P17 - Hướng Dẫn Giám Sát Sophos Firewall Bằng PRTG

PRTG P17 – Cách Giám Sát Sophos Với PRTG (Step-by-Step Guide)

Việc Giám Sát Sophos đúng cách đóng vai trò cực kỳ quan trọng trong việc đảm bảo hệ thống mạng hoạt động ổn định và an toàn. Trong bài viết này, bạn sẽ được hướng dẫn từng bước cấu hình PRTG để theo dõi Sophos Firewall theo mô hình thực tế production.

Nội dung bao gồm:

Giám sát tình trạng hoạt động (health monitoring)
Theo dõi băng thông & interface
Giám sát VPN
Nhận log bảo mật qua Syslog
Thiết lập threshold hợp lý
Tránh các sensor gây nặng hệ thống

Chúng ta bắt đầu cấu hình.

🛠 Step 1: Enable SNMP trên Sophos

Truy cập:

Administration → SNMP

Cấu hình:

✅ Enable SNMP
Version: SNMP v2c (đơn giản nhất)
Community: prtg_sophos (ví dụ)
Allowed hosts: IP của PRTG Server

👉 Save

(Khuyến nghị) Enable Syslog

Vào:

System Services → Log Settings → Syslog Server

Sử dụng Syslog khi bạn muốn theo dõi:

IPS Alert
VPN down
Attack detection

Đây là phần rất quan trọng khi triển khai Giám Sát Sophos nâng cao.

🖥 Step 2: Add Sophos Device trong PRTG

Thêm Sophos firewall vào PRTG dưới dạng một device mới.

Đảm bảo:

SNMP version = v2c
Community string chính xác
IP khai báo đúng

Sau khi thêm device, tiến hành cấu hình sensor.

📡 Step 3: Add Sensors

Chúng ta chia sensor thành 3 nhóm rõ ràng.

🟢 GROUP 1 – REQUIRED SENSORS (CORE)

Đây là các sensor bắt buộc khi triển khai Giám Sát Sophos trong môi trường production.

✅ Ping v2

Kiểm tra Sophos còn sống hay không
Giám sát availability cơ bản

✅ SNMP CPU Load

Theo dõi CPU firewall
Alert khi > 80%

CPU tăng cao có thể do:

IPS
Lưu lượng lớn
Tấn công

✅ SNMP Memory (Not v2)

Theo dõi RAM
Rất quan trọng nếu bật IPS/VPN

Threshold:

Warning > 85%
Error > 95%

Nếu RAM luôn khoảng 70–80%:

❌ Không cần lo
Sophos sử dụng nhiều cache
Chỉ xử lý khi:
- 90% kéo dài
- VPN/IPS bị disconnect

Lưu ý quan trọng về RAM

PRTG RAM:
Available = Free RAM + Reclaimable Cache – Reserved
→ Sẽ hiển thị thấp hơn RAM thực tế.

Kiểm tra Sophos GUI và đặt threshold theo RAM hệ thống (ví dụ 4GB).

Channel Setting

Channel	Warning	Error
Percent Available Memory	< 5%	< 2%
Available Memory	< 0.2 GB	< 0.1 GB

✅ SNMP Uptime v2

Phát hiện reboot bất thường
Không cần cấu hình threshold

🟡 GROUP 2 – INTERFACE / BANDWIDTH (KHUYẾN NGHỊ CAO)

Đây là nhóm giúp Giám Sát Sophos về lưu lượng và nghẽn mạng.

✅ SNMP Traffic

Chọn:

WAN
LAN
Primary VLAN

SNMP Traffic – WAN (Port2_ppp)

Threshold

Channel	Warning	Error	Duration
Traffic Total	> 80% BW	> 95% BW	300s
Traffic In	> 80% BW	> 95% BW	300s
Traffic Out	> 80% BW	> 95% BW	300s
Errors in/out	> 0	> 10	300s

📌 Ví dụ WAN 100 Mbps:

Warning: 80 Mbps
Error: 95 Mbps

SNMP Traffic – LAN (Port1)

Channel	Warning	Error	Duration
Traffic Total	> 70%	> 90%	300s
Errors in/out	> 0	> 10	300s

📌 LAN thường không cần cảnh báo lưu lượng quá nặng.

SNMP Traffic – VLAN (Port 1.10)

Channel	Warning	Error	Duration
Traffic Total	> 50%	> 70%	300s
Errors in/out	> 0	> 10	300s

📌 VLAN Guest thường dễ bị lạm dụng → nên đặt threshold thấp hơn.

🔐 GROUP 3 – VPN & SECURITY (ADVANCED)

✅ SNMP Traffic cho VPN

Tạo sensor cho:

ipsec0 (site-to-site)
tun0 (SSL VPN)
Interface VPN tương ứng

SET THRESHOLD – VPN SSL (tun0)

🎯 Mục tiêu:

Không cảnh báo khi không ai kết nối
Cảnh báo khi đang sử dụng mà bị disconnect

LƯU Ý QUAN TRỌNG

❗ Traffic = 0 ≠ VPN DOWN

Nếu VPN ít sử dụng:

Không đặt traffic threshold
Chỉ theo dõi:
- Errors
- Syslog VPN

⭐ Sensor Syslog Receiver (Khuyến nghị)

Dùng để nhận log:

VPN down
IPS blocks
Attack detected

Keyword cảnh báo:

IPSec tunnel down
SSL VPN disconnected

Step 1: Add Syslog Sensor Filter

🔹 Include Filter (ENTIRE LINE STICKER)

message[vpn] OR message[SSL] OR message[tunnel] OR message[ipsec]

🔹 Exclude Filter (ENTIRE LINE STICKER)

message[heartbeat] OR message[keepalive]

⚠ Warning Filter

message[down] OR message[disconnect]

❌ Error Filter

message[fail] OR message[error] OR message[deleted]

Step 2: Trên Sophos thêm syslog server

System services → Log setting → Add

Step 3: Chọn Log Type gửi về

BẮT BUỘC cho VPN:

☑ SSL VPN tunnel
☑ Authentication events
☑ System events
☑ Admin events

4 nhóm tối thiểu để:

Bắt VPN up/down
Ghi nhận login/logout
Phát hiện reboot/service restart

🔥 Tuỳ chọn mở rộng

☑ Firewall rules
☑ IPS (Anomaly + Signatures)

Step 4: Thiết lập Alert Threshold

Tinh chỉnh theo môi trường thực tế, tránh over-alert.

❌ SENSORS NÊN TRÁNH (TRÁNH LAG)

Khi triển khai Giám Sát Sophos, không nên bật:

❌ SNMP Disk Free
❌ SNMP Process
❌ SNMP Everything Auto-Discovery

Quá nhiều sensor sẽ làm PRTG nặng và chậm.

🎯 Kết luận

Giám Sát Sophos hiệu quả không phải là thêm thật nhiều sensor, mà là:

Giám sát đúng thứ quan trọng
Thiết lập threshold thông minh
Tránh cảnh báo nhiễu
Tối ưu hiệu năng PRTG

Với cấu hình này, bạn đã có một mô hình Giám Sát Sophos bằng PRTG chuẩn production, rõ ràng, sạch sẽ và có thể mở rộng lâu dài. 🚀