VIFON-TaiLieuThietKe-PaloAlto-Firewall - 26.02.2024

TÀI LIỆU THIẾT KẾ
DỰ ÁN:
CUNG CẤP TƯỜNG LỬA, PHẦN MỀM CHỐNG MALWARE VÀ
DỊCH VỤ TRIỂN KHAI
Ngày phát hành:
02/2024
Điều khoản bảo mật thông tin
Giải pháp và các tài liệu hỗ trợ đi cùng có đề cập đến các thông tin mật cũng như thông tin kinh doanh riêng tư thuộc sở hữu
của VIFON. Tài liệu này có thể được in hoặc sao chép để phục vụ mục đích đánh giá dự án đang đề xuất. Nghiêm cấm chia sẻ tài
liệu đến các bên thứ ba hoặc cá nhân ngoài tổ chức và dự án.
FPT Information System
© 2024 FPT IS & VIFON | Trang 2

Tài liệu thiết kế
NHÀ CUNG CẤP

CHỦ ĐẦU TƯ
CN TẠI TPHCM CÔNG TY
CÔNG TY CỔ PHẦN VIFON- CHI
TNHH HỆ THỐNG THÔNG TIN
NHÁNH HẢI DƯƠNG
FPT (TP HÀ NỘI)
Soạn thảo Kiểm tra Kiểm tra Phê duyệt
Lê Trung Nguyễn Mạnh
Tên Bùi Thạch Sơn
Lương Cường
NV Bảo mật Trưởng nhóm
Chức vụ và an ninh bảo mật và an Trưởng nhóm IT
mạng ninh mạng
Ngày
Chữ ký
Trang 3 | FPT IS HCM | VIFON

Mục lục
1. THUYẾT MINH THIẾT KẾ 4
1.1. Mô hình tích hợp 4
1.1.1. Mô hình luận lý của site Hồ Chí Minh 4
1.1.2. Mô hình vật lý và bảng đấu nối Site Hồ Chí Minh 4
1.1.3. Mô hình luận lý site Hải Dương 7
1.1.4. Mô hình vật lý và bảng đấu nối Site Hải Dương 8
1.1.5. Mô hình luận lý Site to Site VPN 10
1.2. Thông tin quản trị và hệ thống 11
1.3. Thông tin Interface và IP Address 11
1.3.1. Bảng thông tin Interface và IP Address của PA tại HCM 11
1.3.2. Bảng thông tin Interface và IP Address của PA tại HD 11
1.3.3. Thông tin tham số của VPN Site To Site 12
1.4. Bảng thông tin VLAN 12
1.4.1. Thông tin VLAN cho các phân vùng Server 12
1.4.2. Thông tin VLAN cho các phân vùng User 13
2. MÔ TẢ THIẾT KẾ CHÍNH SÁCH BẢO MẬT 15
2.1. Quy hoạch Security Zone 15
2.1.1. Security Zone tại HCM Site 15
2.1.2. Security Zone tại HD Site 15
2.2. Quy tắc đặt tên Object 16
2.3. Mô tả thiết kế SSL Proxy Decryption 16
2.3.1. Phương án triển khai SSL Proxy Decryption 16
2.3.2. Chính sách SSL Proxy Decryption 17
3. MÔ TẢ THIẾT KẾ GlobalProtect SSL VPN 19
3.1. Phương thức xác thực 19
3.2. Mô tả các nhóm người dùng SSL VPN 19
4. MÔ TẢ THIẾT KẾ USER-ID 19
5. MÔ TẢ THIẾT KẾ SDWAN 20
5.1. Thông tin đường WAN 20
5.2. Thuyết minh Path Quality Profile 20
5.3. Thuyết minh chính sách SDWAN 22

1. THUYẾT MINH THIẾT KẾ
1.1. Mô hình tích hợp
1.1.1. Mô hình luận lý của site Hồ Chí Minh
Mô tả thiết kế:
 Hệ thống trang bị thiết bị tường lửa Palo Alto Firewall – PA 1420 đảm nhiệm 3 vai trò Internal
FW, External FW, WAN Firewall
1.1.2. Mô hình vật lý và bảng đấu nối Site Hồ Chí Minh

- Mô hình kết nối vật lý:

 Bảng kết nối vật lý:
Quy hoạch kết nối vật lý
From To
Device Port Mode LACP Name Device Port Mode LACP Num Description
Palo Alto P3 Trunk AE1 CORESW G1/0/7 Trunk PA-VS1
Palo Alto P1 L3 VNPT1

Palo Alto P2 L3 VNPT2
Palo Alto P11 L3 CMC
Palo Alto P12 L3 FPT

1.1.3. Mô hình luận lý site Hải Dương
Hệ thống trang bị thiết bị Palo Alto Firewall PA 460 đóng 3 vài trò Internal FW, External FW và WAN
Firewall . Trong đó:
 Internal FW: bảo vệ các hệ thống Server Farm
 External FW: Kiểm soát Internet
 WAN FW: Vpn Site to Site với HCM
Hệ thống sẽ chạy chung 3 role trên 1 thiết bị và không thực hiện tách Virtual System như ở site HCM

1.1.4. Mô hình vật lý và bảng đấu nối Site Hải Dương

- Mô hình kết nối vật lý:

 Bảng thông tin đấu nối vật lý
Quy hoạch kết nối vật lý

From To
Mod
Device Port Mode LACP Name Device Port LACP Num Description
e
Palo Alto P1 Trunk AE1 CORESW G1/0/1 Trunk 1
Palo Alto P2 Trunk AE1 CORESW G1/0/2 Trunk 2
Palo Alto P3 L3 Internet
Palo Alto P4 L3 VPN S2S

1.1.5. Mô hình luận lý Site to Site VPN
 Giữa 2 site HCM và HD sẽ dựng 2 VPN Tunnel trong đó site HCM sẽ dùng đường truyền VNPT và
FPT để dựng VPN Tunnel với site HD.
 Giữa 2 Site sẽ học định tuyến qua Static Route.
 Palo Alto hỗ trợ load balancing qua 2 đường VPN để tối ưu bandwidth.

1.2. Thông tin quản trị và hệ thống
Hostname IP Address Method DNS Server
HCM-FW-PA1 172.16.99.1 https (443), ssh 192.168.10.8
192.168.3.200
HD-FW-PA2 https (443), ssh
1.3. Thông tin Interface và IP Address
1.3.1. Bảng thông tin Interface và IP Address của PA tại HCM

VLAN Security SD WAN Interface
Interface Interface Type IP Address Tag Zone Profile Comment
Aggregate
ethernet1/3 (ae1) none none
Aggregate
Aggregate
Aggregate
Dynamic-
ethernet1/1 PPPoE 113.161.71.248 OUTSIDE FPT-FTTH VNPT1
Dynamic-
ethernet1/2 PPPoE 113.161.71.23 OUTSIDE VNPT2-FTTH VNPT2
ethernet1/1 Dynamic-
1 PPPoE 113.161.71.23 OUTSIDE CMC-FTTH CMC
ethernet1/1 Dynamic-
2 PPPoE 118.69.111.13 OUTSIDE FPT-FTTH FPT
ae1 Layer3 none none none Connet CoreSW
192.168.40.254/2
ae1.40 Layer3 4 40 ISOLATION Isolation
ae1.51 Layer3 192.168.1.1/24 51 CCTV VLAN CAMERA
192.168.60.254/2
ae1.60 Layer3 4 60 DMZ DMZ-PublicApp
192.168.70.254/2
ae1.70 Layer3 4 70 DMZ DMZ-VOIP
ae1.92 Layer3 192.168.6.254/24 92 INFRA INFRA
ae1.93 Layer3 192.168.7.254/24 93 PRO PRO
ae1.94 Layer3 192.168.8.254/24 94 UAT UAT
ae1.95 Layer3 192.168.9.254/24 95 DMZ DMZ
Vlan dau noi giua CORE
ae1.99 Layer3 172.16.99.1/24 99 INSIDE PA
192.168.10.254/2
ae1.1000 Layer3 4 1000 SERVER Vlan 1 - Server
1.3.2. Bảng thông tin Interface và IP Address của PA tại HD

Interface Interface Type IP Address Tag Security Zone Comment
ethernet1/1 Aggregate (ae1) none Untagged none

ethernet1/2 Aggregate (ae1) none Untagged none

ethernet1/3 Layer3 Dynamic-PPPoE Untagged INTERNET VNPT
ethernet1/7 Layer3 192.168.99.254/24 Untagged MGMT
ae1 Layer3 none Untagged none
ae1.5 Layer3 172.19.5.1/24 5 LAN PA - WLC Transit
ae1.15 Layer3 10.160.1.1/24 15 SERVER SERVER
ae1.20 Layer3 172.19.20.1/24 20 LAN OFFICE
ae1.30 Layer3 172.19.30.1/24 30 LAN Kho_Thanh_Pham
ae1.40 Layer3 172.19.40.1/24 40 LAN Kho_Nguyen_Lieu
ae1.50 Layer3 172.19.50.1/24 50 LAN PX.CD
ae1.60 Layer3 172.19.60.1/24 60 LAN Y_TE
ae1.70 Layer3 172.19.70.1/24 70 LAN P.QLCL
ae1.80 Layer3 172.19.80.1/24 80 LAN P.KCS
ae1.90 Layer3 172.19.90.1/24 90 MGMT MGMT
1.3.3. Thông tin tham số của VPN Site To Site

Tunnel HCM HD Site Local Remote IKE Parameter IPSEC Parameter Weight
Site GW GW Subnet Subnet Loadblancing
Tunnel101 118.69.111. 203.210.192.13 0.0.0.0/0 0.0.0.0/0 Aes-128,192,256 Aes-128,192,256
13 6 Sha1,256,512 Sha1,256,512
Group 5,14 Group 14
28800 Seconds 3600 Seconds
1.4. Bảng thông tin VLAN
1.4.1. Thông tin VLAN cho các phân vùng Server
Vlan Name Subnet Location Zone
40 Isolation 192.168.40.0/24 HCM ISOLATION
51 VLAN CAMERA 192.168.1.0/24 HCM CCTV
60 DMZ-PublicApp 192.168.60.0/24 HCM DMZ
70 DMZ-VOIP 192.168.70.0/24 HCM DMZ
92 INFRA 192.168.6.0/24 HCM INFRA
93 PRO 192.168.7.0/24 HCM PRO
94 UAT 192.168.8.0/24 HCM UAT

95 DMZ 192.168.9.0/24 HCM DMZ
Vlan dau noi giua

99 CORE PA 172.16.99.0/24 HCM INSIDE
1000 Vlan 1 - Server 192.168.10.0/24 HCM SERVER
5 PA - WLC Transit 172.19.5.0/24 HD LAN
15 SERVER 10.160.1.0/24 HD SERVER
90 MGMT 172.19.90.0/24 HD MGMT
1.4.2. Thông tin VLAN cho các phân vùng User
Name Comment Location Address Tags
Vlan10 RD HCM 192.168.19.0/24
Vlan100 HCM 10.10.9.0/24
Vlan101 HCM 10.10.10.0/24
Vlan102 HCM 10.10.11.0/24
Vlan103 HCM 10.10.12.0/24
Vlan104 HCM 10.10.13.0/24
Vlan108 HCM 10.10.17.0/24
Vlan11 PHONG_BGD HCM 192.168.20.0/24
Vlan111 HCM 10.10.20.0/24
Vlan12 DangUy HCM 192.168.21.0/24
Vlan121 HCM 10.10.27.0/24
Vlan125 Guest HCM 10.10.34.0/23
Vlan125 HCM 10.10.34.0/23

Vlan13 MGT_VPN HCM 192.168.22.0/23
Vlan15 HCM 192.168.3.0/24
Vlan2 KeToan HCM 192.168.11.0/24
Vlan3 DuAn HCM 192.168.12.0/24
Vlan32 Vip HCM 192.168.32.0/23
Vlan4 TCHC HCM 192.168.13.0/24
Vlan5 ThietKe HCM 192.168.14.0/24
Vlan50 HCM 192.168.50.0/24
Vlan6 XuongMi HCM 192.168.15.0/24
Vlan7 CoDien HCM 192.168.16.0/24
Vlan8 PhanXuongGao HCM 192.168.17.0/24
Vlan9 PXGiaVi HCM 192.168.18.0/24
Vlan90 HCM 192.168.4.0/24
Vlan96 HCM 192.168.100.0/24
Vlan20 OFFICE HD 172.19.20.0/24
Vlan30 Kho_Thanh_Pham HD 172.19.30.0/24
Vlan40 Kho_Nguyen_Lieu HD 172.19.40.0/24
Vlan50 PX.CD HD 172.19.50.0/24
Vlan60 Y_TE HD 172.19.60.0/24
Vlan70 P.QLCL HD 172.19.70.0/24
Vlan80 P.KCS HD 172.19.80.0/24

Vlan5 Đầu nối PA - FG HD
172.19.5.1/24
SSID Guest HD 10.10.10.0/24
SSID Staff HD 172.19.10.0/24

2. MÔ TẢ THIẾT KẾ CHÍNH SÁCH BẢO MẬT
2.1. Quy hoạch Security Zone
2.1.1. Security Zone tại HCM Site

Name Type Interfaces
CCTV layer3 ae1.51
ae1.60
DMZ layer3 ae1.70
ae1.95
INFRA layer3 ae1.92
ae1.99
INSIDE layer3 loopback.1
loopback.2
ISOLATION layer3 ae1.40
ethernet1/2
ethernet1/11
OUTSIDE layer3 ethernet1/12
sdwan.1
ethernet1/1
PRO layer3 ae1.93

SERVER layer3 ae1.1000
tunnel.1
SSLVPN tunnel.2
layer3 tunnel.3
UAT layer3 ae1.94
VPN-S2S layer3 tunnel.10
2.1.2. Security Zone tại HD Site

Name Type Interfaces
INTERNET layer3 ethernet1/3
ae1.5
ae1.20
ae1.30
ae1.40
LAN layer3
ae1.50
ae1.60
ae1.70
ae1.80
MGMT layer3 ae1.90

ethernet1/7
SERVER layer3 ae1.15
VPN-S2S layer3 tunnel.10
2.2. Quy tắc đặt tên Object
Quy tắc đặt tên Object

Site Loại Thông tin Hậu tố
HCM SRV (/32) AD 1
HD USR (/32)
VLAN/Subnet Số Vlan, mô tả vlan hoặc lớp mạng
2.3. Mô tả thiết kế SSL Proxy Decryption
2.3.1. Phương án triển khai SSL Proxy Decryption
Hầu hết traffic được user sử dụng là SSL/TLS. Giao thức SSL /TLS nhằm đảm dữ liệu và traffic người dùng
được mã hóa khi đi vào môi trường Internet hoặc thậm chí khi đi trong nội bộ.
Tuy nhiên , vì traffic bị mã hóa dẫn đến Palo Alto không thể hoàn toàn kiểm soát được các traffic này, đòi hỏi
cần một cơ chế giúp PA đọc các traffic bị mã hóa bởi giao thức SSL/TLS.
Tính năng SSL Decryption giúp PA đọc các traffic bị mã hóa, có hai hướng triển khai như sau:
1. Sử dụng Self-Sign Root Cert từ PA, yêu cầu:
a. Cần viết chính sách GPO, trust Self-Sign Root CA , lưu ý chính sách GPO để trust Root CA chỉ có thể
được viết ở Computer Configuration, cần hỗ trợ từ Vifon.

2. Sử dụng Internal Root CA cấp phát cho Palo Alto quyền Sub CA (Intermediate CA), yêu cầu như sau:
a. Palo Alto tao một CSR
b. Phía Intenral CA tạo Certificate dùng template Sub CA sử dụng CSR đã tạo.
c. Export Base64-encoded certificates vừa được tạo.
Phía FPT đề xuất phương án số 1 vì tính khả thi trong triển khai và quản lý dễ dàng.
2.3.2. Chính sách SSL Proxy Decryption

Decrypt
Decrypt Options Log
Source Destination Destination Decrypt Options Decrypt Options
Name Source Zone URL Category Service Options Unsuccessful
User Zone Address Type Decryption Profile
Action SSL
Handshake
business-and-
economy
content-delivery-
networks
excluded-
decryption-url
financial-services
1 Exclude Decryption VS2-INSIDE any VS2-OUTSIDE any government any no-decrypt ssl-forward-proxy Vifon-DecryptionSSL FALSE
health-and-
medicine
internet-
communications-
and-telephony
office365
user-whitelist-url
2 Decrypt SSL for Internet any known-user any any any any decrypt ssl-forward-proxy Vifon-DecryptionSSL TRUE
Mô tả chính sách:
- Decrypt tất cả traffic mã hóa bởi ssl từ người dùng domain
- Các traffic tới các trang về tài chính, cloud, office365, chính phủ, y tế sẽ không bị decryption vì có thể gây lỗi và vi phạm tính riêng tư.

3. MÔ TẢ THIẾT KẾ GlobalProtect SSL VPN
3.1. Phương thức xác thực
Thiết lập cài đặt Nội dung Mô tả

192.168.10.8,
DNS Server
192.168.10.9
Routing Split Tunnel
Connect Method On Demand
Block user nếu đăng PA sẽ khóa tài khoàn sau 5 lần đăng nhập thất bại =>
5 lần
nhập thất bại tránh tình trạng user bị khóa bởi chính sách trên AD.
Cho phép người dung

Cho phép
Disconnect
Cho phép người dung
Cho phép
gỡ cài đặt GP
Gateway: 118.69.111.13
Portal: https://118.69.111.13
3.2. Mô tả các nhóm người dùng SSL VPN

Loại Thông tin SSL VPN IP Chính sách
Tên Group DNS Server Route Thiết bị
Group User/Group Range compliance
secsupport 192.168.0.0/16
172.16.95.0/2 192.168.10.8, - AV được cài đặt
Partner Local syssupport 172.16.0.0/12 Windows
4 192.168.10.9 và bật
netsupport 10.0.0.0/7
- S1 được cài đặt
192.168.10.8, 192.168.0.0/16
Vifon 172.16.96.0/2 và bật
LDAP 192.168.10.1 172.16.0.0/12 Windows
Admin 4 - Windows Update
0 10.0.0.0/8
được bật
- S1 được cài đặt
192.168.0.0/16
vpn.hd.gr 172.16.97.0/2 192.168.10.8, và bật
Vifon User LDAP 172.16.0.0/12 Windows
vpn.hcm.gr 4 192.168.10.9 - Windows Update
10.0.0.0/8
được bật
192.168.0.0/16
172.16.94.0/2 192.168.10.8, - S1 được cài đặt
Vifon POS LDAP 172.16.0.0/12 Windows
4 192.168.10.9 và bật
10.0.0.0/8
4. MÔ TẢ THIẾT KẾ USER-ID
User-ID là một tính năng giúp Palo Alto kiểm soát traffic người dung sử dụng username thay vì
IP address. Khả năng này giúp khắc phục vấn đề về việc IP của người dung bị thay đổi do được
cấp từ DHCP Server, ngoài ra việc viết chính sách dựa Username/Group thay vì IP Address giúp
tang cường mức độ bảo mật hơn cho hệ thống vì việc xử lý các cuộc tấn công sẽ dễ dàng hơn.
Tính năng User-ID yêu cầu Palo Alto Firewall có khả năng đọc log từ Active Directory Server. Để
có thể đọc log từ AD, Palo Alto yêu cầu một LDAP Service Account với một số quyền như sau:

 Account phải thuộc group “Event Log Readers” và Distributed COM Users (nằm trong OU
Builtin)
 Account phải có khả năng đọc CIMV2 namespace trên AD Server mà nó sẽ đọc log (lưu ý:
nếu cấu hình PA đọc log trên nhiều AD server thì phải cấu hình quyền đọc CIMV2
namespace trên từng AD server đó).
Tham khảo bài viết trong liên kết > Mục “Configure a Service Account for the PAN-OS
Integrated User-ID Agent”.
5. MÔ TẢ THIẾT KẾ SDWAN
Tính năng SDWAN được sử dụng trên hệ thống VIFON nhằm tối ưu hóa truy cập intenret, tính toán chất
lượng đường truyền và chuyển tiếp gói tin của ứng dụng theo chất lượng đường truyền
5.1. Thông tin đường WAN
Bảng bandwidth Internet Line

Line Line Type SDWAN Tag Download BW Upload BW
VNPT-1 Fiber Link VNPT-1
VNPT-2 Fiber Link VNPT-2
CMC Fiber Link CMC
FPT Fiber Link FPT
5.2. Thuyết minh Path Quality Profile

Path Quality Profile định nghĩa các thông số như jilter, packet loss, latence. Dựa các trên các thông số này PA
sẽ xác định chất lượng đường truyền cho từng loại traffic và ứng dụng (facebook chat, voip).
Palo Alto đi kèm rất nhiều profile sẵn được hãng định nghĩa như bảng dưới:
Lưu ý: profile Unmatched-Profile là customize profile (tự tạo). Profile này sẽ được giải thích chi tiết ở mục
“Thuyết minh chính sách SDWAN”
Profile kiểm tra đường truyền

Name Jitter Latency Packet Loss
Sensitivity: medium, Sensitivity: medium, Sensitivity: medium,
voip-video Threshold: 10 ms Threshold: 135 ms Threshold: 18%
office-programs Threshold: 27 ms Threshold: 350 ms Threshold: 9%
general-business Threshold: 27 ms Threshold: 360 ms Threshold: 9%
photo-video Threshold: 18 ms Threshold: 400 ms Threshold: 9%
internet- Sensitivity: medium, Sensitivity: medium, Sensitivity: medium,
conferencing Threshold: 13 ms Threshold: 400 ms Threshold: 10%
instant- Sensitivity: medium, Sensitivity: medium, Sensitivity: medium,
messaging Threshold: 27 ms Threshold: 450 ms Threshold: 9%
social- Sensitivity: medium, Sensitivity: medium, Sensitivity: medium,

networking Threshold: 27 ms Threshold: 450 ms Threshold: 9%

audio-streaming Threshold: 50 ms Threshold: 720 ms Threshold: 27%
Unmatched-
Profile 2,000ms latency, 1,000ms jitter, and 99% packet loss

5.3. Thuyết minh chính sách SDWAN
Ta Source Source Destinatio Destination Serv SD WAN Traffic SD WAN Path

Name Source Address Application
gs Zone User n Zone Address ice Distribution Profile Quality Profile
no DMZ-VOIP- Unmatched-
1 Tong Dai UCM ne any GrandstreamUCM any OUTSIDE any any any VNPT1 Profile
no
2 Sdwan For Voip ne INSIDE any any OUTSIDE any voip-video any Top-Down-3-FTTH voip-video
no audio-
3 Sdwan For audio ne INSIDE any any OUTSIDE any streaming any Top-Down-3-FTTH audio-streaming
Sdwan For
internet- no internet- internet-
4 conference ne INSIDE any any OUTSIDE any conference any Best-Available conferencing
Sdwan For instance no instant- instant-
5 message ne INSIDE any any OUTSIDE any messaging any Best-Available messaging
Sdwan For general no general-
6 bussiness ne INSIDE any any OUTSIDE any bussiness any Best-Available general-business
Sdwan For office no office-
7 program ne INSIDE any any OUTSIDE any programs any Best-Available office-programs
CCTV
DMZ
INFRA
INSIDE
ISOLATI
ON
Match remain no PRO Best-Available-For- Unmatched-
9 traffic ne SERVER any any OUTSIDE any any any Unmatch Profile

VIFON-TaiLieuThietKe-PaloAlto-Firewall - 26.02.2024

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

VIFON-TaiLieuThietKe-PaloAlto-Firewall - 26.02.2024

Uploaded by

Copyright:

Available Formats

TÀI LIỆU THIẾT KẾ

Ngày phát hành:

Điều khoản bảo mật thông tin

© 2024 FPT IS & VIFON | Trang 2

NHÀ CUNG CẤP

Trang 3 | FPT IS HCM | VIFON

1. THUYẾT MINH THIẾT KẾ 4

1.1. Mô hình tích hợp 4

1.1.1. Mô hình luận lý của site Hồ Chí Minh 4

1.1.2. Mô hình vật lý và bảng đấu nối Site Hồ Chí Minh 4

1.1.3. Mô hình luận lý site Hải Dương 7

1.1.4. Mô hình vật lý và bảng đấu nối Site Hải Dương 8

1.1.5. Mô hình luận lý Site to Site VPN 10

1.2. Thông tin quản trị và hệ thống 11

1.3. Thông tin Interface và IP Address 11

1.3.1. Bảng thông tin Interface và IP Address của PA tại HCM 11

1.3.2. Bảng thông tin Interface và IP Address của PA tại HD 11

1.3.3. Thông tin tham số của VPN Site To Site 12

1.4. Bảng thông tin VLAN 12

1.4.1. Thông tin VLAN cho các phân vùng Server 12

1.4.2. Thông tin VLAN cho các phân vùng User 13

2. MÔ TẢ THIẾT KẾ CHÍNH SÁCH BẢO MẬT 15

2.1. Quy hoạch Security Zone 15

2.1.1. Security Zone tại HCM Site 15

2.1.2. Security Zone tại HD Site 15

2.2. Quy tắc đặt tên Object 16

2.3. Mô tả thiết kế SSL Proxy Decryption 16

2.3.1. Phương án triển khai SSL Proxy Decryption 16

2.3.2. Chính sách SSL Proxy Decryption 17

3. MÔ TẢ THIẾT KẾ GlobalProtect SSL VPN 19

3.1. Phương thức xác thực 19

3.2. Mô tả các nhóm người dùng SSL VPN 19

5.1. Thông tin đường WAN 20

5.2. Thuyết minh Path Quality Profile 20

5.3. Thuyết minh chính sách SDWAN 22

© 2024 FPT IS & VIFON | Trang 4

1. THUYẾT MINH THIẾT KẾ

1.1. Mô hình tích hợp

1.1.1. Mô hình luận lý của site Hồ Chí Minh

1.1.2. Mô hình vật lý và bảng đấu nối Site Hồ Chí Minh

Trang 5 | FPT IS HCM | VIFON

 Bảng kết nối vật lý:

Quy hoạch kết nối vật lý

Palo Alto P3 Trunk AE1 CORESW G1/0/7 Trunk PA-VS1

Palo Alto P4 Trunk AE1 CORESW G2/0/7 Trunk PA-VS1

Palo Alto P5 Trunk AE1 CORESW G1/0/8 Trunk PA-VS1

Palo Alto P6 Trunk AE1 CORESW G2/0/8 Trunk PA-VS1

Palo Alto P1 L3 VNPT1

© 2024 FPT IS & VIFON | Trang 6

Palo Alto P2 L3 VNPT2

Palo Alto P11 L3 CMC

Palo Alto P12 L3 FPT

Trang 7 | FPT IS HCM | VIFON

1.1.3. Mô hình luận lý site Hải Dương

 Internal FW: bảo vệ các hệ thống Server Farm

 External FW: Kiểm soát Internet

 WAN FW: Vpn Site to Site với HCM

© 2024 FPT IS & VIFON | Trang 8

1.1.4. Mô hình vật lý và bảng đấu nối Site Hải Dương

Trang 9 | FPT IS HCM | VIFON

 Bảng thông tin đấu nối vật lý

Quy hoạch kết nối vật lý

© 2024 FPT IS & VIFON | Trang 10

1.1.5. Mô hình luận lý Site to Site VPN