Firewall là gì?
Tường lửa (Firewall) là thiết bị/phần mềm giám sát, lọc lưu lượng mạng dựa trên tập quy tắc bảo mật được định trước. Nó thiết lập rào cản giữa mạng tin cậy (Trusted - LAN nội bộ) và mạng không tin cậy (Untrusted - Internet, DMZ, mạng khách).
3 loại tường lửa chính theo lịch sử phát triển
| Loại | Cơ chế | Ưu điểm | Nhược điểm |
|---|---|---|---|
| Packet Filtering (Lọc gói tin) | Kiểm tra header: IP src/dst, port src/dst, protocol (L3/L4). Stateless hoặc Stateful. | Nhanh, tài nguyên thấp, đơn giản. | Không xem payload, dễ bypass (fragmentation, tunneling). |
| Stateful Inspection (Kiểm tra trạng thái) | Duy trì bảng trạng thái kết nối (state table), hiểu ngữ cảnh session (TCP handshake, UDP pseudo-session). | Cân bằng tốt an ninh/hiệu năng. Tiêu chuẩn doanh nghiệp 20 năm. | Không hiểu ứng dụng (Layer 7), khó kiểm soát P2P, tunneling. |
| Proxy / Application Gateway (Tường lửa lớp ứng dụng) | Chấm dứt kết nối client, thiết lập kết nối mới đến server thay mặt client. Kiểm tra toàn bộ payload Layer 7. | Kiểm soát chi tiết ứng dụng (HTTP, FTP, SMTP), ẩn cấu trúc mạng nội bộ. | Độ trễ cao, không hỗ trợ tất cả giao thức, phức tạp cấu hình. |
Tường lửa thế hệ mới (Next-Generation Firewall - NGFW)
Kết hợp Stateful Inspection + Application Awareness (App-ID) + IPS tích hợp + Threat Intelligence + SSL Inspection + User/Group Identity (AD/LDAP) + Cloud Sandbox.
- Đại diện: Palo Alto Networks, Fortinet FortiGate, Check Point Quantum, Cisco Secure Firewall, Sophos XGS.
- Đặc biệt: App-ID nhận diện ứng dụng bất kể port (Facebook trên port 80/443/8080), SSL Decryption kiểm tra mã độc trong HTTPS.
Phân loại theo triển khai
- Hardware Appliance: Hiệu năng cao, chuyên dụng (Data Center, Perimeter).
- Virtual Appliance (VM-Series, FortiGate-VM): Chạy trên hypervisor (VMware, Hyper-V, KVM) hoặc Cloud (AWS, Azure, GCP).
- Cloud-Native / FWaaS: Zscaler, Palo Alto Prisma Access, Cisco Umbrella, Cloudflare Magic Firewall – không phần cứng, bảo vệ user 어디서나.
- Host-based / Personal Firewall: Windows Defender Firewall, iptables/nftables, pfSense/OPNsense trên server/endpoint.
Tại sao cần Firewall?
- Chặn truy cập trái phép (unauthorized access).
- Phòng chống mã độc, C2 (Command & Control), data exfiltration.
- Thi hành chính sách: chặn truy cập web độc hại, P2P, proxy anonymous.
- Phân đoạn mạng (Segmentation): DMZ, Server Farm, User VLAN, OT, Guest.
- Tuân thủ: PCI-DSS Req 1, HIPAA, GDPR, Luật An ninh mạng VN.
Các cấp độ tường lửa (Layer 3, 4, 7)
- Layer 3 (Network): Lọc theo IP, routing. (Router ACL cơ bản).
- Layer 4 (Transport): Lọc theo Port, TCP/UDP, Stateful (TCP flags, sequence).
- Layer 7 (Application): Hiểu HTTP, DNS, TLS SNI, SQL, RDP, SMB → kiểm soát chi tiết (URL filtering, File blocking, Credential theft prevention).
Best Practice triển khai
- Default Deny: Chặn tất cả, chỉ cho phép traffic cần thiết (Whitelist).
- Least Privilege: Quy tắc cụ thể nhất (src IP, dst IP, port, app, user) đặt trên cùng.
- Logging & Alerting: Log tất cả deny, alert critical (exploit, malware, C2).
- SSL Inspection: Bật cho traffic rủi ro cao (outbound web, email), ngoại trừ ngân hàng/y tế (cert pinning).
- High Availability (HA): Active/Passive hoặc Active/Active, sync session, config.
- Cập nhật chữ ký-threat (Threat signatures) tự động hàng ngày/giờ.
- Review quy tắc định kỳ (quarterly): xóa rule không dùng, gộp rule trùng lặp, kiểm tra shadowed rule.
Ví dụ quy tắc firewall (Cisco ASA / Palo Alto style)
# Allow User VLAN to Internet Web (App-ID: web-browsing, ssl)
rule Allow_Web_Access {
source: 10.10.10.0/24 (User_VLAN)
destination: any
application: [web-browsing, ssl]
service: application-default
action: allow
log-end: yes
}
# Block known malicious IP (Threat Intel feed)
rule Block_Malicious_IP {
source: any
destination: $Malicious_IP_Feed
action: deny
log: yes
}