Trả lời nhanh: Tường lửa có ba hồ sơ mạng và quy tắc áp riêng cho từng hồ sơ, đây là chỗ gây nhầm nhiều nhất. Mở cổng thì tạo quy tắc đến, và luôn giới hạn theo dải địa chỉ nội bộ thay vì mở cho toàn bộ internet.
Phần mềm nghiệp vụ báo không kết nối được là lúc phải đụng tới tường lửa. Bài này nói cách mở đúng và không mở quá tay.
- Ba hồ sơ mạng, quy tắc áp riêng cho từng hồ sơ.
- Mở cổng thì tạo quy tắc đến, chặn thì tạo quy tắc đi.
- Luôn giới hạn theo dải địa chỉ nội bộ, đừng mở toàn bộ.
- Đừng tắt hẳn tường lửa để thử, hãy tạo quy tắc tạm.
- Phần mềm diệt virus bên thứ ba có tường lửa riêng.
Ba hồ sơ mạng và vì sao hay nhầm
Windows Firewall có ba bộ quy tắc riêng biệt, áp theo loại mạng máy đang nối.
- Miền. Áp khi máy nối vào mạng có máy chủ miền của công ty.
- Riêng tư. Áp cho mạng nhà và mạng văn phòng bạn đánh dấu là tin cậy.
- Công cộng. Áp cho WiFi quán cà phê, sân bay, khách sạn. Chặt nhất.
Đây là nguồn nhầm lẫn lớn nhất. Bạn tạo quy tắc mở cổng nhưng chỉ tích hồ sơ riêng tư, trong khi máy đang ở hồ sơ công cộng. Quy tắc có đó mà không có tác dụng.
Cách kiểm nhanh: mở ứng dụng Bảo mật Windows, mục tường lửa và bảo vệ mạng. Hồ sơ đang hoạt động có chữ đang hoạt động bên cạnh.
Khi tạo quy tắc, nghĩ kỹ nên tích hồ sơ nào. Mở cho cả ba hồ sơ nghĩa là cổng đó mở cả khi bạn ngồi quán cà phê, và đó thường không phải điều bạn muốn.
Quy tắc đến và quy tắc đi
Hai chiều và chúng phục vụ mục đích khác nhau.
Quy tắc đến kiểm soát kết nối từ ngoài vào máy bạn. Đây là chiều bạn dùng khi cần cho phần mềm khác kết nối tới máy này, chẳng hạn máy chủ dữ liệu của phần mềm kế toán.
Mặc định Windows chặn hầu hết kết nối đến, nên đây là chiều bạn phải mở khi có nhu cầu.
Quy tắc đi kiểm soát kết nối từ máy bạn ra ngoài. Mặc định Windows cho phép gần hết, nên đây là chiều bạn dùng khi muốn chặn một phần mềm cụ thể không cho ra internet.
Ba cách dùng quy tắc đi trong thực tế:
- Chặn một phần mềm cũ không cho tự cập nhật.
- Chặn một ứng dụng gửi dữ liệu ra ngoài khi bạn không muốn.
- Giới hạn máy trong dây chuyền sản xuất chỉ nối tới máy chủ nội bộ.
Mở cổng cho phần mềm nghiệp vụ
Đây là tình huống thực tế nhất ở doanh nghiệp Việt Nam: phần mềm kế toán hoặc phần mềm quản lý bán hàng chạy theo mô hình máy chủ và máy trạm, và máy trạm không kết nối được.
Sáu bước tạo quy tắc:
- Mở tường lửa ở chế độ bảo mật nâng cao, tìm bằng cách gõ tên trong ô tìm kiếm.
- Chọn quy tắc đến, tạo quy tắc mới.
- Chọn loại quy tắc theo cổng, rồi khai số cổng mà phần mềm dùng.
- Chọn cho phép kết nối.
- Chọn hồ sơ mạng. Với máy trong văn phòng, chỉ tích miền và riêng tư.
- Đặt tên quy tắc rõ ràng, ghi rõ phần mềm nào và ai tạo.
Bước quan trọng nhất nằm sau khi tạo xong: mở thuộc tính quy tắc, sang thẻ phạm vi, và giới hạn địa chỉ từ xa theo dải địa chỉ nội bộ của văn phòng.
Không làm bước này thì cổng mở cho bất kỳ ai kết nối được tới máy, và với máy có địa chỉ công cộng thì đó là lỗ hổng thật.
Cần biết cổng nào: hỏi nhà cung cấp phần mềm. Đừng đoán và đừng mở một dải cổng rộng cho chắc.
Lỗi thường gặp
Bốn lỗi và nguyên nhân thật.
- Tạo quy tắc rồi mà vẫn không kết nối được. Kiểm hồ sơ mạng đang hoạt động có khớp với hồ sơ đã tích trong quy tắc không. Chiếm phần lớn số ca.
- Chạy được lúc đầu rồi ngừng. Máy đổi hồ sơ mạng, hoặc có bản cập nhật đặt lại quy tắc, hoặc phần mềm đổi cổng sau khi cập nhật.
- Tắt tường lửa thì chạy, bật thì không. Xác nhận đúng là tường lửa chặn, nhưng đừng để tắt. Tạo quy tắc đúng thay vì tắt.
- Tường lửa của Windows đã cho phép mà vẫn bị chặn. Phần mềm diệt virus bên thứ ba có tường lửa riêng và chặn độc lập. Cần mở ở cả hai nơi.
Về việc tắt tường lửa để thử: chấp nhận được trong vài phút để xác định nguyên nhân, nhưng phải bật lại ngay. Máy không có tường lửa trong mạng văn phòng là đường lây rất nhanh của mã độc.
Quản lý cho cả công ty
Bốn việc.
- Đặt quy tắc bằng chính sách nhóm thay vì sửa tay từng máy. Máy mới tự có quy tắc đúng, và không ai vô tình xóa mất.
- Ghi tài liệu mọi quy tắc đã mở: cổng nào, cho phần mềm nào, ai yêu cầu, ngày nào. Sau hai năm không ai nhớ vì sao cổng đó mở.
- Rà lại mỗi năm và gỡ quy tắc của phần mềm không còn dùng. Cổng mở cho phần mềm đã gỡ là rủi ro không cần thiết.
- Không cho người dùng thường quyền sửa tường lửa. Không cấp quyền quản trị là giải quyết được.
Một nguyên tắc đáng nhớ: mở cổng là mở một cánh cửa. Mỗi cánh cửa mở ra đều phải có lý do ghi lại được, phải giới hạn ai đi qua được, và phải đóng lại khi không còn cần.
Mở cổng bằng lệnh, nhanh và lặp lại được
# Mo cong cho phan mem ke toan, CHI trong mang noi bo New-NetFirewallRule -DisplayName "Ke toan SQL 1433" -Direction Inbound ` -Protocol TCP -LocalPort 1433 -Action Allow ` -Profile Domain,Private -RemoteAddress 192.168.1.0/24 # Mo theo chuong trinh thay vi theo cong, chat che hon New-NetFirewallRule -DisplayName "Phan mem ABC" -Direction Inbound ` -Program "C:\Program Files\ABC\abc.exe" -Action Allow -Profile Domain,Private # Xem, sua, xoa Get-NetFirewallRule -DisplayName "*Ke toan*" | Format-Table DisplayName,Enabled,Direction,Action,Profile Get-NetFirewallRule -DisplayName "Ke toan SQL 1433" | Get-NetFirewallAddressFilter Remove-NetFirewallRule -DisplayName "Ke toan SQL 1433"
Tham số -RemoteAddress là thứ quan trọng nhất và hay bị bỏ. Không có nó, cổng mở cho mọi nguồn chạm tới được máy, kể cả mạng khách của văn phòng.
Cổng của các phần mềm hay dùng ở Việt Nam
| Dịch vụ | Cổng | Ghi chú |
|---|---|---|
| SQL Server | TCP 1433, và UDP 1434 cho dịch vụ dò tìm | Phần mềm kế toán và ERP dùng nhiều nhất |
| MySQL, MariaDB | TCP 3306 | Chỉ mở trong mạng nội bộ |
| Chia sẻ tệp và máy in trong mạng | TCP 445, 139 và UDP 137, 138 | Tuyệt đối không mở ra internet |
| Remote Desktop | TCP 3389 | Không mở ra internet. Dùng mạng riêng ảo để vào từ xa |
| Máy chủ web nội bộ | TCP 80, 443, đôi khi 8080 | Phần mềm quản lý chạy trên nền web |
| Phần mềm chấm công và camera | Tùy hãng, thường 4370, 8000, 34567 | Đọc tài liệu của hãng, đừng mở cả dải |
Nguyên tắc: cổng 445 và 3389 mở ra internet là hai nguyên nhân hàng đầu của các vụ mã độc tống tiền vào doanh nghiệp. Kiểm bằng cách quét từ mạng ngoài, hoặc dùng dịch vụ kiểm cổng trực tuyến với địa chỉ IP công cộng của văn phòng.
Bật nhật ký để biết cái gì đang bị chặn
Set-NetFirewallProfile -Profile Domain,Private,Public -LogBlocked True -LogMaxSizeKilobytes 8192 # File nhat ky mac dinh: notepad "$env:SystemRoot\System32\LogFiles\Firewall\pfirewall.log"
Đây là cách đúng để gỡ lỗi kết nối: bật nhật ký, thử lại thao tác bị lỗi, rồi mở tệp nhật ký tìm dòng có chữ DROP và số cổng liên quan. Nhanh hơn nhiều so với việc tắt tường lửa để thử rồi quên bật lại.
Muốn khôi phục về mặc định khi đã tạo quá nhiều quy tắc rối: netsh advfirewall reset. Lệnh này xóa mọi quy tắc tự tạo, nên xuất ra tệp trước bằng netsh advfirewall export "C:\fw-backup.wfw".
Đẩy quy tắc bằng chính sách nhóm
- Đẩy quy tắc bằng chính sách nhóm tại Computer Configuration, Windows Settings, Security Settings, Windows Defender Firewall with Advanced Security. Quy tắc từ chính sách nhóm nhân viên không xóa được, khác với quy tắc tạo tay trên máy.
- Đừng tắt tường lửa cho cả dàn máy để cho nhanh. Tường lửa chặn lây lan ngang giữa các máy, và đó là thứ quyết định một máy nhiễm hay cả công ty nhiễm.
- Kiểm phần mềm diệt virus của bên thứ ba. Nhiều bộ có tường lửa riêng và nó chiếm quyền, khi đó quy tắc bạn đặt trong tường lửa Windows không có tác dụng. Kiểm trong ứng dụng Bảo mật Windows, mục tường lửa, xem có dòng nào báo đang do phần mềm khác quản lý.
Câu hỏi thường gặp
Có nên tắt Windows Firewall khi đã có phần mềm diệt virus không
Phần mềm diệt virus có tường lửa riêng thì thường tự tắt tường lửa của Windows để tránh xung đột, và đó là bình thường. Nhưng đừng tắt cả hai.
Mở cổng có nguy hiểm không
Nguy hiểm nếu mở cho toàn bộ internet. An toàn nếu giới hạn theo dải địa chỉ nội bộ trong thẻ phạm vi của quy tắc. Đây là bước quan trọng nhất và cũng hay bị bỏ qua nhất.
Vì sao quy tắc tạo rồi mà không có tác dụng
Gần như luôn do hồ sơ mạng không khớp. Máy đang ở hồ sơ công cộng mà quy tắc chỉ tích hồ sơ riêng tư thì quy tắc không được áp.
Bản Windows 11 Home có tường lửa đầy đủ không
Có, tường lửa và giao diện nâng cao đều có trên bản Home. Chỉ việc áp quy tắc hàng loạt bằng chính sách nhóm mới cần bản Pro trở lên.
