Tìm hiểu về tường lửa

Tường lửa (Firewall) là lớp phòng thủ kỹ thuật số đầu tiên và quan trọng nhất để bảo vệ máy chủ (Server/VPS) cũng như website WordPress của bạn khỏi các luồng truy cập độc hại. Hiểu rõ bản chất hoạt động của từng loại tường lửa giúp bạn tối ưu hóa bảo mật mà không làm suy giảm hiệu suất (tốc độ tải trang) của hệ thống.

Bài viết này phân tích sâu vào kiến trúc tường lửa ở các cấp độ khác nhau, sự ảnh hưởng của chúng đến tài nguyên máy chủ, và cập nhật những công nghệ phòng thủ hiện đại nhất áp dụng cho hệ thống máy chủ năm 2026.

Bản chất hoạt động của Tường lửa

Tường lửa hoạt động như một trạm kiểm soát an ninh, quyết định ai (hoặc gói dữ liệu nào) được phép đi qua dựa trên một bộ quy tắc (Rules) được thiết lập sẵn.

Nếu ví website của bạn như một trường học, mật khẩu chính là chìa khóa mở cổng, còn tường lửa chính là bác bảo vệ. Bác bảo vệ sẽ kiểm tra thẻ học sinh, đồng phục, đối chiếu với danh sách nội quy (chỉ cho phép học sinh từ 6-10 tuổi và giáo viên) rồi mới quyết định ai được tiến đến gần cánh cổng để dùng chìa khóa. Nếu không qua được bác bảo vệ, kẻ xấu thậm chí không có cơ hội thử cạy khóa.

Các rủi ro bảo mật chính mà tường lửa giải quyết:

• Hack (Xâm nhập dữ liệu): Khai thác lỗ hổng để tiêm mã độc (injection), chèn backdoor, đánh cắp dữ liệu, tạo tài khoản admin ảo, hoặc lợi dụng tài nguyên máy chủ để đào tiền ảo.
• DDoS (Tấn công từ chối dịch vụ phân tán): Bơm hàng triệu kết nối rác làm tràn ngập băng thông và vắt kiệt RAM/CPU, khiến máy chủ quá tải và sập nguồn (Downtime).

Tường lửa Mạng (Network Firewall) – Phân loại và Cấp độ

Tường lửa mạng hoạt động ở các tầng thấp của mô hình OSI (Layer 3 và Layer 4) để kiểm soát các cổng (Port) và địa chỉ IP.

1. Tường lửa không trạng thái (Stateless Firewall)

• Đây là thế hệ tường lửa sơ khai, chỉ lọc gói tin ở Layer 3 (Lớp mạng) dựa trên địa chỉ IP nguồn/đích và Port (Ví dụ: Port 80 cho HTTP, 443 cho HTTPS, 22 cho SSH).
• Nhược điểm: Xử lý rất máy móc. Nó không thể theo dõi toàn bộ quá trình kết nối và dễ dàng bị qua mặt bởi các kỹ thuật giả mạo IP (IP Spoofing). Nó không nhận biết được một kết nối đang mở hay đã đóng.

2. Tường lửa có trạng thái (Stateful Firewall)

• Hoạt động ở Layer 4 (Lớp giao vận), tường lửa có trạng thái đủ thông minh để ghi nhớ vòng đời của một kết nối (Mở, thiết lập, đóng).
• Nó có thể nhận diện các hành vi lạm dụng. Ví dụ: Dù Port 443 mở cho tất cả mọi người, nhưng nếu một IP gửi 500 yêu cầu kết nối trong 1 giây, tường lửa Stateful sẽ lập tức khóa (Ban) IP đó để chống DDoS Layer 4 (như SYN Flood).
• Nhược điểm: Tiêu tốn nhiều tài nguyên CPU/RAM hơn Stateless vì phải lưu trữ bảng trạng thái kết nối trong bộ nhớ.

Tường lửa Ứng dụng Web (WAF – Web Application Firewall)

Nếu bạn chạy webserver, bạn buộc phải mở Port 80 và 443. Tường lửa mạng (Layer 3, 4) sẽ cho phép mọi traffic đi qua hai cổng này, bao gồm cả traffic tốt (người dùng thật) và traffic xấu (Hacker gửi mã độc SQL Injection). Lúc này, bạn cần WAF.

WAF hoạt động ở Layer 7 (Lớp ứng dụng). Thay vì chỉ nhìn IP và Port, WAF có thể “đọc hiểu” nội dung chi tiết của gói tin HTTP/HTTPS. Nó lọc dựa trên:

• User-Agent (Trình duyệt, công cụ truy cập).
• Các tham số chuỗi truy vấn (Query strings) chứa mã độc.
• Phương thức HTTP (GET, POST).
• Quốc gia truy cập (GeoIP).

Bảo mật luôn đi kèm với sự trả giá về hiệu suất. Vì WAF phải phân tích khối lượng dữ liệu khổng lồ ở Layer 7, nó tiêu tốn tài nguyên máy chủ khủng khiếp. Đưa một WAF yếu kém vào máy chủ có thể làm thời gian phản hồi (TTFB) tăng vọt.

Cloud WAF so với Server WAF

• Cloud WAF (Như Cloudflare, QUIC.cloud, Sucuri): Lưu lượng truy cập được đẩy qua hệ thống máy chủ toàn cầu của các hãng bảo mật trước khi đến Server của bạn. Ưu điểm là chống được các đợt DDoS Layer 7 cực lớn và không ngốn CPU máy chủ cục bộ. Nhược điểm là đôi khi gây chậm kết nối nếu điểm POP của CDN ở quá xa người dùng, và chi phí duy trì khá cao cho các bản Pro/Enterprise.
• Server WAF (Tích hợp tại VPS): Xử lý trực tiếp trên máy chủ của bạn. Độ trễ mạng (Latency) thấp nhất vì không qua trung gian. Nhưng nếu gặp đợt DDoS vượt quá băng thông máy chủ, Server sẽ sập trước khi WAF kịp xử lý.

Công nghệ Tường lửa năm 2026: Bước ngoặt Nftables trên WPTangToc OLS

Nhiều năm qua, iptables là tiêu chuẩn mặc định của Linux. Tuy nhiên, kiến trúc cũ kỹ của iptables xử lý quy tắc theo dạng tuần tự (linear), làm giảm hiệu suất mạng rõ rệt khi danh sách IP bị chặn lên tới hàng chục ngàn.

Bước sang năm 2026, nftables đã chính thức trở thành tiêu chuẩn cốt lõi mới trên các hệ điều hành hiện đại (AlmaLinux 9/10). Script quản trị WPTangToc OLS đã loại bỏ hoàn toàn firewalld/iptables và chuyển mặc định sang sử dụng nftables với cấu trúc tối ưu vượt trội.

Lợi ích khi WPTangToc OLS sử dụng Nftables:

• Hiệu suất cực cao (Performance): nftables sử dụng cấu trúc dữ liệu Set và Map. Dù bạn có block 100 IP hay 100.000 IP, thời gian máy chủ phân tích gói tin gần như không thay đổi O(1). Điều này giúp tiết kiệm CPU máy chủ cực kỳ hiệu quả khi phải hứng chịu các đợt càn quét IP.
• Cú pháp tinh gọn: Thay vì chia nhỏ ra iptables, ip6tables, arptables, nftables quản lý IPv4 và IPv6 chung trong một framework duy nhất.
• Drop gói tin tại nhân Linux (Kernel): Kết hợp với công nghệ netdev, các gói tin độc hại bị vứt bỏ ngay tại tầng Card mạng (NIC) trước khi kịp đi sâu vào hệ điều hành, giúp máy chủ sống sót hoàn hảo dưới áp lực DDoS nhẹ và vừa.

Các giải pháp Tường lửa phổ biến hiện nay

1. Giám sát trạng thái (Log Analyzer & Ban)

• Fail2Ban: Quét file log (nhật ký) của webserver (Apache/Nginx/LiteSpeed), nếu phát hiện 1 IP đăng nhập sai mật khẩu quá 5 lần login wp-admin sai password, nó sẽ ra lệnh cho nftables khóa IP đó lại. Rất hiệu quả và nhẹ nhàng.
• SSHGuard: Quét file log (nhật ký) của SSH/SFTP, nếu phát hiện 1 IP đăng nhập sai mật khẩu quá 3 lần, nó sẽ ra lệnh cho nftables khóa IP đó lại. Rất hiệu quả và nhẹ nhàng hơn nhiều so với fail2ban, nhưng nó không regex tùy biến mạnh như fail2ban. SSHguard được viết bằng C rất nhẹ tiết kiệm ram nhưng khả năng tùy biến regex không thể nào bằng được fail2ban viết bằng python
• CrowdSec (Khuyên dùng 2026): Thế hệ tiếp theo của Fail2Ban. CrowdSec hoạt động có mạng lưới chia sẻ IP độc hại toàn cầu. Nếu một Hacker tấn công server tại Mỹ và bị CrowdSec bắt, IP đó lập tức bị block trên server của bạn tại Việt Nam trước cả khi nó kịp tiếp cận.

2. WAF cấp độ Máy chủ (Server WAF)

• ModSecurity / Coraza: WAF mã nguồn mở quy chuẩn nhất, thường đi kèm bộ rules OWASP. Phân tích rất sâu nhưng nhược điểm lớn nhất là ngốn CPU và hay chặn nhầm (False Positives) các hành vi hợp lệ của Admin WordPress.
• Tường lửa 7G/8G Firewall: Do Jeff Starr phát triển. Đây là một file cấu hình .htaccess (dùng cho Apache/LiteSpeed) chứa các biểu thức chính quy (Regex) tinh giản, chặn đứng các chuỗi độc hại nổi tiếng. Ưu điểm: Tốc độ xử lý cực nhanh, không ngốn nhiều tài nguyên như ModSecurity , tương thích hoàn hảo với WordPress.

3. WAF cấp độ PHP (Plugin WordPress)

Các plugin như Wordfence, Solid Security (trước đây là iThemes), BBQ Firewall, Patchstack. Chúng kiểm tra mã độc ở cấp độ thực thi PHP.

Nhược điểm: Chạy rất chậm. Khi yêu cầu đến được PHP tức là nó đã vượt qua toàn bộ Webserver. Plugin phải load môi trường WordPress, kết nối Database rồi mới cản được mã độc. Việc này làm chậm tốc độ tải trang cực kỳ rõ rệt.

Tường lửa ảnh hưởng đến Hiệu suất (Tốc độ) như thế nào?

• Tường lửa mạng (Layer 3/4 như Nftables) gần như KHÔNG ảnh hưởng đến hiệu suất máy chủ. Việc đóng các Port không sử dụng còn giúp tiết kiệm tài nguyên.
• Tường lửa WAF (Layer 7) sẽ LÀM CHẬM website của bạn. Mọi Request đều phải đi qua bộ lọc Regex phức tạp.
• Trong trạng thái bình thường (không bị tấn công), Server KHÔNG CÓ WAF sẽ load nhanh hơn Server CÓ WAF. Nhưng khi đợt tấn công xảy ra, Server có WAF sẽ đứng vững, còn Server không WAF sẽ sập nguồn ngay lập tức.

Tổng kết: Kiến trúc triển khai tối ưu cho năm 2026

Dựa trên kinh nghiệm quản trị hệ thống, bạn không cần phải cài đặt tất cả. Để cân bằng hoàn hảo giữa Hiệu suất và Bảo mật, combo sau đây là lý tưởng nhất:

• Lớp mạng: Sử dụng nftables (Tích hợp sẵn khi cài WPTangToc OLS) để đóng toàn bộ Port thừa, chỉ mở 80 (HTTP), 443 (HTTPS) và một Port SSH đã đổi (VD: 2222).
• Lớp hệ thống: Cài đặt CrowdSec hoặc Fail2Ban để block các IP cố tình dò mật khẩu (Brute Force).
• Lớp Ứng dụng nhẹ (Light WAF): Sử dụng 8G Firewall nhúng thẳng vào cấu hình Webserver (LiteSpeed) để lọc các chuỗi SQL Injection/XSS tốc độ cao mà không làm chậm PHP.
• Lớp Đám mây (Khi có biến): Bình thường hãy tắt WAF Cloudflare để tốc độ trong nước nhanh nhất. Chỉ khi bị DDoS hoặc botnet tấn công quy mô lớn, hãy bật chế độ “Under Attack Mode” trên Cloudflare CDN để hứng đạn thay cho máy chủ.