Check Point NGFW Dựng mô hình triển khai cơ bản với Firewall CheckPoint trên pnetlab

Chào anh em, bài viết này mình đúc kết lại toàn bộ quy trình cấu hình thực tế cho mô hình mạng doanh nghiệp trên EVE-NG/PNETLab. Bài lab bao gồm thiết lập quản trị tập trung, định tuyến OSPF và bảo mật (NAT, Policy). Bắt đầu thôi!

1. Khởi tạo & Quản trị tập trung (Management)​

Kiến trúc của Check Point chia làm 2 phần rõ rệt: Security Management Server (SMS - Trạm điều khiển) và Security Gateway (SGW - Tường lửa thực thi).

Đầu tiên, mình phải khai báo để con SMS quản lý và đẩy cấu hình xuống con SGW.

• Truy cập SmartConsole (kết nối vào IP của SMS).
• Tại tab Gateways & Servers, tiến hành Add con SGW vào hệ thống và thiết lập liên kết (SIC).

2. Khai báo cổng (Interfaces) trên Tường lửa​

Để Firewall hiểu được sơ đồ mạng, ta cần đặt IP cho các cổng vật lý và sub-interface (chia VLAN).

• Truy cập giao diện Web Gaia Portal của SGW.
• Vào Network Management > Network Interfaces.
• Khai báo IP cho cổng WAN, DMZ (eth3) và các cổng LAN/Trunking (bond1.10, bond1.20, bond1.30).

3. Bật SW Layer 3 & Bật OSPF trên Core Switch​

Switch mô phỏng mặc định chỉ chạy Layer 2. Ta cần tạo Gateway cho mạng nội bộ và bật định tuyến OSPF để nó "bắt tay" với Firewall.
Switch_Users# configure terminal
Switch_Users(config)# ip routing

! Tạo Gateway cho các VLAN (Làm tương tự cho VLAN 20, 30)
Switch_Users(config)# interface vlan 10
Switch_Users(config-if)# ip address 10.10.10.254 255.255.255.0
Switch_Users(config-if)# no shutdown

! Bật OSPF và quảng bá các dải mạng LAN
Switch_Users(config)# router ospf 1
Switch_Users(config-router)# router-id 10.10.30.254
Switch_Users(config-router)# network 10.10.10.0 0.0.0.255 area 0
Switch_Users(config-router)# network 10.10.20.0 0.0.0.255 area 0
Switch_Users(config-router)# network 10.10.30.0 0.0.0.255 area 0

4. Bật OSPF trên Tường lửa & Kiểm tra​

• Trên Gaia Portal > Advanced Routing > OSPF > Tick Enable OSPF.
• Trong mục Interfaces, nhấn Add các cổng nối xuống Switch và cổng DMZ vào Area Backbone.

Về lại màn hình Console của Cisco Switch kiểm tra, nếu nảy log FULL là thành công!

5. Thiết lập Security Policy (SmartConsole)​

Luồng IP đã thông, giờ cần tạo luật cho phép trafic đi qua Firewall. Nguyên tắc của Firewall là đọc luật từ trên xuống dưới (Top-Down), đụng luật nào xử lý luật đó. Dưới đây là 8 rules chuẩn Best Practice cho doanh nghiệp:

1. Allow_OSPF: Mở đường cho IP Multicast (224.0.0.5 & .6). Bắt buộc nằm trên cùng để OSPF không bị firewall lỡ tay drop.
2. Allow_Inbound_To_DMZ: Cho phép khách hàng từ ngoài Internet (Any) truy cập vào Web Server.
3. Admin_Management: Chỉ cấp quyền cho IP của vùng Admin (VLAN 30) được phép vào giao diện cấu hình của SMS và SGW.
4. Allow_Internal_Ping: Mở ICMP để các máy trong mạng LAN ping test nhau dễ dàng (rất cần khi làm lab).
5. Stealth_Rule: Luật tự vệ. Chặn đứng (Drop) mọi hành vi từ các vùng khác cố tình dò quét trực tiếp vào bản thân con Firewall.
6. LAN_to_DMZ: Cho phép nhân viên nội bộ (VLAN 10, 20) truy cập sử dụng Web Server vùng DMZ.
7. LAN_to_Internet: Luật rộng nhất, mở luồng cho toàn bộ mạng LAN đi ra Internet (chuẩn bị cho bước NAT phía sau).
8. Cleanup_rule: Luật chốt chặn dưới cùng. Bất kỳ traffic nào "lạ" không nằm trong 7 luật trên sẽ bị ném thẳng vào thùng rác (Drop).

6. Cấu hình NAT​

Chuyển sang tab NAT Rules để xử lý gói tin (tận dụng tính năng Auto-NAT của Check Point cho lẹ):

• Manual NAT (Luật 1 - Port Forwarding): Khách từ ngoài truy cập HTTP vào IP WAN của Firewall sẽ được bẻ lái thẳng vào Host_Mail_Server nằm trong DMZ.
• Static NAT (Luật 2 & 3 - Chữ S đỏ): Dịch IP tĩnh 1-to-1 cho Server. Luồng đi ra hay đi vào đều qua đúng một IP Public cố định.
• Hide NAT (Luật 4 đến 11 - Chữ H đỏ): Gom tất cả IP Private của mạng LAN (VLAN 10, 20, 30) ẩn sau lưng cổng WAN của Firewall. Các máy nội bộ được khoác áo IP Public để đi ra Internet.

7. Chốt chặn Default Route & Nghiệm thu​

Đẩy nốt lệnh này trên Switch để nó quăng mọi traffic đi Internet lên cho Firewall xử lý:

Switch_Users(config)# ip route 0.0.0.0 0.0.0.0 10.10.30.1
Switch_Users# write memory

Test End-to-End: Mở PC ở VLAN nội bộ, ping thẳng ra 8.8.8.8.



Hệ thống hoạt động hoàn hảo: PC ➔ Switch L3 ➔ (Tra Default Route) ➔ Firewall ➔ (Kiểm tra Policy + Bọc Hide NAT) ➔ Internet ➔ Trả về.

Chúc anh em làm lab vui vẻ và tích lũy được nhiều kinh nghiệm thực chiến!