Fortinet Firewall – VACIF https://vacif.com Đầu tư cho giá trị Fri, 06 Mar 2026 09:25:49 +0000 vi hourly 1 https://wordpress.org/?v=6.9.4 https://vacif.com/wp-content/uploads/2024/06/cropped-icon-32x32.png Fortinet Firewall – VACIF https://vacif.com 32 32 [Mới nhất 2026] Sophos Firewall: Hướng Dẫn Cấu Hình VPN Site to Site Giữa Firewall Fortinet và Sophos Firewall Firmware V22 https://vacif.com/moi-nhat-2026-sophos-firewall-huong-dan-cau-hinh-vpn-site-to-site-giua-firewall-fortinet-va-sophos-firewall-firmware-v22/ https://vacif.com/moi-nhat-2026-sophos-firewall-huong-dan-cau-hinh-vpn-site-to-site-giua-firewall-fortinet-va-sophos-firewall-firmware-v22/#respond Wed, 04 Mar 2026 05:41:35 +0000 https://vacif.com/?p=29017

Mục lục

I – Tổng quan về bài viết

Bài viết này hướng dẫn cách cấu hình IPSec VPN Site-to-Site giữa hai thiết bị tường lửa Fortinet Firewall và Sophos Firewall, nhằm kết nối an toàn các mạng LAN tại hai site khác nhau thông qua Internet.

Sau khi cấu hình hoàn tất, các lớp mạng LAN sau có thể kết nối và truy cập lẫn nhau:

  • 172.16.16.0/24 – Site A
  • 10.10.10.0/24 – Site B
  • 192.168.20.0/24 – Site B

II – Sơ đồ mạng

Giải thích sơ đồ mạng:

🔹 Site A – Fortinet Firewall

  • Đường Internet được kết nối vào cổng WAN của thiết bị Fortinet
  • IP WAN: 192.168.1.2
  • Mạng LAN nội bộ: 172.16.16.0/24
  • LAN được cấu hình trên interface LAN của Fortinet

🔹 Site B – Sophos Firewall

  • Đường Internet được kết nối vào interface a (WAN) của Sophos Firewall
  • IP WAN: 192.168.1.3
  • Mạng LAN nội bộ gồm 2 lớp mạng: 10.10.10.0/24, 192.168.20.0/24

Lưu ý sơ đồ:

  • Kết nối VPN sử dụng IPSec Site-to-Site
  • Xác thực bằng Pre-shared Key
  • Sử dụng IKEv2

III – Tình huống cấu hình

Chúng ta sẽ thực hiện cấu hình IPSec VPN Site-to-Site giữa:

  • Fortinet (192.168.1.2)
  • Sophos (192.168.1.3)

Mục tiêu:

Mạng LAN 172.16.16.0/24 (Fortinet) ⬄ Mạng LAN 10.10.10.0/24 và 192.168.20.0/24 (Sophos) có thể kết nối qua lại trực tiếp.

IV – Các bước cấu hình

Trên thiết bị Fortinet:

  • Tạo VPN Tunnels
  • Tạo Static Route
  • Tạo Firewall Policy

Trên thiết bị Sophos:

  • Tạo subnet
  • Tạo IPSec Profile
  • Tạo IPSec Connection
  • Tạo Firewall Rule

V – Hướng dẫn cấu hình VPN site to site giữa Firewall Fortinet và Sophos Firewall Firmware V22 chi tiết

1. Trên thiết bị Fortinet:

1.1 – Tạo VPN Tunnels

Vào VPN → IPsec Tunnels → Create New → Custom

Bảng VPN Create Wizard

Name: S2S-LAB

Template Type: Custom

Dùng Custom để chủ động cấu hình Phase 1 / Phase 2

Bảng Network

Tham sốGiá trị
IP VersionIPv4
Remote GatewayStatic IP Address
IP Address192.168.1.3 (WAN Sophos)
InterfaceWAN
Local GatewayKhông bật
Mode ConfigBỏ chọn
NAT TraversalDisable
Dead Peer DetectionDisable

– Disable NAT-T vì không NAT giữa 2 WAN
– Disable DPD để tránh reset tunnel trong lab

Bảng Authentication

Tham sốGiá trị
MethodPre-shared Key
Pre-shared Key(ví dụ) FortiSophos@123
IKE Version2

– PSK phải giống 100% bên Sophos

Phase 1 Proposal

Tham sốGiá trị
EncryptionAES256
AuthenticationSHA256
Diffie-Hellman Group14
Key Lifetime28800

Phase 2 Selectors

Selector 1

  • Local Address: 172.16.16.0/24
  • Remote Address: 10.10.10.0/24

Selector 2

  • Local Address: 172.16.16.0/24
  • Remote Address: 192.168.20.0/24
Tham sốGiá trị
EncryptionAES256
AuthenticationSHA256
Diffie-Hellman Group14
Key Lifetime43200

– Mỗi subnet Sophos cần 1 Phase 2
– Nếu gộp → tunnel UP nhưng không có traffic

Nhấn OK để tạo VPN Tunnel.

1.2 – Tạo Static Route

Vào Network → Static Routes → Create New

Route 1

Tham sốGiá trị
Destination10.10.10.0/24
InterfaceS2S-LAB
Gateway0.0.0.0
StatusEnable

Route 2

Tham sốGiá trị
Destination192.168.20.0/24
InterfaceS2S-LAB
Gateway0.0.0.0
StatusEnable

– Nếu thiếu static route → ping không bao giờ đi vào VPN

1.3 – Tạo Firewall Policy

Policy 1 – LAN → VPN

Tham sốGiá trị
Incoming InterfaceLAN
Outgoing InterfaceS2S-LAB
Source172.16.16.0/24
Destination10.10.10.0/24, 192.168.20.0/24
ServiceALL
ActionACCEPT
NATDisable

Policy 2 – VPN → LAN

Tham sốGiá trị
Incoming InterfaceS2S-LAB
Outgoing InterfaceLAN
Source10.10.10.0/24, 192.168.20.0/24
Destination172.16.16.0/24
ServiceALL
ActionACCEPT

– Policy VPN phải nằm trên policy Internet

2. Trên thiết bị Sophos

2.1 – Tạo subnet

Vào Hosts and Services → Add

TênLoạiThông số
LAN_SOPHOS_10NetworkIP: 10.10.10.0 / Subnet: 255.255.255.0
LAN_SOPHOS_20NetworkIP: 192.168.20.0 / Subnet: 255.255.255.0
LAN_FORTINetworkIP: 172.16.16.0 / Subnet: 255.255.255.0

2.2 – Tạo IPSec Profile

Vào SYSTEM > Profiles → IPsec Profiles → Add

Tham sốGiá trị
NameFortinet-Vacif
IKE VersionIKEv2
EncryptionAES256
AuthenticationSHA256
DH Group14

2.3 – Tạo IPSec Connection

Vào CONFIGURE → Site-to-site VPN →  IPsec → Add

General Settings

Tham sốGiá trị
NameVPN_SOPHOS_VACIF
Connection TypePolicy-based
Gateway TypeInitiate the connection
Create firewall ruleKhông chọn (tạo thủ công)

Authentication

Tham sốGiá trị
ProfileFortinet Vacif ( tạo ở bước trên )
Authentication Type               Pre-shared Key
Pre-shared KeyFortiSophos@123

Gateway Settings

  • Listening interface: Port 2 – 192.168.1.3
  • Gateway address: 192.168.1.2 (WAN Fortinet)
  • Local Subnet: 10.10.10.0/24 , 192.168.20.0/24
  • Remote Subnet: 172.16.16.0/24

2.4 – Tạo Firewall Rule Sophos

LAN → VPN

Tham sốGiá trị
Source ZoneLAN
Destination ZoneVPN
Source Network10.10.10.0/24, 192.168.20.0/24
Destination Network172.16.16.0/24
ActionAllow

VPN → LAN

Tham sốGiá trị
Source ZoneVPN
Destination ZoneLAN
Source Network172.16.16.0/24
Destination Network10.10.10.0/24, 192.168.20.0/24
ActionAllow

3. Kiểm tra kết quả

Sophos: VPN → IPsec Connections → Status: 🟢 Connected

Fortinet: Monitor → IPsec Monitor → Tunnel: UP (Có Incoming / Outgoing Data)

Test:

  • 172.16.16.x → 10.10.10.x
  • 172.16.16.x → 192.168.20.x

* Ghi chú & Lưu ý triển khai

  • Đảm bảo thời gian hệ thống đồng bộ (NTP) để tránh lỗi IKEv2 do lệch thời gian.
  • PSK, thuật toán mã hóa và nhóm DH phải trùng khớp 2 đầu – sai khác sẽ khiến Phase 1/2 thất bại.
  • Tắt NAT trên policy đi vào VPN; bật NAT sẽ làm sai nguồn và gói tin không match selector.
  • Mỗi cặp Local/Remote subnet cần 1 selector (Phase 2). Không gộp nhiều subnet nếu thiết bị không hỗ trợ.
  • Nếu tunnel UP nhưng không ping được, kiểm tra: Static Route, Policy thứ tự, và bảng ARP/Route trên hai đầu.

]]> https://vacif.com/moi-nhat-2026-sophos-firewall-huong-dan-cau-hinh-vpn-site-to-site-giua-firewall-fortinet-va-sophos-firewall-firmware-v22/feed/ 0 Hướng Dẫn Cấu Hình VPN FAILOVER MPLS Giữa Sophos & Fortigate Firewall https://vacif.com/huong-dan-cau-hinh-vpn-failover-mpls-giua-sophos-va-fortigate-firewall/ https://vacif.com/huong-dan-cau-hinh-vpn-failover-mpls-giua-sophos-va-fortigate-firewall/#respond Tue, 25 Mar 2025 07:30:13 +0000 https://vacif.com/?p=21781

I – Tổng quát

Cấu hình VPN Failover MPLS là giải pháp đảm bảo kết nối liên tục giữa các chi nhánh và trung tâm dữ liệu thông qua cả đường truyền MPLS và VPN (Internet). Khi đường MPLS gặp sự cố, VPN sẽ tự động kích hoạt để duy trì kết nối.

II – Sơ đồ

III – Mô hình hoạt động

  • Primary Link (MPLS): Kết nối chính giữa các chi nhánh với trung tâm dữ liệu thông qua MPLS.
  • Backup Link (VPN – Internet): Khi đường MPLS bị lỗi, VPN Site-to-Site qua Internet sẽ tự động thay thế.
  • Failover Detection: Sử dụng tính năng theo dõi (health check) để giám sát trạng thái đường truyền, nếu phát hiện mất kết nối, tự động chuyển sang VPN.
  • Load Balancing: Một số giải pháp có thể triển khai cả hai đường truyền cùng lúc để cân bằng tải.

IV – Các bước cấu hình

4.1 – Cấu hình VPN Site-to-Site giữa 2 chi nhánh

Link tham khảo: https://thegioifirewall.com/huong-dan-cau-hinh-ipsec-vpn-site-to-site-giua-sophos-va-fortinet-voi-ip-wan-la-ip-tinh/

4.2 – Cấu hình đường IPSec là đường backup cho đường MPLS

    • Chạy câu lệnh để xét đường IPSec backup cho đường MPLS.
    • SYNTAX: system link_failover add primarylink <MPLSPort> backuplink vpn tunnel <VPNLink> monitor PING host <RemoteIP>
    • Dưới dây là hình ảnh show kết quả cấu hình đường link Failover của MPLS.

    4.3 – Cấu hình Static route để traffic đi trực tiếp qua đường MPLS

    • Đăng nhập vào sophos web admin.

    • Đi tới Routing > Static routes và add unicast routes IPv4.

      4.4 – Cấu hình thứ tự ưu tiên đường đi cho Static route

      • Đăng nhập vào console sophos CLI.Chọn option 4. Device Console.
      • Chạy câu lệnh để xét đường ưu tiên đường static route.

      ** NOTE: Thứ tự route mặc định trên firewall Sophos là Static route, SD_WAN route, VPN route.

      • SYNTAX: system route_precedence set static sdwan_policyroute vpn
      • Cấu hình Failover: Chuyển đổi tự động giữa MPLS và VPN khi có sự cố.Đăng nhập vào sophos web admin.Đi tới Routing > SD_WAN profiles và add SD_WAN profiles mới.
      • Chuyển sang tab SD_WAN routes, tạo 1 SD_WAN route và chọn SD_WAN profiles vừa mới tạo.
      • Kiểm tra kết quả.
      • Ở đây mình đang có 2 đường WAN, 1 là đường MPLS và đường còn lại là đường viettel.
      • Ở tab SD_WAN profiles ta thấy đang chạy link MPLS
      • Kết quả ping/tracert cho thấy rằng traffic đang đi qua đường MPLS.
      • Tiến hành off link MPLS.
      • Sẽ tự động chuyển qua đường viettel.
      • Kết quả ping thấy rằng traffic đang đi qua đường VPN.

      V – Kết luận

      Cấu hình VPN Failover MPLS giúp:

      • Đảm bảo kết nối liên tục giữa các chi nhánh và trung tâm dữ liệu
      • Giảm thiểu gián đoạn dịch vụ khi MPLS gặp sự cố.
      • Tối ưu chi phí khi kết hợp MPLS và Internet thay vì chỉ sử dụng MPLS.
      ]]>       https://vacif.com/huong-dan-cau-hinh-vpn-failover-mpls-giua-sophos-va-fortigate-firewall/feed/ 0