Nếu trình duyệt web, terminal và trình phát nhạc của bạn đều cố gắng truy cập Internet cùng lúc, liệu chúng có nên được đối xử như nhau không?

Tường lửa truyền thống thường tập trung vào kết nối mạng. Một tường lửa cấp ứng dụng đặt câu hỏi khác: Ứng dụng nào đang tạo kết nối này và có nên cho phép không?

Sự thay đổi nhỏ trong góc nhìn đó thay đổi cách bạn nghĩ về các quy tắc tường lửa và cho bạn kiểm soát tinh vi hơn nhiều đối với hệ thống của mình.

Sau hướng dẫn này, bạn sẽ hiểu:

  • Tường lửa cấp ứng dụng là gì và nó khác với tường lửa mạng như thế nào.
  • Sự khác biệt giữa tường lửa ứng dụng inbound và outbound.
  • Cách hành động mặc định và độ chi tiết của quy tắc định hình hành vi tường lửa.
  • Tại sao các công cụ như FireWally, Little Snitch và OpenSnitch có cách tiếp cận khác nhau.
  • Loại tường lửa ứng dụng nào phù hợp với nhu cầu của bạn.

Tường lửa cấp ứng dụng là gì?

Tường lửa cấp ứng dụng là công cụ kiểm soát truy cập internet cho từng ứng dụng riêng biệt. Thay vì quản lý lưu lượng theo cổng hoặc địa chỉ IP, nó quản lý lưu lượng theo ứng dụng tạo ra nó.

Điều này thường được gọi là lọc outbound, vì nó xử lý lưu lượng rời khỏi thiết bị của bạn. Outbound có nghĩa là lưu lượng rời khỏi máy tính của bạn, trái ngược với lưu lượng inbound đến từ bên ngoài. Tường lửa cấp ứng dụng tập trung chủ yếu vào lưu lượng outbound, vì đó là nơi các ứng dụng riêng lẻ trở nên hiển thị.

Đây là cách nó hoạt động trong thực tế. Khi một ứng dụng cố gắng kết nối internet, tường lửa xác định ứng dụng đó bằng tên. Sau đó bạn có thể chọn cho phép hoặc chặn ứng dụng cụ thể đó. Các ứng dụng khác không bị ảnh hưởng bởi lựa chọn này. Trình duyệt của bạn có thể duy trì kết nối trong khi trình phát nhạc bị chặn, hoặc ngược lại.

Điều này cũng cung cấp cho bạn khả năng hiển thị. Nhiều tường lửa cấp ứng dụng cho bạn thấy ứng dụng nào đang kết nối, tần suất và lượng dữ liệu chúng gửi. Bạn có thể phát hiện hoạt động bất thường, như ứng dụng liên hệ với máy chủ bạn không nhận ra hoặc gửi nhiều dữ liệu hơn bạn mong đợi.

Lưu ý về phạm vi:

Thuật ngữ tường lửa cấp ứng dụng có thể gây nhầm lẫn. Nó được sử dụng cho các công nghệ khác nhau.

Trong hướng dẫn này, nó đề cập đến tường lửa ứng dụng dựa trên máy chủ (host-based application firewall). Đây là công cụ giám sát và kiểm soát các kết nối mạng được thực hiện bởi các ứng dụng riêng lẻ trên thiết bị của bạn.

Nó không đề cập đến Tường lửa ứng dụng web (WAF), bảo vệ máy chủ khỏi các cuộc tấn công như SQL injection. Nó cũng không đề cập đến kiểm tra lớp ứng dụng, kiểm tra các giao thức như HTTP trong lưu lượng mạng. Đó là những công cụ khác, được xây dựng cho các mục đích khác nhau.

Tường lửa mạng đánh giá kết nối: địa chỉ IP, cổng, giao thức. Tường lửa ứng dụng dựa trên máy chủ cũng xem xét ứng dụng nào đã tạo kết nối đó và áp dụng các quy tắc dựa trên điều đó.

Tường lửa Inbound vs. Outbound

Mọi kết nối mạng đều có hướng. Inbound có nghĩa là lưu lượng đến thiết bị của bạn từ bên ngoài. Outbound có nghĩa là lưu lượng rời khỏi thiết bị của bạn đến internet.

Hầu hết tường lửa tích hợp tập trung vào lưu lượng inbound. Chúng quyết định những gì được phép đến thiết bị của bạn. Điều này ngăn chặn nhiều kết nối không mong muốn trước khi chúng đến.

Lưu lượng outbound hoạt động khác. Đây là dữ liệu mà các ứng dụng của bạn gửi ra, như kiểm tra cập nhật, đồng bộ nền hoặc phân tích. Tường lửa lọc lưu lượng outbound đặt câu hỏi khác: ứng dụng này có được phép gửi dữ liệu ra ngoài không?

Đây là so sánh đơn giản:

Hầu hết máy tính đã có bảo vệ inbound. Ít hơn nhiều có bảo vệ outbound được cấu hình hoặc thậm chí được bật. Đây là phần hệ thống của bạn mà tường lửa cấp ứng dụng được xây dựng để xử lý.

Hai cách để so sánh bất kỳ công cụ tường lửa nào

Mọi tường lửa cấp ứng dụng có thể được hiểu bằng hai câu hỏi đơn giản.

Câu hỏi đầu tiên là về hành vi mặc định. Khi một ứng dụng mới cố gắng kết nối, tường lửa có chặn nó cho đến khi bạn chấp thuận hay tự động cho phép? Một số công cụ hỏi bạn mỗi lần. Những công cụ khác im lặng trừ khi bạn thay đổi cài đặt.

Câu hỏi thứ hai là về độ chi tiết. Bạn có thể kiểm soát truy cập ở cấp độ toàn bộ ứng dụng hay có thể đi xa hơn, chặn các tên miền, cổng hoặc tiến trình cụ thể trong ứng dụng đó?

Hai câu hỏi này quan trọng vì chúng giải thích tại sao các công cụ giải quyết cùng một vấn đề có thể cảm thấy hoàn toàn khác nhau khi sử dụng. Một công cụ chặn theo mặc định và hỏi trước mỗi kết nối mới cảm thấy giống như một trạm kiểm soát. Một công cụ cho phép theo mặc định và im lặng cảm thấy giống như một bảng điều khiển bạn kiểm tra khi muốn.

Không có cách tiếp cận nào tốt hơn. Trạm kiểm soát cho bạn nhiều quyền kiểm soát hơn nhưng nhiều gián đoạn hơn. Bảng điều khiển mang lại sự tiện lợi nhưng yêu cầu bạn tự kiểm tra.

Khi bạn biết vị trí của một công cụ trên hai câu hỏi này, bạn đã hiểu hầu hết những gì nó làm.

Tường lửa cấp ứng dụng cho macOS và Linux

FireWally (macOS)

FireWally là tường lửa ứng dụng miễn phí cho macOS. Nó hiển thị ứng dụng nào đang kết nối internet và chặn bất kỳ ứng dụng nào chỉ bằng một cú nhấp chuột.

Bạn cần bật Network Extension của nó một lần, trong System Settings, trước khi nó có thể giám sát bất cứ thứ gì. Các ứng dụng mới được phép kết nối theo mặc định, vì vậy bạn phải thay đổi cài đặt nếu muốn nó hỏi trước.

Nó cũng sử dụng Apple Intelligence để giải thích, bằng ngôn ngữ đơn giản, tại sao một ứng dụng có thể đang kết nối. Điều này chỉ hoạt động trên macOS Tahoe với chip M1 trở lên.

Little Snitch (macOS)

Little Snitch đã bảo vệ người dùng Mac trong hơn hai mươi năm. Không giống FireWally, nó chặn các kết nối mới theo mặc định và hỏi trước khi cho phép. Nó cũng hỗ trợ các quy tắc theo tên miền, cổng và hồ sơ mạng, vì vậy bạn có thể đặt các quy tắc khác nhau cho mạng gia đình, công việc hoặc công cộng.

Đây là công cụ trả phí và độ sâu của nó khiến nó khó học hơn so với các lựa chọn thay thế đơn giản hơn.

OpenSnitch (Linux)

OpenSnitch mang ý tưởng tương tự lên Linux, hoàn toàn mã nguồn mở. Giống Little Snitch, nó nhắc bạn lần đầu tiên một ứng dụng cố gắng kết nối.

Các quy tắc có thể đi sâu: bạn có thể giới hạn kết nối đến một cổng cụ thể, khớp tên miền bằng mẫu hoặc giới hạn truy cập theo người dùng. Mọi quy tắc được lưu dưới dạng tệp JSON, vì vậy bạn có thể chỉnh sửa cấu hình tường lửa trực tiếp mà không cần mở ứng dụng.

Little Snitch (Linux)

Little Snitch cũng chạy trên Linux, được phát hành vào 2026 sau hai mươi năm chỉ có trên macOS.

Nó hoạt động khác ở đây: thay vì ứng dụng desktop, nó chạy như một dịch vụ nền với bảng điều khiển trong trình duyệt web của bạn.

Điều này cho phép bạn giám sát một máy tính khác trên mạng của bạn, không chỉ máy tính trước mặt bạn. Các nhà phát triển mô tả nó như một công cụ quyền riêng tư hơn là công cụ bảo mật, vì nó không thể đảm bảo hoàn toàn rằng một ứng dụng có chủ đích không bao giờ vượt qua nó.

Xin lưu ý rằng không có tường lửa ứng dụng đơn lẻ nào là tốt nhất cho mọi người dùng. Một số ưu tiên dễ sử dụng. Những công cụ khác ưu tiên khả năng hiển thị và kiểm soát chi tiết. Phần trước có thể giúp bạn so sánh chúng bằng cách đặt hai câu hỏi: Hành động mặc định là gì và các quy tắc có thể cụ thể đến mức nào?

Những quan niệm sai lầm phổ biến cho người mới bắt đầu

Quan niệm sai lầm 1: "Nó bảo vệ tôi theo mặc định."

Không phải lúc nào cũng đúng. Một số công cụ, như FireWally, cho phép các ứng dụng mới kết nối tự động cho đến khi bạn thay đổi cài đặt đó. Luôn kiểm tra hành vi mặc định trước khi cho rằng bạn được bảo vệ.

Quan niệm sai lầm 2: "Nó thay thế tường lửa tích hợp của tôi."

Không. Tường lửa cấp ứng dụng xử lý lưu lượng outbound. Tường lửa tích hợp của bạn vẫn xử lý lưu lượng inbound. Bạn cần cả hai, không phải cái này thay thế cái kia.

Quan niệm sai lầm 3: "Chặn một ứng dụng sẽ ngăn nó chạy."

Chặn chỉ loại bỏ truy cập mạng. Ứng dụng vẫn chạy bình thường trên thiết bị của bạn. Nó chỉ không thể gửi hoặc nhận dữ liệu nữa.

Quan niệm sai lầm 4: "Nhiều quy tắc hơn luôn có nghĩa là bảo vệ tốt hơn."

Không nhất thiết. Một công cụ với các quy tắc sâu, chi tiết chỉ hữu ích nếu bạn hiểu từng quy tắc làm gì. Một công cụ đơn giản hơn mà bạn thực sự cấu hình đúng có thể bảo vệ bạn tốt hơn một công cụ phức tạp để ở cài đặt mặc định.

Quan niệm sai lầm 5: "Mọi ứng dụng đều cần truy cập Internet."

Nhiều ứng dụng hoạt động hoàn hảo mà không cần kết nối mạng. Tường lửa ứng dụng cho phép bạn quyết định ứng dụng nào nên giao tiếp qua mạng.

Quan niệm sai lầm 6: "Tường lửa ứng dụng có thể ngăn chặn mọi cuộc tấn công mạng."

Tường lửa ứng dụng kiểm soát truy cập mạng. Nó không thể ngăn chặn mọi cuộc tấn công hoặc thay thế các biện pháp bảo mật khác như cập nhật phần mềm, phần mềm diệt virus hoặc thói quen duyệt web an toàn.

Câu hỏi thường gặp (FAQ)

Hỏi: Tường lửa cấp ứng dụng là gì?

Đáp: Tường lửa cấp ứng dụng giám sát và kiểm soát các kết nối mạng được thực hiện bởi các ứng dụng riêng lẻ trên thiết bị. Nó có thể cho phép hoặc chặn kết nối dựa trên ứng dụng thực hiện yêu cầu, thay vì chỉ dựa trên kết nối mạng. Trong hướng dẫn này, thuật ngữ đề cập đến tường lửa ứng dụng dựa trên máy chủ (host-based application firewall), không phải Tường lửa ứng dụng web (WAF).

Hỏi: Tường lửa cấp ứng dụng hoạt động như thế nào?

Đáp: Khi một ứng dụng cố gắng giao tiếp qua mạng, tường lửa xác định ứng dụng và so sánh yêu cầu với các quy tắc đã cấu hình. Dựa trên các quy tắc đó, nó cho phép hoặc chặn kết nối.

Hỏi: Sự khác biệt giữa tường lửa cấp ứng dụng và tường lửa mạng là gì?

Đáp: Tường lửa mạng đánh giá lưu lượng mạng bằng thông tin như địa chỉ IP, cổng và giao thức. Tường lửa ứng dụng dựa trên máy chủ cũng xem xét ứng dụng nào đang tạo kết nối và có thể áp dụng các quy tắc khác nhau cho các ứng dụng khác nhau.

Hỏi: Sự khác biệt giữa tường lửa ứng dụng inbound và outbound là gì?

Đáp: Tường lửa ứng dụng inbound kiểm soát các kết nối đến các ứng dụng đang chạy trên thiết bị của bạn. Tường lửa ứng dụng outbound kiểm soát liệu các ứng dụng trên thiết bị của bạn có thể khởi tạo kết nối mạng đi ra hay không. Một số sản phẩm hỗ trợ cả hai.

Hỏi: Tôi có cần tường lửa cấp ứng dụng không?

Đáp: Tùy thuộc vào nhu cầu của bạn. Nếu bạn muốn kiểm soát ứng dụng nào có thể truy cập mạng, giám sát hoạt động mạng của ứng dụng hoặc giảm các kết nối outbound không cần thiết, tường lửa cấp ứng dụng có thể cung cấp nhiều kiểm soát hơn so với tường lửa mạng truyền thống.

Hỏi: Tường lửa cấp ứng dụng có thể ngăn chặn phần mềm độc hại không?

Đáp: Không. Tường lửa cấp ứng dụng kiểm soát truy cập mạng. Nó không phát hiện hoặc loại bỏ phần mềm độc hại, thay thế phần mềm diệt virus hoặc ngăn chặn mọi loại tấn công mạng. Nó là một lớp trong chiến lược bảo mật rộng hơn.

Hãy tự trải nghiệm

Đọc về các công cụ này chỉ giúp bạn đến một mức độ nhất định. Cách nhanh nhất để hiểu chúng là cài đặt một công cụ và quan sát.

Chọn công cụ phù hợp với nền tảng của bạn, từ phần trên. Cài đặt nó, nhưng đừng chặn bất cứ thứ gì. Trong 24 hours tiếp theo, chỉ quan sát. Xem ứng dụng nào kết nối, tần suất và ở đâu.

Bạn có thể sẽ nhận thấy điều bất ngờ. Một ứng dụng bạn hiếm khi mở vẫn có thể gửi dữ liệu trong nền. Khi bạn tự thấy điều này, các phần trước của hướng dẫn sẽ có ý nghĩa thực tế hơn.

Sau đó, hãy bắt đầu từ từ. Chặn một ứng dụng bạn không nhận ra hoặc không tin tưởng. Xem điều gì thay đổi. Thêm quy tắc chỉ khi bạn hiểu chúng làm gì.

Tường lửa cấp ứng dụng không phải là thứ bạn thiết lập một lần và quên. Nó là công cụ bạn học bằng cách sử dụng.

Liên kết tham khảo