[case study] kiến trúc biên giới kép: 1 asa + 1 ftd và bài toán dual-wan

[Tran Huu Nhan]

[CASE STUDY] KIẾN TRÚC BIÊN GIỚI KÉP: 1 ASA + 1 FTD VÀ BÀI TOÁN DUAL-WAN

Chào anh em,

Trong thiết kế hạ tầng mạng doanh nghiệp, đạt được tính sẵn sàng cao (High Availability) ở lớp Perimeter (Biên) luôn là bài toán đau đầu. Hôm nay, mình muốn cùng anh em mổ xẻ một kiến trúc "kinh điển" nhưng cực kỳ thực tế: Sử dụng song song 2 dòng Firewall có kiến trúc khác nhau (Cisco ASA + Cisco FTD) kết nối đồng thời ra 2 nhà mạng độc lập (Dual-WAN).

Nhiều người sẽ hỏi: “Tại sao không mua cụm Active/Standby 2 con giống hệt nhau cho nhàn đầu?”. Câu trả lời nằm ở sự kết hợp chiến lược giữa Sức mạnh cơ bắp truyền thống (L4) và Trí tuệ nhân tạo thế hệ mới (NGFW/L7) để tối ưu hóa cả chi phí license lẫn hiệu năng hệ thống.

Hãy cùng phân tích sâu hơn về mô hình này nhé!

1. Bản Chất Kiến Trúc: Sự Kết Hợp Giữa "Cơ Bắp" Và "Trí Tuệ"

Tại sao lại là 1 ASA + 1 FTD? Thiết kế này mang lại lợi thế rất lớn về mặt phân tải dựa trên bản chất phần cứng và hệ điều hành:

• Cisco ASA (Cổng Cơ Bắp & Tốc Độ): Chạy hệ điều hành ASA Software truyền thống. Nó xử lý cực nhanh ở Layer 3/Layer 4, độ trễ (latency) gần như bằng 0 vì không phải bóc tách sâu gói tin. ASA là "vua" trong việc chịu tải NAT, xử lý các kết nối thô và đặc biệt là chạy các đường truyền VPN (IPsec, AnyConnect) nhờ độ ổn định và "nồi đồng cối đá" huyền thoại.
• Cisco FTD (Cổng Trí Tuệ Thế Hệ Mới): Định dạng Next-Generation Firewall chạy nền tảng Firepower. Ngoài việc chặn IP/Port, FTD có các engine soi sâu vào tận Layer 7 để làm: Chống xâm nhập (IPS), Lọc Web (URL Filtering), Nhận diện ứng dụng (App-ID), Chống mã độc (Advanced Malware Protection). Đổi lại, vì phải "soi" kỹ nên throughput của nó sẽ giảm và độ trễ sẽ cao hơn ASA khi bật full tính năng.

2. Kịch Bản Vận Hành: Tối Ưu Băng Thông & License như thế nào?


Nếu chạy Active - Standby truyền thống (một con chạy, một con nằm chơi) thì quá lãng phí băng thông nhà mạng và tài nguyên thiết bị. Phương án tối ưu nhất cho mô hình này là Chia tải thông minh (Active – Active) ngay từ lớp Core Switch:

• Luồng Internet của User (Chiếm 70% traffic): Định tuyến đi qua FTD -> ISP 1. User lướt web, download dữ liệu, check mail sẽ được FTD kiểm tra mã độc, lọc URL độc hại và bật IPS để bảo vệ máy trạm. Chúng ta chỉ cần mua gói License bảo mật cao cấp (TID/URL/AMP) cho duy nhất một con FTD này, tiết kiệm được một nửa tiền license so với việc mua cho cả 2 con.
• Luồng VPN & Dịch vụ nội bộ: Định tuyến đi qua ASA -> ISP 2. Toàn bộ đối tác kết nối Site-to-Site VPN hoặc anh em nhân viên remote AnyConnect từ xa về sẽ đổ vào đường này. Traffic VPN vốn đã được mã hóa, đi qua ASA sẽ được giải mã cực nhanh, mượt mà và không làm nghẽn CPU của con FTD.
• Kịch bản thảm họa (Failover): Nếu một trong hai thiết bị (hoặc nhà mạng) sập, thiết bị còn lại sẽ lập tức ôm luôn toàn bộ traffic của con kia bằng cơ chế Routing dự phòng (PBR hoặc Dynamic Routing). Mạng doanh nghiệp giữ được kết nối liên tục 24/7.

3. Những Góc Khuất Và "Bẫy Kỹ Thuật" Anh Em Cần Lưu Ý


Mô hình này nhìn thì rất đẹp trên giấy, nhưng khi triển khai thực tế, nó đòi hỏi tay nghề của anh em System/Network phải cực kỳ vững, nếu không sẽ tự mua "hành" về ăn: ❌ Bẫy số 1: Định Tuyến Bất Đối Xứng (Asymmetric Routing) – "Sát thủ" diệt gói tin


Firewall là thiết bị kiểm tra trạng thái kết nối (Stateful Inspection). Nó bắt buộc phải nhìn thấy đủ 3 bước bắt tay (SYN -> SYN-ACK -> ACK) của một connection thì mới cho qua.

• Nguy cơ: Gói tin đi ra từ con FTD (đường ISP 1) nhưng lúc về, do cơ chế định tuyến của nhà mạng, nó lại bị dẫn nhầm vào con ASA (đường ISP 2). Con ASA thấy một gói tin ACK "lạ hoắc" tự nhiên nhảy vào nhà mình mà trước đó không có gói SYN đi ra, nó sẽ coi đây là cuộc tấn công và Drop thẳng tay. Khách hàng sẽ phản ánh mạng bị chập chờn, rớt gói liên tục.
• Giải pháp: Cấu hình Static Route kèm Tracking (IP SLA) chặt chẽ, hoặc chạy OSPF/BGP giữa Core Switch và 2 con Firewall để đồng bộ bảng định tuyến chuẩn xác từng mili-giây.

❌ Bẫy số 2: "Cực hình" đồng bộ Policy thủ công (Dual-Management)

• Con ASA cấu hình qua giao diện CLI hoặc phần mềm ASDM cổ điển.
• Con FTD cấu hình qua giao diện Web FDM hoặc quản trị tập trung qua FMC (Firewall Management Center).
• Hai con dùng hai hệ điều hành khác nhau hoàn toàn. Do đó, khi có yêu cầu: "Mở port cho Server mới" hoặc "Chặn dải IP này", anh em bắt buộc phải vào cả hai con để cấu hình thủ công. Chỉ cần quên hoặc gõ nhầm một bên, thì khi hệ thống mất điện, sập đường chính nhảy sang đường phụ, dịch vụ đó sẽ bị ngắt hoàn toàn mà anh em không biết tại sao.

📌 KEY TAKEAWAY CHO ANH EM KHI TROUBLESHOOTING


Khi mạng có sự cố chập chờn trong mô hình này, hãy bình tĩnh thực hiện các bước:

1. Trace route xem traffic của User đang thực tế đi qua con nào (ASA hay FTD) để khoanh vùng.
2. Nếu traffic đang đi qua FTD, check ngay các log về Access Control Policy, Snort Engine (IPS) hoặc URL Filtering xem có bị block nhầm không.
3. Nếu traffic đi qua ASA, tập trung check NAT Pool và Access-list (L4).
4. Luôn kiểm tra trạng thái các đường WAN bằng lệnh ping có track xem các đường truyền nhà mạng có bị suy hao hoặc rớt gói (packet loss) hay không.

💬 Thảo luận một chút:

Mô hình 1 ASA + 1 FTD chạy Dual-WAN này đúng nghĩa là một thiết kế "Nồi đồng cối đá kết hợp Công nghệ hiện đại".

Theo anh em, giữa việc tiết kiệm chi phí License (Active-Active) và việc nhàn đầu khi quản trị (Mua 2 con giống hệt nhau chạy Active-Standby), anh em sẽ chọn phương án nào cho doanh nghiệp của mình? Ai có case-study nào "đau thương" về lỗi định tuyến bất đối xứng trong mô hình này thì chia sẻ bên dưới để mọi người cùng mổ xẻ nhé!