• pfSense đã được cấu hình mạng Internet. (Xem hướng dẫn)
• 1 VPS đã được thiết lập WireGuard Server. Bạn có thể tham khảo hướng dẫn dưới đây để tạo VPN Server miễn phí

Hướng dẫn thiết lập VPN Server miễn phí với Oracle Cloud VPS

II. Cài đặt WireGuard package

Mặc định pfSense chưa có sẵn dịch vụ WIreGuard VPN. Bạn cần phải cài thêm WireGuard từ trang quản lý Package Manager.

Truy cập vào Web UI của pfSense, bấm vào Mneu System , chọn Package Manager. Sau đó bạn chọn qua tab Available Packages

Kéo xuống dưới, tìm WireGuard và bấm Install để cài đặt.

Chờ vài phút để pfSense tải và cài đặt WireGuard. Sau khi cài thành công, bạn sẽ thấy thông báo Success.

III. Cấu hình WireGuard VPN

1. Chuẩn bị file Wireguard Client

Trước tiên, bạn cần phải truy cập WireGuard VPN Server để tạo 1 Client mới dành cho Mikrotik và tải file conf về. Nội dung file sẽ tương tự như dưới đây.

[Interface]
PrivateKey = UDbFxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxaN9Oms=
Address = 10.7.0.3/24
DNS = 10.2.0.100

[Peer]
PublicKey = e/VZhqIyyyyyyyyyyyyyyyyyyyyyyyyy/4wS37B5x8QMxg=
PresharedKey = 5XvmWvYUm2xxxxxxxxxxxxxxxxxxxxxxxxxxxlgYPoFzj8Q618=
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = 146.ooo.iii.eee:51820
PersistentKeepalive = 0

Chúng ta sẽ dùng thông tin trong file conf này để cấu hình WireGuard VPN trên pfSense.

3. Tạo Tunnel

Bấm vào Menu VPN, chọn WireGuard để truy cập vào trang quản lý WireGuard. Bấm Add Tunnel.

Chúng ta sẽ dùng thông tin trong mục [Interface] của file cấu hình ở trên để thiết lập Tunnel

Nhập thông số:

• Enable Tunner: bấm chọn
• Description: tuỳ bạn chọn, mình ghi WireGuard-SF
• Interface Keys: nhập vào Private key nằm trong phần [Interface] của file cấu hình .conf. Sau đó mục Public Key kế bên sẽ tự động được tạo ra.
• Interface Address: nhập vào Address trong phần [Interface] của file cấu hình .conf

Bấm Save tunnel để lưu lại.

3. Tạo Peer

Bấm qua tab Tunnel, bấm vào Add Peer.

Chúng ta sẽ dùng thông tin trong mục [Peer] của file cấu hình ở trên để thiết lập Peer.

Nhập thông số:

• Enbale Peer: Bấm chọn
• Tunnel: chọn Tunnel mới vùa tạo ở bước 2
• Endpoint / Port / Public Key / Preshared Key / Keep Alive / Allowed IP: nhập theo thông tin trong file cấu hình

Bấm Save Peer để lưu lại.

4. Kích hoạt WireGuard

Bấm qua tab Settings, bấm chọn vào mục Enable WireGuard để kích hoạt WireGuard và bấm Save.

Sau đó, chuyển qua tab Status, bấm vào nút Show Peers, bạn sẽ thấy thông báo kết nối thành công đến WireGuard VPN Server.

IV. Cấu hình WireGuard Interface

Truy cập vào mục Interface Assignment từ menu Interfaces. Bấm vào nút Add ở dòng Available network ports.

Sau đó bấm vào Interface vừa tạo để thiết lập thông số

• Enable: bấm chọn Enable Interface
• Description: WG (hoặc tên gì tuỳ ý bạn)
• IPv4 Configuration Type: Static IPv4
• IPv6 Configuration Type: Static IPv6
• IPv4 Address: nhập vào Address trong phần [Interface] của file cấu hình .conf
• IPv6 Address: nhập vào Address trong phần [Interface] của file cấu hình .conf

Bấm vào nút Add a new gateway cạnh mục IPv4 và IPv6 để tạo Gateway mới. Nhập vào thông tin và bấm Add.

Bấm Save để lưu lại.

V. Thiết lập Gateway mặc định

Bấm vào Menu System, chọn Routing để truy cập trang thiết lập Gateways.

Bạn cần thiết lập Gateway mặc định cho mạng sử dụng Gateway của WAN

• Default gateway IPv4: chọn WAN_DHCP
• Default gateway IPv6: WAN_DHCP6

Bấm Save để lưu lại

VI. Cấu hình Firewall Rule for WireGuard

Để truy cập Internet thông qua WireGuard, bạn cần thiết lập Firewall Rule cho LAN.

Bấm vào menu Firewall, chọn Rules, sau đó bấm tiếp qua tab LAN. Bấm vào nút Add để tạo rule mới

Thông số:

• Action: Pass
• Interface: LAN
• Address Family: IPv4 hoặc IPv4+v6
• Protocol: Any
• Destination: WAN net

Bấm vào nút Advance Setting, mục Gateway: chọn Gateway WireGuard: WG_GW

Sau đó bấm Save. Bấm tiếp Apply để kích hoạt Firewall Rule mới.

Với Firewall Rule mới thiết lập, mọi kết nối từ trong LAN sẽ được chuyển hướng đi qua WireGuard Gateway. Bạn có thể kiểm tra bằng cách truy cập https://ip.me/ sẽ thấy hiện ra IP của VPN Server đang kết nối.

VII. Định tuyến tự động mạng quốc tế chạy qua VPN

Với cách thiết lập ở bước trên, mọi kết nối từ trong mạng LAN đều sẽ được gửi đến WireGuard VPN Server. Mình sẽ làm thêm 1 bước nữa để phân luồng mạng:

• Truy cập ra quốc tế sẽ chạy qua VPN.
• Truy cập trong nước sẽ đi trực tiếp, không qua VPN.

Nguyên lý hoạt động như sau

• Tạo 1 danh sách tất cả IP của Việt Nam sử dụng tính năng Alias của pfSense
• Tạo thêm Firewall Rule: chỉ các truy cập nào không phải đến IP Việt Nam mới chạy qua VPN.

1. Tạo IP Aliases

Từ Menu Firwall, bấm chọn Aliases. Bấm vào nút Import để nhập vào danh sách IP.

Sử dụng danh sách chứa tàon bộ dải IP của Việt Nam ở link dưới đây để nhập vào ô Aliases to Import

https://gist.githubusercontent.com/10h30/4347744f239f837dc0997ccbb1a0fd93/raw/abaeda6863304c0edf1b9b10439fcb7398ee14f6/pfsense-vietnam-ip-list

Aliase Name: Vietnam_IP_List

Bấm Save để lưu lại

2. Chỉnh sửa Firewall Rule

Quay lại trang quản lý Firewall Rule của LAN, chỉnh sửa lại Wirewall rule đã tạo ở bước trước đó, chỉnh lại thông số ở mục Destination:

• Destination: bấm chọn Invert Match, chọn Single host or Alias, sau đó gõ Vietnam_IP_List ở mục địa chỉ kế bên, bạn sẽ thấy tên hiện ra. Bấm chọn nó.

Bấm Save để lưu lại.

Danh sách Firewall Rule cho LAN sẽ hiện ra như sau:

Với thiết lập này, tất cả các truy cập đến IP quốc tế (nằm ngoài dải IP Việt Nam) sẽ chạy qua WireGuard VPN. Còn các truy cập trong nước sẽ chạy qua kết nối mạng thông thường.

Bạn có thể kiểm tra bằng cách truy cập vào https://ip.me và https://kiemtraip.com/ sẽ thấy hiện ra 2 IP khác nhau:

• IP.me hiện ra IP của VPN Server
• KiemtraIP: hiện ra IP của WAN.

Để bảo đảm kết nối thông suốt, bạn nên thiết lập Failover để tránh tính trạng VPN Server gặp vấn đề sẽ ảnh hưởng đến kết nối quốc tế.

Chúc bạn thực hiện thành công!

Nguồn: thuanbui

1. Load Balancing

Trong hệ thống mạng, Load Balancing (cân bằng tải) là tính năng giúp gộp băng thông 2 hay nhiều đường truyền WAN để nâng cao tốc độ và sự ổn định cho mạng LAN.

Ví dụ: WAN 1 có tốc độ 3Mbps và WAN 2 có tốc độ 7Mbps. Khi thiết lập Load Balancing, băng thông sẽ được gộp lại thành 10Mbps.

Khi một trong hai đường truyền WAN mất kết nối, hệ thống sẽ tự động chuyển qua sử dùng đường truyền còn lại.

2. Failover là gì?

Failover (chế độ dự phòng) là tính năng thiết lập mạng WAN dự phòng cho mạng WAN chính. Khi mạng WAN chính gặp trục trặc, router sẽ tự động chuyển qua sử dụng mạng dự phòng để giúp kết nối không bị gián đoạn.

Ví dụ: WAN 1 có tốc độ 7Mbps và WAN 2 có tốc độ 3Mbps. Với thiết lập Failover: WAN 1 là mạng chính và WAN 2 làm mạng dự phòng, hệ thống chỉ sử dụng đường truyền của WAN 1 – 7Mbps. Khi WAN 1 mất kết nối, WAN 2 sẽ được kích hoạt thay thế.

Failover thường được sử dụng trong trường hợp bạn chỉ muốn sử dụng mạng WAN dự phòng trong trường hợp bất khả kháng. Ví dụ: chỉ dùng mạng WAN 4G khi mạng FTTH ở nhà gặp trục trặc.

II. Thiết lập hệ thống mạng

Để thực hiện Load Balancing và Failover trên pfSense, yêu cầu pfSense phải có ít nhất 3 card mạng: 2 WAN và 1 LAN. Mình thiết lập hệ thống mạng ảo như dưới đây để thực hiện nghiên cứu

Quy trình thiết lập như sau:

1. Tạo 3 máy ảo pfSense sử dụng phương pháp clone (tạo bản sao) máy ảo trên Hyper-V.
   • 2 máy ảo pfSense đóng vai trò làm ISP ảo cung cấp kết nối WAN 1 và WAN 2
   • 1 máy ảo pfSense đóng vai trò làm Router chính sẽ được thiết lập Load Balancing và Failover.
2. Giới hạn băng thông: 70Mbps cho WAN 1 10.0.0.0/24 và 30Mbps cho WAN 2 172.27.0.0/24 (Xem hướng dẫn: Cấu hình giới hạn băng thông mạng LAN)
3. Tạo 3 Private Switch để kết nối các máy ảo lại với nhau.

Thao tác cấu hình Load Balancing và Failover sẽ được thực hiện trên pfSense trung tâm nằm ngay giữa sơ đồ.

III. Cấu hình Load Balancing

Trước khi cấu hình Load Balancing, bạn cần phải hoàn thành việc thiết lập các cổng mạng WAN Interface và LAN Interface trên pfSense.

Xem hướng dẫn : Cấu hình căn bản cho pfSense

1. Tạo Gateway Groups

Truy cập vào mục Gateway Groups: Bấm vào mục Routing trong Menu System, sau đó chọn qua tab Gateway Groups.

Bấm vào nút Add để tạo mới Gateway Group

• Group Name: Load_Balancer
• Gateway Priority: Chọn Tier 1 cho cả hai WAN.
• Trigger Level: Member Down
• Description: Dual Wan Load Balancer.

Mục Gateway Priority sẽ quyết định Gateway Group của bạn hoạt động dưới chế độ Load Balancing hay Failover:

• Hai WAN được set cùng Tier 1: chế độ Load Balancing, hai đường truyền sẽ được sử dụng đồng thời.
• Nếu hai WAN được set Tier khác nhau: ví dụ WAN 1 – Tier 1 & WAN 2 – Tier 2, chỉ WAN 1 sẽ được sử dụng cho đường truyền chính. Khi WAN 1 mất kết nối, WAN 2 sẽ được sử dụng.

Sau khi nhập thông số, bấm Save. Sau đó bấm thêm Apply Changes để xác nhận.

2. Thiết lập Monitor IP

Để pfSense nhận biết được WAN có mất kết nối Internet không, cần phải thiết lập Monitor IP cho từng Gateway. Mình sẽ sử dụng 2 Public IP sau đây để theo dõi hai cổng WAN

• WAN 1: 8.8.8.8 (DNS của Google)
• WAN 2: 208.67.222.222 (DNS của OpenDNS)

Quay lại tab Gateways, bấm vào biểu tượng bút chì để chỉnh sửa thông số

Kéo xuống phần Monitor IP: nhập vào 8.8.8.8 và bấm Save

Lập lại thao tác tương tự cho WAN 2.

3. Điều chỉnh Firewall Rule

Để sử dụng Gateway Group cho mạng LAN, chúng ta cần phải điều chỉnh lại Firewall Rule của pfSense.

Truy cập vào mục Rules từ Menu Firewall, chọn qua tab LAN. Bấm vào biểu tượng bút chì để thay đổi thông số cho Rule mặc định “Default allow LAN to any rule”

Kéo xuống dưới cùng, bấm vào nút Display Advanced để hiện ra các thông số nâng cao.

Mục Gateway: chọn Load_BLancer – Dual WAN Load Balancer. Sau đó bấm Save

Bấm tiếp Apply Changes để kích hoạt thay đổi.

4. Thực nghiệm Load Balancing

Mình sử dụng dịch vụ Speedtest.vn để kiểm tra băng thông mạng trên máy ảo WIndows 10 nằm trong mạng LAN của pfSense.

a. Trước khi kích hoạt Load Balancing

Trước khi kích hoạt Load Balanching, pfSense chỉ sử dụng đường truyền từ WAN 1 (30Mbps). Kiểm tra Speedtest ra kết quả tương ứng.

b. Sau khi kích hoạt Load Balancing

Sau khi kích hoạt, băng thông của WAN 1 (30Mbps) và WAN 2 (70Mbps) được gộp lại. Speedtest ra được 100Mbps. Ngon lành!

c. WAN 1 mất kết nối

Như đã chia sẻ ở đầu bài, chế độ Load Balancing mặc định sẽ hoạt động như một giải pháp Failover khi 1 trong 2 cổng WAN mất kết nối.

Mình kiểm tra thử bằng cách vào mục Interfaces trong Menu Status, sau đó bấm Release WAN1 để ngắt kết nối WAN 1.

Lúc này pfSense chỉ còn sử dụng đường truyền WAN 2 (70Mbps). Kiểm tra Speedtest cho ra tốc độ đúng như thông số.

IV. Cấu hình Failover

Thao tác cấu hình Failover gần như y hệt cấu hình Load Balancing. Khác biệt duy nhất là ở mục thiết lập thông số Gateway Priority khi tạo Gateway Group.

• WAN 1: Tier 1
• WAN 2: Tier 2

WAN 1 sẽ được sử dụng làm đường truyền chính, WAN 2 để dự phòng và chỉ được sử dụng khi WAN 1 mất kết nối.

Thac tác 2-3-4 thao tác y hệt như mục Cấu hình Load Balancing ở trên nên mình sẽ không nhắ lại.

V. Tổng kết

Thông thường với hệ thống mạng Dual-WAN, bạn nên thiết lập 3 Gateway Groups:

• Load Balance: Gateways của WAN1 và WAN2 cùng Tier 1
• PreferWAN1: Gateway của WAN1: Tier 1 và WAN2: Tier 2
• PreferWAN2: Gateway for WAN1: Tier và WAN2: Tier 1

Tuỳ theo nhu cầu sử dụng mà bạn chọn Gateway Group tương ứng. Ví dụ:

• LAN: dùng Load Balancing
• VLAN 10: Dùng Failover WAN1
• VLAN 20: Dùng Failover WAN2

Bài viết kết thúc ở đây

Nguồn: thuanbui

Hyper-V không có sẵn tính năng Clone máy ảo như trên VMWare, Proxmox hay VirtualBox. Do đó để tạo bản sao của máy ảo đang có trên Hyper-V, bạn phải thực hiện hai thao tác: xuất máy ảo (export virtual machine) và nhập máy ảo (import virtual machine).

Bạn có thể thực hiện xuất và và nhập máy ảo trực tiếp trên giao diện của Hyper-V Manager, hoặc sử dụng dòng lệnh trong PowerShell. Trong bài này mình thao tác trên Hyper-V cho trực quan và dễ hiểu.

1. Xuất máy ảo

Bạn có thể xuất máy ảo khi nó đang tắt hoặc trong khi nó đang hoạt động đều được.

Chọn vào máy ảo muốn xuất, bấm chuột phải và chọn Export…

Chọn thư mục để lưu và bấm nút Export.

Thời gian xuất dài ngắn tuỳ thuộc vào cấu hình (kích thước ổ cứng) của máy ảo gốc. Nếu bạn sử dụng SSD, thường chỉ mất vài phút để hoàn thành công đoạn này.

2. Nhập máy ảo

Để tạo bản sao của máy ảo vừa mới được xuất, bấm vào Import Virtual Machines… trong mục Actions của Hyper-V Manager

Bấm Next để bắt đầu chỉnh thông số

Tìm và mở thư mục bạn lưu máy ảo đã xuất. Sau đó bấm Next

Bước Select Virtual Machine sẽ hiện ra tên của máy ảo gốc bạn đã chọn để xuất ở bước trước đó. Chọn và bấm Next

Hyper-V yêu cầu mỗi máy ảo phải có ID khác nhau. Do đó ở bước này cần phải chọn mục Copy the virtual machine (create a new unique ID). Hai mục còn lại chỉ dùng khi bạn nhập máy ảo trên một máy tính vật lý khác.

Chọn thư mục để lưu máy ảo mới. Bạn nên gom tất cả vào chung 1 thư mục để dễ quản lý.

Chọn thư mục lưu ổ cứng ảo. Nên chọn chung thư mục lưu máy ảo

Bấm Finish để Hyper-v tạo máy ảo mới từ mẫu có sẵn.

Máy ảo mới tạo sau khi nhập thành công sẽ có tên y hệt như máy ảo gốc. Do đó bạn nên đổi tên để dễ phân biệt.

Lập lại bước 2 nếu bạn cần thêm nhiều bản sao cho hệ thống mạng ảo.

3. Cập nhật thông số

Nếu máy ảo gốc được thiết lập Static IP, máy ảo mới cũng sẽ sử dụng cùng IP, gây ra lỗi két nối mạng. Do đó, bạn cần phải truy cập vào máy ảo mới để thay đổi cấu hình IP Address.

Ví dụ với máy ảo pfSense Firewall 2, mình phải truy cập vào giao diện Shell và thiết lập lại IP của cổng WAN để không bị lỗi kết nối đến Switch.

Nếu cần thay đổi các thông số cổng mạng, RAM, CPU, truy cập vào mục Settings của máy ảo để thay đổi.

Chúc bạn thực hiện thành công!

• User Manager: quản lý tài khoản quản trị pfSense
• SSH Server: cấu hình đăng nhập SSH
• DHCP Server: cấu hình DHCP Server cho thiết bị trong mạng nội bộ

I. Tạo tài khoản quản lý pfSense

Để tránh phải dùng tài khoản Admin mặc định, mình sẽ tạo thêm tài khoản mới để quản lý pfSense.

II. Cấu hình SSH Server

Để việc quản trị dễ dàng hơn, mình sẽ mở cấu hình Secure Shell để có thể SSH vào pfSense bằng các công cụ như Terminal, SSH.

Truy cập đường dẫn System / Advanced và kéo xuống tới khi gặp dòng Secure Shell.

Tiếp theo, cần phải tạo thêm 1 Firewall để mở cổng 22 cho truy cập từ WAN vào pfSense. Hiện tại pfSense chỉ mới cho phép truy cập theo cổng 443 (HTTPS) đã thiết lập trong [Phần 3].

Bấm vào Firewall, chọn Rules, sau đó bấm Add để tạo Rule mới như sau:

• Action: Pass
• Interface: WAN
• Protocol: TCP
• Source: Any (hoặc có thể điền IP, Subnet của mạng)
• Destination: WAN Address
• Destination port range: SSH
• Description: SSH to Web UI

Giờ mình đã có thể đăng nhập SSH vào pfSense sử dụng tài khoản thuanbui đã tạo ở bước trước

III. Cấu hình DHCP Server

Tiếp theo, mình sẽ chỉnh cấu hình DHCP Server – dịch vụ cung cấp IP động cho máy tính nằm trong mạng LAN nội bộ.

Kích hoạt DHCP Server

Bấm vào Services trên Menu, chọn DHCP Server. Mặc định khi đã hoàn thành các bước thiết lập ban đầu, pfSense đã tự động kích hoạt DHCP Server và cấu hình NAT để các máy trong mạng LAN có thể truy cập ra mạng WAN.

Mình sẽ điều chỉnh lại thông số cho phù hợp với nhu cầu:

• Nhớ bấm Tick vào mục Enable DHCP Server on LAN interface để kích hoạt DHCP Server
• Range: Mình chỉnh lại From 10.0.0.101 – To 10.0.0.199, nghĩa là DHCP Server sẽ sử dụng IP Range từ 10.0.0.101 đến 10.0.0.199 cho các máy tính trong mạng LAN
• DNS Servers: 1.1.1.1 và 1.0.0.1

Sau đó bấm Save để lưu lại.

Thử kết nối từ máy ảo Arch

Mình mở máy ảo nằm trong mạng LAN của pfSense để kiểm tra DHCP Server của pfSense có hoạt động chưa.

Sau khi khởi động máy ảo, kiểm tra IP Address bằng lệnhTerminal window

ip addr show

Kiểm tra xem máy ảo có kết nối Internet khôngTerminal window

ping yahoo.com

Theo dõi DHCP Server

Mình có thể kiểm tra các tình trạng hoạt động của DHCP Server bằng cách truy cập vào mục DHCP Leases trong Menu Status.

Phần 4] của series pfSense Lab đã hết

Nguồn: thuanbui

Ở lần truy cập vào giao diện Web UI, pfSense sẽ tự động hiển thị trang Setup Wizard để thiết lập các thông số chính cho hệ thống.

Thông tin chung

• Hostname: giữ nguyên pfSense, bạn có thể thay đổi sau
• Domain: giữ nguyên mặc đinh home.arpa, bạn có thể thay đổi sau
• Primary & Secondary DNS Server: Điền Cloudflare DNS (1.1.1.1 và 1.0.0.1) hoặc Google DNS (8.8.8.8 và 8.8.4.4), hoặc để trống cũng không sao.
• Override DNS: Chọn mục này nếu bạn muốn sử dụng DNS cung cấp từ DHCP Server gửi đến cổng WAN.

Cấu hình Time Server

Cấu hình WAN Interface

Mình sẽ cấu hình WAN Interface và LAN Interface đúng theo sơ đồ mạng ảo đã thiết kế trong Phần 1.

Thiết lập WAN Interface Type là Static cùng thông số IP như sau:

• IP Address: 192.168.0.200
• Subnet Mask: 24
• Upstream Gateway: 192.168.0.1 (IP của Router Mikrotik)

Trong điều kiện thực tế, nếu bạn sử dụng pfSense để kết nối với modem quang của nhà mạng, cần phải chỉnh WAN Interface Type thành PPPoE và nhập Username / Password được cung cấp để xác thực kết nối.

Block RFC1918 Private Networks: mục này có nghĩa là pfSense sẽ chặn tất cả các truy cập vào cổng WAN từ các dãy IP nội bộ (10/8, 172.16/12, 192.168/16)

Do mình pfSense trong mạng ảo của Hyper-V, các kết nối vào cổng WAN đều là IP nội bộ (192.168.0.0/24), do đó cần phải bỏ chọn Block RFC1918 Private Networks để cho phép Host có thể truy cập vào trang quản trị của pfSense.

Cấu hình LAN Interface

Thay đổi mật khẩu Admin

Lưu lại thông số

II. Truy cập Web UI theo IP mới

Bạn cần phải quay lại Shell của pfSense để tắt packet-filter. Lý do vì sau khi thiết lập, pfSense khởi động lại dịch vụ và sẽ quay về chế độ mặc định chặn truy cập Web UI vào cổng WAN.

Truy cập vào trang quản trị Web UI theo WAN IP mới đã thay đổi trong bước thiết lập ban đầu: 192.168.0.200.

• Tài khoản: admin
• Mật khẩu: mật khẩu mới bạn đã thay đổi ở bước trên

III. Cho phép truy cập Web UI từ WAN

Để tiện việc cấu hình pfSense khi truy cập từ máy tính trong mạng nhà (nằm trên WAN của pfSense), mình sẽ tạo 1 Firewall Rule mới cho phép truy cập vào Web UI từ WAN. Nhờ vậy, không phải truy cập Shell gõ lệnh pfctl -d nữa.

Thiết lập thông số như sau:

• Action: Pass
• Interface: WAN
• Protocol: TCP
• Source: Any (hoặc có thể điền IP, Subnet của mạng)
• Destination: WAN Address
• Destination port range: HTTPS
• Description: Cho phép truy cập Web UI từ WAN

Vậy là xong. Bạn có thể truy cập vào pfSense theo địa chỉ 192.168.0.200 từ bất cứ máy tính nào trong nhà.

https://192.168.0.200

Bài viết đến đây tạm kết thúc

Nguồn: thuanbui

Bài viết này mình sẽ chia sẻ sự khác nhau giữa các loại Virtual Switch của Hyper-V và cách chọn loại Virtual Switch phù hợp cho nhu cầu sử dụng của bạn

Virtual Switch là gì?

Virtual Switch (bộ chia mảng ảo) trong Hyper-V vận hành y hệt như một Physical Switch (bộ chia mạng vật lý). Nó hoạt động ở Layer 2 của OSI Protocol với nhiệm vụ gửi gói dữ liệu đến địa chỉ MAC Address và quản lý VLAN Tagging.

Nếu bạn chưa hiểu rõ về các khái niệm mạng (OSI Protocol, MAC Address, VLAN) mình vừa mới nhắc đến, hãy tham gia khoá học Networking Essentials (miễn phí) của Cisco để trang bị kiến thức căn bản về hệ thống mạng. Nó sẽ giúp bạn không chỉ trong việc quản lý Homelab, mà còn hữu ích trong công việc sau này.

Trong Hyper-V, Virtual Switch được chia làm 3 loại:

• External Virtual Switch: Tạo mạng ảo kết nối với mạng nội bộ trong nhà thông qua card mạng vật lý (network interface card) của Host. Các thiết bị trong mạng ảo có thể kết nối đến các thiết bị mạng vật lý trong mạng nội bộ.
• Internal Virtual Switch: Kết nối host và các máy ảo với nhau. Dữ liệu được trao đổi giữa các máy ảo và host.
• Private Virtual Switch: Kết nối các máy ảo với nhau, chỉ cho phép trao đổi dữ liệu giữa các máy ảo. Host và máy ảo không giao tiếp được với nhau.

Chi tiết về mô hình hoạt động của từng loại Virtual Switch, các bạn xem tiếp bên dưới sẽ hiểu rõ hơn

External Virtual Switch

External Virtual Network sử dụng adapter mạng vật lý của máy chủ để tạo mạng ảo. Card mạng vật lý trên máy chủ Hyper-V sẽ được biến thành Virtual Switch, không được cấp IP. Máy chủ sẽ tự động tạo thêm 1 card mạng ảo và kết nối vào External Virtual Switch.

Do External Switch hoạt động dựa trên card mạng vật lý nên nếu máy bạn chỉ có 1 card mạng vật lý, bạn chỉ có thể tạo được duy nhất 1 External Network trong Hyper-V.

Để tạo External Virtual Switch, bạn mở Hyper-V Manager và truy cập vào mục Virtual Swich Manager, bấm vào New virtual network switch, chọn External. Bấm Create Virtual Swich

Khi tạo External network, bạn sẽ có thêm lựa chọn “Allow management operating system to share this network adapter”.

• Nếu bấm chọn: Card mạng ảo của Host sẽ được kết nối vào Virtual Switch Network.
• Nếu không chọn: Card mạng ảo của Host sẽ KHÔNG được kết nối vào Virtual Switch Network.

Lưu ý: Nếu bạn không chọn mục Allow management operating system to share this network adapter, Host sẽ không thể kết nối được với Router mạng trong nhà và sẽ bị mất kết nối Internet.

Nếu muốn có kết nối Internet trên Host, bạn có 2 lựa chọn:

• Vào chính sửa External Virtual Swich, bấm chọn lại Allow management operating system to share this network adapter.
• Tạo thêm 1 Internal Virtual Switch, kết nối với 1 máy ảo được cấu hình làm Router mạng để chia sẻ Internet với Host. Xem tiếp phần Internal Switch, mình sẽ có hình minh hoạt

Internal Virtual Switch

Internal Virtual switch không sử dụng kết nối đến NIC vật lý nào trên máy chủ. Nó là một switch tách biệt hoàn toàn trong Hyper-V. Hệ điều hành Host sẽ kết nối vào Internal Virtual Switch thông qua một card mạng ảo được Hyper-V tạo ra khi thiết lập Internal Switch.

Mặc định, Hyper-V đã tạo ra sẵn 1 Internal Swich có tên gọi Default Switch, với cấu hình DHCP và NAT để các máy ảo có thể kết nối với mạng vật lý / mạng Internet mà không cần phải cấu hình gì thêm.

Bạn có thể tạo thêm Internal Switch bằng cách truy cập vào Virtual Switch Manager và bấm vào New vỉtual network switch.

Lưu ý: Nếu bạn tạo thêm Internal Switch, cần phải kết nối nó với một máy ảo được cấu hình làm Router (dùng VyOS, pfSense, OPNsense,…) thì các máy ảo khác trong cùng Switch mới được cấp DHCP. Virtual Switch không có chức năng cấp DHCP cho thiết bị kết nối.

Trong hình ở trên, các bạn có thể thấy vEthernet (pfSense Switch) báo Unidentified Network. Lý do vì trên Switch chưa có kết nối đến Router, nên nó không được cấp IP và báo lỗi.

Như trong hình này, Host đang có IP 172.16.0.10 do máy ảo pfSense cung cấp. Cả Host và pfSense đều không thể truy cập Internet do chưa kết nối đến mạng vật lý bên ngoài. Mình có thể kết nối pfSense đến External Switch để chia sẻ Internet đến Host (hiện đang không có kết nối đến External Switch) như sau

pfSense có thể được cấu hình NAT để chia sẻ kết nối từ subnet 192.168.0.1/24 đến subnet 172.16.0.1/24, Host có thể truy cập Internet thông qua pfSense.

Private Virtual Switch

Private Virtual Switch hoạt động y hệt như Internal Virtual Switch, chỉ khác là Host không có kết nối đến trên Private Switch. Do đó, các máy ảo trên Private Switch có thể giao tiếp với nhau, nhưng không thể giao tiếp với Host. Ngược lại, Host cũng không thể kết nối đến các máy ảo trên Private Network thông qua Private Virtual Switch.

Mục đích của Private Virtual Switch là để thiết lập các mạng riêng ảo Private Network hoàn toàn tách biệt với nhau. Nếu muốn các mạng riêng ảo này kết nói với nhau, hoặc kết nối đến Host, bạn cần phải tạo 1 máy ảo làm nhiệm vụ Router để liên kết các mạng ảo với nhau.

Trong hình minh hoạ ở trên, các bạn có thể thấy mình sử dụng pfSense làm nhiệm vụ Router + Firewall để kết nối mạng từ subnet 172.16.0.1/24 đến subnet 192.168.0.1/24. Nếu cấu hình NAT trên pfSense, các máy ảo trong Private Switch có thể kết nối đến Router Mikrotik trong mạng vật lý để truy cập vào Host hoặc truy cập Internet.

Sử dụng Virtual Switch nào?

Lựa chọn loại Virtual Switch nào để sử dụng hoàn toàn phụ thuộc vào nhu cầu thiết lập Homelab của bạn. Có rất nhiều kịch bản bạn có thể áp dụng:

• Nếu bạn muốn thiết lập máy ảo để chạy Pi-Hole hoặc AdGuard Home để chặn quảng cáo cho cả nhà, tốt nhất nên cho máy ảo này kết nối vào External Switch để tối ưu hoạt động.
• Nếu bạn muốn tạo web server để có thể truy cập từ Internet, bạn nên sử dụng Private Switch và thiết lập thêm máy ảo pfSense làm tường lửa để tăng bảo mật. Đồng thời, ngăn chặn truy cập trái phép từ Internet vào hệ thống mạng vật lý trong nhà.
• Bạn còn có thể thiết lập VLAN để phân chia mạng LAN ảo trên cùng một Virtual Switch, giúp việc cấu hình đơn giản hơn.

Hy vọng bài viết mang đến thông tin hữu ích cho bạn trong bước đầu nghiên cứu về Hyper-V và Virtualization.

Chúc bạn thiết lập Homelab thành công!

Nguồn: thuanbui

pfSense là nền tảng Firewall mã nguồn mở miễn phí, được xây dựng dựa trên hệ điều hành FreeBSD. Ngoài chức năng tường lửa, pfSense còn có đầy đủ các chức năng định tuyến cao cấp của 1 Router chuyên dụng.

Ưu điểm của pfSense là sự ổn định, dễ sử dụng, cùng hiệu năng cao và không cần đòi hỏi phần cứng mạnh mẽ. pfSense có thể được cài trực tiếp trên máy tính cá nhân hoặc trên máy ảo, giúp giảm chi phí thiết lập. Nhờ vậy mang lại sự linh hoạt tối đa khi cần thêm tường lửa vào hệ thống mạng.

II. Yêu cầu hệ thống chạy pfSense

pfSense có thể hoạt động ngon lành trên các máy tính đời cũ. Dưới đây là cấu hình tối thiểu để chạy pfSense phiên bản 2.x :

• CPU – 500Mhz
• 512MB RAM
• 1GB ổ cứng trống.
• 2 card mạng

Đây chỉ là cấu hình tối thiểu để hệ thống hoạt động. Cấu hình phần cứng chính xác sẽ tuỳ thuộc vào lưu lượng gói dữ liệu đi qua Card mạng và mức độ phức tạp của các quy tắc tường lửa được thiết lập trên pfSense.

III. Sơ đồ mạng ảo pfSense Lab

Nhằm phục vụ nhu cầu nghiên cứu – vọc vạch, mình sẽ thiết đặt pfSense lên máy ảo Hyper-V. Máy ảo cài đặt pfSense sẽ đóng vai trò làm tường lửa – router cho hệ thống mạng nội bộ ảo kết nối qua Virtual Private Switch.

Máy ảo pfSense được thiết lập 2 card mạng:

• Card 1: đóng vai trò cổng WAN, kết nối vào External Switch để truy cập vào Internet
• Card 2: đóng vài cổng LAN, kết nối vào Private Switch để định tuyến dữ liệu cho mạng nội bộ.

pfSense được đặt giữa 2 Switch, đóng vai trò là Router + Firewall cho mạng nội bộ ảo gồm 2 máy ảo Arch kết nối qua Private Switch.

Nếu không sử dụng Hyper-V, bạn có thể áp dụng sơ đồ lab này với bất kỳ nền tảng ảo hoá nào khác: ESXi, Proxmox, Virtualbox,…

Cấu Hình Mạng Ảo Trong Hyper-V: External Switch, Internal Switch, Private Switch

IV. Thiết lập Virtual Switch

Để thiết lập hệ thống mạng ảo dành cho pfSense lab, mình sử dụng 2 Virtual Switch của Hyper-V:

• External Switch: Kết nối vào Host và máy ảo pfSense
• Private Switch: Kết nối vào máy ảo pfSense và hai máy ảo khác chạy Ubuntu

Nếu bạn không hiểu các khái niệm trên, có thể xem lại bài viết chi tiết về Virtual Switch dưới đây

Cấu hình mạng ảo trong Hyper-V bằng Virtual Switch: External Switch, Internal Switch, Private Switch

Trước khi cài đặt pfSense lên Hyper-V, mình cần phải thiết lập 2 Virtual Switch: 1 External và 1 Private Switch. Truy cập vào Virtual Switch Manager vào tạo 2 switch tương ứng như hình dưới đây

V. Tạo máy ảo Arch Linux

Mình sẽ tạo 2 máy ảo chạy Arch Linux nằm trong mạng nội bộ được quản lý bởi pfSense thông qua Private Switch. Hướng dẫn chi tiết mình đã chia sẻ trong bài viết dưới đây

Hướng dẫn cài đặt Arch Linux trên máy ảo Hyper-V

VI. Tải pfSense ISO

Để cài đặt pfSense lên máy ảo, truy cập vào website pfSense để tải file ISO: https://repo.ialab.dsu.edu/pfsense/. Phiên bản pfSense mới nhất ở thời điểm mình viết bài này là 2.5.2

Sau khi tải về, bạn cần phải giải nén file .iso.gz để tạo ra file .iso, được dùng để cài đặt pfSense lên máy ảo.

VII. Tạo máy ảo mới trên Hyper-V

Bạn mở Hyper-V Manager, tạo máy ảo mới với các thông số như sau:

• Name: pfSense Firewall
• Generation: Generation 2
• Memory: 1024 MB
• Network: External Switch
• Hard Disk: 8GB
• Operating System: Chọn file ISO vừa tải trước đó.

VIII. Điều chỉnh thông số máy ảo

Tiếp theo, truy cập vào phần Settings của máy ảo pfSense Firewall để điều chỉnh thêm các thông số cho máy ảo.

Tắt chức năng Secure Boot

Tắt Enable checkpoints

Tạo thêm card mạng

Hiện tại máy ảo pfSense Firewall chỉ mới có 1 card mạng kết nối vào External Switch. Cần tạo thêm 1 card mạng và kết nối vào pfSense Switch

Bấm OK để lưu lại thông số. Tiếp theo hãy khởi động máy ảo để tiến hành cài đặt pfSense vào ổ cứng.

Mình vừa mới hướng dẫn bạn các thiết lập mạng ảo với pfSense và Hyper-V. Trong phần 2, mình sẽ hướng dẫn chi tiết cách cài đặt pfSense lên máy ảo Hyper-V.

Nguồn: thuanbui

1. Giới thiệu Proxmox Backup Server

Proxmox Backup Server (PBS) là giải pháp sao lưu và phục hồi máy ảo VM / LXC Container. Nhờ hỗ trợ tính năng sao lưu từng phần (incremental) và chống trùng lập (deduplicated backups), PBS giúp giảm thiểu tối đa băng thông hệ thống và không gian lưu trữ cho các bản bản backup. Ngoài ra nó còn đang trang bị thêm các tính năng mã hóa giúp bảo đảm an toàn cho cho các bản backup.

Proxmox Backup Server là anh em một nhà với Proxmox nên có thể được coi là giáp pháp tốt nhất để sao lưu máy ảo VM và container LXC được thiết lập trên Proxmox. PBS có giao diện web trực quan tương tự như Proxmox giúp việc quản lý tiện lợi hơn.

2. Cài đặt PBS

Theo hướng dẫn từ website chính thức, chúng ta cần tải bản ISO về rồi sau đó tạo Boot USB để cài đặt trực tiếp lên máy chủ. Cách này gọi là bare-metal installation.

Mình không muốn cài bare-metal chọn cách cài đặt bằng Docker cho nhanh gọn lẹ. Có thể tận dụng các VPS đang có để làm nơi backup cho Proxmox luôn.

Mình sử dụng repo này: https://github.com/ayufan/pve-backup-server-dockerfiles

Yêu cầu sử dụng máy chủ / máy ảo đã được cài đặt Docker & Docker Compose.

Tạo thư mục mới cho PBS và file compose.yml

mkdir ~/pbs
cd ~/pbs
nano compose.yml

Nhập vào nội dung sau

services:
  pbs:
    image: ayufan/proxmox-backup-server:latest
    ports:
      - 8007:8007
    mem_limit: 2G
    volumes:
      - ./pbs_etc:/etc/proxmox-backup
      - ./pbs_logs:/var/log/proxmox-backup
      - ./pbs_lib:/var/lib/proxmox-backup
      - ./backups:/backups
    tmpfs:
      - /run
    cap_add: 
      - SYS_RAWIO
    devices:
      - /dev/sda
    restart: unless-stopped
    stop_signal: SIGHUP

Kích hoạt Proxmox Backup Server

docker compose up -d

Truy cập vào PBS ở địa chỉ 

https://<IP>:8007

3. Đăng nhập PBS

Ở lần đăng nhập đầu tiên, sử dụng thông tin mặc định như sau

• Username: admin
• Password: pbspbs
• Realm: Proxmox Backup authentication server

Sau khi đăng nhập, mình sẽ truy cập vào mục Access Control, bấm nút Add để tạo tài khoản mới

Tiếp theo, chuyển qua tab Permission, nhất nút Add để cấp quyền admin cho tài khoản vừa tạo.

Tiếp theo, thoát khỏi tài khoản admin, đăng nhập vào tài khoản mới. Sau đó xóa tài khoản admin đi để tối ưu bảo mật.

4. Tạo Datastore trên PBS

Bấm vào nút Add Datastore ở menu bên trái, sau đó nhập vào thông tin như hình. Backing Path: /backups là đường dẫn đã được khai báo ở dòng 11 trong file compose.yml ở bước 2.

Datastore mới với tên gọi backups đã hiện ra trong giao diện quản lý của Proxmox Backup Server.

Bấm vào nút Show Connection Information để xem thông tin chi tiết về datastore này. Thông tin hiện ra sẽ được dùng để cấu hình Storage trên Proxmox ở bước kế tiếp.

5. Tạo Storage mới trên Proxmox

Truy cập vào Proxmox, chọn mục Datacenter –> Storage, bấm nút Add và chọn Proxmox Backup Server

Nhập vào thông tin của Proxmox Backup Server đã hiển thị ở bước 4.

Sau khi hoàn thành, bạn sẽ thấy ở menu bên trái của Proxmox xuất hiện thêm một khu vực lưu trữ mới.

6. Sao lưu máy ảo lên PBS

Tham khảo bài viết : Hướng dẫn sao lưu / phục hồi máy ảo / container

Trong trường hợp bạn chọn sao lưu lên PBS thì sau khi thành công, bên Promox Backup Server sẽ hiện ra thông tin các bản backup vừa mới được tải lên từ Proxmox.

Chúc bạn thực hiện thành công!

Nguồn: thuanbui

Giới thiệu Proxmox VE Helper Script

Proxmox VE Helper Scripts được phát triển nhằm đơn giản hóa việc cài đặt các ứng dụng mã nguồn mở trên nền tảng Proxmox VE. Trang github của dự án này có hơn 14.000 stars, cho thấy sự tin cậy của nó với các tín đồ homelab.

Hiện tại đang có 323 scripts cài đặt, được chia làm nhiều danh mục khác nhau để bạn tha hồ khám phá

Cài đặt ứng dụng bằng script

Đa số các ứng dụng sẽ được cài đặt bằng cách tạo 1 LXC Container mới và thiết lập trực tiếp trên đó.

Tùy thuộc từng script mà chúng ta sẽ chạy script trên Shell của Proxmox hoặc trên shell của LXC. Cần đọc hướng dẫn đi kèm để làm cho đúng

Ví dụ: mình muốn cài Sonarr, sẽ cần chạy script này trên Shell của Proxmox VE host.

bash -c "$(curl -fsSL https://raw.githubusercontent.com/community-scripts/ProxmoxVE/main/ct/sonarr.sh)"

Chọn Yes để tiếp tục

Phần tiếp theo, có thể chọn Yes để cài đặt theo các thông số mặc định. Ai muốn cấu hình phức tạp thì chọn Advanced.

Quá trình cài đặt khoảng 3-5′ tùy theo ứng dụng. Sau khi cài đặt xong, bạn sẽ thấy hiện ra thông báo như bên dưới.

Truy cập theo địa chỉ http://192.168.0.105:8989 để sử dụng Sonarr.

Mò chán thì quay lại Proxmox, xóa LXC vừa tạo. Sau đó mò qua script mới. Tất cả đều diễn ra nhanh chóng, gọn lẹ, tiết kiệm được rất nhiều thời gian.

Nguồn: thuanbui