"Tường lửa" có hai loại khác nhau: tường lửa thường (firewall) canh đường mạng, còn tường lửa website (WAF) canh nội dung web. Như cổng soát vé và máy soi hành lý — cái này mạnh chỗ cái kia mù.
Nghe đến "tường lửa" là nhiều người thấy yên tâm, tin rằng website nhà mình đã an toàn tuyệt đối. Thực tế lại khác một chút. Có hai loại tường lửa làm hai việc hoàn toàn khác nhau: tường lửa thường (firewall) và tường lửa website (WAF). Nếu gộp chung hai thứ này làm một, bạn dễ rơi vào cảnh "nhà đã có firewall rồi thì lo gì" — trong khi website vẫn hở một mảng lớn. Bài này sẽ nói rõ từng loại, bằng ngôn ngữ đời thường để người chưa rành kỹ thuật cũng nắm được.
Khái niệm "Tường lửa" nói chung là gì?
Nói gọn, tường lửa là một lớp chắn đứng giữa hệ thống của bạn và thế giới bên ngoài. Nó xem xét từng luồng dữ liệu ra vào rồi quyết định: cái này cho qua, cái kia chặn lại. Giống như một trạm gác cổng — nhưng gác kiểu gì và xem xét sâu tới đâu thì mỗi loại một khác.
Điểm khác nhau nằm ở đây: có hai nhánh tường lửa làm hai việc độc lập. Một loại canh giữ đường mạng (tường lửa thường), loại kia bảo vệ chính website (WAF). Chúng không giẫm chân lên nhau, mỗi loại lo một phần.
Tường lửa thường (firewall) làm gì?
Tường lửa thường — cái mà nhiều người quen gọi là "firewall" — làm việc ở tầng mạng phía dưới. Nó chỉ xét vài thông tin cơ bản: dữ liệu đến từ địa chỉ IP nào, đi vào qua cổng (port) số mấy, và dùng giao thức gì. Dựa vào mấy dấu hiệu đó, nó quyết cho qua hay chặn.
Bạn hình dung một bảo vệ soát vé ở cổng sân vận động. Anh này chỉ quan tâm hai việc: vé của bạn có thật không, và bạn có đi đúng cổng không. Đúng thì cho vào, sai thì mời ra. Nhưng anh ấy không mở balo của bạn ra xem bên trong có gì. Tường lửa thường đúng như vậy: nó chặn các kết nối lạ, đóng những cổng không dùng, chặn các địa chỉ IP xấu — làm nhiệm vụ gác "cửa ngoài" rất tốt. Nhưng nó không đọc được nội dung bên trong từng gói tin.
Loại tường lửa này có mặt khắp nơi: trong cục phát Wi-Fi nhà bạn, sẵn trong máy tính Windows (chính là Windows Firewall), và trên hầu hết máy chủ server. Nó là lớp bảo vệ nền tảng — cần phải có, nhưng riêng nó thì chưa đủ để bảo vệ website. (Cũng có loại firewall cao cấp xem được sâu hơn một chút, nhưng ở mức phổ thông thì nó chỉ làm việc ở tầng mạng.)
Tường lửa website (WAF) thì sao?
Tường lửa website (WAF — Web Application Firewall) làm việc ở một tầng cao hơn: tầng ứng dụng. Thay vì chỉ xem "gói tin này đến từ đâu", nó đọc luôn nội dung của từng yêu cầu gửi vào website — xem ai đó đang gõ gì vào ô đăng nhập, gửi dữ liệu gì qua form, hay mở đường link nào.
Quay lại ví dụ sân vận động: WAF không đóng vai người soát vé, mà đóng vai máy soi an ninh kiểm tra hành lý. Khách đã có vé, đã vào cổng đàng hoàng — nhưng khi đi qua máy soi, nếu trong balo có vật cấm thì vẫn bị giữ lại. WAF làm đúng như vậy với website: một yêu cầu nhìn thì hợp lệ (đúng cổng, đúng giao thức) nhưng bên trong lại giấu mã độc — và WAF là thứ nhận ra được điều đó.
Nhờ đọc được nội dung, WAF chặn được những đòn nhắm thẳng vào website: chèn lệnh vào ô đăng nhập (SQL Injection), cài mã độc chạy lén (XSS), thả bot đi dò mật khẩu, hay spam ngập form liên hệ. Nếu bạn muốn tìm hiểu kỹ hơn về loại tường lửa này, mời đọc bài WAF là gì.
Vậy hai loại này khác nhau ở đâu?
Đặt cạnh nhau cho dễ so:
| Tiêu chí | Tường lửa thường (firewall) | Tường lửa website (WAF) |
|---|---|---|
| Bảo vệ cái gì | Đường mạng, máy chủ | Chính website / ứng dụng web |
| Tầng hoạt động | Tầng mạng (thấp) | Tầng ứng dụng (cao) |
| Xét gì | Địa chỉ IP, cổng, giao thức | Nội dung từng yêu cầu (HTTP) |
| Chặn tốt | Kết nối lạ, cổng thừa, IP xấu | SQL Injection, XSS, bot, đòn nhắm web |
| Điểm mù | Không thấy mã độc giấu trong yêu cầu hợp lệ | Không lo phần mạng/cổng thuần túy |
| Ví von | Cổng soát vé (xét vé + cổng) | Máy soi hành lý (soi nội dung) |
Đến đây thì rõ: chúng không phải một thứ, mà là hai người gác cổng làm hai việc khác nhau. Chỗ mà loại này bỏ sót lại chính là chỗ loại kia lo.
Vậy nên chọn mua loại nào?
Nói thẳng cho khỏi phân vân: cả hai. Đây không phải bài toán chọn một bỏ một — hai lớp bảo vệ này bổ sung cho nhau rất khít.
Có firewall rồi thì cần WAF làm gì nữa? Lý do là thế này: với tường lửa mạng, một đòn SQL Injection trông vẫn "hợp lệ" — nó đi đúng cổng website (443), đúng giao thức, xuất phát từ một địa chỉ bình thường. Người soát vé thấy "vé thật, cổng đúng, mời vào" — rồi khi lọt vào trong, mã độc mới ra tay. Chỉ loại đọc được nội dung như WAF mới bắt được những ca giấu kỹ như vậy.
Mấy đòn này không hề hiếm gặp. Các trò chèn lệnh và cài mã độc thuộc nhóm Injection — nhiều năm liền nằm trong nhóm dẫn đầu của bảng xếp hạng nguy cơ tấn công web nổi tiếng OWASP Top 10 — đúng là loại mà tường lửa mạng không nhìn thấy.
Nói ngược lại cho công bằng: WAF cũng không thay thế được tường lửa mạng. Nó không lo phần cáp mạng, IP, cổng ở tầng dưới. Website chỉ thật sự an toàn khi có cả hai lớp: firewall canh cửa mạng, WAF canh nội dung website.
Người không rành IT cần nhớ gì?
Nếu bạn không chuyên về IT, chỉ cần nhớ vài điều thực tế sau. Máy chủ ảo (VPS) hay hosting bạn thuê thường đã có sẵn một lớp tường lửa mạng cơ bản — do hệ điều hành và bên hạ tầng cài trong gói nền tảng. Đó chính là "người bảo vệ soát vé ở cổng".
Còn "máy soi an ninh" — tức là tường lửa website — thì phần lớn bạn phải tự bật thêm. Nếu website của bạn có các phần như ô nhập mật khẩu, giỏ hàng, thanh toán thẻ hay lưu thông tin khách, thì nên bật lớp này càng sớm càng tốt.
Làm sao biết website nhà mình đã có WAF chưa? Cách đơn giản nhất là hỏi thẳng bên bán hosting hay hạ tầng. Bạn cũng có thể kiểm tra xem mình có bật dịch vụ tường lửa website nào (hoặc CDN có kèm WAF) không — nếu không thấy nút nào bật, thì gần như chắc website đang thiếu lớp này. Với người mới, cứ nhớ một câu cho chắc: "chưa có WAF cho tới khi chính tay mình bật nó lên". Trên cloudmoon.net, gian hàng tường lửa website (WAF) sinh ra để lo cho bạn lớp bảo vệ này mà không cần phải trở thành chuyên gia bảo mật. Muốn tìm hiểu thêm, bạn ghé chuyên mục Tường lửa & Bảo mật web nhé.
Câu hỏi thường gặp (FAQ)
Đã lắp tường lửa (firewall) rồi thì bỏ WAF được không?
Không nên, trừ khi website của bạn trống rỗng, chẳng có ứng dụng hay dữ liệu gì. Tường lửa mạng không đọc được nội dung gói tin, nên các đòn như SQL Injection hay XSS vẫn lách qua nó một cách "hợp lệ". WAF mới là lớp chặn được những cú nhắm thẳng vào website.
WAF có thay được tường lửa thường không?
Không. Hai loại làm hai việc khác nhau: firewall canh đường mạng (IP, cổng), WAF xem nội dung từng yêu cầu của website. Chúng bổ sung cho nhau chứ không thay thế nhau. Website an toàn nhất là khi dùng cả hai.
Cái "Tường lửa" trong Windows là loại nào?
Đó là tường lửa mạng (network firewall) — nó chặn hoặc cho phép kết nối tùy theo cổng và ứng dụng ngay trên máy tính cá nhân của bạn. Khác hoàn toàn với WAF: WAF không nằm trên máy cá nhân, mà đứng ở đầu website để bảo vệ toàn bộ ứng dụng web.
VPS hay hosting của tôi đã có tường lửa chưa?
Thường thì nhà cung cấp đã cài sẵn một lớp tường lửa mạng cơ bản, do hệ điều hành và bên hạ tầng lo. Nhưng lớp tường lửa website (WAF) thì phần lớn bạn phải tự bật lên — hiếm khi được cài sẵn miễn phí vào website của bạn.
Dùng CDN như Cloudflare thì tự động có WAF luôn không?
Không hẳn. Các CDN lớn thường có kèm tính năng WAF, nhưng bạn phải vào bật và cấu hình thì nó mới hoạt động. Chỉ dùng CDN để website chạy nhanh hơn không có nghĩa là website đã có tường lửa ứng dụng.
Tóm lại: hai chữ "tường lửa" không nói về cùng một thứ. Tường lửa thường canh đường mạng — giống người bảo vệ soát vé và canh cổng. Tường lửa website (WAF) đọc và xét nội dung — giống máy soi an ninh kiểm tra hành lý. Loại này bù đắp điểm mù cho loại kia, nên với website thì cần dùng cả hai. Nếu website nhà bạn có ô nhập mật khẩu, thanh toán hay lưu dữ liệu khách, hãy trang bị một tường lửa website tại cloudmoon.net — và tiện thể đọc thêm bài bảo mật máy chủ cơ bản để bảo vệ nhiều lớp cho chắc.
Chưa có bình luận nào. Hãy là người đầu tiên!