Giải pháp tường lửa cho tiệm Net, gia đình hoặc công ty nhỏ

[MeXoaiCocOi]

Hôm nay mình xin giới thiệu một giải pháp tường lửa cho nhu cầu gia đình, tiệm Net hoặc cty nhỏ. Giải pháp đó là Sophos UTM 9 Home Edition. Thực ra hãng không cho phép sử dụng giải pháp này cho nhu cầu doanh nghiệp, tuy nhiên nếu xài chắc cũng chẳng ai làm gì mình cả :sexy:

Bản miễn phí có đầy đủ tất cả các chức năng của bản trả tiền, chỉ có 1 giới hạn là cho phép tối đa 50 IP truy cập mạng. Đó là lý do tại sao tiệm Net hoặc công ty nhỏ có thể áp dụng được.

Tại sao phải sử dụng ?



Chặn web đen (URL Filter)
Hạn chế download
Chỉ mở các cổng cần thiết cho các ứng dụng cần thiết => giảm dc băng thông mạng lãng phí => chơi game chắc chắn nhanh hơn
Cấu hình các ứng dụng nào được ưu tiên băng thông, ứng dụng nào ko được ưu tiên

...

Để tìm hiểu đầy đủ về thông tin sản phẩm các bạn có thể tham khảo link sản phẩm để rõ thêm

http://www.sophos.com/en-us/products/unified-threat-management.aspx (http://vozforums.com/redirect/index.php?link=http%3A%2F%2Fwww.sophos.com%2Fen-us%2Fproducts%2Funified-threat-management.aspx)Để đăng ký sử dụng và tải các bạn tham khảo link bên dưới

http://www.sophos.com/en-us/products/free-tools/sophos-utm-home-edition.aspx (http://vozforums.com/redirect/index.php?link=http%3A%2F%2Fwww.sophos.com%2Fen-us%2Fproducts%2Ffree-tools%2Fsophos-utm-home-edition.aspx)Sau khi đăng ký hãng sẽ gởi email cho bạn trong đó có chứa đường dẫn download cũng như license để sử dụng. Do đó bạn phải sử dụng địa chỉ email đúng nhé.

Ngoài ra thêm 1 vấn đề, dù là Home Edition nhưng khi đăng ký hãng khuyên nên sử dụng email doanh nghiệp. Tuy nhiên xài email miễn phí cũng OK:beauty:

Cấu hình yêu cầu

Trong trang web không nêu rõ nhưng các bạn sử dụng một máy bình thường là đủ

CPU: Dual core (khuyên)
RAM: 2GB (khuyên)
HDD: 60GB (càng nhiều càng tốt) xài chức năng Cache - Proxy
Card mạng: tối thiểu 2 cái (1 LAN, 1 WAN)Giao diện chính Dashboard

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/MainWindows.png


Dưới đây mình xin thêm vài post để post thêm quá trình cài đặt, cấu hình ban đầu...

[MeXoaiCocOi]

Quá trình cài đặt

Mọi thứ tương đối đơn giản, anh em có thể tham khảo như hình dưới đây.

Tải file ISO về, burn file ISO ra đĩa để boot, ai không biết thì Google cách ghi file ISO. Phần mềm có thể dùng ImgBurn

Boot đĩa cài đặt thấy màn hình như bên dưới. Nhấn Enter để bắt đầu cài đặt

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-1.png

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-2.png

Chọn Start => Enter

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-3.png

Màn hình phần cứng mà đĩa cài nhận diện, nhấn OK để tiếp tục

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-4.png

Chọn Keyboard Layout => OK

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-5.png

Cấu hình TimeZone

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-6.png

Chỉnh ngày giờ tháng năm

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-7.png

Bước này bộ cài yêu cầu lựa chọn card mạng để truy cập cấu hình sau khi cài hoàn tất, các bạn chọn cái nào cũng dc, sau kết nối ko dc thì đổi port :sexy:. Quá đơn giản

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-8.png

Cấu hình địa chỉ IP cho firewall. Ở đây mình mặc định nó là gateway nên phần gateway bỏ trống

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-9.png

Enterprise Toolkit, chọn Yes và tiếp tục

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-10.png

OK, tiếp luôn

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-11.png

Bộ cài thông báo sẽ xóa toàn bộ dữ liệu trên ổ cứng, các bạn nếu xài ổ cũ thì backup trước khi quá muộn :adore:

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-12.png

Xong, nhấn reboot nữa là hoàn tất phần cài đặt

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-13.png

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/1%20-%20Install/SophosUTM-14.png

Khởi động lại nó hiện thế này này

[MeXoaiCocOi]

Sau khi khởi động lại cái firewall thì các bạn tới bước cấu hình nó. Do chưa cấu hình nên DHCP chưa chạy, các bạn phải set IP cho máy (cùng mạng) để cấu hình trước

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-1.png

Mở trình duyệt và đánh vào địa chỉ IP của firewall để tiến hành cấu hình.

Như vd của mình địa chỉ là https://192.168.10.254:4444


http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-2.png

Nhập các thông tin yêu cầu và nhất nút Perform basic system setup, quá trình này mất khoảng 40 giây

Tiếp đến khi khởi động xong sẽ tự động chuyển đến màn hình đăng nhập

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-3.png

Nhập username và mật khẩu để tiếp tục cấu hình

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-4.png

Nhấn Next để tiếp tục

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-5.png

Chèn file bản quyền Sophos gửi để tiếp tục cài đặt (file đính kèm mail)

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-6.png

Bật DHCP Server để firewall làm nhiệm vụ cấp DHCP cho các máy con trong mạng

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-7.png

Chọn card mạng WAN và thiết lập mạng cho card mạng WAN, ở đây mình cho card mạng WAN nhận IP tự động được cấp từ Router, các bạn cũng có thể đặt IP tĩnh nếu muốn

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-8.png


Thiết lập một số thiết lập cơ bản cho tường lửa

Như trên hình mình cho phép các dịch vụ web (http, https, ftp), mail và chat được sử dụng mạng

* Gateway is ping visible : Cho phép tường lửa trả lời khi bạn ping tường lửa

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-9.png

Một số thiết lập IPS ngăn chặn các cuộc tấn công mạng (tùy chọn)

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-10.png


Tùy chọn Application Control, nếu muốn sử dụng Application Control thì enable chức năng Network Visibility


http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-11.png

Chọn các thiết lập lọc web sẵn có, có thể chọn hoặc chọn sau cũng được

* Filter all web traffic for virus and spyware. (Quét tất cả dữ liệu web ra vào để chặn virus và spyware)
* Các hạng mục bên dưới có thể tùy chọn Block hoặc không


http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-12.png


Email Protection, nếu có nhu cầu thì bật, không thì thôi. Next

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/2%20-%20Config/Config-13.png

Hoàn tất, nhấn Finish để kết thúc.

Như vậy về cơ bản bạn đã có 1 tường lửa chạy ngon lành rồi. Để phù hợp với nhu cầu có thể tham khảo thêm 1 số tùy chọn như post bên dưới

[MeXoaiCocOi]

Một số các cấu hình khác

* Cấu hình các file cho phép tải về hoặc không cho phép tải về

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/Block_FileType_Download.png

Vào mục Web Protection => Web Filtering => Chọn tab Antivirus/Mailware => Thêm hoặc xóa trong mục Blocked file Extensions

* Cấu hình dung lượng file lớn nhất được phép tải

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/Block_Download_LargeFile.png

Chọn mục Web Protection => Web Filtering => Chọn tab Advanced => cấu hình Block downloads larger than ...

Như vd mình chặn download tất cả các file lớn hơn 128MB

* Cấu hình danh sách địa chỉ web được phép và không được phép truy cập

http://i1246.photobucket.com/albums/gg611/tructransecure/SophosUTM%209%20Home/URLFilter.png

Tùy chọn các hạng mục trang web cho phép hoặc chặn. Tùy chọn các trang web chặn hoặc cho phép như ô số 3 trong hình. Như trong ví dụ mình chặn truy cập Facebook

Chọn mục Web Protection = > Web Filtering => URL Filter

Để tùy chọn kỹ hơn các hạng mục web bị chặn, bạn truy cập Web Protection => Web Filtering => URL Filter Categories

* Hướng dẫn mở port tường lửa (cho phép các game, hoặc ứng dụng truy cập mạng)

http://vozforums.com/attachment.php?attachmentid=658176&stc=1&d=1386752156 (http://vozforums.com/redirect/index.php?link=http%3A%2F%2Fyoutu.be%2FYTwW8vIPzD4)

Video mình hướng dẫn mở port cho tường lửa. Do mạng mình còn có các tường lửa khác filter nên utorrent chưa bật xanh được, các bạn làm theo chắc chắn được.

Lưu ý: Cần phải biết số port của ứng dụng cần mở port để mở cho đúng

[MeXoaiCocOi]

Xí chỗ post 4

[MeXoaiCocOi]

Xong rồi ạ, mời các bác chém :beauty:

PS: Bác nào thấy hữu ích post đi các forum khác vui lòng để nguồn nhé. Thanks

[agreorasjuniory5099]

http://mdkw.eu/1s2 しかし当人は大のお気に入りのようで、以後の試合でも心� �中で呟いてはガッツポーズを繰り返している篠田（しのだ� ��（声優：佐々木誠二）。従兄はお互いの実家が九州と関西 で離れていて、どちらかの場所で結婚式を挙げると、結局� �動しなければいけないゲストが出てくるため、それならば� ��海外挙式に決めたそうです。
完全に乾いた状態でカバーを開けてください 使用後は60分以内に必ず水洗いをしてください 温泉では使用しないでください 容器にためた真水に5分以上つけ置いてから、水の中で本体� ��揺すったり、各ボタンやズームレバーを動かして、ボタン のすきまに入った塩、砂等をしっかりと洗い流してくださ� � 水道などからの勢いのある水を直接あてないでください 防水性能を維持するために、1年に1回はお買い上げ時の販売 店か修理相談窓口にご相談いただき、バッテリー/メモリーカードカバー、端子カバーの防水パッキンを交換� �ることをおすすめします（有料）。人口は横浜市ぐらい、� ��積は鹿児島県ぐらい、、日本の/の人口でこの地の野球にかける国民の熱意が伺えます。恍� �な瞳でデカチンを貪る絶妙なバキュームフェラ。撮像素子� ��35フルサイズの1,800万画素。もちろん、巨大官僚組織に肥� �した厚労省に問題が多いのは事実だし、それは正されるべ� ��だ。また失敗してしまう原因です多少めんどくさいかもし れませんが、綺麗なデコレーションを作るには大事な作業� �ひとつです。ニューバランス レディース (http://tiny99.com/279558)
ニューバランス 1300 (http://pdk.pw/944356) そこで今回は、忙しい理系学生の、アルバイトと勉強を両� �させるコツについてのレシピを紹介します筆者は、大学生� ��1年目に、アクセサリーを扱う店舗でのアルバイトをして� �ました。両者はそれぞれ，近代における政治学と法律学を� ��礎づけるものとなった。いったいどのような仕事をしてい たのだろうか大卒後、バックパッカーとして東南アジアを� �浪した貧BPさん。「失われた十氏族」。優雅なブルースチ� �ルの針も、その針を際立たせている白い文字盤の制作もす� ��て手作業。

[f22_raptor]

Bản này có gì khác so với bản thương mại ko bác? Hay là vẫn đủ tính năng nhưng chỉ giới hạn số IP?

Có khả năng nhúng vào AD ko bác? Có khả năng quản lý băng thông theo từng user, từng IP ko? Có khả năng chặn web application ko bác? :D

Trên máy client có cần cài agent gì ko? Nếu có cài agent thì agent đó có password để bảo vệ nó không?

[MeXoaiCocOi]

Bản này có gì khác so với bản thương mại ko bác? Hay là vẫn đủ tính năng nhưng chỉ giới hạn số IP?

Mình chưa thấy gì khác ngoại trừ giới hạn 50 IP và không customize được mấy cái dialog thông báo trong phần Management => Customization

Có khả năng nhúng vào AD ko bác? Có khả năng quản lý băng thông theo từng user, từng IP ko? Có khả năng chặn web application ko bác? :D

Có tích hợp được với AD và các thể loại khác nhé bác

http://vozforums.com/attachment.php?attachmentid=659810&stc=1&d=1387501526

Trên máy client có cần cài agent gì ko? Nếu có cài agent thì agent đó có password để bảo vệ nó không?

Mọi traffic được thông qua tường lửa này là được filter trực tiếp, như ở trên mình đang chạy Transparent mode (cấu hình mặc định). Nếu thích thì có thể chuyển sang chế độ proxy và cấu hình proxy cho client (hoặc dùng script sophos utm cung cấp để các trình duyệt tự động cấu hình. Ngoài ra nếu HDD to thì enable cache lên để lướt web nhanh hơn.

Agent chỉ cần dùng khi dùng tới chức năng Endpoint protection. Hình như giới hạn 5 PC thì phải. Mình cũng chưa dùng nữa.


Ngoài lề chút: Bản thương mại của thằng này đắt kinh. Chỗ mình dùng Email Protection Standard mà mỗi năm phải trả ~ 1000$ tiền thuê bao :sosad:

[ivanst1]

Mù IT hỏi ngu chút.
Cái này là cài cho 1 máy riêng hả bạn ==!
máy đó sẽ thay nhiệm vụ của modem cấp phát ip cho các client và quản lý băng thông , lưu lịch sử sử dụng của các client + nội dung ???
Đừng gạch em nhé ==!

[f22_raptor]

Mình chưa thấy gì khác ngoại trừ giới hạn 50 IP và không customize được mấy cái dialog thông báo trong phần Management => Customization



Có tích hợp được với AD và các thể loại khác nhé bác

http://vozforums.com/attachment.php?attachmentid=659810&stc=1&d=1387501526



Mọi traffic được thông qua tường lửa này là được filter trực tiếp, như ở trên mình đang chạy Transparent mode (cấu hình mặc định). Nếu thích thì có thể chuyển sang chế độ proxy và cấu hình proxy cho client (hoặc dùng script sophos utm cung cấp để các trình duyệt tự động cấu hình. Ngoài ra nếu HDD to thì enable cache lên để lướt web nhanh hơn.

Agent chỉ cần dùng khi dùng tới chức năng Endpoint protection. Hình như giới hạn 5 PC thì phải. Mình cũng chưa dùng nữa.


Ngoài lề chút: Bản thương mại của thằng này đắt kinh. Chỗ mình dùng Email Protection Standard mà mỗi năm phải trả ~ 1000$ tiền thuê bao :sosad:


Cái Endpoint Security thì bên em đã có của em Kaspersky rồi, giá thì chắc chắn rẻ hơn thằng endpoint của sophos này nhiều

Bác có thể demo rõ vụ bandwidth shaping được ko? Còn vụ chặn web application nữa và cả mobile application nhé (nếu được)

Gía cả của cái FW UTM của nó thì sao bác nhỉ, nó tính ra sao? Cho server và cho số lượng của user phải ko bác? Em mail cho nó mà chẳng thấy nó reply lại gì hết :gach:

[Quydienlangy]

Cái Endpoint Security thì bên em đã có của em Kaspersky rồi, giá thì chắc chắn rẻ hơn thằng endpoint của sophos này nhiều

Bác có thể demo rõ vụ bandwidth shaping được ko? Còn vụ chặn web application nữa và cả mobile application nhé (nếu được)

Gía cả của cái FW UTM của nó thì sao bác nhỉ, nó tính ra sao? Cho server và cho số lượng của user phải ko bác? Em mail cho nó mà chẳng thấy nó reply lại gì hết :gach:
Thế bác email cho em này :sexy:
Bác muốn dùng cái nào, software hay appliance :sexy:
Bản software thì tính theo user, bản hardware appliance thì mua theo tính năng thôi :sexy:

[MeXoaiCocOi]

Cái Endpoint Security thì bên em đã có của em Kaspersky rồi, giá thì chắc chắn rẻ hơn thằng endpoint của sophos này nhiều

Giá thì mình chưa mua Endpoint Protection của Sophos nên không nắm cụ thể nhưng bộ pm này tương đối linh hoạt và dễ sử dụng, khá nhiều tính năng hay. Mình đã chạy demo lab rồi. Nhìn chung cũng ổn :beauty:

Bác có thể demo rõ vụ bandwidth shaping được ko? Còn vụ chặn web application nữa và cả mobile application nhé (nếu được)

Về chặn web application thì hãng có tạo sẵn khoảng 1000 rule, không tự tạo thêm được. Nhưng như vậy cũng rất nhiều, đủ cho hầu hết các nhu cầu. Nếu cao hơn thì có thể tùy chỉnh ở các thiết lập khác

http://vozforums.com/attachment.php?attachmentid=660639&stc=1&d=1387858653

Khi vào trang bị chặn sẽ báo thế này

http://vozforums.com/attachment.php?attachmentid=660638&stc=1&d=1387858653



Về quản lý bandwidth thì có thể dùng chức năng QoS


VD: Tạo ra 1 rule cho uTorrent

http://vozforums.com/attachment.php?attachmentid=660640&stc=1&d=1387858653

và cấu hình bandwidth cho phép tối đa và tối thiểu cho dịch vụ

http://vozforums.com/attachment.php?attachmentid=660641&stc=1&d=1387858653


Gía cả của cái FW UTM của nó thì sao bác nhỉ, nó tính ra sao? Cho server và cho số lượng của user phải ko bác? Em mail cho nó mà chẳng thấy nó reply lại gì hết :gach:

Cái cty đang xài là hardware appliance tính phí theo tính năng cần mua. Chỗ mình dùng Email Standard

Còn các tính năng khác bro tham khảo bác Quydienlangy trên kia kìa

[minhneo]

Cho mình hỏi khi cấu hình firewall thì mình cấm tất cả chỉ tạo 2: allow DNS và rule cho phép đọc các trang báo như: vnexpress.net, dantri.com.vn, tuoitre.vn, thanhnien.com.vn . Nhưng khi truy cập các trang này thì các trang này có link đến những host khác nên bị firewall chặn hết dẫn đến nội dung, form trang cần truy cập không hiển thị đầy đủ. Bạn có các nào khác cách phải add các host mà các trang tin tức bên trên link tới không?

Thanks!

[MeXoaiCocOi]

Cho mình hỏi khi cấu hình firewall thì mình cấm tất cả chỉ tạo 2: allow DNS và rule cho phép đọc các trang báo như: vnexpress.net, dantri.com.vn, tuoitre.vn, thanhnien.com.vn . Nhưng khi truy cập các trang này thì các trang này có link đến những host khác nên bị firewall chặn hết dẫn đến nội dung, form trang cần truy cập không hiển thị đầy đủ. Bạn có các nào khác cách phải add các host mà các trang tin tức bên trên link tới không?

Thanks!

Tường lửa gì bạn, nếu được thì chụp ảnh config để mọi người bàn luận

[minhneo]

Tường lửa gì bạn, nếu được thì chụp ảnh config để mọi người bàn luận

Mình dùng pFsense, thứ tự các rule:
1.Allow PC Admin --> LAN
2.Allow DNS --> Any
3.Allow LAN --> vnexpress.net, tuoitre.vn, dantri.com.vn ( Port 80, 8080, 443, 3128 )
4.Deny LAN --> Any

[hidenmagic]

chủ thớt có thể giải quyết cấu hình sau bằng sophos không?
cho phép một số người vào facebook nhưng chặn youtube
cho phép một số người vào youtube nhưng lại chặn fb
cái đó thiết lập trong profile của web protection phải không?

[MeXoaiCocOi]

chủ thớt có thể giải quyết cấu hình sau bằng sophos không?
cho phép một số người vào facebook nhưng chặn youtube
cho phép một số người vào youtube nhưng lại chặn fb
cái đó thiết lập trong profile của web protection phải không?

Muốn chặn kiểu này thì phải tạo user và group để tạo các rule phù hợp và yêu cầu.

Hoặc có thể chặn theo nhóm máy tính (dựa theo Mac Address và địa chỉ IP)

[hidenmagic]

chủ thớt có thể giải quyết cấu hình sau bằng sophos không?
cho phép một số người vào facebook nhưng chặn youtube
cho phép một số người vào youtube nhưng lại chặn fb
cái đó thiết lập trong profile của web protection phải không?
-bạn có thể tạo thành từng nhóm network group. add ip các người này vào NG tương ứng
-sau đó vào trong profile set policy. phần allow network chính là các NG bạn đã tạo ở trên
-rồi set policy để chặn

[hidenmagic]

-bạn có thể tạo thành từng nhóm network group. add ip các người này vào NG tương ứng
-sau đó vào trong profile set policy. phần allow network chính là các NG bạn đã tạo ở trên
-rồi set policy để chặn

thanks bạn
cuối cùng mình cũng làm được
nhưng mà còn 1 vấn đề là log khi thống kê của sophos quá cùi, cấu hình thế nào nó cũng ko xem được link con bên trong. chỉ có cách phải ngồi download file log và đọc log
bạn có cách nào không? log nó không chi tiết như ebox platform, smoothwall hay clearos (nhưng mấy thằng này không chặn https được)