Sophos NGFW Tìm hiểu các mode hoạt động của NGFW Sophos

Khi triển khai Sophos NGFW (chạy hệ điều hành SFOS), việc lựa chọn chế độ hoạt động (Deployment/Operating Modes) quyết định cách thiết bị tham gia vào cấu trúc hạ tầng mạng hiện tại. Tường lửa Sophos hỗ trợ 4 chế độ hoạt động cốt lõi dưới đây để tối ưu hóa theo từng nhu cầu cụ thể.

1. Gateway Mode (Chế độ định tuyến / Routed Mode)​

Đây là chế độ triển khai mặc định và phổ biến nhất của Sophos Firewall. Trong chế độ này, thiết bị hoạt động như một Router Layer 3 chịu trách nhiệm bảo mật ở biên (Edge).

• Cách hoạt động: Thiết bị sở hữu các cổng (Interfaces) nằm ở các lớp mạng (Subnets) khác nhau. Tường lửa đứng làm Default Gateway cho toàn bộ mạng nội bộ (LAN).
• Tính năng xử lý: Thực hiện định tuyến, cấu hình NAT (Source NAT để ra Internet, Destination NAT để publish server), quản lý DHCP Server, cân bằng tải WAN (Link Aggregation/Failover) và thiết lập các kết nối VPN (Site-to-Site, Remote Access).

2. Bridge Mode (Chế độ trong suốt / Transparent Mode)​

Chế độ này được sử dụng khi doanh nghiệp muốn đưa Sophos Firewall vào hệ thống để kiểm tra bảo mật sâu nhưng không muốn thay đổi cấu trúc IP hoặc sơ đồ định tuyến sẵn có.

• Cách hoạt động: Sophos sẽ gộp hai hoặc nhiều cổng vật lý lại với nhau để tạo thành một Bridge Interface (Layer 2). Thiết bị lúc này hoạt động như một switch thông minh (Invisible Pass-through) nằm xen giữa Router biên và Switch core.
• Tính năng xử lý: Mặc dù hoạt động ở Layer 2, Sophos vẫn có thể thực hiện kiểm tra sâu dữ liệu (DPI Engine), quét virus, lọc Web/Application và ngăn chặn xâm nhập (IPS). Tuy nhiên, nó sẽ không làm nhiệm vụ định tuyến hoặc NAT cơ bản.

3. Mixed Mode (Chế độ hỗn hợp)​

Mixed Mode không phải là một tùy chọn bật tắt riêng biệt khi cài đặt ban đầu, mà là khả năng linh hoạt kết hợp cả hai chế độ Gateway và Bridge trên cùng một thiết bị phần cứng.

• Cách hoạt động: Bạn có thể cấu hình cổng PortA và PortB chạy Bridge Layer 2 (ví dụ: dùng riêng để lọc traffic cho một cụm máy chủ Web/FTP ở vùng DMZ), trong khi các cổng PortC và PortD vẫn hoạt động độc lập ở Layer 3 để làm Gateway định tuyến cho vùng LAN ra Internet.
• Ứng dụng: Rất hữu ích khi doanh nghiệp muốn tận dụng các tính năng bảo mật nâng cao cho một phân vùng dữ liệu nhạy cảm mà không làm gián đoạn cấu hình mạng tổng thể.

4. Discover Mode (Chế độ giám sát / TAP Mode)​

Đây là chế độ cấu hình thụ động (Passive Mode), thường dùng trong các đợt đánh giá bảo mật (Security Audit) hoặc chạy thử nghiệm sản phẩm (Proof of Concept - PoC) nhằm hạn chế tối đa rủi ro gây gián đoạn mạng.

• Cách hoạt động: Một cổng trên Sophos Firewall được cấu hình ở chế độ TAP. Cổng này sẽ kết nối trực tiếp vào một Mirror Port (SPAN Port) trên Switch core của hệ thống để nhận một bản sao (Clone) của toàn bộ traffic đi qua switch.
• Tính năng xử lý: Thiết bị chỉ lắng nghe, phân tích dữ liệu để phát hiện mã độc, log ứng dụng độc hại, các cuộc tấn công và xuất báo cáo kiểm toán an ninh (Security Audit Report - SAR). Vì hoạt động theo cơ chế nhận bản sao, Sophos ở chế độ này không thể can thiệp hoặc chặn (Drop/Block) các gói tin độc hại theo thời gian thực mà chỉ dừng lại ở mức cảnh báo.

Bảng so sánh nhanh các chế độ hoạt động​

Tiêu chí	Gateway Mode	Bridge Mode	Discover Mode (TAP)
Vị trí Layer	Layer 3 (Network)	Layer 2 (Data Link)	Passive (Chỉ nhận bản sao)
Thay đổi IP mạng	Có (Cần quy hoạch IP/Gateway)	Không thay đổi	Không thay đổi
Khả năng NAT & Routing	Toàn diện (SNAT, DNAT, SD-WAN)	Không hỗ trợ	Không hỗ trợ
Khả năng ngăn chặn (Block)	Hoàn toàn chủ động	Hoàn toàn chủ động	Không (Chỉ giám sát/Cảnh báo)
Mục đích sử dụng chính	Bảo mật biên toàn diện cho hệ thống	Thêm lớp bảo mật sâu không đổi hạ tầng	Đánh giá an ninh mạng / Chạy thử PoC