10/8/25

Lab PPPoE Server (MikroTik CHR) và Sophos Firewall đóng vai trò là PPPoE Client.

[ INTERNET (Cloud VMnet8 / NAT) ]

│

│ DHCP Client (Ví dụ: 192.168.222.145)

▼

┌─────────────────────────────────────────────┐

│ MIKROTIK CHR (ROUTER) │

│ (PPPoE Server) │

└──────────────────────┬──────────────────────┘

│ [ether1] - IP: 192.168.100.1/24

│

═══════════════╪═══════════════ <- PPPoE Tunnel

│

│ [PortC / WAN] - Dynamic IP (192.168.100.10 - 50)

│ (Ví dụ nhận IP: 192.168.100.50)

┌──────────────────────┴──────────────────────┐

│ SOPHOS XG FIREWALL │

│ (PPPoE Client) │

└──────────────────────┬──────────────────────┘

│ [PortA / LAN] - IP Gateway: 172.16.16.1/24

│

▼

┌─────────────────────────────────────────────┐

│ MẠNG LAN SAU SOPHOS │

│ WinServer / Client (172.16.16.0/24) │

└─────────────────────────────────────────────┘

1. Tổng Quan

Lab này hướng dẫn cách cấu hình MikroTik CHR làm PPPoE Server, NAT ra Internet qua Cloud VMnet8, và cấu hình Sophos Firewall quay PPPoE để nhận IP động và truy cập Internet.

2. Chuẩn Bị Lab Trong EVE-NG

Các node cần thiết:

· MikroTik CHR

· Sophos Firewall

· Cloud node (VMnet8 NAT)

Kết nối:

· ether1 của MikroTik ↔ Sophos

· ether2 của MikroTik ↔ Cloud VMnet8

3. Cấu Hình MikroTik CHR

3.1 Gán IP cho interface PPPoE (ether1):

/ip address
add address=192.168.100.1/24 interface=ether1

3.2 Tạo pool IP cấp cho client PPPoE:

/ip pool
add name=pppoe-pool ranges=192.168.100.10-192.168.100.50

3.3 Tạo PPP profile:

/ppp profile
add name=pppoe-profile local-address=192.168.100.1 remote-address=pppoe-pool use-encryption=no

3.4 Tạo user PPPoE:

/ppp secret
add name=sophos password=123456 service=pppoe profile=pppoe-profile

3.5 Tạo PPPoE Server trên ether1:

/interface pppoe-server server
add interface=ether1 service-name=pppoe-test default-profile=pppoe-profile disabled=no

4. Cấu Hình MikroTik Ra Internet Qua VMnet8

4.1 Nhận IP động từ VMnet8 qua DHCP:

/ip dhcp-client
add interface=ether2 disabled=no

4.2 NAT để các thiết bị phía sau MikroTik ra Internet:

/ip firewall nat
add chain=srcnat out-interface=ether2 action=masquerade

5. Cấu Hình Sophos Firewall Quay PPPoE

1. 5.1 Vào giao diện Sophos → Network → Interfaces

2. 5.2 Chọn interface kết nối đến MikroTik → Add PPPoE

3. 5.3 Nhập thông tin:

· Username: sophos

· Password: 123456

· Service name: pppoe-test (hoặc để trống)

4. 5.4 Enable interface và Apply

6. Kiểm Tra Kết Nối

· Trên MikroTik:

/log print

· Trên Sophos:

· Kiểm tra trạng thái PPPoE, IP nhận được, gateway.

Trên microtik >> Thêm static route về LAN sophos:

# Giả sử Sophos khi quay PPPOE nhận IP 192.168.100.50

/ip route add \

dst-address=172.16.16.0/24 \

gateway=192.168.100.50 \

comment="Route ve mang LAN cua Sophos FW"

10/4/25

Thêm router cisco C7200 vào EVE

Link: https://drive.google.com/drive/folders/1Twu7QIdhZ_H0kdLCSLAAiXZABOg44_3_

Sau khi tải image về, upload lên EVE và fix permissions: c7200-adventerprisek9-mz.152-4.S6.bin

Kiểm tra kq:

10/1/25

Sophos FW - Cơ chế hoạt động của Dead Peer Detection (DPD) trong VPN

Cơ chế hoạt động của Dead Peer Detection (DPD)

DPD là một cơ chế được thiết kế để xác định xem một peer (đầu cuối) VPN có còn hoạt động hay không. Nó hoạt động như sau:

Gửi gói tin kiểm tra: Sophos Firewall sẽ định kỳ gửi các gói tin nhỏ (R-U-THERE messages) đến peer VPN đối diện.

Đợi phản hồi: Nó sẽ chờ đợi phản hồi (R-U-THERE-ACK messages).

Hành động khi mất kết nối:

Nếu không nhận được phản hồi trong một khoảng thời gian nhất định, Sophos sẽ coi peer đó là không thể truy cập.

Sophos sẽ thực hiện hành động được cấu hình, thường là ngắt kết nối và tự động tái khởi tạo (re-initiate) lại VPN tunnel.

Sophos không cho phép chỉnh sửa trực tiếp các profile mặc định. Do đó, để thay đổi thời gian phát hiện mất kết nối VPN, bạn cần clone (tạo bản sao) profile mặc định đó, sau đó chỉnh sửa bản sao và áp dụng nó cho VPN connection.

1. Cách clone (tạo bản sao) profile "DefaultHeadOffice"

Đăng nhập vào Sophos Web Admin GUI.
Điều hướng đến VPN > IPsec profiles.
Tìm profile DefaultHeadOffice trong danh sách.
Nhấp vào biểu tượng Clone (biểu tượng hình hai tờ giấy) nằm bên cạnh profile đó.
Đặt một tên mới cho profile được clone (ví dụ: MyHeadOffice_VPN_Profile).
Lưu lại.

Sau khi clone, bạn sẽ có một profile mới có thể chỉnh sửa được.

2. Chỉnh sửa thời gian detect ngắn nhất

Tiếp tục ở trang VPN > IPsec profiles, tìm đến profile mới mà bạn vừa tạo (MyHeadOffice_VPN_Profile).
Nhấp vào biểu tượng Edit (cây bút chì) để chỉnh sửa.
Tìm mục Dead Peer Detection.
Điều chỉnh các thông số sau để giảm thời gian phát hiện:
- Check peer after every: Giảm giá trị này xuống mức tối thiểu có thể. Sophos thường giới hạn giá trị này để tránh gửi quá nhiều gói tin DPD.
- Wait for response up to: Giảm giá trị này xuống thấp nhất. Đây là thời gian chờ phản hồi trước khi Sophos coi kết nối đã mất.

Lưu ý: Không nên đặt các giá trị quá thấp để tránh việc ngắt kết nối không cần thiết do độ trễ mạng tạm thời.

Lưu lại các thay đổi của profile.

3. Áp dụng profile mới cho kết nối VPN

Điều hướng đến Site-to-site VPN > IPsec.
Nhấp vào biểu tượng Edit của VPN connection bạn muốn thay đổi.
Tại mục Encryption, trong phần Profile, chọn profile mới mà bạn vừa tạo (MyHeadOffice_VPN_Profile) thay vì profile mặc định (DefaultHeadOffice).
Lưu lại cấu hình. 🌐

Lúc này, VPN connection của bạn sẽ sử dụng profile mới với các thông số DPD đã được điều chỉnh.

Cấu hình đúng

Để đảm bảo kết nối VPN tự động phục hồi một cách hiệu quả và không bị xung đột, bạn nên thiết lập theo mô hình "chủ động - bị động":

Site HQ (Trụ sở chính):
- Gateway type: Chọn Initiate the connection.
- When peer unreachable: Chọn Re-initiate.
- Mục đích: HQ sẽ luôn là bên chủ động, có nhiệm vụ giám sát và khởi tạo lại kết nối khi cần.
Site A (Chi nhánh):
- Gateway type: Chọn Respond only.
- When peer unreachable: Chọn Re-initiate hoặc Disconnect.
  - Re-initiate: Cho phép site A tự động kết nối lại nếu kết nối bị ngắt từ phía nó, nhưng nó sẽ không chủ động kết nối nếu HQ không phản hồi.
  - Disconnect: Ngắt kết nối và đợi HQ chủ động kết nối lại.

Việc thiết lập này đảm bảo chỉ một bên duy nhất (HQ) chịu trách nhiệm khởi tạo kết nối, tránh tình trạng hai thiết bị "đua nhau" kết nối lại.

[Lab EVE]- VPN site to site (IPsec) với sophos FW

Xây dựng mô hình Lab eve như sô đồ trên.

Vào host & service:

>> Bên site HQ (headquarter) định nghĩa LAN: HQ_LAN với network: 172.16.16.0/24

>> Bên site con (Site A) định nghĩa SITEA_LAN với network: 173.17.17.0/24

Dùng wizard (thuật sĩ) để tạo IPsec connections cho 2 bên:

Chọn initate the connection tại HQ, và Site A chọn respond only để khi mất kết nối sẽ auto reconnect lại VPN nhé.

Chọn Initiate the connection chỉ ở một bên (thường là site chính, như HQ) và chọn Respond only cho bên còn lại (site phụ).

Lý do và giải thích chi tiết

`Initiate the connection` (Khởi tạo kết nối)

Khi bạn chọn Initiate the connection cho một site, thiết bị Sophos Firewall của site đó sẽ chủ động gửi yêu cầu kết nối VPN đến site đối diện. Nó sẽ liên tục thử lại nếu kết nối bị ngắt.

`Respond only` (Chỉ phản hồi)

Khi bạn chọn Respond only, thiết bị Sophos Firewall của site đó sẽ chỉ chờ đợi và chấp nhận các yêu cầu kết nối đến từ phía đối diện. Nó sẽ không tự động khởi tạo kết nối.

Tại sao nên chọn kết hợp?

Việc chọn Initiate the connection ở cả hai bên sẽ tạo ra một "cuộc đua" (race condition) khi cả hai thiết bị đều cố gắng khởi tạo kết nối đồng thời. Điều này có thể dẫn đến việc kết nối không ổn định hoặc không thể thiết lập được.

Để đảm bảo kết nối tự động phục hồi và hoạt động ổn định, bạn nên thiết lập như sau:

Site HQ (Trụ sở chính): Chọn Initiate the connection
✅. Điều này đảm bảo rằng HQ luôn là bên chủ động, sẽ tự động tái kết nối nếu VPN bị ngắt.
Site văn phòng/chi nhánh: Chọn Respond only
✅. Site này sẽ chỉ chờ và chấp nhận kết nối từ HQ.

Cấu hình này tạo ra một mô hình "Hub-and-Spoke" đơn giản, trong đó HQ đóng vai trò là "Hub" (trung tâm) và các chi nhánh là "Spoke" (nan hoa), đảm bảo sự ổn định và dễ quản lý cho toàn bộ hệ thống.

Tạo rule in/out cho VPN tại mỗi site, thêm rules cho LAN tại mỗi bên ra NET

Kiểm tra lại kết quả: từ HQ ping sang site A và ngược lại:

Lệnh cơ bản để bật SNMP (Simple Network Management Protocol) trên thiết bị Cisco.

Đây là các lệnh cơ bản để bật SNMP (Simple Network Management Protocol) trên thiết bị Cisco.

Cấu hình SNMPv2c (Không bảo mật)

Đây là cách nhanh nhất để bật SNMP, sử dụng một chuỗi cộng đồng (community string) như một mật khẩu.

Router(config)# snmp-server community <community-string> RO

<community-string>: Tên chuỗi mà bạn sẽ sử dụng để truy cập SNMP. Ví dụ: public.
RO: Quyền chỉ đọc (Read-Only). Bạn cũng có thể dùng RW để có quyền đọc-ghi, nhưng không khuyến khích.

Cấu hình SNMPv3 (Có bảo mật)

Đây là phiên bản được khuyến khích vì nó hỗ trợ mã hóa và xác thực.

Tạo Group:

Router(config)# snmp-server group <group-name> v3 <privacy | auth | noauth>

Chọn mức bảo mật (privacy là cao nhất).

Tạo User:
Router(config)# snmp-server user <user-name> <group-name> v3 auth <auth-algorithm> <auth-password> priv <priv-algorithm> <priv-password>
Lệnh này tạo một người dùng, gán vào nhóm đã tạo và thiết lập mật khẩu xác thực cũng như mật khẩu mã hóa.

Lưu ý

Bạn cần phải ở chế độ Global Configuration (Router(config)#) để thực hiện các lệnh trên.
Sau khi cấu hình, hãy lưu lại bằng lệnh write memory hoặc copy running-config startup-config.

9/29/25

Bảng kham khảo thời gian lưu điện UPS

Danh sách thiết bị và công suất tiêu thụ:

Bộ phát WiFi – 10W
Camera an ninh – 15W
Tivi, màn hình LCD – 25W
Thiết bị lưu trữ di động – 50W
Máy tính để bàn – 80–300W

Trong thực tế, các quy tắc này được áp dụng và việc tính toán thời gian lưu điện cho UPS là chính xác. Tuy nhiên, thời gian này có thể thay đổi do một số yếu tố.

Yếu tố ảnh hưởng đến thời gian lưu điện

Tuổi thọ ắc-quy: Ắc-quy của UPS sẽ mất dần dung lượng theo thời gian. Một ắc-quy đã sử dụng được 2-3 năm sẽ có thời gian lưu điện thấp hơn nhiều so với ắc-quy mới.
Nhiệt độ môi trường: Nhiệt độ quá cao có thể làm giảm tuổi thọ và hiệu suất của ắc-quy, dẫn đến thời gian lưu điện ngắn hơn.
Loại tải (tải điện dung hay điện cảm): Loại thiết bị mà UPS cấp điện cũng ảnh hưởng đến hiệu suất.
Số lượng thiết bị: Bạn đã tính toán đúng công suất cho từng thiết bị. Khi bạn kết nối nhiều thiết bị hơn, tổng công suất tải tăng lên và thời gian lưu điện sẽ giảm xuống.

9/26/25

Cisco Catalyst C1300 - Tập Lệnh Cấu Hình Chi Tiết

=================================================

1. Truy cập CLI

---------------

- Qua cổng console hoặc SSH

2. Cấu hình ban đầu

-------------------

enable

configure terminal

hostname Switch-C1300

3. Cấu hình IP cho VLAN quản lý

-------------------------------

interface vlan 1

ip address 192.168.1.10 255.255.255.0

no shutdown

exit

ip default-gateway 192.168.1.1 (thêm lệnh này nếu cần ssh từ 1 subnet khác)

4. Tạo người dùng và phân quyền

-------------------------------

username admin privilege 15 password Admin@123

enable password level 15 Enable@123

5. Cấu hình port access hoặc trunk

----------------------------------

# Port Access

interface gigabitEthernet1/0/1

switchport mode access

switchport access vlan 10

spanning-tree portfast

# Port Trunk

interface gigabitEthernet1/0/24

switchport mode trunk

switchport trunk allowed vlan 10,20,99

6. Tạo VLAN

-----------

vlan 10

name HR

exit

vlan 20

name IT

exit

vlan 99

name Management

exit

7. Bật SSH để quản lý từ xa

configure terminal

username admin privilege 15 password Admin@123

ip ssh server

ip ssh password-authentication enable

exit

8. Kiểm tra trạng thái

----------------------

show vlan

show running-config

show mac address-table

show version

show interfaces

show interfaces status

show interfaces description

show interfaces vlan

show interfaces trunk

show interfaces switchport

9. Sao lưu cấu hình

-------------------

copy running-config startup-config

9/23/25

Thêm sophos vào EVE lab (image : VI-19.0.2_MR-2.KVM-472.zip)

Link tải: https://download.sophos.com/network/SophosFirewall/installers/index.html

VI-19.0.2_MR-2.KVM-472.zip

1. Chuẩn bị file image

Bạn cần có các file ảnh đĩa của Sophos Firewall ở định dạng QCOW2, thường là PRIMARY-DISK.qcow2 và AUXILIARY-DISK.qcow2.

2. Tải file lên EVE-NG

Sử dụng WinSCP hoặc FileZilla để tải các file này lên máy chủ EVE-NG.

Kết nối đến EVE-NG.
Tạo thư mục mới trong /opt/unetlab/addons/qemu/sophosxg-fw-19.0.2
Tải hai file PRIMARY-DISK.qcow2 và AUXILIARY-DISK.qcow2 vào thư mục vừa tạo.

3. Đổi tên và cấp quyền

Truy cập terminal của EVE-NG và thực hiện các lệnh sau:

Di chuyển đến thư mục chứa file Sophos:
cd /opt/unetlab/addons/qemu/sophosxg-fw-19.0.2

Đổi tên file theo quy chuẩn của EVE-NG:

mv PRIMARY-DISK.qcow2 hda.qcow2
mv AUXILIARY-DISK.qcow2 hdb.qcow2

Cấp quyền và sửa lỗi:

/opt/unetlab/wrappers/unl_wrapper -a fixpermissions

4. Thêm vào Lab trên EVE-NG

Tạo node trong EVE-NG

Vào lab → Add Node
Chọn image: sophosxgs-fw-19.5.3
RAM: 4096MB
CPU: 2 vCPU
Network: 6 interfaces
Console: VNC hoặc HTTPS (https://ip:4444)
Username: admin | Password: admin

9/19/25

Tổng đài IP PBX (VoIP PBX) opensource dùng SIP Trunk gọi ra báo "Service Unavailable"

Khi tổng đài ảo của bạn gọi ra bị báo "Service Unavailable", có thể do một số nguyên nhân liên quan đến SIP trunk, bao gồm vấn đề kết nối, cấu hình, hoặc tài khoản. Dưới đây là các bước để bạn kiểm tra và khắc phục.

1. Kiểm tra trạng thái đăng ký SIP Trunk

Đầu tiên, bạn cần đảm bảo SIP trunk của bạn đã được đăng ký thành công với nhà cung cấp.

Truy cập vào giao diện dòng lệnh (CLI) của FreePBX qua SSH.
Chạy lệnh asterisk -rvvv để vào giao diện Asterisk CLI.
Sử dụng lệnh sip show registry (hoặc pjsip show registrations nếu bạn dùng PJSIP) để xem trạng thái của SIP trunk.
Nếu trạng thái hiển thị là "Registered", nghĩa là trunk đã kết nối. Nếu là "Unregistered", "Rejected" hoặc "Request Sent", tức là có vấn đề về đăng ký.

2. Kiểm tra thông tin cấu hình SIP Trunk

Lỗi "Service Unavailable" có thể xảy ra nếu thông tin đăng nhập (username, password) hoặc host name/IP của nhà cung cấp bị sai.

Trong giao diện FreePBX, vào Connectivity -> Trunks.
Chọn SIP trunk của bạn và kiểm tra lại các thông số:
- Outgoing Settings: Kiểm tra Peer Details hoặc SIP Settings.
- Username, Secret, Host (hoặc server URI) phải khớp chính xác với thông tin mà nhà cung cấp SIP trunk đã cấp.
Lưu ý: Nếu bạn dùng PJSIP, hãy kiểm tra phần PJSIP Settings.

3. Kiểm tra kết nối mạng và tường lửa

Tường lửa có thể chặn các gói tin SIP hoặc RTP, dẫn đến không thể gọi ra.

Đảm bảo tổng đài FreePBX có kết nối internet ổn định. Bạn có thể thử ping đến server của nhà cung cấp SIP trunk.
Kiểm tra tường lửa (firewall) trên server FreePBX và cả router/modem.
- Các cổng UDP mặc định cho SIP là 5060 và cho RTP là 10000-20000.
- Đảm bảo các cổng này được mở và không bị chặn.
Nếu bạn sử dụng tường lửa FreePBX (FreePBX Firewall), hãy kiểm tra các quy tắc và thêm địa chỉ IP của nhà cung cấp SIP trunk vào danh sách tin cậy (trusted zones).

4. Kiểm tra tài khoản và credit (số dư)

Đôi khi, lỗi "Service Unavailable" chỉ đơn giản là do tài khoản SIP trunk đã hết credit hoặc bị tạm khóa.

Đăng nhập vào cổng thông tin (portal) của nhà cung cấp SIP trunk.
Kiểm tra số dư tài khoản và trạng thái hoạt động.
Nếu tài khoản hết tiền hoặc bị khóa, bạn cần nạp thêm credit hoặc liên hệ với nhà cung cấp để được hỗ trợ.

5. Xem log Asterisk để tìm lỗi cụ thể

Log Asterisk cung cấp thông tin chi tiết về nguyên nhân cuộc gọi bị lỗi.

Truy cập Asterisk CLI (asterisk -rvvv).
Thực hiện một cuộc gọi ra và theo dõi log.
Bạn có thể thấy các thông báo lỗi như:
- SIP/2.0 503 Service Unavailable: Lỗi từ nhà cung cấp SIP trunk, có thể do lỗi cấu hình, hết credit hoặc trục trặc phía họ.
- Request Timeout: Gói tin SIP không đến được server của nhà cung cấp.
- Invalid username/password: Sai thông tin đăng nhập.

Nếu bạn thấy log báo lỗi "SIP/2.0 503 Service Unavailable" mà các thông tin cấu hình đã chính xác, rất có thể vấn đề nằm ở phía nhà cung cấp SIP. Lúc này, bạn nên liên hệ với họ để kiểm tra đường truyền và trạng thái tài khoản.

9/14/25

Pfsense + Coresw L3 kết nối mode access cho vlan ra NET

1. Cấu hình Core Switch Cisco (SW_L3)

Core Switch đóng vai trò là DHCP Server và Layer 3 Switch, chịu trách nhiệm cấp phát IP và định tuyến nội bộ.

a. Cấu hình VLAN và SVI

Tạo các VLAN và các SVI (Switch Virtual Interface) để làm cổng gateway cho mỗi VLAN.

SW_L3(config)# vlan 10
SW_L3(config-vlan)# name DATA_VLAN
SW_L3(config-vlan)# exit
SW_L3(config)# vlan 20
SW_L3(config-vlan)# name VOICE_VLAN
SW_L3(config-vlan)# exit
SW_L3(config)# vlan 99
SW_L3(config-vlan)# name MGMT_VLAN
SW_L3(config-vlan)# exit
SW_L3(config)# interface Vlan10
SW_L3(config-if)# ip address 172.16.10.1 255.255.255.0
SW_L3(config-if)# exit
SW_L3(config)# interface Vlan20
SW_L3(config-if)# ip address 172.16.20.1 255.255.255.0
SW_L3(config-if)# exit
SW_L3(config)# interface Vlan99
SW_L3(config-if)# ip address 172.16.1.2 255.255.255.0
SW_L3(config-if)# exit

b. Cấu hình DHCP Server

Thiết lập các DHCP pool để tự động cấp phát địa chỉ IP, gateway và DNS server cho client.

SW_L3(config)# ip dhcp pool VLAN10_POOL
SW_L3(config-dhcp)# network 172.16.10.0 255.255.255.0
SW_L3(config-dhcp)# default-router 172.16.10.1
SW_L3(config-dhcp)# dns-server 8.8.8.8 8.8.4.4
SW_L3(config-dhcp)# exit
SW_L3(config)# ip dhcp pool VLAN20_POOL
SW_L3(config-dhcp)# network 172.16.20.0 255.255.255.0
SW_L3(config-dhcp)# default-router 172.16.20.1
SW_L3(config-dhcp)# dns-server 8.8.8.8 8.8.4.4
SW_L3(config-dhcp)# exit

c. Cấu hình Định tuyến & Cổng

Bật tính năng định tuyến và tạo một default route để gửi tất cả lưu lượng ra Internet thông qua pfSense.

SW_L3(config)# ip routing
SW_L3(config)# ip route 0.0.0.0 0.0.0.0 172.16.1.1
! Cấu hình cổng kết nối tới Switch Layer 2 (R3) là trunk
SW_L3(config)# interface GigabitEthernet1/0/1
SW_L3(config-if)# switchport mode trunk
SW_L3(config-if)# switchport trunk allowed vlan 10,20,99
SW_L3(config-if)# exit

SW_L3(config)# int Gi1/0/2

switchport mode access

switchport access vlan 99

no shutdown

Switch Layer 2 (R3)

R3 chỉ cần cấu hình cổng trunk và access để kết nối với Core Switch và các client.

a. Cấu hình Cổng

! Cổng trunk nối với Core Switch
R3(config)# interface GigabitEthernet0/0
R3(config-if)# switchport mode trunk
R3(config-if)# switchport trunk allowed vlan 10,20
R3(config-if)# exit
! Cổng access nối với client VLAN 10
R3(config)# interface GigabitEthernet0/1
R3(config-if)# switchport mode access
R3(config-if)# switchport access vlan 10
R3(config-if)# exit
! Cổng access nối với client VLAN 20
R3(config)# interface GigabitEthernet0/2
R3(config-if)# switchport mode access
R3(config-if)# switchport access vlan 20
R3(config-if)# exit

3. Cấu hình pfSense

pfSense đóng vai trò là Firewall và NAT Gateway, chịu trách nhiệm cho việc truy cập Internet.

a. Cấu hình Firewall Rules

Tạo các rule để cho phép lưu lượng từ các mạng nội bộ đi ra ngoài.

Truy cập giao diện web của pfSense và đi tới Firewall > Rules > LAN.
Nhấn Add để tạo rule cho VLAN 10.
- Action: Pass
- Interface: LAN
- Source: Network 172.16.10.0/24
- Destination: any
Nhấn Save và Apply Changes.
Lặp lại các bước trên để tạo rule cho VLAN 20, với Source là Network 172.16.20.0/24.

b. Cấu hình NAT

Đảm bảo NAT được bật để dịch IP nội bộ ra IP công cộng.

Vào Firewall > NAT > Outbound.
Chọn chế độ Automatic Outbound NAT rule generation.
Nhấn Save và Apply Changes.

c. Thêm Static Route

Đây là bước quan trọng nhất để gói tin từ Internet có thể quay về đúng client.

Vào System > Routing > Static Routes.
Nhấn Add để thêm route cho VLAN 10:
- Destination network: 172.16.10.0/24
- Gateway: 172.16.1.2
Lặp lại tương tự cho VLAN 20:
- Destination network: 172.16.20.0/24
- Gateway: 172.16.1.2
Nhấn Save và Apply Changes.

Menu

10/8/25

1. Tổng Quan

2. Chuẩn Bị Lab Trong EVE-NG

3. Cấu Hình MikroTik CHR

3.1 Gán IP cho interface PPPoE (ether1):

3.2 Tạo pool IP cấp cho client PPPoE:

3.3 Tạo PPP profile:

3.4 Tạo user PPPoE:

3.5 Tạo PPPoE Server trên ether1:

4. Cấu Hình MikroTik Ra Internet Qua VMnet8

4.1 Nhận IP động từ VMnet8 qua DHCP:

4.2 NAT để các thiết bị phía sau MikroTik ra Internet:

5. Cấu Hình Sophos Firewall Quay PPPoE

6. Kiểm Tra Kết Nối

10/4/25

10/1/25

1. Cách clone (tạo bản sao) profile "DefaultHeadOffice"

2. Chỉnh sửa thời gian detect ngắn nhất

3. Áp dụng profile mới cho kết nối VPN

Cấu hình đúng

Lý do và giải thích chi tiết

Initiate the connection (Khởi tạo kết nối)

Respond only (Chỉ phản hồi)

Tại sao nên chọn kết hợp?

Cấu hình SNMPv2c (Không bảo mật)

Cấu hình SNMPv3 (Có bảo mật)

Lưu ý

9/29/25

Trong thực tế, các quy tắc này được áp dụng và việc tính toán thời gian lưu điện cho UPS là chính xác. Tuy nhiên, thời gian này có thể thay đổi do một số yếu tố.

Yếu tố ảnh hưởng đến thời gian lưu điện

9/26/25

9/23/25

1. Chuẩn bị file image

2. Tải file lên EVE-NG

3. Đổi tên và cấp quyền

4. Thêm vào Lab trên EVE-NG

Tạo node trong EVE-NG

9/19/25

1. Kiểm tra trạng thái đăng ký SIP Trunk

2. Kiểm tra thông tin cấu hình SIP Trunk

3. Kiểm tra kết nối mạng và tường lửa

4. Kiểm tra tài khoản và credit (số dư)

5. Xem log Asterisk để tìm lỗi cụ thể

9/14/25

1. Cấu hình Core Switch Cisco (SW_L3)

a. Cấu hình VLAN và SVI

b. Cấu hình DHCP Server

c. Cấu hình Định tuyến & Cổng

SW_L3(config)# int Gi1/0/2

switchport mode access

switchport access vlan 99

Switch Layer 2 (R3)

a. Cấu hình Cổng

3. Cấu hình pfSense

a. Cấu hình Firewall Rules

b. Cấu hình NAT

c. Thêm Static Route

`Initiate the connection` (Khởi tạo kết nối)

`Respond only` (Chỉ phản hồi)