3 loại tường lửa chính
Để bảo vệ dữ liệu và thiết bị, doanh nghiệp thường triển khai 3 loại tường lửa dựa trên phương thức hoạt động:
- Lọc gói tin (Packet Filtering): Kiểm tra header gói tin (IP nguồn/đích, cổng, giao thức) và cho phép/chặn theo quy tắc tĩnh.
- Kiểm tra trạng thái (Stateful Inspection): Theo dõi trạng thái kết nối (TCP handshake), cho phép gói tin thuộc phiên hợp lệ.
- Tường lửa proxy (Proxy Firewall / Application Gateway): Trung gian ở lớp ứng dụng, kiểm tra nội dung gói tin sâu hơn (HTTP, FTP, DNS...).
Tường lửa là gì và các loại phổ biến
Tường lửa là thiết bị/phần mềm giám sát, lọc lưu lượng mạng dựa trên chính sách bảo mật. Phân loại theo chức năng:
- Lọc gói tin (Packet-filtering)
- Tường lửa proxy (Proxy server)
- Tường lửa NAT (NAT firewall)
- Tường lửa ứng dụng/web (WAF - Web Application Firewall)
- Tường lửa thế hệ mới (Next-Generation Firewall - NGFW)
Ví dụ minh họa
Tường lửa đóng vai trò "rào chắn" giữa mạng tin cậy (LAN) và Internet. Ví dụ: cho phép tất cả IP truy cập trừ những IP nằm trong danh sách đen (blacklist); hoặc chỉ mở cổng 80/443 cho web server, chặn các cổng khác.
Các loại tường lửa chi tiết
- Packet Filtering Firewall: Nhanh, ít tài nguyên, nhưng không kiểm tra payload.
- Circuit-level Gateway: Xác thực phiên TCP/UDP ở layer 5.
- Application-level Gateway (Proxy Firewall): Kiểm tra sâu ở layer 7, hỗ trợ logging chi tiết.
- Stateful Inspection Firewall: Cân bằng giữa hiệu năng và bảo mật, phổ biến nhất ngày nay.
- Next-Generation Firewall (NGFW): Tích hợp IPS, Application Control, SSL Inspection, Threat Intelligence, User Identity.
Tường lửa trong bảo mật mạng
Lọc lưu lượng, bảo vệ khỏi hacker/malware, cách ly nguồn mạng nội bộ và bên ngoài, thực thi chính sách truy cập.
Phân loại theo hình thái triển khai
- Phần mềm (Software Firewall): Cài trên endpoint/server (Windows Defender, iptables).
- Phần cứng (Hardware Firewall): Thiết bị chuyên dụng (Cisco ASA, FortiGate, Palo Alto).
- Kết hợp: Đa số giải pháp doanh nghiệp dùng cả hai.
Tại sao cần tường lửa?
- Chặn truy cập trái phép, quét mã độc trong gói tin
- Ngăn chặn rò rỉ dữ liệu nhạy cảm
- Giám sát, ghi log hoạt động đáng ngờ
- Thực thi chính sách bảo mật tập trung
Tường lửa Layer 3 (Network Layer)
Lọc dựa trên IP nguồn/đích, cổng (port), giao thức (TCP/UDP/ICMP) – còn gọi là packet filtering. Hoạt động ở layer 3 mô hình OSI.
2 loại tường lửa cơ bản (phân loại đơn giản)
- Lọc gói tin (Packet Filtering)
- Proxy / Application Gateway
Lưu ý: Phân loại hiện đại thường dùng 5 loại như mục trên.
Tường lửa Layer 4 (Transport Layer)
Lọc dựa trên trạng thái phiên (stateful packet inspection) – theo dõi sequence number, flag TCP, cho phép/chặn theo ngữ cảnh kết nối.
Cấu thành của tường lửa
- Engine lọc gói tin / kiểm tra trạng thái / proxy
- Cơ sở dữ liệu quy tắc (rule base)
- Module logging & reporting
- Giao diện quản trị (CLI/GUI/API)
- Tích hợp threat intelligence (NGFW)
4 loại tường lửa theo chức năng
- Packet Filtering
- Stateful Inspection
- Application/Proxy
- Next-Generation (NGFW)
Mỗi loại có thể là phần mềm hoặc thiết bị vật lý.
Ví dụ cấu hình tường lửa
Quy tắc: Source: 172.16.1.10 → Destination: 192.168.1.5, Port: 22 (SSH), Action: Allow. Cổng 22 là điểm vào (entry point) cho quản trị từ xa.
Ví dụ tường lửa thực tế
- Proxy Firewall: Gateway giữa mạng nội bộ và Internet, ẩn địa chỉ IP nội bộ.
- Stateful Inspection: Cisco ASA, FortiGate.
- UTM (Unified Threat Management): Tích hợp AV, IPS, Web Filter, VPN.
- NGFW: Palo Alto, Check Point, FortiGate (dòng mới).
- Threat-focused NGFW: Tích hợp sandbox, AI/ML phát hiện zero-day.
Loại tường lửa tốt nhất?
- Cá nhân/Doanh nghiệp nhỏ: Windows Defender Firewall / macOS Application Firewall.
- Xử lý dữ liệu nhạy cảm: Phần mềm tường lửa + AV chuyên nghiệp.
- Doanh nghiệp vừa/lớn: NGFW (Palo Alto, FortiGate, Check Point) hoặc UTM.
- Yêu cầu hiệu năng cao, HA: Hardware NGFW với load balancing, VPN, SD-WAN.
Tường lửa Layer 3 (OSI Model)
Hoạt động ở layer 3 (Network Layer) – nơi các router định tuyến. Lọc dựa trên header IP, không kiểm tra nội dung ứng dụng.