Hai cài đặt bảo mật mạng cốt lõi trên Windows
Windows phân loại mạng thành các hồ sơ (Network Profiles) và áp dụng quy tắc Tường lửa (Firewall) tương ứng. Đây là hai cài đặt nền tảng quyết định mức độ bảo vệ.
1. Hồ sơ mạng (Network Profile / Network Location)
| Hồ sơ | Mô tả | Chia sẻ file/In ấn | Khám phá mạng | Firewall mặc định |
|---|---|---|---|---|
| Private (Riêng tư) | Mạng nhà, văn phòng tin cậy | Bật | Bật | Cho phép chia sẻ |
| Public (Công cộng) | Cafe, sân bay, khách sạn - Mặc định an toàn | Tắt | Tắt | Chặn hầu hết kết nối đến |
| Domain | Mạng doanh nghiệp có Active Directory | Theo GPO | Theo GPO | Theo GPO |
Cách đổi (Win 10/11): Settings > Network & Internet > Wi-Fi/Ethernet > click tên mạng > chọn Public/Private.
Lưu ý: Luôn đặt Public cho mạng không tin cậy. Windows 10/11 mặc định hỏi khi kết nối mạng mới - hãy chọn "No" (không cho phép khám phá) → tự động set Public.
2. Tường lửa Windows Defender (Windows Defender Firewall)
Ba profile tường lửa tương ứng
- Domain Profile: Áp dụng khi máy tham gia domain
- Private Profile: Áp dụng khi mạng được set Private
- Public Profile: Áp dụng khi mạng được set Public - nên bật và cấu hình chặt chẽ nhất
Cấu hình cơ bản
- Mở
wf.msc(Win+R → wf.msc) hoặc Control Panel > Windows Defender Firewall > Advanced settings - Inbound Rules (Quy tắc đến): Mặc định Block all. Chỉ tạo rule Allow cho dịch vụ cần thiết (RDP: TCP 3389, HTTP/HTTPS cho web server...)
- Outbound Rules (Quy tắc đi): Mặc định Allow all. Có thể bật Block outbound mặc định rồi tạo rule cho phép (chiến lược "deny by default" an toàn hơn nhưng quản trị phức tạp)
- Connection Security Rules: Yêu cầu IPsec cho traffic nhạy cảm
PowerShell quản trị Firewall
# Xem profile hiện tại
Get-NetFirewallProfile
# Bật firewall cho tất cả profile
Set-NetFirewallProfile -All -Enabled True
# Chặn inbound mặc định, cho phép outbound
Set-NetFirewallProfile -DefaultInboundAction Block -DefaultOutboundAction Allow
# Tạo rule cho phép RDP chỉ từ subnet quản trị
New-NetFirewallRule -DisplayName "Allow RDP from Mgmt" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3389 -RemoteAddress 10.10.10.0/24 -Profile Domain,Private
Cài đặt bổ sung quan trọng
- Network Discovery: Tắt trên Public profile (Control Panel > Network and Sharing Center > Change advanced sharing settings)
- File and Printer Sharing: Chỉ bật trên Private/Domain
- Password Protected Sharing: Bật để yêu cầu tài khoản khi truy cập share
- HomeGroup: Đã bỏ từ Windows 10 v1803, dùng Share theo user
Kiểm tra cấu hình
# Kiểm tra rule đang active
Get-NetFirewallRule -Enabled True | Where-Object {$_.Direction -eq 'Inbound' -and $_.Action -eq 'Allow'} | Format-Table Name, Direction, Action, Enabled, Profile, LocalPort, RemoteAddress
# Test port từ máy khác
Test-NetConnection -ComputerName -Port 3389
Lưu ý cho Windows 8 (đã hết hỗ trợ)
Windows 8 có cơ chế tương tự nhưng giao diện khác: PC Settings > Network > Connections → chọn "Find devices and content" On/Off tương đương Private/Public. Khuyến nghị nâng cấp lên Windows 10/11 để nhận bản vá bảo mật.