Sophos NGFW Cấu hình dự phòng NGFW theo cơ chế: Active/Passive, Active/Active

Cấu hình dự phòng NGFW

1. Cơ chế Active / Passive (A/P) - Dự phòng nóng​

Đây là cơ chế phổ biến nhất và được khuyến nghị sử dụng nhiều nhất trên các dòng NGFW (bao gồm cả Sophos, Fortinet, Palo Alto).

• Cách thức hoạt động:
  • Thiết bị Primary (Active): Xử lý toàn bộ lưu lượng mạng (traffic), định tuyến, kiểm soát gói tin và VPN.
  • Thiết bị Auxiliary (Passive): Đứng ở trạng thái chờ (Standby). Nó liên tục nhận dữ liệu đồng bộ (Configuration, Session, Cookie, Routing table...) từ con Active thông qua cổng Heartbeat Link.
• Khi có sự cố (Failover): Nếu con Active bị mất nguồn, chết cổng WAN/LAN (được cấu hình monitor), con Passive sẽ ngay lập tức tự cấu hình lại MAC/IP của nó thành Active và tiếp quản hệ thống trong vài mili-giây. Người dùng hầu như không nhận ra gián đoạn (Stateful Failover).
• Ưu điểm: Khả năng đồng bộ session cực tốt, độ ổn định cao, dễ cấu hình và troubleshoot (bắt bệnh).
• Nhược điểm: Lãng phí tài nguyên phần cứng của thiết bị Passive vì bình thường nó không xử lý traffic.

2. Cơ chế Active / Active (A/A) - Chia tải​

Cơ chế này được sử dụng khi doanh nghiệp muốn tận dụng tối đa hiệu năng phần cứng của cả 2 thiết bị Firewall.

• Cách thức hoạt động:
  • Cả 2 thiết bị đều ở trạng thái Active và cùng tham gia xử lý traffic tại một thời điểm.
  • Hệ thống sẽ bầu chọn ra một con làm Master để điều phối và cân bằng tải (Load Balancing), con còn lại làm Slave.
  • Lưu lượng đi qua firewall sẽ được chia đôi (hoặc theo tỷ lệ) dựa trên thuật toán (Round Robin, IP Hash...).
• Khi có sự cố: Nếu một con chết, con còn lại sẽ gánh toàn bộ 100% traffic của hệ thống.
• Ưu điểm: Tận dụng được tối đa năng lực xử lý (CPU/RAM) của cả 2 con để xử lý các tính năng nặng như Deep Packet Inspection (DPI), IPS, Antivirus.
• Nhược điểm cực kỳ lớn:
  • Không làm tăng băng thông tổng của mạng (vì bị giới hạn bởi băng thông cổng vật lý).
  • Nếu hệ thống chạy quá 50% hiệu năng của cả cluster, khi một con chết, con còn lại sẽ bị quá tải (bị sập theo).
  • Xử lý đồng bộ Session (nhất là Session VPN và SSL Inspection) rất phức tạp, dễ gây lỗi lệch gói tin (Asymmetric Routing).

Mô hình:

CẤU HÌNH DỰ PHÒNG THEO ACTIVE/PASSIVE

1. Chế độ Quick HA (Cấu hình tự động)​

Như mình có chia sẻ ở trên, đây là chế độ "mì ăn liền" được Sophos tối ưu hóa tối đa.

• Cách hoạt động: Bạn chỉ cần chọn cổng kết nối (Interface), Sophos sẽ tự động lo phần còn lại. Nó tự gán IP nội bộ (thường là 169.254.x.x), tự sinh mật khẩu mã hóa (Passphrase) để hai con tự bắt tay với nhau.
• Khi nào nên dùng: Khi bạn muốn triển khai nhanh, hai thiết bị đặt cạnh nhau trong tủ rack (hoặc chung một cụm vSwitch trên ảo hóa) và bạn không muốn đau đầu quản lý thêm một dải IP tĩnh cho cổng HA.

2. Chế độ Interactive HA (Cấu hình thủ công / Tương tác)​

Chế độ này yêu cầu bạn phải là người "nắm quyền kiểm soát", tự tay cấu hình từng thông số một cách tường minh.

• Cách hoạt động: Bạn phải tự đặt IP tĩnh cho cổng HA trên máy Primary (ví dụ: 192.168.99.1) và máy Auxiliary (ví dụ: 192.168.99.2), tự đặt Passphrase trùng nhau, và điền chính xác IP của thiết bị đối tác (Peer IP).
• Khi nào nên dùng:
  • Khi cổng HA của hai thiết bị không nối trực tiếp bằng một sợi dây cáp, mà phải đi xuyên qua một hệ thống Switch Layer 2/Layer 3 hoặc qua mạng VLAN trung gian.
  • Khi bạn cần quy hoạch dải IP quản lý/đồng bộ một cách rõ ràng theo thiết kế mạng của doanh nghiệp để dễ giám sát (Monitor).

Khi bạn tích chọn Quick HA Mode và chọn Interface (Cổng Heartbeat), Sophos sẽ tự động hóa gần như 80% các bước phức tạp. Giao diện này được Sophos thiết kế để tối giản quy trình triển khai Active/Passive.

CÁC BƯỚC TRIỂN KHAI THEO GIAO DIỆN QUICK HA (A/P)​

Bước 1: Kết nối phần cứng và đồng bộ Firmware​

1. Dùng dây cáp mạng kết nối trực tiếp cổng được chọn làm HA (ví dụ: Port C) từ máy Primary sang đúng cổng đó (Port C) trên máy Auxiliary.
2. Đảm bảo cả 2 máy đã chạy chung một phiên bản Firmware .

Bước 2: Cấu hình trên máy Phụ (Auxiliary / Peer) - LÀM TRƯỚC​

Đối với cấu hình Quick HA, bạn bắt buộc phải bật tính năng này trên máy Phụ trước để nó đứng đợi tín hiệu từ máy Chính.

1. Đăng nhập vào Web Admin của máy Phụ, đi tới System Services > High Availability.

1. Tích chọn vào ô Enable Quick HA.
2. Configuration:
   • Role: Chọn Auxiliary.
   • HA Interface: Tích chọn cổng mạng dùng để kết nối trực tiếp (ví dụ: Port C).
3. Nhấp Initiate HA. Lúc này máy Phụ sẽ chuyển sang trạng thái chờ bắt tay (Listening) từ máy Chính.

Bước 3: Cấu hình trên máy Chính (Primary) - LÀM SAU​

1. Đăng nhập vào Web Admin của máy Chính, đi tới System Services > High Availability.

1. Tích chọn vào ô Enable Quick HA.
2. Configuration:
   • Role: Chọn Primary.
   • HA Interface: Tích chọn cổng mạng trùng với máy phụ (ví dụ: Port C).
3. Nhấp Initiate HA.

* Lưu ý : Passpharse của 2 firewall phải giống nhau, firmware cũng vậy.
Chờ đợi tầm 2-3 phút để hai thiết bị đồng bộ với nhau
Phía Primary (Master):


Phía Auxiliary (Slave):



CẤU HÌNH DỰ PHÒNG THEO INTERACTIVE HA:

• Tương tự với Quick mode thì phía interactive phải nhập ip tĩnh thủ công rồi đợi kết nối thành công.