Sophos NGFW Bài 3_T3_[Lab]Thực hiện kiểm thử tính năng dự phòng (HA) trên NGFW Sophos

MỤC LỤC​

1. Chuẩn bị môi trường
2. Quy trình kiểm thử Failover (Ngắt kết nối Node Chính)
3. Kiểm tra Log & Kiểm thử Phục hồi Failback (Bật lại Node Chính)

1. CHUẨN BỊ MÔI TRƯỜNG​

• Cụm Firewall HA: Đã đạt trạng thái Connected (Đèn HA màu xanh lá cây) trên Web Admin.
• Máy khách (Client): 01 máy PC/VPC thuộc mạng LAN (ví dụ VPC4 hoặc VPC5).

2. QUY TRÌNH KIỂM THỬ FAILOVER (NGẮT KẾT NỐI NODE CHÍNH)​

Bước 1: Tạo lưu lượng liên tục (Traffic Generation)​

Trên máy VPC vùng LAN, mở Command Prompt/Terminal và gõ lệnh ping liên tục ra Internet (8.8.8.8) hoặc Default Gateway để giám sát tính liên tục của mạng:

ping 8.8.8.8 -t

Bước 2: Giả lập sự cố thiết bị chính (Trigger Failover)​

• Trên sơ đồ PNETLab, chuột phải vào Thiết bị Chính (Node 1 - FW-01) ➔ Chọn Stop / Power Off (Giả lập tình huống Firewall chính bị chết nguồn đột ngột).

Bước 3: Quan sát kết quả chuyển đổi trên Client​

• Với Active-Passive: Ping chỉ rớt từ 1 – 2 gói tin (Request timed out), thời gian gián đoạn < 3–5 giây, sau đó tự động trả về Reply from 8.8.8.8. Node 2 (Auxiliary) tự động thăng cấp lên làm Primary/Active.
• Với Active-Active: Ping gần như không rớt gói nào (0–1 packet loss). Node 2 tự động gánh 100% tải tức thì.

3. KIỂM TRA LOG & KIỂM THỬ PHỤC HỒI FAILBACK (BẬT LẠI NODE CHÍNH)​

3.1. Kiểm tra Node Phụ tự động tiếp quản IP Quản trị (.39)​

Một điểm ưu việt của cơ chế Sophos HA là sử dụng IP ảo dùng chung (Floating IP / Virtual IP). Khi Node 1 (FW-01) gặp sự cố tắt nguồn, Node 2 (FW-02) ngay lập tức tiếp quản địa chỉ IP .39 và địa chỉ MAC ảo, giúp quản trị viên không bị gián đoạn kết nối Web Admin:

1. Truy cập Web Admin bằng chính địa chỉ IP quản trị ban đầu ([https://10.120.170.39:4444](https://10.120.170.39:4444)).
2. Vào menu System services > High availability status, hệ thống hiển thị trạng thái cụm là Degraded (Active-Passive) (Suy thoái dự phòng do mất 1 Node).
3. Nhìn vào bảng trạng thái chi tiết của danh sách Node:
   • Node2 (Local): Đã tự động thăng cấp lên vai trò Primary với trạng thái Standalone (Huy hiệu màu cam - Đang chạy tiếp quản đơn độc).
   • Node1 (Peer): Hiển thị trạng thái Faulty (Huy hiệu màu đỏ - Thiết bị lỗi hoặc đã mất kết nối).

3.2. Xem nhật ký chuyển đổi hệ thống (Log Viewer)​

1. Ngay trên giao diện Web Admin, nhấn vào nút Log viewer ở góc trên cùng bên phải màn hình.
2. Chọn tab System ➔ Tại ô tìm kiếm (Filter), gõ từ khóa HA và nhấn Enter.
3. Nhật ký hệ thống ghi nhận rõ ràng các sự kiện:
   • Phát hiện mất kết nối nhịp tim (Heartbeat lost).
   • Hệ thống tự động kích hoạt chuyển đổi quyền thủ lĩnh sang thiết bị dự phòng (Failover triggered / HA state changed to Primary).

3.3. Kiểm thử khôi phục cụm (Failback Test)​

Bước này kiểm thử khả năng gia nhập lại cụm khi thiết bị lỗi (Node 1) được sửa chữa và khởi động trở lại:

1. Trên sơ đồ PNETLab, chuột phải vào Thiết bị Chính (Node 1 - FW-01) ➔ Chọn Start (Bật nguồn lại cho thiết bị).
2. Chờ khoảng 2 – 3 phút để hệ điều hành Sophos SFOS khởi động xong ➔ Nhấn F5 (Tải lại trang) Web Admin.
3. Biểu tượng HA ở góc phải chuyển lại thành màu xanh lá cây (Connected), hệ thống khôi phục trạng thái dự phòng đầy đủ.
4. Lưu ý kỹ thuật quan trọng về cơ chế No-Preemption (Không chiếm quyền trước):
   • Mặc định, Sophos NGFW KHÔNG cho phép Node 1 tự động giành lại quyền Primary khi vừa bật lên. Điều này nhằm chống sốc mạng (Flapping) trong trường hợp phần cứng Node 1 chập chờn hoặc chưa ổn định.
   • Do đó, Node 2 vẫn tiếp tục giữ vai trò Primary (Active), còn Node 1 sẽ gia nhập lại với vai trò Auxiliary (Passive).
   • Nếu quản trị viên muốn chủ động chuyển quyền Primary về lại cho Node 1 như ban đầu, cần nhấn vào nút Switch to passive device trên giao diện Web Admin.