FortiGate cho văn phòng nhỏ: triển khai thế nào từ lúc mở hộp tới khi chạy

Bài này đi theo một ví dụ cụ thể: văn phòng 35 người, một đường Internet chính, có máy chủ nội bộ, hệ thống camera và khoảng 10 người làm việc từ xa. Thiết bị dùng FG-40F hoặc FG-60E.

Bước 1: đấu nối vật lý

Bước 2: phân vùng mạng

1. Mạng làm việc: máy tính nhân viên, máy in.
2. Mạng máy chủ: máy chủ nội bộ, tách khỏi mạng người dùng, chỉ mở đúng dịch vụ cần.
3. Mạng camera: camera và đầu ghi, thường không cần ra Internet.
4. Mạng khách: chỉ ra Internet, chặn truy cập mọi dải nội bộ.
5. Mạng quản trị: giao diện quản trị switch, tường lửa, access point, hạn chế truy cập.

Phân vùng là việc mang lại hiệu quả bảo mật cao nhất so với công sức bỏ ra, và làm ngay từ đầu dễ hơn nhiều so với tách lại sau này.

Bước 3: luật tường lửa

• Nguyên tắc: chặn mặc định, chỉ mở đúng thứ cần, thay vì mở hết rồi chặn dần.
• Mạng khách: chỉ cho ra Internet, chặn mọi dải nội bộ.
• Mạng camera: chặn ra Internet trừ khi cần xem từ xa, khi đó đi qua đường hầm VPN.
• Máy chủ công khai: chỉ mở đúng cổng dịch vụ, không mở dải cổng rộng.
• Đặt tên và ghi chú cho từng luật, để người sau hiểu vì sao luật đó tồn tại.

Bước 4: VPN cho người làm việc từ xa

1. Chọn kiểu VPN phù hợp với thiết bị đầu cuối của nhân viên.
2. Kết nối với hệ thống tài khoản nội bộ thay vì tạo tài khoản riêng trên tường lửa.
3. Bật xác thực hai yếu tố nếu điều kiện cho phép.
4. Phân nhóm: mỗi nhóm chỉ truy cập được dải và dịch vụ cần thiết.
5. Đối chiếu số người dùng đồng thời với thông số thiết bị, ví dụ FG-30E ghi 80 người dùng SSL-VPN đồng thời, FG-40F ghi 200.

Bước 5: bật tính năng bảo mật theo thứ tự

Danh sách kiểm tra trước khi bàn giao

Xem nhóm Firewall Fortinet, switch mạng PoE và bài chọn model FortiGate theo quy mô, giấy phép FortiGate.