Tổng quan & yêu cầu
Sophos Firewall (SFOS) là next-gen firewall của Sophos, có bản software appliance chạy trên KVM/Proxmox. Rất hợp để làm lab bảo mật hoặc gateway cho nhánh nhỏ. Bản Home Edition miễn phí (dùng cá nhân) hoặc trial 30 ngày cho doanh nghiệp.
| Tài nguyên VM | Tối thiểu | Khuyến nghị |
|---|---|---|
| vCPU | 2 | 4 |
| RAM | 4 GB | 6–8 GB |
| Disk | 32 GB | 80 GB+ (log/report) |
| NIC | 2 (LAN + WAN) | 2–4 (thêm DMZ) |
| Firmware | SeaBIOS | SeaBIOS (không cần UEFI) |
Hai cách triển khai
- Cách 1 — ISO Installer (Web GUI): tải ISO SFOS, tạo VM, boot ISO, trình cài tự format & cài. Dễ cho người mới → ưu tiên.
- Cách 2 — Import image KVM (CLI): tải sẵn file
.qcow2, dùngqm importdisk. Nhanh, không cần chạy installer.
Tải Sophos Firewall (KVM/ISO)
~5 phút
-
1
Đăng ký & tải từ Sophos
Tạo tài khoản Sophos → mục Firewall → Software/Virtual Appliance → tải bản KVM (file nén chứa
.qcow2) hoặc ISO installer. Lấy license Home/trial. -
2
Đưa file vào Proxmox
ISO: upload vào storage (tab ISO Images). qcow2: copy lên node bằng SCP để dùng ở bước import.
# Copy file qcow2 lên node (chạy từ máy admin) scp SophosFirewall-disk1.qcow2 root@192.168.10.11:/root/
Tạo VM 2 NIC (Web GUI)
~5 phút — chuẩn bị "vỏ" máy ảo
| Tab | Thiết lập |
|---|---|
| OS | Cách 1: chọn ISO SFOS. Cách 2: Do not use any media. Type: Linux |
| System | BIOS SeaBIOS · Machine i440fx (hoặc q35) · SCSI Controller VirtIO SCSI |
| Disk | Cách 1: tạo disk 80GB (SCSI). Cách 2: có thể xóa, sẽ import sau |
| CPU / RAM | 2–4 cores · 4096–8192 MB |
| Network (net0 = LAN) | Bridge vmbr1 (mạng nội bộ) · Model VirtIO |
Thêm NIC thứ 2 (WAN)
Sau khi tạo VM: Hardware → Add → Network Device → Bridge vmbr0 (ra Internet) → net1 = WAN. Thứ tự net0/net1 tương ứng Port A/Port B trong Sophos.
Model NIC
SFOS hỗ trợ VirtIO (nhanh). Nếu gặp lỗi không nhận NIC ở bản cũ, đổi tạm sang E1000 rồi cài driver sau.
Cài đặt hoặc Import disk
~10 phút
Cách 1 — ISO Installer (GUI)
-
1
Start VM → Console → boot ISO
Trình cài SFOS hiện ra → xác nhận cài (sẽ format toàn bộ disk) → chờ cài xong → VM tự reboot vào SFOS.
Cách 2 — Import image KVM (CLI)
Có thể làm bước 2 bằng GUI: Hardware → chọn Unused Disk 0 → Edit → Add (bus SCSI).
Cấu hình ban đầu qua cổng 4444
~10 phút — setup wizard
Port A (LAN) = 172.16.16.16/24"] --> B["Máy client cùng LAN
đặt IP 172.16.16.x"] B --> C["Mở https://172.16.16.16:4444"] C --> D["Login admin/admin
→ đổi mật khẩu"] D --> E["Wizard: NIC, DNS,
register + license"] E --> F["Firewall sẵn sàng"] style A fill:#ffe4e6,stroke:#e11d48,stroke-width:2px style F fill:#bbf7d0,stroke:#16a34a,stroke-width:2px
-
1
Truy cập giao diện quản trị
Port A (LAN) mặc định
172.16.16.16/24. Đặt 1 máy client vào cùng bridge LAN (vmbr1) với IP172.16.16.x→ mởhttps://172.16.16.16:4444. -
2
Đăng nhập & chạy wizard
Login mặc định
admin / admin→ bắt buộc đổi mật khẩu → wizard cấu hình: đặt IP WAN (Port B), DNS, timezone, đăng ký Sophos ID + apply license. -
3
Gán interface LAN/WAN
Trong SFOS: Network → Interfaces. Đảm bảo Port A → LAN zone (vmbr1), Port B → WAN zone (vmbr0, DHCP/static ra Internet). Tạo firewall rule LAN→WAN để có Internet.
Hoàn tất
Sophos Firewall ảo đã chạy trên Proxmox. Có thể dùng làm gateway cho các VM khác (trỏ default gateway về Port A của SFOS).
Troubleshooting
| Triệu chứng | Nguyên nhân & xử lý |
|---|---|
| Không vào được :4444 | Client không cùng subnet LAN → đặt IP 172.16.16.x, cùng bridge vmbr1 với Port A |
| VM không boot sau import | Chưa gắn disk / sai boot order → qm set scsi0 + boot order=scsi0 |
| SFOS không thấy NIC | Đổi model NIC sang E1000, hoặc kiểm tra đủ 2 net device |
| LAN vào được, WAN không ra net | Port B chưa cấu hình gateway/DHCP; thiếu firewall rule LAN→WAN + NAT |
| Console CLI của SFOS | Menu console (option 4 Device Console) để set IP Port A nếu cần đổi |