Bạn có cần tường lửa trên Mac không? Câu trả lời là có và không.
Khả năng lớn máy tính của bạn nằm sau tường lửa của router, nên tắt tường lửa macOS giúp dễ dàng thiết lập kết nối với thiết bị Apple khác. Nhưng nếu bạn dùng laptop và thường kết nối vào mạng không tin cậy, bạn nên bật tường lửa.
macOS cũng bao gồm nhiều dịch vụ mạng chia sẻ để truy cập nội dung từ xa. Nếu bạn giữ các dịch vụ đó bật hoặc dùng ứng dụng bên thứ ba, điều đó có thể làm Mac dễ bị tấn công mạng. Chúng tôi sẽ chỉ cách cấu hình tường lửa và khi nào cần dùng nó.
Thiết Lập Tường Lửa Mac
Tầm quan trọng của tường lửa như một phần của chiến lược bảo mật không thể quá đánh giá. Chúng tôi đã thảo luận chi tiết tại sao bạn nên dùng tường lửa.
Trong trường hợp macOS, có hai thành phần của tường lửa phần mềm.
Tường Lửa Lớp Ứng Dụng (ALF)
Thành phần này của tường lửa sẽ cho phép hoặc từ chối truy cập cho một ứng dụng để thiết lập giao tiếp qua mạng. Nó không dựa trên cổng được dùng. Tường lửa tích hợp macOS cung cấp tính năng này, và theo thiết kế, nó đơn giản và trực quan. Bạn có thể chỉ định, cho mỗi ứng dụng, cho phép hay chặn kết nối đến.
Để bật tường lửa trên Mac, mở Cài đặt Hệ thống > Bảo mật & Quyền riêng tư > Tường lửa (System Preferences > Security & Privacy > Firewall). Nhấn biểu tượng khóa góc dưới bên trái, nhập mật khẩu quản trị, và nhấn Mở khóa (Unlock).
Nếu cửa sổ chưa hiển thị Tường lửa: Bật (Firewall: On), nhấn nút Bật tường lửa (Turn On Firewall). Vòng tròn xanh sáng lên, và Mac sẽ chỉ cho phép lưu lượng đến cho các kết nối đã thiết lập, phần mềm đã ký và dịch vụ đã bật. Bạn có thể tắt tường lửa Mac sau này dùng nút tương ứng.
Tường Lửa Bộ Lọc Gói Tin (PF)
Thành phần này của tường lửa nhúng sâu trong nhân hệ điều hành. PF là bộ lọc gói tin OpenBSD. Chức năng chính là lọc gói tin mạng bằng cách so khớp thuộc tính của từng gói tin (và kết nối mạng xây từ chúng) với tiêu chí lọc định nghĩa trong bộ quy tắc.
Với tường lửa PF, bạn kiểm soát lưu lượng mạng dựa trên gần như mọi loại gói tin hoặc kết nối. Bao gồm địa chỉ nguồn và đích, giao diện, giao thức và cổng. Dựa trên tiêu chí này, bạn cho gói tin đi qua, chặn nó, và kích hoạt sự kiện mà các phần khác của hệ điều hành xử lý.
Tường lửa PF có hiệu lực trên macOS từ Mac OS X 10.7 Lion. Mặc dù ALF dễ dùng và trực quan, thiết lập tường lửa PF đòi hỏi kiến thức sâu về cú pháp, logic và cấu hình mạng. Bạn phải chỉnh sửa file cấu hình thủ công, và giám sát bộ lọc gói tin hoàn toàn từ dòng lệnh.
Cấu Hình Cài Đặt Tường Lửa Apple
macOS bao gồm nhiều dịch vụ tích hợp để chia sẻ file, máy in, truy cập tài nguyên từ xa, và hơn thế nữa. Để bật dịch vụ, điều hướng đến Cài đặt Hệ thống > Chia sẻ (Sharing) và tích ô bên cạnh mỗi dịch vụ bạn muốn dùng.
Vì tường lửa hoạt động theo cơ sở ứng dụng, bạn sẽ thấy các dịch vụ này liệt kê theo tên thay vì số cổng. Ví dụ, bạn thấy Chia sẻ tệp (File Sharing) trên bảng thay vì cổng 548.
Để tùy chỉnh tường lửa, quay lại bảng Tường lửa và nhấn nút Tùy chọn tường lửa (Firewall Options). Điều này sẽ hiện thêm cấu hình tường lửa. Dùng nút Cộng (Plus) và Trừ (Minus) để thêm hoặc xóa ứng dụng theo nhu cầu. Bạn cũng có thể chọn tích một số tùy chọn bổ sung dưới đây.
Bất kỳ dịch vụ nào bạn đã tích trong bảng Chia sẻ như trên sẽ tự động xuất hiện trong danh sách kết nối được phép. Nhưng nếu bạn vô hiệu hóa dịch vụ nào, chúng sẽ không còn xuất hiện trong bảng tùy chọn tường lửa.
Khi bất kỳ ứng dụng bên thứ ba nào bắt đầu lắng nghe kết nối đến, bạn sẽ thấy thông báo "Bạn có muốn cho phép ứng dụng "[Tên ứng dụng]" chấp nhận kết nối mạng đến?" Nhấn Cho phép (Allow) hoặc Từ chối (Deny) để sửa cài đặt tường lửa. Ứng dụng được cho phép sẽ xuất hiện trong danh sách.
Tường Lửa Xuất Hướng Nên Bật Hay Tắt?
Tường lửa tích hợp cho bạn khả năng giám sát và chặn kết nối đến. Tuy nhiên, bạn cũng có thể giám sát kết nối đi. Làm sao người dùng trung bình tận dụng dữ liệu lưu lượng đi? Hãy minh họa với vài ví dụ.
- Hầu hết ứng dụng bạn dùng trên Mac có giao diện nhìn thấy và liên tục trao đổi dữ liệu giữa máy và máy chủ nơi khác. Nhưng nhiều tiến trình chạy nền cũng gửi và nhận dữ liệu.
- Hãy xem tất cả tiến trình trong Giám sát hoạt động > Mạng (Activity Monitor > Network). Làm sao bạn chắc chắn tất cả kết nối đó đều hợp pháp?
- Ứng dụng tham gia hoạt động luôn: ứng dụng email tải tin mới, ứng dụng định kỳ kiểm tra cập nhật, Dropbox đồng bộ file thay đổi. Những hoạt động này ổn, nhưng nếu bạn tải ứng dụng độc hại âm thầm ghi phím và gửi dữ liệu nhạy cảm cho kẻ xấu, đó là vấn đề.
- Ứng dụng cao cấp thường "gọi về nhà" (phone home) kiểm tra giấy phép, nhưng một số nhà phát triển có thể thu thập thông tin cá nhân nhạy cảm mà không có sự đồng ý. Những ứng dụng này cũng có thể nghe lén hoặc phát sóng qua mạng, sao chép chi tiết cấu hình Mac, và theo dõi cách bạn dùng ứng dụng cụ thể.
Từ các ví dụ này, rõ ràng tường lửa hai chiều cung cấp bảo vệ từ cả lưu lượng đến và đi. Chúng giúp xác định hoạt động của phần mềm độc hại (nếu nó được cài và chạy), nhưng chúng quan tâm đến quyền riêng tư hơn là bảo mật.
Ứng Dụng Tường Lửa Bên Thứ Ba Cho Mac
Nhiều ứng dụng tường lửa bên thứ ba cung cấp kiểm soát cả kết nối đến và đi. Chúng tôi thảo luận vài cái phổ biến dưới đây.
LuLu
LuLu là tường lửa miễn phí, mã nguồn mở nhằm chặn lưu lượng đi trừ khi được người dùng phê duyệt rõ ràng. Sau khi cài đặt, nó sẽ cảnh báo về các cố gắng tạo kết nối mạng đi mới hoặc chưa được ủy quyền. Nhấn nút Cho phép (Allow) hoặc Chặn (Block) để xử lý kết nối.
Cửa sổ cảnh báo hiển thị biểu tượng tiến trình và trạng thái ký mã của ứng dụng. Tích hợp VirusTotal tích hợp sẵn giúp kiểm tra xem ứng dụng có độc hại không. Cùng với đó, bạn thấy thứ bậc của tiến trình (giúp hiểu tiến trình chính gây ra), chi tiết tiến trình, và hơn nữa.
Tải xuống: LuLu (Miễn phí)
Radio Silence
Radio Silence là ứng dụng tường lửa đơn giản nhất cho Mac. Sau cài đặt, ứng dụng tự động chạy nền không có biểu tượng menu bar hay chỉ thị trực quan nào. Điều hướng đến tab Tường lửa (Firewall) và nhấn nút Chặn ứng dụng (Block Application). Khi bạn thêm ứng dụng vào danh sách đen, nó sẽ không còn kết nối qua internet.
Vì bạn thủ công thêm ứng dụng, bạn không thấy popup phiền toái. Tab Giám sát mạng (Network Monitor) cung cấp dữ liệu thời gian thực cho tiến trình hoặc ứng dụng cụ thể. Bạn tìm thấy helper ẩn, tiến trình trong bộ nhớ, daemon, dịch vụ XPC, số cổng, và địa chỉ IP host. Mặc dù ứng dụng có phí nhỏ, bạn có thể dùng thử trước khi mua.
Tải xuống: Radio Silence ($9, có dùng thử miễn phí)
Little Snitch
Little Snitch là tường lửa ứng dụng dựa trên host cho Mac. Ứng dụng cung cấp báo cáo chi tiết về tiến trình, kết nối đi và đến, cổng và giao thức. Nó cũng hiển thị lịch sử lưu lượng hoàn chỉnh xuống tới khoảng thời gian một phút.
Mặc định, tính năng Chế độ im lặng (Silent Mode) cho phép tất cả truy cập mạng không bị cấm rõ ràng bởi quy tắc. Vì bạn không chặn gì, bạn có thời gian học cách dùng ứng dụng. Đằng sau, ứng dụng ghi lại mọi kết nối. Từ đó, bạn bắt đầu tạo quy tắc.
Giám sát mạng (Network Monitor) hiển thị bản đồ toàn cầu các kết nối hoạt động từ hệ thống của bạn đến vị trí suy ra từ IP khắp thế giới thời gian thực. Bảng bên trái hiển thị danh sách ứng dụng gửi và nhận dữ liệu, bảng bên phải给出总结 chi tiết.
Tính năng Chuyển đổi hồ sơ tự động (Automatic Profile Switching) cho phép tạo hồ sơ lọc dựa trên mạng. Bạn tạo hồ sơ riêng cho nhà, nơi làm việc, quán cà phê, v.v. Còn nhiều tính năng hơn, tuy phần mềm không rẻ. Tuy nhiên, đối với người đam mê, Little Snitch là tường lửa khó đánh bại.
Tải xuống: Little Snitch ($45, có dùng thử miễn phí)
Murus
Murus là giao diện đồ họa cho tường lửa PF. Nó đóng gói giao diện trực quan và cho phép cấu hình ứng dụng dùng preset tích hợp. Nó cũng cung cấp trình soạn thảo bộ quy tắc để tạo và quản lý quy tắc. Bạn tạo quy tắc phức tạp với tùy chọn nâng cao như gõ cổng (port knocking), kế toán, và hơn nữa.
Murus Lite là tường lửa cơ bản chỉ có lọc đến và ghi nhật ký. Với $10, bạn nhận được lọc đi, quy tắc tùy chỉnh, gõ cổng, tính năng tùy chỉnh, và nhiều hơn nữa.
Tải xuống: Murus (Miễn phí, có phiên bản premium)
Bảo Vệ Đa Lớp Cung Cấp Sự Bảo Vệ Tốt Nhất
Tường lửa không phải giải pháp thần thánh cho vấn đề như phần mềm độc hại và thư rác. Nhưng tầm quan trọng có thể khác nhau tùy trường hợp sử dụng. Đối với người dùng tiêu chuẩn, tường lửa tích hợp, cùng với Little Snitch, đã hơn đủ. Nếu bạn làm việc cho doanh nghiệp chỉ dùng Mac, thì có lớp bảo vệ tường lửa khác nhau có ý nghĩa.
Kết hợp ALF và PF tường lửa có thể hoạt động tốt mà không có vấn đề lớn. Tuy nhiên, cách tiếp cận lọc mạng của chúng khác nhau và bao phủ các lớp riêng biệt của ngăn xếp mạng. Điều tương tự đúng cho ứng dụng tường lửa bên thứ ba. Mọi ALF bên thứ ba có thể làm việc với tường lửa PF.
Hãy nhớ bảo vệ tường lửa chỉ là một phần của chiến lược bảo mật. Biết cách tránh lây nhiễm phần mềm độc hại cho Mac, và xem các mẹo bảo mật macOS khác để tăng cường bảo vệ.