bộ (LAN) và cụm tường lửa dự phòng kép.

---

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng nội dung dựa trên nền tảng lý thuyết mạng máy tính và an toàn thông tin tiêu chuẩn, kết hợp phương pháp thực nghiệm kỹ thuật trên hệ thống giả lập và máy tính chuyên dụng.

Khung lý thuyết và công nghệ cốt lõi

• Định nghĩa và chức năng của Tường lửa (Firewall): Hệ thống tường lửa được định nghĩa là một phần của hệ thống mạng được thiết kế để điều khiển truy nhập giữa các phân vùng mạng có mức độ tin cậy khác nhau. Tường lửa ngăn chặn các truy cập trái phép và chỉ cho phép các luồng truyền thông hợp lệ lưu thông dựa trên tập quy tắc (rules) được định nghĩa trước. Các chức năng cốt lõi bao gồm: kiểm soát lưu lượng ra/vào, theo dõi luồng dữ liệu trao đổi, quản lý định danh người dùng và kiểm duyệt nội dung thông tin.
• Cấu trúc thành phần của Firewall: Một hệ thống tường lửa hoàn chỉnh bao gồm bộ lọc gói tin (Packet Filtering), cổng ứng dụng / máy chủ ủy quyền (Application Gateways / Proxy Server), cổng mức mạch (Circuit Level Gateway), hệ thống chính sách mạng (Network Policy), cơ chế xác thực nâng cao (Advanced Authentication) và phân hệ ghi nhật ký, phát hiện hành vi bất thường (Logging & Suspicious Activity Detection).
• Nền tảng Tường lửa pfSense: Được khởi xướng từ năm 2004 dựa trên dự án m0n0wall, pfSense là phần mềm định tuyến và tường lửa mã nguồn mở chạy trên nền tảng FreeBSD, với hơn 1 triệu lượt tải trên toàn cầu. pfSense cung cấp giao diện quản trị đồ họa qua Web (WebGUI), hỗ trợ lọc gói tin theo địa chỉ IP nguồn/đích, cổng nguồn/đích, hỗ trợ định tuyến theo chính sách (Policy Routing), chế độ hoạt động Transparent/Bridge và chuyển dịch địa chỉ mạng (NAT).
• Giao thức đồng bộ và dự phòng: Đồ án khai thác giao thức dự phòng địa chỉ chung CARP (Common Address Redundancy Protocol) bắt nguồn từ OpenBSD (thay thế cho VRRP) kết hợp cơ chế đồng bộ bảng trạng thái pfsync và đồng bộ cấu hình qua XMLRPC Sync để tạo cụm máy chủ sẵn sàng cao (CARP Cluster).

Phương pháp nghiên cứu

Nhóm tác giả sử dụng phương pháp tổng hợp tài liệu học thuật kết hợp phương pháp thiết kế, triển khai thực nghiệm hệ thống. Toàn bộ quy trình từ phân bổ card mạng, cấu hình console, thiết lập WebGUI đến kiểm thử trạng thái hoạt động thực tế đều được ghi nhận trực tiếp thông qua ảnh chụp màn hình và nhật ký giám sát lưu lượng thời gian thực.

---

Thiết kế và triển khai

Hệ thống mạng được thiết kế nhằm đáp ứng yêu cầu an toàn, ổn định và liên tục của môi trường doanh nghiệp với mô hình kết nối đa giao diện và dự phòng hai nút pfSense song song.

     [WAN1: ISP DNS]                   [WAN2: 8.8.8.8]

1. Phân bổ giao diện mạng và cài đặt ban đầu (Console)

Quá trình cài đặt pfSense được thực hiện trực tiếp qua giao diện dòng lệnh console, thiết lập các cổng mạng (Interfaces) vật lý và logic:

Giao diện mạng	Tên cổng vật lý	Kiểu cấu hình IPv4	Địa chỉ IP / Subnet	Ghi chú cấu hình
LAN	em0	Static IPv4	10.10/24	Kích hoạt DHCP Server cấp dải 10.100 đến 10.200
WAN1	em1	DHCP Client	Nhận từ ISP	Giao diện mạng ngoài chính
WAN2 (OPT1)	em2	DHCP Client	Nhận từ ISP	Bỏ chọn Block Private Networks để nhận traffic nội bộ

Quy trình cấu hình console: Hệ thống không kích hoạt VLANs (N), chỉ định tuần tự card em1 cho WAN1, em0 cho LAN, em2 cho WAN2, từ chối kích hoạt tính năng Webserver nội bộ mặc định (n) để chuyển quyền quản trị sang WebGUI cổng an toàn https://10.10.

2. Cấu hình dịch vụ quản trị và tiện ích mở rộng trên WebGUI

• Quản trị Aliases và Rules: Khởi tạo các bí danh (Aliases) đại diện cho danh sách host, cổng hoặc dải mạng giúp tối ưu hóa việc quản lý và áp dụng chính sách lọc gói, tránh trùng lặp tập luật (Rules).
• Lập lịch thực thi (Firewall Schedules): Thiết lập lịch biểu hoạt động cho các chính sách mạng. Ví dụ thực nghiệm trong đồ án: tạo lịch Lichhoctrongtuan áp dụng trong tháng 11, hoạt động vào các ngày Thứ 3, Thứ 5, Thứ 7 trong khung giờ từ 07:30 đến 11:15.
• Đồng bộ thời gian mạng (NTP Server): Truy cập Service -> NTP để kích hoạt máy chủ thời gian nội bộ, khai báo máy chủ thời gian nguồn (Time Servers) và kích hoạt biểu đồ giám sát NTP Graphs nhằm khử hiện tượng trễ biến đổi bằng bộ đệm jitter.
• Cài đặt tiện ích (Package Manager): Truy cập System -> Package Manager để duyệt danh mục, cài đặt và mở rộng các tính năng bảo mật chuyên sâu cho pfSense trực tiếp từ kho gói phần mềm.

3. Cấu hình Cân bằng tải (Load Balancing) và Dự phòng (Failover)

Để tối ưu hóa băng thông và đảm bảo kết nối liên tục qua 2 đường truyền WAN, hệ thống thiết lập các nhóm Gateway (Gateway Groups) và chính sách kiểm tra trạng thái:

• Cấu hình Monitor IP:
  • Giao diện WAN1 giám sát qua địa chỉ IP DNS của ISP (đầu số 218.x.x.x).
  • Giao diện WAN2 giám sát qua địa chỉ IP DNS của Google (8.8.8.8).
• Cấu hình Gateway Groups:
  • Nhóm LoadBalancer: Đặt WAN1 và WAN2 ở cùng mức ưu tiên (Tier 1), cho phép chia sẻ lưu lượng đồng thời ra Internet.
  • Nhóm WAN1Failover: Đặt WAN1 ở mức Tier 1 và WAN2 ở mức Tier 2. Điều kiện kích hoạt (Trigger Level) là Packet Loss (khi mất gói tin ping tới DNS kiểm tra, hệ thống tự chuyển sang WAN2).
  • Nhóm WAN2Failover: Đặt WAN2 ở mức Tier 1 và WAN1 ở mức Tier 2 để phục vụ kịch bản ngược lại.
• Áp dụng chính sách chuyển tiếp (Firewall Rules): Gán nhóm Gateway tương ứng vào mục Display Advanced -> Gateway trên tập luật của mạng LAN (Interface: LAN, Protocol: any, Source: LAN net), đồng thời khai báo tối thiểu một máy chủ DNS Server cho mỗi Gateway trong System -> General Setup.

4. Triển khai Cụm dự phòng sẵn sàng cao (High Availability Sync & CARP)

Hệ thống triển khai 2 nút tường lửa hoạt động song song gồm pfSense 1 (Master) và pfSense 2 (Backup):

• Cơ chế hoạt động: Sử dụng giao thức CARP để tạo các địa chỉ IP ảo (Virtual IP) dùng chung cho cả giao diện mạng LAN và WAN giữa hai máy chủ pfSense.
• Đồng bộ dữ liệu: Quá trình đồng bộ cấu hình được thực hiện tự động qua XMLRPC Sync và đồng bộ bảng trạng thái phiên kết nối qua pfsync.
• Chuyển mạch trong suốt: Trạm làm việc tại mạng LAN trỏ Default Gateway về địa chỉ IP ảo CARP. Khi máy chủ chính (Master) gặp sự cố ngừng hoạt động, máy chủ phụ (Backup) tự động tiếp quản địa chỉ IP ảo ngay lập tức mà không làm gián đoạn các phiên truyền thông của người dùng.

---

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN VỀ ĐỀ TÀI

Chương 1 làm rõ tính cấp thiết của đề tài trong bối cảnh các mối đe dọa tấn công phá hoại, đánh cắp dữ liệu và mã độc đang nhắm trực tiếp vào hệ thống thông tin doanh nghiệp. Tác giả phân tích nhu cầu tìm kiếm một giải pháp tường lửa vừa đảm bảo khả năng phòng thủ, vừa tối ưu hóa chi phí đầu tư so với các thiết bị phần cứng độc quyền. Bố cục toàn bộ báo cáo đồ án được công bố bao gồm 3 chương nghiên cứu chính.

CHƯƠNG 2: CƠ SỞ LÝ THUYẾT

Chương 2 trình bày có hệ thống toàn bộ nền tảng lý thuyết và quy trình triển khai kỹ thuật:

• Tổng hợp định nghĩa, chức năng cốt lõi và 6 thành phần kiến trúc chính của hệ thống tường lửa mạng.
• Giới thiệu lịch sử, kiến trúc nền tảng FreeBSD và các ưu điểm của giải pháp pfSense (giao diện WebGUI, tính năng lọc gói tin đa tầng, khả năng mở rộng gói).
• Hướng dẫn từng bước cài đặt hệ điều hành pfSense từ giao diện bảng điều khiển console.
• Cấu hình và giải thích nguyên lý các phân hệ tính năng: Aliases, NAT, Firewall Rules, Firewall Schedules, DHCP Server, Package Manager, NTP Server.
• Thiết lập hệ thống Multi-WAN tích hợp cân bằng tải (Load Balancing) và chuyển lỗi dự phòng (Failover) thông qua cấu hình Monitor IP và Gateway Groups.
• Xây dựng cụm tường lửa có tính sẵn sàng cao (High Availability) ứng dụng giao thức CARP, XMLRPC Sync và cơ chế định tuyến IP ảo (Virtual IP).

CHƯƠNG 3: KẾT LUẬN

Chương 3 tổng kết toàn bộ kết quả nghiên cứu và thực nghiệm đạt được của đồ án, chỉ ra những mặt hạn chế kỹ thuật còn tồn đọng trong quá trình thử nghiệm và vạch ra các hướng phát triển mở rộng hệ thống trong tương lai.

---

Kết quả và đóng góp

1. Kết quả thực nghiệm

Đồ án đã xây dựng và kiểm thử thành công một hệ sinh thái an ninh mạng hoàn chỉnh dựa trên pfSense với các chỉ số kỹ thuật đạt được:

• Hạ tầng phân định giao diện: Phân định chính xác 3 giao diện mạng (em0 cho LAN, em1 cho WAN1, em2 cho WAN2) và quản trị tập trung qua WebGUI an toàn (https://10.10).
• Dịch vụ mạng cốt lõi: Dịch vụ DHCP Server cấp phát động ổn định cho các máy trạm trong dải địa chỉ IP 10.100 đến 10.200; dịch vụ NTP Server đồng bộ thời gian mạng chính xác, thể hiện qua trạng thái hoạt động trên bảng điều khiển Status -> Services.
• Cân bằng tải và Giám sát: Cấu hình thành công nhóm LoadBalancer gộp 2 cổng WAN cùng Tier 1; theo dõi luồng dữ liệu thời gian thực thông qua biểu đồ lưu lượng Traffic Graph tại menu Status.
• Chuyển lỗi tự động (Failover): Nhóm Gateway Failover tự động phát hiện tình trạng mất kết nối dựa trên cơ chế bắt gói tin DNS (Packet Loss) và chuyển hướng lưu lượng sang đường WAN phụ một cách chính xác.
• Tính sẵn sàng cao (HA CARP): Đồng bộ cấu hình thành công giữa pfSense 1 và pfSense 2; cấu hình địa chỉ IP ảo (Virtual IP) cho cả cổng LAN và WAN, đảm bảo trạm làm việc duy trì phiên kết nối liên tục khi một trong hai máy chủ gặp sự cố phần cứng.

2. Đóng góp của đồ án

• Cung cấp bộ tài liệu hướng dẫn kỹ thuật chi tiết từ khâu quy hoạch địa chỉ IP, thao tác dòng lệnh console đến thiết lập thông số chuyên sâu trên WebGUI.
• Chứng minh tính khả thi của việc ứng dụng tường lửa mã nguồn mở pfSense để thay thế các thiết bị định tuyến/cân bằng tải phần cứng đắt tiền tại các hộ gia đình và doanh nghiệp.

---

Hạn chế và hướng nghiên cứu tiếp

1. Những mặt hạn chế được ghi nhận

Dựa trên các phân tích kỹ thuật trong văn bản, đồ án ghi nhận một số hạn chế của hệ thống:

• Hạn chế giao thức NAT: pfSense vẫn còn một số điểm hạn chế khi thực hiện cơ chế chuyển dịch địa chỉ mạng (NAT) đối với các giao thức như Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP).
• Cơ chế phân phối cân bằng tải: Tính năng cân bằng tải chỉ thực hiện phân phối lưu lượng chung giữa hai kết nối WAN mà chưa hỗ trợ khả năng chỉ định ép một mức lưu lượng cụ thể qua một kết nối nhất định.
• Yêu cầu hạ tầng mạng đối với CARP: Giao thức CARP sử dụng cơ chế địa chỉ Multicast, do đó hệ thống phụ thuộc vào việc các thiết bị chuyển mạch (Switch) trong mạng nội bộ có hỗ trợ hoặc có bị chặn/lọc các gói tin Multicast hay không.

2. Hướng phát triển trong tương lai

Từ các hạn chế trên, hướng nghiên cứu tiếp theo của đề tài tập trung vào việc:

• Nghiên cứu tích hợp các gói bảo mật nâng cao qua Package Manager (như hệ thống phát hiện/ngăn chặn xâm nhập Snort, Suricata hoặc máy chủ ủy quyền lọc nội dung Squid).
• Tối ưu hóa các chính sách kiểm soát băng thông theo ứng dụng và tích hợp các kênh truyền mạng riêng ảo (VPN) an toàn phục vụ truy cập từ xa cho doanh nghiệp.

---

Giá trị tham khảo

Báo cáo đồ án là tài liệu tham khảo hữu ích cho nhiều nhóm đối tượng:

• Sinh viên ngành Công nghệ Thông tin, chuyên ngành Mạng máy tính và Truyền thông: Có thể sử dụng đồ án làm tài liệu học tập, tham khảo phương pháp luận và các bước triển khai thực nghiệm cho các học phần Đồ án chuyên ngành, Quản trị mạng hoặc Khóa luận tốt nghiệp.
• Quản trị viên hệ thống (System/Network Administrator): Đồ án cung cấp các cấu hình mẫu thực tế về Multi-WAN Load Balancing, Failover và cụm CARP High Availability, hỗ trợ triển khai thực tế giải pháp tường lửa tiết kiệm chi phí cho các doanh nghiệp vừa và nhỏ.

---

Câu hỏi thường gặp

1. Hệ thống tường lửa pfSense được xây dựng dựa trên nền tảng hệ điều hành và giao thức dự phòng nào?
pfSense được phát triển dựa trên hệ điều hành FreeBSD và ứng dụng giao thức dự phòng địa chỉ chung CARP (Common Address Redundancy Protocol) có nguồn gốc từ OpenBSD để cung cấp khả năng tự động chuyển đổi dự phòng khi ghép nhóm tường lửa.

2. Địa chỉ IP và các cổng mạng của hệ thống pfSense được nhóm tác giả quy hoạch như thế nào trong đồ án?
Hệ thống sử dụng card mạng em0 cho giao diện mạng LAN với địa chỉ IP tĩnh 10.10/24 (kèm DHCP cấp dải 10.100 đến 10.200), card mạng em1 cho đường WAN1 nhận IP qua DHCP, và card mạng em2 (giao diện OPT1) cho đường WAN2 nhận IP qua DHCP.

3. Cơ chế kích hoạt chuyển lỗi tự động (Failover) giữa 2 đường truyền WAN được thiết lập dựa trên điều kiện gì?
Cơ chế Failover được thiết lập trong Gateway Groups phân chia cấp độ ưu tiên (WAN1 ở Tier 1, WAN2 ở Tier 2), sử dụng điều kiện kích hoạt (Trigger Level) là Packet Loss. Khi bất kỳ gói tin ping nào gửi tới máy chủ DNS kiểm tra không có tín hiệu phản hồi, hệ thống sẽ tự động chuyển toàn bộ lưu lượng sang đường WAN còn lại.

4. Địa chỉ IP ảo (Virtual IP) trong giải pháp High Availability Sync và CARP có vai trò gì đối với mạng doanh nghiệp?
Địa chỉ IP ảo đóng vai trò là cổng mặc định (Default Gateway) dùng chung giữa máy chủ chính (Master) và máy chủ phụ (Backup). Khi máy chủ chính ngừng hoạt động, máy trạm nội bộ vẫn trỏ về địa chỉ IP ảo và lưu lượng được chuyển mạch tự động sang máy chủ phụ mà không làm gián đoạn kết nối mạng.

5. pfSense gặp phải những hạn chế nào khi xử lý dịch vụ NAT theo phân tích trong đồ án?
Theo đồ án, pfSense còn gặp hạn chế khi triển khai NAT với các giao thức Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP).

---

Kết luận

Đồ án chuyên ngành "Tìm hiểu về bảo mật và triển khai tường lửa pfSense cho mạng doanh nghiệp" của nhóm sinh viên Trường Đại học Công nghệ TP. HCM (HUTECH) đã hoàn thành tốt các mục tiêu nghiên cứu lý thuyết và triển khai kỹ thuật đặt ra. Công trình làm rõ các khái niệm, cấu trúc an ninh mạng, đồng thời hướng dẫn chi tiết quy trình cấu hình các dịch vụ thiết yếu như DHCP, NTP, Firewall Schedules, Multi-WAN Load Balancing, Failover và cụm dự phòng CARP High Availability. Mặc dù còn một số hạn chế về hỗ trợ giao thức NAT và phân phối băng thông chi tiết, hệ thống pfSense đã chứng minh tính hiệu quả, ổn định và là giải pháp thay thế tối ưu về mặt kinh phí cho các thiết bị mạng thương mại trong môi trường doanh nghiệp.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan về đề tài Chương 2: Cơ sở lí thuyt - Tổng quan về công nghệ firewall và giới thiệu pfsense - Cài đặt pfsense - Triển khai pfsense 1 0 0 Tieu luan Chương 3: Kt lun. 2 0 0 Tieu luan CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 2. Tổng quan về cộng nghệ Firewall 2. Định nghĩa Firewall Firewall là mt phần ca hệ thống hay mạng máy tnh đưc thit k để điều khiển truy nhp gia các mạng bằng cách ngăn chặn các truy cp không đưc phép trong khi cho phép các truyền thông hp lệ.

N cũng là mt hay mt nhóm các thit b đưc cu hnh để cho phép, ngăn cn, mã hóa, gii mã hay proxy lưu lưng trao đổi ca các máy tính gia các miền bo mt khác nhau dựa trên mt b các lut (rule) hay tiêu chun nào khác. Chức năng của Firewall Chc năng chnh ca firewall là kiểm soát lưu lưng gia hai hay nhiều mạng có mc đ tin cy khác nhau để từ đ thit lp cơ ch điều khiển luồng thông tin gia chúng. Cụ thể là: - Cho phép hoặc ngăn cn truy nhp vào ra gia các mạng. - Theo dõi luồng d liệu trao đổi gia các mạng.

- Kiểm soát ngưi sử dụng và việc truy nhp ca ngưi sử dụng. - Kiểm soát ni dung thông tin lưu chuyển trên mạng. Cấu trúc Firewall Không hoàn toàn giống nhau gia các sn phm đưc thit k bởi các hãng bo mt, tuy nhiên có nhng thành phần cơ bn sau trong cu trúc ca mt firewall nói chung (mà mt số trong đ sẽ đưc tìm hiểu r hơn trong phần 2.2 về các công nghệ firewall): - B lc gói (packet filtering) - Application gateways / Proxy server - Circuit level gateway - Các chính sách mạng (network policy) - Các cơ ch xác thực nâng cao (advanced authentication mechanisms) - Thống kê và phát hiện các hoạt đng bt thưng (logging and detection of suspicious activity) 3 0 0 Tieu luan 2. Phân loại firewall Có r t nhiều tiêu chí có thể đưc sử dụng phân loại các sn phm firewall, ví dụ như cách chia ra thành firewall cng (thit b đưc thit k chuyên dụng hoạt đng trên hệ điều hành dành riêng cùng mt số xử lý trên các mạch điện tử tích hp) và firewall mềm (phần mềm firewall đưc cài đặt trên máy tnh thông thưng)…Nhưng c lẽ việc phân loại firewall thông qua công nghệ ca s n phm firewall đ đưc xem là phổ bin và chính xác hơn tt c.

Giới thiệu tường lửa Pfsense Để bo vệ cho hệ thống mạng bên trong thì chúng ta có nhiều gii pháp như sử dụng Router Cisco, dùng tưng lửa ca Microsoft như ISA…. Tuy nhiên nhng thành phần kể trên tương đối tốn kém. Vì vy đối với ngưi dùng không muốn tốn tiền nhưng lại muốn có mt tưng lửa bo vệ hệ thống mạng bên trong (mạng ni b) khi mà chúng ta giao tip vối hệ thống mạng bên ngoài (Internet) thì pfsense là mt gii pháp tit kiệm và hiệu qu tương đối tốt nht đối với ngưi dùng. PfSense là mt ng dụng có chc năng đnh tuyn vào tưng lửa mạnh và miễn phí, ng dụng này sẽ cho phép bạn mở rng mạng ca mình mà không b thỏa hiệp về sự bo mt.

Bẳt đầu vào năm 2004, khi monowall mới bắt đầu chp chng đây là mt dự án bo mt tp trung vào các hệ thống nhúng pfSense đã có hơn 1 triệu download và đưc sử dụng để bo vệ các mạng ở tt c kích cỡ, từ các mạng gia đình đn các mạng lớn ca ca các công ty.