| Loại | Đặc điểm | Ví dụ |
|---|
| 1. Packet Filtering (Stateless) | Lọc theo IP src/dst, port, protocol (L3/L4). Không theo dõi state. | ACL Router, Linux iptables (stateless), Cisco Standard ACL |
| 2. Stateful Inspection | Theo dõi trạng thái kết nối (state table). Cho phép return traffic tự động. | Check Point Stateful Inspection, Cisco ASA, FortiGate, Palo Alto |
| 3. Application-Level Gateway / Proxy Firewall | Terminate connection, kiểm tra L7 (HTTP, FTP, DNS), hide internal IP. | Blue Coat ProxySG, F5 ASM, Microsoft ISA/TMG (legacy), Squid |
| 4. Next-Generation Firewall (NGFW) | Stateful + App-ID (L7), User-ID, IPS, SSL Decrypt, Threat Intel, Sandbox. | Palo Alto Networks, FortiGate, Check Point Quantum, Cisco Firepower |
| 5. Cloud-Native / FWaaS | Firewall as a Service, cloud-delivered, SASE/SSE component. | Zscaler Cloud Firewall, Palo Alto Prisma Access, Cisco Umbrella, Cloudflare Magic Firewall |
Phân loại theo Form Factor
- Hardware Appliance: Box vật lý (Palo Alto PA-series, FortiGate, Cisco Firepower)
- Virtual Appliance (VM): Chạy trên hypervisor (VMware, Hyper-V, KVM) – cùng code với hardware
- Cloud-Native / Containerized: Chạy trong K8s, AWS/Azure/GCP (CN-Series, FortiGate-VM, CloudGuard)
- Software Firewall (Host-based): Windows Defender Firewall, iptables/nftables, pfSense/OPNsense (x86 box)
Công nghệ KHÔNG phải Firewall (Thường bị nhầm lẫn)
| Công nghệ | Tại sao KHÔNG phải Firewall | Phân loại đúng |
|---|
| Router (thuần túy) | Chuyển gói tin dựa trên routing table. ACL là tính năng phụ, không phải firewall chuyên dụng. | Network Infrastructure Device |
| Switch (L2/L3) | Chuyển mạch frame/gói tin. Port Security, VACL, RA Guard là feature bổ sung. | Network Infrastructure Device |
| Load Balancer (ADC) | Phân phối traffic (L4/L7). WAF là module thêm, không phải core function. | Application Delivery Controller |
| Proxy Server (Forward/Reverse) | Trung gian request/response. Cache, anonymize, content filter. Không stateful inspection toàn diện. | Proxy / Gateway |
| IDS/IPS (Standalone) | Detect/Prevent intrusion. Không routing, không NAT, không access control policy toàn diện như firewall. | Intrusion Detection/Prevention System |
| WAF (Web App Firewall) | Chuyên bảo vệ L7 web app (OWASP Top 10). Không thay thế NGFW cho traffic network chung. | Specialized Security Control |
| Antivirus / EDR | Bảo vệ endpoint (file, process, memory). Không lọc traffic mạng. | Endpoint Protection Platform |
| VPN Gateway / Concentrator | Terminate encrypted tunnel. Không inspect traffic bên trong tunnel (trừ khi kết hợp NGFW). | VPN Terminator |
| DNS Firewall / RPZ | Chặn domain độc hại ở mức DNS. Không inspect payload traffic. | DNS Security Control |
| DLP (Data Loss Prevention) | Ngăn rò rỉ dữ liệu (content inspection). Không phải network access control. | Data Protection Control |
Tóm tắt: Firewall là gì?
Thiết bị/phần mềm thực thi chính sách kiểm soát truy cập mạng dựa trên quy tắc (allow/deny), có khả năng stateful inspection (tối thiểu), thường kết hợp Application Visibility, IPS, Threat Prevention. Đặt ở ranh giới mạng (perimeter), giữa các zone (segmentation), hoặc host-based.
