Bài viết kỹ thuật

Hướng Dẫn VPN Site-to-Site Sophos Firewall Và pfSense

31/05/2025 21:36 789 lần Chuyên mục: Bài viết kỹ thuật

Trong môi trường doanh nghiệp có nhiều chi nhánh sử dụng các thiết bị firewall khác nhau, việc thiết lập kết nối VPN Site-to-Site giúp truyền dữ liệu an toàn và liền mạch giữa các mạng nội bộ. Bài viết này sẽ hướng dẫn bạn cấu hình kết nối VPN Site-to-Site Sophos Firewall Và pfSense bằng IPSec VPN with Pre-Shared Key.

SFOS: v21.0

1. Sơ Đồ Mạng Mẫu

Site A (Sophos Firewall):
- WAN: 203.0.113.1
- LAN: 192.168.10.0/24
Site B (pfSense):
- WAN: 198.51.100.1
- LAN: 192.168.20.0/24

1.Mo_hinh_mau

2. Cấu Hình Trên Sophos Firewall

Bước 1: Tạo IPSec profile

Vào menu Profiles > IPSec profile
Nhấn Add và nhập các thông số:
- Name: PFSense_IKEv2
- Key exchange: IKEv2
- Phase 1:
  - DH group (key group): 14 (DH2048)
  - Encryption: AES128
  - Authentication: SHA2 256
- Phase 2:
  - PFS group (DH group): Same as phase-1
  - Encryption: AES256
  - Authentication: SHA2 256
Nhấn Save để lưu.

2.IPSec_Profile

Bước 2: Tạo kết nối IPSec

Vào menu Site-to-site VPN > IPSec
Nhấn Add và nhập các thông số:
- Name: To_PFSense
- Connection type: Site-to-site
- Tick chọn Activate on save và Create firewall rule
- Profile: Chọn PFSense_IKEv2
- Authentication type: Preshared key
- Preshared key: Nhập khóa dùng chung (ví dụ: dassvpn2025)
- Local Gateway: WAN IP của Sophos (203.0.113.1)
- Remote Gateway: WAN IP pfSense (198.51.100.1)
- Local Subnet: 192.168.10.0/24
- Remote Subnet: 192.168.20.0/24
Nhấn Save để lưu.

3.IPSec_SitetoSite

3. Cấu Hình Trên pfSense

Bước 1: Thêm Phase 1

Vào VPN > IPSec, tab Tunnels, nhấn Add P1
Nhập thông tin:
- Remote Gateway: 203.0.113.1 (WAN IP Sophos)
- Interface: WAN
- Pre-Shared Key: dassvpn2025
- Phase 1 Proposal (Authentication):
  - Authentication Method: Mutual PSK
  - My identifier: My IP address
  - Peer identifier: Peer IP address
- Encryption: AES 128 bits, SHA256, DH Group 14 (2048 bit)
Nhấn Save

4.PFSense_SitetoSite_P1

Bước 2: Thêm Phase 2

Nhấn Add P2 dưới Phase 1 vừa tạo
Thiết lập:
- Local network: 192.168.20.0/24
- Remote network: 192.168.10.0/24
- Protocol: ESP
- Encryption: AES 256 bits, SHA256
- PFS key group: 14 (2048 bit)
Nhấn Save và Apply changes

5.PFSense_SitetoSite_P2

4. Kiểm Tra Kết Nối VPN

Vào VPN > IPSec trên pfSense, kiểm tra trạng thái Phase 1 và 2 phải là “Established”.
Trên Sophos, vào Site-to-site VPN > IPsec, kiểm tra kết nối ở trạng thái “Active” và “Connection” đều “xanh”.

6.itetoSite_result

Thử ping từ máy tính ở mạng 192.168.10.0/24 đến máy ở mạng 192.168.20.0/24 để xác minh.

5. Một Số Lưu Ý

Kiểm tra các rule firewall cho phép traffic giữa hai subnet nội bộ ở cả Sophos và pfSense.
Cả hai bên phải sử dụng chính sách mã hóa giống hệt nhau.
Đảm bảo không NAT lưu lượng VPN.

6. Tổng Kết

Với các bước trên, bạn đã thiết lập thành công kết nối VPN IPSec Site-to-Site giữa Sophos Firewall và pfSense. Giải pháp này giúp kết nối bảo mật giữa hai mạng ở hai địa điểm khác nhau, phù hợp cho các tổ chức có chi nhánh hoặc làm việc từ xa.

Nếu bạn cần hỗ trợ triển khai thực tế hoặc cấu hình mở rộng (Failover, Route-based VPN…), hãy liên hệ DASS để được tư vấn và hỗ trợ nhanh chóng.