Trang chủ Về chúng tôi Giải pháp Dịch vụ Cloud Server Blog Liên hệ ngay
Next Step
Bài viết

Cloudflare Secure Web Gateway: Bảo vệ toàn diện lưu lượng Internet cho doanh nghiệp

Người đăng: Next Step Team • Ngày đăng: 15/08/2026 Cập nhật: 28/10/2026

Hãy hình dung Secure Web Gateway như một bộ lọc nước thông minh — thay vì để nước chảy tự do, nó loại bỏ mọi tạp chất nguy hiểm trước khi đến tay người dùng. Với SWG, mọi lưu lượng truy cập Internet của nhân viên đều được kiểm tra, lọc và ghi lại tại điểm PoP Cloudflare gần nhất — không phải tại một trung tâm tập trung ở xa.

Cloudflare SWG là một tính năng trong giải pháp Zero Trust — mang lại cho doanh nghiệp khả năng dễ dàng tích hợp, sử dụng và “lắp ghép” vào phần còn thiếu của hệ sinh thái bảo mật hiện có.

🛡️ Cloudflare SWG bảo vệ những gì?

User 💻 Client on Device Wireguard tunnel or DoH 🏢 Router in Office Anycast GRE/IPsec ☁️ CLOUDFLARE Identity-based policy engine WHAT 🔒 Access control + 🦠 Threat protection + 📋 Data protection HOW 🔥 Firewall 🔍 Resolver 🌐 Proxy 🖥️ Browser (RBI) Resource 🌍 Public Internet 📱 Any app Cloudflare kiểm tra và lọc traffic tại PoP gần nhất với người dùng

Công nghệ cốt lõi SWG bao gồm:

  • Lọc URL (URL Filtering)
  • Phát hiện và chặn phần mềm độc hại (Anti-malware)
  • Kiểm soát ứng dụng (Application control)
  • Ngăn chặn mất mát dữ liệu (DLP)
  • Lọc nội dung và kiểm soát danh tính

3 loại chính sách Gateway:

DNS

Chặn tên miền cụ thể từ phía thiết bị người dùng

Network

Kiểm tra gói TCP/UDP/GRE, chặn theo IP hoặc cổng

HTTP

Lọc lớp 7, chặn URL cụ thể, thêm header, áp dụng RBI

📲 Cài đặt WARP Client

Cloudflare WARP Client là ứng dụng chạy trên thiết bị của người dùng, định tuyến toàn bộ lưu lượng đến mạng toàn cầu của Cloudflare qua giao thức WireGuard tối ưu. Khi WARP bật, mọi chính sách Gateway sẽ được áp dụng tự động — không cần cấu hình thủ công trên từng máy.

Cách tải WARP Client:

  • Truy cập https://1.1.1.1 để tải file cài đặt cho Windows/macOS hoặc link đến App Store/Play Store
  • Hoặc vào Zero Trust dashboard → Settings → Downloads → tải phiên bản phù hợp với hệ điều hành

Hỗ trợ đa nền tảng:

🪟 Windows 10/11 (64-bit) 🍎 macOS Catalina 10.15+ 🐧 Linux (Ubuntu, CentOS…) 📱 iOS 11+ 🤖 Android 5.0+ 💻 ChromeOS (sau 2019)

▶ Triển khai thủ công (Tổ chức nhỏ)

Phù hợp với tổ chức nhỏ — người dùng tự cài và đăng ký thiết bị theo các bước sau:

1 Khởi chạy ứng dụng WARP Chấp nhận Privacy Policy và Terms of Service 2 Vào Preferences → Account Chọn “Login with Cloudflare Zero Trust” 3 Nhập tên nhóm (Team name) Tên tổ chức Zero Trust đã tạo trước đó 4 Hoàn thành xác thực Theo yêu cầu của tổ chức (MFA, SAML…) 5 Bấm “Open Cloudflare WARP” Khi trình duyệt hiện hộp thoại xác nhận 6 Chọn Connect WARP hiển thị “Zero Trust — Connected” Zero Trust — Connected ✓

▶ Triển khai được quản lý (MDM — Tổ chức lớn)

Các tổ chức lớn có thể triển khai WARP tự động đến toàn bộ thiết bị qua công cụ MDM (Intune, JAMF) hoặc thực thi file .msi trên máy tính để bàn.

Thông số Windows 10/11 macOS 10.15+ Linux OS type 64-bit only 64-bit only 64-bit only HDD space 184 MB 75 MB 75 MB Memory 3 MB 35 MB 35 MB Network WiFi / LAN MTU ≥ 1280B WiFi / LAN MTU ≥ 1280B WiFi / LAN .NET Framework 4.7.2 or later — —

📦 Cài đặt WARP qua MSI (Windows):

msiexec /i "Cloudflare_WARP_<VERSION>.msi" /qn
ORGANIZATION="your-team-name"
SUPPORT_URL="http://support.example.com"

🗑️ Gỡ cài đặt WARP (PowerShell → tìm package ID trước):

Get-WmiObject Win32_Product | Where-Object { $_.Name -match "WARP" }
# Sau đó dùng LocalPackage để gỡ:
msiexec /x C:WINDOWSInstaller<WARP_RELEASE>.msi /quiet

⚙️ Cập nhật cấu hình qua file mdm.xml:

<dict>
  <key>organization</key>
  <string>your-team-name</string>
  <key>onboarding</key>
  <false/>
</dict>

Đường dẫn file: C:ProgramDataCloudflaremdm.xml — mọi thay đổi được áp dụng ngay lập tức.

Xác thực trong trình duyệt nhúng: Nếu muốn dùng WebView2 thay vì trình duyệt mặc định cho quá trình đăng ký, thêm registry key: REG ADD HKLMSOFTWARECloudflareCloudflareWARP /f /v UseWebView2 /t REG_SZ /d y

📋 Chính sách Gateway DNS

DNS policies là lớp bảo vệ đầu tiên — chặn tên miền độc hại ngay từ giai đoạn phân giải DNS, trước khi trình duyệt thậm chí cố kết nối. Phù hợp để chặn toàn bộ danh mục trang web (streaming, mạng xã hội, malware…).

1

Tạo chính sách DNS

Vào Gateway → Firewall Policies → DNS → Add a policy. Đặt tên chính sách, sau đó cấu hình expression:

Create a DNS policy STEP 1 — Name your policy Restrict Streaming STEP 2 — Build an expression Selector Application ▾ Operator in ▾ Value — chọn các dịch vụ cần chặn Netflix ✕ YouTube ✕ Disney+ ✕ Hulu ✕ Twitch ✕ … STEP 3 — Select an action Block ▾ Create policy

Ở bước cấu hình cuối, có thể bật Display block page để hiển thị thông báo tùy chỉnh khi người dùng bị chặn, và Display block notification for WARP Client để WARP hiển thị popup thông báo trực tiếp trên thiết bị.

2

Kiểm tra chính sách DNS

Sau khi tạo chính sách và bật WARP, thử truy cập netflix.com. Trình duyệt sẽ báo lỗi DNS_PROBE_FINISHED_NXDOMAIN hoặc ERR_ADDRESS_INVALID — xác nhận DNS policy đang hoạt động.

netflix.com 😵 This site can’t be reached DNS_PROBE_FINISHED_NXDOMAIN ✓ DNS policy đang hoạt động đúng

🌐 Chính sách Gateway Network — SSH trong trình duyệt

Network policies hoạt động ở tầng TCP/UDP, cho phép kiểm soát kết nối theo IP hoặc cổng. Một ứng dụng thực tế nổi bật là thiết lập SSH trong trình duyệt web — người dùng SSH vào server mà không cần client SSH truyền thống.

Bước 1 — Tạo ứng dụng SSH trong Access

  1. Vào Access → Applications → bấm Add an application → chọn Self-hosted
  2. Đặt tên ứng dụng là ssh, Session Duration 24 hours
  3. Cấu hình Application domain: Subdomain = ssh, Domain = tên miền của bạn
  4. Tạo chính sách Allow cơ bản (tương tự các ứng dụng khác)
  5. Trong trang thiết lập cuối, bật Enable automatic cloudflared authentication
  6. Chọn Browser rendering = SSH → bấm Add application
Additional settings Enable automatic cloudflared authentication Browser rendering Beta SSH ▾ Cloudflare will render an SSH terminal or VNC session for this application in a web browser.

Bước 2 — Bắt đầu phiên SSH trong trình duyệt

Sau khi cấu hình xong, người dùng truy cập URL của ứng dụng SSH → nhập username và password của máy chủ Ubuntu → trình duyệt hiển thị shell SSH đầy đủ tính năng.

ssh.ancient-uncle.cfiq.io
Welcome to Ubuntu 20.04.5 LTS (GNU/Linux 5.15.0-1034-azure x86_64)

System load:  0.24        Processes: 160
Memory usage: 41%         Users logged in: 1
IPv4 address: 10.0.0.116

cloudflare@lab000000:~$ _

Kiểm tra chính sách Network: Khi bật WARP và thử SSH trực tiếp tới IP máy chủ gốc qua terminal (ssh 10.0.0.3), kết nối sẽ bị từ chối với lỗi kex_exchange_identification: Connection closed by remote host — xác nhận Gateway Network policy đang chặn đúng.

🔗 Chính sách Gateway HTTP — Thêm Header tùy chỉnh

HTTP policies hoạt động ở lớp 7, cho phép không chỉ chặn URL mà còn thêm HTTP headers vào request trước khi gửi đến server. Ứng dụng thực tế: thêm header X-Googapps-Allowed-Domains để chỉ cho phép truy cập Google Workspace từ tài khoản miền doanh nghiệp cụ thể.

Tạo chính sách HTTP thêm header

  1. Vào Gateway → Firewall Policies → HTTP → Add a policy
  2. Đặt tên: Add HTTP Header
  3. Build expression: Selector = Domain, Operator = is, Value = headers.cflr.workers.dev
  4. Action = Allow
  5. Trong Configure policy settings → mục Add headers to matched requests: nhập Custom header name = X-Custom-Header và Value = HTTP was applied
  6. Bấm Create policy
Create an HTTP policy STEP 2 — Build an expression Domain ▾ is ▾ headers.cflr.workers.dev STEP 3 — Select an action Allow ▾ STEP 4 — Configure policy settings Add headers to matched requests Custom header name Custom header value X-Custom-Header HTTP was applied

Bước 2 — Kiểm tra chính sách HTTP

Truy cập headers.cflr.workers.dev trong khi WARP đang bật. Trang web hiển thị toàn bộ HTTP headers của request — bạn sẽ thấy dòng x-custom-header: HTTP was applied xuất hiện trong danh sách, xác nhận policy đang hoạt động.

headers.cflr.workers.dev — HTTP Headers received:

accept: text/html,application/xhtml+xml,...
accept-encoding: gzip
cache-control: max-age=0
cf-ipcountry: VN
host: headers.cflr.workers.dev
user-agent: Mozilla/5.0 (Windows NT 10.0...)
x-custom-header: HTTP was applied  ◀ ✓ Policy hoạt động
x-real-ip: 2a09:bac5:55fb:15f:23:3c9

💡 Tổng kết từ Next Step

  • WARP Client là bước nền tảng — không có WARP, các chính sách Gateway DNS/Network/HTTP sẽ không được áp dụng trên thiết bị người dùng
  • DNS policy là lớp bảo vệ nhẹ nhất, hiệu quả nhất cho việc chặn toàn bộ danh mục trang web — nên bật trước tiên
  • Network policy kiểm soát ở tầng TCP/UDP — lý tưởng cho việc chặn theo port hoặc IP cụ thể, kết hợp với SSH in browser để truy cập server an toàn
  • HTTP policy mạnh nhất nhưng yêu cầu WARP client — cho phép kiểm soát URL cụ thể, thêm header, áp dụng Remote Browser Isolation (RBI)
  • Với triển khai MDM, hãy kiểm tra file mdm.xml và lệnh msiexec trên một máy thử trước khi deploy rộng
  • Tính năng Display block page và Block notification for WARP Client giúp người dùng hiểu lý do bị chặn — giảm đáng kể lượng ticket hỗ trợ IT

Cần hỗ trợ triển khai Cloudflare Secure Web Gateway?

Đội ngũ Next Step tư vấn và triển khai WARP Client, cấu hình Gateway DNS/Network/HTTP phù hợp với quy mô và yêu cầu bảo mật của doanh nghiệp — liên hệ (+84) 933 810 688 hoặc [email protected].

← Quay lại Blog
✓