Sophos NGFW Cấu hình dự phòng NGFW theo cơ chế: Active/Passive, Active/Active

Trong các hệ thống mạng doanh nghiệp, tường lửa (Firewall) là điểm kiểm soát lưu lượng trọng yếu. Để tránh nguy cơ "điểm chết đơn lẻ" (Single Point of Failure), việc triển khai cụm dự phòng High Availability (HA) là bắt buộc.
Bài viết này sẽ hướng dẫn chi tiết cách thiết lập HA trên Sophos NGFW (SFOS) cho cả 2 cơ chế: Active-Passive (Chủ - Dự phòng) và Active-Active (Tải cân bằng) sử dụng tính năng QuickHA mode siêu nhanh.

MỤC LỤC​

• Tổng quan & Nguyên tắc triển khai HA
  • 2.1. Thiết lập trên Thiết bị Phụ (Auxiliary Node)
  • 2.2. Kích hoạt trên Thiết bị Chính (Primary Node)
• Cấu hình HA chế độ Active - Active
• Kiểm tra trạng tháI HA
• So sánh Active-Passive vs Active-Active

1. TỔNG QUAN & NGUYÊN TẮC TRIỂN KHAI HA​

Tính năng QuickHA mode trên Sophos cho phép tự động hóa quá trình cấp IP nhịp tim (Heartbeat link: 169.254.192.x/20) và tự đồng bộ các tham số giám sát lỗi, giúp giảm thiểu tối đa sai sót khi cấu hình thủ công.

NGUYÊN TẮC TRONG SOPHOS HA:

• Cắm cáp đối xứng 100%: Hai tường lửa phải có số lượng cổng vật lý và cách đấu nối mạng (LAN/WAN/DMZ) hoàn toàn giống nhau.
• Cổng Heartbeat (HA Link): Dành riêng 1 cổng (ví dụ PortD) nối trực tiếp giữa 2 Firewall để đồng bộ nhịp tim và session.
• Thứ tự cấu hình: Luôn cấu hình trên Thiết bị Phụ (Auxiliary) trước, sau đó mới kích hoạt trên Thiết bị Chính (Primary).

Nhấn để mở rộng...

2. CẤU HÌNH HA CHẾ ĐỘ ACTIVE - PASSIVE​

Ở chế độ này, Node 1 (Primary) xử lý toàn bộ lưu lượng mạng. Node 2 (Auxiliary) ở trạng thái chờ sẵn (Standby) và tự động tiếp quản khi Node 1 gặp sự cố.

2.1. Thiết lập trên Thiết bị Phụ (Auxiliary Node - FW-02)​

Truy cập Web Admin của thiết bị Phụ ➔ Vào menu System services > High availability và thiết lập:

• Initial device role: Chọn Auxiliary
• HA configuration mode: Chọn QuickHA mode
• Passphrase: Đặt mật khẩu cụm HA (Ví dụ: SophosHA@2026)
• Dedicated HA link: Chọn cổng kết nối nhịp tim (PortD)

Bấm Initiate HA ➔ Chọn OK ở bảng cảnh báo để thiết bị chuyển sang trạng thái chờ kết nối (Waiting for primary...).

2.2. Kích hoạt trên Thiết bị Chính (Primary Node - FW-01)​

Truy cập Web Admin của thiết bị Chính ➔ Vào menu System services > High availability và cấu hình tương ứng:

• Initial device role: Chọn Primary (active-passive)
• HA configuration mode: Chọn QuickHA mode
• Passphrase: Nhập lại khớp 100% mật khẩu đã tạo ở thiết bị Phụ (SophosHA@2026)
• Dedicated HA link: Chọn đúng cổng nhịp tim (PortD)

Bấm Initiate HA ➔ Chọn OK. Hai thiết bị sẽ bắt đầu đồng bộ cấu hình, license và dữ liệu phiên làm việc (mất khoảng 2–3 phút).

3. CẤU HÌNH HA CHẾ ĐỘ ACTIVE - ACTIVE​

Ở chế độ Active-Active, cả 2 tường lửa đều ở trạng thái hoạt động và cùng tham gia xử lý, cân bằng tải lưu lượng mạng (Load Balancing).

• Nếu cấu hình mới từ đầu: Tại bước 2.2, ở mục Initial device role, bạn chỉ cần thay đổi lựa chọn thành Primary (active-active).
• Nếu đang chạy Active-Passive muốn chuyển sang Active-Active:
  1. Bấm nút Disable HA trên thiết bị Chính để tách cụm.
  2. Thiết lập lại chế độ Auxiliary trên Thiết bị Phụ.
  3. Trên Thiết bị Chính, chọn role là Primary (active-active) và bấm Initiate HA.

4. KIỂM TRA TRẠNG THÁI HA​

Sau khi quá trình đồng bộ hoàn tất (khoảng 2–3 phút), tải lại trang Web Admin của Thiết bị Chính. Bạn có thể xác nhận cấu hình thành công qua các dấu hiệu sau:

• Biểu tượng HA ở góc trên cùng bên phải màn hình chuyển sang màu xanh lá cây.
• Tại menu System services > High availability status, hệ thống hiển thị chi tiết:
  • HA Status: Connected (Active-Passive) hoặc Connected (Active-Active).
  • Node 1 (Local): Role Primary - Status Active.
  • Node 2 (Peer): Role Auxiliary - Status Passive (hoặc Active nếu chạy chế độ A/A).

5. SO SÁNH ACTIVE-PASSIVE VS ACTIVE-ACTIVE​