Đồ án bảo mật mạng - Triển khai tường lửa pfSense doanh nghiệp

Đồ án chuyên ngành về bảo mật mạng doanh nghiệp với pfSense. Hướng dẫn cài đặt, cấu hình firewall, NAT, DHCP, VPN. Tài liệu chi tiết cho sinh viên CNTT.

• Tác giả: Nguyễn Văn Phát
• Người hướng dẫn: ThS. Nguyễn Lê Văn
• Trường học: Trường Đại học Công nghệ TP.HCM
• Chuyên ngành: Công nghệ Thông tin
• Đề tài: Tìm hiểu về bảo mật và triển khai tường lửa pfsense cho mạng doanh nghiệp
• Loại tài liệu: graduation project
• Năm xuất bản: 2021
• Địa điểm: Thành phố Hồ Chí Minh

Tóm tắt

I. Cách triển khai tường lửa pfSense cho mạng doanh nghiệp hiệu quả

Triển khai tường lửa pfSense cho mạng doanh nghiệp là giải pháp bảo mật mạng mã nguồn mở được nhiều tổ chức tin dùng nhờ tính linh hoạt, hiệu suất cao và khả năng tùy biến sâu. pfSense dựa trên nền tảng FreeBSD, cung cấp đầy đủ các tính năng tường lửa thế hệ mới như Stateful Packet Inspection, NAT, VLAN, cân bằng tải, dự phòng (failover), và tích hợp nhiều gói mở rộng (packages). Theo báo cáo đồ án chuyên ngành của nhóm sinh viên Trường Đại học Công nghệ TP.HCM (2021), việc triển khai pfSense giúp doanh nghiệp kiểm soát lưu lượng mạng, ngăn chặn xâm nhập trái phép và đảm bảo tính sẵn sàng cao cho hệ thống CNTT. Đặc biệt, pfSense hỗ trợ cấu hình High Availability (HA) thông qua giao thức CARP, giúp duy trì kết nối ngay cả khi một thiết bị tường lửa gặp sự cố. Việc triển khai đúng cách không chỉ nâng cao an ninh mạng doanh nghiệp mà còn tối ưu chi phí vận hành nhờ sử dụng phần mềm mã nguồn mở. Các bước triển khai cơ bản bao gồm cài đặt hệ điều hành, cấu hình giao diện mạng (WAN/LAN), thiết lập DHCP, NAT, tường lửa, và tích hợp các dịch vụ bảo mật bổ trợ như IDS/IPS, OpenVPN hoặc Squid Proxy.

1.1. Tổng quan về tường lửa pfSense và lợi ích cho doanh nghiệp

pfSense là một phần mềm tường lửa mã nguồn mở dựa trên FreeBSD, nổi bật với giao diện web thân thiện và khả năng mở rộng mạnh mẽ. Lợi ích chính bao gồm: chi phí thấp (miễn phí phiên bản cộng đồng), hỗ trợ đa nền tảng phần cứng, tích hợp sẵn nhiều dịch vụ mạng như DNS, DHCP, NTP, và khả năng giám sát lưu lượng thời gian thực. Đối với mạng doanh nghiệp, pfSense giúp phân vùng mạng (segmentation), kiểm soát truy cập theo chính sách, và bảo vệ khỏi các mối đe dọa mạng như DDoS, malware hay tấn công từ bên ngoài. Nhờ tính năng High Availability, hệ thống luôn duy trì kết nối ngay cả khi một node tường lửa gặp sự cố.

1.2. Yêu cầu phần cứng và phần mềm để triển khai pfSense

Để triển khai pfSense hiệu quả, cần tối thiểu một máy chủ có 2 card mạng (một cho WAN, một cho LAN), CPU 64-bit, RAM từ 2GB trở lên và ổ cứng 8GB. pfSense hỗ trợ tốt trên các nền tảng phần cứng x86/x64, bao gồm cả máy chủ cũ hoặc thiết bị chuyên dụng như Netgate. Hệ điều hành gốc là FreeBSD, do đó có thể gặp khó khăn tương thích phần cứng nếu sử dụng linh kiện không được hỗ trợ. Tuy nhiên, danh sách phần cứng tương thích được cập nhật đầy đủ trên trang chủ pfSense. Ngoài ra, cần chuẩn bị địa chỉ IP tĩnh cho WAN và dải IP nội bộ cho LAN để cấu hình ban đầu.

II. Những thách thức khi triển khai tường lửa pfSense trong môi trường doanh nghiệp

Mặc dù pfSense mang lại nhiều lợi ích, việc triển khai trong môi trường doanh nghiệp không phải không có thách thức. Một trong những rào cản chính là tính tương thích phần cứng, do pfSense dựa trên FreeBSD – hệ điều hành không hỗ trợ rộng rãi như Linux hay Windows. Điều này có thể gây khó khăn khi triển khai trên các thiết bị phần cứng mới hoặc không có trong danh sách tương thích. Ngoài ra, việc cấu hình các tính năng nâng cao như cân bằng tải (Load Balancing), dự phòng (Failover) hay tích hợp IDS/IPS đòi hỏi kiến thức chuyên sâu về mạng và bảo mật. Báo cáo từ HUTECH (2021) cũng chỉ ra rằng nhóm sinh viên gặp khó khăn trong việc tối ưu hiệu năng khi triển khai cân bằng tải cho nhiều kết nối WAN. Bên cạnh đó, quản trị viên cần thường xuyên cập nhật hệ thống và theo dõi nhật ký (logs) để phát hiện sớm các mối đe dọa. Nếu không có quy trình giám sát và phản hồi sự cố, hiệu quả bảo mật của pfSense có thể bị suy giảm đáng kể.

2.1. Khó khăn về tương thích phần cứng và hiệu năng

Do pfSense chạy trên nền tảng FreeBSD, không phải mọi card mạng hay bo mạch chủ đều được hỗ trợ đầy đủ. Điều này dẫn đến sự cố driver, mất kết nối hoặc hiệu năng kém. Đặc biệt, khi triển khai trên máy chủ ảo (VM), cần đảm bảo card mạng ảo được cấu hình đúng chuẩn (ví dụ: VirtIO). Ngoài ra, hiệu năng xử lý gói tin có thể giảm nếu phần cứng không đủ mạnh, đặc biệt khi bật nhiều dịch vụ như Snort (IDS), Suricata, hoặc OpenVPN đồng thời.

2.2. Thiếu kiến thức chuyên sâu về cấu hình nâng cao

Các tính năng như High Availability, Multi-WAN, Policy-Based Routing hay Captive Portal đòi hỏi hiểu biết sâu về mạng máy tính. Nhiều doanh nghiệp nhỏ thiếu nhân sự có chuyên môn, dẫn đến cấu hình sai, gây rò rỉ bảo mật hoặc gián đoạn dịch vụ. Việc học cách sử dụng giao diện web pfSense cũng cần thời gian làm quen, đặc biệt với các quy tắc tường lửa phức tạp và hệ thống nhật ký chi tiết.

III. Hướng dẫn cấu hình tường lửa pfSense cho mạng doanh nghiệp từ A đến Z

Quy trình triển khai tường lửa pfSense bao gồm các bước chuẩn: cài đặt hệ điều hành, gán giao diện mạng, cấu hình IP, thiết lập DHCP, NAT, tường lửa và tích hợp dịch vụ bổ trợ. Đầu tiên, sau khi cài đặt pfSense, hệ thống sẽ yêu cầu gán card mạng cho WAN và LAN. Tiếp theo, cấu hình địa chỉ IP tĩnh cho LAN (ví dụ: 192.168.1.1/24) và kích hoạt DHCP Server để cấp IP tự động cho thiết bị nội bộ. Bước quan trọng tiếp theo là thiết lập NAT để cho phép máy nội bộ truy cập Internet qua địa chỉ WAN. Sau đó, tạo các quy tắc tường lửa (firewall rules) để kiểm soát lưu lượng vào/ra theo chính sách bảo mật. Cuối cùng, cài đặt các gói mở rộng như pfBlockerNG (chặn quảng cáo/mã độc), Snort (phát hiện xâm nhập) hoặc OpenVPN (truy cập từ xa an toàn). Báo cáo HUTECH (2021) nhấn mạnh rằng việc cấu hình đúng các quy tắc tường lửa là yếu tố then chốt để đảm bảo an toàn mạng doanh nghiệp.

3.1. Cấu hình giao diện mạng và dịch vụ cơ bản

Sau cài đặt, truy cập giao diện web pfSense qua địa chỉ LAN mặc định. Gán card mạng: em0 cho LAN, em1 cho WAN (tùy phần cứng). Cấu hình IP LAN, bật DHCP với dải IP như 192.168.1.100–200. Cấu hình WAN theo kiểu DHCP (nếu ISP cấp tự động) hoặc PPPoE (nếu dùng cáp quang). Kích hoạt NTP Server để đồng bộ thời gian – yếu tố quan trọng cho ghi log và xác thực.

3.2. Thiết lập quy tắc tường lửa và NAT

Tạo quy tắc NAT Outbound để ánh xạ IP nội bộ ra WAN. Thiết lập quy tắc tường lửa cho LAN: cho phép truy cập Internet, nhưng chặn các cổng nguy hiểm (22, 23, 3389 từ WAN). Nên áp dụng nguyên tắc “deny by default” – chỉ cho phép những gì cần thiết. Kiểm tra quy tắc bằng công cụ Packet Capture hoặc Log Files trong pfSense.

IV. Bí quyết triển khai High Availability và Load Balancing với pfSense

Để đảm bảo tính sẵn sàng cao (High Availability) cho mạng doanh nghiệp, pfSense hỗ trợ cấu hình cụm HA sử dụng giao thức CARP (Common Address Redundancy Protocol). Cụm gồm hai thiết bị: một master và một backup. Khi master gặp sự cố, backup tự động接管 địa chỉ IP ảo và tiếp tục xử lý lưu lượng. Đồng thời, tính năng State Synchronization đảm bảo phiên kết nối không bị gián đoạn. Về Load Balancing, pfSense cho phép phân phối lưu lượng qua nhiều kết nối WAN (Multi-WAN), giúp tăng băng thông và dự phòng đường truyền. Cấu hình này đặc biệt hữu ích cho doanh nghiệp có nhiều nhà cung cấp Internet. Tuy nhiên, theo báo cáo HUTECH (2021), cân bằng tải chưa thực sự tối ưu với các ứng dụng nhạy cảm độ trễ như VoIP hoặc video call, do giới hạn trong thuật toán định tuyến. Do đó, cần kiểm thử kỹ trước khi triển khai thực tế.

4.1. Cấu hình High Availability với CARP và Sync

Cần hai thiết bị pfSense cùng phiên bản. Cấu hình CARP VIP (Virtual IP) cho cả WAN và LAN. Kích hoạt XMLRPC Sync để đồng bộ cấu hình, và pfsync để đồng bộ trạng thái kết nối. Khi master lỗi, backup lên thay trong vài giây – người dùng nội bộ gần như không cảm nhận được gián đoạn.

4.2. Triển khai Load Balancing đa WAN

Thêm nhiều giao diện WAN (WAN1, WAN2...), tạo Gateway Group với chế độ Load Balance hoặc Failover. Thiết lập Firewall Rules sử dụng gateway group này. pfSense sẽ tự động phân phối kết nối mới qua các WAN theo thuật toán round-robin hoặc dựa trên trọng số. Tuy nhiên, một phiên TCP sẽ luôn dùng cùng một WAN để tránh mất kết nối.

V. Ứng dụng thực tiễn và kết quả triển khai pfSense tại doanh nghiệp

Nhiều doanh nghiệp vừa và nhỏ đã áp dụng pfSense để thay thế các thiết bị tường lửa thương mại đắt tiền. Một nghiên cứu thực nghiệm từ HUTECH (2021) cho thấy sau khi triển khai pfSense, hệ thống mạng đạt được tính bảo mật cao, khả năng kiểm soát lưu lượng chi tiết và tiết kiệm chi phí vận hành lên đến 60% so với giải pháp thương mại. Các tính năng như chặn website độc hại, giám sát băng thông, và VPN truy cập từ xa giúp nâng cao năng suất và an toàn thông tin. Tuy nhiên, nhóm nghiên cứu cũng ghi nhận một số hạn chế: hiệu năng giảm khi bật nhiều dịch vụ cùng lúc, và cần thời gian đào tạo nhân sự. Dù vậy, pfSense vẫn là lựa chọn hàng đầu cho mạng doanh nghiệp cần giải pháp bảo mật linh hoạt, mở rộng và tiết kiệm.

5.1. Kết quả đạt được từ triển khai thực tế

Doanh nghiệp đạt được khả năng phân vùng mạng, kiểm soát truy cập theo vai trò, phát hiện xâm nhập thời gian thực và truy cập từ xa an toàn qua OpenVPN. Hệ thống có thể mở rộng dễ dàng bằng cách cài thêm packages như Darkstat (phân tích lưu lượng) hay ntopng (giám sát hiệu suất mạng).

5.2. Hạn chế và bài học kinh nghiệm

Hạn chế chính bao gồm: khó tương thích phần cứng, hiệu năng không ổn định khi tải cao, và thiếu hỗ trợ kỹ thuật chuyên nghiệp (do là mã nguồn mở). Bài học kinh nghiệm: luôn thử nghiệm trên môi trường lab trước khi triển khai thực tế, và xây dựng tài liệu cấu hình chi tiết để hỗ trợ vận hành lâu dài.

VI. Tương lai của tường lửa pfSense trong hệ sinh thái bảo mật doanh nghiệp

pfSense đang phát triển mạnh mẽ nhờ cộng đồng mã nguồn mở sôi động và sự hỗ trợ từ Netgate – công ty đứng sau dự án. Xu hướng tương lai bao gồm tích hợp AI/ML để phát hiện bất thường, hỗ trợ IPv6 toàn diện, và tối ưu hóa cho điện toán đám mây và edge computing. Ngoài ra, phiên bản thương mại pfSense Plus cung cấp hỗ trợ kỹ thuật 24/7 và các tính năng cao cấp như Zero Trust Network Access (ZTNA). Với nhu cầu ngày càng cao về an ninh mạng doanh nghiệp, pfSense có tiềm năng trở thành nền tảng bảo mật lõi cho nhiều tổ chức, đặc biệt khi kết hợp với các giải pháp SIEM và SOAR. Tuy nhiên, để đạt được điều đó, cần cải thiện tính tương thích phần cứng và đơn giản hóa giao diện cho người dùng phổ thông.

6.1. Xu hướng tích hợp AI và bảo mật Zero Trust

Các phiên bản tương lai của pfSense có thể tích hợp phân tích hành vi để phát hiện tấn công nội bộ (insider threat) hoặc hoạt động bất thường. Mô hình Zero Trust – “không tin tưởng mặc định” – sẽ được áp dụng thông qua xác thực đa yếu tố và phân quyền truy cập theo ngữ cảnh.

6.2. Cơ hội cho doanh nghiệp Việt Nam

Với chi phí thấp và khả năng tùy biến cao, pfSense là lựa chọn lý tưởng cho doanh nghiệp Việt Nam muốn nâng cao an ninh mạng mà không phụ thuộc vào nhà cung cấp nước ngoài. Việc đào tạo nhân sự nội bộ về pfSense sẽ giúp doanh nghiệp chủ động hơn trong vận hành và phản ứng sự cố.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan về đề tài Chương 2: Cơ sở lí thuyết - Tổng quan về công nghệ firewall và giới thiệu pfsense - Cài đặt pfsense - Triển khai pfsense 1 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Chương 3: Kết luận. 2 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 CHƯƠNG 2: CƠ SỞ LÝ THUYẾT 2. Tổng quan về cộng nghệ Firewall 2. Định nghĩa Firewall Firewall là một phần của hệ thống hay mạng máy tính được thiết kế để điều khiển truy nhập giữa các mạng bằng cách ngăn chặn các truy cập không được phép trong khi cho phép các truyền thông hợp lệ.

Nó cũng là một hay một nhóm các thiết bị được cấu hình để cho phép, ngăn cản, mã hóa, giải mã hay proxy lưu lượng trao đổi của các máy tính giữa các miền bảo mật khác nhau dựa trên một bộ các luật (rule) hay tiêu chuẩn nào khác. Chức năng của Firewall Chức năng chính của firewall là kiểm soát lưu lượng giữa hai hay nhiều mạng có mức độ tin cậy khác nhau để từ đó thiết lập cơ chế điều khiển luồng thông tin giữa chúng. Cụ thể là: - Cho phép hoặc ngăn cản truy nhập vào ra giữa các mạng. - Theo dõi luồng dữ liệu trao đổi giữa các mạng.

- Kiểm soát người sử dụng và việc truy nhập của người sử dụng. - Kiểm soát nội dung thông tin lưu chuyển trên mạng. Cấu trúc Firewall Không hoàn toàn giống nhau giữa các sản phẩm được thiết kế bởi các hãng bảo mật, tuy nhiên có những thành phần cơ bản sau trong cấu trúc của một firewall nói chung (mà một số trong đó sẽ được tìm hiểu rõ hơn trong phần 2.2 về các công nghệ firewall): - Bộ lọc gói (packet filtering) - Application gateways / Proxy server - Circuit level gateway - Các chính sách mạng (network policy) - Các cơ chế xác thực nâng cao (advanced authentication mechanisms) 3 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 - Thống kê và phát hiện các hoạt động bất thường (logging and detection of suspicious activity) 2. Phân loại firewall Có rất nhiều tiêu chí có thể được sử dụng phân loại các sản phẩm firewall, ví dụ như cách chia ra thành firewall cứng (thiết bị được thiết kế chuyên dụng hoạt động trên hệ điều hành dành riêng cùng một số xử lý trên các mạch điện tử tích hợp) và firewall mềm (phần mềm firewall được cài đặt trên máy tính thông thường)…Nhưng có lẽ việc phân loại firewall thông qua công nghệ của sản phẩm firewall đó được xem là phổ biến và chính xác hơn tất cả.

Giới thiệu tường lửa Pfsense Để bảo vệ cho hệ thống mạng bên trong thì chúng ta có nhiều giải pháp như sử dụng Router Cisco, dùng tường lửa của Microsoft như ISA…. Tuy nhiên những thành phần kể trên tương đối tốn kém. Vì vậy đối với người dùng không muốn tốn tiền nhưng lại muốn có một tường lửa bảo vệ hệ thống mạng bên trong (mạng nội bộ) khi mà chúng ta giao tiếp vối hệ thống mạng bên ngoài (Internet) thì pfsense là một giải pháp tiết kiệm và hiệu quả tương đối tốt nhất đối với người dùng. PfSense là một ứng dụng có chức năng định tuyến vào tường lửa mạnh và miễn phí, ứng dụng này sẽ cho phép bạn mở rộng mạng của mình mà không bị thỏa hiệp về sự bảo mật.

Bẳt đầu vào năm 2004, khi monowall mới bắt đầu chập chững đây là một dự án bảo mật tập trung vào các hệ thống nhúng pfSense đã có hơn 1 triệu download và được sử dụng để bảo vệ các mạng ở tất cả kích cỡ, từ các mạng gia đình đến các mạng lớn của của các công ty. Ứng dụng này có một cộng đồng phát triển rất tích cực và nhiều tính năng đang được bổ sung trong mỗi phát hành nhằm cải thiện hơn nữa tính bảo mật, sự ổn định và khả năng linh hoạt của nó Pfsense bao gồm nhiều tính năng mà bạn vẫn thấy trên các thiết bị tường lửa hoặc router thương mại, chẳng hạn như GUI trên nền Web tạo sự quản lý một cách dễ dàng. Trong khi đó phần mềm miễn phí này còn có nhiều tính năng ấn tượng đối với firewall/router miễn phí, tuy nhiên cũng có một số hạn chế. Pfsense hỗ trợ lọc bởi địa chỉ nguồn và địa chỉ đích, cổng nguồn hoặc cổng đích 4 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 hay địa chỉ IP.

Nó cũng hỗ trợ chính sách định tuyến và có thể hoạt động trong các chế độ bridge hoặc transparent, cho phép bạn chỉ cần đặt pfSense ở giữa các thiết bị mạng mà không cần đòi hỏi việc cấu hình bổ sung. PfSense cung cấp network address translation (NAT) và tính năng chuyển tiếp cổng, tuy nhiên ứng dụng này vẫn còn một số hạn chế với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. PfSense được dựa trên FreeBSD và giao thức Common Address Redundancy Protocol (CARP) của FreeBSD, cung cấp khả năng dự phòng bằng cách cho phép các quản trị viên nhóm hai hoặc nhiều tường lửa vào một nhóm tự động chuyển đổi dự phòng. Vì nó hỗ trợ nhiều kết nối mạng diện rộng (WAN) nên có thể thực hiện việc cân bằng tải.

Tuy nhiên có một hạn chế với nó ở chỗ chỉ có thể thực hiện cân bằng lưu lượng phân phối giữa hai kết nối WAN và bạn không thể chỉ định được lưu lượng cho qua một kết nối. Hình 1: Mô hình tường lửa Pfsense 2.3 Một số tính năng Pfsense 2. Pfsense Aliases Aliases có thể giúp bạn tiết kiệm một lượng lớn thời gian nếu bạn sử dụng chúng một cách chính xác. Một Aliases ngắn cho phép bạn sử dụng cho một host ,cổng hoặc mạng có thể được sử dụng khi tạo các rules trong pfSense .Sử dụng Aliases sẽ giúp bạn cho phép bạn lưu trữ 5 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 nhiều mục trong một nơi duy nhất có nghĩa là bạn không cần tạo ra nhiều rules cho nhóm các máy hoặc cổng.

NAT PfSense cung cấp network address translation (NAT) và tính năng chuyển tiếp cổng, tuy nhiên ứng dụng này vẫn còn một số hạn chế với Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) và Session Initiation Protocol (SIP) khi sử dụng NAT. Trong Firewall bạn cũng có thể cấu hình các thiết lập NAT nếu cần sử dụng cổng chuyển tiếp cho các dịch vụ hoặc cấu hình NAT tĩnh (1:1) cho các host cụ thể. Thiết lập mặc định của NAT cho các kết nối outbound là automatic/dynamic, tuy nhiên bạn có thể thay đổi kiểu manual nếu cần. Firewall Rules Nơi lưu các rules (Luật) của Firewall.

Để vào Rules của pfsense vào Firewall → Rules. Mặc định pfsense cho phép mọi trafic ra/vào hệ thống .Bạn phải tạo ra các rules để quản lí mạng bên trong firewall. Firewall Schedules Các Firewall rules có thể được sắp xếp để nó có chỉ hoạt động vào các thời điểm nhất định trong ngày hoặc vào những ngày nhất định cụ thể hoặc các ngày trong tuần. Một số dịch vụ của Pfsense 2.

DHCP Server DHCP Server chỉnh cấu hình cho mạng TCP/IP bằng cách tự động gán các địa chỉ IP cho khách hàng khi họ vào mạng. Cài đặt Packages Người dùng có nhu cầu cài đặt thêm các chức năng mở rộng của chương trình cài đặt pfSense ,bạn có thể thêm các gói từ một lựa chọn các phần mềm. 6 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Gói có thể được cài đặt bằng cách sử dụng Package Manager, nằm tại menu System. Package Manager sẽ hiển thị tất cả các gói có sẵn bao gồm một mô tả ngắn gọn về chức năng của nó.

Cấu hình NTP Server cho Pfsense Dịch vụ này giúp người dùng đòng bộ thời gian mạng. NTP (Network Time Protocol) là để đồng bộ đồng hồ các hệ thống máy tính thông qua mạng dữ liệu chuyển mạch gói với độ trễ biến đổi. Dịch vụ này được thiết kế để tránh ảnh hưởng của độ trễ biến đổi bằng cách sử dụng bộ đệm jitter. Cài đặt Failover và Load Balancing cho Pfsense Chức năng này sử dụng nền tảng Pfsense để cân bằng tải cho traffic từ mạng LAN ra nhiều nhành WAN.

High Availability Sync và CARP High Availability có nghĩa là “Độ sẵn sàng cao“, những máy chủ, thiết bị loại này luôn luôn sẵn sàng phục vụ, người sử dụng không cảm thấy nó bị trục trặc, hỏng hóc gây gián đoạn. Để đảm bảo được điều đó, tối thiểu có một cặp máy, thiết bị chạy song song, liên tục liên lạc với nhau, cái chính hỏng, cái phụ sẽ lập tức biết và tự động thay thế. Thông thường các nhóm máy chủ được gọi là "CARP cluster" nhưng CARP chỉ là một phần. High Availability đạt được bằng cách sử dụng sự kết hợp của nhiều kỹ thuật có liên quan, bao gồm cả CARP, trạng thái đồng bộ (pfsync), và cấu hình đồng bộ (XMLRPC Sync).

Common Address Redundancy Protocol (CARP): được sử dụng bởi các node để chia sẻ 1 IP ảo (virtual IP) giữa nhiều nút với nhau sao cho khi 1 node fail thì IP ảo đó vẫn hoạt động bởi các node khác. CARP được bắt nguồn từ OpenBSD như 1 thay thế mã nguồn mở cho giao thức route ảo VRRP (The Virtual Router Redundancy Protocol) CARP sử dụng multicast vì vậy cần chú ý tới các switch trên hệ thống có hạn chế hoặc block, filter địa chỉ multicast hay không.5 Cài đặt Pfsense 7 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 2: Màn hình welcome to pfsense Hình 3: Hệ thống hỏi có muốn tạo VLANs không, chọn “N” 8 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 4: Chọn card mạng WAN thứ nhất, chọn card “ em1” Hình 5: Chọn card cho mạng LAN bên trong “em0” 9 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 6: Chọn card mạng cho WAN2 “em2” Hình 7: Sau khi gán xong, chọn “y” 10 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 8: Cài đặt các Interface (card mạng). Chọn mục 2 Hình 9: Cài đặt IP cho mạng LAN, chọn “2” 11 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 10: Chọn địa chỉ Ipv4 “10.10” Hình 11: Chọn “24” là Subnetmask 12 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 12: Hệ thống hỏi mình có nên kích hoạt chức năng DHCP không ? Chọn “y” là đồng ý Pfsese là DHCP Server Hình 13: Gán Range Ipv4 cần cấp cho mạng LAN “10.100” và kết thúc là “ 10.200” 13 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 14: Hệ thống hỏi có cấu hình Pfsense làm Webserver không, chọn “n” không đồng ý. Nếu đồng ý thì chức năng tái hiện trong cách cài đặt Virtual Server Hình 15: Cài đặt hoàn tất 14 Downloaded by hây hay (vuchinhhp3@gmail.

Triển khai Pfsense 2. Tính năng của Pfsense 2. Pfsense Aliases Để tạo một Aliases chúng ta vào Firewall -> Aliases Hình 16: Giao diện Aliases 2. NAT Để tạo một NAT chúng ta vào Firewall ->NAT 15 Downloaded by hây hay ([e-mail]) lOMoARcPSD|17838488 Hình 17: Giao diện NAT 2.