Sophos NGFW Bài 3 _T2_[Lý thuyết]Tìm hiểu các chế độ hoạt động (Deployment Modes) NGFW Sophos

MỤC LỤC​

1. Tổng quan về Deployment Mode trên Sophos Firewall
2. Các chế độ triển khai chính của Sophos Firewall
3. Gateway Mode – Routed Mode
4. Bridge Mode – Transparent Mode
5. Discover Mode – TAP Mode
6. Mixed Deployment – triển khai kết hợp
7. So sánh các Deployment Mode
8. Lựa chọn Deployment Mode phù hợp
9. Một số mô hình triển khai thực tế
10. Mối quan hệ giữa Deployment Mode và các chức năng bảo mật
11. Một số lưu ý khi triển khai Sophos Firewall
12. Kết luận

---

1. Tổng quan về Deployment Mode trên Sophos Firewall​

Sophos Firewall là một nền tảng Next-Generation Firewall – NGFW có thể được triển khai ở nhiều vị trí và theo nhiều cách khác nhau trong hệ thống mạng. Tùy vào kiến trúc hiện tại, yêu cầu bảo mật và mức độ thay đổi mà doanh nghiệp có thể chấp nhận, Sophos Firewall có thể đóng vai trò Gateway của mạng, hoạt động trong suốt ở Layer 2 hoặc chỉ giám sát lưu lượng một cách thụ động.
Cách mà Firewall được đưa vào hệ thống được gọi là Deployment Mode – chế độ triển khai.
Deployment Mode quyết định nhiều yếu tố quan trọng, chẳng hạn:

• Sophos có tham gia định tuyến hay không;
• thiết bị có trở thành Default Gateway hay không;
• có phải thay đổi địa chỉ IP hiện tại hay không;
• Traffic có thực sự đi xuyên qua Sophos hay chỉ được sao chép để giám sát;
• Firewall có thể chủ động Allow/Drop Traffic hay không;
• mức độ áp dụng các Security Policy;
• mức độ ảnh hưởng đến kiến trúc mạng hiện có.

Theo tài liệu Sophos Firewall, ba lựa chọn triển khai chính là Gateway Mode, Bridge Mode và Discover Mode.
Có thể hình dung tổng quát:
Việc hiểu rõ sự khác nhau giữa ba chế độ là rất quan trọng trước khi triển khai Sophos Firewall trong hệ thống thực tế.

---

2. Các chế độ triển khai chính của Sophos Firewall​

Sophos Firewall hỗ trợ ba cách triển khai cơ bản:

Gateway Mode​

Sophos đóng vai trò Router/Default Gateway, trực tiếp định tuyến lưu lượng giữa các mạng.

Bridge Mode​

Sophos được đặt inline trên đường truyền nhưng hoạt động chủ yếu tại Layer 2. Thiết bị có thể kiểm tra và chặn Traffic mà không yêu cầu thay đổi đáng kể cấu trúc địa chỉ IP hiện có.

Discover Mode​

Sophos chỉ nhận bản sao của Traffic thông qua SPAN/Mirror Port. Thiết bị thực hiện giám sát nhưng không nằm trực tiếp trên đường truyền và không chủ động chặn Traffic.
Có thể tóm tắt:
Ba mô hình này khác nhau đáng kể về vai trò mạng cũng như khả năng kiểm soát lưu lượng.

---

3. Gateway Mode – Routed Mode​

3.1. Khái niệm​

Gateway Mode, còn được gọi là Routed Mode, là chế độ trong đó Sophos Firewall hoạt động tại Layer 3 và trực tiếp tham gia vào quá trình định tuyến.
Sophos trở thành Gateway giữa hai hoặc nhiều mạng.
Ví dụ:
Trong mô hình trên, các máy Client sử dụng Sophos Firewall làm Default Gateway.
Ví dụ:
Trong đó:
là địa chỉ LAN Interface của Sophos Firewall.
Theo tài liệu Sophos, khi triển khai Gateway Mode, Sophos Firewall hoạt động như Gateway của mạng, có thể sử dụng các chức năng bảo mật đồng thời thực hiện Routing cho Traffic.

---

3.2. Cách thức hoạt động​

Giả sử Client:
muốn truy cập:
Do địa chỉ đích nằm ngoài mạng:
Client gửi Packet đến Default Gateway:
Quá trình:
Sophos sẽ thực hiện nhiều nhiệm vụ:

• Stateful Inspection;
• Firewall Rule Matching;
• Routing;
• NAT;
• IPS;
• Application Control;
• Web Filtering;
• SSL/TLS Inspection;
• Malware Scanning;
• QoS;
• VPN;
• Logging.

Sau khi Traffic được cho phép, Sophos chuyển Packet đến Next Hop phù hợp.

---

3.3. Routing trong Gateway Mode​

Vì hoạt động ở Layer 3 nên Sophos Firewall duy trì Routing Table.
Sophos có thể sử dụng nhiều loại Route khác nhau như:
Ví dụ:
Nếu Client muốn truy cập Internet, Sophos sử dụng:
để chuyển Traffic đến ISP.

---

3.4. NAT trong Gateway Mode​

Gateway Mode cũng là mô hình mà Sophos thường thực hiện NAT.
Ví dụ Client:
truy cập Internet.
Sophos thực hiện Source NAT:
Trong đó:
là địa chỉ Public IP hoặc địa chỉ WAN của Firewall.
Ngược lại, nếu cần công bố một Server nội bộ ra Internet, Sophos có thể sử dụng DNAT:

---

3.5. Phân chia Security Zone​

Gateway Mode đặc biệt phù hợp với kiến trúc sử dụng nhiều Security Zone.
Ví dụ:
Sophos có thể áp dụng những Rule riêng cho từng hướng:
Nhờ vậy, khả năng kiểm soát và phân đoạn mạng tốt hơn.

---

3.6. Ưu điểm của Gateway Mode​

Gateway Mode cung cấp khả năng kiểm soát mạng đầy đủ nhất.
Sophos có thể đồng thời thực hiện:
Mô hình cũng thuận lợi cho việc chia VLAN, Zone, DMZ và kiểm soát Traffic giữa các Segment.
Ngoài ra, Sophos có thể thay thế Router hoặc Firewall Gateway cũ trong nhiều kiến trúc.

---

3.7. Hạn chế của Gateway Mode​

Nhược điểm chính là mức độ ảnh hưởng đến kiến trúc mạng lớn hơn Bridge Mode.
Khi triển khai có thể cần thay đổi:

• Default Gateway;
• IP Interface;
• Routing;
• NAT;
• VLAN;
• DHCP;
• Static Route;
• VPN;
• các Rule liên quan.

Nếu thay thế Firewall hiện tại:
cần chuyển các chức năng Routing, NAT và Security Policy sang Sophos một cách chính xác.

---

3.8. Khi nào nên sử dụng Gateway Mode?​

Gateway Mode phù hợp khi:

• triển khai hệ thống mạng mới;
• Sophos được sử dụng làm Firewall chính;
• cần thay thế Router/Firewall cũ;
• cần NAT;
• cần định tuyến giữa VLAN;
• cần triển khai VPN;
• cần kiểm soát Traffic giữa nhiều Security Zone;
• cần sử dụng đầy đủ chức năng của NGFW.

Đây thường là mô hình triển khai phổ biến nhất đối với Sophos Firewall trong doanh nghiệp.

---

4. Bridge Mode – Transparent Mode​

4.1. Khái niệm​

Bridge Mode là chế độ trong đó Sophos Firewall được triển khai dưới dạng Layer 2 Bridge.
Sophos được đặt trực tiếp trên đường truyền nhưng không nhất thiết đóng vai trò Default Gateway.
Ví dụ hệ thống ban đầu:
Sau khi triển khai Sophos:
Sophos nằm inline nên Traffic thực sự phải đi xuyên qua Firewall.
Tuy nhiên, Router hiện tại vẫn có thể giữ nguyên vai trò Gateway.
Theo Sophos, Bridge Mode cho phép đưa Firewall vào mạng và sử dụng các chức năng như DPI, IPS và Malware Scanning mà không cần thay đổi đáng kể cấu hình hoặc sơ đồ địa chỉ IP hiện tại.

---

4.2. Tại sao gọi là Transparent?​

Bridge Mode thường được gọi là Transparent Mode bởi Sophos có thể được chèn vào đường truyền mà các Endpoint không cần biết Firewall đang tồn tại giữa chúng.
Ví dụ trước khi triển khai:
Sau khi triển khai:
Client vẫn sử dụng:
Không cần đổi thành địa chỉ của Sophos.

---

4.3. Hoạt động tại Layer 2​

Trong Bridge Mode, Sophos chuyển tiếp Frame dựa trên thông tin Layer 2 và Bridge Forwarding Table.
Có thể hình dung:
Sophos có thể học MAC Address tương tự một Bridge/Switch.
Ví dụ:
Sau đó Frame được Forward đến Interface thích hợp.
Sophos hỗ trợ Bridge Interface trên cả Physical Interface và một số Virtual Interface như VLAN hoặc LAG; Bridge cũng có thể được tạo có hoặc không có IP Address.

---

4.4. Bridge Mode vẫn là Firewall​

Một nhầm lẫn thường gặp là:

“Bridge Mode chỉ giống Switch nên không áp dụng Firewall Rule.”

Nhấn để mở rộng...

Điều này không đúng.
Dù hoạt động ở Layer 2 về mặt Forwarding, Traffic đi qua Sophos vẫn có thể được kiểm soát bởi Security Policy.
Ví dụ:
Để Traffic giữa các Zone của Bridge được phép đi qua, cần có Firewall Rule thích hợp. Sophos cũng hỗ trợ STP trên Bridge Interface để hạn chế Bridge Loop và hỗ trợ lọc Traffic VLAN trên Bridge.

---

4.5. Ưu điểm của Bridge Mode​

Ưu điểm lớn nhất là không cần thay đổi đáng kể kiến trúc IP.
Ví dụ hệ thống đang chạy:
Khi thêm Sophos:
các thông tin trên về cơ bản có thể được giữ nguyên.
Điều này giúp triển khai Firewall mới với mức độ gián đoạn thấp hơn.
Bridge Mode cũng rất hữu ích khi doanh nghiệp muốn bổ sung:

• IPS;
• Application Control;
• Web Filtering;
• Malware Protection;
• DPI;

nhưng chưa muốn thay đổi Router hoặc Firewall hiện tại.

---

4.6. Hạn chế của Bridge Mode​

So với Gateway Mode, Sophos không phải trung tâm Routing của toàn bộ hệ thống.
Do đó, kiến trúc mạng vẫn phụ thuộc vào Router hoặc Layer 3 Device hiện tại.
Việc Troubleshooting cũng có thể phức tạp hơn vì cần xét cả:
Ngoài ra, nếu thiết kế Bridge sai hoặc tạo vòng lặp Layer 2, có thể gây Bridge Loop. Vì vậy cần hiểu rõ STP và topology mạng.

---

4.7. Khi nào nên sử dụng Bridge Mode?​

Bridge Mode phù hợp khi:

• không muốn thay đổi địa chỉ IP hiện tại;
• không muốn thay đổi Default Gateway;
• đã có Router hoặc Firewall khác làm Gateway;
• muốn chèn Sophos vào hệ thống hiện có;
• cần bổ sung khả năng IPS/DPI/Application Control;
• cần triển khai Firewall với mức thay đổi mạng tối thiểu.

Một tình huống điển hình:

---

5. Discover Mode – TAP Mode​

5.1. Khái niệm​

Discover Mode, còn được gọi là TAP Mode, là chế độ giám sát thụ động.
Khác với Gateway và Bridge Mode, Sophos không nằm trực tiếp trên đường đi của Traffic.
Thông thường, Switch được cấu hình:
để gửi bản sao Traffic tới Sophos.
Ví dụ:
Traffic thật:
Bản sao:
Theo tài liệu Sophos, Discover/TAP Mode cho phép Firewall giám sát Traffic mà không cần thay đổi sơ đồ mạng. Sophos yêu cầu một Interface chưa được bind và Switch có khả năng SPAN hoặc Port Mirroring để thực hiện kiểu triển khai này.

---

5.2. Đặc điểm quan trọng của Discover Mode​

Sophos chỉ nhận Traffic được Mirror.
Do đó:
Sophos không đứng trên đường truyền chính.
Điều đó có nghĩa:

Sophos có thể quan sát, nhưng không thể chủ động ngăn Packet đang đi qua mạng thông qua TAP Interface.

Nhấn để mở rộng...

Tài liệu Sophos nêu rõ Firewall không Drop hoặc Reject Traffic ở Discover Mode vì chế độ này được sử dụng cho Monitoring.

---

5.3. Mục đích của Discover Mode​

Discover Mode đặc biệt hữu ích khi muốn tìm hiểu tình trạng mạng trước khi triển khai Firewall inline.
Sophos có thể hỗ trợ quan sát:

• loại ứng dụng được sử dụng;
• lưu lượng mạng;
• người dùng;
• dịch vụ;
• hành vi sử dụng Internet;
• các nguy cơ hoặc hoạt động đáng chú ý.

Từ đó quản trị viên có thể xây dựng Security Policy trước khi chuyển sang Gateway hoặc Bridge Mode.

---

5.4. Security Policy trong Discover Mode​

Một điểm quan trọng là Traffic đi vào TAP Interface không thể được áp dụng Security Policy theo cách chủ động như Traffic inline.
Theo tài liệu Sophos, khi triển khai Firewall ở Discover Mode, Security Policy không thể áp dụng để kiểm soát Traffic trên TAP Interface; HTTPS cũng không được hỗ trợ để phân tích theo cách tương tự một triển khai inline.
Do đó:
Sophos có thể phát hiện hoặc báo cáo nhưng Packet thật đã tiếp tục đến Server.

---

5.5. Ưu điểm của Discover Mode​

Ưu điểm lớn nhất là gần như không ảnh hưởng đến hệ thống hiện tại.
Không cần:

• đổi Gateway;
• đổi địa chỉ IP;
• thay Routing;
• thay NAT;
• đặt Firewall inline.

Nếu Sophos gặp sự cố:
Traffic chính vẫn:
nên mạng không bị gián đoạn chỉ vì TAP Interface.

---

5.6. Hạn chế của Discover Mode​

Nhược điểm lớn nhất là không thể chủ động chặn lưu lượng trên TAP Interface.
Do đó Discover Mode không phù hợp để sử dụng như lớp Firewall bảo vệ chính.
Có thể hiểu đơn giản:

---

5.7. Khi nào nên sử dụng Discover Mode?​

Discover Mode phù hợp khi:

• đánh giá Sophos trước khi triển khai chính thức;
• thực hiện Security Audit;
• muốn biết ứng dụng nào đang hoạt động;
• muốn khảo sát Traffic;
• chưa được phép thay đổi hệ thống;
• muốn thử nghiệm mà không gây gián đoạn;
• muốn tạo Baseline trước khi xây dựng Security Policy.

---

6. Mixed Deployment – triển khai kết hợp​

Ngoài ba chế độ chính trên, trong thực tế Sophos có thể được triển khai theo mô hình kết hợp – Mixed Deployment.
Cần lưu ý rằng đây không nên được hiểu đơn giản là một “Deployment Mode thứ tư” ngang hàng hoàn toàn với Gateway, Bridge và Discover trong Setup Assistant.
Ý nghĩa của Mixed Deployment là Sophos có thể sử dụng các Interface với vai trò khác nhau trong cùng một hệ thống.
Ví dụ:
Một phần Traffic có thể được Routing, một phần đi qua Bridge Interface và một Interface khác được sử dụng làm TAP để giám sát.
Sophos xác nhận Discover Mode có thể được kết hợp với Gateway, Bridge và các triển khai hỗn hợp; tuy nhiên Security Policy không thể được áp dụng cho Traffic đi qua TAP Interface giống các Interface inline.

---

7. So sánh các Deployment Mode​

---

8. Lựa chọn Deployment Mode phù hợp​

Không có Deployment Mode nào tốt nhất cho mọi hệ thống. Chế độ phù hợp phụ thuộc vào mục tiêu triển khai.

Trường hợp 1: Xây dựng mạng mới​

Nên ưu tiên:
bởi Sophos có thể kiểm soát hoàn toàn Routing, NAT, Firewall và Security Policy.

---

Trường hợp 2: Thay thế Firewall cũ​

Nếu muốn Sophos trở thành Firewall chính:
Gateway Mode thường phù hợp nhất.

---

Trường hợp 3: Hệ thống đang hoạt động ổn định và không muốn thay đổi IP​

Có thể sử dụng:
Sophos được đưa vào giữa các thiết bị hiện tại.
Không cần thiết phải thay đổi Default Gateway của Client.

---

Trường hợp 4: Muốn thử Sophos trước​

Sử dụng:
Cấu hình Switch:
Sau khi khảo sát Traffic và xây dựng Policy, có thể chuyển sang Bridge hoặc Gateway Mode.

---

9. Một số mô hình triển khai thực tế​

9.1. Sophos làm Internet Gateway​

Đây là mô hình phổ biến:
Sophos đảm nhiệm:

---

9.2. Sophos nằm giữa Router và Core Switch​

Router vẫn làm Gateway.
Sophos tập trung vào Security Inspection.

---

9.3. Sophos dùng để khảo sát mạng​

Traffic không đi xuyên Sophos.
Sophos chỉ nhận bản sao Traffic để phân tích.

---

10. Mối quan hệ giữa Deployment Mode và các chức năng bảo mật​

Deployment Mode ảnh hưởng trực tiếp tới khả năng thực thi Security Policy.

Gateway Mode​

Traffic thực sự đi xuyên Sophos:
Khả năng kiểm soát đầy đủ.

---

Bridge Mode​

Traffic cũng đi xuyên Sophos:
Do đó vẫn có khả năng chủ động ngăn chặn mối đe dọa.
Sophos cho biết Bridge Mode vẫn cho phép sử dụng các công nghệ như Deep Packet Inspection, IPS, Malware Scanning và các tính năng bảo mật khác dù không thay đổi sơ đồ địa chỉ mạng.

---

Discover Mode​

Traffic thật không đi xuyên Firewall:
Vì vậy Sophos không thể Drop Packet gốc trên TAP Interface.

---

11. Một số lưu ý khi triển khai Sophos Firewall​

11.1. Không nhầm Bridge Mode với Discover Mode​

Hai chế độ đều có thể triển khai mà không cần thay đổi lớn hệ thống, nhưng bản chất hoàn toàn khác nhau.

Bridge Mode​

Sophos nằm inline.
Traffic bắt buộc đi qua Sophos.
Có thể:

Discover Mode​

Sophos không inline.
Chỉ có thể quan sát TAP Traffic.

---

11.2. Không nhầm Gateway Mode với Router thông thường​

Sophos trong Gateway Mode có thể Routing giống Router nhưng không chỉ là Router.
Một Router thông thường chủ yếu:
Sophos NGFW:
Do đó Sophos vừa thực hiện Network Function vừa thực hiện Security Function.

---

11.3. Bridge Mode vẫn cần Firewall Rule​

Việc hai Interface nằm trong Bridge không đồng nghĩa mọi Traffic được tự động cho phép.
Sophos yêu cầu các Firewall Rule phù hợp để cho phép lưu lượng giữa những Zone liên quan đến Bridge.
Ví dụ:
có thể cần Rule:
tùy thiết kế cụ thể.

---

11.4. Cần chú ý STP khi sử dụng Bridge​

Bridge hoạt động ở Layer 2 nên có nguy cơ xảy ra Loop nếu hệ thống tồn tại nhiều đường kết nối dự phòng.
Ví dụ:
Nếu thiết kế không đúng, Ethernet Frame có thể lưu thông vòng lặp.
Sophos Bridge Interface hỗ trợ Spanning Tree Protocol – STP nhằm hạn chế Bridge Loop trong những mô hình phù hợp.

---

11.5. High Availability và Deployment Mode​

Sophos hỗ trợ High Availability trong Gateway và Bridge Mode. Sophos cũng hỗ trợ Active-Passive HA cho trường hợp liên quan đến Discover/TAP Mode với một số yêu cầu riêng; nếu có Interface Discover Mode, Active-Active HA không được hỗ trợ theo tài liệu hiện tại.
Vì vậy trong môi trường doanh nghiệp, Deployment Mode cần được lựa chọn cùng với thiết kế HA ngay từ đầu.

---

11.6. Cách ghi nhớ ba Deployment Mode​

Có thể ghi nhớ đơn giản:
Hoặc theo câu hỏi:

Sophos có Routing không?​

Sophos không Routing nhưng Traffic bắt buộc đi xuyên Firewall?​

Sophos chỉ nhận bản sao Traffic?​

---

12. Kết luận​

Deployment Mode là một trong những yếu tố quan trọng đầu tiên cần xác định khi triển khai Sophos Next-Generation Firewall. Việc lựa chọn đúng chế độ hoạt động ảnh hưởng trực tiếp đến kiến trúc mạng, khả năng định tuyến, NAT, mức độ kiểm soát Traffic cũng như khả năng áp dụng các chính sách bảo mật của hệ thống.
Sophos Firewall cung cấp ba mô hình triển khai chính gồm Gateway Mode, Bridge Mode và Discover Mode. Trong đó, Gateway Mode cho phép Sophos hoạt động như một thiết bị Layer 3 và trở thành Gateway của mạng; Bridge Mode cho phép Firewall hoạt động inline ở Layer 2 mà không yêu cầu thay đổi đáng kể kiến trúc IP; còn Discover Mode sử dụng TAP hoặc SPAN/Mirror Port để giám sát Traffic một cách thụ động mà không trực tiếp can thiệp vào luồng dữ liệu.
Gateway Mode phù hợp nhất khi Sophos được triển khai làm Firewall chính của hệ thống. Trong chế độ này, Sophos có thể đảm nhiệm Routing, NAT, VPN, phân chia Security Zone và áp dụng đầy đủ các chức năng NGFW như IPS, Application Control, Web Filtering, Malware Protection và SSL/TLS Inspection.
Bridge Mode phù hợp với các hệ thống mạng đã hoạt động ổn định và doanh nghiệp không muốn thay đổi Default Gateway hoặc sơ đồ địa chỉ IP. Sophos được đặt trực tiếp trên đường truyền dưới dạng Layer 2 Bridge nhưng vẫn có khả năng kiểm tra và chủ động Allow hoặc Drop Traffic. Đây là lựa chọn phù hợp khi cần bổ sung một lớp bảo mật vào hệ thống hiện tại với mức thay đổi kiến trúc thấp.
Discover Mode phù hợp cho việc khảo sát, đánh giá và giám sát hệ thống trước khi triển khai Firewall chính thức. Sophos nhận bản sao Traffic từ SPAN hoặc Mirror Port nên không nằm trên đường truyền thực tế. Vì vậy chế độ này có ưu điểm là hầu như không ảnh hưởng đến hệ thống hiện tại, nhưng không thể chủ động ngăn chặn Traffic trên TAP Interface.
Ngoài ra, Sophos cho phép xây dựng những kiến trúc Mixed Deployment, trong đó các Interface có thể đảm nhận những vai trò khác nhau, chẳng hạn một phần mạng được Routing, một phần sử dụng Bridge và một Interface khác hoạt động ở Discover Mode. Điều này giúp Sophos Firewall có khả năng thích nghi với nhiều hệ thống mạng phức tạp.
Có thể tóm tắt toàn bộ nội dung bằng mô hình:
Như vậy, nếu mục tiêu là kiểm soát toàn diện và sử dụng Sophos làm Firewall chính, Gateway Mode thường là lựa chọn phù hợp. Nếu muốn bổ sung bảo mật mà hạn chế thay đổi kiến trúc mạng, Bridge Mode là giải pháp thích hợp. Còn nếu chỉ muốn khảo sát và đánh giá Traffic trước khi triển khai chính thức, Discover Mode là lựa chọn an toàn và ít gây ảnh hưởng nhất.
Việc nắm vững ba Deployment Mode này là nền tảng quan trọng trước khi đi sâu vào cấu hình Interface, Zone, Routing, NAT, Firewall Rule, IPS, Web Filtering, Application Control và các chức năng nâng cao khác trên Sophos NGFW.