Xây dựng VPN Site-to-Site bằng pfSense: Khi hai chi nhánh cách nhau hàng trăm kilomet nhưng hoạt động như một mạng LAN

Mở đầu

Trong nhiều doanh nghiệp, việc kết nối giữa trụ sở chính và nhà máy là một nhu cầu gần như bắt buộc. File Server, NAS, ERP, Camera, VMware, Active Directory… đều cần được truy cập an toàn giữa các địa điểm khác nhau.

Giải pháp truyền thống là thuê kênh riêng (MPLS), nhưng chi phí cao và thiếu linh hoạt. Ngày nay, với một đường truyền Internet ổn định và một firewall mạnh như pfSense, doanh nghiệp hoàn toàn có thể xây dựng một hệ thống VPN Site-to-Site vừa an toàn, vừa tiết kiệm chi phí.

Trong bài viết này, mình chia sẻ lại quá trình triển khai thực tế kết nối hai chi nhánh bằng OpenVPN Site-to-Site trên pfSense CE 2.8.1.

Đây không phải là bài viết lý thuyết. Toàn bộ nội dung được đúc kết từ quá trình triển khai, kiểm thử và đưa vào vận hành.

Mục tiêu của dự án

Mục tiêu đặt ra ngay từ đầu rất rõ ràng:

  • Kết nối hai hệ thống mạng LAN qua Internet.
  • Không thay đổi hạ tầng Internet hiện có.
  • Không ảnh hưởng đến người dùng đang làm việc.
  • Đảm bảo tốc độ và độ ổn định.
  • Sẵn sàng cho việc đồng bộ dữ liệu NAS giữa hai chi nhánh.
  • Chi phí thấp nhưng dễ bảo trì.

Mô hình triển khai

INTERNET
   |
   +-- CTY2
   |     DrayTek 2927
   |        |
   |     pfSense CE 2.8.1
   |     OpenVPN Server
   |        |
   |     LAN 192.168.1.0/24
   |
   +-- HLA
         DrayTek 2925
            |
         pfSense CE 2.8.1
         OpenVPN Client
            |
         LAN 172.16.0.0/16

OpenVPN Tunnel: 10.250.250.0/24

Thiết bị sử dụng

Thiết bịCTY2HLA
FirewallpfSense CE 2.8.1pfSense CE 2.8.1
RouterDrayTek 2927DrayTek 2925
HypervisorProxmox VEVMware ESXi
VPNOpenVPN Site-to-SiteOpenVPN Client
Tunnel10.250.250.0/2410.250.250.0/24

Những gì diễn ra không giống tài liệu…

Điều thú vị là VPN kết nối ngay từ lần cấu hình đầu tiên.

Trạng thái trên pfSense hiển thị:

  • Client Connected
  • Tunnel UP
  • Ping giữa hai đầu Tunnel thành công

Tưởng như mọi thứ đã hoàn tất.

Nhưng…

Máy tính tại CTY2 không ping được sang HLA.

Máy tại HLA cũng không ping ngược lại.

Lúc này rất nhiều người sẽ nghĩ:

  • Firewall sai?
  • OpenVPN lỗi?
  • Route chưa đúng?
  • NAT có vấn đề?

Thực tế… không phải.

Thủ phạm thật sự

Sau nhiều lần kiểm tra Route Table, Packet Capture và tcpdump, nguyên nhân được xác định rất nhanh:

Gateway mặc định của máy người dùng không đi qua pfSense.

Ví dụ:

Windows tại CTY2

Gateway: 192.168.1.1

Trong khi VPN nằm trên

192.168.1.2

Windows luôn gửi lưu lượng về Router Internet.

Không bao giờ gửi qua pfSense.

VPN vẫn hoạt động.

Nhưng máy người dùng không hề đi vào VPN.

Giải pháp đơn giản hơn rất nhiều

Thay vì:

  • đổi Gateway toàn công ty
  • thay Router
  • sửa VLAN
  • sửa NAT

Mình chỉ thêm Static Route.

CTY2

route -p add 172.16.0.0 mask 255.255.0.0 192.168.1.2

HLA

route -p add 192.168.1.0 mask 255.255.255.0 172.16.28.1

Ngay lập tức:

✅ Ping thành công.

✅ Truy cập NAS.

✅ Truy cập VMware.

✅ Không đổi Gateway.

✅ Không ảnh hưởng Internet.

Điều mình thích nhất

Toàn bộ người dùng vẫn sử dụng Internet như trước.

Không ai biết phía sau vừa có thêm một VPN Site-to-Site.

Không phải đổi DNS.

Không phải đổi ISP.

Không phải đổi Gateway.

Chỉ những lưu lượng đi tới mạng nội bộ mới được chuyển qua VPN.

Đó chính là điều mình mong muốn khi thiết kế hạ tầng doanh nghiệp.

Backup là bước không thể bỏ qua

Sau khi hệ thống chạy ổn định, việc đầu tiên mình làm không phải tối ưu.

Mà là…

Backup toàn bộ cấu hình pfSense.

Một file XML chỉ vài MB.

Nhưng có thể giúp khôi phục toàn bộ Firewall trong vài phút nếu xảy ra sự cố.

Bài học rút ra

Sau nhiều năm triển khai hạ tầng CNTT, mình nhận ra một điều:

Một hệ thống tốt không phải là hệ thống có cấu hình phức tạp nhất.

Mà là hệ thống:

  • Dễ hiểu.
  • Dễ bảo trì.
  • Dễ khôi phục.
  • Ít thay đổi nhất.

Trong dự án này, thay vì thay đổi toàn bộ kiến trúc mạng, chỉ cần thêm hai dòng Static Route là mọi thứ hoạt động đúng như mong muốn.

Đó mới là giá trị của người thiết kế hệ thống.

Kết luận

pfSense không chỉ là một Firewall mã nguồn mở.

Nếu được triển khai đúng cách, nó hoàn toàn có thể trở thành trung tâm kết nối giữa nhiều chi nhánh với chi phí thấp nhưng vẫn đảm bảo:

  • VPN bảo mật.
  • Hiệu năng ổn định.
  • Dễ mở rộng.
  • Dễ sao lưu.
  • Dễ bảo trì.

Điều quan trọng nhất mình học được từ dự án này không phải là cách cấu hình OpenVPN.

Mà là một nguyên tắc rất đơn giản:

Khi hệ thống đã chạy ổn định, đừng thay đổi chỉ vì muốn nó “hoàn hảo hơn”.

Trong môi trường doanh nghiệp, ổn định luôn quan trọng hơn phức tạp.

Lời kết

Nếu bạn cũng đang triển khai hạ tầng cho doanh nghiệp và gặp những tình huống tương tự, hy vọng bài viết này sẽ giúp bạn tiết kiệm được nhiều thời gian thử nghiệm. Trong các bài tiếp theo trên nhanthang.com, mình sẽ tiếp tục chia sẻ những kinh nghiệm thực tế về pfSense, VMware, Proxmox, Synology NAS, Windows Server và các giải pháp hạ tầng doanh nghiệp mà mình đã trực tiếp triển khai và vận hành. Chúng ta cùng học từ những dự án thật, những vấn đề thật và những giải pháp đã được kiểm chứng.

Khắc phục lỗi WordPress Pretty Permalink và REST API 404 trên Synology Web Station (Nginx)

Giới thiệu

Trong quá trình xây dựng website nhanthang.com trên nền tảng WordPress chạy trên Synology NAS sử dụng Web Station (Nginx + PHP 8.0), tôi gặp một lỗi khá khó chịu.

Website vẫn hoạt động bình thường, tuy nhiên các tính năng quan trọng của WordPress lần lượt phát sinh lỗi như:

  • Không lưu được Page hoặc Post trong Gutenberg.
  • Xuất hiện thông báo:
Updating failed.
The response is not a valid JSON response.
  • Đường dẫn Pretty Permalink (Post name) báo lỗi 404.
  • REST API (/wp-json/) trả về 404 Not Found.
  • Chỉ khi chuyển Permalink sang Plain thì website mới hoạt động bình thường.

Điều đáng nói là lỗi này không xuất hiện ngay từ đầu mà phát sinh sau một thời gian sử dụng, khiến việc xác định nguyên nhân trở nên khá mất thời gian.

Sau nhiều bước kiểm tra, cuối cùng tôi đã tìm ra nguyên nhân và cách khắc phục.

Môi trường triển khai

  • Synology NAS
  • DSM 7.x
  • Web Station
  • Nginx Backend
  • PHP 8.0
  • MariaDB
  • WordPress 6.x
  • Theme GeneratePress

Triệu chứng

Website vẫn truy cập được.

Trang chủ hoạt động bình thường.

Tuy nhiên khi vào WordPress Admin sẽ gặp các hiện tượng sau:

Không lưu được Page hoặc Post

Updating failed.
The response is not a valid JSON response.

Pretty Permalink báo lỗi

Ví dụ

https://nhanthang.com/gioi-thieu/

trả về

404 Not Found

Trong khi

https://nhanthang.com/?page_id=10

lại hoạt động bình thường.

REST API bị lỗi

Khi truy cập

https://nhanthang.com/wp-json/

kết quả là

404 Not Found

Các bước đã kiểm tra

Ban đầu tôi kiểm tra theo hướng WordPress.

Đã thực hiện:

  • Reset Permalink
  • Kiểm tra .htaccess
  • Disable Plugin
  • Kiểm tra Theme
  • Kiểm tra Site Health
  • Kiểm tra REST API
  • Kiểm tra PHP

Tất cả đều không phát hiện vấn đề.

Kiểm tra cấu hình Nginx

SSH vào Synology

sudo -i

nginx -T > /tmp/nginx.txt

Tìm Virtual Host

grep -n "nhanthang" /tmp/nginx.txt

Kiểm tra cấu hình

sed -n '1510,1565p' /tmp/nginx.txt

Kết quả thu được:

server_name nhanthang.com;

root "/volume1/web/nhanthang";

index index.php;

location ~* \.(php[345]?|phtml)$ {

    fastcgi_pass ...
}

Điều bất thường là không có đoạn cấu hình quan trọng của WordPress.

Nguyên nhân

Đối với Nginx, WordPress cần có Rewrite Rule:

location / {
    try_files $uri $uri/ /index.php?$args;
}

Trong Virtual Host của Synology, đoạn này hoàn toàn không tồn tại.

Do đó Nginx cố tìm file vật lý:

/gioi-thieu/

thay vì chuyển request về

index.php

Kết quả:

  • Pretty Permalink 404
  • REST API 404
  • Gutenberg lỗi JSON

Cách khắc phục

Synology Web Station cho phép include thêm file cấu hình riêng.

Tạo file

/usr/local/etc/nginx/conf.d/<VirtualHostID>/user.conf

Ví dụ

/usr/local/etc/nginx/conf.d/bc979ce0-336a-4f26-8a1c-e1afddd2816d/user.conf

Nội dung:

location / {
    try_files $uri $uri/ /index.php?$args;
}

Kiểm tra cấu hình

nginx -t

Nếu thành công

syntax is ok

test is successful

Reload Nginx

nginx -s reload

Kết quả

Ngay sau khi reload Nginx:

✅ /wp-json/ hoạt động bình thường.

✅ Pretty Permalink hoạt động.

✅ Gutenberg lưu bài viết bình thường.

✅ Contact Form 7 hoạt động.

✅ REST API hoạt động.

Không cần cài lại WordPress.

Không cần Restore Backup.

Không cần chuyển sang Apache.

Bài học rút ra

Trong quá trình xử lý, tôi nhận thấy nhiều người thường tập trung vào WordPress, Plugin hoặc Theme.

Tuy nhiên, nguyên nhân thực sự lại nằm ở cấu hình của Web Station (Nginx).

Khi sử dụng Synology NAS để chạy WordPress, nếu gặp các lỗi:

  • REST API 404
  • Pretty Permalink 404
  • Gutenberg báo lỗi JSON

hãy kiểm tra ngay Rewrite Rule của Nginx trước khi nghĩ đến việc cài đặt lại WordPress.

Việc kiểm tra đúng hướng sẽ giúp tiết kiệm rất nhiều thời gian.

Kết luận

Synology NAS là một nền tảng rất tốt để triển khai WordPress cho doanh nghiệp hoặc website cá nhân.

Tuy nhiên, khi sử dụng Web Station với Nginx Backend, việc hiểu cơ chế Rewrite của Nginx là rất quan trọng.

Chỉ thiếu một Rewrite Rule nhỏ cũng có thể khiến hàng loạt chức năng của WordPress ngừng hoạt động.

Hy vọng bài viết này sẽ giúp những ai gặp tình huống tương tự có thể khắc phục nhanh chóng mà không cần cài đặt lại toàn bộ website.

Tác giả: Trần Thanh Phú
Website: https://nhanthang.com
Chuyên môn: IT Infrastructure • VMware • Windows Server • Synology • 3CX PBX • VPN • System Administration

Đề xuất SEO

Mình cũng gợi ý thêm một vài thông tin để bài dễ lên Google:

SEO Title:

Khắc phục WordPress Pretty Permalink 404 trên Synology Web Station (Nginx)

Slug:

wordpress-pretty-permalink-404-synology-nginx

Meta Description:

Hướng dẫn khắc phục lỗi WordPress Pretty Permalink 404, REST API (/wp-json/) và Gutenberg JSON Error trên Synology Web Station sử dụng Nginx Backend. Case Study thực tế.

Tại sao doanh nghiệp nên dùng VMware ESXi thay vì PC vật lý?

Trong nhiều doanh nghiệp nhỏ và vừa tại Việt Nam, đặc biệt là các công ty dịch vụ, outsourcing hoặc môi trường cần làm việc từ xa, hệ thống CNTT thường được xây dựng theo mô hình truyền thống:

  • Mỗi dịch vụ chạy trên một PC vật lý riêng
  • Máy File Server riêng
  • Máy kế toán riêng
  • Máy VPN riêng
  • Máy chấm công riêng
  • Remote trực tiếp bằng TeamViewer hoặc AnyDesk

Ban đầu mô hình này có vẻ tiết kiệm chi phí. Tuy nhiên khi số lượng nhân sự tăng lên, doanh nghiệp thường bắt đầu gặp các vấn đề như:

  • Hệ thống chậm và thiếu ổn định
  • Khó backup dữ liệu
  • Remote không ổn định
  • VPN chập chờn
  • Không quản lý tập trung được
  • Mất nhiều thời gian xử lý sự cố
  • Downtime ảnh hưởng trực tiếp đến công việc

Đây là lúc VMware ESXi phát huy giá trị thực sự.

VMware ESXi là gì?

VMware ESXi là nền tảng ảo hóa máy chủ (Virtualization Platform) cho phép doanh nghiệp chạy nhiều hệ điều hành và nhiều server khác nhau trên cùng một phần cứng vật lý.

Thay vì phải dùng nhiều PC riêng biệt cho từng hệ thống, doanh nghiệp có thể gom toàn bộ:

  • Domain Controller
  • File Server
  • VPN Server
  • Firewall
  • VDI Remote Working
  • CRM / ERP
  • NAS Services

vào một hoặc nhiều máy chủ ESXi.

Điều này giúp hệ thống vận hành tập trung, ổn định và dễ quản trị hơn rất nhiều.

Lợi ích lớn nhất của VMware ESXi đối với doanh nghiệp

1. Quản lý tập trung

Toàn bộ hệ thống được quản lý từ một giao diện duy nhất.

Người quản trị có thể:

  • bật/tắt server từ xa
  • backup máy ảo
  • snapshot trước khi nâng cấp
  • giám sát tài nguyên CPU/RAM/HDD
  • xử lý sự cố nhanh hơn

Điều này đặc biệt hiệu quả với doanh nghiệp có nhiều chi nhánh hoặc nhân viên làm việc từ xa.

2. Tiết kiệm chi phí phần cứng

Một máy chủ ESXi có thể chạy nhiều hệ thống cùng lúc:

  • Domain Controller
  • File Server
  • VPN
  • ERP
  • VoIP
  • Firewall

Thay vì phải mua nhiều PC vật lý riêng lẻ.

Ngoài việc tiết kiệm điện năng và chi phí phần cứng, doanh nghiệp còn giảm đáng kể chi phí bảo trì lâu dài.

3. Backup và phục hồi cực nhanh

Đây là điểm mà hệ thống PC vật lý rất khó làm tốt.

Với VMware ESXi:

  • có thể snapshot trước khi nâng cấp
  • backup toàn bộ máy ảo
  • restore nhanh khi xảy ra lỗi
  • hạn chế downtime

Trong nhiều trường hợp thực tế, việc restore một VM chỉ mất vài phút thay vì phải cài lại toàn bộ hệ điều hành và phần mềm như mô hình PC truyền thống.

4. Hỗ trợ làm việc từ xa hiệu quả

Sau giai đoạn Work From Home, nhiều doanh nghiệp bắt đầu nhận ra giá trị của:

  • VPN
  • VDI
  • Remote Desktop
  • quản lý tập trung dữ liệu

VMware ESXi cho phép triển khai hệ thống VDI hoặc Remote Working ổn định hơn rất nhiều.

Nhân viên có thể làm việc từ xa nhưng dữ liệu vẫn nằm tập trung trong hệ thống doanh nghiệp, giúp tăng bảo mật và dễ kiểm soát.

5. Dễ mở rộng khi công ty phát triển

Khi doanh nghiệp tăng số lượng nhân sự, hệ thống ESXi có thể mở rộng dễ dàng:

  • tăng RAM
  • tăng CPU
  • thêm datastore
  • thêm host ESXi
  • triển khai thêm VM mới

Không cần thay đổi toàn bộ hạ tầng như mô hình PC vật lý truyền thống.

Những vấn đề thực tế thường gặp

Trong quá trình triển khai thực tế cho doanh nghiệp, tôi thường gặp các vấn đề như:

  • VPN hoạt động không ổn định
  • Không truy cập được phần mềm kế toán hoặc phần mềm chuyên môn
  • Remote VDI bị lag
  • Backup làm chậm toàn bộ hệ thống
  • LAN/WAN bị rớt gói tin
  • Firewall hoạt động không đúng rule
  • DNS phân giải lỗi
  • Switch phổ thông gây treo mạng nội bộ

Đây là những lỗi rất phổ biến khi doanh nghiệp phát triển nhưng hạ tầng chưa được thiết kế đúng ngay từ đầu.

Kinh nghiệm thực tế khi triển khai ESXi

Một số kinh nghiệm quan trọng tôi thường áp dụng:

  • Không dùng consumer switch cho hệ thống doanh nghiệp
  • Phân VLAN rõ ràng cho từng nhóm dịch vụ
  • Backup VM trước khi xử lý lỗi
  • Quản lý VPN tập trung trên Domain Controller
  • Giám sát tài nguyên CPU/RAM/HDD thường xuyên
  • Tách riêng hệ thống VDI và hệ thống vận hành chính
  • Sử dụng NAS hoặc Synology để quản lý dữ liệu tập trung

Những điều này giúp hệ thống hoạt động ổn định và hạn chế downtime ở mức thấp nhất.

Kết luận

VMware ESXi không chỉ phù hợp với doanh nghiệp lớn.

Trên thực tế, doanh nghiệp nhỏ và vừa lại là nhóm hưởng lợi rất nhiều từ mô hình ảo hóa:

  • tiết kiệm chi phí
  • quản lý tập trung
  • backup dễ dàng
  • làm việc từ xa hiệu quả
  • tăng tính ổn định cho hệ thống

Đối với doanh nghiệp từ khoảng 10 nhân sự trở lên, việc đầu tư hệ thống ESXi bài bản sẽ mang lại hiệu quả rất lớn về lâu dài.

SEO Information

SEO Title

Tại sao doanh nghiệp nên dùng VMware ESXi thay vì PC vật lý?

Meta Description

Phân tích lợi ích thực tế của VMware ESXi đối với doanh nghiệp SMB: quản lý tập trung, backup nhanh, remote working, VPN, VDI và tối ưu chi phí hạ tầng CNTT.

Keywords

VMware ESXi, VMware cho doanh nghiệp, hệ thống ESXi, VDI doanh nghiệp, virtualization server, Windows Server, VPN doanh nghiệp, hạ tầng CNTT SMB

Viết một bình luận