An Toàn Mặc Định Trên Linux Server: Vì Sao Tôi Không Còn Tin Tưởng Nữa?
Chào bạn! Bạn có bao giờ tự hỏi, liệu cái máy chủ Linux mà bạn vừa cài xong có thật sự 'an toàn mặc định' như lời đồn không? Nghe có vẻ yên tâm nhỉ? Nhưng khoan đã! Sau khi 'mổ xẻ' hàng tá server, tôi nhận ra đây là một lầm tưởng... cực kỳ nguy hiểm đó! Ngay cả những 'anh lớn' như Ubuntu hay CentOS cũng có thể để lại 'cửa hậu' nếu bạn không cẩn thận. Hãy cùng tôi lật tẩy sự thật và xem tôi đã làm gì để bảo vệ 'nhà' mình nhé! Tưởng tượng mà xem, ngay sau khi bạn cài đặt xong server, tôi thử gõ lệnh `ss -tuln` (một 'thám tử' giúp bạn kiểm tra các cổng mạng đang mở) và bất ngờ thấy... ôi thôi, có mấy 'vị khách không mời' đang 'nghe ngóng' rồi! Hóa ra, nhiều bản Linux mặc định cài sẵn mấy dịch vụ như Avahi (cho phép tìm kiếm dịch vụ trong mạng nội bộ), cups (dành cho máy in, mà server thì mấy khi in?), hay rpcbind (dịch vụ liên quan đến RPC) – những thứ thường chẳng cần thiết mà lại có thể thành 'ổ' cho kẻ xấu đột nhập. Bí kíp của tôi là gì? Ngay sau khi cài đặt, tôi sẽ chạy liền hai lệnh 'thám tử' này: `sudo ss -tuln` và `sudo netstat -plnt`. Hai lệnh này sẽ giúp bạn nhìn thấy rõ ràng những 'cánh cửa' nào đang mở và dịch vụ nào đang chiếm giữ chúng. Sau đó, bất cứ dịch vụ nào mà tôi thấy 'lạ hoắc' hoặc 'không mời mà đến', tôi sẽ thẳng tay 'đóng cửa' và 'niêm phong' nó ngay lập tức. Ví dụ, với 'anh chàng' Avahi không cần thiết: `sudo systemctl stop avahi-daemon` (Tắt dịch vụ ngay lập tức) và `sudo systemctl disable avahi-daemon` (Ngăn không cho nó tự khởi động lại khi server reboot). Đơn giản, đúng không nào? Cứ như dọn dẹp nhà cửa vậy! <img src='https://truyentranh.letranglan.top/api/v1/proxy?url=https://i.imgur.com/open_ports_concept.png' alt='Minh họa các cổng mở trên server'> Tiếp theo, một 'cánh cửa' khác mà kẻ xấu rất thích nhòm ngó chính là SSH (Secure Shell) – cổng kết nối từ xa vào server của bạn. Có lần tôi kiểm tra, ôi không! SSH lại cho phép đăng nhập bằng mật khẩu (password login) và thậm chí là cho phép đăng nhập bằng tài khoản root (root login) ngay từ đầu! Nghe thì tiện nhưng thực ra đây là hai 'lỗ hổng' cực lớn. Đăng nhập bằng mật khẩu dễ bị tấn công 'brute-force' (thử mật khẩu liên tục), còn đăng nhập bằng root thì... giống như bạn trao chìa khóa vạn năng cho bất kỳ ai vậy! Tôi làm gì để 'khóa chặt' SSH? Thứ nhất là tắt đăng nhập bằng mật khẩu: Chuyển sang dùng SSH Keys (khóa công khai/khóa riêng tư). Cứ như bạn dùng vân tay thay vì mật khẩu vậy, bảo mật hơn rất nhiều. Thứ hai là tắt đăng nhập tài khoản root: Tạo một tài khoản người dùng thường và sử dụng `sudo` khi cần quyền quản trị. Điều này giúp hạn chế tối đa rủi ro nếu tài khoản bị lộ. Thứ ba là thay đổi cổng SSH mặc định: Thay vì cổng 22 quen thuộc, đổi sang một cổng khác ít ai ngờ tới. Tuy không phải là giải pháp tuyệt đối, nhưng nó giúp 'che mắt' những kẻ quét mạng tự động. Và cuối cùng là giới hạn IP được phép đăng nhập: Chỉ cho phép những IP cụ thể mà bạn biết được kết nối qua SSH. Cứ làm vậy, bạn sẽ biến cánh cửa SSH từ 'cổng chợ' thành 'cửa hầm bí mật' an toàn tuyệt đối! <img src='https://truyentranh.letranglan.top/api/v1/proxy?url=https://i.imgur.com/ssh_security_lock.png' alt='Minh họa bảo mật SSH'> Thấy đó, khái niệm 'an toàn mặc định' đôi khi chỉ là một 'lời ru ngủ' mà thôi. Để server của bạn thực sự vững chắc, bạn cần phải chủ động kiểm tra và cấu hình lại. Đừng tin vào lời hứa, hãy tin vào những gì bạn tự tay kiểm soát! Bằng cách áp dụng những mẹo nhỏ này, bạn không chỉ bảo vệ server khỏi nguy hiểm mà còn 'nâng tầm' kỹ năng quản trị của mình nữa đấy!
Lê Lân