Sophos NGFW Tìm hiểu về cách xử lý gói tín của của NGFW Sophos

MỤC LỤC
I. Tổng quan về kiến trúc luồng dữ liệu
II. Sơ đồ luồng xử lý gói tin
III. Phân tích quy trình 4 giai đoạn

• Giai đoạn 1: Tiếp nhận và kiểm tra sơ bộ (Ingress)
• Giai đoạn 2: Quyết định phân luồng (Offload Decision)
• Giai đoạn 3: Kiểm tra bảo mật chuyên sâu (DPI Engine)
• Giai đoạn 4: Xử lý định tuyến đầu ra (Egress)​

IV. Bảng so sánh thành phần kiến trúc
V. Kết luận


I. Tổng quan về kiến trúc luồng dữ liệu
Quá trình xử lý gói tin (Packet Flow) đóng vai trò cốt lõi trong việc duy trì hiệu suất và tính toàn vẹn của một hệ thống Next-Generation Firewall (NGFW). Trên các dòng thiết bị Sophos XG/XGS, quá trình này được vận hành dựa trên kiến trúc Xstream.

Mục tiêu của kiến trúc Xstream là phân tách các tác vụ xử lý: sử dụng vi xử lý trung tâm (x86 CPU - SlowPath) cho các tác vụ phân tích logic phức tạp và sử dụng chip xử lý mạng chuyên dụng (NPU - FastPath) để tăng tốc độ chuyển tiếp dữ liệu, từ đó tối ưu hóa thông lượng (throughput) cho toàn bộ hạ tầng bảo mật.

II. Sơ đồ luồng xử lý gói tin
Sơ đồ dưới đây mô tả chi tiết đường đi của dữ liệu qua các khối xử lý phần cứng và phần mềm bên trong thiết bị.


1. Giai đoạn 1: Tiếp nhận và kiểm tra sơ bộ (Ingress)
Khi gói tin đi vào giao diện mạng (Interface IN), nó được chuyển đến khối x86 SlowPath để thực thi các giao thức kiểm tra Lớp mạng (Network Layer):

• Kiểm tra tính hợp lệ (DoS/Spoof Check): Hệ thống tiến hành rà soát các gói tin sai định dạng và ngăn chặn các nỗ lực tấn công từ chối dịch vụ.
• Đối chiếu Firewall Rule & Định tuyến (Routing): Thiết bị tra cứu bảng định tuyến để xác định phân vùng (Zone) đích. Gói tin được đối chiếu với các quy tắc tường lửa (Lớp 4: IP nguồn/đích, Port). Các gói tin vi phạm quy tắc sẽ bị loại bỏ (Drop) ngay lập tức để giải phóng tài nguyên.
• Thực thi DNAT: Áp dụng chính sách Destination NAT để biên dịch địa chỉ IP đích nếu được yêu cầu.

2. Giai đoạn 2: Quyết định phân luồng (Offload Decision)
Đối với mọi phiên kết nối (session), gói tin đầu tiên (First Packet) bắt buộc phải được xử lý tại vi xử lý trung tâm (CPU) để định danh giao thức và ứng dụng. Từ các gói tin tiếp theo, hệ thống sẽ thực hiện phân luồng:

• Chuyển tiếp FastPath (Offload): Nếu luồng dữ liệu được xác định là an toàn (Trusted Traffic), các luồng truyền thông thời gian thực (VoIP, Video Streaming), hoặc dữ liệu VPN đã mã hóa, hệ thống sẽ chuyển giao tác vụ xử lý xuống phần cứng NPU.
• Duy trì SlowPath: Nếu lưu lượng thuộc dạng cần giám sát (HTTP/HTTPS chưa rõ nguồn gốc, tải tệp tin), luồng dữ liệu sẽ được giữ lại để tiếp tục chuyển sang Giai đoạn 3.

3. Giai đoạn 3: Kiểm tra bảo mật chuyên sâu (DPI Engine)
Các gói tin không đủ điều kiện Offload sẽ được đưa vào khối Deep Packet Inspection (DPI). Tại đây, CPU thực thi các tác vụ tính toán chuyên sâu:

• Giải mã SSL/TLS: Thực hiện Decryption đối với các luồng dữ liệu mã hóa để phục vụ việc kiểm tra nội dung.
• Kiểm tra an ninh đồng thời (Single-pass Scanning): Dữ liệu được đưa qua bộ quét mã độc (Antivirus/Sandstorm), hệ thống phát hiện xâm nhập (IPS), bộ lọc Web (Web Filtering) và module nhận dạng ứng dụng (App Control).
• Nếu phát hiện dấu hiệu vi phạm bảo mật, luồng kết nối sẽ bị ngắt và ghi nhận vào hệ thống Log. Nếu dữ liệu an toàn, chúng được đóng gói và mã hóa lại (Encryption).

4. Giai đoạn 4: Xử lý định tuyến đầu ra (Egress)
Tại điểm xuất dữ liệu, các gói tin từ cả hai luồng xử lý (FastPath và SlowPath) đều được hội tụ để thực hiện các giao thức cuối cùng:

• Áp dụng SNAT (Source NAT) trước khi dữ liệu được chuyển tiếp ra môi trường mạng diện rộng (Internet).
• Thực thi các chính sách QoS (Quality of Service) / Traffic Shaping nhằm quản lý băng thông.
• Thiết lập lại địa chỉ Lớp 2 (MAC Address) và xuất gói tin qua cổng giao tiếp đầu ra (Interface OUT).

IV. Bảng so sánh thành phần kiến trúc
Nhằm làm rõ cơ chế hoạt động, bảng dưới đây so sánh hai con đường xử lý cốt lõi trên thiết bị Sophos:

Tiêu chí	Khối kiểm tra bảo mật (x86 SlowPath)	Khối tăng tốc phần cứng (Xstream FastPath)
Vi xử lý đảm nhiệm	x86 CPU (Vi xử lý trung tâm).	NPU (Network Processing Unit).
Chức năng cốt lõi	Phân tích logic, rà quét an ninh Lớp 7.	Chuyển tiếp gói tin, giảm tải cho CPU.
Độ trễ (Latency)	Đáng kể (Do yêu cầu bóc tách và giải mã).	Cực thấp (Xử lý ở tốc độ dây - Wire speed).
Cơ chế rà quét (DPI)	Có (Bao gồm IPS, AV, Web/App Control).	Không (Giới hạn ở Forwarding, Routing, NAT).
Phân loại Traffic	HTTP/HTTPS chưa xác định, truy vấn dữ liệu.	Video Streaming, VoIP, IPsec VPN Traffic.

V. Kết luận
Việc làm chủ sơ đồ luồng xử lý gói tin (Packet Flow) là yêu cầu kỹ thuật bắt buộc để chẩn đoán chính xác các sự cố mạng phức tạp, đồng thời xác định đúng vị trí cần thực hiện bắt gói tin (Packet Capture). Hơn nữa, hiểu rõ cơ chế phân luồng phần cứng giúp kỹ sư cấu hình các bộ quy tắc (Rules) một cách tối ưu, đẩy mạnh việc Offload dữ liệu an toàn xuống bộ xử lý NPU, qua đó duy trì hiệu năng và độ ổn định của toàn bộ hệ thống hạ tầng mạng.