Zone trên FortiGate: cách nhóm interface để đơn giản hóa Firewall Policy

1. Liên hệ thực tế

Sau khi tạo xong 4 VLAN sub-interface cho khách hàng ở bài trước, anh Nam bắt tay viết Firewall Policy để cả 4 phòng ban ra Internet. Anh tạo lần lượt 4 Policy: VLAN10 → wan1, VLAN20 → wan1, VLAN30 → wan1, VLAN40 → wan1 — cùng một bộ luật Web Filter, Antivirus, Application Control giống hệt nhau, chỉ khác interface nguồn.

Vài tuần sau, khách hàng yêu cầu bổ sung thêm 1 rule NAT đặc biệt cho toàn bộ 4 phòng ban. Anh Nam phải sửa cả 4 Policy — dễ sót, dễ sai lệch giữa các Policy theo thời gian.

Chị Lan xem qua: "Anh đang lặp lại công việc không cần thiết. Gộp 4 VLAN đó vào một Zone, rồi chỉ cần viết đúng 1 Policy áp cho cả Zone — sau này sửa gì chỉ sửa 1 chỗ."

Bài này giới thiệu khái niệm Zone — công cụ nhóm nhiều interface lại để đơn giản hóa việc viết và quản lý Firewall Policy.

2. Kiến thức cốt lõi

2.1 Zone là gì

Zone là một nhóm gồm một hoặc nhiều interface vật lý hoặc ảo (VLAN sub-interface) trên FortiGate, cho phép áp Firewall Policy chung cho cả nhóm thay vì phải viết Policy riêng cho từng interface thành viên.

Cấu hình một Zone qua CLI:

config system zone
    edit "chi-nhanh"
        set interface "VLAN10" "VLAN20" "VLAN30" "VLAN40"
        set intrazone deny
    next
end

Sau khi có Zone, Firewall Policy tham chiếu thẳng tới tên Zone thay vì từng interface:

config firewall policy
    edit 0
        set name "chi-nhanh-den-internet"
        set srcintf "chi-nhanh"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
    next
end

⚠️ Lưu ý quan trọng: Zone chỉ dùng để đơn giản hóa việc viết Policy — không thể tạo Policy trực tiếp giữa hai interface nằm trong cùng một Zone (ví dụ không viết được Policy từ VLAN10 sang VLAN20 nếu cả hai cùng thuộc Zone chi-nhanh). Muốn kiểm soát traffic giữa các interface thành viên, phải dùng tham số intrazone.

2.2 Intrazone: allow hay deny

Tham số intrazone quyết định traffic giữa các interface trong cùng một Zone có được phép đi qua nhau hay không, khi không có Policy tường minh nào xử lý:

• intrazone deny: chặn hoàn toàn traffic giữa các interface thành viên trong cùng Zone — hoạt động như một implicit deny nội bộ.
• intrazone allow: cho phép traffic tự do đi lại giữa các interface thành viên, không cần Policy kiểm soát.

Trường hợp đặc biệt — cho phép ngoại lệ khi intrazone đang deny: nếu Zone gồm nhiều VLAN đang bị chặn giao tiếp lẫn nhau, nhưng muốn mở riêng cho hai VLAN cụ thể trong đó liên lạc được, có thể tạo một Firewall Policy tường minh với cả nguồn và đích đều là chính Zone đó, kèm Address Object thu hẹp đúng hai dải mạng cần mở — Policy tường minh này override lại default-deny của intrazone.

⚠️ Lưu ý: Cấu hình intrazone allow cần cân nhắc kỹ — nếu Zone gồm nhiều phòng ban với yêu cầu cách ly (ví dụ Kế toán và Kinh doanh không được thấy nhau), allow sẽ vô hiệu hóa hoàn toàn mục đích cách ly ban đầu. Mặc định intrazone là deny, nên chỉ định allow khi thực sự có nhu cầu.

2.3 Zone khác gì so với Interface Group thông thường

Một hiểu lầm phổ biến là xem Zone như "gộp nhiều interface thành 1 interface lớn" — thực chất routing vẫn xử lý theo từng interface thành viên riêng biệt, Zone chỉ đơn thuần là một lớp trừu tượng ở tầng Policy. Mỗi interface trong Zone vẫn giữ nguyên địa chỉ IP, subnet, cấu hình routing độc lập của nó.

3. Hỏi & Đáp

Một interface có thể thuộc nhiều Zone cùng lúc không? Không — mỗi interface chỉ có thể thuộc về đúng một Zone tại một thời điểm. Muốn thay đổi Zone cho interface, phải gỡ khỏi Zone cũ trước khi gán vào Zone mới.

Có thể tạo Firewall Policy trực tiếp trên interface thay vì Zone không, kể cả sau khi đã gán interface đó vào 1 Zone? Không — một khi interface đã được gán vào Zone, Firewall Policy chỉ có thể tham chiếu tới tên Zone, không còn chọn trực tiếp tên interface thành viên trong danh sách nguồn/đích của Policy nữa.

Zone có áp dụng được cho VDOM khác nhau không? Không — Zone là cấu hình nằm trong phạm vi một VDOM cụ thể, chỉ nhóm được các interface đang thuộc cùng VDOM đó. Muốn nhóm interface xuyên VDOM là không khả thi vì bản chất VDOM đã tách biệt cấu hình hoàn toàn.

Nếu Zone chỉ có đúng 1 interface thành viên thì có ý nghĩa gì không? Về mặt kỹ thuật vẫn hợp lệ, nhưng không mang lại lợi ích đơn giản hóa nào — Zone phát huy giá trị khi nhóm từ 2 interface trở lên có cùng yêu cầu chính sách. Với 1 interface, nên viết Policy trực tiếp trên interface đó cho rõ ràng.

4. Quiz

Câu 1: Zone trên FortiGate dùng để làm gì?

• A. Tăng băng thông vật lý giữa các cổng
• B. Nhóm nhiều interface để áp Firewall Policy chung, đơn giản hóa quản lý
• C. Mã hóa traffic giữa các VLAN
• D. Tạo địa chỉ IP luôn "up" không phụ thuộc cổng vật lý

Câu 2: Theo mặc định, tham số intrazone của một Zone mới tạo là gì?

• A. allow
• B. deny
• C. log-only
• D. Không có giá trị mặc định, bắt buộc phải khai báo

Câu 3: Có thể tạo Firewall Policy trực tiếp giữa hai interface nằm trong cùng một Zone không?

• A. Có, luôn luôn được
• B. Không — chỉ kiểm soát được bằng tham số intrazone hoặc Policy tường minh trên chính Zone đó
• C. Chỉ được nếu bật multi-VDOM
• D. Chỉ được nếu cả hai interface là VLAN

Câu 4: Một interface vật lý có thể thuộc về bao nhiêu Zone cùng lúc?

• A. Tối đa 2 Zone
• B. Không giới hạn
• C. Đúng 1 Zone tại một thời điểm
• D. Phụ thuộc vào model FortiGate

Câu 5: Điểm khác biệt cốt lõi giữa Zone và Aggregate Interface là gì?

• A. Zone hoạt động ở layer chính sách, Aggregate hoạt động ở layer liên kết dữ liệu vật lý
• B. Zone và Aggregate là một khái niệm giống hệt nhau
• C. Aggregate không thể gán IP, Zone thì có thể
• D. Zone chỉ dùng được với cổng WAN

👉 Đáp án

Câu 1: B — Zone nhóm nhiều interface lại để áp Firewall Policy chung, giúp đơn giản hóa việc viết và quản lý Policy so với xử lý riêng từng interface. 

Câu 2: B — Mặc định intrazone là deny, chặn traffic giữa các interface thành viên trong cùng Zone trừ khi có Policy tường minh cho phép. 

Câu 3: B — Không thể viết Policy trực tiếp giữa hai interface cùng Zone; việc kiểm soát traffic nội bộ Zone chỉ thực hiện qua tham số intrazone hoặc Policy tường minh áp cho chính Zone đó. 

Câu 4: C — Mỗi interface chỉ thuộc về đúng một Zone tại một thời điểm.

Câu 5: A — Zone là lớp trừu tượng ở tầng chính sách (Policy), trong khi Aggregate gộp thực sự các cổng vật lý ở tầng liên kết dữ liệu, tạo thành một interface logic có IP riêng.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng