> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cystack.net/llms.txt
> Use this file to discover all available pages before exploring further.

# Kiểm soát truy cập & lưu lượng

> Chặn theo IP/quốc gia/ASN, giới hạn tần suất và chuyển hướng lưu lượng

Ngoài việc chặn tấn công theo nội dung request, CyStack WAF còn cho phép kiểm soát **ai** được truy cập, **với tần suất bao nhiêu** và **điều hướng** lưu lượng. Ba nhóm công cụ này giúp giảm tải tấn công tự động, bảo vệ điểm truy cập nhạy cảm và quản lý đường đi của người dùng.

## Chặn theo IP, quốc gia và ASN

Mục **Chặn IP & quốc gia** cho phép cho phép hoặc chặn lưu lượng theo nguồn gốc, không cần xây dựng điều kiện phức tạp.

<img src="https://mintcdn.com/cystack/WNqxQZcBqN6sgQjq/images/vulnscan/waf/vi-ip-access.png?fit=max&auto=format&n=WNqxQZcBqN6sgQjq&q=85&s=40e641f92a25cf6bf9c9c6652dd7300e" alt="Kiểm soát truy cập theo IP và quốc gia" width="3024" height="2000" data-path="images/vulnscan/waf/vi-ip-access.png" />

Mỗi mục gồm:

| Thành phần    | Giá trị                                                       |
| ------------- | ------------------------------------------------------------- |
| **Loại**      | Địa chỉ IP/dải (CIDR), Quốc gia (mã ISO), hoặc Mạng (ASN).    |
| **Giá trị**   | Danh sách IP/CIDR, danh sách mã quốc gia, hoặc số hiệu AS.    |
| **Hành động** | **Chặn** (danh sách đen) hoặc **Cho phép** (danh sách trắng). |
| **Mô tả**     | Nhãn tùy chọn để dễ quản lý.                                  |

Có sẵn công cụ chọn quốc gia (kèm cờ) và tìm kiếm ASN theo tên tổ chức để nhập nhanh.

<Tip>
  Dùng luật **Cho phép** cho mạng văn phòng hoặc dải IP nội bộ tin cậy, và **Chặn** cho các quốc gia/ASN có rủi ro cao mà tổ chức không phục vụ. Mỗi mục hiển thị số lần khớp trong 24 giờ để đánh giá tác động.
</Tip>

## Giới hạn tần suất

Mục **Giới hạn tần suất** hạn chế số request mà một client có thể gửi trong một khoảng thời gian, giúp chống brute-force đăng nhập, lạm dụng API và dò quét tự động.

<img src="https://mintcdn.com/cystack/WNqxQZcBqN6sgQjq/images/vulnscan/waf/vi-rate-limiting.png?fit=max&auto=format&n=WNqxQZcBqN6sgQjq&q=85&s=a2ecb229d573fc13fbfbf5aa45821481" alt="Luật giới hạn tần suất" width="3024" height="2000" data-path="images/vulnscan/waf/vi-rate-limiting.png" />

Mỗi luật cấu hình:

| Thành phần                | Mô tả                                                                                                    |
| ------------------------- | -------------------------------------------------------------------------------------------------------- |
| **Tên**                   | Mô tả mục đích của luật.                                                                                 |
| **Áp dụng cho đường dẫn** | Tùy chọn — chỉ giới hạn request khớp tiền tố đường dẫn này (ví dụ `/login`).                             |
| **Đếm theo**              | **Địa chỉ IP** (mọi đường dẫn của cùng IP) hoặc **IP + đường dẫn URL** (mỗi cặp IP–đường dẫn đếm riêng). |
| **Ngưỡng**                | Số request tối đa trong một khoảng thời gian, ví dụ `10 request / 60 giây`.                              |
| **Hành động**             | Khi vượt ngưỡng, trả về HTTP **429 (Too Many Requests)**.                                                |

Ví dụ minh họa: luật chống brute-force đăng nhập giới hạn `10 request / 60s` theo IP cho đường dẫn `/login`; luật giới hạn API cho phép `600 request / 60s` theo cặp IP + đường dẫn.

## Chuyển hướng

Mục **Chuyển hướng** trả về phản hồi chuyển hướng cho các request khớp điều kiện — hữu ích khi di chuyển đường dẫn cũ, hợp nhất tên miền hoặc ép truy cập theo đường dẫn chuẩn.

<img src="https://mintcdn.com/cystack/WNqxQZcBqN6sgQjq/images/vulnscan/waf/vi-redirects.png?fit=max&auto=format&n=WNqxQZcBqN6sgQjq&q=85&s=5b8a49c6db0a8d6a025555c1fd274ccc" alt="Luật chuyển hướng" width="3024" height="2000" data-path="images/vulnscan/waf/vi-redirects.png" />

Mỗi luật gồm:

| Thành phần           | Mô tả                                                                                           |
| -------------------- | ----------------------------------------------------------------------------------------------- |
| **Tên**              | Mô tả mục đích chuyển hướng.                                                                    |
| **Điều kiện khớp**   | Bộ điều kiện đầy đủ như [luật tùy chỉnh](/vi/vulnscan/waf-rules) (theo path, query, header...). |
| **Chuyển hướng tới** | URL đích, tuyệt đối hoặc tương đối. Có tùy chọn **giữ nguyên query string**.                    |
| **Mã trạng thái**    | 301 (vĩnh viễn), 302 (tạm thời), 307 hoặc 308 theo chuẩn HTTP.                                  |

<Note>
  Chuyển hướng được xử lý ngay tại lớp biên trước khi request tới origin, nên có hiệu lực kể cả khi ứng dụng gốc chưa được cập nhật.
</Note>

## Phối hợp với luật bảo vệ

Các công cụ trên hoạt động cùng [bộ luật OWASP và luật tùy chỉnh](/vi/vulnscan/waf-rules). Trong trang [giám sát](/vi/vulnscan/waf-monitoring), mỗi sự kiện bị chặn đều cho biết nó bị chặn bởi nhóm nào — bộ luật quản lý, luật tùy chỉnh, giới hạn tần suất hay kiểm soát truy cập — giúp đối chiếu và tinh chỉnh chính xác.