Tiếng Việt
Quy tắc tường lửa
Tổng quan
FlashPanel cho phép bạn quản lý tường lửa (UFW) của máy chủ qua menu Bảo mật > Tường lửa trên trang quản lý máy chủ. Bạn có thể tạo, nhân bản và xóa các quy tắc tường lửa để cho phép hoặc chặn lưu lượng vào/ra máy chủ.
Tường lửa được sử dụng để mở hoặc đóng các cổng trên máy chủ của bạn với Internet. Ví dụ: khi sử dụng FTP, bạn có thể cần mở cổng 21. Để tăng cường bảo mật, bạn có thể hạn chế các cổng đã mở đối với các địa chỉ IP hoặc subnet cụ thể.
Trạng thái dịch vụ & điều khiển
Ở đầu trang Quy tắc tường lửa, trang hiển thị trạng thái hiện tại của dịch vụ UFW:
- Kích hoạt (nhãn xanh): Tường lửa đang chạy.
- Ngừng kích hoạt (nhãn đỏ): Tường lửa đã dừng.
Bên cạnh nhãn trạng thái, các nút điều khiển dịch vụ sau có sẵn:
- Khởi động: Khởi động dịch vụ UFW.
- Khởi động lại: Khởi động lại dịch vụ UFW.
- Dừng: Dừng dịch vụ UFW.
- Cấu hình: Xem file cấu hình UFW (
/etc/ufw/ufw.conf). - Nhật ký: Xem file nhật ký UFW (
/var/log/ufw.log).
Danh sách quy tắc tường lửa
Bảng quy tắc hiển thị tất cả các quy tắc tường lửa đã cấu hình với các cột sau:
| Cột | Mô tả |
|---|---|
| Loại | Loại quy tắc và hướng, hiển thị dưới dạng nhãn màu (ví dụ ALLOW IN, DENY OUT, LIMIT IN). |
| TO | Địa chỉ IP và cổng đích. Bấm vào chip để sao chép giá trị vào clipboard. |
| FROM | Địa chỉ IP và cổng nguồn. Bấm vào chip để sao chép giá trị vào clipboard. |
| Giao thức | Giao thức áp dụng quy tắc (TCP, UDP, hoặc TCP & UDP khi không chỉ định). |
| Chú thích | Nhãn tùy chọn bạn đã gán khi tạo quy tắc. |
| (cột cuối) | Các nút để nhân bản hoặc xóa quy tắc. |
Màu sắc loại quy tắc
- Allow (xanh lá): Cho phép lưu lượng khớp với quy tắc.
- Deny (đỏ): Chặn lưu lượng khớp với quy tắc.
- Reject (cam): Chặn lưu lượng và gửi phản hồi từ chối đến nguồn.
- Limit (xanh dương): Cho phép lưu lượng nhưng giới hạn tốc độ kết nối (hữu ích để bảo vệ SSH khỏi tấn công brute-force).
Thêm quy tắc tường lửa
Tại trang Quy tắc tường lửa, bấm nút Thêm Firewall.
Trong hộp thoại Thêm quy tắc tường lửa, cấu hình các mục sau:
Loại quy tắc: Chọn một trong các loại:
- Cho phép (Allow) — cho phép lưu lượng
- Từ chối (Deny) — chặn lưu lượng âm thầm
- Chặn (Reject) — chặn lưu lượng và thông báo cho nguồn
- Giới hạn (Limit) — cho phép lưu lượng nhưng giới hạn tốc độ các lần kết nối lặp lại
Direction: Chọn Vào (lưu lượng vào) hoặc Ra (lưu lượng ra).
Cổng Đến: Nhập cổng đích. Bạn có thể:
- Nhập một cổng đơn lẻ (ví dụ
22,3306). - Nhập một dải cổng dùng dấu hai chấm (ví dụ
8000:8010). - Chọn một cổng đã biết từ danh sách thả xuống (ví dụ
22 - SSH,80 - HTTP).
- Nhập một cổng đơn lẻ (ví dụ
Địa chỉ IP Đến (không bắt buộc): Giới hạn đích đến một địa chỉ IP cụ thể. Để trống nghĩa là mọi địa chỉ (any).
Cổng Từ (không bắt buộc): Giới hạn cổng nguồn. Để trống nghĩa là mọi cổng (any).
Địa chỉ IP Từ (không bắt buộc): Giới hạn nguồn ở một địa chỉ IP hoặc subnet cụ thể (ví dụ
1.2.3.4hoặc1.2.3.4/16). Để trống nghĩa là mọi địa chỉ (any).Chú thích (không bắt buộc): Thêm nhãn để giúp bạn nhận diện quy tắc (ví dụ
SSH,MySQL).Giao thức: Chọn Cả TCP và UDP, Chỉ TCP, hoặc Chỉ UDP.
Nhật ký: Chọn có ghi log lưu lượng khớp hay không:
- Không — không ghi log
- Nhật ký — ghi các gói tin khớp
- Ghi log tất cả — ghi tất cả gói tin khớp với quy tắc
Bấm Thêm Firewall để tạo quy tắc.
Thứ Tự Quy Tắc
Quy tắc mới luôn được thêm vào cuối danh sách, và tường lửa áp dụng quy tắc đầu tiên khớp với lưu lượng. Vì vậy, nếu đã có quy tắc Cho phép cho một cổng, quy tắc Từ chối hoặc Chặn thêm sau cho cùng cổng đó có thể không có tác dụng. Hãy xóa quy tắc Cho phép tương ứng trước khi thêm quy tắc chặn.
Nhân bản quy tắc
Để nhanh chóng tạo một quy tắc mới dựa trên quy tắc đã có:
- Trong bảng quy tắc, bấm biểu tượng nhân bản (hai ô vuông chồng lên nhau) bên cạnh quy tắc bạn muốn nhân bản.
- Hộp thoại Thêm quy tắc tường lửa mở ra với tất cả các trường đã được điền sẵn từ quy tắc đã chọn.
- Điều chỉnh các trường nếu cần, sau đó bấm Thêm Firewall để tạo quy tắc mới.
Xóa quy tắc
- Trong bảng quy tắc, bấm biểu tượng thùng rác bên cạnh quy tắc bạn muốn xóa.
- Hộp thoại Xóa quy tắc tường lửa xuất hiện với thông báo "Bạn có chắc chắn là bạn muốn xóa?".
- Bấm Xác nhận để xóa vĩnh viễn quy tắc.
Các quy tắc tường lửa mặc định
Khi máy chủ được cấp phát, FlashPanel sẽ tự động cấu hình 3 quy tắc:
- SSH: Cho phép truy cập vào cổng SSH của máy chủ (mặc định
22) từ bất kỳ địa chỉ IP - HTTP: Cho phép truy cập vào cổng
80từ bất kỳ địa chỉ IP - HTTPS: Cho phép truy cập vào cổng
443từ bất kỳ địa chỉ IP
Không bao giờ xóa quy tắc SSH
Mặc dù cổng SSH được mở cho mọi địa chỉ IP, mặc định máy chủ chỉ chấp nhận kết nối SSH dùng Khóa SSH. Vì vậy, kẻ tấn công không thể dò mật khẩu (brute-force) để đăng nhập SSH vào máy chủ của bạn.
Bạn không bao giờ được xóa quy tắc cho phép truy cập SSH đến máy chủ của mình; nếu không, FlashPanel sẽ không thể kết nối hoặc quản lý máy chủ của bạn.
Khôi phục quy tắc SSH đã xóa
Nếu bạn đã xóa quy tắc tường lửa cho cổng SSH (mặc định 22) khỏi giao diện FlashPanel hoặc trực tiếp trên máy chủ, FlashPanel sẽ không thể kết nối với máy chủ và sẽ không thể tạo lại quy tắc này cho bạn.
Để khắc phục, bạn sẽ cần truy cập trực tiếp vào máy chủ thông qua bảng điều khiển của nhà cung cấp (ví dụ DigitalOcean, AWS, Linode) và thêm lại cổng SSH theo cách thủ công.
FlashPanel sử dụng ufw cho tường lửa, vì vậy khi đã kết nối được với máy chủ, hãy chạy lệnh sau với quyền root (thay 22 bằng cổng SSH của bạn nếu đã đổi):
bash
ufw allow 22Ghi chú & cảnh báo
- Lưu ý: Danh sách quy tắc được đọc trực tiếp từ máy chủ. Các quy tắc
ufwthêm thủ công trên máy chủ (ngoài FlashPanel) cũng sẽ hiển thị sau khi bạn tải lại trang. - Cảnh báo: Dừng dịch vụ UFW sẽ vô hiệu hóa tất cả quy tắc tường lửa. Máy chủ của bạn sẽ hoàn toàn lộ ra Internet cho đến khi dịch vụ được khởi động lại.
- Mẹo: Nên dùng loại quy tắc Giới hạn (Limit) thay vì Cho phép (Allow) cho cổng SSH để bảo vệ khỏi tấn công brute-force.