# AWS Network Firewall เปิด NGFW policy แยกไฟร์วอลล์กับ IPS รวม 80,000 กฎต่อ policy

> AWS เปิด NGFW policy ใน AWS Network Firewall เมื่อ 10 พ.ย. 2026 แยกกฎ firewall ที่บล็อกเป็นค่าเริ่มต้นออกจาก IPS ความจุรวม 80,000 กฎ ไม่คิดค่าบริการเพิ่ม

- ประเภท: ข่าว · หมวด: Cloud
- เผยแพร่: 2026-11-11T07:35:00.000Z · อัปเดต: 2026-11-11T07:35:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/cloud/aws-network-firewall-ngfw-policy/

## สรุปประเด็นสำคัญ

- AWS ประกาศ **next-generation firewall (NGFW) policy** ของ **AWS Network Firewall** เมื่อ **10 พฤศจิกายน 2026** ใช้ได้ทุก commercial Region และ GovCloud (US) **โดยไม่คิดค่าบริการเพิ่ม**
- NGFW policy ตรวจทราฟฟิกด้วย 2 เอนจินต่อกัน: **firewall engine** ที่บล็อกทุกอย่างที่ไม่ได้อนุญาต และ **IPS engine** ที่ปล่อยผ่านเว้นแต่ตรงกับกฎภัยคุกคาม ทราฟฟิกต้องผ่านเอนจินแรกก่อนถึง IPS
- ความจุแยกกัน **30,000 กฎ firewall** และ **50,000 กฎ IPS** รวม **80,000 กฎต่อ policy** ปรับเพิ่มไม่ได้ ส่วนรายการโดเมนของ IPS มีพื้นที่แยกได้ถึง **10 ล้านชื่อโดเมน**
- policy แบบ Classic เดิม **ยังทำงานต่อโดยไม่ต้องแก้** และกฎ IPS ใช้ร่วมกันได้ แต่ firewall หนึ่งตัวใช้ได้ทีละแบบ และ AWS แนะนำ NGFW policy สำหรับ firewall ใหม่
- ราคา AWS Network Firewall ใน **Region ไทย** ตาม AWS Price List API อยู่ที่ **0.66 ดอลลาร์ต่อ endpoint-ชั่วโมง** สูงกว่า Region สิงคโปร์ที่ **0.395 ดอลลาร์** ส่วนค่าประมวลผลข้อมูล **0.065 ดอลลาร์ต่อ GB** เท่ากัน

AWS เปิด NGFW policy (next-generation firewall policy) ให้ AWS Network Firewall เมื่อวันที่ 10 พฤศจิกายน 2026 เป็นรูปแบบ policy ใหม่ที่แยกกฎควบคุมการเข้าถึงออกจากกฎ IPS ให้แต่ละส่วนมีความจุของตัวเอง รวมสูงสุด 80,000 กฎต่อ policy ใช้ได้ทุก commercial Region รวม Region ไทย โดยไม่คิดค่าบริการเพิ่ม

AWS Network Firewall เป็นไฟร์วอลล์แบบ managed ที่ป้องกัน VPC บน AWS ประกาศบนหน้า What's New ระบุว่า NGFW policy ทำให้โครงสร้าง policy ง่ายขึ้น เพิ่มความจุกฎ และวางการป้องกันแบบ firewall กับ IPS เป็นชั้นซ้อนกันแทนการรวมไว้ด้วยกันแบบเดิม ทุกกฎเป็นแบบ stateful ที่ประเมินโดยรู้บริบทของการเชื่อมต่อทั้งหมด

![ประกาศ AWS Network Firewall launches next-generation firewall policy บนหน้า What's New ของ AWS ลงวันที่ 10 พ.ย. 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/aws-network-firewall-ngfw-policy/ngfw-policy-aws-whats-new.webp?v=9d388b41) _(ภาพ: AWS (ภาพหน้าจอ))_

## NGFW policy ตรวจทราฟฟิกอย่างไร

เอกสารของ AWS เรียก resource นี้ว่า `FirewallPolicyV2` และเรียกชื่อในเอกสารว่า Next Generation policy ทราฟฟิกจะผ่าน 2 เอนจินตามลำดับ ทราฟฟิกที่เอนจินแรกบล็อกจะไม่ไปถึงเอนจินที่สอง

| | Firewall engine | IPS engine |
| --- | --- | --- |
| หน้าที่ | ควบคุมว่าทราฟฟิกใดเข้าออกได้ | ตรวจหาและบล็อกภัยคุกคามที่รู้จัก |
| ค่าเริ่มต้น | **drop by default** บล็อกทุกอย่างที่ไม่ได้อนุญาต | **pass by default** ปล่อยผ่านถ้าไม่ตรงกฎ |
| วิธีตรวจ | ประเมินกฎทีละขั้นของการเชื่อมต่อ (hook) สร้างบน firewall mode ของ Suricata | ใช้กฎแบบ Suricata เหมือน stateful engine ของ policy แบบเดิม |
| ลำดับกฎ | กำหนด priority 1–65535 เลขน้อยประเมินก่อน | ตามลำดับ action (pass, drop, reject, alert) ไม่รองรับ strict order |
| ความจุ | 30,000 กฎต่อ policy | 50,000 กฎต่อ policy |

ตัวอย่างที่ AWS ยกคือกฎ firewall ที่อนุญาตให้ออกไปได้เฉพาะโดเมนที่อนุมัติแล้ว ส่วนกฎ IPS ใช้ managed rule group ของ AWS หรือพาร์ตเนอร์ใน AWS Marketplace ที่อัปเดตเองเมื่อมีภัยใหม่ หรือเขียน rule group เองก็ได้ NGFW policy ไม่ใช้ stateless rule group อีกแล้ว เพราะหน้าที่ของ stateless rule ย้ายไปอยู่ใน firewall engine

เอกสารระบุว่า firewall หนึ่งตัวผูกได้เพียงแบบเดียว คือ policy แบบ Classic หรือ NGFW policy ไม่ใช่ทั้งสองแบบพร้อมกัน AWS แนะนำ NGFW policy สำหรับ firewall ที่สร้างใหม่ ส่วน Classic ยังได้รับการสนับสนุนเต็มรูปแบบสำหรับ firewall เดิม

![หน้าเอกสาร AWS Network Firewall firewall policy versions ที่เทียบ Next Generation policy กับ Classic Network Firewall policy](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/aws-network-firewall-ngfw-policy/ngfw-policy-versions-doc.webp?v=03c7d900) _(ภาพ: AWS Documentation (ภาพหน้าจอ))_

## ความจุกฎแยกกัน และ embedded rule ไม่ต้องจองล่วงหน้า

ใน policy แบบเดิม ทีมต้องแบ่งความจุระหว่างกฎควบคุมการเข้าถึงกับกฎ IPS ประกาศของ AWS ระบุว่า NGFW policy ให้แต่ละเอนจินมีความจุของตัวเองจึงไม่ต้องแลกกันอีก หน้า quotas ระบุตัวเลขดังนี้

- กฎ firewall สูงสุด **30,000 กฎ** และกฎ IPS สูงสุด **50,000 กฎ** ต่อ policy รวม **80,000 กฎ** เป็นค่าตายตัว ทุก policy ได้เท่ากันและขอเพิ่มไม่ได้
- rule group ประเภทรายการโดเมนของ IPS ใช้พื้นที่แยก รองรับได้ถึง **10,000,000 ชื่อโดเมนต่อ policy**
- แต่ละส่วน (section) อ้างอิง rule group ได้ **20 รายการ**
- **embedded rule** ที่เขียนลงใน policy โดยตรง ดึงความจุจากที่เหลือได้ทันทีไม่ต้องจองไว้ก่อน รวมกันได้ **30,000 กฎ** และขนาดรวม **5 MB** แต่แชร์ข้าม policy ไม่ได้ และใช้เป็นรายการโดเมนไม่ได้

![ความจุกฎของ NGFW policy ใน AWS Network Firewall: firewall 30,000 กฎ IPS 50,000 กฎ และ embedded rule รวม 30,000 กฎ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/aws-network-firewall-ngfw-policy/ngfw-policy-rule-capacity.webp?v=c207d6b5) _(ภาพ: THAI DATA (ข้อมูล: AWS Documentation))_

## ทดสอบด้วย monitor mode ก่อนเปิดบล็อกจริง

NGFW policy มี policy mode 2 แบบ ค่าเริ่มต้นคือ **enforce** ที่บล็อกจริง ส่วน **monitor** จะประเมินทราฟฟิกตามกฎและบันทึก alert log ทุกครั้งที่กฎตรง แต่ไม่ทิ้งทราฟฟิกเลย เอกสารแนะนำให้ใช้ monitor ทดสอบ policy ใหม่กับทราฟฟิกจริง ตรวจ log และเมตริก `FirewallDefaultActionApplied` ใน CloudWatch ว่าทราฟฟิกที่ต้องการอนุญาตไม่โดน default drop แล้วจึงเปลี่ยนเป็น enforce

ข้อควรรู้คือ monitor mode เป็นการประมาณ ไม่ใช่สำเนาของ enforce mode log ทั้งสองแบบจึงไม่ตรงกันทุก flow และมีบางกรณีที่ยังบล็อกแม้อยู่ใน monitor ได้แก่ ใบรับรองที่ถูกเพิกถอนหรือไม่ทราบสถานะเมื่อตั้งการตรวจไว้เป็น Drop หรือ Reject การตรวจ Route 53 Resolved IP ที่ตั้ง action ไว้ และการเชื่อมต่อ TLS ที่อยู่ในขอบเขต TLS inspection แต่ SNI ขาดหรือไม่ถูกต้อง หรือใบรับรองไม่ตรงกับ SNI

![หน้าเอกสาร Policy mode: enforce and monitor ของ AWS Network Firewall ที่อธิบายการทดสอบ policy ก่อนบังคับใช้](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/aws-network-firewall-ngfw-policy/ngfw-policy-monitor-mode-doc.webp?v=b9b5555e) _(ภาพ: AWS Documentation (ภาพหน้าจอ))_

default action ของ firewall engine ตั้งได้ 4 แบบ คือ Drop (ค่าเริ่มต้น), Reject ที่ส่ง TCP reset กลับ, Accept ที่ทำให้ใช้เป็น IPS อย่างเดียว และ Alert ที่ปล่อยผ่านพร้อมบันทึก log ซึ่งเอกสารแนะนำระหว่างร่างรายการอนุญาต แต่ AWS เตือนว่าการตั้ง Accept คือการถอยจากท่าทีบล็อกเป็นค่าเริ่มต้นโดยตั้งใจ

## ราคา AWS Network Firewall ใน Region ไทย

NGFW policy ไม่มีค่าบริการเพิ่ม แต่ firewall ยังคิดเงินตามปกติ ข้อมูลจาก AWS Price List API (ฉบับเผยแพร่ 11 กันยายน 2026) ระบุดังนี้

| รายการ | Asia Pacific (Thailand) | Asia Pacific (Singapore) |
| --- | --- | --- |
| endpoint ต่อชั่วโมง | 0.66 ดอลลาร์ | 0.395 ดอลลาร์ |
| secondary endpoint ต่อชั่วโมง | 0.264 ดอลลาร์ | 0.158 ดอลลาร์ |
| ข้อมูลที่ประมวลผลต่อ GB | 0.065 ดอลลาร์ | 0.065 ดอลลาร์ |

ค่า endpoint ใน Region ไทยสูงกว่าสิงคโปร์ ขณะที่ค่าประมวลผลข้อมูลเท่ากัน องค์กรที่วาง VPC หลักไว้ใน Region ไทยเพื่อให้ข้อมูลอยู่ในประเทศจึงควรนับค่า endpoint ทุก Availability Zone ที่วาง firewall ไว้ในงบด้วย ดูค่าส่งข้อมูลข้าม Region ประกอบได้ที่[ค่า egress คลาวด์ 2026](/cloud/cloud-egress-price-2026-aws-azure-google-cloud/)

![อาคารศูนย์ข้อมูลของ AWS ที่ Ashburn รัฐเวอร์จิเนีย สหรัฐฯ (ภาพถ่ายปี 2020)](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/aws-network-firewall-ngfw-policy/ngfw-policy-aws-ashburn-servers-2.webp?v=f1445778) _(ภาพ: Vahurzpu / Wikimedia Commons (CC BY-SA 4.0))_

## ทำไมเรื่องนี้สำคัญ

การแยกชั้นแบบนี้ตรงกับวิธีที่ไฟร์วอลล์องค์กรทั่วไปทำงาน คือกำหนดก่อนว่าอะไรผ่านได้ แล้วจึงตรวจสิ่งที่ผ่านว่ามีภัยหรือไม่ ทีมที่เคยดูแลไฟร์วอลล์ในห้องเซิร์ฟเวอร์จะคุ้นกับโมเดลนี้มากกว่า policy แบบเดิมที่ต้องจัดการ stateless กับ stateful rule คู่กัน ความจุที่แยกกันยังแก้ปัญหาเดิมที่กฎ IPS จำนวนมากกินความจุของกฎควบคุมการเข้าถึง ส่วน monitor mode ช่วยลดความเสี่ยงที่การเปลี่ยนเป็นบล็อกทุกอย่างที่ไม่ได้อนุญาตจะทำให้ระบบที่ใช้งานอยู่สะดุด

## สิ่งที่องค์กรไทยควรทำ

1. **firewall ใหม่ให้เริ่มที่ NGFW policy** ตามที่ AWS แนะนำ ส่วน firewall เดิมยังใช้ Classic ต่อได้ ไม่ต้องรีบย้าย
2. **ทำรายการปลายทางที่อนุญาต** เช่น โดเมนของบริการที่แอปเรียกใช้ ก่อนเปิด firewall engine แบบบล็อกเป็นค่าเริ่มต้น
3. **เริ่มที่ monitor mode หรือ default action แบบ Alert** แล้วอ่าน log อย่างน้อยหนึ่งรอบธุรกิจ เช่น ช่วงปิดงวดบัญชี ก่อนเปลี่ยนเป็น enforce
4. **ตรวจ TLS inspection และการตรวจใบรับรอง** เพราะยังบล็อกได้แม้อยู่ใน monitor mode
5. **ทบทวนงบตามจำนวน endpoint** ใน Region ไทย และเทียบกับไฟร์วอลล์ที่ดูแลอยู่แล้ว เช่น ในข่าว[ปฏิทินอัปเกรดไฟร์วอลล์ Palo Alto และ FortiOS](/network/pan-os-10-2-end-of-life-fortios-firewall-calendar/)

ติดตามข่าว AWS และความปลอดภัยบนคลาวด์ได้ที่[หมวดคลาวด์](/cloud/)

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

การเปลี่ยนไฟร์วอลล์บนคลาวด์ไปใช้กฎแบบบล็อกเป็นค่าเริ่มต้นต้องมีคนอ่าน log และปรับกฎต่อเนื่อง ไม่ใช่ตั้งครั้งเดียวจบ [Managed Cloud Services](https://msp.thaidata.cloud/services/managed-cloud-services/) ของ THAI DATA CLOUD ดูแลระบบคลาวด์ขององค์กรตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ตลอด 24 ชั่วโมง ให้ทีมไอทีภายในโฟกัสงานหลักได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## คำถามที่พบบ่อย

### NGFW policy ของ AWS Network Firewall คืออะไร?

NGFW policy คือรูปแบบ firewall policy ใหม่ของ AWS Network Firewall ที่ AWS ประกาศเมื่อ 10 พฤศจิกายน 2026 แยกการตรวจเป็น firewall engine สำหรับควบคุมการเข้าถึงที่บล็อกเป็นค่าเริ่มต้น และ IPS engine สำหรับจับภัยคุกคาม แต่ละเอนจินมีความจุกฎของตัวเอง

### NGFW policy มีค่าใช้จ่ายเพิ่มหรือไม่?

ไม่มี AWS ระบุว่า NGFW policy ใช้ได้โดยไม่คิดค่าบริการเพิ่ม ผู้ใช้ยังจ่ายค่า AWS Network Firewall ตามปกติ คือค่า endpoint รายชั่วโมงและค่าประมวลผลข้อมูลต่อ GB ซึ่งใน Region ไทยอยู่ที่ 0.66 ดอลลาร์ต่อ endpoint-ชั่วโมงและ 0.065 ดอลลาร์ต่อ GB ตาม AWS Price List API

### ต้องย้าย policy เดิมไปเป็น NGFW policy ไหม?

ไม่บังคับ AWS ระบุว่า policy แบบ Classic ทำงานต่อได้โดยไม่ต้องแก้ไขและยังได้รับการสนับสนุนเต็มรูปแบบ แต่ firewall หนึ่งตัวใช้ได้ทีละแบบ และเอกสารแนะนำให้ใช้ NGFW policy กับ firewall ที่สร้างใหม่ กฎ IPS แบบ Suricata ที่มีอยู่ใช้ต่อได้

### ทดสอบ NGFW policy ก่อนบล็อกทราฟฟิกจริงได้อย่างไร?

ตั้ง policy mode เป็น monitor ระบบจะประเมินทราฟฟิกตามกฎและบันทึก alert log โดยไม่บล็อก จากนั้นตรวจ log และเมตริก FirewallDefaultActionApplied ใน CloudWatch ว่าทราฟฟิกที่ต้องการอนุญาตไม่โดน default drop แล้วจึงเปลี่ยนเป็น enforce แต่บางกรณียังบล็อกแม้อยู่ใน monitor mode เช่น TLS ที่ SNI ผิดหรือใบรับรองถูกเพิกถอน


## แหล่งอ้างอิง

- [AWS Network Firewall launches next-generation firewall policy](https://aws.amazon.com/about-aws/whats-new/2026/11/network-firewall-launches-ngfw-policy/) — Amazon Web Services
- [Next Generation policies in AWS Network Firewall](https://docs.aws.amazon.com/network-firewall/latest/developerguide/firewall-policies-v2.html) — AWS Documentation
- [Policy mode: enforce and monitor](https://docs.aws.amazon.com/network-firewall/latest/developerguide/firewall-policy-v2-policy-mode.html) — AWS Documentation
- [AWS Network Firewall quotas](https://docs.aws.amazon.com/network-firewall/latest/developerguide/quotas.html) — AWS Documentation
- [AWS Price List API: AWS Network Firewall, Asia Pacific (Thailand)](https://pricing.us-east-1.amazonaws.com/offers/v1.0/aws/AWSNetworkFirewall/current/ap-southeast-7/index.json) — Amazon Web Services