Bài viết này mình sẽ hướng dẫn chi tiết cách dựng một hệ thống mạng doanh nghiệp an toàn và có độ sẵn sàng cao (High Availability) bằng tường lửa Check Point NGFW trên EVE-NG. Điểm đặc biệt của bài lab này là mình sẽ dùng kỹ thuật Bonding (LACP) để gộp cáp, tăng băng thông và chống đứt cáp vật lý.
Hệ thống sẽ giải quyết trọn vẹn các yêu cầu cốt lõi sau:
Lưu ý: Hai cổng eth2 và eth3 nối xuống Switch Core đã được gộp thành interface logic bond1.
Khai báo các interface theo bảng IP Planning:
Mở IIS Manager (inetmgr) → Bindings của Default Web Site và kiểm tra website đang chạy port 80, không phải 8080.
http://10.120.170.199
Nếu trang IIS màu xanh hiển thị thì NAT hoạt động thành công.
Hệ thống sẽ giải quyết trọn vẹn các yêu cầu cốt lõi sau:
- Cấu hình HA (High Availability) để chống sập Firewall.
- Gộp cáp Bond1 (LACP) để chống đứt dây LAN.
- Thiết lập Security Policy để phân quyền truy cập.
- Cấu hình NAT (SNAT/DNAT) để điều hướng luồng traffic.
PHẦN 1: MÔ HÌNH LAB & QUY HOẠCH IP (IP PLANNING)
Dưới đây là sơ đồ đấu nối vật lý và bảng quy hoạch IP chi tiết.Lưu ý: Hai cổng eth2 và eth3 nối xuống Switch Core đã được gộp thành interface logic bond1.
Bảng Quy Hoạch IP Chi Tiết
| Vùng mạng (Zone) | Interface | Thiết bị / Chức năng | Địa chỉ IP / Subnet | Gateway |
|---|---|---|---|---|
| External (WAN) | eth0 | IP Ảo (VIP) mặt ngoài | 10.120.170.199/24 | N/A |
| Tường lửa CP-GW-A (Active) | 10.120.170.197/24 | N/A | ||
| Tường lửa CP-GW-B (Standby) | 10.120.170.198/24 | N/A | ||
| Máy Khách (Win/Internet) | 10.120.170.150/24 | 10.120.170.250 | ||
| HA Sync (Heartbeat) | eth1 | Cáp nối trực tiếp 2 Node | 172.16.0.0/30 | N/A |
| LAN & DMZ (Trunk) | bond1 | Gộp cáp LACP từ eth2 + eth3 | ||
| bond1.10 | IP Ảo (VIP) mặt VLAN 10 | 10.10.10.1/24 | N/A | |
| Mạng SW-PhongIT (VLAN 10) | 10.10.10.0/24 | 10.10.10.1 | ||
| bond1.20 | IP Ảo (VIP) mặt VLAN 20 | 10.10.20.1/24 | N/A | |
| Mạng SW-PhongSale (VLAN 20) | 10.10.20.0/24 | 10.10.20.1 | ||
| bond1.40 | IP Ảo (VIP) mặt DMZ (VLAN 40) | 10.10.40.1/24 | N/A | |
| Máy chủ Winserver_IIS | 10.10.40.10/24 | 10.10.40.1 |
PHẦN 2: CẤU HÌNH DỰ PHÒNG HA ACTIVE/PASSIVE
Bước 1: Khởi tạo ClusterXL
- Trên SmartConsole, vào Gateways & Servers.
- Bấm New (ngôi sao) → Cluster...
- Đặt tên cụm là CP-HA-Cluster và nhập IP quản lý.
- Add hai node CP-GW-A và CP-GW-B vào cụm. Hệ thống sẽ tự xác định một node Active và một node Standby.
Bước 2: Định nghĩa IP Virtual (VIP) và cổng Sync
Nhấp đúp vào CP-HA-Cluster, chọn Network Management.Khai báo các interface theo bảng IP Planning:
- eth0 (WAN): Network Type = Cluster, VIP = 10.120.170.199.
- bond1.10, bond1.20, bond1.40: Network Type = Cluster, nhập VIP tương ứng để làm Gateway cho từng VLAN.
- eth1 (Sync): Chọn Cluster Sync để hai node liên tục kiểm tra trạng thái của nhau.
Bước 3: Bật Proxy ARP
- Vào Global Properties → NAT.
- Tick Merge manual proxy ARP configuration → OK.
PHẦN 3: CẤU HÌNH OBJECT & SECURITY POLICY
Bước 1: Khai báo Object
Trong Object Explorer:- New → Network
- Net_VLAN10 (10.10.10.0/24)
- Net_VLAN20 (10.10.20.0/24)
- New → Host
- IP_WAN_VIP (10.120.170.199)
- Host_Web_IIS (10.10.40.10)
Bước 2: Viết Security Policy
Chuyển sang tab SECURITY POLICIES, xóa luật mặc định và tạo ba rule theo thứ tự từ trên xuống:| No. | Name | Source | Destination | Services | Action |
|---|---|---|---|---|---|
| 1 | Allow_Web_DMZ | * Any | IP_WAN_VIP | http | Accept (Log) |
| 2 | Allow_LAN_to_Internet | Net_VLAN10, Net_VLAN20 | * Any | * Any | Accept (Log) |
| 3 | Cleanup Rule | * Any | * Any | * Any | Drop (Log) |
PHẦN 4: CẤU HÌNH ĐỊNH TUYẾN NAT (SNAT & DNAT)
Chuyển xuống tab NAT.1. Cấu hình SNAT (Hide NAT)
- Nhấp đúp vào Net_VLAN10 và Net_VLAN20.
- Sang tab NAT.
- Tick Add automatic address translation rules.
- Translation Method chọn Hide → OK.
2. Cấu hình DNAT (Port Forwarding)
- Chuột phải bảng NAT → New Rule Top.
- Original Source: * Any
- Original Destination: IP_WAN_VIP
- Original Services: http
- Translated Source: = Original
- Translated Destination: Host_Web_IIS
- Translated Services: = Original
PHẦN 5: NGHIỆM THU, FIX LỖI & BÀI TEST HA SINH TỬ
1. Fix lỗi ERR_CONNECTION_REFUSED
Nếu truy cập web bị từ chối kết nối thì 99% nguyên nhân nằm ở Windows Server chứ không phải Firewall.Mở IIS Manager (inetmgr) → Bindings của Default Web Site và kiểm tra website đang chạy port 80, không phải 8080.
2. Test DNAT
Từ máy Win ngoài Internet, truy cập:http://10.120.170.199
Nếu trang IIS màu xanh hiển thị thì NAT hoạt động thành công.
3. Test HA Active/Passive
- Trên máy khách mở CMD:
Mã:
ping 10.120.170.199 -t- Trên EVE-NG, chuột phải CP-GW-A (đang Active) → Stop để mô phỏng mất nguồn.
- Ping sẽ Request timed out khoảng 2–3 gói.
- Sau đó Reply trở lại bình thường.
Đính kèm
Bài viết liên quan
Được quan tâm
Bài viết mới