Bài viết này do AI tạo ra, có thể mắc sai sót.
Forward proxy là điểm trung gian mà client chủ động dùng để gửi yêu cầu ra ngoài. Khác với việc chỉ kiểm soát luồng qua routing, mô hình này phù hợp khi đội vận hành cần một điểm egress rõ ràng để áp chính sách truy cập web, lọc domain và ghi nhận lưu lượng.
Thông báo của AWS nêu rằng khách hàng có thể dùng Network Firewall với các năng lực lọc hiện hữu như một explicit forward proxy. Điều này giúp gom hai vai trò vào cùng dịch vụ: thực thi policy firewall và cung cấp điểm proxy cho luồng đi Internet.
Mô hình phù hợp với VPC có nhiều subnet private, máy chủ ứng dụng cần tải bản vá hoặc gọi API bên thứ ba, và môi trường yêu cầu kiểm soát outbound chặt. Thay vì mở Internet trực tiếp theo từng subnet, quản trị viên có thể thiết kế một tuyến egress qua firewall/proxy, rồi đặt policy theo nhu cầu tổ chức.
Nhóm bảo mật cần phân biệt rõ proxy explicit và transparent: ứng dụng, hệ điều hành hoặc thiết bị đầu cuối có thể phải được cấu hình proxy. Hãy thử với workload đại diện trước, nhất là phần mềm dùng certificate pinning, giao thức không phải HTTP/HTTPS hoặc có cấu hình proxy riêng.
Forward proxy đưa kiểm soát egress thành một thành phần kiến trúc có chủ đích. Với đội cloud vận hành nhiều account hoặc nhiều VPC, điểm kiểm soát tập trung giúp chuẩn hóa policy và điều tra sự cố dễ hơn, miễn là routing không tạo đường ra ngoài song song.
Tuy nhiên, proxy không thay thế thiết kế zero trust, phân quyền IAM, DNS security hay kiểm soát endpoint. Nó là một lớp thực thi mạng; hiệu quả phụ thuộc vào policy, quan sát log và việc buộc lưu lượng đi đúng tuyến.
Việc AWS đưa forward proxy trở lại Network Firewall đáng chú ý vì egress thường khó quản trị hơn ingress trong môi trường cloud phân tán. Nhiều workload private vẫn phải gọi dịch vụ công cộng, cập nhật package hoặc truy cập API đối tác. Một điểm proxy có policy thống nhất làm giảm nhu cầu dựng thêm proxy riêng cho các trường hợp cơ bản.
Rủi ro chính nằm ở kỳ vọng quá mức. Preview chưa phải cam kết GA; các ứng dụng đặc thù, TLS inspection, hiệu năng và chi phí cần được test bằng traffic thật. Đội vận hành nên triển khai pilot có telemetry đầy đủ, đo tỷ lệ lỗi và độ trễ, rồi mới chuyển các tuyến egress quan trọng.
Thông báo preview chính thức của AWS về AWS Network Firewall Forward Proxy, tháng 8/2026.
