Sophos NGFW Cấu hình Object và Security Policy trên NGFW

Bài viết này chia sẻ chi tiết cách định nghĩa các đối tượng mạng (Object) và thiết lập chính sách bảo mật (Security Policy) cho 2 kịch bản thực tế phổ biến nhất trên mô hình Lab Sophos NGFW.

MỤC LỤC​

• 1. Thông số quy hoạch mạng (Lab Topology)
• 2. Cấu hình Object
  
  • 2.1. IP Host & IP Network Object
  • 2.2. MAC Host & Service Object
  • 2.3. IP Host Group (Chuẩn quản trị doanh nghiệp)
• 3. Triển khai Security Policy (Firewall Rules)
  
  • 3.1. Policy cho mạng LAN ra Internet (LAN -> WAN)
  • 3.2. Policy mở luồng cho Web Server (WAN -> DMZ)
• 4. Hai nguyên tắc kỹ thuật "sống còn" trên SFOS v18+

1. THÔNG SỐ QUY HOẠCH MẠNG (LAB TOPOLOGY)​

Thành phần	Interface / Zone	Địa chỉ IP / Subnet	Vai trò
Cổng WAN (PortB)	WAN	10.0.137.206 / 24	Cổng kết nối hướng ra Internet
Cổng DMZ (PortE)	DMZ	192.168.30.1 / 24	IP Private của Web Server nội bộ
Cổng LAN (LAG1)	LAN	192.168.10.1 / 24	Mạng nội bộ cho người dùng & quản trị

2. CẤU HÌNH OBJECT​

Thay vì gõ trực tiếp IP hay Port vào từng luật tường lửa, cách làm chuẩn trên NGFW là phải định nghĩa mọi thành phần thành Object. Mình chia thành 5 nhóm đối tượng trong mục Hosts and services:

2.1. IP Host & IP Network Object​

• IP Host (Cho Web Server DMZ):
  • Vào IP host > Add ➔ Name: Host_WinServer_DMZ | Type: IP | IP address: 192.168.30.10
• IP Network (Cho mạng LAN người dùng):
  • Vào IP host > Add ➔ Name: Net_LAN_Users | Type: Network | IP address: 192.168.10.0 | Subnet: /24

Làm tương tự cho các host cần thiết.

2.2. MAC Host & Service Object​

• MAC Host (Quản lý theo địa chỉ vật lý):
  • Mục đích: Dùng cho thiết bị cần cố định chính sách bảo mật dù bị đổi IP (máy in, thiết bị VIP).
  • Vào MAC host > Add ➔ Name: MAC_Admin_Laptop | MAC address: 00:11:22:AA:BB:CC

• Service Object (Định nghĩa Custom Port):
  • Mục đích: Khi Server không chạy HTTP/HTTPS mặc định mà dùng port riêng (ví dụ 8080, 8888).
  • Vào Services > Add ➔ Name: Service_Web_Custom | Type: TCP | Destination port: 8888

2.3. IP Host Group (Chuẩn quản trị doanh nghiệp)​

• Cách thực hiện: Hosts and services > IP host group > Add
• Cấu hình mẫu: Tạo Group LAN_Devices gom các Object đơn lẻ như: PC01, PC02, Printer, NAS...
• Ý nghĩa Best Practice: Sau này khi cấu hình Policy, chúng ta chỉ cần chọn đúng Group LAN_Devices. Khi có nhân sự mới hay thiết bị mới, chỉ cần add IP đó vào Group là toàn bộ các rule tường lửa tự động áp dụng mà không phải chạm vào Policy. Đây mới là cách triển khai thực tế của các doanh nghiệp.

3. TRIỂN KHAI SECURITY POLICY (FIREWALL RULES)​

Vào Rules and policies > Firewall rules > Add firewall rule > New firewall rule.
Ở Task 116 này, mình triển khai 2 chính sách bảo mật theo đúng chuẩn bảo vệ nhiều lớp của NGFW:

3.1. Policy cho mạng LAN ra Internet (LAN -> WAN)​

Luật này vừa cho phép người dùng nội bộ lướt web làm việc, vừa kích hoạt đầy đủ bộ khiên bảo mật thế hệ mới:

• Rule name: Allow_LAN_Users_To_Internet | Position: Bottom | Action: Accept
• Source:
  • Source Zone: LAN
  • Source Network: Net_LAN_Users (hoặc chọn Group LAN_Devices)
• Destination:
  • Destination Zone: WAN (Ghi rõ Zone để tránh nhầm lẫn)
  • Destination Network: Any
  • Service: Any

Security Profiles (Bộ khiên bảo mật NGFW chuẩn doanh nghiệp):

• ✔ IPS: LAN TO WAN (Chặn botnet, malware giao tiếp ra ngoài)
• ✔ Web Filter: Default Workplace Policy (Chặn web độc hại, cờ bạc, web đen)
• ✔ Application Filter: Block Torrent & P2P (Khoá các ứng dụng tốn băng thông)
• ✔ Malware Scan: Bật quét virus/mã độc theo thời gian thực cho luồng Web & Mail
• ✔ SSL/TLS Inspection: Giải mã và kiểm tra sâu luồng traffic mã hóa HTTPS
• ✔ Zero-day Protection: Phân tích hành vi file lạ trong môi trường Sandboxing

3.2. Policy mở luồng cho Web Server (WAN -> DMZ)​

Luật trọng tâm để mở cửa hợp lệ cho người dùng từ bên ngoài Internet truy cập vào Web Server:

Trường cấu hình	Giá trị thiết lập	Giải thích kỹ thuật
Rule status / Action	ON / Accept	Bật luật và cho phép gói tin đi qua
Rule name	Allow_Internet_To_WinServer	Tên policy rõ ràng, chuẩn định dạng
Rule position	Top (Trên cùng)	Bắt buộc: Đặt Top để ưu tiên kiểm tra trước các rule mặc định
Source zones / Networks	WAN / Any	Chấp nhận yêu cầu từ mọi IP trên Internet
Destination zones	DMZ	Zone chứa Web Server
Destination networks	Host_WinServer_DMZ	Gán Object IP Private 192.168.30.10 đã tạo ở Bước 1
Services	HTTP (80), HTTPS (443)	Best Practice: Tuyệt đối không dùng Service: Any. Chỉ mở đúng Port mà Server sử dụng. (Nếu chạy port 8080/8888 thì chọn Custom Service đã tạo)
IPS Policy	WAN TO LAN	Kích hoạt IPS bảo vệ máy chủ khỏi các cuộc tấn công khai thác
Log firewall traffic	Tích chọn ON	Bắt buộc ghi Log để theo dõi truy cập và debug trên Log Viewer

4. HAI NGUYÊN TẮC KỸ THUẬT "SỐNG CÒN" TRÊN SFOS v18+​

Trong quá trình làm task này trên Sophos SFOS v18+, có 2 nguyên tắc quan trọng mà anh em bắt buộc phải nắm vững:

1. Vị trí của luật quyết định tất cả (Rule Order - Top to Bottom):
   • Sophos kiểm tra bảng policy theo thứ tự từ trên xuống dưới. Gói tin khớp ở luật nào thì sẽ xử lý ngay tại đó và bỏ qua toàn bộ luật bên dưới.
   • Quy tắc bố trí: Các rule đặc thù, phạm vi hẹp (như cho phép vào Web Server) phải kéo lên Top. Các rule phạm vi rộng (như cho phép cả mạng LAN đi ra Internet) phải để xuống Bottom.
2. Cách chọn Destination Network khi làm luật từ WAN vào Server:
   • Vì cơ chế NAT từ bản v18 là độc lập, tường lửa sẽ thực hiện dịch địa chỉ IP đích (DNAT) TRƯỚC KHI đem gói tin đi kiểm tra Security Policy.
   • Do đó, trong mục Destination networks của rule Allow_Internet_To_WinServer, chúng ta bắt buộc phải chọn Object IP Private (192.168.30.10), tuyệt đối không chọn địa chỉ IP WAN Public của tường lửa.