Guest traffic

[dangquangminh]

liệu luồng truy cập Internet của khách có đang băng băng ra ngoài Internet mà không qua bất kỳ lớp kiểm soát nào? Nếu vậy, rủi ro bảo mật và trách nhiệm pháp lý tiềm ẩn là rất lớn. 🎯 Bài toán đặt ra:


Chúng ta muốn:

• Cho phép khách truy cập Internet công cộng (qua VPN2).
• Kiểm soát nội dung mà khách được phép truy cập.
• Phân luồng rõ ràng giữa Employee traffic và Guest traffic.
• Bảo vệ hạ tầng trung tâm dữ liệu khỏi truy cập trái phép từ mạng guest.

---

📌 Giải pháp URL Filtering trong mạng phân chia theo VRF (VPN)


Ảnh đầu tiên mô tả kiến trúc phân chia người dùng thành:

• VPN1 (Employee): Truy cập cả ứng dụng nội bộ (HQ) và Internet.
• VPN2 (Guest): Chỉ truy cập Internet thông qua đường kiểm soát (blue line).

🔹 Các traffic được phân định rõ:

• 🟢 HQ Destined Traffic (nhân viên): truy cập vào Data Centre.
• 🟠 Employee Internet Traffic: qua Enterprise FW → URL Filtering → Internet.
• 🔵 Guest Internet Traffic: tách biệt trong VPN2, áp dụng URL Filtering trước khi ra Internet.

➡️ Tất cả các luồng đều đi qua tường lửa ứng dụng (Ent. FW App Aware) và tính năng URL Filtering.

---

🛡️ URL Filtering hoạt động ra sao?


Hình thứ hai trình bày pipeline xử lý: 🧠 Giai đoạn 1: Custom URL Lists


Bạn có thể tạo danh sách cho phép/chặn riêng theo domain:
Ví dụ:

• ✅ vnpro.vn
• ❌ facebook.com, torrent.xyz

📂 Giai đoạn 2: Theo danh mục và uy tín


Tự động phân loại domain theo hơn 82 danh mục Webroot/BrightCloud như:

• Gambling
• Malware
• Adult Content
• Phishing
• Social Media...

Hệ thống sẽ:

• Allow/Block theo chính sách.
• Ghi log để điều tra.
• Hiển thị trang block tùy biến.

---

✅ Lợi ích vượt trội:

• Triển khai BYOD an toàn trong môi trường văn phòng.
• Dễ dàng chặn nội dung nguy hiểm hoặc không phù hợp cho cả employee lẫn guest.
• Hỗ trợ VRF tách biệt traffic, đảm bảo phân vùng bảo mật.
• Cập nhật danh mục web liên tục từ cloud (Webroot/BrightCloud).
• Có thể custom hóa block page, nâng cao UX & compliance.

---

⚙️ Yêu cầu triển khai (Requirements):

• ✅ Bản quyền SEC-K9 hoặc DNA Essentials.
• ✅ RAM tối thiểu thêm 4GB.
• ✅ IOS-XE version tuỳ nền tảng:
  • 16.3+ cho CSR
  • 16.8.1+ cho ISRv
  • 17.4.1+ cho 8000V
• ✅ Hỗ trợ Multitenancy từ 16.6.1 (CSR)

---

📘 Kết luận & Khuyến nghị cho kỹ sư mạng


🔍 Bạn đang triển khai SD-Access hay SD-WAN? Hãy tận dụng triệt để khả năng URL Filtering để:

• Bảo vệ tenant guest khỏi bị lợi dụng làm kênh tấn công vào hệ thống.
• Tuân thủ chính sách bảo mật (compliance, audit trail).
• Tối ưu trải nghiệm người dùng khi truy cập Internet có kiểm soát.