Giới thiệu (Introduction)

SSL VPN (Secure Sockets Layer Virtual Private Network) cho phép người dùng từ xa truy cập an toàn vào các tài nguyên của mạng nội bộ thông qua Internet bằng các kết nối được mã hóa.

Với Omada Gateway, bạn có thể cấu hình xác thực người dùng (User Authentication) và thiết lập chính sách kiểm soát truy cập (Access Control Policies) để giới hạn những tài nguyên mạng mà từng VPN Client được phép truy cập.

Giải pháp này không chỉ cung cấp kết nối từ xa an toàn mà còn giúp bảo vệ các tài nguyên nội bộ quan trọng khỏi truy cập trái phép.

Bài viết này hướng dẫn cách cấu hình máy chủ SSL VPN (SSL VPN Server) trên Omada Gateway và cách kết nối an toàn các máy khách từ xa (Remote Clients).

Yêu cầu (Requirements)

Theo sơ đồ mạng dưới đây, hãy tạo 03 tài khoản trên SSL VPN Server với các quyền truy cập khác nhau để đáp ứng các yêu cầu sau:

• Tài khoản 1: VPN Client truy cập Internet thông qua VPN Server (Proxy Internet Access).
• Tài khoản 2: VPN Client chỉ được phép truy cập VLAN 20 và không được phép truy cập VLAN 30.
• Tài khoản 3: VPN Client và các thiết bị phía sau VPN Server chỉ được phép giao tiếp bằng giao thức ICMP.

Cấu hình (Configuration)

Bước 1. Tạo SSL VPN Server

Truy cập: Network Config > VPN > VPN Server. Nhấn Create New VPN Server, sau đó chọn SSL VPN.

Trong ví dụ này:

• Name: SSL_VPN_Server_1
• Starting IP Address: 10.10.10.10
• Ending IP Address: 10.10.10.100

Sau khi hoàn tất cấu hình, nhấn Apply để lưu các thiết lập. Bạn có thể điều chỉnh các giá trị này cho phù hợp với mô hình mạng của mình.

Lưu ý: Đảm bảo dải địa chỉ IP (IP Pool) cấp phát cho SSL VPN không bị trùng với bất kỳ mạng LAN (LAN Subnet) nào đã được tạo trên Gateway.

Lưu ý: Primary DNS chỉ là cấu hình được khuyến nghị. Trong ví dụ này, chúng tôi sử dụng Google Public DNS làm máy chủ DNS chính.

Bước 2. Kích hoạt SSL VPN Server

Truy cập: Network Config > VPN > VPN Server. Đánh dấu chọn Enable để kích hoạt SSL VPN Server.

Bước 3. Tạo Tunnel Resources

Truy cập: VPN > User Management > User Group > Resource Management > Tunnel Resources. Nhấn Create New Tunnel Resource để tạo 02 nhóm tài nguyên (Tunnel Resource Groups) như dưới đây.

Trong cửa sổ cấu hình:

• Allow VLAN20: Cho phép VPN Client truy cập vào VLAN 20.
• AllowICMP: Sử dụng giao thức ICMP để giới hạn tài nguyên mà VPN Client được phép truy cập.

Bước 4. Tạo Resource Group

Truy cập: VPN > User Management > User Group > Resource Management > Resource Group. Nhấn Create New Resource Group để tạo 02 Resource Group và áp dụng 02 Tunnel Resource đã tạo ở Bước 3 vào hai Resource Group tương ứng.

Lưu ý: Hãy đảm bảo Tunnel Resource tương ứng được gán đúng vào Resource Group phù hợp.

Bước 5. Tạo User Group

Truy cập: VPN > VPN Server > User Management > User Group. Nhấn Create New User Group để tạo 03 User Group. Gán Resource Group tương ứng cho từng User Group theo quyền truy cập của 03 tài khoản đã yêu cầu.

Lưu ý: Nếu muốn VPN Client truy cập Internet thông qua VPN Server (Proxy Internet Access), hãy chọn Resource Group = ALL. Khi đó, VPN Client sẽ có quyền truy cập đến toàn bộ tài nguyên được phép và có thể sử dụng VPN Server làm cổng truy cập Internet.

Lưu ý: Hãy đảm bảo Resource Group tương ứng được gán đúng vào User Group phù hợp.

Bước 6. Tạo tài khoản người dùng (User)

Truy cập: VPN > VPN Server > User Management. Nhấn Create New User để tạo 03 tài khoản người dùng. Mỗi tài khoản sẽ được gán vào một User Group tương ứng, qua đó kế thừa các quyền truy cập đã được cấu hình cho nhóm đó. Bạn có thể thiết lập Username và Password theo nhu cầu sử dụng của mình.

Lưu ý: Hãy đảm bảo User Group tương ứng được gán đúng cho User cần sử dụng.

Bước 7. Xuất chứng chỉ và tệp cấu hình (Export Certificate)

Truy cập: VPN > VPN Server. Nhấn Export để xuất tệp cấu hình (Configuration File). VPN Client có thể sử dụng tệp cấu hình này để kết nối tới SSL VPN Server.

Kiểm tra kết quả (Verification)

Sử dụng OpenVPN GUI trên máy khách (VPN Client) để nhập (Import) tệp cấu hình đã xuất ở bước trước. Sau đó, nhập Username và Password tương ứng để thiết lập kết nối đến SSL VPN Server.

Kiểm tra với Tài khoản 1

Tài khoản 1 được cấu hình để VPN Client truy cập Internet thông qua VPN Server (Proxy Internet Access).

Sau khi kết nối SSL VPN thành công, hãy kiểm tra bằng cách truy cập Internet từ VPN Client. Nếu cấu hình chính xác, toàn bộ lưu lượng truy cập Internet của VPN Client sẽ được định tuyến thông qua VPN Server.

Sau khi kết nối thành công, SSL VPN Server sẽ cấp cho VPN Client địa chỉ IP 10.10.10.11.

Khi VPN Client truy cập đến địa chỉ 8.8.8.8, kết quả kiểm tra đường đi (ví dụ bằng tracert) sẽ cho thấy:

• Hop đầu tiên là VPN Tunnel. Do dữ liệu được mã hóa, địa chỉ IP tương ứng của VPN Tunnel sẽ không thể được phân giải.
• Hop thứ hai là Default Gateway của VPN Server.

Điều này cho thấy toàn bộ lưu lượng truy cập Internet của VPN Client được truyền qua VPN Tunnel trước, sau đó được chuyển tiếp bởi VPN Server để truy cập Internet, qua đó thực hiện chức năng Proxy Internet Access.

Tiếp theo, truy cập: SSL VPN > Status. Tại đây, bạn có thể xem trạng thái kết nối của VPN Client

Kiểm tra với Tài khoản 2

Tài khoản 2 được cấu hình để VPN Client chỉ được phép truy cập VLAN 20 và không được phép truy cập VLAN 30.

Sau khi kết nối thành công, SSL VPN Server sẽ cấp cho VPN Client địa chỉ IP 10.10.10.12.

Tiến hành kiểm tra kết nối:

• VPN Client có thể ping đến thiết bị trong VLAN 20 có địa chỉ IP 192.168.20.100.
• VPN Client không thể ping đến thiết bị trong VLAN 30 có địa chỉ IP 192.168.30.100.

Đồng thời, VPN Client cũng có thể truy cập giao diện quản trị (Management Interface) của Omada Gateway thông qua địa chỉ 192.168.20.1.

Kiểm tra với Tài khoản 3

Tài khoản 3 được cấu hình để VPN Client và các thiết bị phía sau VPN Server chỉ được phép giao tiếp thông qua giao thức ICMP.

Sau khi kết nối thành công, SSL VPN Server sẽ cấp cho VPN Client địa chỉ IP 10.10.10.13.

Tiến hành kiểm tra kết nối:

• VPN Client có thể ping đến thiết bị trong VLAN 20 có địa chỉ IP 192.168.20.100.
• VPN Client có thể ping đến thiết bị trong VLAN 30 có địa chỉ IP 192.168.30.100.
• Tuy nhiên, VPN Client không thể truy cập giao diện quản trị (Management Interface) của Omada Gateway thông qua địa chỉ 192.168.20.1.

Kết luận (Conclusion)

Cấu hình này đã triển khai thành công giải pháp SSL VPN với 03 cấp độ quyền truy cập khác nhau, đáp ứng các yêu cầu sử dụng cụ thể của hệ thống mạng.

• Tài khoản 1 cho phép VPN Client truy cập Internet thông qua VPN Server (Proxy Internet Access).
• Tài khoản 2 chỉ được phép truy cập VLAN 20 và bị chặn truy cập VLAN 30.
• Tài khoản 3 chỉ cho phép VPN Client giao tiếp với các tài nguyên nội bộ bằng giao thức ICMP.

Thông qua việc kết hợp VPN IP Pool, Tunnel Resources và User Group Policies, giải pháp này minh họa cách triển khai kiểm soát truy cập theo vai trò (Role-Based Access Control - RBAC) một cách hiệu quả, đồng thời nâng cao mức độ an toàn và khả năng quản lý của hệ thống mạng.

Câu hỏi thường gặp (QA)

Q1. Tôi nên làm gì nếu không thể kết nối đến SSL VPN?

A1. Hãy kiểm tra các nội dung sau:

• Đảm bảo SSL VPN Server đã được Enable.
• Xác nhận Service Port được cấu hình chính xác.
• Kiểm tra Username, Password và tệp cấu hình/chứng chỉ (Certificate Configuration File) đã được nhập đúng trên VPN Client.

Q2. Tại sao VPN Client không thể truy cập một số VLAN?

A2. Hãy kiểm tra xem Resource Group và Tunnel Resources đã được gán đúng cho User Group của người dùng hay chưa.

Các quyền truy cập đến từng VLAN được kiểm soát thông qua các cấu hình này.

Q3. Tôi nên làm gì nếu quên mật khẩu của người dùng?

A3. Truy cập:

User Management

Chỉnh sửa (Edit) tài khoản người dùng, sau đó xem (View) hoặc đặt lại (Set) mật khẩu mới.

Q4. Tôi nên làm gì nếu VPN Client không thể truy cập Internet?

A4. Hãy kiểm tra các nội dung sau:

• Đảm bảo Resource Group được đặt là ALL nếu muốn cho phép truy cập Internet đầy đủ.
• Kiểm tra cấu hình DNS.
• Đảm bảo Gateway của SSL VPN Server có kết nối Internet bình thường.

Q5. Tại sao VPN Client không được cấp địa chỉ IP?

A5. Hãy kiểm tra:

• VPN IP Pool đã được cấu hình đúng và vẫn còn địa chỉ IP khả dụng để cấp phát.
• Không có xung đột giữa VPN IP Pool và các mạng LAN (LAN Subnets) hiện có.

Để tìm hiểu thêm về từng tính năng và cách cấu hình chi tiết, vui lòng truy cập Support Home để tải xuống hoặc tham khảo User Manual dành cho sản phẩm của bạn.