[Lab EVE]- VPN site to site (IPsec) với sophos FW

 

Xây dựng mô hình Lab eve như sô đồ trên.

Vào host & service:

>> Bên site HQ (headquarter) định nghĩa LAN: HQ_LAN với network: 172.16.16.0/24

>> Bên site con (Site A) định nghĩa SITEA_LAN với network: 173.17.17.0/24

Dùng wizard (thuật sĩ) để tạo IPsec connections cho 2 bên:

Chọn initate the connection tại HQ, và Site A chọn respond only để khi mất kết nối sẽ auto reconnect lại VPN nhé.

Chọn Initiate the connection chỉ ở một bên (thường là site chính, như HQ) và chọn Respond only cho bên còn lại (site phụ).

Lý do và giải thích chi tiết

Initiate the connection (Khởi tạo kết nối)

Khi bạn chọn Initiate the connection cho một site, thiết bị Sophos Firewall của site đó sẽ chủ động gửi yêu cầu kết nối VPN đến site đối diện. Nó sẽ liên tục thử lại nếu kết nối bị ngắt.

Respond only (Chỉ phản hồi)

Khi bạn chọn Respond only, thiết bị Sophos Firewall của site đó sẽ chỉ chờ đợi và chấp nhận các yêu cầu kết nối đến từ phía đối diện. Nó sẽ không tự động khởi tạo kết nối.

Tại sao nên chọn kết hợp?

Việc chọn Initiate the connection ở cả hai bên sẽ tạo ra một "cuộc đua" (race condition) khi cả hai thiết bị đều cố gắng khởi tạo kết nối đồng thời. Điều này có thể dẫn đến việc kết nối không ổn định hoặc không thể thiết lập được.

Để đảm bảo kết nối tự động phục hồi và hoạt động ổn định, bạn nên thiết lập như sau:

• Site HQ (Trụ sở chính): Chọn Initiate the connection 

• ✅. Điều này đảm bảo rằng HQ luôn là bên chủ động, sẽ tự động tái kết nối nếu VPN bị ngắt.

• Site văn phòng/chi nhánh: Chọn Respond only 

• ✅. Site này sẽ chỉ chờ và chấp nhận kết nối từ HQ.

Cấu hình này tạo ra một mô hình "Hub-and-Spoke" đơn giản, trong đó HQ đóng vai trò là "Hub" (trung tâm) và các chi nhánh là "Spoke" (nan hoa), đảm bảo sự ổn định và dễ quản lý cho toàn bộ hệ thống.

Tạo rule in/out cho VPN tại mỗi site, thêm rules cho LAN tại mỗi bên ra NET

Kiểm tra lại kết quả: từ HQ ping sang site A và ngược lại: