An toàn mạng & Hạ tầng đám mây (Network Security)

Trạng thái

Owner: Tech lead · Trạng thái: draft · Nguồn chuẩn: flezi.infra.iac/docs/architecture-snapshot-14-08-2026.md

Tài liệu này mô tả các biện pháp kiểm soát an ninh mạng, phân vùng mạng ảo và bảo vệ bề mặt tấn công của hệ thống trên đám mây Microsoft Azure.

Phân vùng mạng ảo (VNet Segmentation)

Hệ thống hoạt động trong một Virtual Network (VNet) chuyên dụng với các subnet được phân tách logic rõ ràng:

Subnet Ingress: Chỉ tiếp nhận lưu lượng HTTPS công cộng qua cổng 443 từ Internet, chuyển tiếp tới Traefik Gateway.
Subnet Ứng dụng Nội bộ: Chứa các máy chủ xử lý Backend và AI Runtime; không gán IP công cộng trực tiếp.
Subnet Sandbox Cô lập: Môi trường chạy các container thực thi; áp dụng luật tường lửa hạn chế kết nối ra ngoài Internet trừ khi cần thiết cho tác vụ người dùng yêu cầu.
Subnet Cơ sở dữ liệu & Private Endpoints: Dành riêng cho PostgreSQL Flexible Server và Azure Managed Redis, hoàn toàn không thể tiếp cận từ ngoài Internet.

Tường lửa mạng (Network Security Groups - NSG): Áp dụng quy tắc "chặn tất cả mặc định" (Default Deny All), chỉ mở các cổng dịch vụ nội bộ cần thiết giữa các subnet tương ứng.
Không truy cập SSH công cộng: Quản trị máy chủ được thực hiện thông qua Azure Bastion an toàn hoặc mạng VPN doanh nghiệp, cấm hoàn toàn mở cổng SSH (22) ra ngoài Internet.
Mã hóa đường truyền TLS: Sử dụng TLS 1.2/1.3 cho toàn bộ kết nối giữa client và hệ thống cũng như kết nối giữa các dịch vụ PaaS.

Các dịch vụ cơ sở dữ liệu quan trọng kết nối qua Azure Private Link.
Đăng ký container registry (ACR) tắt quyền Admin Account để chỉ cho phép xác thực qua Managed Identity.

Tích hợp thêm dịch vụ Azure Web Application Firewall (WAF) để phòng chống các cuộc tấn công DDoS tầng ứng dụng (Layer 7).