CheckPoint TÌM HIỂU CÁC MODE HOẠT ĐÔNG CỦA NGFW CHECK POINT

Mục lục:
I: Giới thiệu.
II: Tìm hiểu chi tiết.
III Kết luận.

---

I. Giới thiệu.
Check Point là một trong những công ty về firewall hàng đầu thế giới, được tin dùng bởi hàng ngàn tổ chức, doanh nghiệp và cơ quan chính phủ trên toàn cầu. Khi triển khai Check Point firewall, một trong những quyết định đầu tiên và quan trọng nhất là lựa chọn chế độ hoạt động của nó.
Firewall Check point có 2 chế độ hoạt động cơ bản đó là: Routing Mode (Layer 3) hoặc Bridge Mode (Layer 2).

Mỗi chế độ hoạt động đều có đặc điểm riêng, lợi thế và hạn chế riêng, ảnh hưởng đến:

• Cách firewall xử lý gói tin,
• Khả năng kiểm soát bảo mật,
• Cách thức triển khai vào hệ thống mạng hiện tại,
• Và trải nghiệm vận hành, quản trị trong dài hạn.

Trong bài viết này, chúng ta sẽ cùng tìm hiểu vào chế độ, phân tích chi tiết cách hoạt động, ưu nhược điểm, và hướng dẫn lựa chọn phù hợp cho từng trường hợp thực tế.

---

II. Tìm hiểu chi tiết.
2.1: Routing Mode (Layer 3 Mode) — Chế độ định tuyến
Khái niệm

• Mỗi interface (cổng mạng) trên firewall sẽ có một địa chỉ IP.
• Firewall sẽ sử dụng bảng định tuyến (routing table) để xác định hướng đi cho các gói tin.
• Firewall đóng vai trò gateway cho các subnet nội bộ và định tuyến traffic ra bên ngoài hoặc giữa các mạng nội bộ.

Cách thức hoạt động

• Nhận gói tin từ máy tính trong LAN,
• So sánh với policy, kiểm tra có được phép hay không (theo rule),
• Áp dụng NAT nếu có (ví dụ: hide NAT địa chỉ LAN ra địa chỉ public),
• Chuyển tiếp gói tin qua interface tiếp theo nếu hợp lệ.

Ưu và nhược điểm

• Yêu cầu thay đổi cấu trúc mạng hiện tại nếu bạn muốn chèn firewall vào một mạng đang hoạt động.
• Có thể gây gián đoạn nếu triển khai không đúng quy trình (vì phải thay gateway của các thiết bị).

• Triển khai mạng mới, bạn muốn firewall đóng vai trò Default Gateway cho tất cả máy trạm, server, thiết bị IoT.
• Môi trường đòi hỏi tối đa hóa bảo mật và kiểm soát, như ngân hàng, chính phủ, trung tâm dữ liệu.
• Các hệ thống yêu cầu VPN, NAT, phân vùng mạng rõ ràng.

2.2: Bridge Mode (Layer 2 Mode) — Chế độ cầu nối
Khái niệm

• Gói tin được chuyển tiếp từ interface này sang interface khác mà không bị thay đổi IP hoặc định tuyến.
• Firewall vẫn áp dụng chính sách bảo mật, kiểm tra gói tin, nhưng không can thiệp vào header IP.
• Không yêu cầu thay đổi IP hoặc gateway của các thiết bị trong mạng — rất lý tưởng khi chèn firewall vào giữa hệ thống đang chạy.

Ưu và nhược điểm

• Không hỗ trợ NAT hoặc VPN trực tiếp trên interface bridge.
• Không có khả năng định tuyến — firewall không thể chia subnet hoặc quản lý traffic giữa các mạng.
• Không phù hợp cho các mô hình mạng phức tạp yêu cầu chia tách vùng bảo mật (segmentation).

Tình huống sử dụng

• Chèn firewall vào hệ thống đang hoạt động mà không cần thay đổi IP, routing.
• Bảo vệ các server nội bộ (file server, database server, SCADA, hệ thống kế toán).
• Triển khai tường lửa kiểm thử (POC) hoặc dự phòng song song.

---

III: Kết Luận.
Việc lựa chọn Routing Mode hay Bridge Mode không có đúng hay sai tuyệt đối, mà phụ thuộc vào:

• Kiến trúc hệ thống mạng hiện tại
• Yêu cầu về bảo mật, tính năng
• Khả năng can thiệp vào hệ thống sản xuất
• Kỹ năng và kinh nghiệm của đội ngũ triển khai

So sánh Routing Mode (L3) với Bridge Mode (L2).