Bài viết này hướng dẫn cấu hình IPsec Remote Access VPN trên Sophos Firewall thông qua Sophos Connect Client, giúp người dùng từ xa có thể truy cập an toàn vào hệ thống mạng nội bộ của doanh nghiệp.

Bên cạnh đó, bài viết cũng phân tích sự khác biệt giữa hai mô hình triển khai phổ biến:

• Firewall quay PPPoE trực tiếp (khuyến nghị – đảm bảo IPsec hoạt động ổn định)
• Firewall đặt sau modem NAT (dễ phát sinh lỗi kết nối IPsec)

Qua đó, giúp người đọc hiểu rõ nguyên nhân và lựa chọn mô hình triển khai phù hợp trong thực tế.

Trong thực tế, doanh nghiệp thường có nhu cầu cho phép nhân viên truy cập vào hệ thống nội bộ khi làm việc từ xa (tại nhà, quán cà phê hoặc khi đi công tác). Tuy nhiên, việc mở trực tiếp các dịch vụ nội bộ ra Internet tiềm ẩn nhiều rủi ro về bảo mật.

Vì vậy, giải pháp được đặt ra là triển khai VPN để tạo một kênh kết nối an toàn giữa người dùng bên ngoài và hệ thống mạng nội bộ.

Yêu cầu:

• Triển khai IPsec Remote Access VPN trên Sophos Firewall sử dụng Sophos Connect Client
• Đảm bảo dữ liệu trao đổi được mã hóa, an toàn khi đi qua Internet
• Người dùng sau khi kết nối VPN có thể truy cập vào các tài nguyên nội bộ như:
  • Server nội bộ
  • File chia sẻ (SMB)
  • Remote Desktop (RDP)
• Hạn chế truy cập, chỉ cho phép vào các mạng cần thiết (ví dụ: VLAN quản trị)

1. Tạo user VPN
2. Tạo IPsec Profile
3. Cấu hình IPsec Remote Access
4. Tạo Firewall Rule cho VPN
5. Cài Sophos Connect và export file cấu hình để kết nối

Authentication → Users → Add

Profiles → IPsec profiles → Add

IPsec Profile dùng để định nghĩa các thông số bảo mật và cách thức thiết lập kết nối VPN giữa client và firewall. Để đảm bảo tương thích với Sophos Connect, profile nên cấu hình tương tự profile mặc định DefaultRemoteAccess.

Thông tin chung

• Name: IPsec VPN Remote Access.
• Description: Description.
• Key exchange: IKEv1 – Chuẩn kết nối cũ.
• Authentication mode: Main mode – đảm bảo quá trình xác thực an toàn hơn.
• Key negotiation tries: 0 – cho phép thử kết nối không giới hạn nếu lần đầu thất bại.
• Re-key connection: Enable  – tự động gia hạn kết nối khi sắp hết hạn.
• Use strict profile: Disable – cho phép linh hoạt khi thương lượng thuật toán giữa client và firewall.
• Pass data in compressed format: Disable – không cần thiết trong hầu hết trường hợp
• SHA2 with 96-bit truncation: Disable – giữ nguyên độ bảo mật đầy đủ của SHA2.

Đây là giai đoạn hai bên tạo kênh bảo mật để trao đổi khóa và xác thực lẫn nhau.

• Key life: 18000 seconds (thời gian tồn tại của phiên kết nối ban đầu)
• DH group: (giữ mặc định hệ thống – đảm bảo tương thích)
• Re-key margin: 360 seconds (bắt đầu gia hạn trước khi hết hạn)
• Randomize re-keying margin: 100% (tránh nhiều kết nối gia hạn cùng lúc)

Thuật toán:

• Encryption: AES256, AES256, AES128
• Authentication: SHA2-256, SHA1, SHA1

Việc cấu hình nhiều thuật toán giúp firewall và client có thể “thương lượng” và chọn ra thuật toán phù hợp nhất để kết nối thành công.

Sau khi Phase 1 thành công, Phase 2 sẽ tạo kênh để truyền dữ liệu thực tế.

• PFS group: Same as Phase 1 (tăng cường bảo mật cho mỗi phiên dữ liệu)
• Key life: 3600 seconds (thời gian sử dụng khóa cho việc truyền dữ liệu)

Thuật toán:

• Encryption: AES256, AES256, AES128
• Authentication: SHA2-256, SHA1, SHA1

Dead Peer Detection (DPD)

DPD giúp firewall kiểm tra xem client còn kết nối hay không.

• Dead Peer Detection: Enable.
• Check peer after every: 60 seconds – kiểm tra định kỳ.
• Wait for response up to: 240 seconds  – thời gian chờ phản hồi.
• When peer unreachable: Disconnect – ngắt kết nối nếu không phản hồi.

Nhấn Save để lưu cấu hình

Truy cập:

Remote Access VPN → IPsec

Đây là bước cấu hình để bật tính năng IPsec Remote Access trên firewall và liên kết với profile đã tạo ở bước trước.

General settings:

• IPsec remote access: Enable – Bật tính năng IPsec Remote Access trên firewall
• Interface: Port2 – 115.70.xxx.xxx – Cổng WAN nhận kết nối từ Internet
• IPsec profile: IPsec VPN Remote Access – Sử dụng profile đã tạo ở bước 1

Authentication:

• Authentication type: Preshared key – Xác thực bằng khóa bí mật dùng chung giữa client và firewall
• Preshared key: Client phải nhập đúng key này mới kết nối được

Identification:

• Local ID: Default
• Remote ID: Default

Dùng để định danh 2 đầu VPN, trong lab có thể để mặc định

Allowed users and groups:

• Allowed users and groups: it  – Chỉ user thuộc group it mới được phép kết nối VPN

Client information:

• Name: it – Tên cấu hình VPN (hiển thị khi export file cho client)
• Assign IP from: 11.11.11.1 – 11.11.11.10 -> Dải IP cấp cho user khi kết nối VPN
• DNS server 1 / 2: Có thể thêm DNS nội bộ nếu cần resolve domain nội bộ

Idle timeout:

• Disconnect when tunnel is idle: Tự ngắt VPN nếu không có hoạt động
• Idle session time interval: (120–21600s) – Thời gian chờ trước khi ngắt

Advanced settings:

• Use as default gateway:
  • Nếu bật: toàn bộ traffic client đi qua VPN
  • Nếu tắt: chỉ đi các mạng nội bộ (split tunnel)
• Permitted network resources (IPv4): VLAN_10_MGMT – Chỉ cho phép truy cập vào mạng nội bộ VLAN_10_MGMT
• Send Security Heartbeat through tunnel: Dùng cho Sophos endpoint
• Allow users to save username and password: Enable – Cho phép client lưu thông tin đăng nhập
• Prompt users for 2FA token: Dùng nếu có xác thực 2 lớp
• Run AD logon script after connecting: Tùy chọn
• Hostname or DNS suffix to monitor: Tùy chọn
• Connect tunnel automatically: Dùng để auto connect VPN khi truy cập domain
• DNS suffix: Dùng cho môi trường domain nội bộ

Nhấn Apply để lưu cấu hình và nhấn Export Connection để lấy file đăng nhập.

Truy cập:

Rules and Policies → Firewall Rules → Add

Firewall Rule dùng để cho phép traffic từ VPN đi vào mạng nội bộ và ngược lại. Nếu không có rule này, dù VPN kết nối thành công thì user vẫn không truy cập được tài nguyên bên trong.

Thông tin chung:

• Rule name: IPsec VPN Remote Access
• Action: Accept – cho phép lưu lượng đi qua
• Log firewall traffic: Enable – ghi log để dễ kiểm tra khi cần
• Description: (tùy chọn)
• Rule group: None

Source zones:

• LAN
• VPN

Cho phép traffic từ cả mạng nội bộ và user VPN

Source networks and devices:

• 11 (dải IP VPN: 11.11.11.1 – 11.11.11.10) là IP được cấp cho client VPN
• VLAN_10_MGMT là mạng nội bộ

Destination zones:

• LAN
• VPN

Cho phép truy cập hai chiều

Destination networks:

• 11 – cho phép chiều ngược lại (LAN có thể phản hồi lại VPN client)
• VLAN_10_MGMT  – là mạng nội bộ mà user VPN được phép truy cập

Nhấn Save / Apply để lưu rule

Sau khi hoàn tất cấu hình trên firewall, cần export file cấu hình VPN và cài đặt Sophos Connect trên máy người dùng để thực hiện kết nối.

Khi export cấu hình IPsec VPN từ Sophos Firewall, hệ thống có thể cung cấp hai loại file với mục đích sử dụng khác nhau:

• File .scx: Đây là file cấu hình dành cho người dùng cuối, được sử dụng để import vào Sophos Connect Client nhằm thiết lập kết nối VPN. File này chứa đầy đủ thông tin cần thiết như địa chỉ gateway, cấu hình IPsec và các tham số kết nối.
• File .tgb: Đây là file backup cấu hình, được sử dụng cho mục đích sao lưu và khôi phục trên firewall. File này không dùng cho client và không thể import vào Sophos Connect.

Ngoài ra, bạn có thể truy cập mục Current Activities để theo dõi các phiên VPN đang hoạt động, bao gồm thông tin người dùng đang đăng nhập và loại client đang sử dụng.

Bài viết này hướng dẫn cấu hình SSL VPN Client-to-Site trên Sophos Firewall firmware v22, cho phép người dùng từ xa (remote user) sử dụng máy Windows kết nối an toàn vào mạng nội bộ doanh nghiệp thông qua Internet.

Sau khi hoàn thành, người dùng có thể:

• Truy cập tài nguyên nội bộ (Server, NAS, RDP, Web nội bộ…)
• Mã hóa kết nối đảm bảo an toàn dữ liệu
• Xác thực bằng tài khoản người dùng trên Sophos Firewall

Doanh nghiệp cần:

• Nhân viên truy cập từ xa (WFH)
• Kết nối vào LAN nội bộ
• Đảm bảo bảo mật và kiểm soát truy cập

Yêu cầu:

• Chỉ user hợp lệ mới được VPN
• Truy cập server nội bộ (RDP, File Server)
• Có thể mở rộng MFA sau này

Tổng quan các bước:

1. Tạo User và Group
2. Cấu hình SSL VPN Profile
3. Cấu hình SSL VPN Global Settings
4. Tạo Firewall Rule cho phép truy cập từ VPN vào vùng LAN
5. Tải VPN Client và file cấu hình
6. Cài đặt phần mềm Sophos Connect
7. Import cấu hình VPN vào Sophos Connect
8. Test kết nối SSL VPN

Authentication → Groups → Add

• Group Name: VACIF GROUP
• Surfing quota: Unlimited Internet Access
• Access time: Allowed all the time

Authentication → Users → Add

• Username: VACIF
• Password: ****
• Group: VACIF GROUP

VPN → Remote Access VPN → SSL VPN → Add → Configure manually

Thực hiện cấu hình các thông số sau:

• Name: Đặt tên cho cấu hình SSL VPN (ví dụ: SSLVPN-IT)
• Policy members: Chọn user hoặc group đã tạo trước đó (ví dụ: vpnuser01 hoặc SSLVPN-Users)
• Use as default gateway:
  • Bật khi muốn toàn bộ lưu lượng của VPN Client đi qua Sophos Firewall (Full Tunnel)
  • Không bật khi chỉ định tuyến lưu lượng truy cập vào mạng nội bộ qua VPN (Split Tunnel)
• Permitted network resources (IPv4): Chọn các dải mạng nội bộ (LAN) mà người dùng VPN được phép truy cập (ví dụ: 10.10.10.0/24)
• Disconnect idle clients: Tự động ngắt kết nối VPN khi người dùng không có hoạt động trong một khoảng thời gian nhất định

→ Nhấn Apply để lưu cấu hình

VPN → Remote Access VPN → SSL VPN → Global Settings

• Protocol: Chọn UDP để tối ưu hiệu suất và giảm độ trễ khi kết nối VPN
• SSL server certificate: Giữ nguyên ApplianceCertificate (chứng chỉ mặc định của thiết bị)
• Override hostname: Nhập địa chỉ IP WAN hoặc tên miền mà người dùng VPN sẽ sử dụng để kết nối (ví dụ: 123.20.173.178 hoặc vpn.company.com)
• Port: Giữ mặc định 8443 hoặc thay đổi nếu có yêu cầu riêng (Ở đây mình đặt 10443)
• Assign IPv4 addresses: Khai báo dải IP cấp phát cho VPN Client (ví dụ: 10.121.10.0/24)
• IPv4 DNS: Cấu hình DNS để client có thể phân giải tên miền khi kết nối VPN (ví dụ: 8.8.8.8, 1.1.1.1 hoặc DNS nội bộ)
• Disconnect dead peer after: Thiết lập thời gian (giây) để tự động ngắt kết nối khi client không phản hồi
• Disconnect idle peer after: Thiết lập thời gian ngắt kết nối khi người dùng không có hoạt động Có thể để trống – nên để trống nếu không giới hạn

→ Nhấn Apply để lưu cấu hình

Rules and Policies → Firewall Rules

Thực hiện cấu hình các thông số sau:

→ Nhấn Save để lưu cấu hình

Để biết được port VPN là bao nhiêu thì bạn cần phải vào:

Administrator → Admin and user settings

• Tiếp theo, truy cập VPN Portal bằng trình duyệt: https://<WAN-IP hoặc tên miền>:8443
• Đăng nhập bằng tài khoản VPN mà bạn đã tạo trước đó.

Tại giao diện Portal:

• Nhấn Download for Windows trong mục Sophos Connect client để tải phần mềm
• Nhấn Download for Windows, macOS, Linux trong mục VPN configuration để tải file cấu hình SSL VPN (.ovpn)

• Chạy file cài đặt: SophosConnect_<version>.exe
• Tại màn hình cài đặt: Tick chọn “I accept the Sophos End User License Agreement and acknowledge the Sophos Privacy Policy”

• Mở phần mềm Sophos Connect
• Tại giao diện chính: Nhấn Import connection
• Chọn file cấu hình đã tải: sslvpn-vacif-client-config.ovpn
• Sau khi import thành công: Kết nối VPN sẽ hiển thị trong danh sách

Lúc này bạn có thể truy cập vào trong lớp mạng LAN nội bộ đã cấu hình. Ngoài ra bạn có thể vào mục Current activities để kiểm tra xem user nào đang đăng nhập SSL VPN.

Bài viết này sẽ hướng dẫn cách cài đặt Agent DLP SearhInform trên máy trạm Windows môi trường Workgroup trong hệ thống mạng LAN. Từ đó máy trạm được cài Agent sẽ bị giám sát và kiểm soát dữ liệu thông qua máy chủ DLP SearchInform.

• Tạo gói cài đặt Agent từ giao diện quản trị trên máy chủ DLP SearchInform
• Chạy gói cài đặt Agent trên máy trạm Windows
• Kiểm tra kết nối giữa Agent và máy chủ DLP sau khi hoàn tất.

Ở máy chủ DLP SearchInform, truy cập vào giao diện quản trị EndpointController Console để tiến hành tạo gói cài đặt Agent.

Ở trong giao diện quản trị EndpointController Console, chọn Options -> chọn Create agent installation….

Một cửa sổ mới xuất hiện, chọn Create agent installation package for Windows, nhấn Next.

Path to folder: Chọn nơi bạn muốn lưu tệp cài đặt.

Name of service (‘sifiltersvc’ by default): Nếu để trống, tên mặc định sẽ được sử dụng. Ở đây, mình để mặc định.

Generate configuration using specified computer (optional): Tùy chọn này cho phép bạn chọn một máy tính đã có Agent cài đặt hoặc một mẫu cấu hình (template) để sao chép lại thiết lập cấu hình cho Agent mới. Mục này mình để trống.

Include in the ‘install_agent.exe’ package of the version: Chọn phiên bản Agent sẽ được thêm vào gói cài đặt.

Cuối cùng, nhấn Create.

Các tệp sẽ được lưu vào thư mục đã chỉ định. Sau đó thực hiệp copy file này sang máy trạm Windows cần cài đặt Agent.

Chạy file install_agent.exe trên máy trạm đích. 

Sau khi cài đặt, Agent sẽ tự động chạy. Quá trình cài đặt có thể mất một khoảng thời gian. 

Để kiểm tra trạng thái của agent trên máy đích, mở cmd.exe và nhập lệnh: 

sc query sifiltersvc 

Nếu cài đặt thành công, thông tin trạng thái dịch vụ sẽ được hiển thị. 

Quay lại giao diện Endpoint Controller Console ở máy chủ DLP SearchInform, lúc này sẽ thấy máy trạm Windows này đã xuất hiện. Sau đó, ta sẽ kích hoạt các module giám sát, đánh dấu vào các ô tương ứng và nhấn Apply.

Sophos XDR hỗ trợ tích hợp (Third‑Party Integrations) nhằm thu thập log và dữ liệu bảo mật từ các hệ thống không thuộc hệ sinh thái Sophos, thông qua API hoặc Syslog.
Dữ liệu sau khi thu thập được đồng bộ vào Sophos Data Lake và hiển thị tập trung trong Sophos Central – Threat Analysis Center.

Tài liệu này hướng dẫn chi tiết cách:

• Cấu hình Third‑Party Integration
• Triển khai Integration Appliance
• Thu thập log từ thiết bị bên thứ ba (ví dụ: Firewall, Identity, Cloud)
• Kiểm tra dữ liệu đã được đưa vào Sophos Data Lake

Tài liệu hướng dẫn nhằm đảm bảo người quản trị có thể:

• Cấu hình thu thập log từ các hệ thống bên thứ ba vào Sophos XDR
• Hợp nhất dữ liệu bảo mật từ nhiều nguồn trong một nền tảng quản lý tập trung
• Kiểm tra, theo dõi các sự kiện bảo mật phát sinh từ thiết bị không phải Sophos
• Vận hành và giám sát hệ thống sau khi tích hợp mà không ảnh hưởng đến hạ tầng hiện hữ

Truy cập: Threat Analysis Center → Integrations → Marketplace

Chọn giải pháp cần tích hợp Fortinet FortiGate

Chọn Add Configuration

1. Nhập thông tin cho integration:

• Integration Name: Fortinet-40F

2. Chọn Create new appliance và khai báo thông tin appliance:

• Appliance Name: Sophos-FGT-Collector
• Virtualization Platform: VMware ESXi

3. Cấu hình mạng cho appliance:

• DHCP: Tự động cấp phát IP
• Manual: Cấu hình thủ công (Tùy nhu cầu)

4. Cấu hình thông tin tiếp nhận syslog:

• Syslog IP version (IPv4 hoặc IPv6)
• Syslog IP address (địa chỉ appliance dùng để nhận log)

Protocol: UDP

** Lưu ý: protocol này phải trùng với cấu hình trên FortiGate

Click Save để hoàn tất tạo integration và appliance.

Sophos Central cung cấp thông tin đăng nhập để quản trị appliance, bao gồm:

• Username
• Password

Thông tin này chỉ hiển thị một lần, không thể xem lại sau đó (chỉ có thể reset mới)

Sau khi nhấn Save, đợi một lúc thì ta có thể download image để cài đặt cho VMWare

Đăng nhập vào giao diện VMware ESXi Web Client, chọn Virtual Machines và nhấn Create / Register VM.
Tại màn hình Select creation type, chọn Deploy a virtual machine from an OVF or OVA file và nhấn Next.

Nhập tên máy ảo, ví dụ Sophos Integration Appliance.
Tải lên file ndr-Sophos-FGT-Collector.ova, sau đó nhấn Next.

Chọn datastore phù hợp để lưu trữ máy ảo, ví dụ VM Storage 3, rồi tiếp tục Next

Tại màn hình Deployment options, thực hiện cấu hình network mapping và disk provisioning cho Sophos Appliance.

Card mạng được gán như sau:

Disk provisioning cấu hình ở chế độ Thin. Bật tùy chọn Power on automatically để appliance tự khởi động sau khi triển khai

Kiểm tra lại thông tin tại màn hình Ready to complete và nhấn Finish để bắt đầu import appliance.

Theo dõi tiến trình trong mục Recent tasks, đảm bảo tất cả các bước hoàn tất với trạng thái Completed successfully.

Tiến hành Power On máy ảo và theo dõi quá trình khởi động.

Khi quá trình cài đặt hoàn tất, hệ thống sẽ hiển thị bảng thông báo thông tin truy cập

Sử dụng địa chỉ IP được hiển thị để truy cập vào giao diện quản lý và đăng nhập bằng credential được Sophos Central cấp phía trên.

config log syslogd setting

set status enable

set server 172.31.31.22

set port 10514

set format cef

set facility user

end

config log syslogd filter

set severity information

set forward-traffic enable

set local-traffic enable

set anomaly enable

end

Truy cập giao diện Sophos Appliance Manager của Integration Appliance vừa tạo.

Tại tab Status, kiểm tra tình trạng tài nguyên hệ thống:

• CPU Usage
• Memory Usage
• HDD Root Usage
• HDD Data Usage

Các thông số nằm trong ngưỡng cho phép, xác nhận appliance hoạt động ổn định.

Tại tab Integrations, kiểm tra trạng thái Integration:

• Trạng thái hiển thị Running
• Các chỉ số Received và Filtered có giá trị > 0, xác nhận appliance đang nhận và xử lý dữ liệu từ thiết bị nguồn

Tại tab Advanced, kiểm tra trạng thái container:

• Các container liên quan đến syslog, collector và NDR đều ở trạng thái Running
• Không có container lỗi hoặc restart bất thường

Truy cập: Threat Analysis Center → Configured → Integration Appliances

Chọn Integration Appliance đã tạo và kiểm tra mục Telemetry Journey:

Data Collection – Integration Appliance
Input > 0
Output > 0

Data Processing – Sophos Central
Input có dữ liệu

Các chỉ số này xác nhận dữ liệu đã được thu thập từ Integration Appliance và gửi thành công về Sophos Central để xử lý.

Truy cập: Threat Analysis Center → Detections

Cấu hình bộ lọc: Vendor / Source: thiết bị đã tích hợp

Sophos Central hiển thị các sự kiện đã được phân tích và đánh giá.

Lưu ý: Sophos Central không hiển thị raw syslog, chỉ hiển thị các sự kiện có giá trị bảo mật.

Việc cấu hình Third‑Party Integrations cho Sophos XDR cho phép thu thập và quản lý log tập trung từ các hệ thống bên thứ ba thông qua Sophos Data Lake.
Khi hoàn tất cấu hình, quản trị viên có thể theo dõi và phân tích các sự kiện bảo mật phát sinh từ nhiều nguồn trên cùng một giao diện quản lý, giúp nâng cao khả năng giám sát và vận hành hệ thống.

Việc migrate máy ảo từ VMware ESXi sang Proxmox VE hiện nay có thể thực hiện dễ dàng hơn nhờ công cụ ESXi import tool được tích hợp sẵn trong Proxmox. Phương pháp này cho phép import trực tiếp VM từ ESXi về Proxmox mà không cần thao tác thủ công như export và convert disk.

Trong bài viết này, bạn sẽ được hướng dẫn cách sử dụng “ESXi import tool” để migrate VM một cách nhanh chóng, giảm thiểu thao tác và hạn chế lỗi phát sinh trong quá trình chuyển đổi. Đây là phương pháp phù hợp trong môi trường có kết nối network ổn định giữa hai hệ thống và cần tối ưu thời gian triển khai

Trong sơ đồ hệ thống này sẽ có các VMs(màu xanh lá) đang chạy trên 1 máy chủ chạy VMWare EXSi và các VMs(máu xanh nước biển) đang chạy trên 3 node(máy chủ) Proxmox được cấu Cluster.

• Có quyền truy cập:
  • Vmware ESXi/vCenter
  • Proxmox
• Liệt kê các VMs cần migrate.
  • Cần tắt VMs trong quá trình migrate
• Đường truyền mạng giữa 2 hệ thống.
• Dung lượng storage trên Proxmox

Đăng nhập vào giao diện quản trị Proxmox -> Datacenter -> Storage -> Nhấn Add và chọn EXSi

Mục đích của việc thêm EXSi host là để Proxmox kết nối đến Storage của EXSi và từ đó convert file VM từ ESXi qua định dạng file Proxmox trong quá trình di chuyển VM.

• ID: Đặt tên cho EXSi storage.
• Server: IP hoặc Hostname của EXSi
• Username: Tên đăng nhập vào EXSi host
• Password: Mật khẩu đăng nhập vào EXSi host

Kết quả

Vào pve-> Chọn Storage là EXSi_host -> Virtual Guest -> chọn VM cần migrate và nhấn Import.

Ở đây mình lấy 1 VM có tên là Win-10-datmin để tiến hành migrate.

General: Kiểm tra các định dạng và thông số VM khi chuyển qua Proxmox trong tab General.

Advanced: Trong tab Advanced ta sẽ kiểm tra các cấu hình về ổ đĩa cũng như là các network interface được mapping từ EXSi host sang.

Resulting Config: Xem lại các cài đặt cấu hình trước khi import VM vào Proxmox.

Thời gian migrate phụ thuộc lớn vào băng thông mạng, vì vậy cần đảm bảo kết nối network ổn định giữa VMware và Proxmox VE, ưu tiên sử dụng mạng LAN nội bộ để đạt hiệu suất tốt nhất.

Bắt đầu quá trình migrate VM trên VMWare và tạo VM mới trên Proxmox.

Kết quả Migrate VM thành công.

Trên Proxmox -> vào pve2 -> Chọn vào VM vừa được tạo trong quá trình migrate. Chọn Console tab -> Nhấn Start Now.

Kết quả boot.

Qua bài viết này, ta đã nắm được cách migrate máy ảo từ VMware sang Proxmox VE một cách rõ ràng và thực tế. Việc chuyển đổi giúp tối ưu chi phí, linh hoạt trong quản lý và dễ dàng mở rộng hạ tầng. Chỉ cần thực hiện đúng quy trình và kiểm tra kỹ sau khi migrate, bạn có thể đảm bảo hệ thống hoạt động ổn định trên nền tảng mới.

Trong thời đại các cuộc tấn công mạng ngày càng tinh vi, chỉ một lỗ hổng nhỏ cũng có thể khiến doanh nghiệp trả giá đắt. Vậy làm sao để bảo vệ toàn diện hệ thống, dữ liệu và người dùng trong môi trường làm việc linh hoạt ngày nay?

Tham gia ngay webinar để khám phá giải pháp từ Sophos – Sophos Endpoint Plus Protection, nền tảng bảo mật mạnh mẽ giúp doanh nghiệp luôn đi trước các mối đe dọa.

Sự kiện do VaciF (Host) phối hợp cùng INNET – Đơn vị phân phối giải pháp CNTT đồng tổ chức. Cùng với sự trình bày của Mr. Khôi Nguyễn (Sophos Senior Sales Engineer) và phần Demo của Mr. Đạt Trịnh (VaciF Technical Engineer).

Thời gian: 9h30 AM – Thứ Năm, ngày 23/04/2026
Hình thức: Trực tuyến qua Zoom | Miễn phí 100%

Đăng ký tham dự tại đây: https://zoom.us/webinar/register/WN_NFq9ytt5SgaFs3WUeIMVyw

Giả sử bạn đang vận hành một server sử dụng Proxmox VE để chạy nhiều máy ảo phục vụ hệ thống nội bộ. Sau một thời gian sử dụng, dung lượng ổ đĩa mặc định bắt đầu đầy do các VM ngày càng nhiều và dữ liệu phát sinh liên tục.

Bạn quyết định gắn thêm một ổ SSD mới vào server để mở rộng dung lượng lưu trữ. Tuy nhiên sau khi lắp disk vào, bạn nhận ra rằng Proxmox không sử dụng được ổ đĩa này. Bạn cần thực hiện một số bước cấu hình để hệ thống nhận diện disk và thêm nó vào danh sách storage để có thể dùng cho VM hoặc container.

Trong bài viết này, mình sẽ hướng dẫn chi tiết cách thêm và cấu hình Storage Disk trên Proxmox VE, giúp bạn mở rộng hệ thống lưu trữ một cách nhanh chóng và an toàn.

• Hệ thống Proxmox VE đã được cài đặt và hoạt động ổn định.
• Server đã được gắn thêm ổ đĩa vật lý
• Disk mới chưa được mount hoặc sử dụng
• Có quyền truy cập SSH hoặc Console vào Proxmox
• Xác định trước loại Storage sẽ sử dụng
• Backup dữ liệu quan trọng trước khi thao tác

Truy cập vào CLI hoặc mở Shell của Proxmox VE và chạy lệnh sau để kiểm tra các disk và partition hiện tại trên Proxmox VE:

lsblk

Hiện tại, mình đang có 2 disk đang được gắn vào Proxmox VE là sdb và sdc.

Tiếp theo, mình sẽ tiến hành tạo Volume Group và Directory trên Proxmox VE (node1) rồi mới tiến hành thêm Storage vào Proxmox VE.

• Tạo Volume Group.

Truy cập vào giao diện của Proxmox VE -> pve1 -> LVM -> Nhấn Create: Volume Group.

Tiến hành chọn Disk và đặt tên cho Volume Group rồi nhấn Create.

Ta sẽ có kết quả sau khi tạo Volume Group xong.

• Tạo Directory.

Trên giao diện của Proxmox VE -> pve1 -> Directory -> Nhấn Create: Directory.

Tiến hành chọn Disk, Filesystem và đặt tên cho Directory rồi nhấn Create.

Ta sẽ có kết quả sau khi tạo Directory xong

• Thêm LVM và Directory vừa tạo vào Storage của Proxmox VE.

Trên giao diện của Proxmox VE -> Datacenter -> Storage -> Nhấn Add và chọn loại Storage bạn muốn thêm vào. Ở đây mình sẽ thêm Directory và LVM cho Storage.

• Thêm LVM Storage.
  • ID: Đặt tên cho Storage
  • Base storage: Chọn mặc định
  • Volume Group: Chọn Storage_lvm_pve1 (đã tạo trước đó)
  • Content: Chọn mặc định.
  • Enable: Để hiển thị trên node pve1

• Thêm Directory.
  • ID: Đặt tên cho Storage
  • Directory: Gõ /mnt/pve/Storage_dir_pve1 (đã tạo trước đó)
  • Content: Chọn thêm các options khách nếu muốn lưu nhiều loại dữ liệu.
  • Enable: Để hiển thị trên node pve1

Kết quả ta có 2 Storage vừa được thêm vào Datacenter và được hiển thị trên pve1

Qua bài viết này, chúng ta đã cùng tìm hiểu cách thêm và cấu hình Storage Disk trên Proxmox VE để mở rộng dung lượng cho hệ thống ảo hóa. Việc cấu hình storage đúng cách sẽ giúp bạn dễ dàng phân bổ tài nguyên cho các máy ảo và quản lý dung lượng hiệu quả hơn. Từ đó đảm bảo hệ thống hoạt động ổn định và sẵn sàng mở rộng khi nhu cầu sử dụng tăng lên.

Nếu bạn đã quen với việc triển khai Sophos Firewall trên các nền tảng ảo hóa như VMware Workstation hoặc ESXi, thì Proxmox VE là một lựa chọn đáng để thử khi xây dựng hệ thống lab hoặc hạ tầng ảo hóa chi phí thấp.

Proxmox VE là nền tảng ảo hóa mã nguồn mở hỗ trợ hai công nghệ chính:

• KVM (Kernel-based Virtual Machine) để chạy máy ảo
• LXC (Linux Containers) để chạy container

Với các ưu điểm như:

• Miễn phí và mã nguồn mở
• Cộng đồng sử dụng lớn
• Quản lý VM thông qua Web GUI
• Hỗ trợ snapshot, backup và clustering

Proxmox ngày càng được nhiều doanh nghiệp vừa và nhỏ lựa chọn. Trong bài viết này, chúng ta sẽ thực hiện:

• Triển khai Sophos Firewall Virtual trên Proxmox VE
• Sử dụng file KVM image của Sophos
• Tạo máy ảo bằng lệnh CLI trên Proxmox
• Import disk image vào VM
• Khởi động Sophos Firewall và thực hiện cấu hình ban đầu

Sau khi hoàn thành bài lab, Sophos Firewall sẽ hoạt động như một tường lửa ảo trong hệ thống Proxmox.

Trong mô hình này:

• Proxmox VE đóng vai trò là hypervisor để chạy máy ảo.
• Sophos Firewall được cài đặt dưới dạng Virtual Machine.
• Máy Windows Client dùng để:
  • Truy cập giao diện quản trị firewall
  • Kiểm tra trạng thái hoạt động của hệ thống.

Quản trị viên truy cập vào giao diện quản trị của Sophos Firewall thông qua trình duyệt web với địa chỉ: https://10.10.10.200:4444

Trong bài lab này, chúng ta thực hiện triển khai Sophos Firewall dưới dạng máy ảo trên Proxmox VE với mục đích xây dựng môi trường thử nghiệm.

Các yêu cầu của hệ thống như sau:

• Cài đặt Sophos Firewall Virtual trên Proxmox.
• Cấu hình địa chỉ IP cho firewall là 10.10.10.200/24.
• Máy Windows Client có địa chỉ 10.10.10.116/24.
• Máy Windows có thể truy cập vào giao diện quản trị của Sophos Firewall thông qua trình duyệt web.

Sau khi hoàn thành cấu hình:

• Quản trị viên có thể đăng nhập vào giao diện Web Admin
• Thực hiện các cấu hình bảo mật, firewall rule và quản lý hệ thống.

Quá trình triển khai Sophos Firewall Virtual trên Proxmox gồm các bước chính sau:

1. Tải file “Sophos Firewall KVM Image”
2. Upload file image lên server Proxmox
3. Tạo máy ảo Sophos Firewall bằng CLI
4. Import disk image vào máy ảo
5. Cấu hình boot disk
6. Khởi động Sophos Firewall
7. Truy cập giao diện Web Admin

Trước khi bắt tay vào dựng Sophos Firewall trên Proxmox, bạn cần chuẩn bị:

• Máy chủ/PC đã cài Proxmox VE (khuyến nghị bản 7.x hoặc mới hơn).
• File KVM Sophos Firewall (SFOS): tải từ trang chủ Sophos (bản Home hoặc Trial).
• Tài nguyên tối thiểu cho VM: CPU: 2, coreRAM: 4 GB

Trước tiên, chúng ta cần chuẩn bị file KVM cài đặt Sophos Firewall. Truy cập trang chính thức của Sophos tại: https://www.sophos.com/en-us/support/downloads/firewall-installers. Tại đây, chọn và tải về phiên bản dành cho KVM (tương thích với Proxmox).

Sau khi tải và giải nén ta được 2 file như sau:

Tạo máy ảo Sophos Firewall trên Proxmox -> Đăng nhập vào Proxmox Web UI -> chọn Create VM để bắt đầu tạo máy ảo mới -> Nhập VM ID và Tên máy ảo (Name).

Tick chọn Do not use any media ->Type: linux ->Version: 6.x – 2.6 Kernel

Sockets: 2

Cores: 2

Type: host

Memory(MB): 4096 và click next

Chọn card mạng bridge và clicknext -> chắc chắn ràng không có gì sai xót sau khi tạo xong, nhấn finish.

Sử dụng công cụ WinSCP để tiến hành copy file KVM Sophos đã tải về vào thư mục của VM theo đường dẫn: /mnt/pve/disk-pve1/images/2027/

Trong đó:

• disk-pve1 là tên storage trên Proxmox.
• 2027 là VM ID mà bạn đã tạo ở bước trước.

** Lưu ý: Thư mục có dạng/mnt/pve/<storage-name>/images/<VMID>/. Bạn cần thay đúng <storage-name> và <VMID> theo môi trường của mình.

Mở Shell trong giao diện Proxmox.

Truy cập thư mục lưu trữ:

• cd /mnt/pve
• ls

→ Lệnh ls sẽ liệt kê tất cả các storage có trong Proxmox.

Di chuyển vào storage bạn đã dùng để lưu file KVM, ví dụ:

• cd /mnt/pve/disk1-pve1/images/
• Ls

Tại đây sẽ hiển thị danh sách các thư mục tương ứng với VM ID. Trong ví dụ này, máy Sophos Firewall được gán VM ID = 1027:

• cd 1027
• ls

→ Bạn sẽ thấy toàn bộ các file (bao gồm ISO và disk image) của VM Sophos Firewall.

Mở file cấu hình của VM bằng trình soạn thảo nano:

•  nano /etc/pve/qemu-server/1027.conf

Thêm hoặc chỉnh sửa 2 dòng sau để khai báo ổ đĩa cho Sophos Firewall:

• scsi0: disk1-pve1:1027/PRIMARY-DISK.qcow2,size=32G
• scsi1: disk1-pve1:1027/AUXILIARY-DISK.qcow2,size=80G

→ scsi0: Ổ cứng chính (32GB).

→ scsi1: Ổ phụ (80GB).

Lưu file cấu hình:

• Nhấn Ctrl + O → Enter để lưu.
• Nhấn Ctrl + X để thoát khỏi nano.

Tick chọn như hình bên dưới

Sau khi hoàn tất, nhấn Start để khởi động node Sophos Firewall.

Truy cập Console của VM để theo dõi quá trình boot. Nếu thấy giao diện cài đặt của Sophos xuất hiện và hệ thống chạy ổn định, nghĩa là bạn đã triển khai thành công.

Như vậy, chúng ta đã chạy Sophos Firewall ảo trong Proxmox thành công. Từ đây, bạn có thể tiếp tục:

• Truy cập WebAdmin
• Thực hiện các bước cấu hình cơ bản (IP LAN/WAN, NAT, Firewall Rule).
• Mở rộng lab với VPN, IPS, WAF, hoặc thử nghiệm các tính năng bảo mật khác.

Proxmox (hay còn gọi là Proxmox VE) là một nền tảng ảo hóa mã nguồn mở, cung cấp giải pháp quản lý và triển khai máy ảo (VM) và container. Proxmox hỗ trợ hai công nghệ ảo hóa chính là KVM (Kernel-based Virtual Machine) và LXC (Linux Containers), giúp người dùng có thể linh hoạt lựa chọn phương pháp ảo hóa phù hợp với nhu cầu và các ứng dụng của mình.

Bên cạnh các tính năng ảo hóa mạnh mẽ, dòng phiên bản mới nhất Proxmox VE 9.x mang đến nhiều cải tiến đáng kể về hiệu năng, lưu trữ và mạng, giúp nền tảng trở nên phù hợp hơn cho các môi trường hạ tầng hiện đại và datacenter. Proxmox VE 9.x được xây dựng trên nền Debian 13 (Trixie) và sử dụng Linux Kernel thế hệ mới, đi kèm với các thành phần cập nhật như QEMU, LXC, ZFS và Ceph, giúp cải thiện khả năng hỗ trợ phần cứng, tăng hiệu năng hệ thống và nâng cao mức độ bảo mật.

Mục tiêu bài viết này nhằm:

• Hướng dẫn backup máy ảo riêng lẻ
• Hướng dẫn backup các máy ảo theo lịch trình
• Hướng dẫn restore (khôi phục) máy ảo từ file backup.

Để backup máy ảo riêng lẻ, thực hiện như sau:

Chọn VM cần backup -> Backup -> Backup now

Sau đó nhập các thông tin sau:

• Storage: chọn nơi lưu file backup (vd: Nas Storage)
• Mode: chọn chế độ backup (ví dụ: Snapshot)
• Compression: chọn phương thức nén file backup (khuyến nghị ZSTD)
• Notification: Chọn cách nhận thông báo về mail (ví dụ: Use global settings)
• Protected: Tick nếu muốn bảo vệ bản backup không xóa bởi cơ chế dọn dẹp prune.

Sau đó nhấn nút Backup để bắt đầu tiến trình sao lưu.

Để lên lịch backup cho các VM, thực hiện như sau:

Chọn Datacenter -> Backup -> Add

Chọn các thông tin sau:

• Node: Chọn node chứa VM cần backup
• Storage: Chọn nơi lưu trữ file backup (ví dụ: NAS Storage)
• Schedule: Thiết lập thời gian chạy backup theo lịch trình (ví dụ: sun 01:00)
• Compression: Chọn phương thức nén backup (khuyến nghị ZSTD)
• Enable: Tick để kích hoạt job backup

Sau đó chọn các máy ảo cần được backup (ví dụ: máy ảo VMID 114, VMID 120)

Nhấn Create

Sau khi tạo, job backup sẽ hiển thị như hình dưới và đúng lịch trình sẽ tự động chạy.

Để restore (khôi phục) máy ảo từ bản backup, thực hiện như sau:

Chọn máy ảo -> Backup -> Chọn bản backup tại thời điểm cần khôi phục -> Nhấn Restore

Giữ mặc định hoặc có thể tùy chỉnh các thông tin trước khi restore.

Nhấn Restore để bắt đầu tiến trình khôi phục máy ảo.

Đến bước này là đã hoành tất việc restore VM trên Proxmox VE.

Proxmox (hay còn gọi là Proxmox VE) là một nền tảng ảo hóa mã nguồn mở, cung cấp giải pháp quản lý và triển khai máy ảo (VM) và container. Proxmox hỗ trợ hai công nghệ ảo hóa chính là KVM (Kernel-based Virtual Machine) và LXC (Linux Containers), giúp người dùng có thể linh hoạt lựa chọn phương pháp ảo hóa phù hợp với nhu cầu và các ứng dụng của mình.

Bên cạnh các tính năng ảo hóa mạnh mẽ, dòng phiên bản mới nhất Proxmox VE 9.x mang đến nhiều cải tiến đáng kể về hiệu năng, lưu trữ và mạng, giúp nền tảng trở nên phù hợp hơn cho các môi trường hạ tầng hiện đại và datacenter. Proxmox VE 9.x được xây dựng trên nền Debian 13 (Trixie) và sử dụng Linux Kernel thế hệ mới, đi kèm với các thành phần cập nhật như QEMU, LXC, ZFS và Ceph, giúp cải thiện khả năng hỗ trợ phần cứng, tăng hiệu năng hệ thống và nâng cao mức độ bảo mật.

Mục tiêu bài viết này nhằm: Hướng dẫn cài đặt Proxmox VE 9.x trên thiết bị/máy chủ sử dụng USB Boot.

Đầu tiên, tiến hành tải Proxmox VE ISO về máy tính.

https://www.proxmox.com/en/downloads/proxmox-virtual-environment

Rufus là một công cụ miễn phí dùng để tạo USB Boot từ các file ISO như Windows, Linux hoặc các hệ điều hành khác. Công cụ này giúp người dùng nhanh chóng chuẩn bị USB cài đặt hệ điều hành để khởi động và cài đặt trên máy tính hoặc máy chủ.

Bài viết này sẽ sử dụng Rufus để tạo USB Boot, download phần mềm Rufus ở link sau:

https://rufus.ie/en

Tiếp theo cắm USB vào máy tính.

Mở phần mềm Rufus lên để thực hiện Boot Proxmox ISO vào USB.

Nhấn Select để chọn file ISO.

Proxmox ISO sẽ được viết dạng DD image. Nhấn OK

Nhấn Start để bắt đầu

Sau khi đã Boot USB, thực hiện tháo USB khỏi máy, và cắm vào thiết bị/ máy chủ cần cài đặt Proxmox VE.

Khi khởi động thiết bị/máy chủ đã cắm USB Boot, nhấn các phím F2, F10, F11 hoặc F12 để truy cập menu khởi động

Ở trên giao diện Boot Proxmox VE ISO, chọn Install Proxmox VE (Graphical)

Ở màn hình chấp nhận điều khoản sử dụng, nhấn I agree để tiếp tục cài đặt.

Tiếp theo là màn hình lựa chọn ổ đĩa cài đặt trên Proxmox VE.

Nhấn Options để tùy chỉnh nâng cao phân vùng sử dụng cho ổ đĩa hệ thống (ext4, xfs, zfs,…)

Nhấn Next.

Tiếp tục, chọn Country, Time zone, Keyboard layout.

Nhấn Next.

Kế tiếp, nhập Password cho tài khoản root và Email để nhận thông báo từ hệ thống.

Nhấn Next.

Điền các thông tin sau:

• Management Interface: Chọn card mạng sẽ sử dụng
• Hostname (FQDN): Đặt tên máy chủ (ví dụ: pve1.vacif.com)
• IP Address (CIDR): Đặt IP tĩnh cho Proxmox (ví dụ: 10.10.10.50)
• Gateway: Đặt gateway cho mạng Proxmox (ví dụ: 10.10.10.1)
• DNS Server: Nhập địa chỉ máy chủ DNS để phân giải tên miền (ví dụ: 8.8.8.8)

Sau khi nhập hoàn tất, nhấn Install

Quá trình cài đặt sẽ diễn ra.

Sau khi cài đặt hoàn thành, tiếp tục bước tiếp theo.

Mở trình duyệt web, vả truy cập đường dẫn sau tại port 8006:

https://[IP_ADDRESS_PROXOX]:8006

Bỏ qua cảnh báo bảo mật, đăng nhập bằng tài khoản root và mật khẩu đã thiết lập khi cài đặt.

Giao diện quản trị sau khi đăng nhập sẽ như bên dưới.

Đến đây là kết thúc bài viết và đã hoàn tất việc cài đặt Proxmox VE.