Bảo mật VPS Vultr là điều bắt buộc trong năm 2026. Với các cuộc tấn công mạng tăng 300% mỗi năm, hướng dẫn toàn diện này sẽ giúp bạn bảo vệ server - từ firewall có sẵn của Vultr đến DDoS mitigation và SSH hardening.

Tại Sao Bảo Mật VPS Quan Trọng Hơn Bao Giờ Hết

Mỗi ngày, hàng nghìn bot tự động quét internet để tìm server có lỗ hổng. Nếu không có bảo mật phù hợp, Vultr VPS của bạn có thể bị xâm nhập trong vài phút. Hậu quả bao gồm đánh cắp dữ liệu, cài malware, và server bị sử dụng trong botnet.

Tin tốt: Vultr cung cấp tính năng bảo mật cấp doanh nghiệp miễn phí với mọi instance. Hướng dẫn này sẽ chỉ bạn cách tận dụng tất cả.

Phần 1: Firewall Tích Hợp Của Vultr (Bảo Vệ Layer 3/4 Miễn Phí)

Vultr cung cấp firewall dựa trên cloud hoàn toàn miễn phí và bảo vệ tất cả server trong các data center. Khác với firewall ở cấp instance, điều này chạy trên hạ tầng mạng của Vultr - nghĩa là traffic độc hại không bao giờ đến được server của bạn.

Cách Bật Firewall Vultr

  1. Đăng nhập Vultr Dashboard — Truy cập vultr.com
  2. Vào mục Firewalls — Click "Firewalls" ở thanh bên trái
  3. Tạo Firewall Group — Click "+" để tạo group mới
  4. Thêm Rules — Cấu hình inbound và outbound rules
  5. Gắn vào Instance — Liên kết firewall group với VPS

Khuyến Nghị Các Quy Tắc Firewall

# Inbound Rules (Chỉ Cho Phép Cần Thiết)
HTTP (80)   - Cho phép tất cả (0.0.0.0/0)
HTTPS (443) - Cho phép tất cả (0.0.0.0/0)
SSH (22)    - Chỉ Cho Phép IP Của Bạn
Custom TCP  - Port Ứng Dụng Của Bạn

# Outbound Rules
All Traffic - Cho phép tất cả

Phần 2: Bật DDoS Protection (Miễn Phí Với Gói Hợp Lệ)

Native DDoS protection của Vultr bảo vệ server chống lại tấn công Layer 3 và Layer 4 mà không có latency thêm. Nó tự động phát hiện và giảm thiểu SYN floods, UDP floods và các tấn công volumetric khác.

Bật DDoS Protection

  1. Vào Products → Compute
  2. Click vào instance cần bảo vệ
  3. Vào tab DDoS
  4. Click Enable DDoS Protection

Lưu ý: DDoS protection có trên Cloud Compute và Optimized Cloud Compute plans. High Frequency instances bao gồm mặc định.

Phần 3: Firewall Cấp Server Với UFW

Trong khi firewall network của Vultr bảo vệ ở edge, bạn cần lớp thứ hai trên chính server. UFW (Uncomplicated Firewall) được cài sẵn trên Ubuntu và cung cấp bảo vệ đơn giản nhưng mạnh mẽ.

Cài Đặt và Cấu Hình UFW

# Kiểm tra trạng thái UFW
sudo ufw status verbose

# Đặt policy mặc định
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Cho phép SSH (QUAN TRỌNG - làm trước khi enable!)
sudo ufw allow ssh

# Hoặc chỉ định port cụ thể
sudo ufw allow 22/tcp

# Cho phép web traffic
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Bật firewall
sudo ufw enable

# Kiểm tra trạng thái
sudo ufw status

Các Quy Tắc UFW Nâng Cao

# Cho phép từ IP cụ thể
sudo ufw allow from 192.168.1.100 to any port 22

# Cho phép range port cụ thể
sudo ufw allow 1000:2000/tcp

# Xóa rule
sudo ufw delete allow 22/tcp

# Xem rules có số thứ tự
sudo ufw status numbered

Phần 4: Bảo Mật SSH Nâng Cao

SSH là vector tấn công phổ biến nhất. Để mặc định SSH giống như để cửa nhà mở.

4.1 Tạo User Non-Root

# Tạo user mới
sudo adduser admin

# Cấp quyền sudo
sudo usermod -aG sudo admin

# Chuyển sang user mới
su - admin

4.2 Thiết Lập SSH Key Authentication

# Trên MÁY CỦA BẠN, tạo key pair
ssh-keygen -t ed25519 -C "email_cua_ban@example.com"

# Copy public key lên server
ssh-copy-id admin@IP_SERVER

# Hoặc thủ công
mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys
# Dán nội dung public key

4.3 Tắt Password Authentication & Root Login

sudo nano /etc/ssh/sshd_config

Cập nhật các cài đặt sau:

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
ChallengeResponseAuthentication no
UsePAM no

Khởi động lại SSH:

sudo systemctl restart sshd

4.4 Đổi Port SSH Mặc Định

# Trong sshd_config, đổi:
Port 22
# thành
Port 22022

# Đừng quên cập nhật UFW rules!
sudo ufw allow 22022/tcp

Phần 5: Các Best Practices Bảo Mật Khác

5.1 Cài Đặt Fail2Ban

Fail2Ban tự động chặn IP liên tục thất bại khi đăng nhập SSH:

sudo apt update
sudo apt install fail2ban
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

5.2 Luôn Cập Nhật Phần Mềm

# Cập nhật tự động
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

5.3 Bật Vultr VPC Cho Private Networking

Cô lập server khỏi internet công cộng cho giao tiếp nội bộ:

# Tạo VPC trong Vultr Dashboard
# Chọn "Private Network" khi deploy instance mới
# Các instance trong cùng VPC giao tiếp qua IP riêng

5.4 Bật Auto Backups

Luôn có phương án phục hồi:

  1. Vào trang quản lý instance
  2. Click Backups
  3. Bật Automatic Backups

Checklist Bảo Mật

  • ✅ Bật Vultr Network Firewall
  • ✅ Bật DDoS Protection
  • ✅ Cấu hình UFW trên server
  • ✅ Tạo non-root user với sudo
  • ✅ Thiết lập SSH key authentication
  • ✅ Tắt password authentication
  • ✅ Tắt root login
  • ✅ Cài đặt Fail2Ban
  • ✅ Bật automatic backups
  • ✅ Luôn cập nhật hệ thống

Kết Luận

Bảo mật không phải thiết lập một lần - đây là quá trình liên tục. Bằng cách triển khai các lớp bảo vệ này, bạn giảm đáng kể surface tấn công và bảo vệ dữ liệu, ứng dụng và danh tiếng của mình.

Hạ tầng Vultr kết hợp với bảo mật cấp server mang lại cho bạn bảo vệ cấp doanh nghiệp với giá VPS. Bắt đầu với hướng dẫn này và thường xuyên xem lại cài đặt bảo mật.

Sẵn Sàng Deploy VPS Bảo Mật?

Bắt đầu với Vultr ngay hôm nay. Tài khoản mới nhận $100 credit!

Deploy Ngay