Trả lời nhanh: Tường lửa hoạt động ở ba tầng: mức cụm áp cho tất cả, mức máy chủ áp cho một máy, và mức từng máy ảo. Quy tắc ở các tầng cộng dồn chứ không ghi đè. Trước khi bật, luôn thêm quy tắc cho phép quản trị từ địa chỉ của bạn, nếu không bạn sẽ tự khóa mình ra ngoài.
Đây là tính năng có sẵn mà nhiều người bỏ qua rồi tự dựng tường lửa bên trong từng máy ảo, dẫn tới việc quản lý rời rạc. Bài này giải thích ba tầng, cách chúng phối hợp, và cái bẫy khiến nhiều người mất quyền truy cập máy chủ của chính mình.
Ba tầng và cách chúng phối hợp
Mức cụm. Quy tắc áp cho mọi máy chủ trong cụm. Đây là nơi đặt các quy tắc chung, chẳng hạn cho phép quản trị từ dải địa chỉ văn phòng.
Mức máy chủ. Quy tắc riêng cho một máy chủ, bảo vệ chính lớp ảo hóa. Dùng khi một máy có vai trò khác các máy còn lại.
Mức máy ảo hoặc container. Quy tắc cho lưu lượng ra vào một máy ảo cụ thể. Đây là tầng dùng nhiều nhất trong thực tế.
Điểm cốt lõi cần hiểu: các tầng cộng dồn chứ không ghi đè. Một gói tin đi tới máy ảo phải qua được cả tầng cụm, tầng máy chủ lẫn tầng máy ảo. Chặn ở bất cứ tầng nào là gói tin dừng lại.
Điểm thứ hai: tường lửa phải được bật ở cả mức cụm lẫn mức đối tượng. Bật ở một nơi mà quên nơi kia là quy tắc không có tác dụng, và đây là lý do phổ biến nhất khiến người ta tưởng tường lửa không hoạt động.
Cái bẫy tự khóa mình ra ngoài
Đây là tai nạn xảy ra thường xuyên nhất, và nó xảy ra ngay lần đầu bật tường lửa.
Khi bật, chính sách mặc định cho lưu lượng vào thường là chặn. Nếu bạn chưa có quy tắc cho phép truy cập giao diện quản trị, phiên làm việc của bạn đứt ngay lập tức và bạn không vào lại được.
Quy trình an toàn theo đúng thứ tự:
- Tạo quy tắc cho phép trước, mở cổng giao diện quản trị và cổng truy cập dòng lệnh từ dải địa chỉ của bạn.
- Kiểm tra lại quy tắc đã đúng chiều, đúng cổng, đúng dải địa chỉ.
- Bật tường lửa ở mức cụm.
- Mở một cửa sổ mới để kiểm tra trong khi vẫn giữ cửa sổ cũ đang mở. Nếu cửa sổ mới vào được thì an toàn.
- Rồi mới bật ở các mức thấp hơn.
Nếu lỡ tự khóa, cách cứu là vào máy chủ qua công cụ quản trị từ xa của phần cứng và tắt tường lửa bằng dòng lệnh. Đây chính là một lý do nữa để cấu hình sẵn công cụ đó trước khi cần tới.
Nhóm bảo mật và bí danh
Hai công cụ giúp bộ quy tắc gọn và dễ bảo trì.
Nhóm bảo mật là một bộ quy tắc đặt tên sẵn, áp được cho nhiều máy ảo. Ví dụ tạo một nhóm cho máy chủ web gồm các quy tắc mở cổng web, rồi gán nhóm đó cho mọi máy ảo chạy web. Sửa nhóm một lần là mọi máy ảo cập nhật theo.
Bí danh là tên đặt cho một địa chỉ hoặc một dải địa chỉ. Ví dụ đặt tên cho dải mạng văn phòng, rồi dùng tên đó trong các quy tắc. Khi dải mạng đổi, bạn sửa một chỗ.
Hai công cụ này biến một bộ quy tắc rối rắm thành thứ mà người tiếp quản sau bạn đọc hiểu được. Với hệ thống trên năm máy ảo, chúng gần như là bắt buộc.
Bộ quy tắc khởi đầu
Một cấu hình hợp lý cho doanh nghiệp vừa, đi từ tầng cao xuống thấp.
Mức cụm:
- Cho phép giao diện quản trị và dòng lệnh từ dải mạng quản trị.
- Cho phép lưu lượng giữa các máy chủ trong cụm, cần cho cơ chế bỏ phiếu và cho lưu trữ.
- Chặn mọi thứ còn lại đi vào.
Mức máy ảo, theo vai trò:
- Máy chủ web: mở cổng web từ mọi nơi, cổng quản trị chỉ từ mạng nội bộ.
- Cơ sở dữ liệu: chỉ mở cổng cơ sở dữ liệu cho đúng các máy ảo ứng dụng cần, không mở ra ngoài.
- Máy chủ nội bộ: chỉ mở cho mạng nội bộ.
Nguyên tắc chung: mặc định chặn, chỉ mở đúng thứ cần, và ưu tiên giới hạn theo nguồn thay vì mở cho mọi nơi.
Quan hệ với tường lửa bên trong máy ảo
Câu hỏi thường gặp: đã có tường lửa ở lớp ảo hóa thì còn cần tường lửa trong máy ảo không.
Câu trả lời là nên có cả hai, vì chúng bảo vệ ở hai mức khác nhau.
Tường lửa ở lớp ảo hóa chặn gói tin trước khi nó tới máy ảo, quản lý tập trung được, và vẫn hiệu lực kể cả khi máy ảo bị chiếm quyền. Đây là lớp phòng thủ ngoài.
Tường lửa trong máy ảo hiểu ngữ cảnh ứng dụng tốt hơn và vẫn theo máy ảo khi bạn chuyển nó sang hạ tầng khác. Đây là lớp phòng thủ trong.
Trong thực tế, nhiều nơi dùng lớp ảo hóa cho các quy tắc thô theo vai trò, và tường lửa trong máy ảo cho các quy tắc chi tiết. Điều quan trọng là ghi lại cả hai vào tài liệu, vì một quy tắc bị quên ở một trong hai nơi sẽ tốn nhiều giờ chẩn đoán.
Bộ quy tắc khởi đầu, theo thứ tự áp dụng
| Thứ tự | Quy tắc | Ghi chú |
|---|---|---|
| 1 | Cho phép địa chỉ quản trị của bạn vào cổng quản trị | Đặt trước tiên, nếu không bạn tự khóa mình ra ngoài |
| 2 | Cho phép lưu lượng nội bộ giữa các máy trong cụm | Thiếu quy tắc này là cụm mất liên lạc và ngừng nhận thay đổi |
| 3 | Cho phép các cổng dịch vụ mà máy ảo thực sự cần | Liệt kê rõ từng cổng, không mở cả dải |
| 4 | Chặn tất cả phần còn lại | Đặt cuối cùng, sau khi ba nhóm trên đã đúng |
Ba cách phòng khi bật tường lửa từ xa
# Day la su co pho bien nhat khi bat tuong lua tren may chu tu xa.# Ban bat chan tat ca, mat ket noi, va khong con duong nao vao. # Ba cach phong, nen lam ca ba: # 1. THU o che do chi ghi nhat ky truoc khi that su chan# Xem nhat ky vai ngay de biet minh sap chan nham cai gi # 2. Dat mot lenh tu tat tuong lua sau 10 phut, TRUOC khi bat# Neu ban van vao duoc thi huy lenh do diecho "systemctl stop pve-firewall" | at now + 10 minutesatq # xem lenh dang choatrm SO # huy khi da chac chan an toan # 3. Bao dam ban co duong vao khac khong phu thuoc mang thong thuong,# vi du cong quan tri phan cung tu xa # Sau khi bat, kiem tra tu MOT MAY KHAC, khong kiem tu phien dang mo.# Phien dang mo van chay tiep du quy tac moi da chan ket noi moi.Hai tầng tường lửa phải qua được cả hai
- Hai tầng độc lập nhau. Gói tin phải qua được cả hai. Khi một dịch vụ không kết nối được, hãy kiểm cả hai tầng chứ đừng chỉ nhìn một.
- Không nên bỏ hẳn tầng bên trong máy ảo. Nếu ai đó chiếm được quyền ở tầng ảo hóa hoặc một máy ảo khác trong cùng mạng, tầng bên trong là lớp bảo vệ còn lại.
- Ghi lại quy tắc đang đặt ở đâu. Sáu tháng sau, khi một dịch vụ không chạy, tài liệu này tiết kiệm cho bạn cả buổi dò tìm.
Câu hỏi thường gặp
Bật tường lửa có làm chậm máy ảo không
Tác động rất nhỏ với bộ quy tắc thông thường, vì việc lọc diễn ra ở nhân của máy chủ vốn được tối ưu cho việc này. Chỉ khi có hàng nghìn quy tắc phức tạp thì mới đáng đo, và lúc đó nên tổ chức lại bằng nhóm bảo mật.
Quy tắc không có tác dụng thì kiểm gì trước
Kiểm ba thứ theo thứ tự: tường lửa đã bật ở mức cụm chưa, đã bật ở mức đối tượng chưa, và quy tắc có đúng chiều lưu lượng không. Ba điều này giải thích phần lớn trường hợp.
Có ghi nhật ký lưu lượng bị chặn không
Có, bật được ở từng quy tắc hoặc ở mức chính sách chung. Rất hữu ích khi chẩn đoán, nhưng đừng để bật mãi ở mức chi tiết vì nhật ký phình rất nhanh và có thể làm đầy đĩa hệ thống.
Container có dùng tường lửa này không
Có, cơ chế giống máy ảo. Chỉ cần lưu ý container dùng chung nhân với máy chủ, nên với các cấu hình mạng đặc biệt thì hành vi có thể khác đôi chút so với máy ảo. Hãy kiểm tra thực tế sau khi đặt quy tắc.