Firewall là gì?
Firewall (Tường lửa) là thiết bị/phần mềm giám sát, lọc và kiểm soát lưu lượng mạng đi/vào dựa trên tập luật bảo mật (security policy). Nó thiết lập rào chắn giữa mạng tin cậy (internal) và không tin cậy (Internet, DMZ, partner network).
Phân loại theo kiến trúc triển khai
1. Hardware Firewall (Appliance)
- Thiết bị chuyên dụng: ASIC/FPGA xử lý gói tin tốc độ cao
- Hiệu năng cao, độ trễ thấp, HA (High Availability) tích hợp
- Ví dụ: Palo Alto Networks PA-Series, FortiGate, Check Point Quantum, Cisco Firepower (FPR)
- Phù hợp: Enterprise, Data Center, Service Provider
2. Software Firewall (Host-based / Endpoint)
- Cài trên OS: Windows Defender Firewall, iptables/nftables (Linux), pf (BSD), Little Snitch (macOS)
- Bảo vệ cấp host, lọc theo process/user
- Miễn phí/đi kèm OS, nhưng tiêu tốn tài nguyên host
3. Virtual Firewall / Cloud Firewall
- Chạy dạng VM/Container: AWS Network Firewall, Azure Firewall, GCP Cloud Firewall, Palo Alto VM-Series, FortiGate-VM
- Tích hợp native với VPC/VNet, auto-scaling, Infrastructure as Code (Terraform)
- Phù hợp: Cloud-native, Hybrid cloud, Multi-cloud
4. Firewall as a Service (FWaaS / SASE)
- Cloud-delivered: Zscaler, Cloudflare Magic Firewall, Palo Alto Prisma Access, Netskope
- Không quản lý hạ tầng, policy theo identity/user/device, SSL inspection tại edge
- Phù hợp: Remote workforce, Branch office, Zero Trust Network Access
Phân loại theo поколение công nghệ (Generation)
| Thế hệ | Tên gọi | Đặc điểm chính | Ví dụ |
|---|
| Gen 1 | Packet Filtering (Stateless) | Lọc theo IP src/dst, port, protocol (L3/L4). Không theo dõi state. Nhanh nhưng yếu. | ACL Router, iptables basic |
| Gen 2 | Stateful Inspection | Theo dõi state table (SYN, SYN-ACK, ACK). Hiểu context kết nối. Chuẩn năm 1990. | Check Point FireWall-1, Cisco PIX/ASA |
| Gen 3 | Application Layer / Proxy | Proxy thực sự (terminate connection). Deep L7 inspection. Chậm, phức tạp. | Sidewinder, Gauntlet, early Proxy FW |
| Gen 4 | Unified Threat Management (UTM) | All-in-one: FW + IPS + AV + Web Filter + VPN + Anti-spam. SMB-focused. | FortiGate, Sophos XG, WatchGuard, SonicWall |
| Gen 5 | Next-Gen Firewall (NGFW) | App-ID, User-ID, Content-ID, SSL Decrypt, Threat Intelligence, Sandbox, API automation. | Palo Alto, FortiGate (NGFW mode), Check Point Quantum, Cisco Firepower |
| Gen 6 | ML-Powered / AI-Native FW | Inline ML zero-day prevention, behavioral analytics, auto policy tuning. | Palo Alto ML-Powered, FortiGuard AI, Zscaler AI |
Phân loại theo vị trí triển khai
- Perimeter/Edge Firewall: Ran internet, bảo vệ toàn bộ mạng nội bộ
- Internal Segmentation Firewall (ISFW): Giữa các zone nội bộ (DC, User, OT, Guest)
- Data Center Firewall (DCFW): East-West traffic, high throughput, low latency, micro-segmentation
- Web Application Firewall (WAF): Layer 7 HTTP/HTTPS, OWASP Top 10, API protection (ModSecurity, F5 ASM, Cloudflare WAF, AWS WAF)
- Database Firewall: SQL inspection, virtual patching (Imperva, Oracle Audit Vault)
- Container/K8s Firewall: Cilium, Calico, NeuVector, Aqua – workload-level, eBPF-based
So sánh NGFW hàng đầu (Enterprise)
| Vendor | Điểm mạnh | Điểm yếu | Licensing |
|---|
| Palo Alto Networks | App-ID tốt nhất, User-ID, WildFire sandbox, Panorama mgmt, ML-powered | Giá cao, license phức tạp, resource heavy | Subscription per feature (Threat, URL, WildFire, DNS, IoT) |
| Fortinet FortiGate | ASIC SPU tự研发, hiệu năng/giá tốt, UTM tích hợp, FortiOS unified | GUI phức tạp, support đôi khi chậm, SSL inspect tốn resource | Bundle (UTP/ATP/Enterprise), per device |
| Check Point Quantum | Infinity architecture, Infinity Portal, SandBlast, quản trị policy mạnh | Kernel-level (Gaia), upgrade phức tạp, chi phí cao | Subscription blade-based |
| Cisco Firepower (FPR/FTD) | Tích hợp Cisco ecosystem (ISE, Stealthwatch, Meraki), Talos intelligence | FTD complex, migration từ ASA khó, performance/price trung bình | Smart Licensing, tier-based |
Chọn firewall phù hợp – Ma trận quyết định
| Yêu cầu | Khuyến nghị |
|---|
| Enterprise lớn, cần best-of-breed App-ID, ML | Palo Alto Networks |
| Hiệu năng cao, ngân sách hợp lý, all-in-one | FortiGate |
| Môi trường Check Point hiện hữu, quản trị policy trung tâm | Check Point Quantum |
| Cisco shop, tích hợp ISE/TrustSec/SD-WAN | Cisco Firepower / Meraki MX |
| SMB, ít nhân sự IT, cần UTM đơn giản | Sophos XG, WatchGuard, SonicWall |
| Cloud-native, AWS/Azure/GCP | Cloud Firewall / FWaaS (Palo Alto VM, FortiGate-VM, AWS Network Firewall) |
| Remote user, Zero Trust, không muốn manage hardware | Zscaler, Cloudflare, Prisma Access (SASE/SSE) |
Best Practices triển khai
- Default Deny: Chặn tất cả, chỉ cho phép rule cần thiết (least privilege)
- Zero Trust Segmentation: Firewall ở mọi ranh giới zone, không chỉ perimeter
- SSL/TLS Inspection: Bật decrypt (với policy privacy), >80% malware藏 trong TLS
- Threat Intelligence Feed: Tự động block IOC (IP, domain, hash) từ feed uy tín
- Automation & API: Infrastructure as Code (Terraform), CI/CD policy, SOAR integration
- Logging & Monitoring: Gửi log đến SIEM (Splunk, Sentinel, Elastic), bật NetFlow
- Regular Rule Review: Dọn rule unused, shadowed, overly permissive (quarterly)
- HA & DR: Active/Passive hoặc Active/Active, config sync, test failover định kỳ
Kết luận: Firewall hiện đại không chỉ lọc gói tin – là platform bảo mật tích hợp (NGFW/ML-FW) cung cấp visibility, control, prevention tại L3-L7. Lựa chọn phụ thuộc vào quy mô, kiến trúc (on-prem/cloud/hybrid), ngân sách, và năng lực vận hành.
