Bảo mật VPS cơ bản cho người mới thuê

Bảo mật VPS cơ bản gồm mấy việc làm một lần lúc mới nhận máy: đổi mật khẩu mặc định, tạo tài khoản riêng thay cho root, đổi port quản trị, bật tường lửa và cập nhật hệ điều hành. Làm đủ nhóm này che được phần lớn rủi ro thường gặp. Cả loạt mất khoảng một giờ.

Sáu bước bảo mật tối thiểu cho một VPS mới:

1. Đổi mật khẩu quản trị mà nhà cung cấp cấp sẵn.
2. Tạo tài khoản riêng có quyền quản trị, hạn chế đăng nhập thẳng bằng root.
3. Đổi port quản trị khỏi mặc định để tránh dò quét tự động.
4. Bật tường lửa, chỉ mở đúng cổng cần dùng.
5. Cập nhật hệ điều hành và phần mềm lên bản mới.
6. Thiết lập sao lưu định kỳ để có đường lùi.

Bài này là bản tổng cho người mới, đi từ việc quan trọng nhất xuống. Mỗi bước đều dẫn tới bài chi tiết nếu bạn cần làm sâu.

Vì sao VPS mới cần siết bảo mật ngay

Một VPS vừa dựng, gắn IP công khai, sẽ bị các công cụ tự động dò quét trong vài phút đầu. Chúng thử các cổng quen thuộc và dò mật khẩu mặc định. Nếu bạn để nguyên mật khẩu bàn giao và cổng mặc định, VPS thành mục tiêu dễ. Đừng để nguyên. Bảo mật là việc làm trước khi đưa website lên.

Tin tốt là phần lớn việc bảo mật cơ bản chỉ làm một lần lúc dựng, sau đó thỉnh thoảng kiểm lại. Bạn không cần là chuyên gia. Chỉ cần làm đủ nhóm bước dưới đây. Nếu bạn thuê VPS managed, nhiều việc trong số này nhà cung cấp đã lo, xem managed và unmanaged VPS khác nhau thế nào.

Đổi mật khẩu và không dùng root trực tiếp

Việc đầu tiên khi vào VPS lần đầu là đổi mật khẩu mặc định. Mật khẩu nhà cung cấp cấp đi qua email nên không nên giữ lâu. Sau đó, trên VPS Linux, bạn tạo một tài khoản thường có quyền sudo và hạn chế đăng nhập trực tiếp bằng root, vì root là mục tiêu bị dò nhiều nhất.

Trên VPS Windows, bạn đổi mật khẩu Administrator và cân nhắc đổi tên tài khoản đó. Cách đổi mật khẩu các dịch vụ đi kèm nằm ở bài đổi mật khẩu hosting và các mật khẩu quan trọng. Trên VPS Linux, thao tác tạo tài khoản có quyền quản trị được hướng dẫn ở bài Ubuntu 22.04: Thêm user và cấp quyền sudo.

Đổi port quản trị và bật tường lửa

Cổng SSH mặc định là 22, cổng Remote Desktop mặc định là 3389. Đây là hai cổng bị dò nhiều nhất. Đổi sang số khác không làm VPS bất khả xâm phạm. Nhưng nó cắt được phần lớn dò quét tự động vốn chỉ nhắm cổng mặc định. Kèm theo đó là bật tường lửa để chỉ mở đúng cổng cần.

Với VPS Windows, cách đổi cổng Remote Desktop nằm ở bài đổi port Remote Desktop trên Windows Server an toàn. Cách chọn cổng nào mở cổng nào đóng, xem mở và đóng port trên VPS an toàn. Sau khi đổi, nhớ kiểm cổng mới đã vào được trước khi đóng cổng cũ, kẻo tự khoá mình ngoài máy.

Cập nhật hệ điều hành và theo dõi đăng nhập lạ

Phần mềm cũ là nơi lỗ hổng đã biết còn hở. Cập nhật hệ điều hành và các gói lên bản mới vá những lỗ hổng đó. Nên làm sớm. Trên VPS Linux, bạn chạy lệnh cập nhật của hệ điều hành đang dùng. Trên VPS Windows, bạn bật Windows Update. Nên làm ngay khi nhận máy và lặp lại định kỳ.

Để giảm dò mật khẩu tự động, trên VPS Linux bạn nên cài công cụ tự khoá IP sau nhiều lần đăng nhập sai, thường là fail2ban, và cài thêm tường lửa mạnh hơn như ConfigServer Security and Firewall. Bài cài ConfigServer Security and Firewall trên CentOS hướng dẫn cách dựng tường lửa này.

Sao lưu định kỳ để luôn có đường lùi

Bảo mật tốt tới đâu cũng không loại hết rủi ro, nên sao lưu là lớp phòng cuối. Có bản sao lưu đều đặn thì khi VPS bị tấn công, hỏng dữ liệu hay lỗi cập nhật, bạn khôi phục lại được thay vì mất trắng. Đặt lịch tự động. Đừng phụ thuộc vào việc nhớ làm bằng tay.

Bạn nên giữ bản sao lưu ở nơi tách khỏi VPS, để nếu VPS gặp sự cố thì bản lưu vẫn còn. Nhiều nhà cung cấp có tính năng snapshot chụp nhanh toàn máy. Kết hợp snapshot toàn máy với sao lưu riêng phần dữ liệu website cho bạn hai lớp an toàn. Khi mọi bước trên đã xong, VPS của bạn đã đủ chắc cho một website thông thường.