FAQ
Giải đáp các câu hỏi thường gặp về FPT Cloud Native Firewall dành cho L1 Support.
1. Quản lý Firewall
| # | Câu hỏi | Trả lời |
|---|---|---|
| 1.1 | Firewall tạo xong báo Failed, xử lý thế nào? | Có 2 trường hợp. Nếu không tạo được bản ghi (lỗi API tạm thời), toast hiện "System is busy. Please try again later." và không có firewall nào xuất hiện — hãy thử lại. Nếu bản ghi đã tạo nhưng provisioning hạ tầng thất bại, firewall hiện status Failed: mở menu Actions (⋮) và chọn Retry (về Creating) hoặc Delete. Retry và Delete chạy ngay, không có popup xác nhận. |
| 1.2 | Vì sao không chọn được VPC khi tạo firewall? | Một VPC bị khóa khi: đã có firewall ("Already has firewall: [name]"), firewall của nó đang Failed ("Firewall creation failed: [name]. Retry or delete that firewall first."), hoặc đang được tạo ("Creating firewall: [name]. Please wait."). Chỉ VPC có ít nhất một routed subnet mới hiển thị. Chọn VPC chia sẻ network với firewall sẵn có sẽ hiện "This network already has a firewall". |
| 1.3 | Integrated và Protected khác nhau thế nào? | Integrated (xanh dương): đã integrate ít nhất 1 VPC nhưng chưa associate subnet nào, nên traffic chưa thực sự được bảo vệ. Protected (xanh lá): đã associate thành công ít nhất 1 subnet. Khi dissociate hết subnet, firewall quay lại Integrated. (Hai trạng thái còn lại là Creating và Failed.) |
| 1.4 | Associate subnet xong bị mất kết nối, vì sao? | Đây là hành vi có chủ đích và cần biết trước. Khi associate, popup cảnh báo "All traffic will be denied by default until rules are configured." Firewall hoạt động deny-by-default: mọi traffic không khớp rule nào đều bị chặn. Vì vậy subnet sẽ mất kết nối cho tới khi bạn cấu hình Network Access Rule và Apply Policy. Các firewall rule có CIDR khớp sẽ tự áp vào. Không associate được 2 subnet có CIDR overlap. |
| 1.5 | Dissociate subnet và Delete firewall cần lưu ý gì? | Dissociate subnet yêu cầu gõ dissociate (chữ thường); sau đó subnet không còn được bảo vệ và traffic quay về default network routing. Delete Firewall chỉ khả dụng khi status Failed và xóa ngay không có popup xác nhận. Trong lúc đồng bộ VPC/subnet, badge "Syncing VPCs & subnets" xuất hiện (tự cập nhật mỗi 15 giây); subnet đang xử lý hiện In Progress và tạm khóa thao tác. |
2. Network Access Rules
| # | Câu hỏi | Trả lời |
|---|---|---|
| 2.1 | Tôi thêm/sửa/xóa rule nhưng chưa có tác dụng? | Thay đổi rule không có hiệu lực ngay. Mọi Add/Edit/Delete chỉ đưa rule về trạng thái pending (Not Applied (Added) / (Edited) / (Deleted)) lưu dạng draft. Firewall chỉ thực thi rule sau khi bạn nhấn Apply Policy — nút này hiển thị số thay đổi đang chờ. |
| 2.2 | Khi nhiều rule cùng khớp thì rule nào được áp dụng? | Mỗi rule có Priority duy nhất. Firewall đánh giá từ Priority nhỏ nhất trước và dừng ở rule đầu tiên khớp (first match wins), áp dụng action của rule đó. Firewall deny-by-default: traffic không khớp rule nào sẽ bị chặn. Priority trong khoảng 1000–9999 và phải duy nhất. |
| 2.3 | Vì sao không thêm được rule mới? | Nút Add Rule bị khóa khi chưa có firewall nào ("No firewall available") hoặc đã đạt giới hạn 100 rule ("Cannot add rule. Maximum rule limit (100) reached."). |
| 2.4 | Vì sao không sửa được Direction khi Edit rule? | Trong popup Edit, Direction bị khóa, vì đổi hướng traffic sẽ thay đổi toàn bộ cấu trúc rule (Source/Destination/NAT). Nếu cần đổi Direction, hãy xóa rule và tạo lại rule mới với Direction mong muốn. |
| 2.5 | Apply Policy có làm gián đoạn traffic không, và vì sao rule biến mất sau khi Apply? | Có thể ảnh hưởng traffic — popup xác nhận ghi "Network traffic may be affected immediately." và các nút Apply/Add/Edit/Delete bị khóa trong lúc apply. Nếu một rule apply thất bại, rule đó không được áp dụng và không còn hiển thị — bạn phải tạo lại. Khi có rule fail, icon Apply Failed liệt kê theo dạng [Priority]. [Rule name] - [Change type] failed. |
| 2.6 | Xóa rule có khôi phục được không? | Xóa rule là soft delete: rule chuyển sang Not Applied (Deleted) và chỉ bị xóa thật sau khi Apply Policy. Trước khi Apply, bạn vẫn có thể Restore. Khi xóa, cần gõ delete (chữ thường). |
| 2.7 | Rule đã Applied nhưng không chặn được traffic? | Rule được đánh giá theo interface firewall tương ứng với CIDR subnet đã associate. Nếu subnet đã bị dissociate, rule vẫn tồn tại nhưng không hoạt động. Hãy kiểm tra subnet liên quan còn đang associate với firewall không. |
3. IDS/IPS Rules
| # | Câu hỏi | Trả lời |
|---|---|---|
| 3.1 | Làm sao bật IDS/IPS cho firewall? | Có thứ tự bắt buộc theo 3 trạng thái: (1) chưa associate subnet — "IDS/IPS cannot be enabled", phải associate subnet trước; (2) đã associate nhưng chưa bật — "IDS/IPS is disabled", nhấn Enable IDS/IPS (có xác nhận); (3) đã bật — tải danh sách rule file (mặc định fpt-managed.rules). Dùng Disable IDS/IPS để tắt. Nếu đang có thao tác associate/dissociate subnet, hệ thống báo "Another operation is in progress. Please try again later." |
| 3.2 | Import IDS/IPS rule file cần đúng định dạng nào? | Định dạng Suricata ("Suricata-format rules. Max 10000 rules or 5MB"), chỉ file đuôi .rules, encoding UTF-8, tối đa 10.000 rules hoặc 5MB mỗi file. Luồng: nhấn Import Rule → kéo thả hoặc chọn file → hệ thống parse và validate → hợp lệ thì hiện "[X] rules validated successfully. Ready to upload." và bật Import. |
| 3.3 | Import rule file bị lỗi, nguyên nhân thường gặp? | Hệ thống validate tuần tự và báo lỗi cụ thể, ví dụ "File is empty.", "Invalid file extension. Only .rules files are supported.", "File exceeds 5MB limit.", "Invalid file encoding. Only UTF-8 encoding is supported.", "Max 10,000 rules per file.", và các lỗi SID như "Line [N]: Duplicate SID detected..." hoặc "Line [N]: SID already exists in another rule file." Nguyên nhân phổ biến nhất là SID bị trùng (phải duy nhất trong file lẫn giữa các file đã import). |
4. Logs & Dashboard
| # | Câu hỏi | Trả lời |
|---|---|---|
| 4.1 | Dashboard hiển thị gì, và vì sao Top Traffic trông như "không có dữ liệu"? | Dashboard có 8 widget: Top Traffic Sources, Top Traffic Destinations, Total Packets, Top Hit Rules, Network Throughput, Active Connections, CPU Usage, Memory Usage. Top Traffic Sources và Top Traffic Destinations mặc định lọc theo Deny (traffic bị chặn). Nếu thấy trống, có thể chỉ là chưa có traffic bị chặn — chuyển dropdown sang Allow. Lọc theo Time Range (Last 5 min đến Last 7 days) và theo firewall. |
| 4.2 | Đọc logs như thế nào? | Logs là log stream (mỗi log là một dòng text), không phải bảng có cột riêng từng field. Có 2 tab: Network Access (traffic qua firewall) và IDS/IPS Events (phát hiện tấn công theo định dạng Suricata). Cả hai tải 100 log mới nhất (mới trước) và lazy-load thêm khi scroll. Có Search (highlight đoạn khớp), Time Range (mặc định Last 5 minutes), Firewall filter, và Sync (chèn log mới lên đầu; "No new logs" khi không có log mới). |
| 4.3 | Tab IDS/IPS Events trống, vì sao? | Tab IDS/IPS Events chỉ có dữ liệu khi IDS/IPS đã được bật trên firewall. Nếu chưa bật thì không có event nào — hãy bật IDS/IPS trước. Khi không có event hợp lệ, màn hiện "No IDS/IPS events found". |
5. VPN Client-to-Site
| # | Câu hỏi | Trả lời |
|---|---|---|
| 5.1 | VPN Gateway và VPN User là gì, nên chọn IPsec hay OpenVPN? | VPN Gateway là cổng VPN client-to-site gắn vào một firewall, cho phép remote user truy cập an toàn tới tài nguyên trong VPC. Mỗi gateway có một VPN Type (IPsec hoặc OpenVPN), Accessible Subnets, Client IP Pool, Public Endpoint và DNS Servers. VPN User là tài khoản truy cập thuộc một gateway. IPsec kết nối qua UDP 500/4500 với Username + Password và CA Certificate .crt chung; OpenVPN kết nối qua UDP 1194 với file .ovpn riêng từng user. Giới hạn: 20 gateway mỗi firewall, 100 user mỗi gateway. |
| 5.2 | Tạo VPN Gateway cần chuẩn bị gì? | Firewall phải có ít nhất một subnet đã associate và chưa đạt 20 gateway. Trong form: VPN Type (IPsec mặc định hoặc OpenVPN); Gateway Name (≤50 ký tự, chữ/số/-/_, duy nhất trong firewall); Accessible Subnets (ít nhất một subnet đã associate); DNS Servers (ít nhất 1 IPv4 hợp lệ, tối đa 2). Public Endpoint và Client IP Pool được gán tự động. Tạo xong gateway ở Creating, rồi Running sau vài phút. |
| 5.3 | Vì sao không đổi được VPN Type sau khi tạo? | VPN Type (IPsec/OpenVPN) cố định sau khi tạo. Reconfigure (Edit) chỉ cho sửa Accessible Subnets và DNS Servers. Nếu chọn sai loại, phải xóa gateway và tạo lại. |
| 5.4 | Người dùng kết nối VPN như thế nào? | IPsec: admin cấp Username + Password (password chỉ hiện một lần khi tạo/reset) và phân phối CA Certificate .crt (tab Details) để cài vào OS Trusted Root store; user kết nối tới Public Endpoint qua UDP 500/4500. OpenVPN: admin tải file .ovpn của từng user (Download .ovpn ở tab Users) để user import vào OpenVPN client. Thay đổi user cập nhật giao diện ngay nhưng cần vài phút để backend áp dụng. |
| 5.5 | Credential chỉ hiện một lần, lỡ mất thì làm sao? | IPsec password hiển thị một lần ("Save it now. It is shown only once."), sau đó bị ẩn ********. Nếu mất, dùng Reset Password để sinh password mới (user phải cập nhật lại VPN client). OpenVPN profile: dùng Regenerate để cấp lại cert và .ovpn; cert cũ bị thu hồi và user phải re-import profile mới. |
| 5.6 | Xóa VPN Gateway hoặc User cần lưu ý gì? | Xóa Gateway cảnh báo "All active sessions will be disconnected and all users will lose access." và yêu cầu gõ delete (chữ thường); không thể hoàn tác. Xóa User cảnh báo "This user will be deleted and their active sessions will be disconnected." Session đang kết nối sẽ bị ngắt sau khi backend áp dụng (vài phút). |
6. Quyền truy cập
| # | Câu hỏi | Trả lời |
|---|---|---|
| 6.1 | Vai trò Admin và Member khác nhau thế nào? | NGFW Admin thực hiện được mọi thao tác. NGFW Member chỉ xem (firewall, network access rule, IDS/IPS rule file, logs, dashboard), vẫn Download được rule file và dùng Sync/filter. Các nút thao tác bị ẩn với Member — Create Firewall, Integrate VPC, Associate/Dissociate, Add/Edit/Delete/Clone/Restore rule, Apply Policy, Enable/Disable IDS/IPS, Import/Delete rule file. Nếu không thấy một nút nêu trên, nhiều khả năng bạn là Member. |
7. Các lỗi thường gặp
| # | Triệu chứng | Nguyên nhân thường gặp | Cách xử lý |
|---|---|---|---|
| 7.1 | "System is busy. Please try again later." | Lỗi backend tạm thời (tải, lưu, apply) | Thử lại sau giây lát |
| 7.2 | "No records found" | Không có dữ liệu khớp | Kiểm tra lại điều kiện search/filter |
| 7.3 | "Firewall is being updated. Please wait." | Firewall đang cập nhật | Tạm thời chỉ xem, chờ xử lý xong |
| 7.4 | "You don't have permissions to access" | Không có quyền truy cập dịch vụ | Liên hệ quản trị viên tổ chức. Lưu ý: nếu vào được trang nhưng không thấy một nút thao tác, đó là do vai trò Member, không phải lỗi quyền truy cập |