diff --git a/English/overview/product-updates-all/2026.md b/English/overview/product-updates-all/2026.md
index 38075feb..9e09c2ed 100644
--- a/English/overview/product-updates-all/2026.md
+++ b/English/overview/product-updates-all/2026.md
@@ -237,6 +237,17 @@ For more details about the updated renewal mechanism and policy, please refer [h
 {% endtab %}
 
 {% tab title="New features" %}
+**Nov 2026**
+
+**VKS — Configure vLB listener ACLs via annotations**
+
+Starting with version **0.4.2** of GreenNode LoadBalancer Controller, you can configure the ACL of a Load Balancer listener directly in your manifest (Service for NLB, Ingress for ALB) — no vLB Portal needed:
+
+* New annotations **`vks.vngcloud.vn/dropped-cidrs`** (comma-separated list of blocked IPv4 CIDRs/IPs, `0.0.0.0/0` = block all) and **`vks.vngcloud.vn/acl-default-action`** (`accept`/`drop` for IPs that match no rule).
+* The existing `vks.vngcloud.vn/inbound-cidrs` annotation now works as a true whitelist: without `acl-default-action`, the default action is **drop**.
+* Removing an annotation restores the listener to its previous ACL value; ACLs configured manually on the Portal are never overwritten.
+* Learn more at [Integrate with Network Load Balancer](../../vks/network/working-with-nlb/integrate-with-network-load-balancer.md) and [Configure for a Network Load Balancer](../../vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md).
+
 **Oct 2026**
 
 **GreenNode AI Platform — Guardrail**
diff --git a/English/vks/announcements/release-notes.md b/English/vks/announcements/release-notes.md
index d5f68d02..e2db0a67 100644
--- a/English/vks/announcements/release-notes.md
+++ b/English/vks/announcements/release-notes.md
@@ -1,5 +1,17 @@
 # Release notes
 
+## Nov 11, 2026
+
+VKS (VNG Kubernetes Engine) has just released a new update with the following improvements:
+
+**New features:**
+
+* **Configure vLB listener ACLs via annotations:** Starting with version **0.4.2** of GreenNode LoadBalancer Controller, you can configure the ACL of a Load Balancer listener directly in your manifest (Service for NLB, Ingress for ALB) — no vLB Portal needed.
+  * New annotations **`vks.vngcloud.vn/dropped-cidrs`** (comma-separated list of blocked IPv4 CIDRs/IPs, `0.0.0.0/0` = block all) and **`vks.vngcloud.vn/acl-default-action`** (`accept`/`drop` for IPs that match no rule).
+  * The existing `vks.vngcloud.vn/inbound-cidrs` annotation now works as a true whitelist: without `acl-default-action`, the default action is **drop**.
+  * Removing an annotation restores the listener to its previous ACL value; ACLs configured manually on the Portal are never overwritten.
+  * See [Integrate with Network Load Balancer](../network/working-with-nlb/integrate-with-network-load-balancer.md) and [Configure for a Network Load Balancer](../network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md) for details.
+
 ## Sep 28, 2026 <a href="#sep_07_2026" id="sep_07_2026"></a>
 
 VKS (VNG Kubernetes Engine) has just released a new update with the following improvements:
diff --git a/English/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md b/English/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md
index 800ca116..56fe983e 100644
--- a/English/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md
+++ b/English/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md
@@ -6,4 +6,6 @@ On the \[Integrate with Network Load Balancer] page, we have shown you how to in
 
 Use the annotations below to customize the Load Balancer to suit your needs:
 
-<table data-header-hidden data-full-width="true"><thead><tr><th width="207"></th><th width="231"></th><th></th></tr></thead><tbody><tr><td><strong>Annotations</strong></td><td><strong>Required/Not required</strong></td><td><strong>Meaning</strong></td></tr><tr><td>vks.vngcloud.vn/load-balancer-id</td><td>Optional</td><td><ul><li><strong>If you do not already have a</strong> previously initialized Network Load Balancer on the vLB system. We will automatically create 1 NLB on your cluster. This NLB will be displayed on vLB Portal, details can be accessed <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">here</a></li><li><strong>If you already have a</strong> previously initialized Network Load Balancer on the vLB system and you want to reuse the NLB for your cluster. Now, please enter the Load Balancer ID information into this annotation.</li></ul></td></tr><tr><td>vks.vngcloud.vn/load-balancer-name</td><td>Optional</td><td><ul><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code>will be used if you <strong>do not</strong> use annotation <code>load-balancer-id</code>.</li><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code> <strong>only makes sense</strong> when you create a new load balancer. After the load balancer is successfully created, this annotation <strong>will be automatically deleted</strong> . Using this annotation after the load balancer has been created will <strong>have no effect</strong> .</li><li><strong>When you use this annotation, if you do not already have a</strong> previously initialized Network Load Balancer on the vLB system. We will automatically create 1 NLB on your cluster. This ALB will be displayed on vLB Portal, details can be accessed <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">here</a></li><li><strong>If you already have a</strong> previously initialized Network Load Balancer on the vLB system and you want to reuse the NLB for your cluster. Now, please enter the Load Balancer Name information into this annotation.</li></ul></td></tr><tr><td>vks.vngcloud.vn/package-id</td><td>Optional</td><td><ul><li>If you do not enter this information, we will use the <strong>NLB Small configuration by default.</strong></li><li>If you already have an ACTIVE vLB host and you want to integrate this host into your K8S cluster, please skip this information field.</li></ul></td></tr><tr><td>vks.vngcloud.vn/tags</td><td>Optional</td><td><ul><li>The tag is added to your NLB.</li></ul></td></tr><tr><td>vks.vngcloud.vn/scheme</td><td>Optional</td><td><ul><li>Default is <strong>internet-facing</strong> , you can change it to <strong>internal</strong> depending on your needs.</li></ul></td></tr><tr><td>vks.vngcloud.vn/security-groups</td><td>Optional</td><td><ul><li>By default, a <strong>default security group</strong> will be created according to your Cluster.</li></ul></td></tr><tr><td>vks.vngcloud.vn/inbound-cidrs</td><td>Optional</td><td><ul><li>Default All CIRD: <strong>0.0.0.0/0</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthy-threshold-count</td><td>Optional</td><td><ul><li>Default <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/unhealthy-threshold-count</td><td>Optional</td><td><ul><li>Default <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-interval-seconds</td><td>Optional</td><td><ul><li>Default <strong>30</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-timeout-seconds</td><td>Optional</td><td><ul><li>Default <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-protocol</td><td>Optional</td><td><ul><li>Default <strong>TCP</strong> . Users can select one of the values ​​TCP/ HTTP/ HTTPS/ PING-UDP</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-method</td><td>Optional</td><td><ul><li>Default <strong>GET</strong> . User can choose one of GET / POST / PUT values</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-path</td><td>Optional</td><td><ul><li>Default <strong>/</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-version</td><td>Optional</td><td><ul><li>Default <strong>1.0</strong> . Users can choose one of the values ​​1.0, 1.1</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-domain-name</td><td>Optional</td><td><ul><li>Default is empty</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-port</td><td>Optional</td><td><ul><li>Default <strong>traffic port</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/success-codes</td><td>Optional</td><td><ul><li>Default <strong>200</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-client</td><td>Optional</td><td><ul><li>Default <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-member</td><td>Optional</td><td><ul><li>Default <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-connection</td><td>Optional</td><td><ul><li>Default <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/pool-algorithm</td><td>Optional</td><td><ul><li>Default <strong>ROUND_ROBIN</strong> . The user can select one of the values ​​ROUND_ROBIN / LEAST_CONNECTIONS / SOURCE_IP</li></ul></td></tr><tr><td>vks.vngcloud.vn/target-node-labels</td><td>Optional</td><td><ul><li>Default is empty</li></ul></td></tr><tr><td>vks.vngcloud.vn/enable-proxy-protocol</td><td>Optional</td><td><ul><li>Default is empty. The user specifies a list of service names in the Load Balancer to which the Proxy Protocol will be applied.</li></ul></td></tr></tbody></table>
+For listener ACLs, vLB evaluates rules in the following order: **Dropped CIDRs** (block list) → **Allowed CIDRs** (allow list) → **Default action**; the first matching rule wins, and any IP that matches no rule gets the **Default action**. The ACL annotations (`dropped-cidrs`, `inbound-cidrs`, `acl-default-action`) support IPv4 only and require GreenNode LoadBalancer Controller **0.4.2** or later.
+
+<table data-header-hidden data-full-width="true"><thead><tr><th width="207"></th><th width="231"></th><th></th></tr></thead><tbody><tr><td><strong>Annotations</strong></td><td><strong>Required/Not required</strong></td><td><strong>Meaning</strong></td></tr><tr><td>vks.vngcloud.vn/load-balancer-id</td><td>Optional</td><td><ul><li><strong>If you do not already have a</strong> previously initialized Network Load Balancer on the vLB system. We will automatically create 1 NLB on your cluster. This NLB will be displayed on vLB Portal, details can be accessed <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">here</a></li><li><strong>If you already have a</strong> previously initialized Network Load Balancer on the vLB system and you want to reuse the NLB for your cluster. Now, please enter the Load Balancer ID information into this annotation.</li></ul></td></tr><tr><td>vks.vngcloud.vn/load-balancer-name</td><td>Optional</td><td><ul><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code>will be used if you <strong>do not</strong> use annotation <code>load-balancer-id</code>.</li><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code> <strong>only makes sense</strong> when you create a new load balancer. After the load balancer is successfully created, this annotation <strong>will be automatically deleted</strong> . Using this annotation after the load balancer has been created will <strong>have no effect</strong> .</li><li><strong>When you use this annotation, if you do not already have a</strong> previously initialized Network Load Balancer on the vLB system. We will automatically create 1 NLB on your cluster. This ALB will be displayed on vLB Portal, details can be accessed <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">here</a></li><li><strong>If you already have a</strong> previously initialized Network Load Balancer on the vLB system and you want to reuse the NLB for your cluster. Now, please enter the Load Balancer Name information into this annotation.</li></ul></td></tr><tr><td>vks.vngcloud.vn/package-id</td><td>Optional</td><td><ul><li>If you do not enter this information, we will use the <strong>NLB Small configuration by default.</strong></li><li>If you already have an ACTIVE vLB host and you want to integrate this host into your K8S cluster, please skip this information field.</li></ul></td></tr><tr><td>vks.vngcloud.vn/tags</td><td>Optional</td><td><ul><li>The tag is added to your NLB.</li></ul></td></tr><tr><td>vks.vngcloud.vn/scheme</td><td>Optional</td><td><ul><li>Default is <strong>internet-facing</strong> , you can change it to <strong>internal</strong> depending on your needs.</li></ul></td></tr><tr><td>vks.vngcloud.vn/security-groups</td><td>Optional</td><td><ul><li>By default, a <strong>default security group</strong> will be created according to your Cluster.</li></ul></td></tr><tr><td>vks.vngcloud.vn/inbound-cidrs</td><td>Optional</td><td><ul><li>Default All CIDR: <strong>0.0.0.0/0</strong></li><li>Comma-separated list of <strong>IPv4</strong> CIDRs/IPs allowed to access the listener (Allowed CIDRs), evaluated after <code>dropped-cidrs</code>.</li><li>If you set this annotation without setting <code>vks.vngcloud.vn/acl-default-action</code>, the default action is <strong>drop</strong> — only the declared IP ranges can access the listener.</li><li>Removing this annotation restores the listener to its previous ACL value (usually <strong>0.0.0.0/0</strong>).</li></ul></td></tr><tr><td>vks.vngcloud.vn/dropped-cidrs</td><td>Optional</td><td><ul><li>Comma-separated list of blocked <strong>IPv4</strong> CIDRs/IPs (Dropped CIDRs). Example: <code>203.0.113.9/32,198.51.100.0/24</code>.</li><li><strong>0.0.0.0/0</strong>: block all access to the listener.</li><li>Empty string <code>""</code>: clear the block list (the controller still manages the list).</li><li>Evaluated before <code>inbound-cidrs</code>: an IP present in both lists is blocked.</li><li>Blocked traffic is silently discarded, so the client sees a timeout.</li></ul></td></tr><tr><td>vks.vngcloud.vn/acl-default-action</td><td>Optional</td><td><ul><li>Action applied to IPs that match no ACL rule: <strong>accept</strong> or <strong>drop</strong> (case-insensitive).</li><li>If you set <code>inbound-cidrs</code> without this annotation, the controller sets the default action to <strong>drop</strong>.</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthy-threshold-count</td><td>Optional</td><td><ul><li>Default <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/unhealthy-threshold-count</td><td>Optional</td><td><ul><li>Default <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-interval-seconds</td><td>Optional</td><td><ul><li>Default <strong>30</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-timeout-seconds</td><td>Optional</td><td><ul><li>Default <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-protocol</td><td>Optional</td><td><ul><li>Default <strong>TCP</strong> . Users can select one of the values ​​TCP/ HTTP/ HTTPS/ PING-UDP</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-method</td><td>Optional</td><td><ul><li>Default <strong>GET</strong> . User can choose one of GET / POST / PUT values</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-path</td><td>Optional</td><td><ul><li>Default <strong>/</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-version</td><td>Optional</td><td><ul><li>Default <strong>1.0</strong> . Users can choose one of the values ​​1.0, 1.1</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-domain-name</td><td>Optional</td><td><ul><li>Default is empty</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-port</td><td>Optional</td><td><ul><li>Default <strong>traffic port</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/success-codes</td><td>Optional</td><td><ul><li>Default <strong>200</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-client</td><td>Optional</td><td><ul><li>Default <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-member</td><td>Optional</td><td><ul><li>Default <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-connection</td><td>Optional</td><td><ul><li>Default <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/pool-algorithm</td><td>Optional</td><td><ul><li>Default <strong>ROUND_ROBIN</strong> . The user can select one of the values ​​ROUND_ROBIN / LEAST_CONNECTIONS / SOURCE_IP</li></ul></td></tr><tr><td>vks.vngcloud.vn/target-node-labels</td><td>Optional</td><td><ul><li>Default is empty</li></ul></td></tr><tr><td>vks.vngcloud.vn/enable-proxy-protocol</td><td>Optional</td><td><ul><li>Default is empty. The user specifies a list of service names in the Load Balancer to which the Proxy Protocol will be applied.</li></ul></td></tr></tbody></table>
diff --git a/English/vks/network/working-with-nlb/integrate-with-network-load-balancer.md b/English/vks/network/working-with-nlb/integrate-with-network-load-balancer.md
index 12c33dca..ab48a6f8 100644
--- a/English/vks/network/working-with-nlb/integrate-with-network-load-balancer.md
+++ b/English/vks/network/working-with-nlb/integrate-with-network-load-balancer.md
@@ -315,6 +315,60 @@ kubectl apply -f nginx-service-lb4.yaml
 
 ***
 
+### Block access with ACL annotations <a href="#integratewithnetworkloadbalancer-blockaccesswithaclannotations" id="integratewithnetworkloadbalancer-blockaccesswithaclannotations"></a>
+
+Starting with version **0.4.2** of GreenNode LoadBalancer Controller, you can configure the ACL of a Load Balancer listener directly in your manifest (Service or Ingress) without using the vLB Portal. ACL rules are evaluated in the following order: **Dropped CIDRs** → **Allowed CIDRs** → **Default action**; the first matching rule wins, and any IP that matches no rule gets the **Default action**. Dropped traffic is silently discarded, so the client sees a timeout instead of a connection refusal.
+
+Related annotations:
+
+* `vks.vngcloud.vn/dropped-cidrs`: comma-separated list of blocked IPv4 CIDRs/IPs.
+* `vks.vngcloud.vn/inbound-cidrs`: comma-separated list of allowed IPv4 CIDRs/IPs.
+* `vks.vngcloud.vn/acl-default-action`: `accept` or `drop`.
+
+For example, block two sources from accessing the nginx Service above by adding this annotation to the Service:
+
+```
+apiVersion: v1
+kind: Service
+metadata:
+  name: nginx-service
+  annotations:
+    vks.vngcloud.vn/dropped-cidrs: "203.0.113.9/32,198.51.100.0/24"
+spec:
+  selector:
+    app: nginx
+  type: LoadBalancer
+  ports:
+    - protocol: TCP
+      port: 80
+      targetPort: 80
+```
+
+Then run `kubectl apply -f nginx-service-lb4.yaml` again to update the Service.
+
+Common use cases:
+
+| Goal | Annotation |
+|---|---|
+| Block specific IPs/ranges | `vks.vngcloud.vn/dropped-cidrs: "203.0.113.9/32,198.51.100.0/24"` |
+| Allow only specific IP ranges | `vks.vngcloud.vn/inbound-cidrs: "192.0.2.0/24"` |
+| Allow a range except a few IPs | `vks.vngcloud.vn/inbound-cidrs: "192.0.2.0/24"` and `vks.vngcloud.vn/dropped-cidrs: "192.0.2.13/32"` |
+| Block all access | `vks.vngcloud.vn/dropped-cidrs: "0.0.0.0/0"` |
+
+{% hint style="info" %}
+Notes:
+
+* ACL annotations support IPv4 only and require GreenNode LoadBalancer Controller **0.4.2** or later. They also work for Ingress (ALB).
+* If you set `inbound-cidrs` without `acl-default-action`, the default action is `drop` — only the declared IP ranges can access the listener.
+* Invalid values (malformed CIDR, IPv6, unknown default action) make the Service/Ingress report an error, and the ACL keeps the last valid configuration.
+* Removing the annotation restores the listener ACL to the value it had before the controller took over.
+* If multiple Services/Ingresses share one Load Balancer, declare the ACL consistently; otherwise the controller reports a conflict.
+{% endhint %}
+
+For the full meaning of each annotation, see [Configure for a Network Load Balancer](cau-hinh-cho-mot-network-load-balancer.md).
+
+***
+
 ### **Step 2: Check Deployment and Service information just deployed** <a href="#kiem-tra-thong-tin-deployment-service-vua-deploy" id="kiem-tra-thong-tin-deployment-service-vua-deploy"></a>
 
 * Run the following command to test **Deployment**
diff --git a/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md b/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md
index af853a2d..342e6236 100644
--- a/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md
+++ b/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md
@@ -232,6 +232,17 @@ Chính sách gia hạn tài nguyên này áp dụng từ ngày 8/1/2026 và áp
 {% endtab %}
 
 {% tab title="Tính năng mới" %}
+**Tháng 11, 2026**
+
+**VKS – Cấu hình ACL listener vLB qua annotation**
+
+GreenNode LoadBalancer Controller (từ phiên bản **0.4.2**) cho phép cấu hình ACL cho listener của Load Balancer ngay trên manifest (Service NLB, Ingress ALB), không cần vào vLB Portal:
+
+* Thêm annotation **`vks.vngcloud.vn/dropped-cidrs`** (danh sách CIDR/IP IPv4 bị chặn, `0.0.0.0/0` = chặn toàn bộ) và **`vks.vngcloud.vn/acl-default-action`** (`accept`/`drop` cho IP không khớp rule nào).
+* Annotation `vks.vngcloud.vn/inbound-cidrs` có sẵn nay mang đúng nghĩa whitelist: không đặt `acl-default-action` thì default action là **drop**.
+* Gỡ annotation trả listener về giá trị ACL trước đó; ACL đặt tay trên Portal không bị ghi đè.
+* Tìm hiểu thêm tại [Integrate with Network Load Balancer](../../vks/network/working-with-nlb/integrate-with-network-load-balancer.md) và [Cấu hình cho một Network Load Balancer](../../vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md).
+
 **Tháng 10, 2026**
 
 **GreenNode AI Platform — Guardrail**
diff --git a/Vietnamese/vks/announcements/release-notes.md b/Vietnamese/vks/announcements/release-notes.md
index 613d2960..524795b8 100644
--- a/Vietnamese/vks/announcements/release-notes.md
+++ b/Vietnamese/vks/announcements/release-notes.md
@@ -1,5 +1,17 @@
 # Release notes
 
+## Nov 11, 2026
+
+VKS (VNG Kubernetes Engine) vừa ra mắt bản cập nhật mới với các cải tiến sau:
+
+**Tính năng mới:**
+
+* **Cấu hình ACL listener vLB qua annotation:** GreenNode LoadBalancer Controller (từ phiên bản **0.4.2**) cho phép cấu hình ACL cho listener của Load Balancer ngay trên manifest (Service NLB, Ingress ALB), không cần vào vLB Portal.
+  * Thêm annotation **`vks.vngcloud.vn/dropped-cidrs`** (danh sách CIDR/IP IPv4 bị chặn, `0.0.0.0/0` = chặn toàn bộ) và **`vks.vngcloud.vn/acl-default-action`** (`accept`/`drop` cho IP không khớp rule nào).
+  * Annotation `vks.vngcloud.vn/inbound-cidrs` có sẵn nay mang đúng nghĩa whitelist: không đặt `acl-default-action` thì default action là **drop**.
+  * Gỡ annotation trả listener về giá trị ACL trước đó; ACL đặt tay trên Portal không bị ghi đè.
+  * Hướng dẫn chi tiết tại [Integrate with Network Load Balancer](../network/working-with-nlb/integrate-with-network-load-balancer.md) và [Cấu hình cho một Network Load Balancer](../network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md).
+
 ## Sep 28, 2026 <a href="#sep_07_2026" id="sep_07_2026"></a>
 
 VKS (VNG Kubernetes Engine) vừa ra mắt bản cập nhật mới với các cải tiến sau:
diff --git a/Vietnamese/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md b/Vietnamese/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md
index 900e0ba6..bd8f34b5 100644
--- a/Vietnamese/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md
+++ b/Vietnamese/vks/network/working-with-nlb/cau-hinh-cho-mot-network-load-balancer.md
@@ -6,7 +6,9 @@ Tại trang \[Integrate with Network Load Balancer], chúng tôi đã hướng d
 
 Sử dụng các annotation dưới đây để tuỳ chỉnh Load Balancer phù hợp với nhu cầu của bạn trên VKS:
 
-<table data-full-width="true"><thead><tr><th width="284.45452880859375">Annotation</th><th width="244.45458984375">Bắt buộc/ Không bắt buộc</th><th>Ý nghĩa</th></tr></thead><tbody><tr><td>vks.vngcloud.vn/load-balancer-id</td><td>Không bắt buộc</td><td><ul><li><strong>Nếu bạn chưa có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB. Chúng tôi sẽ tự động tạo 1 NLB trên cluster của bạn. NLB này sẽ hiển thị trên vLB Portal, chi tiết truy cập tại <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">đây</a></li><li><strong>Nếu bạn đã có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB và bạn muốn tái sử dụng NLB cho cluster của bạn. Lúc này, bạn hãy nhập thông tin Load Balancer ID vào annotation này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/load-balancer-name</td><td>Không bắt buộc</td><td><ul><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code> sẽ được sử dụng nếu bạn <strong>không</strong> sử dụng annotation <code>load-balancer-id</code>.</li><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code> <strong>chỉ có ý nghĩa</strong> khi bạn tạo mới một load balancer. Sau khi load balancer được tạo thành công, annotation này <strong>sẽ tự động bị xóa</strong>. Việc sử dụng annotation này sau khi load balancer được tạo sẽ <strong>không có tác dụng</strong>.</li><li><strong>Khi bạn sử dụng annotation này, nếu bạn chưa có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB. Chúng tôi sẽ tự động tạo 1 NLB trên cluster của bạn. ALB này sẽ hiển thị trên vLB Portal, chi tiết truy cập tại <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">đây</a></li><li><strong>Nếu bạn đã có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB và bạn muốn tái sử dụng NLB cho cluster của bạn. Lúc này, bạn hãy nhập thông tin Load Balancer Name vào annotation này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/package-id</td><td>Không bắt buộc</td><td><ul><li>Nếu bạn không nhập thông tin này thì mặc định chúng tôi sẽ sử dụng cấu hình <strong>NLB Small.</strong></li><li>Nếu bạn đã có sẵn host vLB đang ACTIVE và bạn muốn tích hợp host này vô cụm K8S của bạn, vui lòng bỏ qua trường thông tin này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/prefer-zone-id</td><td>Không bắt buộc</td><td><p></p><ul><li>Nếu bạn không nhập thông tin này, hệ thống sẽ tự chọn ngẫu nhiên một <strong>zone</strong> trong các <strong>zone</strong> bạn đã chọn sử dụng.</li></ul><ul><li>Nếu bạn muốn Load Balancer được tạo trong một <strong>zone cụ thể</strong>, hãy nhập <strong>Zone ID</strong> vào annotation này. Ví dụ: <code>HCM03-1A</code>, <code>HCM03-1B</code>, <code>HCM03-1C</code>, <code>HAN01-1A</code>.</li></ul></td></tr><tr><td>vks.vngcloud.vn/prefer-subnet-id</td><td>Không bắt buộc</td><td><ul><li>Nếu không khai báo, hệ thống sẽ chọn ngẫu nhiên một <strong>subnet</strong> trong các <strong>subnet</strong> thuộc zone bạn đã chọn.</li></ul><ul><li>Nếu bạn muốn Load Balancer được tạo trong một <strong>subnet cụ thể</strong>, hãy nhập <strong>Subnet ID</strong> vào annotation này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/tags</td><td>Không bắt buộc</td><td><ul><li>Tag được gắn thêm cho NLB của bạn.</li></ul></td></tr><tr><td>vks.vngcloud.vn/scheme</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>internet-facing</strong>, bạn có thể đổi thành <strong>internal</strong> tùy theo nhu cầu sử dụng.</li></ul></td></tr><tr><td>vks.vngcloud.vn/security-groups</td><td>Không bắt buộc</td><td><ul><li>Mặc định sẽ tạo một <strong>security group default</strong> theo Cluster của bạn.</li></ul></td></tr><tr><td>vks.vngcloud.vn/inbound-cidrs</td><td>Không bắt buộc</td><td><ul><li>Mặc định All CIRD: <strong>0.0.0.0/0</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthy-threshold-count</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/unhealthy-threshold-count</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-interval-seconds</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>30</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-timeout-seconds</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-protocol</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>TCP</strong>. Người dùng có thể chọn một trong các giá trị TCP/ HTTP/ HTTPS/ PING-UDP</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-method</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>GET</strong>. Người dùng có thể chọn một trong các giá trị GET / POST / PUT</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-path</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>/</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-version</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>1.0</strong>. Người dùng có thể chọn một trong các giá trị 1.0, 1.1</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-domain-name</td><td>Không bắt buộc</td><td><ul><li>Mặc định trống</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-port</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>traffic port</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/success-codes</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>200</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-client</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-member</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-connection</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/pool-algorithm</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>ROUND_ROBIN</strong>. Người dùng có thể chọn một trong các giá trị ROUND_ROBIN / LEAST_CONNECTIONS / SOURCE_IP</li></ul></td></tr><tr><td>vks.vngcloud.vn/target-node-labels</td><td>Không bắt buộc</td><td><ul><li>Mặc định trống</li></ul></td></tr><tr><td>vks.vngcloud.vn/enable-proxy-protocol</td><td>Không bắt buộc</td><td><ul><li>Mặc định trống. Người dùng chỉ định danh sách các service name trong Load Balancer mà Proxy Protocol sẽ được áp dụng.</li></ul></td></tr><tr><td>vks.vngcloud.vn/is-poc</td><td>Không bắt buộc</td><td><ul><li>Mặc định false.</li><li>Nếu người dùng chỉ định field này là true, hệ thống sẽ tạo Load Balancer và thực hiện thanh toán bởi số dư ví POC.</li></ul></td></tr><tr><td>vks.vngcloud.vn/enable-autoscale</td><td>Không bắt buộc</td><td><ul><li>Mặc định false.</li><li>Nếu người dùng chỉ định field này là true, hệ thống sẽ tạo Load Balancer với mode autoscale được bật.</li></ul></td></tr><tr><td>vks.vngcloud.vn/ignore</td><td>Không bắt buộc</td><td><ul><li>Mặc định false.</li><li>Nếu người dùng chỉ định field này là true, hệ thống VKS sẽ không quản lý Service. Mọi thay đổi đối trên Service sẽ bị bỏ qua và LoadBalancer sẽ không được cập nhật.</li></ul></td></tr></tbody></table>
+Với ACL của listener, vLB đánh giá theo thứ tự: **Dropped CIDRs** (danh sách chặn) → **Allowed CIDRs** (danh sách cho phép) → **Default action** (hành động mặc định); rule khớp đầu tiên sẽ thắng và IP không khớp rule nào sẽ áp dụng **Default action**. Các annotation ACL (`dropped-cidrs`, `inbound-cidrs`, `acl-default-action`) chỉ hỗ trợ IPv4 và yêu cầu GreenNode LoadBalancer Controller từ phiên bản **0.4.2**.
+
+<table data-full-width="true"><thead><tr><th width="284.45452880859375">Annotation</th><th width="244.45458984375">Bắt buộc/ Không bắt buộc</th><th>Ý nghĩa</th></tr></thead><tbody><tr><td>vks.vngcloud.vn/load-balancer-id</td><td>Không bắt buộc</td><td><ul><li><strong>Nếu bạn chưa có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB. Chúng tôi sẽ tự động tạo 1 NLB trên cluster của bạn. NLB này sẽ hiển thị trên vLB Portal, chi tiết truy cập tại <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">đây</a></li><li><strong>Nếu bạn đã có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB và bạn muốn tái sử dụng NLB cho cluster của bạn. Lúc này, bạn hãy nhập thông tin Load Balancer ID vào annotation này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/load-balancer-name</td><td>Không bắt buộc</td><td><ul><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code> sẽ được sử dụng nếu bạn <strong>không</strong> sử dụng annotation <code>load-balancer-id</code>.</li><li>Annotation <code>vks.vngcloud.vn/load-balancer-name</code> <strong>chỉ có ý nghĩa</strong> khi bạn tạo mới một load balancer. Sau khi load balancer được tạo thành công, annotation này <strong>sẽ tự động bị xóa</strong>. Việc sử dụng annotation này sau khi load balancer được tạo sẽ <strong>không có tác dụng</strong>.</li><li><strong>Khi bạn sử dụng annotation này, nếu bạn chưa có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB. Chúng tôi sẽ tự động tạo 1 NLB trên cluster của bạn. ALB này sẽ hiển thị trên vLB Portal, chi tiết truy cập tại <a href="https://hcm-3.console.greennode.ai/vserver/load-balancer/vlb">đây</a></li><li><strong>Nếu bạn đã có sẵn một Network Load Balancer</strong> đã khởi tạo trước đó trên hệ thống vLB và bạn muốn tái sử dụng NLB cho cluster của bạn. Lúc này, bạn hãy nhập thông tin Load Balancer Name vào annotation này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/package-id</td><td>Không bắt buộc</td><td><ul><li>Nếu bạn không nhập thông tin này thì mặc định chúng tôi sẽ sử dụng cấu hình <strong>NLB Small.</strong></li><li>Nếu bạn đã có sẵn host vLB đang ACTIVE và bạn muốn tích hợp host này vô cụm K8S của bạn, vui lòng bỏ qua trường thông tin này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/prefer-zone-id</td><td>Không bắt buộc</td><td><p></p><ul><li>Nếu bạn không nhập thông tin này, hệ thống sẽ tự chọn ngẫu nhiên một <strong>zone</strong> trong các <strong>zone</strong> bạn đã chọn sử dụng.</li></ul><ul><li>Nếu bạn muốn Load Balancer được tạo trong một <strong>zone cụ thể</strong>, hãy nhập <strong>Zone ID</strong> vào annotation này. Ví dụ: <code>HCM03-1A</code>, <code>HCM03-1B</code>, <code>HCM03-1C</code>, <code>HAN01-1A</code>.</li></ul></td></tr><tr><td>vks.vngcloud.vn/prefer-subnet-id</td><td>Không bắt buộc</td><td><ul><li>Nếu không khai báo, hệ thống sẽ chọn ngẫu nhiên một <strong>subnet</strong> trong các <strong>subnet</strong> thuộc zone bạn đã chọn.</li></ul><ul><li>Nếu bạn muốn Load Balancer được tạo trong một <strong>subnet cụ thể</strong>, hãy nhập <strong>Subnet ID</strong> vào annotation này.</li></ul></td></tr><tr><td>vks.vngcloud.vn/tags</td><td>Không bắt buộc</td><td><ul><li>Tag được gắn thêm cho NLB của bạn.</li></ul></td></tr><tr><td>vks.vngcloud.vn/scheme</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>internet-facing</strong>, bạn có thể đổi thành <strong>internal</strong> tùy theo nhu cầu sử dụng.</li></ul></td></tr><tr><td>vks.vngcloud.vn/security-groups</td><td>Không bắt buộc</td><td><ul><li>Mặc định sẽ tạo một <strong>security group default</strong> theo Cluster của bạn.</li></ul></td></tr><tr><td>vks.vngcloud.vn/inbound-cidrs</td><td>Không bắt buộc</td><td><ul><li>Mặc định All CIDR: <strong>0.0.0.0/0</strong></li><li>Danh sách CIDR/IP <strong>IPv4</strong> được phép truy cập (Allowed CIDRs), đánh giá sau <code>dropped-cidrs</code>.</li><li>Nếu đặt annotation này mà không đặt <code>vks.vngcloud.vn/acl-default-action</code>, default action sẽ là <strong>drop</strong> — chỉ các dải IP đã khai báo được truy cập.</li><li>Gỡ annotation này sẽ trả listener về giá trị ACL trước đó (thường là <strong>0.0.0.0/0</strong>).</li></ul></td></tr><tr><td>vks.vngcloud.vn/dropped-cidrs</td><td>Không bắt buộc</td><td><ul><li>Danh sách CIDR/IP <strong>IPv4</strong> bị chặn (Dropped CIDRs), ngăn cách bằng dấu phẩy. Ví dụ: <code>203.0.113.9/32,198.51.100.0/24</code>.</li><li><strong>0.0.0.0/0</strong>: chặn toàn bộ truy cập vào listener.</li><li>Chuỗi rỗng <code>""</code>: xóa danh sách chặn (controller vẫn quản lý danh sách này).</li><li>Được ưu tiên đánh giá trước <code>inbound-cidrs</code>: IP nằm trong cả hai danh sách sẽ bị chặn.</li><li>Truy cập bị chặn sẽ bị bỏ gói im lặng, client sẽ thấy timeout.</li></ul></td></tr><tr><td>vks.vngcloud.vn/acl-default-action</td><td>Không bắt buộc</td><td><ul><li>Hành động áp dụng cho IP không khớp rule ACL nào: <strong>accept</strong> hoặc <strong>drop</strong> (không phân biệt hoa thường).</li><li>Nếu đặt <code>inbound-cidrs</code> mà không đặt annotation này, controller sẽ đặt default action là <strong>drop</strong>.</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthy-threshold-count</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/unhealthy-threshold-count</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>3</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-interval-seconds</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>30</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-timeout-seconds</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-protocol</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>TCP</strong>. Người dùng có thể chọn một trong các giá trị TCP/ HTTP/ HTTPS/ PING-UDP</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-method</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>GET</strong>. Người dùng có thể chọn một trong các giá trị GET / POST / PUT</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-path</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>/</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-version</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>1.0</strong>. Người dùng có thể chọn một trong các giá trị 1.0, 1.1</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-http-domain-name</td><td>Không bắt buộc</td><td><ul><li>Mặc định trống</li></ul></td></tr><tr><td>vks.vngcloud.vn/healthcheck-port</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>traffic port</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/success-codes</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>200</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-client</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-member</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>50</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/idle-timeout-connection</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>5</strong></li></ul></td></tr><tr><td>vks.vngcloud.vn/pool-algorithm</td><td>Không bắt buộc</td><td><ul><li>Mặc định <strong>ROUND_ROBIN</strong>. Người dùng có thể chọn một trong các giá trị ROUND_ROBIN / LEAST_CONNECTIONS / SOURCE_IP</li></ul></td></tr><tr><td>vks.vngcloud.vn/target-node-labels</td><td>Không bắt buộc</td><td><ul><li>Mặc định trống</li></ul></td></tr><tr><td>vks.vngcloud.vn/enable-proxy-protocol</td><td>Không bắt buộc</td><td><ul><li>Mặc định trống. Người dùng chỉ định danh sách các service name trong Load Balancer mà Proxy Protocol sẽ được áp dụng.</li></ul></td></tr><tr><td>vks.vngcloud.vn/is-poc</td><td>Không bắt buộc</td><td><ul><li>Mặc định false.</li><li>Nếu người dùng chỉ định field này là true, hệ thống sẽ tạo Load Balancer và thực hiện thanh toán bởi số dư ví POC.</li></ul></td></tr><tr><td>vks.vngcloud.vn/enable-autoscale</td><td>Không bắt buộc</td><td><ul><li>Mặc định false.</li><li>Nếu người dùng chỉ định field này là true, hệ thống sẽ tạo Load Balancer với mode autoscale được bật.</li></ul></td></tr><tr><td>vks.vngcloud.vn/ignore</td><td>Không bắt buộc</td><td><ul><li>Mặc định false.</li><li>Nếu người dùng chỉ định field này là true, hệ thống VKS sẽ không quản lý Service. Mọi thay đổi đối trên Service sẽ bị bỏ qua và LoadBalancer sẽ không được cập nhật.</li></ul></td></tr></tbody></table>
 
 &#x20;
 
diff --git a/Vietnamese/vks/network/working-with-nlb/integrate-with-network-load-balancer.md b/Vietnamese/vks/network/working-with-nlb/integrate-with-network-load-balancer.md
index 8ddac62d..7946c6c5 100644
--- a/Vietnamese/vks/network/working-with-nlb/integrate-with-network-load-balancer.md
+++ b/Vietnamese/vks/network/working-with-nlb/integrate-with-network-load-balancer.md
@@ -291,6 +291,60 @@ kubectl apply -f nginx-service-lb4.yaml
 
 ***
 
+### Chặn truy cập bằng ACL annotation <a href="#integratewithnetworkloadbalancer-chantruycapbangaclannotation" id="integratewithnetworkloadbalancer-chantruycapbangaclannotation"></a>
+
+Từ phiên bản **0.4.2** của GreenNode LoadBalancer Controller, bạn có thể cấu hình ACL cho listener của Load Balancer ngay trên manifest (Service hoặc Ingress) mà không cần vào vLB Portal. ACL được đánh giá theo thứ tự: **Dropped CIDRs** → **Allowed CIDRs** → **Default action**; rule khớp đầu tiên sẽ thắng, IP không khớp rule nào sẽ áp dụng **Default action**. Lưu lượng bị drop sẽ bị bỏ gói im lặng, client sẽ thấy timeout thay vì lỗi từ chối kết nối.
+
+Các annotation liên quan:
+
+* `vks.vngcloud.vn/dropped-cidrs`: danh sách CIDR/IP IPv4 bị chặn, ngăn cách bằng dấu phẩy.
+* `vks.vngcloud.vn/inbound-cidrs`: danh sách CIDR/IP IPv4 được phép truy cập.
+* `vks.vngcloud.vn/acl-default-action`: `accept` hoặc `drop`.
+
+Ví dụ: chặn 2 nguồn truy cập vào Service nginx ở trên bằng cách thêm annotation vào Service:
+
+```
+apiVersion: v1
+kind: Service
+metadata:
+  name: nginx-service
+  annotations:
+    vks.vngcloud.vn/dropped-cidrs: "203.0.113.9/32,198.51.100.0/24"
+spec:
+  selector:
+    app: nginx
+  type: LoadBalancer
+  ports:
+    - protocol: TCP
+      port: 80
+      targetPort: 80
+```
+
+Sau đó chạy lại lệnh `kubectl apply -f nginx-service-lb4.yaml` để cập nhật Service.
+
+Một số trường hợp thường dùng:
+
+| Mục đích | Annotation |
+|---|---|
+| Chặn một số IP/dải IP | `vks.vngcloud.vn/dropped-cidrs: "203.0.113.9/32,198.51.100.0/24"` |
+| Chỉ cho phép một số dải IP | `vks.vngcloud.vn/inbound-cidrs: "192.0.2.0/24"` |
+| Cho phép một dải, trừ vài IP | `vks.vngcloud.vn/inbound-cidrs: "192.0.2.0/24"` và `vks.vngcloud.vn/dropped-cidrs: "192.0.2.13/32"` |
+| Chặn toàn bộ truy cập | `vks.vngcloud.vn/dropped-cidrs: "0.0.0.0/0"` |
+
+{% hint style="info" %}
+Lưu ý:
+
+* ACL annotation chỉ hỗ trợ IPv4 và yêu cầu GreenNode LoadBalancer Controller từ phiên bản **0.4.2**. Các annotation này cũng dùng được cho Ingress (ALB).
+* Nếu đặt `inbound-cidrs` mà không đặt `acl-default-action`, default action sẽ là `drop` — chỉ các dải IP đã khai báo được truy cập.
+* Giá trị không hợp lệ (CIDR sai định dạng, IPv6, default action lạ) sẽ khiến Service/Ingress báo lỗi và ACL giữ nguyên cấu hình hợp lệ trước đó.
+* Gỡ annotation sẽ trả listener về giá trị ACL trước khi LBC quản lý.
+* Nếu nhiều Service/Ingress dùng chung một Load Balancer, hãy khai báo ACL nhất quán; nếu không, controller sẽ báo lỗi xung đột.
+{% endhint %}
+
+Chi tiết ý nghĩa từng annotation, xem tại [Cấu hình cho một Network Load Balancer](cau-hinh-cho-mot-network-load-balancer.md).
+
+***
+
 ### **Kiểm tra thông tin Deployment, Service vừa deploy**
 
 * Chạy câu lệnh sau đây để kiểm tra **Deployment**