Hướng dẫn sử dụng Virtual Router trong VPC mới nhất 2025

I. Giới thiệu Virtual Router

1.1.Giới thiệu tổng quan về giải pháp Virtual Router

– Virtual Router trong giải pháp VPC (Virtual Private Cloud) là thành phần quan trọng trong các môi trường cloud. Nó thực hiện các chức năng định tuyến và quản lý lưu lượng mạng giữa các subnet trong VPC cũng như kết nối với mạng ngoài, chẳng hạn như Internet hoặc mạng nội bộ thông qua VPN.
– Trong môi trường cloud do PAVietNam cung cấp, Virtual Router là yếu tố trung tâm để quản lý luồng lưu lượng giữa:
o Các Subnet: Các nhóm tài nguyên mạng được phân chia trong VPC.
o Gateway ra Internet (Internet Gateway): Để truy cập Internet từ trong VPC.
o NAT Gateway: Để các instance trong subnet riêng có thể truy cập Internet mà không cần IP công cộng.
o VPN Gateway: Kết nối với các mạng khác, chẳng hạn kết nối VPC với mạng doanh nghiệp qua VPN.
o Peering Connection: Kết nối với các VPC khác.

1.2.Chức năng của Virtual Router

– Chức năng định tuyến nội bộ:
o Virtual Router cho phép các subnet trong VPC giao tiếp với nhau. Điều này được thực hiện thông qua bảng định tuyến (route table). Bảng định tuyến chứa các quy tắc xác định đường đi của gói tin từ một subnet đến subnet khác dựa trên địa chỉ IP nguồn và đích.
o Mỗi subnet trong VPC có thể gắn với một bảng định tuyến riêng, giúp quản lý chi tiết cách thức lưu lượng di chuyển bên trong VPC.
o Route rules: Được xác định bởi phạm vi CIDR và “next hop”, chỉ ra điểm đích tiếp theo của lưu lượng (ví dụ: một gateway hoặc subnet khác).
– Kết nối với mạng bên ngoài: Virtual Router chịu trách nhiệm kết nối VPC với các mạng ngoài như Internet hoặc mạng nội bộ doanh nghiệp thông qua các gateway:
o Internet Gateway (IGW): Cho phép các subnet công cộng trong VPC kết nối trực tiếp với Internet. Virtual Router sẽ chuyển tiếp lưu lượng Internet thông qua IGW.
o NAT Gateway: Cho phép các subnet riêng (private subnet) kết nối ra ngoài Internet mà không tiết lộ địa chỉ IP nội bộ của các tài nguyên. Virtual Router định tuyến lưu lượng từ
subnet riêng thông qua NAT Gateway.
o VPN Gateway: Kết nối bảo mật giữa VPC và mạng nội bộ doanh nghiệp thông qua VPN. Virtual Router định tuyến lưu lượng cần đi qua kết nối VPN để đảm bảo bảo mật và truy cập từ xa.
– Bảo mật lưu lượng: Virtual Router tích hợp với các tính năng bảo mật:
o Firewall (Filter rules): Kiểm soát lưu lượng vào và ra dựa trên quy tắc địa chỉ IP, cổng và giao thức. Filter rules có thể được áp dụng cho từng subnet.
o Security Groups: Kiểm soát lưu lượng dựa trên quy tắc bảo mật ở mức tài nguyên, đảm bảo chỉ có lưu lượng được phép mới được đi qua.
o NAT (Network Address Translation): Virtual Router ẩn địa chỉ IP thực của các tài nguyên trong VPC khi chúng kết nối với bên ngoài, tăng cường bảo mật.

o VPN (Virtual Private Network): Cho phép khách hàng thực hiện kết nối tới hệ thống local của khách hàng một cách bảo mật và an toàn trong môi trường internet. Hỗ trợ các giải pháp VPN như: OpenVPN, IPSec, Wiregaurd, L2TP…
– Tích hợp với dịch vụ khác – Virtual Router dễ dàng tích hợp với các dịch vụ khác trong môi trường cloud:
o Peering giữa VPC: Giúp kết nối nhiều VPC trong cùng một khu vực hoặc khác khu vực thông qua Virtual Router, sử dụng các giải pháp như VPC Peering hoặc Transit Gateway.
o Direct Connect hoặc ExpressRoute: Virtual Router định tuyến lưu lượng qua các kết nối trực tiếp giữa mạng nội bộ doanh nghiệp và cloud, đảm bảo kết nối ổn định và tốc độ cao.
– Bảng định tuyến (Route Table): Mỗi subnet có bảng định tuyến riêng để xác định đường đi của gói tin. Một bảng định tuyến có thể có các quy tắc khác nhau, như:
o Lưu lượng nội bộ: Định tuyến giữa các subnet trong VPC.
o Lưu lượng ra ngoài: Định tuyến ra Internet thông qua Internet Gateway hoặc VPN Gateway.
o Peering: Định tuyến lưu lượng giữa các VPC khác nhau thông qua peering.
– Lợi ích của Virtual Router
o Quản lý dễ dàng: Cấu hình và quản lý qua giao diện phần mềm với các công cụ tự động hóa mạng.
o Khả năng mở rộng linh hoạt: Virtual Router có thể tự động điều chỉnh để đáp ứng nhu cầu lưu lượng mà không gặp giới hạn vật lý.

1.3.Giới thiệu giao diện của Virtual Router

– Khi đăng ký dịch vụ VPC – Virtual Private Cloud tại PAVietNam, khách hàng sẽ được cung cấp các thông tin quản trị liên quan bao gồm:
o Thông tin quản trị Cpannel
o Thông tin quản trị Virtual Router bao gồm:
▪ IP Address: Thông tin IP Public bao gồm IP chính và các IP Add-on kèm theo.
▪ Thông tin Subnet Private: Subnet dùng cho các Virtual Machine
▪ Thông tin User: Username / Password
▪ Phương thức truy cập: https hoặc ssh
– Để thực hiện quản lý Virtual Router: Khách hàng truy cập vào địa chỉ quản lý virtual router theo thông tin công ty PAVietNam cung cấp cho khách hàng theo đường dẫn https://ip-virtualrouter
o Nhập thông tin user → nhấn “Login” để thực hiện đăng nhập

Sau khi đăng nhập thành công sẽ vào giao diện quản lý của Virtual Router như hình bên dưới

Thay đổi mật khẩu đăng nhập web mặc định: Khách hàng có thể cấu hình đổi mật khẩu cho user đăng nhập bằng cách truy cập

Menu trái → System → Access → Users. Tại đây khách hàng sẽ thấy user root

Tiếp đó, Khách hàng thực hiện cấu hình mật khẩu mới cho tài khoản → Nhấn “Save” để lưu lại.

Theo dõi thông tin IP Aliases của Interface WAN mà PAVietNam đã cung cấp theo gói dịch vụ VPC mà khách hàng đã đăng ký tại Interfaces → Virtual Ips → Settings

II. Hướng dẫn cấu hình Firewall Rules

2.1. Firewall Aliases

– Aliases là một công cụ mạnh mẽ giúp quản lý các nhóm địa chỉ IP, mạng, cổng, hoặc URL. Nó cho phép bạn đơn giản hóa việc quản lý các quy tắc tường lửa (firewall), NAT, và các cấu hình mạng phức tạp khác bằng cách nhóm các đối tượng thường sử dụng lại với nhau. Thay vì phải tạo nhiều quy tắc riêng lẻ cho từng IP hay port, bạn có thể sử dụng Aliases để tham chiếu đến một nhóm các giá trị chỉ với một tên định danh. Có các loại Aliases:
o Host Alias (Địa chỉ IP): Dùng để nhóm các địa chỉ IP hoặc FQDN (Fully Qualified Domain Name). Điều này hữu ích khi bạn cần tạo quy tắc firewall hoặc NAT cho nhiều máy chủ hoặc dịch vụ.
▪ Ví dụ: Bạn có thể tạo một alias cho các máy chủ nội bộ như “Internal_Servers”, trong đó chứa nhiều địa chỉ IP. Sau đó, trong các quy tắc firewall, bạn chỉ cần tham chiếu “Internal_Servers” thay vì từng địa chỉ IP riêng lẻ.
o Network Alias (Mạng con): Tập hợp các mạng con (CIDR). Thay vì chỉ định từng subnet khi cấu hình quy tắc, bạn có thể tạo một alias chứa nhiều subnet.
▪ Ví dụ: Một alias “Office_Networks” có thể chứa các mạng nội bộ của công ty, như 192.168.1.0/24 và 192.168.2.0/24.
o Port Alias (Cổng dịch vụ): Dùng để nhóm nhiều cổng (ports) lại với nhau. Điều này giúp bạn dễ dàng quản lý các quy tắc liên quan đến nhiều dịch vụ trên các cổng khác nhau.
▪ Ví dụ: Tạo một alias “Web_Services” bao gồm các cổng 80 (HTTP), 443 (HTTPS), và 8080 (proxy).
o URL Alias (Danh sách URL hoặc IP động): Aliases này có thể tự động lấy thông tin từ các URL được cung cấp và tạo ra danh sách các địa chỉ IP động, thường được dùng để quản lý các mạng thay đổi hoặc các dịch vụ bên ngoài.
▪ Ví dụ: Một alias “Malicious_IPs” có thể lấy danh sách các IP độc hại từ một nguồn bên ngoài và tự động cập nhật để bảo vệ hệ thống.
o MAC Address Alias (Địa chỉ MAC): Dùng để nhóm các địa chỉ MAC, thường được sử
dụng trong việc kiểm soát truy cập dựa trên lớp liên kết dữ liệu.

– Ứng dụng của Aliases:
o Tường lửa (Firewall Rules): Aliases giúp đơn giản hóa việc tạo và quản lý các quy tắc firewall, đặc biệt là khi bạn có nhiều địa chỉ IP, mạng, hoặc dịch vụ cần được bảo vệ hoặc cho phép.
o NAT: Khi tạo các quy tắc NAT (dịch địa chỉ mạng), bạn có thể sử dụng Aliases để nhóm các địa chỉ hoặc cổng lại với nhau, giúp tối ưu hóa cấu hình.
o VPN: Trong các cấu hình VPN, Aliases có thể giúp bạn quản lý dễ dàng hơn các địa chỉ mạng liên quan đến các đối tượng từ xa (remote clients).
– Cấu hình Firewall Aliases:

Để cấu hình Aliases, khách hàng truy cập Firewall ➔ Aliases, chọn “+” để thực hiện thêm mới

o Tại đây sẽ hiển thị pop-up cấu hình Aliases. Khách hàng tiến hành cấu hình các thông tin aliases mong muốn ➔ Save
▪ Enable: Kích hoạt Aliases
▪ Name: Đặt tên cho Aliases – VD: PortMGNT
▪ Type: Kiểu Aliases – Host(s), Network(s), Port(s), URL(Ips)… – VD: Port(s)
▪ Categories: Cấu hình Categories mong muốn, có thể để trống.
▪ Content: Cấu hình giá trị cho từng loại Aliases – VD: Type: Port(s) – Content: 22,443
▪ Description: Cấu hình mô tả cho Aliases – VD: Teampalte Aliases Ports Management

– Mặc định PAVietNam đã cầu hình sẵn teamplate Aliases IP, Port. Khách hàng có thể dựa vào đó để cấu hình thêm các Aliases phù hợp với mục đích của mình.

2.2.Firewall Rules

– Firewall Rules trong Virtual Router là các quy tắc kiểm soát lưu lượng mạng ra vào hệ thống. Chúng giúp quản lý truy cập dựa trên tiêu chí như địa chỉ IP, port, giao thức và hướng lưu lượng, đảm bảo bảo mật và điều chỉnh việc truy cập mạng một cách chi tiết.
– Các thành phần chính của Firewall Rules:
o Action (Hành động):
▪ Pass: Cho phép lưu lượng được phép đi qua.
▪ Block: Chặn lưu lượng mà không trả lời nguồn gửi.
▪ Reject: Chặn lưu lượng và gửi trả lại thông báo lỗi cho nguồn.
o Interface: Chọn giao diện mạng mà quy tắc áp dụng (WAN, LAN, hoặc bất kỳ giao diện nào khác).
o Direction (Hướng):
▪ In: Áp dụng cho lưu lượng vào từ bên ngoài vào interface (ví dụ, từ Internet vào LAN).
▪ Out: Áp dụng cho lưu lượng ra từ bên trong ra ngoài (ví dụ, từ LAN ra Internet).
o Protocol (Giao thức): Quy tắc có thể được áp dụng cho các giao thức cụ thể như TCP, UDP, ICMP, hoặc bất kỳ giao thức nào khác.
o Source (Nguồn) và Destination (Đích):
▪ Địa chỉ IP hoặc mạng của nguồn và đích mà quy tắc áp dụng.
▪ Có thể là một địa chỉ cụ thể hoặc một Alias (nhóm IP, mạng).
o Port (Cổng):
▪ Quy tắc có thể được định nghĩa dựa trên các cổng dịch vụ cụ thể (HTTP – cổng 80, HTTPS – cổng 443, hoặc bất kỳ cổng nào khác) hoặc theo danh sách port đã được định nghĩa trong phần Aliases.
o Schedule (Lịch trình): Bạn có thể đặt lịch trình để quy tắc chỉ hoạt động trong một khung thời gian cụ thể, ví dụ: chỉ cho phép truy cập trong giờ làm việc.
o Logging (Ghi nhật ký): Bạn có thể bật tính năng ghi nhật ký để theo dõi các kết nối liên quan đến quy tắc này. Điều này rất hữu ích để giám sát hoặc phát hiện các vấn đề bảo mật.
– Quy trình kiểm tra và áp dụng quy tắc:
o Firewall Rules của Virtual Router sẽ kiểm tra các quy tắc theo thứ tự từ trên xuống dưới trong bảng quy tắc. Khi lưu lượng phù hợp với một quy tắc, hành động (pass/block/reject) sẽ được thực hiện và không kiểm tra tiếp các quy tắc phía dưới. Vì vậy, việc sắp xếp quy tắc hợp lý là rất quan trọng để đảm bảo hệ thống hoạt động chính xác.
o Các loại quy tắc Firewall phổ biến:
▪ Quy tắc cho LAN:
• Cho phép hoặc chặn lưu lượng từ mạng nội bộ (LAN) đi ra ngoài Internet (WAN) hoặc đến các subnet khác.
• Ví dụ: Chỉ cho phép các thiết bị trong LAN truy cập Internet thông qua các cổng HTTP và HTTPS.
▪ Quy tắc cho WAN:
• Quản lý lưu lượng đến từ bên ngoài (Internet) vào hệ thống nội bộ.
• Ví dụ: Chặn tất cả các lưu lượng đến từ Internet trừ những yêu cầu VPN hợp lệ.
▪ Quy tắc cho DMZ (Demilitarized Zone):

• Cho phép quản lý lưu lượng giữa các máy chủ công khai trong DMZ và mạng nội bộ.
• Ví dụ: Cho phép truy cập đến các dịch vụ web trên máy chủ trong DMZ từ Internet nhưng hạn chế các dịch vụ khác.
▪ Quy tắc NAT (Network Address Translation):
• Sử dụng để chuyển tiếp lưu lượng từ Internet vào mạng nội bộ (ví dụ: port forwarding).
• Ví dụ: Chuyển tiếp yêu cầu trên cổng 80 từ IP công cộng đến một máy chủ web nội bộ.
▪ Quy tắc VPN (Virtual Network Private):
• Sử dụng để thiêt lập quy tắc truy cập cho người dùng vpn (remote access hoặc siteto-site) tới hệ thống mạng nội bộ bên trong VPC.
• Ví Dụ: cho phép người dùng truy cập tới server bên trong hệ thống VPC với những dịch vụ như ssh, rdp, http, https …
– Tầm quan trọng của Firewall Rules:
o Bảo mật hệ thống: Firewall rules giúp ngăn chặn các kết nối trái phép và bảo vệ tài nguyên quan trọng trong hệ thống mạng.
o Kiểm soát truy cập: Bạn có thể quản lý chính xác ai có quyền truy cập vào đâu, vào thời gian nào và qua các dịch vụ nào.
o Tối ưu hóa hiệu suất mạng: Giúp giảm thiểu lưu lượng không cần thiết và tăng hiệu suất mạng.
– Cấu hình Firewall Rules: Để cấu hình firewall rules trong Virtul Router khách hàng có thể thực hiện các bước sau để quản lý và kiểm soát lưu lượng mạng một cách hiệu quả. Bên dưới là hướng dẫn chi tiết từng bước:
o Bước 1: Truy cập vào giao diện Virtual Router thông qua giao diện quản trị web theo thông tin PAVietNam đã cung cấp trước đó bao gồm: IP quản lý, thông tin tài khoản quản trị. Tham khảo phần I.
o Bước 2: Khách hàng thực hiện điều hướng tới phần giao Firewall Rules bằng cách nhấn (click) vào mục Firewall trong thanh điều hướng bên trái → Chọn mục Rules → Tại đây ,có thể thấy tất cả các danh sách interface (cổng) hiện có trong Virtual Router như: WAN,
LAN, Wireguad, OpenVPN …)

▪ Bước 2.1 – Rules cho interface WAN → Khách hàng thực hiện nhấn vào interface WAN → Nhấn “+” để thêm mới quy tắc cho interface WAN.

• Thực hiện cấu hình các thông tin cho quy tắc. Ví Dụ – tạo quy tắc cho phép các ip truy cập các dịch vụ quản lý Virtul Router như ssh (22), https (443).
✓ Action (hành động): Pass – cho phép lưu lượng đi qua, Block – chặn lưu lượng mà không thông báo, Reject: chặn lưu lượng và thông báo cho nguồn.
✓ Interface (giao diện): chọn giao diện mà quy tắc áp dụng (WAN, LAN, …) tại đây lựa chọn giao diện WAN.
✓ Direction (hướng): In – áp dụng cho lưu lượng từ ngoài vào hệ thống, Out – áp dụng cho lưu lượng từ hệ thống ra ngoài. Tại đây, thực hiện chọn In.

✓ Protocol (giao thức): chọn giao thức áp dụng (TCP, UDP, ICMP, hoặc “Any” để áp dụng cho tất cả các giao thức). Tại đây trong ví dụ này sẽ thực hiện chọn TCP.
✓ Source (Nguồn): nhập địa chỉ ip nguồn hoặc chọn một Aliases đã được cấu hình trước đó cho nguồn của lưu lượng. Trong ví dụ này thực hiện lựa chọn Aliases có tên AllowIPs.
✓ Source port range (Danh sách port nguồn): Có thể chọn dải cổng nguồn (port range) hoặc có thể để any nếu không thực hiện filter theo cổng nguồn. Trong ví dụ này thực hiện chọn any.
✓ Destination (đích): nhập địa chỉ IP đích hoặc lựa chọn Aliases đã được cấu hình trước đó. Trong ví dụ này thực hiện chọn IP chính của interface WAN.
✓ Destination port range: chọn cổng hoặc dải cổng đích đã được định nghĩa trước đó trong phần Aliases. Trong ví dụ này chọn PortMGNT
✓ Description (Mô tả): Ghi chú ngắn gọn cho Rules – Ví dụ: Template Allow from List IP to Firewall with List PortMGNT
✓ Loggin (Ghi chú nhật ký): Nếu khách hàng muốn theo dõi lưu lượng mạng liên quan tới quy tắc này.
✓ Schedule: đặt lịch trình thực hiện quy tắc này (none – có nghĩa là luôn luôn kích hoạt quy tắc này).
✓ Nhấn Save để lưu lại quy tắc này

✓ Tại Rules cho Inerface WAN – PAVietNam có thực hiện tạo sẵn các teamplate, khách hàng có thể dựa vào đó để viết hoặc chỉnh sửa quy tắc cho phù hợp

▪ Bước 2.2 – Rules cho interface LAN. Khách hàng có thể thực hiện viết rules cho interface LAN tương tự như interface WAN tại bước 2.1. Ngoài ra, tại Rules cho interface LAN, PAVietNam cũng thực hiện tạo các tempalte để khách hàng có thể dựa vào đó để viết hoặc chỉnh sửa quy tắc cho phù hợp.

o Bước 3: Sau khi lưu lại cấu hình, khách hàng cần phải thực hiện nhân Apply để Virtual Router áp dụng quy tắc.

o Bước 4: Kiểm tra thứ tự quy tắc, các quy tắc Firewall trong Virtual Router được kiểm tra theo thứ tự từ trên xuống dưới. Điều này có nghĩa là quy tắc nào phù hợp với lưu lượng trước thì sẽ được áp dụng trước, và cá quy tắc phía sau sẽ không được kiểm tra. Vì vậy,
hãy chắc chắn rằng các quy tắc quan trọng được sắp xếp theo đúng vị trí.
o Bước 5: Kiểm tra hoạt động của quy tắc, sau khi áp dụng quy tắc, khách hàng có thể vào Firewall → Log Files → Live View để kiểm tra các bản ghi (logs) và kiểm tra xem quy tắc có hoạt động đúng như mong đợi hay không. Nếu có bất kỳ sự cố nào, kiểm tra lại thứ tự các quy tắc và cấu hình chi tiết của từng quy tắc.

2.3. Firewall NAT

– Trong Virtual Router của giái pháp VPC, NAT (Network Address Translation) là một chức năng quan trọng giúp chuyển đổi địa chỉ IP và cổng giữa mạng nội bộ (LAN) và mạng bên ngoài (WAN), đảm bảo việc kết nối và bảo mật. NAT được sử dụng chủ yếu để chia sẻ địa chỉ
IP công cộng và ẩn địa chỉ IP nội bộ, cung cấp cả bảo mật và khả năng truy cập từ mạng bên ngoài vào mạng nội bộ.
– Các loại NAT được hỗ trợ trong Virtual Router như sau:
o Outbound: là một dạng của SNAT là kỹ thuật dịch địa chỉ IP nguồn từ mạng nội bộ khi lưu lượng ra ngoài Internet. Nó thường được sử dụng khi bạn có một địa chỉ IP công cộng duy nhất và muốn chia sẻ nó cho nhiều thiết bị trong mạng LAN. Ví dụ, các máy tính trong
mạng nội bộ có địa chỉ IP riêng (172.16.x.x) sẽ được Virtual Router dịch thành địa chỉ IP công cộng (ví dụ: 45.251.x.x) khi truy cập Internet.
o Port Forward: là một dạng của DNAT, thực hiện chuyển đổi địa chỉ IP đích trong lưu lượng vào từ Internet vào mạng nội bộ, trong đó lưu lượng truy cập vào một cổng cụ thể trên địa chỉ IP công cộng được chuyển tiếp đến một địa chỉ IP nội bộ và một cổng tương ứng. Ví
dụ, Khách hàng có thể cấu hình để khi người dùng từ Internet truy cập cổng 8080 của địa chỉ IP công cộng, Virtual Router sẽ chuyển tiếp yêu cầu đến cổng 80 của máy chủ nội bộ.
o One-To-One NAT: thực hiện ánh xạ một địa chỉ IP công cộng đến một địa chỉ IP nội bộ duy nhất. Điều này hữu ích trong trường hợp bạn có nhiều địa chỉ IP công cộng và muốn ánh xạ trực tiếp từng địa chỉ đến các máy chủ nội bộ tương ứng. Ví dụ, địa chỉ IP công
cộng 45.251.x.11 được ánh xạ trực tiếp đến địa chỉ IP 172.16.10.11 trong mạng nội bộ, và ngược lại.
o NATv6: Network Address Translation cho IPv6 đóng vai trò quan trọng trong việc quản lývà bảo mật các kết nối mạng khi sử dụng địa chỉ IPv6. Tuy nhiên, cần lưu ý rằng trong mạng IPv6, NAT không phổ biến như trong IPv4, vì IPv6 cung cấp đủ không gian địa chỉ cho mỗi thiết bị. Thay vì NAT, mạng IPv6 thường sử dụng các phương pháp như routing và firewalling để quản lý lưu lượng
o NAT Reflection (Hairpinning): NAT Reflection cho phép các thiết bị trong mạng nội bộ truy cập các dịch vụ nội bộ bằng cách sử dụng địa chỉ IP công cộng. Thường được sử dụng khi bạn có máy chủ nội bộ và muốn truy cập nó từ nội bộ thông qua IP công cộng, như thể
truy cập từ ngoài Internet.
– Lợi ích của NAT trong Virtual Router
o Bảo mật: NAT giúp che giấu địa chỉ IP thực của các thiết bị nội bộ, bảo vệ chúng khỏi các cuộc tấn công trực tiếp từ bên ngoài Internet.
o Chia sẻ địa chỉ IP: NAT cho phép nhiều thiết bị trong mạng nội bộ chia sẻ một hoặc một vài địa chỉ IP công cộng, giúp tiết kiệm địa chỉ IP.
o Kiểm soát lưu lượng: Bằng cách sử dụng DNAT và Port Forward, khách hàng có thể kiểm soát chính xác các dịch vụ và lưu lượng truy cập từ ngoài Internet vào mạng nội bộ.
– Cấu hình NAT trong Virtual Router: Để cấu hình firewall NAT trong Virtul Router khách hàng có thể thực hiện các bước sau để quản lý và kiểm soát lưu lượng mạng một cách hiệu quả. Bên dưới là hướng dẫn chi tiết từng bước:
o Bước 1: Truy cập vào giao diện Virtual Router thông qua giao diện quản trị web theo thông tin PAVietNam đã cung cấp trước đó bao gồm: IP quản lý, thông tin tài khoản quản trị. Tham khảo phần I

o Bước 2: Trên menu điều hướng bên trái, khách hàng chọn Firewall → Chọn NAT. Tại đây khách hàng có thể thấy danh sách các loại NAT hỗ trợ trong Virtual Router như:
▪ Port Fordward
▪ One-to-One
▪ Outbound
▪ NATv6

o Bước 3: Hướng dẫn cấu hình Port Forward. Tại đây khách hàng có thể thực hiện cấu hình cho phép bên ngoài truy cập tới các server bên trong với các dịch vụ cần public bằng cách chọn Firewall → NAT → Port Forward
▪ Nhấn “+” để thêm quy tắc NAT mới, sau đó thực hiện cấu hình các thông số sau:
• Interface: chọn giao diện mà lưu lượng sẽ đi qua (thường là WAN)
• Protocol: Chọn gia thức (TCP, UDP, hoặc cả hai)
• Source: Chọn nguồn IP, thường là Any nếu khách hàng muốn cho phép truy cập từ mọi địa chỉ, hoặc có thể chỉ định IP hoặc danh sách IP được định nghĩa trong phần Aliases.
• Destination: chọn địa chỉ IP đích, thường là địa chỉ chính trên WAN hoặc IP trong phần IP Alias của Interface WAN (phần này IP Alias này được PAVietNam định nghĩa sẵn theo từng gói dịch vụ VPC mà khách hàng đăng ký).
• Destination Port Range: chọn cổng dịch vụ mặt ngoài. Ví dụ khách hàng muốn bên ngoài truy cập tới port 8443 của ip mặt ngoài sẽ thực hiện chuyển tiếp về web server của khách hàng với port 443.
• Redirect Target IP: Nhập địa chỉ IP nội bộ của máy chủ web (ví dụ: 172.16.10.3)
• Redirect Target Port: Nhập cổng mà dịch vụ đang chạy trên máy chủ nội bộ (ví dụ: 443).
• Description: Đặt một mô tả ngắn gọn (ví dụ: “Template NAT Port Fordward”).
• NAT reflection: cho phép mạng nội bộ truy cập tới web server theo quy tắc NAT giống như môi trường Internet.
▪ Sau khi cấu hình đầy đủ các thông tin khách hàng có thể nhấn “Save” để lưu lại → Nhấn “Apply” để áp dụng quy tắc NAT.

▪ Mặc định PAVietNam sẽ cấu hình 1 quy tắc NAT template và thực hiện disable NAT này để khách hàng có thể dễ dàng theo dõi và cấu hình tương ứng

Firewall Rules cũng được tự động disable tương ứng với quy tắc NAT.

o Bước 4: Hướng dẫn cấu hình One-to-One. Tại đây khách hàng có thể cấu hình ánh xạ 1:1 từ 1 ip public trong phần IP Alias mà PAVietNam đã cấu hình trước đó tới 1 Server trong hệ thống VPC. Để cấu hình NAT 1:1, khách hàng truy cập Menu trái → Firewall → NAT → One-to-One

▪ Nhấn “+” để thực hiện thêm mới Quy tắc NAT, sau đó nhập các thông tin như sau:
• Interface: chọn giao diện mà quy tắc NAT sẽ áp dụng. Thông thường sẽ là WAN, bởi vì thực hiện cấu hình ánh xạ từ địa chỉ IP Public đến IP Private.
• Type: có 2 loại BINAT và NAT. BINAT – Bidirectional NAT, tức là dịch địa chỉ mạng hai chiều. Điều này có nghĩa là cả lưu lượng vào (incoming) và ra (outgoing) giữa hai địa chỉ được dịch đều đặn. NAT – là phương thức dịch địa chỉ mạng một chiều hoặc trong một số trường hợp chỉ dịch địa chỉ IP nguồn hoặc IP đích của gói tin. Tại đây, khách hàng thực hiện lựa chọn BINAT.
• External IP: Nhập địa chỉ IP Public (được PAVietNam cấp và cấu hình trong phần IP Alias) mà khách hàng muốn ánh xạ tới một địa chỉ IP Private (Server Internal bên trong VPC).
• Internal IP: Nhập địa chỉ IP Private mà địa chỉ IP Private được ánh xạ tới. Địa chỉ này sẽ là địa chỉ của Server bên trong cụm VPC – VD: 172.10.0.3
• Destination IP: Trong hầu hết các trường hợp, khách hàng sẽ để giá trị mặc định là Any. Điều này có nghĩa là tất cả các lưu lượng đến địa chỉ IP Public sẽ được chuyển tiếp đến IP Private.
• Description: Nhập một mô tả ngắn gọn, ví dụ: “Template NAT 1:1”.
▪ Nhấn Save để lưu lại quy tắc NAT 1:1 → Sau đó nhấn Apply Changes để lưu lại và kích hoạt quy tắc NAT 1:1.

▪ Sau khi NAT 1:1 anh xạ lưu lượng giữa mạng nội bộ và bên ngoài, nhưng để lưu lượng được cho phép trong Virtual Router, khách hàng cần tạo Firewall Rules cho phép lưu lượng đi vào. Chi tiết tạo Rules khách hàng có thể tham khảo phần 2.2 bước 2.1, thông tin cấu hình mới rules như sau:
• Action: Pass
• Interface: WAN
• Protocol: TCP, UDP, TCP/UDP, Any. Tại đây phụ thuộc vào mục đích của khách hàng, trong template lựa chọn any.
• Destination: khách hàng lựa chọn địa chỉ IP Private trong phần NAT 1:1 mà khách hàng vừa cấu hình.
• Description: Mô tả ngắn gọn.
• Nhấn Save để lưu lại firewall rules.

▪ Sau đó khách hàng nhấp Apply Changes để kích hoạt quy tắc

▪ Kiểm tra và xác nhận: Sau khi cấu hình xong khách hàng có thể thực nghiệm bắng cách gửi lưu lượng từ bên ngoài đến địa chỉ IP Public. Ngoài ra, khách hàng cũng có thể kiểm tra trong Firewall Logs tại địa chỉ Firewall → Logs Files → Live Views để xem lưu lượng in/out để kiểm tra hoạt động của NAT 1:1.

o Bước 5: Hướng dẫn cấu hình NAT Outbound – NAT Outbound cho phép các server trong cụm VPC truy cập internet, khách hàng truy cập Menu trái → NAT → Outbound

▪ Tại đây khách hàng có thể thấy các tùy chọn như sau:
• Automatic outbound NAT…: Virtual Router tự động tạo các quy tắc NAT Outbound dựa trên các giao diện và địa chỉ IP nội bộ được cấu hình. Đây là chế độ mặc định.
• Manual outbound NAT…: Khách hàng phải tự cấu hình tất cả các quy tắc NAT Outbound theo yêu cầu. Không có quy tắc tự động nào được áp dụng.

• Hybrid outbound NAT…: Cho phép khách hàng sử dụng cả quy tắc tự động và quy tắc tùy chỉnh do bạn cấu hình.
• Note: Theo nguyên tắc bảo mật, PAVietNam khuyến nghị khách hàng lựa chọn quy tắc Manual Outboud NAT.
▪ Khách hàng lựa chọn “+” để thực hiện thêm mới quy tắc NAT, khách hàng nhập các thông tin như sau:
• Interface: khách hàng lựa chọn WAN.
• TCP/IP Version: lựa chọn IPv4
• Protocol: TCP, UDP, TCP/UDP, ICMP, Any. Tại đây phụ thuộc vào mục đích của khách hàng để lựa chọn cho phù hợp – VD: Any
• Source address: Khách hàng có thể định nghĩa theo Firewall Aliases hoặc theo IP hoặc theo subnet của interface – VD: LAN net
• Translation / target: Khách hàng lựa chọn “Single host or Network” → Nhập địa chỉ IP Address theo IP Alias mà PAVietNam đã cung cấp cho khách hàng.
• Sau khi cấu hình các thông tin như trên khách hàng có thể nhấn SAVE để lưu lại

▪ Sau đó khách hàng nhấp Apply Changes để kích hoạt quy tắc.

▪ Khách hàng cần tạo rules cho phép bên trong LAN truy cập ra ngoài internet. Chi tiết khách hàng tham khảo phần 2.2 bước 2.2. Bên dưới là Template PAVietNam đã tạo sẵn cho phép LAN truy cập Internet.

▪ Kiểm tra và xác nhận: Sau khi cấu hình xong khách hàng có thể thực nghiệm bằng cách gửi lưu lượng từ server bên trong VPC ra ngoài internet.

III. Hướng dẫn cấu hình Virtual Private Network

3.1. Giới thiệu

– VPN (Virtual Private Network) giúp tạo ra một kết nối an toàn giữa hai hoặc nhiều thiết bị qua mạng công cộng (như Internet). VPN mã hóa dữ liệu và giúp đảm bảo tính bảo mật, tính toàn vẹn và tính riêng tư của thông tin khi di chuyển qua mạng không an toàn. Virtual Router được tích hợp sẵn các tính năng VPN mạnh mẽ như:
o IPsec VPN là giao thức VPN phổ biến cho các kết nối Site-to-Site và Remote Access. Thường được sử dụng để kết nối giữa hai mạng (site) từ xa hoặc giữa mạng doanh nghiệp với các chi nhánh. IPsec VPN hỗ trợ mã hóa mạnh mẽ và tương thích với hầu hết các thiết
bị mạng khác nhau, bao gồm Cisco, MikroTik, Fortinet và các thiết bị khác. Virtual Router hỗ trợ cả tunnel mode (cho Site-to-Site) và transport mode (cho Remote Access).
o OpenVPN là giao thức VPN mã nguồn mở, linh hoạt và dễ cấu hình. Nó có thể được sử dụng cho cả Remote Access VPN (dành cho các kết nối từ xa của người dùng) và Site-toSite VPN (cho các kết nối giữa hai mạng từ xa). OpenVPN sử dụng SSL/TLS để mã hóa,
cung cấp bảo mật cao và tính tương thích đa nền tảng.
o WireGuard là một giao thức VPN mới, được thiết kế để cung cấp tốc độ và hiệu suất cao hơn so với các giao thức VPN truyền thống như IPsec và OpenVPN. WireGuard đơn giản hơn nhiều về mặt thiết kế và dễ triển khai, trong khi vẫn đảm bảo được mức độ bảo mật
cao. Nó sử dụng mã hóa hiện đại và giao thức nhẹ, giúp tăng tốc độ kết nối VPN, giảm độ trễ, và tiết kiệm tài nguyên hệ thống.
o L2TP/IPsec – Layer 2 Tunneling Protocol được sử dụng kết hợp với IPSec để cung cấp bảo mật mạnh mẽ. L2TP là giao thức truyền dữ liệu, trong khi IPSec cung cấp tính năng mã hóa và bảo mật. Phương pháp này thường được sử dụng cho kết nối Remote Access VPN
dành cho người dường từ xa.
– Các loại VPN hỗ trợ triển khai trên Virtual Router
o Remote Access VPN: cho phép người dùng từ xa kết nối đến mạng nội bộ bên trong VPC một cách an toàn qua Internet. Khi sử dụng, người dùng có thể truy cập vào các tài nguyên mạng (như máy chủ, cơ sở dữ liệu, ứng dụng) như trực tiếp tại văn phòng.
o Site-to-Site VPN cho phép kết nối giữa hai mạng tại các địa điểm khác nhau, giúp các mạng có thể giao tiếp với nhau thông qua một kênh bảo mật. Điều này hữu ích cho doanh nghiệp có thể kết nối trực tiếp vào bên trong vùng mạng của VPC tại PAVietNam.
– Ưu điểm của VPN trong Virtual Router
o Bảo mật mạnh mẽ: các giao thức VPN của Virtual Router hỗ trợ mã hóa cao cấp, bảo vệ dữ liệu khi truyền qua Internet.
o Tương thích cao: hỗ trợ nhiều giao thức và có thể kết nối với các thiết bị mạng khác từ các nhà sản xuất khác nhau.
o Hiệu suất ổn định: cung cấp hiệu suất mạng ổn định và khả năng mở rộng tốt.
o Quản lý: Giao diện quản trị của Virtual Router trực quan và dễ dàng quản lý và cấu hình VPN trở nên dễ dàng

3.2. Cấu hình OpenVPN.

– Bước 1: Tạo CA (Certificate Authority)
o Khách hàng thực hiện truy cập vào trang quản trị của Virtual Router → Menu trái → System → Trust → Authorities → Nhấn “+” để tạo một CA mới.

o Khách hàng thực hiện cấu hình các thông tin như dưới
▪ Method: Khách hàng có thể lựa chọn Import CA nếu khách hàng muốn đồng bộ cùng với nội bộ Công ty. Còn không khách hàng có thể lựa chọn “Create an internal Certificate Authority”
▪ Description: đặt tên cho CA
▪ Key Type: hỗ trợ nhiều loại key – VD: chọn RSA-4096
▪ Digest Algorithm: hỗ trợ nhiều loại digest – VD: chọn SHA512
▪ Lifetime (days): Thời gian tồn tại của Certificate – VD: 36000 ngày
▪ General: Nhập các thông tin như Country Code, State, City, Common Name …

o Nhấn “Save” để lưu lại, sau khi lưu lại khách hàng sẽ thấy CA mới tạo trong danh sách các CA

– Bước 2: Tạo chứng chỉ cho OpenVPN Server
o Khách hàng truy cập tới System → Trust → Certificates → Nhấn “+” để tạo chứng chỉ mới cho OpenVPN Server. Sau đó nhập các thông tin như:
▪ Descriptive Name: Đặt tên cho chứng chỉ (ví dụ: CA-VPN-SERVER-TEMPLATE).
▪ Method: Chọn Create an internal Certificate.

▪ Certificate Authority: Chọn CA vừa tạo (ví dụ: CA-VPN-Template).
▪ Key length: RSA4096
▪ Digest Algorithm: Sử dụng SHA512.
▪ Điền các thông tin khác như Country Code, State, City, Common Name …

o Nhấn “Save” để lưu lại, sau khi lưu lại khách hàng sẽ thấy Certificate mới tạo trong danh sách các Certificates

– Bước 3: Cấu hình máy chủ OpenVPN
o Điều hướng đến VPN → OpenVPN → Servers → Nhấn “+” để thêm mới máy chủ OpenVPN.

o Sau đó khách hàng cấu hình máy chủ với các thông số sau:
▪ Tại phần General information:
• Description: đặt tên cho OpenVPN – VD: Template-Server-OpenVPN
• Server Mode: Chọn Remote Access (SSL/TLS + User Auth)
• Backend for authentication: có nhiều lựa chọn cho phần chứng thực – VD: chọn Local Database.
• Protocol: Chọn UDP, TCP (UDP được khuyến nghị vì tốc độ cao hơn) – VD: UDP
• Device Mode: Chọn tun.
• Interface: Chọn WAN (giao diện sẽ lắng nghe các kết nối OpenVPN).
• Local port: Để mặc định là 1194 (hoặc chọn port khác nếu cần

▪ Tại phần Cryptographic Settings – Khách hàng thực hiện cấu hình các thông số sau:
• TLS Authentication: Lựa chọn Enabled – Authentication & encription.
• Peer Certificate Authority: Khách hàng lựa chọn CA đã tạo trước đó – VD: CAVPN-Template.
• Server Certificate: Khách hàng lựa chọn Certificate Server đã tạo trước đó – VD: CA-VPN-SERVER-TEMPLATE
• Encryption algorithm: Chọn AES-256-GCM
• Auth Digest Algorithm: Chọn SHA512-512bit
• Certificate Depth: chọn One (Client+Server)

▪ Tại phần Tunnel Settings – Khách hàng thực hiện cấu hình các thông số sau:
• IPv4 Tunnel Network: Nhập subnet cung cấp cho client – VD: 192.168.200.0/24
• Redirect Gateway: Khách hàng thực hiện check vào đây
• Compression: Enabled-Stub algorithm (–compress stub)
• Inter-client communication: check vào đây.

▪ Tại phần Client Settings
• Dynamic IP: Khách hàng check vào đây.
• Topology: Khách hàng check vào đây.

o Sau khi cấu hình đầy đủ thông tin như trên, khách hàng thực hiện nhấn “Save” để lưu cấu hình máy chủ vpn.

– Bước 4: Cấu hình Firewall Rules

o Cho phép người dùng kết nối VPN từ bên ngoài môi trường internet. Để thực hiện điều này, khách hàng cần cấu hình rules kết nối vào interface WAN bằng cách điều hướng tới Firewall → Rules → WAN → Nhấn “+” để thêm mới, khách hàng cần lưu ý các thông tin chính sau:
▪ Action: chọn Pass
▪ Interface: chọn WAN
▪ Protocol: chọn UDP – Nguyên nhân do bên trên khách hàng đang chọn giao thức UDP cho VPN Server.
▪ Source: chọn Any – cho phép tất cả các IP kết nối tới.
▪ Destination (đích): nhập địa chỉ IP đích hoặc lựa chọn Aliases đã được cấu hình trước đó. Trong ví dụ này thực hiện chọn IP chính của interface WAN.
▪ Destination port range: 1194 – Port cấu hình trong phần cấu hình OPEN VPN SERVER.
▪ Description (Mô tả): Ghi chú ngắn gọn cho Rules – Ví dụ: Template Allow from List IP to Firewall with List PortMGNT
▪ Loggin (Ghi chú nhật ký): Nếu khách hàng muốn theo dõi lưu lượng mạng liên quan tới quy tắc này

▪ Sau khi cấu hình khách hàng nhấn “Save” → “Apply Changes” để lưu và kích hoạt quy tắc cho WAN.

o Thiết lập các chính sách kết nối sau khi người dùng VPN thành công. Ví dụ cho phép kết nối tới tất cả bao gồm cả LAN và Internet. Truy cập Firewall → Rules → OpenVPN → “+” để thêm mới quy tắc. Khách hàng cần lưu ý các thông tin chính sau:
▪ Action: Chọn Pass
▪ Interface: Chọn OpenVPN
▪ Protocol: TCP
▪ Source: chọn OpenVPN net
▪ Destination: Chọn Any

▪ Destination Range Port: AliasesPortInternet

▪ Sau khi cấu hình khách hàng nhấn “Save” → “Apply Changes” để lưu và kích hoạt quy tắc cho OpenVPN. Dưới đây là danh sách Quy tắc mà PAVietNam tạo sẵn cho khách hàng. Nếu khách hàng không sử dụng có thể xóa hoặc disable.

– Bước 5: Nếu cho phép người dùng truy cập Internet thông qua VPN, khách hàng có thể sử dụng NAT Outbound. Bằng cách truy cập Firewall → NAT → OutBound → Nhấn “+” để thêm mới quy tắc NAT. Cấu hình tương tự như trong phần 2.3 Firewall NAT

– Bước 6: Tạo người dùng cho OpenVPN. Khách hàng có thể truy cập đến System → Access → Users → Nhấn “+” để thêm mới người dùng. Khách hàng cần lưu ý các thông tin sau:
o Username: nhập username của client – VD: vpnclient1
o Password: Nhập password cho client

o Certificate: khách hàng vui lòng click vào để sử dụng. Nhấn Save để lưu lại

o Sau khi lưu lại sẽ tự động chuyển sang phần tạo Certificate cho client, khách hàng cần lưu ý các thông tin sau:
o Method: Create an inernal Certificate
o Description: Đặt tên cho Certificate – VD: CA-VPN-CLIENT-TEMPLATE
o Type: Client Certificate
o Issuer: Lựa chọn CA đã tạo trước đó – VD: CA-VPN-TEMPLATE

o Nhấn “Save” để lưu lại. Sau đó khách hàng sẽ thấy danh sách các Certificate đã tạo
trước đó.

– Bước 7: Xuất cấu hình cho client
o Khách hàng thực hiện điều hướng đến VPN > OpenVPN > Client Export.
o Trong Remote Access Server, chọn máy chủ OpenVPN mà bạn đã cấu hình.
o Phần Export Type: chọn File Only
o HostName: Nhập IP WAN của Virtual Router
o Nhấp vào liên kết để tải xuống tệp cấu hình tương ứng với client (ví dụ: CA-VPN-CLIENTTEMPLATE).
o Xuất file cấu hình và tải về để sử dụng cho OpenVPN client.

– Bước 8: Cấu hình client OpenVPN
o Tải và cài đặt OpenVPN client cho hệ điều hành tương ứng: Windows, macOS, Linux, iOS, Android tại địa chỉ
https://openvpn.net/client/
o Import tệp cấu hình OpenVPN mà bạn đã xuất ở bước trước.
o Nhập thông tin xác thực (username và password).

o Khách hàng nhấn CONNECT để thực hiện kết nối, sau khi kết nối thành công sẽ có giao diện như dưới

– Bước 9: Kiểm tra kết nối

o Kết nối OpenVPN client và kiểm tra xem bạn có thể truy cập vào tài nguyên nội bộ (như máy chủ, cơ sở dữ liệu, các thiết bị mạng) qua mạng VPN hay không.
o Sử dụng lệnh ping hoặc traceroute để kiểm tra kết nối giữa client và các máy chủ trong mạng nội bộ.
o Ngoài ra khách hàng có thể theo dõi những người dùng nào đang online bằng cách truy cập VPN → OpenVPN → Connection Status

3.3.Cấu hình VPN Wiregaurd.

– WireGuard VPN trên Virtual Router giúp khách hàng thiết lập một kết nối VPN nhanh, bảo mật và hiệu quả hơn. WireGuard có kiến trúc đơn giản hơn so với các giao thức VPN khác và được tối ưu cho hiệu suất cao với mã hóa hiện đại. Dưới đây là các bước hướng dẫn chi tiết để cấu hình WireGuard VPN trên Virtual Router.
– Bước 1: Khách hàng truy cập VPN → Wiregaurd → Instances → Nhấn “+” để thêm mới. Khách hàng nhập các thông tin sau:
o Enabled: Đánh dấu để bật WireGuard.
o Name: Đặt tên cho cấu hình (ví dụ: wg1).
o Listen Port: Chọn một port mà WireGuard sẽ lắng nghe (mặc định là 51820).
o Public Key & Private Key: Khách hàng nhấn vào biểu tượng bánh răng để tạo Public và Private key tự động.
o Tunnel Address: Nhập địa chỉ IP cho WireGuard server và subnet (ví dụ: 10.0.0.1/24).
o Nhấp Save để lưu cấu hình.

– Bước 2: Cấu hình Peer: Để cấu hình Peer khách hàng có 2 cách: thủ công và tự động.
o Thủ công: thường được sử dụng khi cấu hình giữa 2 thiết bị Network hỗ trợ WireGuard như: Router hoặc Firewall, mục đích kết nối Site-To-Site. Với cách này khách hàng có thể truy cập tới VPN → WireGuard → Peer → Nhấn “+” để thêm mới một Peer.
o Tự động: Virtual router hỗ trợ khách hàng có thể Generator Peer một cách tự động bằng cách truy cập đến VPN → WireGaurd → Peer Generator, khách hàng cần lưu ý các thông tin sau:
▪ Instance: Lựa chọn Instance đã cấu hình – VD: WG-SERVER.
▪ Endpoint: Nhập IP WAN của Virtual Router và Port của Instance – VD: 12.78.77.100:51820
▪ Public và Private Key: Tự sinh

▪ Address: Tự sinh theo thứ tự tăng dần – phụ thuộc vào subnet được cấu hình trong phần Instance
▪ Pre-share key: Khách hàng có thể thêm khóa preshared để tăng cường bảo mật, khách hàng có thể tạo ngẫu nhiên bằng cách nhấn vào biểu tượng bánh răng như hình dưới.
▪ Allow IPS: Nhập thông tin subnet cho phép Peer kết nối tới – VD: 0.0.0.0/0,::/0 – có nghĩa là cho phép truy cập tới tất cả.
▪ Keepalive interval: Mặc định nếu không cấu hình đặc biệt sẽ là 60s
▪ DNS: nhập DNS Server
▪ Sau khi nhập thông tin nhấn Apply để sinh ra nội dung config và QR-CODER. Khách hàng có thể lưu lại QR-CORE hoặc nội dung của config ra 1 nơi khác để cấp cho người dùng sau này, mục đích để cấu hình nhanh chóng.
▪ Tiếp đó Click vào biểu tượng của Store and generate next: để lưu trữ cấu hình của peer và tiếp tục cấu hình peer mới.

o Khách hàng có thể truy cập tới VPN → WireGuard → Peer để kiểm tra Peer vừa rồi đã được lưu trữ hay chưa và chỉnh sửa nếu cần thiết.

– Bước 3: Cấu hình Firewall Rules cho phép các client được phép truy cập tới WireGaurd Server thông qua cổng WAN bằng cách truy cập tới Firewall → Rules → WAN → Nhấn “+” để thêm mới quy tắc, khách hàng cần chú ý các thông tin sau:
o Action: Chọn Pass.
o Interface: Chọn WAN.
o Protocol: Chọn UDP.
o Source: Chọn any.
o Destination: Chọn Single Host or Network sau đó nhập địa chỉ IP WAN.
o Destination port range: nhập Listen Port mà bạn đã cấu hình cho WireGuard – VD: 51820.
o Nhấp Save và nhấp Apply Changes để lưu và kích hoạt quy tắc firewall.

– Bước 4: Cấu hình Firewall Rules cho phép các peer truy cập tới các network trong nội bộ VPC hoặc ra ngoài internet bằng cách truy cập Firewall → Rules → WireGaurd Group → Nhấn “+” để thêm mới quy tắc, khách hàng cần chú ý các thông tin sau:
o Action: Chọn Pass.
o Interface: Chọn WireGaurd Group.
o Protocol: Chọn TCP.
o Source: Chọn WireGaurd (Group) Net.
o Destination: Chọn any hoặc subnet mà khách hàng cho phép truy cập – VD: chọn Any
o Destination port range: nhập Range port cho phép truy cập – VD: Chọn AliasePortInternet
o Nhấp Save và nhấp Apply Changes để lưu và kích hoạt quy tắc firewall.

– Bước 5: Có thể thực hiện hoặc không. Bước này khách hàng có thể cấu hình cho phép các Peer được phép truy cập Internet thông qua kênh VPN này bằng cách thực hiện NAT Outbound cho range VPN WireGaurd này. Để cấu hình khách hàng truy cập Firewall → NAT → OutBound → Nhấn “+” để thêm mới. Cấu hình tương tự như trong phần 2.3 Firewall NAT

– Bước 6: Cài đặt Client WireGuard. Khách hàng có thể truy cập địa chỉ
https://www.wireguard.com/install/ để tải về và cài đặt client phù hợp với hệ điều hành đang
sử dụng.
– Bước 7: Cấu hình trên client Wireguard. Khách hàng có thể thực hiện quét mã QR-CODER hoặc import file cấu hình đã lưu lại tại bước số 2. Hoặc cấu hình thủ công theo chỉ dẫn sau (lưu ý quá trình thực hiện trên ứng dụng Wiregaurd của Windows)
o Khách hàng mở ứng dụng Wiregaurd trên windows → Click “Add Tunnel” → Add empty tunnel, khách hàng cần lưu ý các thông tin sau:
▪ Name: đặt tên cho tunnel
▪ Public key: sẽ tự sinh và không thay đổi được, thực hiện copy để vào Add Peer thủ công trong Virtual Router.

▪ Tại phần Interface
• Privatekey: mặc định sẽ tự sinh,
• Address: địa chỉ ip thuộc subnet mà khách hàng đã cấu hình trước đó – VD: 192.168.200.3/32
• DNS: nhập địa chỉ DNS Server – VD: 8.8.8.8, 8.8.4.4
▪ Tại phần cấu hình Peer
• PublicKey: chính là Publickey của Instance
• PreshareKey: chính là Pre-share key trong cấu hình Peer.
• AllowIPs: cho phép những subnet nào sẽ đi qua VPN – VD: chỉ cho phép đi tới range LAN của Virtul Router – 172.10.0.0/24
• Endpoint: sẽ nhập địa chỉ IP WAN và Port được cấu hình trong phần Instance

▪ Nhấn “Save” sau đó nhấn “Active” để lưu và kích hoạt VPN

– Bước 8: Kiểm tra và xác thực kết nối.
o Truy cập VPN → Wiregaurd → Status – khách hàng sẽ theo dõi được những Peer đang kết nối và lưu lượng sử dụng

o Khách hàng có thể đứng tại máy Client sau khi kết nối VPN thực hiện lệnh sau: route print | find “172.10.0.” sẽ thấy range 172.10.0.0/24 đang được đi qua kênh VPN.

o Khách hàng có thể sử dụng lệnh ping để kiểm tra kết nối. VD – ping 172.10.0.3

Để tìm hiểu thêm về Virtual Private Cloud (VPC) :  Xem tại đây

P.A Việt Nam tiên phong trong thị trường Internet & Web.
Là nhà đăng ký tên miền lớn nhất Việt Nam. Chuyên nghiệp trong lĩnh vực Tên miền, Website, Email, Server, Thiết kế Web.

Thông tin kiến thức vps-dedicated-colocation tại: https://kb.pavietnam.vn/category/vps-dedicated-colocation
Đăng ký dịch vụ P.A Việt Nam: https://www.pavietnam.vn/
P.A Việt Nam cung cấp đa dạng cấu hình VPS và Dedicated tại: Cloud Server –  Cloud Server Pro  –  Máy Chủ Riêng
Tham khảo các Ưu đãi hiện có tại: https://www.pavietnam.vn/vn/tin-khuyen-mai/
Facebook: https://www.facebook.com/pavietnam.com.vn