Sophos NGFW Cấu hình VPN Site-to-site giữa FW Sophos và FW Palo Alto

HƯỚNG DẪN CẤU HÌNH ​

PHẦN I: QUY HOẠCH THÔNG SỐ KỸ THUẬT​

1. Thông tin phân bổ địa chỉ IP​

• Site A - Sophos Firewall:
  
  • IP WAN (Public/External): 10.0.137.98
  • Dải mạng LAN (Internal): 192.168.1.0/24
  • IP WAN (Public/External): 10.0.137.132
  • Dải mạng LAN (Internal): 10.10.10.0/24
• Khóa chia sẻ trước (Pre-Shared Key - PSK): Chuỗi tùy chọn tự đặt

2. Ma trận tham số mã hóa IPsec Profile​

PHẦN II: CẤU HÌNH TRÊN SOPHOS FIREWALL (SITE A)​

Bước 1: Khởi tạo IPsec Profile (Clone_IKEv2)​

1. Truy cập Configure > VPN > IPsec profiles, nhấn Add.
   
   • Name: Clone_IKEv2
   • Key exchange: IKEv2
   • Authentication mode: Main mode
     
     • Key life: 28800 Seconds | Re-key margin: 360 Seconds
     • DH group (key group): 14 (DH2048)
     • Encryption:AES256 | Authentication: SHA2 256
2. Nhấn Save.

Bước 2: Tạo IPsec Connection​

1. Vào Configure > VPN > IPsec connections, nhấn Add.
   
   • General settings:
     
     • Name: To_PaloAlto_Tunnel
     • Connection type: Policy-based
     • Gateway type: Initiate the connection
     • Policy: Chọn Clone_IKEv2
     • Authentication type: Preshared key
     • Preshared key: MậtKhẩuVPN@2026
2. Nhấn Save

Bước 3: Tạo Firewall Rules thông tuyến​

1. Rule chiều đi (LAN to VPN):
   
   • Source zones: LAN | Source networks: 192.168.1.0/24
   • Destination zones: VPN | Destination networks: 10.10.10.0/24
   • Action: Accept
   • Source zones: VPN | Source networks: 10.10.10.0/24
   • Destination zones: LAN | Destination networks: 192.168.1.0/24
   • Action: Accept

PHẦN III: CẤU HÌNH TRÊN PALO ALTO FIREWALL (SITE B)​

LƯU Ý PALO ALTO MẶC UNHJ SẼ CHẶN PING ĐẾN BẤT KỲ PORT NÀO, ĐỂ CÓ THỂ PING ĐẾN PORT WAN HÃY THAM KHẢO CẤU HÌNH DƯỚI:
- Vào Network Profiles -> Interface mgmt -> Add
- Ở đây bạn có thể chọn bất cứ dịch vụ nào mà bạn muốn ở, mình rảnh nên tick hết)
- Nhấn OK

Tiếp theo Vào Interfaces -> Chọn tới port nối ra WAN của FW -> Tab Advanced: Chọn profile vừa mới tạo ở mục Managenment Profiles -> Nhấn OK
Từ ngoài WAN ping lại thử vào port WAN của Palo Alto thì sẽ ping được (sau khi commit)

Cấu hình Tunnel Interface​

1. Vào Network > Interfaces > Tunnel, nhấn Add.
   
   • Interface Name: tunnel.1 (hoặc phân rã sub-interface tùy chọn)
   • Virtual Router: Chọn default
   • Security Zone: Bấm tạo mới một vùng riêng đặt tên là VPN-Zone
   • Các mục IPv4/IPv6 để trống. Nhấn OK.

​

Khởi tạo Network Profiles (Mã hóa)​

• Vào Network > Network Profiles > IKE Crypto, nhấn Add.
• Name: Sophos-IKE-P1
• DH Group: group14
• Encryption: aes-256-cbc
• Authentication: sha256
• Key Lifetime: Seconds | Nhập 28800. Nhấn OK.

Tạo IPsec Crypto Profile (Phase 2):

• Vào Network > Network Profiles > IPsec Crypto, nhấn Add.
• Name: Sophos-IPsec-P2
• IPsec Protocol: ESP
• Encryption: aes-256-cbc
• Authentication: Thêm lần lượt 3 thuật toán: sha512, sha384, sha256
• DH Group (PFS): group14
• Lifetime: Seconds | Nhập 3600. Nhấn OK.

Cấu hình IKE Gateway​

• Name: GW-to-Sophos
• Version: Chọn IKEv2 only
• Interface: Chọn cổng WAN đang gán IP 10.0.137.132
• Peer Address Type: IP
• Peer IP Address: Nhập IP WAN của Sophos 10.0.137.98
• Authentication: Pre-Shared Key | Nhập chuỗi đã đặt

Tab Advanced Options:

• IKE Crypto Profile: Chọn Sophos-IKE-P1
• Liveness Check: Tích chọn hoạt động.
• Interval (sec): Sửa thành 30 (khớp hoàn toàn với nhịp kiểm tra 30s của Sophos). Nhấn OK.

Tạo IPsec Tunnel & Khai báo Proxy ID​

1. Vào Network > IPsec Tunnels, nhấn Add.
   
   • Name: Tunnel-to-Sophos
   • Tunnel Interface: Chọn tunnel.1
   • IKE Gateway: Chọn GW-to-Sophos
   • IPsec Crypto Profile: Chọn Sophos-IPsec-P2

1. Tab Proxy IDs (Bắt buộc để tương thích với Policy-based của Sophos):
   
   • Nhấn Addvà nhập:
     
     • Proxy ID Name: LAN-Palo-Sophos
     • Local: 10.10.10.0/24 (LAN của Palo Alto)
     • Remote: 192.168.1.0/24 (LAN của Sophos)
2. Nhấn OK để lưu lại cấu hình Tunnel.

Cấu hình Tuyến đường tĩnh (Static Route)​

1. Vào Network > Virtual Routers, chọn router default.
   
   • Name: Route_to_Sophos_LAN
   • Destination: 192.168.1.0/24
   • Interface: Chọn tunnel.1
   • Next Hop: None
2. Nhấn OK.

Thiết lập Luật bảo mật (Security Policy)​

1. Rule chiều đi (LAN to VPN):
   
   • Source Zone: LAN| Destination Zone: VPN | Action: Allow
   • Source Zone: VPN| Destination Zone: LAN | Action: Allow

Thực thi lưu cấu hình (Commit)​

• Nhấn nút Commit ở góc trên cùng bên phải màn hình Palo Alto để đẩy toàn bộ cấu hình từ trạng thái nháp (Candidate Configuration) sang trạng thái thực thi (Running Configuration).

PHẦN IV: KIỂM TRA VÀ XÁC MINH TRẠNG THÁI​

1. Kích hoạt Tunnel: Đứng từ một máy trạm bất kỳ trong dải LAN 192.168.1.0/24 thực hiện lệnh ping liên tục tới một IP máy trạm hoạt động trong dải LAN 10.10.10.0/24 để kích hoạt quá trình đàm phán bắt tay.
2. Kiểm tra trên Sophos: Vào IPsec connections, kiểm tra biểu tượng kết nối đã chuyển hoàn toàn sang trạng thái kết nối màu xanh.
3. Kiểm tra trên Palo Alto: Vào Network > IPsec Tunnels, kiểm tra hai cột Status (IKE) và Tunnel (IPsec) đều hiển thị màu xanh lá cây (Up).