Chuyển tới nội dung chính

FAQ

Giải đáp các câu hỏi thường gặp về FPT Cloud WAF dành cho L1 Support.

1. Domain và chứng chỉ​

#Câu hỏiTrả lời
1.1Vì sao domain bị Unprotected và cách khắc phục?Unprotected (chấm đỏ + icon ⓘ) nghĩa là WAF không bảo vệ domain. Hover icon ⓘ để xem lý do: "Certificate expired" (cập nhật certificate) hoặc "WAF is disabled" (bật lại WAF protection). Nếu dính cả hai, tooltip ưu tiên hiển thị "WAF is disabled".
1.2Cột Certificate có các màu/ký hiệu khác nhau, nghĩa là gì?Expires DD/MM/YYYY · Nd left = còn hiệu lực, còn hơn 30 ngày. ⚠ Expires DD/MM/YYYY · Nd left (amber) = sắp hết hạn, còn 0–30 ngày, nên chuẩn bị gia hạn. ✗ Expired · DD/MM/YYYY (đỏ) = đã hết hạn, domain chuyển sang Unprotected.
1.3Xóa domain khỏi WAF cần lưu ý gì?Xóa domain không thể hoàn tác; sau khi xóa, traffic không còn được WAF lọc và đi thẳng tới origin. Để xác nhận: mở menu Actions (⋮) → Delete, gõ chính xác delete (chữ thường) — nút Confirm chỉ bật khi gõ đúng (DELETE, Delete hay sai chính tả đều không bật).

2. Thêm domain và trỏ DNS​

#Câu hỏiTrả lời
2.1Domain name và Origin address phải nhập đúng định dạng nào?Domain name: domain hợp lệ như shop.abc.com, tối đa 253 ký tự, không wildcard (*.abc.com), không bắt đầu bằng dấu chấm, không hai dấu chấm liền, không kết thúc bằng gạch ngang. Origin address: domain name (origin.example.com) hoặc IPv4 (203.0.113.1), chấp nhận IP public và private RFC1918 (10.x, 172.16.x, 192.168.x) nhưng không chấp nhận loopback 127.0.0.0/8 và không hỗ trợ IPv6.
2.2Chọn Protocol và Port thế nào cho đúng?Protocol mặc định https (có thể đổi http). Port bắt buộc, trong khoảng 1 đến 65535. Ràng buộc: Protocol https kết hợp Port 80 sẽ báo "Invalid port for HTTPS."
2.3Tôi nhập domain nhưng báo đã tồn tại, vì sao?"This domain already exists in your WAF." nghĩa là domain đã đăng ký trong chính tenant của bạn. "The root domain of this domain is already in use by another tenant." nghĩa là root domain đã được tenant khác đăng ký. Subdomain không bị chặn giữa các tenant khác nhau.
2.4Trỏ DNS ở Bước 3 như thế nào?Section Point your DNS to WAF có 2 tab (mặc định Subdomain). Subdomain: tạo CNAME, Name là phần subdomain (với www.ztalk.vn → Name www), Value là WAF edge hostname (nút Copy). Root domain: vì RFC 1912 không cho CNAME trên root domain, RECOMMENDED (DNS hỗ trợ ALIAS/ANAME như Cloudflare, Route 53, DNSimple) là CNAME tại @ trỏ WAF edge hostname; FALLBACK (DNS chỉ hỗ trợ A record) là A record tại @ trỏ WAF public ingress IP.
2.5Whitelist WAF egress IPs để làm gì?Đây là dải IP mà WAF dùng để gọi tới origin của bạn. Hãy cấu hình firewall origin chỉ nhận traffic từ các dải egress IP này, để kẻ tấn công không thể bỏ qua WAF bằng cách gọi thẳng origin. Lưu ý: egress IP (section Whitelist) dùng cho firewall origin; IP dùng cho A record ở phần DNS là WAF ingress IP — hai nhóm khác nhau.
2.6Provisioning thất bại / origin health check failed thì xử lý ra sao?Dialog Provisioning Failed hiển thị Reason (thường là "Origin health check failed...", nghĩa là WAF không kết nối được tới origin) kèm nút Retry Provisioning. Kiểm tra theo thứ tự: (1) origin đang chạy và address/port/protocol ở Step 1 đúng; (2) certificate ở Step 2 đúng (upload lại nếu cần); (3) đã whitelist egress IP của WAF ở firewall origin. Sau đó bấm Retry Provisioning.

3. Chứng chỉ TLS​

#Câu hỏiTrả lời
3.1Cần chuẩn bị file gì và nhập certificate bằng cách nào?Chuẩn bị Certificate (PEM) (bắt buộc), Private Key (PEM) (bắt buộc), Certificate Chain (tùy chọn). Bạn tự mua certificate từ CA (DigiCert, GlobalSign…) và chịu trách nhiệm gia hạn. Với mỗi trường, chọn 1 trong 2 cách loại trừ lẫn nhau: dán PEM vào textarea, hoặc upload file (.pem/.crt cho cert, .key cho key). Đã upload file thì textarea ẩn và hiện nút Remove File.
3.2Validate certificate báo không hợp lệ, vì sao?Hệ thống kiểm tra theo thứ tự: (1) cover domain → (2) còn hạn. Các trường hợp: certificate không cover domain (panel đỏ "Certificate is invalid" + "Certificate does not cover domain '{domain}'"); đã hết hạn (panel đỏ "Certificate is invalid", Expires hiện ngày quá khứ); cert sai cấu trúc ("Certificate (PEM) is not valid"); key sai cấu trúc ("Private key (PEM) is not valid"); key không khớp cert ("Private key does not match the certificate"). Chỉ khi hợp lệ mới hiện "Certificate validated". Sửa cert hoặc key sau khi đã validate sẽ reset và phải validate lại.
3.3Làm sao cập nhật certificate cho domain đang chạy?Vào Domain Details → card Certificate → Update Certificate →. Trong popup: upload cert + key mới → Validate Certificate → khi hợp lệ bấm Save Changes. Quy tắc validate giống certificate mới.

4. Bật/tắt WAF protection và origin​

#Câu hỏiTrả lời
4.1Bật/tắt WAF protection cho một domain thế nào?Dùng công tắc WAF protection ở header trang Domain Details; mỗi lần chuyển trạng thái đều có dialog xác nhận. Tắt ("Turn Off WAF Protection?"): traffic đi thẳng tới origin, không inspect, tấn công không bị chặn hoặc ghi log; domain chuyển Unprotected và hiện "WAF is turned off". Bật ("Turn On WAF Protection?"): WAF inspect trở lại, cấu hình cũ được khôi phục.
4.2Origin báo Unhealthy thì phải làm gì?Unhealthy nghĩa là origin không phản hồi health check của WAF. Kiểm tra origin có đang chạy không, port/protocol có đúng không, và egress IP của WAF đã được whitelist ở firewall origin chưa. Sau đó bấm Check Now để kiểm tra lại (nút khóa trong lúc kiểm tra, xong hiện "Origin health checked").

5. Security Policies​

#Câu hỏiTrả lời
5.1Các rule được đánh giá theo thứ tự nào?Pipeline đánh giá tuần tự 3 lớp (How Rules Are Evaluated): (1) IP Rules — Allow > Block; mọi rule được kiểm tra, Allow luôn ưu tiên hơn Block; Allow bỏ qua các lớp bảo vệ được chọn và đi thẳng origin, Block trả 403. (2) Rate Limiting — đánh giá độc lập, nhiều rule có thể match cùng lúc, mỗi rule đếm riêng; Block > Challenge. (3) WAF / OWASP — Custom Rules → FPT Managed Rules → OWASP CRS, first match wins.
5.2Vì sao thay đổi của tôi chưa có hiệu lực?Hầu hết thay đổi (thêm/sửa/xóa rule, đổi slider, bật/tắt toggle, import) được gom thành draft và chỉ áp dụng khi bấm Save Changes. Khi có thay đổi chưa lưu, header hiện "Unsaved changes" và bật Save Changes / Discard. Chuyển step trong pipeline thì giữ draft, nhưng rời khỏi Security Policies sẽ hiện dialog Unsaved Changes (Stay / Leave Anyway).
5.3Cấu hình Rate Limiting cần lưu ý gì?Mỗi rule gồm Path, Threshold (số request), Window (10 sec đến 1 hour), Action (Block/Challenge), Scope (Per IP/Per IP + Path). * trong Path khớp mọi sub-path sau prefix (/api/* khớp /api/v1, /api/v1/users). Ràng buộc: Path chứa * kết hợp Scope Per IP + Path sẽ báo "Wildcard paths only apply to the Per IP scope." Challenge cho visitor qua trang xác minh trình duyệt nhanh (~1 giây), phần lớn người dùng hợp lệ tự vượt qua.
5.4Paranoia Level (PL1 đến PL4) nên chọn mức nào?OWASP CRS dùng mô hình cộng dồn anomaly-score; Paranoia Level điều chỉnh độ phủ. PL1 — Conservative: false positive thấp, an toàn bật production ngay. PL2 — Balanced: bắt biến thể tinh vi hơn, false positive tăng; khi cần bảo vệ cao hơn. PL3 — Aggressive: rất chặt, có thể chặn app có payload phức tạp; nên test trước. PL4 — Maximum: cực chặt, chỉ cho app có input validation nghiêm ngặt.
5.5Custom Rules: Allow và Log only khác nhau thế nào?Custom Rules chạy trước FPT Managed Rules và OWASP CRS, theo Priority (số nhỏ chạy trước, first match wins). Allow bỏ qua tất cả rule phía sau, request đi thẳng origin. Log only chỉ ghi log — request vẫn tới origin nhưng các rule phía sau vẫn tiếp tục được đánh giá. (Hai action còn lại: Block trả 403, Challenge xác minh trình duyệt.) Priority bắt buộc, không trùng, và không sửa được khi Edit (chỉ đặt lúc tạo mới).
5.6Import CSV có ghi đè rule hiện có không?Có. Import thay thế toàn bộ rule hiện có (ghi đè) cho IP Rules, Rate Limit Rules và Custom Rules. Luồng: chọn file .csv → hệ thống validate toàn bộ file (phải hợp lệ 100%) → dialog xác nhận Import & Replace → chỉ áp dụng sau khi Save Changes. Nên Export để sao lưu rule hiện tại trước khi import, và dùng Download template để lấy đúng cấu trúc cột.

6. Quyền truy cập​

#Câu hỏiTrả lời
6.1Vai trò Admin và Member khác nhau thế nào?WAF Admin thực hiện được mọi thao tác. WAF Member chỉ xem (Domain List, Domain Detail, Security Policies, WAF Logs) và vẫn dùng được Check Now. Các nút thay đổi bị ẩn với Member — + Add Domain, Delete domain, toggle WAF protection, Update Certificate →, và toàn bộ nút cấu hình trong Security Policies (Save Changes, Discard, thêm/sửa/xóa/Import rule, Apply Update, Restore). Nếu không thấy một nút nêu trên, nhiều khả năng bạn là Member.

7. Các lỗi thường gặp​

#Triệu chứngNguyên nhân thường gặpCách xử lý
7.1Domain ở trạng thái UnprotectedCertificate hết hạn, hoặc WAF protection đang tắtCập nhật certificate hoặc bật lại WAF protection
7.2"Invalid port for HTTPS."Protocol https kết hợp Port 80Dùng port HTTPS hợp lệ, hoặc đổi Protocol sang http
7.3"This domain already exists in your WAF." / "The root domain ... is already in use by another tenant."Domain đã đăng ký trong tenant của bạn, hoặc root domain đã được tenant khác dùngDùng domain khác; subdomain không bị chặn giữa các tenant
7.4"Certificate is invalid" khi validateCertificate không cover domain, đã hết hạn, hoặc key không khớpUpload certificate cover đúng domain và còn hạn, với key khớp
7.5Provisioning Failed / "Origin health check failed..."WAF không kết nối được tới originKiểm tra origin đang chạy, address/port/protocol đúng, và đã whitelist egress IP, rồi Retry Provisioning
7.6Origin báo UnhealthyOrigin không phản hồi health checkKiểm tra origin, port/protocol, và whitelist egress IP, rồi bấm Check Now