Cách Cài Đặt, Cấu Hình CSF Firewall Chống DDoS, Quản Lý IP & Gỡ Bỏ

4. Hướng Dẫn Từng Bước Cài Đặt CSF Firewall Trên Linux

Để triển khai thành công tường lửa CSF lên môi trường máy chủ ảo (VPS) hoặc Dedicated Server, bạn cần tiến hành theo các giai đoạn sau:

Bước 1: Xác định phiên bản hệ điều hành

Trước khi bắt đầu, hãy kiểm tra chính xác bản phân phối và phiên bản hệ điều hành Linux đang vận hành trên máy chủ nhằm đảm bảo tính tương thích của gói cài đặt.

Bước 2: Cài đặt các module phụ trợ

CSF cần các thư viện Perl để thực thi các tác vụ quản trị và kích hoạt đầy đủ các chức năng cốt lõi. Hãy cài đặt module hỗ trợ bằng câu lệnh:

yum install perl-libwww-perl

Bước 3: Tải mã nguồn cài đặt CSF

Di chuyển vào thư mục tạm /tmp và tiến hành tải gói cài đặt mới nhất trực tiếp từ máy chủ ConfigServer thông qua tiện ích wget:

cd /tmp
wget https://download.configserver.com/csf.tgz

Bước 4: Tiến hành giải nén và cài đặt

Giải nén tệp tin lưu trữ vừa tải về, chuyển hướng vào thư mục chứa mã nguồn và thực thi kịch bản cài đặt tự động:

cd /tmp
wget https://download.configserver.com/csf.tgz
tar -zxvf csf.tgz
cd csf
./install.sh

Bước 5: Tùy chỉnh thông số cấu hình cơ bản

Theo mặc định ban đầu, CSF sẽ tự động bảo vệ các dịch vụ thiết yếu như SSH, HTTP hay FTP và chặn các luồng kết nối trái phép. Tuy nhiên, bạn cần mở tệp cấu hình chính để điều chỉnh các cổng mạng theo nhu cầu thực tế:

nano /etc/csf/csf.conf

Tiến hành rà soát và thiết lập các tham số mở cổng TCP và UDP cho cả hai chiều Inbound (chiều vào) và Outbound (chiều ra):

# Allow incoming TCP ports
TCP_IN = “20,21,22,25,53,80,110,143,443,465,587,993,995”

# Allow outgoing TCP ports
TCP_OUT = “20,21,22,25,53,80,110,113,443”

# Allow incoming UDP ports
UDP_IN = “20,21,53”

# Allow outgoing UDP ports
# To allow outgoing traceroute add 33434:33523 to this list
UDP_OUT = “20,21,53,113,123”

Sau khi hoàn tất cấu hình danh sách cổng, điều bắt buộc là phải tắt chế độ thử nghiệm (Testing Mode). Bạn tìm đến biến TESTING và chuyển giá trị từ "1" sang "0":

TESTING = "0"

Lưu lại thay đổi và đóng tệp cấu hình.

Bước 6: Khởi chạy và thiết lập tự động kích hoạt

Thực thi lệnh sau để bắt đầu khởi chạy tường lửa và áp dụng các thông số vừa thiết lập. CSF sẽ kiểm tra cú pháp; nếu phát sinh lỗi, hệ thống sẽ dừng lại và đưa ra thông báo cụ thể:

csf -s

Để đảm bảo tường lửa luôn tự động khởi động cùng hệ thống trong những lần reboot máy chủ, sử dụng kết hợp các lệnh:

chkconfig --level 235 csf on
service csf restart

5. Hướng Dẫn Cấu Hình CSF Firewall Hạn Chế Tấn Công DDoS

Các đợt tấn công từ chối dịch vụ phân tán (DDoS) thường nhắm vào việc làm cạn kiệt tài nguyên máy chủ qua các dạng phổ biến như SYN flood, ICMP flood, UDP flood hay HTTP flood. Để giảm thiểu rủi ro, bạn có thể áp dụng các bước tinh chỉnh sâu trong CSF.

Thiết lập các quy tắc phòng vệ trong csf.conf

Mở file /etc/csf/csf.conf và bổ sung hoặc sửa đổi các quy chuẩn giới hạn luồng kết nối và truy vấn đáng ngờ:

# Giới hạn số kết nối TCP từ một địa chỉ IP duy nhất
TCP_IN = "20,21,22,25,53,80,110,143,443"
TCP_OUT = "20,21,22,25,53,80,110,143,443"
CONNLIMIT = "tcp:20,30"

# Giới hạn số yêu cầu HTTP từ một địa chỉ IP duy nhất
LF_HTTP_REQ = "60"

# Chặn gói tin ICMP từ các địa chỉ IP đáng ngờ
ICMP_IN = "0"
ICMP_OUT = "0"
DROP_ICMP = "1"

Sử dụng các lệnh hỗ trợ kiểm soát nhanh

CSF cung cấp các cú pháp lệnh nhanh giúp quản trị viên phản ứng kịp thời trước các đợt tấn công:

• csf -g: Hiển thị danh sách các địa chỉ IP hiện đang kết nối trực tiếp đến máy chủ của bạn.
• csf -r: Đặt lại giới hạn tối đa cho số kết nối từ một địa chỉ IP (đồng thời nạp lại các quy tắc tường lửa).
• csf -d: Tiến hành chặn ngay một địa chỉ IP nghi vấn đang có hành vi tấn công hệ thống.

Điều chỉnh các tham số thời gian chặn

Trong tệp tin csf.conf, bạn có thể thiết lập cơ chế thời gian để chuyển đổi từ hình thức chặn tạm thời sang xử lý triệt để:

• DENY_TEMP_IP_LIMIT: Đặt số lần tối đa mà một địa chỉ IP có thể bị đưa vào danh sách chặn tạm thời trong một khoảng thời gian nhất định.
• LF_TRIGGER_PERM_BLOCK: Thiết lập ngưỡng thời gian để chuyển một IP bị chặn tạm thời thành chặn vĩnh viễn.
• LF_PERMBLOCK_TIME: Quy định tổng thời gian duy trì trạng thái chặn vĩnh viễn đối với địa chỉ IP vi phạm.

Kiểm tra và giám sát lưu lượng

Sau khi thiết lập hệ thống, việc theo dõi định kỳ là cần thiết để nhận diện sớm các biến động lưu lượng bất thường. Quản trị viên nên kết hợp thêm các công cụ phân tích gói tin mạng chuyên sâu như ngrep, tcpdump và Wireshark để nắm bắt toàn diện tình hình an ninh máy chủ.

6. Hướng Dẫn Cấu Hình Cho Phép (Allow) Hoặc Chặn (Deny) Địa Chỉ IP

Để quản lý quyền truy cập của từng địa chỉ IP riêng lẻ vào hệ thống máy chủ thông qua tệp cấu hình CSF, bạn thực hiện theo các bước sau:

Bước 1: Mở tệp tin cấu hình

Sử dụng trình soạn thảo văn bản như nano hoặc vi để truy cập vào tệp cấu hình tại đường dẫn:

nano /etc/csf/csf.conf

Bước 2: Cấu hình danh sách IP được phép truy cập (Whitelist)

Để mở quyền truy cập cho các địa chỉ IP xác định, bạn khai báo danh sách này tại tham số ALLOWED_IPS (các địa chỉ IP cách nhau bởi dấu phẩy):

ALLOWED_IPS = "192.168.1.1, 10.0.0.1"

Các địa chỉ có tên trong danh sách trên sẽ được hệ thống tiếp nhận yêu cầu truy cập hợp lệ.

Bước 3: Cấu hình danh sách IP bị cấm (Blacklist)

Để ngăn chặn triệt để luồng truy cập từ những IP xác định, hãy gán giá trị tại tham số DENY_IPS (phân tách nhau bởi dấu phẩy):

DENY_IPS = "192.168.1.2, 10.0.0.2"

Khi áp dụng, toàn bộ kết nối xuất phát từ các địa chỉ IP này sẽ bị hệ thống chặn hoàn toàn.

Bước 4: Nạp lại cấu hình

Để các thiết lập mới có hiệu lực ngay lập tức, tiến hành khởi động lại CSF Firewall bằng lệnh:

csf -r

Các bước cài đặt CSF Firewall trên máy chủ cPanel

Để tích hợp CSF vào hệ sinh thái cPanel/WHM, quản trị viên sử dụng tài khoản Root để đăng nhập vào VPS hoặc Server thông qua SSH, sau đó thực hiện lần lượt các bước sau:

Bước 1: Tải về và chạy script cài đặt

Tiến hành tải gói nén từ máy chủ ConfigServer, giải nén và kích hoạt tệp cài đặt:

wget http://www.configserver.com/free/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Bước 2: Kiểm tra module iptables của hệ thống

Trước khi đưa tường lửa vào hoạt động chính thức, hãy chạy script kiểm tra tích hợp sẵn để xác nhận máy chủ đã tải đầy đủ các module iptables cần thiết:

perl /usr/local/csf/bin/csftest.pl

Bước 3: Tắt chế độ kiểm thử (Testing mode)

Khi mới cài đặt, CSF mặc định kích hoạt chế độ thử nghiệm để bảo vệ người quản trị không bị mất quyền truy cập nếu cấu hình sai. Bạn cần chuyển trạng thái này sang hoạt động thật bằng trình soạn thảo văn bản (ví dụ vi hoặc nano):

vi /etc/csf/csf.conf

Xác định dòng chứa thông số TESTING = "1" và sửa thành:

TESTING = "0"

Lưu lại nội dung và thoát khỏi trình soạn thảo.

Bước 4: Khởi động lại dịch vụ CSF

Áp dụng các thay đổi bằng câu lệnh khởi động lại:

/etc/init.d/csf restart

Ngay khi tiến trình hoàn tất, bạn đăng nhập vào giao diện quản trị WHM và tìm kiếm mục ConfigServer Security&Firewall nằm tại đường dẫn: WHM >> Plugins.

Cấu hình và khai thác các tính năng của CSF trực tiếp trên cPanel/WHM

Thiết lập địa chỉ email nhận thông báo cảnh báo bảo mật:

1. Truy cập vào bảng điều khiển cPanel/WHM và chọn mục Basic cPanel & WHM Setup.
2. Điều hướng đến phần Contact Information, nhập địa chỉ email bạn muốn nhận các bản tin cảnh báo từ hệ thống và bấm Save Changes để hoàn tất.

Quản lý kiểm soát địa chỉ IP (Khóa, Cho phép, Tra cứu):

Tại giao diện WHM, truy cập vào WHM >> ConfigServer Security&Firewall và thao tác tại các khu vực chức năng sau:

• Chặn truy cập một IP (Quick Deny): Nhập địa chỉ IP cần chặn vào ô nhập liệu nằm cạnh nút Quick Deny, sau đó nhấn nút Quick Deny để đưa IP đó vào danh sách cấm của tường lửa.
• Cho phép truy cập một IP (Quick Allow): Nhập IP cần cấp quyền vào ô cạnh nút Quick Allow và nhấn nút Quick Allow để đưa vào danh sách an toàn (Whitelist).
• Xem danh sách IP bị chặn: Nhấn chọn nút Firewall Deny IPs để mở toàn bộ danh sách các IP đang bị tường lửa khóa.
• Xem danh sách IP được cho phép: Nhấn chọn nút Firewall Allow IPs để kiểm tra các IP đã được cấp quyền truy cập.
• Tra cứu tình trạng của một địa chỉ IP: Nhập IP cần rà soát vào ô cạnh nút Search for IP rồi bấm nút Search for IP. Nếu IP đó đang nằm trong danh sách chặn, hệ thống sẽ trả về bảng thông tin chi tiết kèm nguyên nhân và thời gian bị chặn.
• Mở khóa cho địa chỉ IP: Tại giao diện kết quả tìm kiếm IP đang bị khóa, bạn chỉ cần nhấn trực tiếp vào biểu tượng ổ khóa để gỡ chặn cho IP đó.

Phương pháp khắc phục các sự cố thường gặp với CSF trên cPanel

/scripts/perlinstaller JSON::XS

9. Hướng Dẫn Cấu Hình Nâng Cao CSF Firewall

Để tối ưu hóa bảo mật và giảm thiểu các rủi ro xâm nhập mạng, bạn cần chỉnh sửa chuyên sâu các tệp tin cấu hình, đặc biệt là quản lý các cổng mạng (Ports) và các thông số giám sát tự động trong tệp /etc/csf/csf.conf.

 Cấu hình kiểm soát cổng mạng (Ports)

Nguyên tắc cốt lõi trong bảo mật máy chủ là chỉ mở các cổng phục vụ dịch vụ đang hoạt động thực tế và đóng toàn bộ các cổng không sử dụng.

Mặc định, CSF mở sẵn một nhóm các cổng mạng thông dụng như sau:

TCP_IN = “20,21,22,25,53,80,110,143,443,465,587,993,995”
TCP_OUT = “20,21,22,25,53,80,110,113,443”
UDP_IN = “20,21,53”
UDP_OUT = “20,21,53,113,123”

Bảng phân loại chi tiết chức năng của các cổng mặc định:

Cấu hình cổng theo từng mô hình dịch vụ cụ thể trên máy chủ:

Tùy theo vai trò của máy chủ, bạn chỉ nên giữ lại các cổng sau:

• Cấu hình bắt buộc trên tất cả máy chủ:TCP_IN: 22, 53TCP_OUT: 22, 53, 80, 113, 443UDP_IN: 53UDP_OUT: 53, 113, 123
• Máy chủ chạy Web (Apache hoặc Nginx):TCP_IN: 80, 443 (Lưu ý: Nếu website không dùng chứng chỉ SSL/HTTPS, bạn có thể loại bỏ cổng 443).
• Máy chủ FTP Server:TCP_IN: 20, 21TCP_OUT: 20, 21UDP_IN: 20, 21UDP_OUT: 20, 21
• Máy chủ Thư điện tử (Mail Server):TCP_IN: 25, 110, 143, 587, 993, 995TCP_OUT: 25, 110
• Máy chủ Cơ sở dữ liệu MySQL (trường hợp cần kết nối từ xa):TCP_IN: 3306TCP_OUT: 3306

Tùy chỉnh các thông số bảo vệ chuyên sâu khác

Bên cạnh quản lý cổng, tệp /etc/csf/csf.conf còn cung cấp nhiều biến cấu hình quan trọng nhằm chống tấn công và quản lý tài nguyên:

• ICMP_IN: Cho phép hoặc từ chối gửi gói tin Ping (ICMP) đến máy chủ. Gán giá trị 0 nếu muốn từ chối mọi yêu cầu ping.
• ICMP_IN_LIMIT: Thiết lập ngưỡng giới hạn số lượng yêu cầu ping từ một địa chỉ IP duy nhất trong một chu kỳ thời gian. Thông thường nên giữ giá trị mặc định của hệ thống là 1/s.
• DENY_IP_LIMIT: Giới hạn số lượng địa chỉ IP tối đa bị lưu giữ trong danh sách chặn vĩnh viễn của CSF. Khi danh sách vượt quá ngưỡng quy định, hệ thống sẽ tự động gỡ chặn cho các IP cũ nhất. Quản trị viên nên duy trì thông số này ở mức hợp lý nhằm đảm bảo hiệu suất hoạt động của máy chủ.
• DENY_TEMP_IP_LIMIT: Hoạt động tương tự như DENY_IP_LIMIT nhưng áp dụng cho danh sách các IP bị chặn tạm thời.
• LF_DAEMON: Kích hoạt chức năng của tiến trình LFD để tự động phát hiện và xử lý các hành vi đăng nhập trái phép/không hợp lệ.
• PACKET_FILTER: Kích hoạt bộ lọc chuyên sâu để tự động loại bỏ các gói tin rác hoặc không hợp lệ.
• SYNFLOOD, SYNFLOOD_RATE, SYNFLOOD_BURST: Nhóm cấu hình kích hoạt cơ chế bảo vệ máy chủ trước các cuộc tấn công dạng SYN flood.
• CONNLIMIT: Thiết lập giới hạn số lượng kết nối liên tiếp đồng thời trên từng cổng xác định từ một địa chỉ IP.Ví dụ cú pháp: CONNLIMIT = "22;5;80;20" cho phép tối đa 5 kết nối liên tiếp vào cổng 22 (SSH) và 20 kết nối liên tiếp vào cổng 80 (HTTP).
• PORTFLOOD: Giới hạn số lượng kết nối mới đến một cổng trong một khoảng thời gian cụ thể.Ví dụ cú pháp: PORTFLOOD = "22;tcp;5;250" sẽ tự động khóa địa chỉ IP nếu IP đó tạo quá 5 kết nối giao thức TCP vào cổng 22 trong vòng 250 giây. Quy tắc chặn này sẽ tự động được gỡ bỏ sau 250 giây kể từ thời điểm gửi gói tin cuối cùng. Quản trị viên có thể khai báo nhiều cổng khác nhau bằng cách phân tách chúng bằng dấu phẩy.

Mặc định, các giá trị cấu hình ban đầu của CSF đã được tối ưu tương đối tốt để ngăn chặn các hành vi flood mạng, quét cổng (port scanning) hay dò tìm mật khẩu (brute force). Bạn có thể tham khảo trực tiếp các đoạn ghi chú chi tiết bên trong tệp /etc/csf/csf.conf để hiểu sâu hơn từng thông số.

csf -r

1. Cài đặt CSF Firewall có làm tiêu tốn tài nguyên hay giảm tốc độ VPS không?

Hoàn toàn không đáng kể. CSF biên dịch các quy tắc trực tiếp thành bảng mã lọc gói tin của Iptables ở cấp độ kernel của Linux. LFD tiêu tốn lượng RAM rất nhỏ (thường dưới 30MB) và chỉ tiêu thụ CPU khi đọc log phân tích hành vi tấn công.

2. Tôi có thể cài đặt song song cả CSF và UFW trên cùng một máy chủ Ubuntu không?

Không nên. Cả CSF và UFW đều là công cụ quản lý cấu hình các chain Iptables. Việc kích hoạt đồng thời cả hai phần mềm sẽ gây ra hiện tượng ghi đè luật của nhau, dẫn đến xung đột routing và có thể làm tê liệt toàn bộ kết nối mạng.

3. CSF Firewall có đủ sức ngăn chặn các cuộc tấn công DDoS quy mô lớn không?

CSF chỉ giúp xử lý hiệu quả các đợt scan port, brute force và DoS/SYN Flood quy mô nhỏ. Khi gặp tấn công DDoS hạ tầng hàng chục Gbps làm tràn băng thông mạng trước khi tới máy chủ, bạn cần kết hợp thêm các giải pháp lọc lưu lượng ở tầng CDN hoặc tường lửa biên phần cứng.

4. Nếu không muốn dùng nữa, làm thế nào để gỡ bỏ sạch sẽ CSF khỏi máy chủ?

Nhà phát triển cung cấp sẵn script gỡ cài đặt. Bạn chỉ cần chạy các lệnh sau trong terminal: cd /etc/csf && sh uninstall.sh. Tường lửa sẽ được xóa sạch và khôi phục các chuỗi bảng mạng mặc định của hệ điều hành.