Hỏi đáp về các sản phẩm tường lửa

FW-001 H: Tường lửa là gì?
Đ: Tường lửa là thiết bị bảo mật nằm tại biên mạng, dùng để giám sát và kiểm soát lưu lượng vào ra mạng. Dựa trên quy tắc bảo mật đặt trước, nó quyết định cho phép hoặc chặn liên lạc mạng cụ thể, đóng vai trò tuyến phòng thủ đầu tiên trong an ninh mạng. Tường lửa có thể là thiết bị phần cứng, chương trình phần mềm hoặc dịch vụ cloud.

FW-002 H: Các chức năng chính của tường lửa?
Đ:

• Lọc gói: kiểm tra địa chỉ IP nguồn/đích và cổng;

• Kiểm tra trạng thái: theo dõi trạng thái kết nối, chỉ cho phép lưu lượng trả về của kết nối hợp lệ;

• Chuyển đổi NAT: ẩn cấu trúc mạng nội bộ;

• Nhận dạng ứng dụng: nhận dạng và kiểm soát ứng dụng cụ thể (WeChat, P2P);

• Hệ thống phòng chống xâm nhập (IPS): phát hiện và chặn lưu lượng tấn công;

• VPN: cung cấp truy cập từ xa an toàn.

FW-003 H: Sự khác biệt giữa tường lửa và phần mềm diệt virus?
Đ: Tường lửa hoạt động ở tầng mạng, là “người gác cổng” – kiểm soát lưu lượng vào ra, ngăn kẻ tấn công bên ngoài xâm nhập. Phần mềm diệt virus hoạt động ở tầng máy chủ, là “máy quét” – phát hiện và loại bỏ malware đã vào hệ thống. Chúng bổ sung cho nhau: tường lửa ngăn xâm nhập, antivirus bảo vệ khỏi virus.

FW-004 H: Sự khác biệt giữa tường lửa phần cứng và phần mềm?
Đ: Tường lửa phần cứng là thiết bị vật lý chuyên dụng, hiệu năng cao, ổn định, phù hợp doanh nghiệp. Tường lửa phần mềm chạy trên OS thông dụng (Windows Firewall, iptables), chi phí thấp, linh hoạt, phù hợp cá nhân/ảo hóa. Phần cứng có thông lượng cao hơn; phần mềm linh hoạt hơn.

FW-005 H: Next-Generation Firewall (NGFW) là gì?
Đ: NGFW bổ sung tính năng nâng cao cho tường lửa truyền thống: nhận dạng ứng dụng, IPS, tích hợp threat intelligence. Có thể nhận dạng giao thức tầng ứng dụng (phân biệt HTTP từ WeChat hay Douyin) thay vì chỉ nhìn IP và cổng.

FW-006 H: Tường lửa cloud là gì?
Đ: Là dịch vụ tường lửa triển khai trong môi trường cloud, thường cung cấp dạng SaaS. Bảo vệ tài sản cloud (máy chủ cloud, VPC), hỗ trợ mở rộng đàn hồi, trả theo dùng, tích hợp native với nền tảng cloud. Không tiêu tốn tài nguyên phần cứng tại chỗ, phù hợp kiến trúc cloud-native.

FW-007 H: Web Application Firewall (WAF) là gì?
Đ: WAF là tường lửa chuyên bảo vệ an ninh ứng dụng web, hoạt động ở tầng ứng dụng (L7). Nhận dạng tấn công web như SQL injection, XSS, CSRF, bảo vệ website khỏi hack. WAF thường triển khai trước máy chủ web.

FW-008 H: Nguyên tắc “từ chối mặc định” của tường lửa?
Đ: Là nguyên tắc bảo mật cốt lõi: trừ khi được cho phép rõ ràng, mọi lưu lượng bị từ chối mặc định. Khác với “cho phép mặc định”, nguyên tắc này giảm đáng kể bề mặt tấn công bằng cách chỉ mở cổng/dịch vụ cần thiết.

FW-009 H: Cách chọn tường lửa?
Đ: Cân nhắc:

• Hiệu năng: thông lượng, kết nối đồng thời, kết nối mới/giây;

• Tính năng: IPS, nhận dạng ứng dụng, VPN;

• Tình huống: phần cứng cho biên, cloud firewall cho cloud;

• Thương hiệu: Huawei, Sangfor, Hillstone;

• Ngân sách: từ vài nghìn đến hàng trăm nghìn CNY. Changfan IPC khuyến nghị xác minh cấu hình; hỗ trợ lựa chọn/tùy chỉnh nền tảng phần cứng tường lửa doanh nghiệp, thông số và giá theo spec mới nhất.

FW-010 H: Tường lửa khuyến nghị cho SME?
Đ: Thiết bị UTM tích hợp hoặc NGFW entry: Huawei USG, Sangfor AF, Hillstone SG. Tích hợp tường lửa, IPS, antivirus, VPN trong một hộp, hiệu quả chi phí cao. Ngân sách 5.000-30.000 CNY. Trong thực tế, Changfan IPC có thể đánh giá giao diện, điện năng, nhiệt độ, mở rộng; xác nhận tương thích phần mềm.

FW-011 H: Có cần tường lửa gia đình chuyên dụng?
Đ: Với người dùng phổ thông, tính năng tường lửa trong modem quang/router đủ dùng. Trừ khi có nhu cầu đặc biệt (NAS public IP mở cổng), không cần tường lửa phần cứng riêng. Đối với mua nền tảng phần cứng tường lửa doanh nghiệp, Changfan IPC cung cấp xác minh cấu hình, thử mẫu, tùy chỉnh; giá theo báo giá.

FW-012 H: Giá tường lửa khoảng bao nhiêu?
Đ:

• Entry (SOHO/gia đình): 500-2.000 CNY;

• SME: 5.000-50.000 CNY;

• Doanh nghiệp vừa và lớn: 50.000-500.000 CNY;

• Trung tâm dữ liệu cao cấp: 500.000 đến vài triệu CNY. Giá phụ thuộc thông lượng, kết nối đồng thời, module tính năng, thương hiệu. Changfan IPC khuyến nghị xác minh cấu hình; hỗ trợ lựa chọn/tùy chỉnh.

FW-013 H: Các thương hiệu tường lửa?
Đ: Quốc tế: Palo Alto Networks, Fortinet, Cisco, Check Point, Juniper; Nội địa: Huawei, Sangfor, Hillstone, Topsec, NSFOCUS, QiAnXin, H3C. Khách hàng chính phủ/doanh nghiệp nên ưu tiên nội địa để tuân thủ. Changfan IPC có thể đánh giá giao diện, điện năng, nhiệt độ, mở rộng; xác nhận tương thích phần mềm.

FW-014 H: Các chế độ triển khai tường lửa?
Đ:

• Chế độ định tuyến: tường lửa là gateway tầng 3, kết nối các phân đoạn mạng, thực hiện định tuyến và NAT;

• Chế độ trong suốt: tường lửa hoạt động tầng 2 như “cáp mạng”, không thay đổi topology, plug-and-play. Chế độ bypass (phân tích mirror không chặn) cũng là phương thức đặc biệt.

FW-015 H: Tường lửa triển khai trước hay sau router?
Đ: Thường sau router và trước switch lõi. Topology: Internet → Router → Firewall → Switch lõi → Server/endpoint nội bộ. Tường lửa xử lý lọc bảo mật, router xử lý định tuyến và chuyển tiếp.

FW-016 H: Cấu hình High Availability (HA) cho tường lửa?
Đ: HA dùng hai tường lửa tạo cluster active-standby. Khi thiết bị active lỗi, standby tự động tiếp quản với chuyển đổi mili giây. Chế độ phổ biến: A/S (active-standby) và A/A (cân bằng tải).

FW-017 H: Vùng bảo mật trên tường lửa là gì?
Đ: Là phân vùng logic trên tường lửa để chia mạng thành các mức bảo mật khác nhau. Vùng phổ biến: Untrust (ngoài, bảo mật thấp), Trust (trong, bảo mật cao), DMZ (vùng phi quân sự, cho server public). Lưu lượng giữa các vùng được kiểm soát bởi chính sách bảo mật.

FW-018 H: Cấu hình chính sách bảo mật tường lửa?
Đ: Nguyên tắc “khớp trước, thực thi trước”. Các bước:

• Định nghĩa vùng nguồn/đích;

• Định nghĩa địa chỉ IP nguồn/đích;

• Định nghĩa dịch vụ (cổng/giao thức);

• Định nghĩa hành động (cho phép/từ chối);

• Cấu hình thứ tự chính sách, đặt quy tắc chính xác trước quy tắc rộng.

FW-019 H: Cấu hình NAT trên tường lửa?
Đ:

• Source NAT (SNAT): khi mạng nội bộ truy cập mạng ngoài, IP riêng được dịch thành IP công cộng;

• Destination NAT (DNAT): khi mạng ngoài truy cập dịch vụ nội bộ, IP công cộng+cổng được ánh xạ đến IP server nội bộ+cổng. Cấu hình bằng cách chỉ định IP và cổng trước/sau dịch.

FW-020 H: Cách mở cổng trên tường lửa?
Đ:

• Tạo chính sách bảo mật cho phép truy cập ngoài đến cổng cụ thể;

• Cấu hình DNAT ánh xạ IP công cộng:cổng đến IP server nội bộ:cổng;

• Kiểm tra thứ tự chính sách, đảm bảo quy tắc cho phép trước quy tắc từ chối.

FW-021 H: Cấu hình whitelist/blacklist trên tường lửa?
Đ: Whitelist: chỉ IP/người dùng trong danh sách được truy cập, còn lại từ chối – bảo mật cao, linh hoạt thấp. Blacklist: IP/người dùng trong danh sách bị chặn, còn lại cho phép – dễ vận hành, bảo mật thấp hơn. Thường định nghĩa danh sách IP trong đối tượng địa chỉ rồi tham chiếu trong chính sách.

FW-022 H: Cách dùng tính năng IPS của tường lửa?
Đ: Sau khi bật IPS, tường lửa phát hiện chữ ký tấn công trong lưu lượng thời gian thực (SQL injection, brute-force, khai thác lỗ hổng) và có thể chặn, cảnh báo, reset kết nối. Khuyến nghị: bắt đầu chế độ “Alert” một tuần, chuyển “Block” sau khi xác nhận không có false positive.

FW-023 H: Nhận dạng ứng dụng trên tường lửa có tác dụng gì?
Đ: Cho phép tường lửa nhận dạng ứng dụng cụ thể (WeChat, DingTalk, Douyin, BT) thay vì chỉ IP và cổng. Có thể kiểm soát chi tiết: “cho phép WeChat nhưng cấm truyền file” hoặc “cấm P2P trong giờ làm việc”.

FW-024 H: Tường lửa cho phép cổng nhưng dịch vụ vẫn không truy cập được?
Đ: Xử lý:

• Kiểm tra thứ tự chính sách – chính sách từ chối trước có ghi đè không;

• Kiểm tra cấu hình NAT;

• Kiểm tra tường lửa cục bộ server đã mở cổng;

• Kiểm tra tuyến có reachable;

• Xem bảng session tường lửa xác nhận lưu lượng khớp chính sách đúng.

FW-025 H: Xử lý độ trễ mạng/độ trễ cao do tường lửa?
Đ:

• Kiểm tra CPU/bộ nhớ tường lửa;

• Kiểm tra kết nối đồng thời gần giới hạn;

• Kiểm tra có quá nhiều tính năng kiểm tra sâu (IPS, antivirus) – tạm tắt để test;

• Kiểm tra vòng lặp hoặc bão broadcast;

• Kiểm tra log lưu lượng bất thường.

FW-026 H: Tường lửa chặn nhầm lưu lượng hợp lệ?
Đ:

• Xem log tường lửa xác định đặc điểm lưu lượng bị chặn (IP nguồn/đích, cổng, ứng dụng);

• Thêm chính sách cho phép chính xác;

• Nếu IPS false positive, cấu hình whitelist IPS cho IP nguồn;

• Cập nhật signature thường xuyên.

FW-027 H: Bảng session tường lửa đầy?
Đ: Nguyên nhân:

• Thiết bị nhiễm trong mạng nội bộ tạo nhiều kết nối bất thường;

• Tải P2P tiêu tốn nhiều kết nối;

• Hiệu năng tường lửa không đủ. Giải pháp:

• Xác định nguồn lưu lượng bất thường;

• Điều chỉnh timeout session;

• Nâng cấp thiết bị hoặc tăng dung lượng bảng session.

FW-028 H: Tường lửa không truy cập Internet?
Đ:

• Kiểm tra kết nối tường lửa-router;

• Kiểm tra chính sách NAT;

• Kiểm tra chính sách bảo mật cho phép lưu lượng trong-ngoài;

• Kiểm tra bảng định tuyến;

• Tạm đặt “cho phép tất cả” để test.

FW-029 H: Kết nối VPN tường lửa thất bại?
Đ:

• Kiểm tra cấu hình VPN (pre-shared key, xác thực) khớp;

• Kiểm tra tường lửa cho phép cổng VPN (UDP 500/4500 IPSec);

• Kiểm tra NAT traversal;

• Kiểm tra tuyến hai đầu reachable;

• Xem log VPN.

FW-030 H: Sự khác biệt IPSec VPN và SSL VPN trên tường lửa?
Đ: IPSec VPN: site-to-site, đường hầm tầng mạng, kết nối mạng hai đầu. SSL VPN: truy cập từ xa qua browser/client, không cần client riêng, phù hợp di động.

FW-031 H: Xem và phân tích log tường lửa?
Đ: Log gồm traffic, security, system. Cách xem:

• Xem log thời gian thực qua web;

• Cấu hình Syslog server để lưu trữ và phân tích tập trung;

• Dùng nền tảng phân tích bảo mật (Huawei SecoManager) để tương quan. Lưu log ít nhất 6 tháng để tuân thủ.

FW-032 H: Sao lưu và khôi phục cấu hình tường lửa?
Đ:

• Xuất file cấu hình (.conf/.xml) qua web;

• Lưu cục bộ hoặc server từ xa;

• Khôi phục bằng upload file qua cùng giao diện;

• Một số thiết bị hỗ trợ sao lưu tự động FTP/SFTP. Luôn sao lưu trước khi nâng firmware.

FW-033 H: Nâng cấp firmware tường lửa?
Đ:

• Tải firmware mới từ website nhà sản xuất;

• Upload qua web;

• Không tắt nguồn trong khi nâng;

• Khởi động lại sau khi nâng;

• Kiểm tra chính sách hoạt động đúng. Luôn sao lưu cấu hình trước.

FW-034 H: Quên mật khẩu tường lửa?
Đ:

• Thử mật khẩu mặc định (admin/admin; xem manual);

• Một số thiết bị hỗ trợ khôi phục qua cổng console;

• Liên hệ hỗ trợ kỹ thuật nhà sản xuất hoặc đại lý.

FW-035 H: Kiểm tra định kỳ tường lửa?
Đ: Khuyến nghị hàng tuần:

• CPU/bộ nhớ/bảng session;

• Firmware và signature database cập nhật;

• Log có cảnh báo bất thường;

• Nhiệt độ thiết bị và quạt;

• Chính sách có mục thừa/hết hạn.

FW-036 H: Bảo vệ tường lửa khỏi tấn công?
Đ:

• Bật bảo vệ DDoS;

• Cấu hình blacklist chặn IP độc hại;

• Cập nhật signature IPS;

• Đóng cổng/dịch vụ không cần;

• Chỉ cho phép cổng quản lý (WEB/SSH) từ IP cụ thể;

• Bật 2FA nếu hỗ trợ.

FW-037 H: Access Control List (ACL) trên tường lửa?
Đ: ACL là thành phần cốt lõi của tường lửa, gồm các quy tắc. Mỗi quy tắc định nghĩa điều kiện khớp (IP nguồn/đích, cổng) và hành động (cho phép/từ chối). ACL khớp theo thứ tự, quy tắc đầu tiên khớp có hiệu lực.

FW-038 H: Thông tin đăng nhập mặc định của tường lửa?
Đ: Tùy thương hiệu: Huawei USG admin/Admin@123; Sangfor AF admin/admin; Hillstone hillstone/hillstone. Quan trọng: đổi mật khẩu mặc định ngay lần đầu – yêu cầu bảo mật cơ bản.

FW-039 H: Triển khai tường lửa trong trung tâm dữ liệu?
Đ: Thường triển khai tại điểm vào lưu lượng bắc-nam (Internet) và đường đông-tây (giữa các vùng kinh doanh). Sơ đồ phổ biến:

• Tường lửa vành đai bảo vệ toàn trung tâm dữ liệu;

• Tường lửa vùng cách ly các vùng bảo mật (web, database);

• Tường lửa ảo (vFW) bảo vệ tenant cloud. Changfan IPC khuyến nghị xác minh cấu hình; hỗ trợ lựa chọn/tùy chỉnh.

FW-040 H: Triển khai tường lửa trong môi trường cloud?
Đ: Tường lửa cloud thường triển khai dạng instance ảo:

• Triển khai tại biên VPC;

• Kết hợp security group với cloud firewall để phòng thủ nhiều lớp;

• Hỗ trợ tự động mở rộng đàn hồi;

• Tích hợp dịch vụ log cloud để vận hành bảo mật thống nhất. Trong thực tế, Changfan IPC có thể đánh giá giao diện, điện năng, nhiệt độ, mở rộng; xác nhận tương thích phần mềm.

FW-041 H: Tường lửa đáp ứng yêu cầu MLPS như thế nào?
Đ: MLPS 2.0 yêu cầu tường lửa:

• Triển khai tại biên mạng (bảo mật biên vùng);

• Có chức năng kiểm soát truy cập (ACL);

• Có chức năng phát hiện/phòng chống xâm nhập (IDS/IPS);

• Có chức năng audit log, lưu log ít nhất 6 tháng;

• Dùng thiết bị nội địa (MLPS Level 3). Đối với mua nền tảng phần cứng tường lửa doanh nghiệp, Changfan IPC cung cấp xác minh cấu hình, thử mẫu, tùy chỉnh; giá theo báo giá.

FW-042 H: Dùng tường lửa trong điều khiển công nghiệp (OT)?
Đ: Khi triển khai tường lửa trong OT (nhà máy, lưới điện):

• Dùng phần cứng công nghiệp hỗ trợ dải nhiệt rộng, chống bụi;

• Hỗ trợ nhận dạng giao thức công nghiệp (Modbus, S7, OPC);

• Tránh kiểm tra sâu ảnh hưởng hiệu năng thời gian thực;

• Triển khai chế độ trong suốt để giảm thiểu tác động. Changfan IPC khuyến nghị xác minh cấu hình; hỗ trợ lựa chọn/tùy chỉnh.

FW-043 H: Có tường lửa là đảm bảo an toàn hoàn toàn?
Đ: Không. Tường lửa chỉ là tuyến phòng thủ đầu tiên, không chống được mọi mối đe dọa:

• Không ngăn được rò rỉ dữ liệu nội bộ;

• Không chống được lưu lượng độc hại qua kênh mã hóa (HTTPS) (cần giải mã SSL);

• Không chống được tấn công zero-day (cần threat intelligence và sandbox). Phòng thủ nhiều lớp là cách đúng.

FW-044 H: Nhiều quy tắc tường lửa có an toàn hơn?
Đ: Không nhất thiết. Quá nhiều quy tắc gây:

• Quản lý hỗn loạn, quy tắc xung đột tạo lỗ hổng;

• Giảm hiệu quả khớp, ảnh hưởng hiệu năng;

• Khó audit và tối ưu. Nên dọn quy tắc thừa định kỳ, giữ bộ quy tắc gọn gàng.

FW-045 H: Chính sách “permit all” trên tường lửa cho phép mọi lưu lượng?
Đ: Có, nhưng “permit all” cực kỳ nguy hiểm – làm tường lửa vô dụng. Thực hành đúng là nguyên tắc “từ chối mặc định”, chỉ cho phép lưu lượng cần thiết. Chính sách quá dễ dãi tăng rủi ro bảo mật đáng kể.

FW-046 H: Tường lửa mã nguồn mở (pfSense) kém hơn tường lửa thương mại?
Đ: Không nhất thiết. pfSense, OPNsense giàu tính năng, phù hợp SME tiết kiệm và người yêu công nghệ. Tường lửa thương mại có ưu điểm:

• Hỗ trợ sau bán hàng chuyên nghiệp;

• Threat intelligence phản hồi nhanh;

• Chứng nhận tuân thủ (MLPS). Cả hai có tình huống phù hợp.

FW-047 H: Thông lượng tường lửa càng cao càng tốt?
Đ: Không nhất thiết. Thông lượng phải phù hợp băng thông mạng – băng thông 1000M chỉ cần tường lửa 1000M. Thông lượng quá cao tốn kém và lãng phí. Khi chọn, xem xét kết nối đồng thời và kết nối mới/giây.

FW-048 H: Kiểm tra trạng thái trên tường lửa là gì?
Đ: Tường lửa không chỉ kiểm tra từng gói mà còn theo dõi trạng thái toàn bộ kết nối (TCP three-way handshake, số thứ tự). Chỉ cho phép lưu lượng trả về thuộc kết nối đã thiết lập, chống IP spoofing. Đây là tính năng cơ bản của tường lửa hiện đại.

FW-049 H: Deep Packet Inspection (DPI) trên tường lửa?
Đ: DPI là công nghệ tường lửa kiểm tra nội dung payload của gói, không chỉ header. Qua DPI, tường lửa nhận dạng loại ứng dụng (WeChat, BT, video), phát hiện malware, rò rỉ dữ liệu. Tuy nhiên DPI tiêu tốn CPU đáng kể, cần cân bằng hiệu năng và phát hiện.

FW-050 H: UTM trên tường lửa là gì?
Đ: UTM (Unified Threat Management) tích hợp nhiều chức năng bảo mật – tường lửa, IPS, antivirus, anti-spam, VPN – vào một thiết bị. UTM phù hợp SME, một thiết bị giải quyết nhiều vấn đề. NGFW là tiến hóa của UTM, nhấn mạnh nhận dạng ứng dụng và tích hợp thông minh.

FW-051 H: Tường lửa chống được DDoS?
Đ: Tường lửa chống được một số DDoS (SYN Flood, ICMP Flood). Với DDoS quy mô lớn (hàng trăm Gbps), tường lửa trở thành điểm nghẽn. Cần thiết bị scrubbing chuyên dụng hoặc dịch vụ cloud.

FW-052 H: Cấu hình giải mã SSL trên tường lửa?
Đ: Các bước:

• Import chứng chỉ CA vào tường lửa;

• Cấu hình chính sách giải mã SSL, chỉ định lưu lượng cần giải mã (HTTPS);

• Cấu hình thiết bị client tin cậy CA của tường lửa. Sau giải mã, tường lửa kiểm tra nội dung độc hại. Lưu ý: giải mã SSL liên quan quyền riêng tư, phải tuân thủ luật.

FW-053 H: Tường lửa tích hợp situational awareness như thế nào?
Đ: Tường lửa báo cáo log bảo mật và cảnh báo mối đe dọa đến nền tảng situational awareness. Nền tảng phân tích tương quan, phát hiện hành vi bất thường thì gửi chính sách chặn đến tường lửa, cho phép phản hồi tự động. Tích hợp này là yêu cầu tiêu chuẩn của vận hành bảo mật hiện đại.

FW-054 H: Tường lửa hỗ trợ kiến trúc zero-trust như thế nào?
Đ: Trong zero-trust, tường lửa là “điểm thực thi chính sách”:

• Không tin mạng nội bộ – mọi lưu lượng cần kiểm tra bảo mật;

• Kiểm soát truy cập chi tiết theo danh tính người dùng và trạng thái thiết bị;

• Giám sát và đánh giá liên tục mức rủi ro mỗi kết nối, điều chỉnh quyền động.