Sản phẩm đa dạng
Thiết Bị Quang luôn có sẵn các sản phẩm vật tư cáp quang chính hãng phù hợp với mọi công trình hệ thống quang.
Rất nhiều doanh nghiệp vẫn đang dùng chính cái modem nhà mạng cấp làm thiết bị bảo vệ duy nhất. Modem đó làm được việc cấp mạng, nhưng nó không lọc được nội dung, không ghi log ai truy cập gì, và không cho người đi công tác kết nối về an toàn. Khi có sự cố — máy nhiễm mã độc, dữ liệu rò ra ngoài — không có gì để lần lại.
Tường lửa đặt ở biên mạng, tức ngay giữa đường truyền nhà mạng và switch lõi, để mọi luồng ra vào internet đi qua một cửa duy nhất.
Tường lửa canh cửa ra internet, switch lõi lo giao thông giữa các VLAN bên trong
Đặt tường lửa ở đâu
Vị trí quan trọng ngang với việc chọn thiết bị nào. Tường lửa phải nằm giữa đường truyền nhà mạng và switch lõi. Đặt sai chỗ — ví dụ treo song song với switch, hoặc đặt sau switch lõi — thì các máy nội bộ nói chuyện thẳng với nhau và ra internet mà không đi qua nó, mua thiết bị đắt cũng không lọc được gì.
Việc chia VLAN và định tuyến giữa các VLAN nên để switch lõi làm, vì switch xử lý ở tốc độ phần cứng. Tường lửa lo phần ra vào internet và phần giữa các vùng cần cách ly. Cách chia lớp lõi và lớp biên nằm trong hệ thống switch mạng cho doanh nghiệp.
Chọn theo thông lượng, không theo số cổng
Con số cần nhìn là thông lượng khi đã bật đầy đủ tính năng, không phải thông lượng thuần. Nhà sản xuất thường công bố cả hai và chúng chênh nhau rất nhiều. Ví dụ hàng đang có:
| Model | Cổng | Thông lượng tường lửa | Hợp với |
|---|---|---|---|
| FortiGate-30E | 5 cổng GE (1 WAN + 4 switch) | 950 Mbps thuần | Văn phòng dưới 20 máy |
| FortiGate-50E | 7 cổng GE (2 WAN + 5 switch) | 2,5 Gbps thuần | Văn phòng có hai đường truyền |
| FortiGate-60E | 10 cổng GE (7 nội bộ + 2 WAN + 1 DMZ) | 3 Gbps thuần · độ trễ 3 μs | Có máy chủ công bố ra ngoài (DMZ) |
| Palo Alto PA-410 | 7 cổng 1G RJ45 | 1,4 Gbps khi đã bật App-ID và ghi log · VPN IPsec 0,5 Gbps | Nơi cần nhận diện ứng dụng và ghi log đầy đủ |
Chú ý con số của PA-410: 1,4 Gbps là thông lượng đã bật nhận diện ứng dụng và ghi log — tức con số dùng được thật, không phải con số phòng thí nghiệm. Khi so sánh giữa các hãng phải đối chiếu cùng một điều kiện đo, nếu không sẽ so nhầm con số thuần của máy này với con số đầy tải của máy kia.
Hai đường truyền và chuyện dự phòng
Với doanh nghiệp mà mất internet là dừng việc, nên có hai đường truyền của hai nhà mạng khác nhau. Tường lửa có từ hai cổng WAN như FortiGate-50E hoặc 60E sẽ tự chuyển sang đường còn lại khi một đường chết.
Điều kiện để dự phòng có ý nghĩa: hai đường phải là hai nhà mạng khác nhau và tốt nhất là vào toà nhà theo hai hướng cáp khác nhau. Mua hai đường của cùng một nhà mạng, đi chung một sợi vào toà thì đứt cáp là mất cả hai.
VPN cho người làm việc từ xa
Cách sai phổ biến là mở cổng thẳng từ internet vào máy chủ nội bộ để nhân viên truy cập từ nhà — đó là mở cửa cho cả thế giới cùng vào. Cách đúng là dùng VPN: người dùng xác thực với tường lửa trước, rồi mới vào được mạng nội bộ qua đường mã hoá.
Khi chọn thiết bị nhớ nhìn thông lượng VPN riêng, vì nó thấp hơn thông lượng tường lửa khá nhiều do phải mã hoá. PA-410 chẳng hạn: tường lửa 1,4 Gbps nhưng VPN IPsec chỉ 0,5 Gbps.
Khi nào cần thêm router riêng
Với nhu cầu định tuyến phức tạp hơn — nhiều chi nhánh nối với nhau, cân bằng tải nhiều đường truyền, định tuyến theo chính sách — có thể thêm router Mikrotik ở biên mạng, để tường lửa tập trung vào việc lọc và ghi log.
Bốn lỗi hay gặp
- Đặt tường lửa sai vị trí. Không nằm trên đường ra internet thì không lọc được gì.
- Chọn theo thông lượng thuần. Bật đầy đủ tính năng vào là thiết bị nghẽn, hoá ra tường lửa lại thành nút thắt của cả mạng.
- Hai đường truyền cùng một nhà mạng. Đứt cáp trục là mất cả hai, dự phòng chỉ có trên giấy.
- Mở cổng thẳng thay vì dùng VPN. Tiện cho nhân viên và tiện cho cả người quét cổng từ bên ngoài.
Báo giá tường lửa và thiết bị biên mạng
Hợp Nhất cung cấp tường lửa và router doanh nghiệp gồm Palo Alto và FortiGate, cùng router Mikrotik cho phần định tuyến. Anh chị cho biết số người dùng, tốc độ đường truyền hiện có và nhu cầu VPN, chúng tôi chọn giúp model có thông lượng phù hợp khi đã bật đầy đủ tính năng. Gọi 0966 100 110 hoặc để lại yêu cầu.
