Cấu hình VLAN trên thiết bị Firewall Fortigate

Khi hệ thống mạng có nhiều phòng ban, thiết bị hoặc nhóm người dùng, việc chia nhỏ mạng thành các VLAN sẽ giúp quản lý dễ dàng hơn và kiểm soát truy cập hiệu quả hơn. Với Firewall FortiGate, VLAN có thể được cấu hình trực tiếp trên các cổng mạng để phân tách lưu lượng, thiết lập kết nối giữa các VLAN và áp dụng chính sách bảo mật phù hợp. Vậy cấu hình VLAN trên FortiGate như thế nào? Hãy cùng Việt Tuấn tìm hiểu qua hướng dẫn dưới đây.

Giới thiệu sơ về VLAN

VLAN (Virtual Local Area Network - Mạng cục bộ ảo) là công nghệ cho phép chia một mạng vật lý (physical network) thành nhiều mạng logic riêng biệt dựa trên VLAN ID theo chuẩn IEEE 802.1Q. Thay vì tất cả thiết bị nằm chung một broadcast domain (gây tốn băng thông và giảm bảo mật), VLAN giúp cô lập traffic, giảm broadcast storm và tăng khả năng kiểm soát.

Trên Fortigate Firewall (chạy FortiOS), VLAN được triển khai dưới dạng sub-interface (interface con) gắn vào một cổng vật lý (physical port). Fortigate đóng vai trò Layer 3 router/firewall, thực hiện inter-VLAN routing và áp dụng chính sách bảo mật chi tiết cho từng VLAN

Lợi ích của việc cấu hình VLAN trên Fortigate

Cấu hình VLAN trên Fortigate mang lại nhiều lợi ích thiết thực cho doanh nghiệp:

• Tăng cường bảo mật: Mỗi VLAN có thể áp dụng firewall policy riêng (cho phép/chặn traffic giữa các VLAN, ra Internet, hoặc vào DMZ). Giảm nguy cơ lan truyền malware hoặc truy cập trái phép giữa các phòng ban/server.
• Giảm tải broadcast: Traffic broadcast chỉ giới hạn trong VLAN, giúp mạng ổn định và nhanh hơn.
• Tiết kiệm tài nguyên phần cứng: Chỉ cần một cổng vật lý trên Fortigate để kết nối nhiều VLAN (qua trunk port từ switch).
• Quản lý dễ dàng: Dễ dàng phân chia mạng theo bộ phận (Sales, Accounting, Server, Guest…) và áp dụng QoS, NAT, UTM (AntiVirus, Web Filter…) riêng.
• Hỗ trợ mở rộng: Dễ dàng thêm VLAN mới mà không cần thay đổi hạ tầng vật lý lớn.
• Inter-VLAN routing an toàn: Fortigate kiểm soát toàn bộ luồng traffic giữa các VLAN thay vì để switch Layer 3 xử lý (tăng tính bảo mật)

Cấu hình VLAN trên Fortigate chi tiết 

Mô hình mô phỏng trên EVE:

VLAN 10: 192.168.10.0/24

VLAN 20: 192.168.20.0/24

Bước 1: Tạo VLAN Sub-Interface Trên Firewall Fortigate

Bạn vào Network > Interfaces → Create New > Interface.

Tiếp theo hiện ra thông tin để bạn nhập và tạo VLAN 10

Điền thông tin:

• Interface Name: VLAN10 (nên đặt theo ID của vlan cho quản trị dễ dàng).
• Type: VLAN.
• Interface: Chọn cổng vật lý (ví dụ: internal hoặc port2 đây là cổng sẽ cắm xuống switch và kết nối tới cổng Trunk của switch).
• VLAN ID: 10.
• Addressing Mode: Manual.
• IP/Netmask: Ví dụ: 192.168.10.1/24 (làm gateway cho VLAN).
• Administrative Access: Bật Ping (để test).
• Role: LAN (hoặc DMZ nếu là VLAN server)
• DHCP SERVER: Enable (nhớ bật lên để cấp IP cho client và nhấn OK)

Tương tự đối với VLAN 20 bạn cũng tạo y vậy:

• Interface Name: VLAN 20 (nên đặt theo ID của vlan cho quản trị dễ dàng).
• Type: VLAN.
• Interface: Chọn cổng vật lý (ví dụ: internal hoặc port2 đây là cổng sẽ cắm xuống switch và kết nối tới cổng Trunk của switch).
• VLAN ID: 20.
• Addressing Mode: Manual.
• IP/Netmask: Ví dụ: 192.168.20.1/24 (làm gateway cho VLAN).
• Administrative Access: Bật Ping (để test).
• Role: LAN (hoặc DMZ nếu là VLAN server)
• DHCP SERVER: Enable ( nhớ bật lên để cấp IP cho client và nhấn OK)

Bước 2: Cấu hình MODE TRUNK trên cổng Interface của switch kết nối đến Firewall Fortigate và MODE ACCESS đối với các cổng kết nối tới thiết bị Client được chỉ định thuộc VLAN nào.

Vào chế độ cấu hình trên switch Cisco

Enable

Configure terminal

Tạo VLAN 10,20 trên Switch Cisco:

vlan 10

exit

vlan 20

 exit

Cấu hình mode Trunk cổng kết nối với Firewall Fortigate

Int e0/0 

Switchport trunk encapsulation dot1q

Switchport mode trunk

Cấu hình mode Access đối cổng Up-Link với các thiết bị máy tính, PC…

Int e0/1

Switch mode access

Switch access vlan 10

Int e0/2

Switch mode access

Switch access vlan 20

Kết quả: Ở PC31

Ở PC32:

Trên đây là hướng dẫn cấu hình Sub-interface trên Firewall Fortigate kết hợp với Switch Cisco để triển khai VLAN trong hệ thống mạng. Với cách thiết lập này, bạn có thể dễ dàng phân chia và quản lý các dải mạng riêng biệt, nâng cao tính bảo mật cũng như hiệu quả sử dụng tài nguyên. Nếu cần tư vấn thêm về giải pháp mạng doanh nghiệp, hãy liên hệ Việt Tuấn để được hỗ trợ nhanh chóng và chính xác