Virtual Wire Pair Trên FortiGate: Transparent Inline Mode

1. Liên hệ thực tế

Một khách hàng của VNExperts đang có hệ thống mạng nội bộ chạy ổn định với dải IP, VLAN, routing đã cố định từ nhiều năm, nhưng muốn chèn thêm một FortiGate vào giữa Core Switch và Firewall biên hiện có để làm thêm một lớp IPS/Application Control mà không được phép đổi bất kỳ IP hay cấu hình routing nào của hệ thống đang chạy. Anh Nam băn khoăn: cấu hình Route-based như bình thường thì chắc chắn phải đổi default gateway của các thiết bị phía sau.

Chị Lan gợi ý dùng Virtual Wire Pair: "Đây chính là trường hợp kinh điển của Virtual Wire Pair — nó cho phép FortiGate hoạt động như một 'sợi dây trong suốt' chèn vào giữa 2 điểm mạng sẵn có, xử lý inspect traffic đi qua nhưng không cần cấu hình IP layer 3 nào trên interface, không làm gián đoạn topology hiện tại."

2. Kiến thức cốt lõi

2.1 Virtual Wire Pair là gì

Virtual Wire Pair (VWP) ghép 2 interface vật lý của FortiGate thành một cặp hoạt động ở Layer 2, không gán địa chỉ IP. Traffic vào một interface trong cặp sẽ được inspect theo Firewall Policy rồi forward thẳng ra interface còn lại của cặp — về bản chất, thiết bị mạng phía trước và phía sau VWP hoàn toàn không "nhìn thấy" sự tồn tại của FortiGate như một Layer 3 hop, giống hệt việc chèn một sợi cáp mạng đi qua một hộp kiểm tra.

2.2 Virtual Wire Pair vs Transparent Mode (Transparent VDOM)

Đây là điểm hay bị nhầm lẫn nhất — cả hai đều hoạt động ở Layer 2 và không cần đổi IP hệ thống hiện có, nhưng khác nhau về phạm vi áp dụng:

2.3 Cấu hình Virtual Wire Pair (CLI)

config system virtual-wire-pair
    edit "VWP-Core-Edge"
        set member "port3" "port4"
        set wildcard-vlan disable
    next
end

Sau khi tạo VWP, Firewall Policy sẽ tham chiếu tới cặp interface này giống như một zone bình thường — traffic đi từ port3 sang port4 (và ngược lại) đều phải khớp Policy tương ứng mới được đi qua. Ở đây chỉ dùng cấu hình Firewall Policy tối thiểu để minh họa; cấu trúc đầy đủ, thứ tự xử lý và Implicit Deny của Firewall Policy sẽ được trình bày kỹ ở bài tiếp theo — Firewall Policy: cấu trúc, thứ tự xử lý, Implicit Deny, Policy Lookup:

config firewall policy
    edit 1
        set name "VWP-Inspect-Forward"
        set srcintf "port3"
        set dstintf "port4"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ips-sensor "default"
        set application-list "default"
        set logtraffic all
    next
    edit 2
        set name "VWP-Inspect-Reverse"
        set srcintf "port4"
        set dstintf "port3"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ips-sensor "default"
        set application-list "default"
        set logtraffic all
    next
end

ips-sensor và application-list ở đây là các UTM Profile (IPS, Application Control) dùng profile mặc định "default" có sẵn trên FortiGate để bật kiểm tra sâu ngay khi tạo VWP — cách tạo và tùy chỉnh các Profile này sẽ được trình bày chi tiết ở các bài sau trong Nhóm 3 — Application Control: Sensor, Category, Override và IPS: Sensor, Signature, Severity. Ở đây chỉ cần hiểu rằng Policy áp cho VWP có thể bật UTM giống hệt Policy Route/NAT Mode bình thường.

⚠️ Lưu ý: Cần 2 Firewall Policy cho 2 chiều (port3→port4 và port4→port3), vì VWP không tự động bidirectional như NAT/Route Mode zone thông thường trong mọi trường hợp — luôn kiểm tra kỹ cả 2 chiều khi troubleshoot traffic không qua được.

2.4 Wildcard VLAN — khi mạng phía sau có nhiều VLAN tag

Nếu traffic đi qua VWP mang theo VLAN tag (802.1Q) mà FortiGate không cần bóc tách riêng từng VLAN để áp policy khác nhau, có thể bật set wildcard-vlan enable để VWP trong suốt với mọi VLAN ID đi qua, tránh phải khai báo thủ công từng VLAN.

3. Hỏi & Đáp

Virtual Wire Pair có hỗ trợ NAT không?

Không. Vì bản chất VWP hoạt động Layer 2 hoàn toàn trong suốt, không có khái niệm IP interface để làm NAT. Nếu cần NAT, phải chuyển sang Route Mode (NAT Mode) bình thường thay vì dùng VWP.

Có thể vừa dùng Virtual Wire Pair vừa dùng các interface Route Mode khác trên cùng một FortiGate không?

Có — đây chính là ưu điểm lớn nhất của VWP so với Transparent VDOM. Một FortiGate có thể vừa có VWP để chèn inline tại một điểm cụ thể, vừa có các interface khác chạy Route/NAT Mode bình thường cho các nhu cầu còn lại, miễn là cùng một VDOM (từ FortiOS hỗ trợ Mixed Mode trên non-transparent VDOM).

4. Quiz

Câu 1: Virtual Wire Pair hoạt động ở tầng nào của mô hình OSI?

• A. Layer 3
• B. Layer 2
• C. Layer 4
• D. Layer 7

Câu 2: Khác biệt chính giữa Virtual Wire Pair và Transparent Mode (VDOM) là gì?

• A. VWP chỉ áp dụng cho 1 cặp interface, Transparent Mode áp dụng cho toàn VDOM
• B. VWP nhanh hơn Transparent Mode
• C. Transparent Mode không hỗ trợ IPS
• D. Không có khác biệt

Câu 3: Virtual Wire Pair có hỗ trợ cấu hình NAT trên chính cặp interface đó không?

• A. Có, NAT hoạt động bình thường
• B. Không, vì VWP không có IP Layer 3
• C. Chỉ hỗ trợ NAT một chiều
• D. Chỉ hỗ trợ Static NAT

Câu 4: Vì sao thường cần cấu hình 2 Firewall Policy riêng cho một Virtual Wire Pair?

• A. Để tăng hiệu năng xử lý
• B. Để inspect traffic cho cả 2 chiều đi qua cặp interface
• C. Vì FortiGate yêu cầu tối thiểu 2 policy mới hoạt động
• D. Để hỗ trợ NAT hai chiều

👉 Đáp án

Câu 1: B VWP hoạt động hoàn toàn ở Layer 2, không gán IP Layer 3 cho interface, giống một sợi cáp mạng trong suốt.

Câu 2: A VWP chỉ áp dụng cho một cặp interface cụ thể và có thể tồn tại song song với các interface Route Mode khác; Transparent Mode (VDOM) thì áp dụng cho toàn bộ VDOM.

Câu 3: B Vì VWP không có IP Layer 3 trên interface nên không có khái niệm NAT — muốn NAT phải chuyển sang Route/NAT Mode.

Câu 4: B Traffic đi cả 2 chiều qua cặp interface (port3→port4 và port4→port3) đều cần được Firewall Policy inspect riêng, vì VWP không tự động coi 2 chiều là một policy duy nhất.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng