Chuẩn Bị Hạ Tầng Lab — Proxmox + pfSense + VLAN

Mục Tiêu Buổi Học

• Hiểu mô hình hạ tầng lab: FortiGate → Proxmox → pfSense → ESXi
• Cấu hình Proxmox VLAN Aware bridge (vmbr0)
• Cài đặt và cấu hình pfSense làm Inter-VLAN Router + DHCP Relay
• Tạo DHCP Scopes trên DC (10.100.100.3) cho 6 VLAN
• Cấu hình VMkernel adapters trên ESXi cho từng VLAN
• Xác minh luồng DHCP Relay hoạt động end-to-end

Hạ Tầng Hiện Tại (Đã Xác Nhận)

1. Phân Tích Logic Mô Hình Mạng

1.1 Tại sao cần pfSense?

Hiện tại, mọi thiết bị (DC, ESXi, vCenter, Proxmox) đều nằm trên cùng 1 subnet 10.100.100.0/24. Để triển khai VMware vSphere đúng chuẩn, cần tách traffic theo chức năng:

• vMotion — cần VLAN riêng (băng thông lớn, không nên lẫn với management)
• vSAN — cần VLAN riêng (traffic storage nặng)
• iSCSI — cần 2 VLAN riêng (multipath A + B)
• VM workload — tách Production / Development / DMZ

pfSense đóng vai trò inter-VLAN router — là gateway cho tất cả VLAN mới. Đồng thời chạy DHCP Relay để chuyển tiếp DHCP request từ các VLAN về DC (10.100.100.3).

1.2 Tại sao DC, pfSense, ESXi đều trên cùng 10.100.100.0/24?

1.3 Vai trò từng thiết bị

2. Quy Hoạch VLAN / IP

2.1 Mạng quản lý (Native / Untagged — đã có)

2.2 VMkernel VLANs — Traffic ESXi (pfSense là gateway)

2.3 VM Network VLANs — Cho VM workload (triển khai sau)

3. Sơ Đồ Network Topology

Kiến trúc mạng — FortiGate → Proxmox → pfSense → VLAN

Bước 1: Cấu Hình Proxmox Network (VLAN Aware)

1.1 Truy cập Proxmox

URL: https://10.100.100.5:8006

1.2 Bật VLAN Aware trên vmbr0

Datacenter → Node → Network → vmbr0 → Edit → Tick "VLAN Aware" ✓ → OK → Apply Configuration

1.3 Hoặc cấu hình CLI

nano /etc/network/interfaces

auto lo
iface lo inet loopback

auto eno1
iface eno1 inet manual

auto vmbr0
iface vmbr0 inet static
    address 10.100.100.5/24
    gateway 10.100.100.1
    bridge-ports eno1
    bridge-stp off
    bridge-fd 0
    bridge-vlan-aware yes
    bridge-vids 10 20 30 40 41 50 100 200 300 400

# Áp dụng:
ifreload -a

# Kiểm tra:
bridge vlan show

Bước 2: Download & Tạo VM pfSense trên Proxmox

2.1 Download pfSense ISO

1. Truy cập https://www.pfsense.org/download/
2. Chọn: Architecture: AMD64, Installer: CD Image (ISO)
3. Download file .iso.gz → giải nén ra .iso
4. Upload lên Proxmox: Datacenter → local (storage) → ISO Images → Upload

2.2 Tạo VM pfSense

Proxmox → Create VM

2.3 Thêm NIC thứ 2

Sau khi tạo VM: VM → Hardware → Add → Network Device

Bước 3: Cài Đặt pfSense (Console)

3.1 Start VM & Mở Console

VM pfSense → Start → Console

3.2 Cài đặt pfSense

1. Chờ boot menu → chọn Install pfSense
2. Keymap: Default
3. Partition: Auto (ZFS) hoặc Auto (UFS) (UFS đơn giản hơn)
4. Chọn disk: da0 hoặc vtbd0
5. Confirm → cài đặt...
6. Khi xong → Reboot
7. Quan trọng: Sau reboot, vào VM → Hardware → CD/DVD Drive → Do not use any media để tháo ISO

3.3 Cấu hình interfaces ban đầu (Console menu)

# === Bước 1: VLANs ===
Should VLANs be set up now [y|n]? → y

# Nhập VLAN trên NIC 2 (vtnet1 — trunk):
Enter the parent interface name for the new VLAN: vtnet1
Enter the VLAN tag: 10
(nhấn Enter)

# Tiếp tục thêm:
Enter the parent interface name: vtnet1
Enter the VLAN tag: 20
(nhấn Enter)

# Lặp lại cho: 30, 40, 41, 50
# Sau khi thêm hết, nhấn Enter (để trống) để kết thúc

# === Bước 2: Assign interfaces ===
Enter the WAN interface name: vtnet0
Enter the LAN interface name: vtnet1.10
Enter the Optional 1 interface name: vtnet1.20
Enter the Optional 2 interface name: vtnet1.30
Enter the Optional 3 interface name: vtnet1.40
Enter the Optional 4 interface name: vtnet1.41
Enter the Optional 5 interface name: vtnet1.50
(nhấn Enter để kết thúc)

# Confirm: y

3.4 Đặt IP cho WAN (Menu Option 2)

# Chọn Option 2 — Set interface(s) IP address
# Chọn interface: 1 (WAN - vtnet0)

Configure IPv4 address WAN interface via DHCP? → n
Enter the new WAN IPv4 address: 10.100.100.2
Enter the new WAN IPv4 subnet bit count: 24

For a WAN, enter the new WAN IPv4 upstream gateway: 10.100.100.1

Configure IPv6? → n
Do you want to revert to HTTP as the webConfigurator protocol? → n

3.5 Đặt IP cho LAN — VLAN 10 (Menu Option 2)

# Chọn Option 2 → interface 2 (LAN - vtnet1.10)

Configure IPv4 via DHCP? → n
Enter the new LAN IPv4 address: 10.100.10.1
Subnet bit count: 24
upstream gateway: (Enter — bỏ trống, không cần gateway cho LAN)

Enable DHCP server on LAN? → n    ← QUAN TRỌNG: chọn NO!

3.6 Đặt IP cho các OPT interfaces còn lại

Lặp lại Option 2 cho từng interface:

Bước 4: Cấu Hình pfSense qua Web UI

4.1 Truy cập WebGUI

Vì pfSense mặc định chặn WebGUI trên WAN, bạn cần mở trước từ console:

# Trong pfSense console, chọn Option 8 (Shell)
# Chạy lệnh:
pfctl -d
# (Tắt tạm firewall — chỉ để truy cập WebGUI lần đầu)

Mở trình duyệt: https://10.100.100.2 → Đăng nhập: admin / pfsense

4.2 Setup Wizard

1. Hostname: pfSense, Domain: lab.local
2. DNS: 10.100.100.3 (DC) + 8.8.8.8 (backup)
3. Time Zone: Asia/Ho_Chi_Minh
4. WAN: Static IPv4 — 10.100.100.2/24, Gateway: 10.100.100.1
5. Uncheck "Block private networks" và "Block bogon networks" trên WAN (vì WAN là mạng private 10.x)
6. LAN: 10.100.10.1/24
7. Đổi mật khẩu admin
8. Finish

4.3 Đặt tên cho OPT interfaces

Interfaces → OPT1 → Enable ✓ → Description: VLAN20_vMotion → Save

Mỗi interface: Enable ✓ → IPv4 Static → nhập IP → Save → Apply Changes

4.4 Firewall Rules — Cho phép traffic

Firewall → Rules → Cho MỖI interface (LAN, OPT1–5), thêm rule:

4.5 Tắt NAT cho traffic nội bộ

1. Firewall → NAT → Outbound
2. Chọn Manual Outbound NAT rule generation
3. Save
4. Xóa tất cả auto-generated rules trừ rule cuối cùng
5. Chỉ giữ lại 1 rule: Source 10.100.100.0/24 → WAN → NAT to WAN address

Bước 5: Cấu Hình DHCP Scopes Trên DC (10.100.100.3)

5.1 Mở DHCP Manager

Server Manager → Tools → DHCP

Nếu chưa cài DHCP role: Add Roles → DHCP Server → Install

5.2 Tạo Scope cho mỗi VLAN

IPv4 → Click phải → New Scope

5.3 Activate tất cả Scopes

Khi tạo scope, chọn "Yes, I want to activate this scope now".

IPv4
├── Scope [10.100.10.0]  VLAN10-ESXi-Mgmt  ✔ Active
├── Scope [10.100.20.0]  VLAN20-vMotion     ✔ Active
├── Scope [10.100.30.0]  VLAN30-vSAN        ✔ Active
├── Scope [10.100.40.0]  VLAN40-iSCSI-A     ✔ Active
├── Scope [10.100.41.0]  VLAN41-iSCSI-B     ✔ Active
└── Scope [10.100.50.0]  VLAN50-Storage      ✔ Active

Bước 6: Cấu Hình DHCP Relay Trên pfSense

6.1 Tắt DHCP Server (nếu đang bật)

Services → DHCP Server → Kiểm tra từng tab interface → Bỏ tick Enable → Save

6.2 Bật DHCP Relay

1. Services → DHCP Relay
2. Tick Enable DHCP Relay ✓
3. Interface(s): Giữ Ctrl + Click chọn: LAN (VLAN 10), VLAN20_vMotion, VLAN30_vSAN, VLAN40_iSCSI_A, VLAN41_iSCSI_B, VLAN50_Storage
4. Destination server: 10.100.100.3 (IP của DC)
5. Click Save

Bước 7: Cấu Hình vSwitch/Port Group Trên ESXi

7.1 Điều chỉnh NIC ESXi trên Proxmox

7.2 Truy cập ESXi Web UI

https://10.100.100.10 (ESXi 01) hoặc qua vCenter https://10.100.100.11/ui

7.3 Tạo Port Groups trên vSwitch

Networking → Virtual switches → vSwitch0 → Add port group

7.4 Tạo VMkernel Adapters

Networking → VMkernel NICs → Add VMkernel NIC

• vmk0 → Port Group VLAN10-Management → Services: Management ✓ → IPv4: DHCP
• vmk1 → Port Group VLAN20-vMotion → Services: vMotion ✓ → IPv4: DHCP
• vmk2 → Port Group VLAN30-vSAN → Services: vSAN ✓ → IPv4: DHCP
• vmk3 → Port Group VLAN40-iSCSI-A → IPv4: DHCP
• vmk4 → Port Group VLAN41-iSCSI-B → IPv4: DHCP

Lặp lại cho ESXi 02, 03, 04 (hoặc dùng vDS để đồng bộ tự động).

Kiểm Tra & Xác Minh

Kiểm tra 1: VMkernel nhận IP từ DHCP

# Trên ESXi (SSH hoặc console):
esxcli network ip interface ipv4 get

# Kết quả mong đợi:
# vmk0  10.100.10.x   255.255.255.0  DHCP
# vmk1  10.100.20.x   255.255.255.0  DHCP
# vmk2  10.100.30.x   255.255.255.0  DHCP
# vmk3  10.100.40.x   255.255.255.0  DHCP
# vmk4  10.100.41.x   255.255.255.0  DHCP

Kiểm tra 2: DHCP Leases trên DC

DHCP Manager → Scope VLAN20 → Address Leases — phải thấy ESXi đã nhận IP.

Kiểm tra 3: Ping giữa các VLAN

# Từ ESXi 01 (SSH), ping pfSense gateway:
vmkping -I vmk1 10.100.20.1     # vMotion gateway
vmkping -I vmk2 10.100.30.1     # vSAN gateway

# Từ DC (10.100.100.3), ping pfSense:
ping 10.100.100.2    # pfSense WAN
ping 10.100.10.1     # pfSense VLAN 10 GW (qua routing)

Kiểm tra 4: pfSense DHCP Relay logs

Status → System Logs → DHCP — xem log relay

Checklist tổng hợp

Troubleshooting

1. Không truy cập được pfSense WebGUI

2. ESXi vmk không nhận IP DHCP

3. Không ping được giữa VLAN

4. Debug commands

# pfSense Shell (Option 8):
pfctl -d                          # Tắt firewall tạm
pfctl -e                          # Bật lại firewall
ifconfig                          # Xem tất cả interfaces + IP
cat /tmp/dhcrelay.log             # Log DHCP relay

# Proxmox:
bridge vlan show                  # Xem VLAN trên bridge
tcpdump -i vmbr0 -n port 67      # Bắt DHCP traffic

# ESXi SSH:
esxcli network ip interface ipv4 get    # Xem IP vmk
esxcli network vswitch standard list    # Xem vSwitch
vmkping -I vmk1 10.100.20.1            # Ping qua vmk cụ thể