Tường lửa FortiGate cho UBND xã, phường: chọn thế nào cho đúng sức?
Nhiều trụ sở xã, phường hiện nay vẫn dùng đúng chiếc modem nhà mạng lắp kèm đường Internet để làm ranh giới duy nhất giữa mạng nội bộ và thế giới bên ngoài. Chiếc modem đó làm tốt việc chia mạng, nhưng nó không đọc được nội dung gói tin, không biết máy nào đang nói chuyện với máy chủ điều khiển mã độc, và không ghi lại được gì để tra cứu khi có sự cố. Trong khi đó, một trụ sở cấp xã ngày nay chứa dữ liệu công dân, hệ thống một cửa, camera an ninh và kết nối tới hệ thống dùng chung của thành phố.
Bài viết này đi vào phần kỹ thuật: đọc thông số FortiGate cho đúng, chọn model vừa sức, và mười bước cấu hình đầu tiên kèm lệnh thật.
1. Tường lửa thế hệ mới khác gì modem nhà mạng
Modem/router thông thường lọc theo địa chỉ và cổng: nó biết máy A gọi ra cổng 443, nhưng không biết đằng sau cổng 443 đó là trang dịch vụ công hay là máy chủ điều khiển mã độc. Tường lửa thế hệ mới (NGFW) mở gói tin ra xem, đối chiếu với cơ sở dữ liệu mối đe doạ cập nhật liên tục, và ghi nhật ký từng phiên. Ba khả năng sau là thứ modem không có và cũng không thể có:
- Chặn xâm nhập (IPS) — nhận ra dấu hiệu khai thác lỗ hổng ngay trong luồng dữ liệu, chặn trước khi gói tin chạm tới máy chủ chưa kịp vá.
- Kiểm soát ứng dụng và lọc web — chặn theo ứng dụng chứ không theo cổng; phần mềm chia sẻ ngang hàng hay công cụ điều khiển từ xa lạ đều bị chặn dù chúng nguỵ trang trên cổng 443.
- Nhật ký phiên đầy đủ — khi có sự cố, đây là thứ duy nhất trả lời được câu hỏi "máy nào, lúc mấy giờ, nói chuyện với địa chỉ nào".
2. Đọc thông số cho đúng: con số nào mới là con số thật
Đây là chỗ chọn sai thiết bị nhiều nhất. Datasheet của mọi hãng đều in trước con số lớn nhất — thông lượng tường lửa thuần (firewall throughput) — đo trong điều kiện tắt hết tính năng bảo vệ, gói tin cỡ lớn. Bật lần lượt các lớp bảo vệ lên thì thông lượng tụt rất nhanh:
| Chỉ số trên datasheet | Nghĩa thực tế | Tỷ lệ so với thông lượng tường lửa |
|---|---|---|
| Firewall throughput | Chỉ lọc theo địa chỉ/cổng, không kiểm tra nội dung. Con số quảng cáo. | 100% |
| IPS throughput | Có dò dấu hiệu tấn công. | Thường còn khoảng 1/5 – 1/7 |
| NGFW throughput | IPS + kiểm soát ứng dụng. | Thường còn khoảng 1/8 – 1/10 |
| Threat Protection throughput | Bật đủ: IPS, diệt virus, kiểm soát ứng dụng, lọc web. Đây mới là con số nên dùng để chọn máy. | Thường còn khoảng 1/10 – 1/15 |
| SSL Inspection throughput | Mở cả lưu lượng mã hoá ra kiểm tra — nặng nhất, và ngày nay hơn 90% lưu lượng là mã hoá. | Có thể còn dưới 1/15 |
Bài học rút ra rất gọn: lấy Threat Protection throughput chia cho nhu cầu băng thông thật, rồi nhân hệ số dự phòng 2 lần. Một xã dùng đường truyền 200 Mbps, muốn bật đủ lớp bảo vệ và có chỗ lớn thêm, thì cần thiết bị có Threat Protection từ 400–500 Mbps trở lên — chứ không phải nhìn con số "10 Gbps" ở dòng đầu datasheet rồi yên tâm.
Thông số cụ thể từng model thay đổi theo thế hệ phần cứng và phiên bản FortiOS. Khi lập hồ sơ mời thầu, hãy yêu cầu nhà cung cấp nộp datasheet bản mới nhất đúng model chào thầu và ghi rõ chỉ tiêu Threat Protection throughput vào yêu cầu kỹ thuật, thay vì chỉ ghi "firewall throughput".
3. Chọn model vừa sức cho quy mô cấp xã
Quy mô một trụ sở xã/phường sau sáp nhập thường rơi vào các mức sau. Bảng dưới là cách quy đổi từ hiện trạng ra yêu cầu kỹ thuật, dùng để viết hồ sơ:
| Hiện trạng trụ sở | Yêu cầu tối thiểu nên ghi vào hồ sơ |
|---|---|
| Dưới 20 máy trạm, chưa có camera tập trung, 1 đường Internet | Threat Protection ≥ 250 Mbps; ≥ 5 cổng GE; hỗ trợ VLAN, IPSec/SSL VPN; có khe cắm thêm đường dự phòng (USB 4G) |
| 20–50 máy trạm, có hệ thống camera, 2 đường Internet | Threat Protection ≥ 500 Mbps; ≥ 8 cổng GE, có cổng SFP; SD-WAN cân bằng và chuyển đường tự động; hỗ trợ ≥ 16 VLAN |
| Trên 50 máy trạm, có máy chủ nội bộ, camera AI, phục vụ nhiều điểm cầu | Threat Protection ≥ 1 Gbps; có cổng 10GE; hỗ trợ cụm dự phòng (HA) hai thiết bị; ghi nhật ký ra thiết bị/lưu trữ riêng |
Ba điều nên ghi thành tiêu chí bắt buộc, vì thiếu chúng thì thiết bị mua rồi vẫn không dùng đúng được: hỗ trợ VLAN đủ số vùng cần tách; có ít nhất hai đường WAN để trụ sở không mất kết nối khi đứt cáp; và có phương án lưu nhật ký tối thiểu ba tháng.
4. Mười bước cấu hình đầu tiên
Thứ tự dưới đây có chủ đích: siết đường vào quản trị trước, rồi mới mở luồng dữ liệu. Làm ngược lại thì trong lúc cấu hình thiết bị đã phơi ra Internet.
Bước 1 — Tài khoản quản trị
Đổi mật khẩu mặc định, tạo tài khoản riêng cho từng người (không dùng chung một tài khoản admin), bật xác thực hai lớp cho tài khoản có quyền sửa cấu hình. Khi có sự cố, nhật ký phải chỉ ra được ai đã sửa gì.
Bước 2 — Đóng cửa quản trị nhìn ra Internet
Đây là lỗi phổ biến nhất và cũng nguy hiểm nhất. Giao diện quản trị không bao giờ được mở ra Internet; muốn quản trị từ xa thì vào bằng VPN.
config system interface
edit "wan1"
set allowaccess ping # chỉ để lại ping, bỏ https/ssh/http
next
endBước 3 — Đặt tên và vai trò cho từng cổng, tạo VLAN
Đặt tên theo chức năng (dieu-hanh, may-chu, camera, wifi-khach) thay vì để port1, port2 — sáu tháng sau người khác tiếp quản vẫn hiểu ngay. Chi tiết cách chia vùng xem bài phân vùng mạng bằng VLAN cho UBND xã.
Bước 4 — Chính sách "cấm hết trước, mở sau"
Mặc định từ chối mọi luồng, rồi mở từng luồng đúng nhu cầu, mỗi luồng đều bật ghi nhật ký. Chính sách cuối cùng luôn là một luật chặn-tất-cả có ghi log để nhìn thấy cái gì đang bị chặn.
config firewall policy
edit 0
set name "dieu-hanh-ra-internet"
set srcintf "dieu-hanh"
set dstintf "wan1"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "HTTP" "HTTPS" "DNS"
set utm-status enable
set ssl-ssh-profile "certificate-inspection"
set av-profile "default"
set ips-sensor "default"
set application-list "default"
set webfilter-profile "default"
set logtraffic all
set nat enable
next
endBước 5 — Bật các lớp bảo vệ
Diệt virus, IPS, lọc web, kiểm soát ứng dụng. Lưu ý: các lớp này chạy được là nhờ gói dịch vụ FortiGuard còn hạn. Hết hạn thì thiết bị vẫn chạy như một router, nhưng phần bảo vệ ngừng cập nhật — nguy hiểm ở chỗ mọi thứ trông vẫn bình thường. Hãy đưa chi phí gia hạn vào dự toán vận hành hằng năm ngay từ đầu.
Bước 6 — Kiểm tra lưu lượng mã hoá, có cân nhắc
Hơn 90% lưu lượng ngày nay là HTTPS. Có hai mức: certificate inspection (chỉ đọc phần tên miền, nhẹ, không đụng nội dung) và deep inspection (mở nội dung ra kiểm tra, phải cài chứng thư của tường lửa lên từng máy trạm). Với cơ quan nhà nước, nên bắt đầu bằng certificate inspection cho toàn mạng, chỉ bật deep inspection cho vùng máy chủ và có quy chế nội bộ nêu rõ — vì mở nội dung phiên mã hoá là vấn đề riêng tư, cần được quy định thành văn bản, và phải loại trừ các nhóm dịch vụ nhạy cảm như ngân hàng, y tế.
Bước 7 — Lọc DNS
Lớp phòng vệ rẻ mà hiệu quả cao: rất nhiều mã độc phải hỏi tên miền của máy chủ điều khiển trước khi làm gì. Chặn ở tầng DNS là cắt luôn bước đó.
Bước 8 — Nhật ký gửi ra ngoài thiết bị
Bộ nhớ trong của tường lửa chỉ giữ được vài ngày. Gửi nhật ký sang máy chủ syslog nội bộ hoặc thiết bị phân tích riêng, giữ tối thiểu ba tháng — đây vừa là yêu cầu của hồ sơ an toàn thông tin theo cấp độ, vừa là thứ cần đến khi phải truy vết.
Lưu ý về bản quyền phần mềm: yêu cầu hiện hành với cơ quan nhà nước là 100% máy tính phục vụ công tác phải có phần mềm diệt virus có bản quyền, đồng thời gỡ bỏ phần mềm không bản quyền, không rõ nguồn gốc. Cùng tinh thần đó, gói dịch vụ bảo vệ của tường lửa cũng phải còn hạn thì lớp bảo vệ mới thực sự hoạt động — cả hai khoản này nên nằm trong dự toán chi thường xuyên hằng năm.
config log syslogd setting
set status enable
set server "192.168.10.20"
set port 514
set facility local7
endBước 9 — Đồng bộ thời gian
Nghe nhỏ nhặt nhưng rất quan trọng: nhật ký lệch giờ thì không đối chiếu được với camera, với máy chủ, và mất giá trị chứng minh khi làm việc với cơ quan chức năng.
config system ntp
set ntpsync enable
set server-mode disable
set type custom
config ntpserver
edit 1
set server "ntp.vnnic.vn"
next
end
end
config system global
set timezone 84 # (GMT+7) Hanoi
endBước 10 — Sao lưu cấu hình và quản lý phiên bản
Sau mỗi lần sửa, xuất cấu hình ra tệp, đặt tên theo ngày, cất ở nơi tách biệt khỏi trụ sở. Ngày thiết bị hỏng, có tệp cấu hình thì khôi phục trong nửa giờ; không có thì dựng lại từ đầu mất vài ngày.
5. Bảy lỗi thường gặp khi triển khai ở cấp xã
- Mở cổng quản trị ra Internet "cho tiện hỗ trợ từ xa" — chiếm hơn một nửa số sự cố. Dùng VPN.
- Để gói dịch vụ hết hạn — tường lửa vẫn sáng đèn, phần bảo vệ đã chết từ lâu mà không ai biết.
- Mạng phẳng — mua tường lửa xịn nhưng camera, máy chủ, máy trạm, wifi khách vẫn chung một dải; kẻ tấn công vào được một máy là đi khắp nơi mà không phải đi qua tường lửa lần nào.
- Một luật cho phép "any-any" để "cho nó chạy đã" — rồi quên gỡ.
- Không bật ghi nhật ký trên luật quan trọng, đến khi cần tra thì không còn gì.
- Không có đường Internet dự phòng — đứt cáp là dừng toàn bộ dịch vụ công trực tuyến.
- Không ai được giao trách nhiệm — thiết bị chạy ba năm không ai xem nhật ký, không ai cập nhật firmware.
6. Chi phí phải tính đủ ba phần
Dự toán chỉ ghi giá thiết bị là thiếu. Một hệ thống tường lửa có ba khoản: phần cứng (mua một lần), gói dịch vụ bảo vệ (thuê bao hằng năm, hết hạn là mất tác dụng), và công triển khai — vận hành (cấu hình ban đầu, rà soát định kỳ, xử lý sự cố). Bỏ quên khoản thứ hai là lỗi hay gặp nhất khi lập dự toán, và hậu quả rơi vào năm thứ hai khi không còn kinh phí gia hạn.
Kết luận
Với một trụ sở cấp xã, thiết bị không cần lớn — cần đúng sức và cấu hình đúng. Chọn theo chỉ tiêu Threat Protection, đóng cửa quản trị nhìn ra Internet, chia vùng mạng, bật nhật ký và giữ gói dịch vụ còn hạn: năm việc đó đã loại bỏ phần lớn rủi ro thực tế.
BINHDINH.JSC khảo sát hiện trạng mạng, tư vấn cấu hình và lập hồ sơ an toàn thông tin theo cấp độ cho cơ quan, đơn vị cấp xã. Xem thêm hướng dẫn hồ sơ an toàn thông tin cấp độ 2 hoặc liên hệ để được khảo sát.