DPTCloud
Quay lại danh sách
Tin tức công nghệ

Bảo vệ VPS khỏi các đợt quét tấn công tự động bằng kỹ thuật Port Knocking nâng cao

4 tháng 6, 2026

1. Đặt vấn đề: Mối đe dọa từ các đợt quét tấn công tự động (Automated Scanning)

Đối với bất kỳ quản trị viên hệ thống nào, việc sở hữu một máy chủ ảo cá nhân (VPS) có IP công khai đồng nghĩa với việc phải đối mặt với hàng nghìn đợt quét tự động mỗi ngày. Các botnet liên tục rà quét không gian mạng để tìm kiếm các cổng (port) phổ biến như SSH (22), RDP (3389), hay FTP (21). Khi phát hiện một cổng đang mở, chúng sẽ lập tức triển khai các cuộc tấn công brute-force hoặc khai thác lỗ hổng bảo mật chưa được vá.

Mặc dù các biện pháp như đổi cổng mặc định, sử dụng SSH Key, hay cài đặt Fail2ban mang lại hiệu quả nhất định, chúng vẫn bộc lộ những hạn chế. Đổi cổng chỉ làm chậm quá trình phát hiện của kẻ tấn công, trong khi Fail2ban chỉ phản ứng sau khi cuộc tấn công đã xảy ra. Để tối ưu hóa an ninh, giải pháp lý tưởng nhất là làm cho các cổng dịch vụ này trở nên "vô hình" hoàn toàn trước các công cụ quét mã độc. Đó chính là lúc chúng ta cần đến Port Knocking.

2. Khái niệm Port Knocking và cơ chế hoạt động cơ bản

Port Knocking là một phương thức bảo mật dựa trên cơ chế tường lửa, hoạt động giống như một "mật mã gõ cửa" bằng kỹ thuật số. Kỹ thuật này giữ cho tất cả các cổng dịch vụ quan trọng ở trạng thái đóng (closed) mặc định đối với mọi lưu lượng truy cập từ bên ngoài. Tường lửa sẽ âm thầm giám sát các nỗ lực kết nối kết nối đến hệ thống.

Khi một người dùng hợp lệ muốn truy cập, họ phải gửi một chuỗi các gói tin đến các cổng được chỉ định trước theo một thứ tự chính xác (ví dụ: gõ vào cổng 7000, sau đó 8000, và cuối cùng là 9000). Khi và chỉ khi nhận được đúng chuỗi "gõ cửa" này, tường lửa mới tự động kích hoạt một quy tắc (rule) mới, mở cổng dịch vụ (như SSH) riêng cho địa chỉ IP của người dùng đó trong một khoảng thời gian nhất định.

Cơ chế này đảm bảo rằng kẻ tấn công thông thường khi quét cổng sẽ chỉ thấy trạng thái Filtered hoặc Closed, từ đó bỏ qua VPS của bạn vì nghĩ rằng không có dịch vụ nào đang chạy.

3. Tại sao cần triển khai Port Knocking nâng cao?

Mặc dù Port Knocking cơ bản rất hữu ích, nó vẫn tồn tại điểm yếu: kẻ tấn công có thể sử dụng kỹ thuật bắt gói tin (packet sniffing) để ghi lại chuỗi gõ cửa và thực hiện tấn công lặp lại (replay attack). Để khắc phục, các doanh nghiệp và chuyên gia bảo mật chuyển sang áp dụng Port Knocking nâng cao sử dụng công cụ fwknop (Firewall Knock Operator).

Khác với phương pháp truyền thống, Port Knocking nâng cao ứng dụng cơ chế Single Packet Authorization (SPA). Thay vì gửi nhiều gói tin đến các cổng khác nhau, SPA chỉ gửi một gói tin duy nhất được mã hóa bằng thuật toán mạnh mẽ (như AES hoặc GnuPG). Gói tin này chứa thông tin định danh, dấu thời gian (timestamp) để chống replay attack, và yêu cầu mở cổng công việc cụ thể. Do đó, ngay cả khi kẻ tấn công bắt được gói tin, chúng cũng không thể giải mã hoặc tái sử dụng nó để xâm nhập hệ thống.

4. Hướng dẫn cấu hình chi tiết Kỹ thuật SPA với fwknop

Để triển khai giải pháp Port Knocking nâng cao sử dụng SPA trên hệ điều hành Ubuntu/Debian, hãy thực hiện theo các bước chuẩn hóa dưới đây:

Bước 1: Cài đặt fwknop trên Server và Client

Trước hết, bạn cần cài đặt gói dịch vụ daemon trên VPS và bộ công cụ gửi lệnh trên máy trạm (client):

  • Trên Server: Chạy lệnh sudo apt update && sudo apt install fwknop-server -y
  • Trên Client: Chạy lệnh sudo apt install fwknop-client -y

Bước 2: Cấu hình fwknop-server

Tệp cấu hình chính của server nằm tại đường dẫn /etc/fwknop/fwknopd.conf. Bạn cần xác định card mạng đang kết nối Internet (ví dụ: eth0) và khai báo trong mục:

PCAP_INTF eth0;

Tiếp theo, cấu hình quyền truy cập và khóa bảo mật trong tệp /etc/fwknop/access.conf. Đoạn cấu hình dưới đây định nghĩa chuỗi khóa chia sẻ trước (Pre-Shared Key) và giới hạn quyền mở cổng:SOURCE ANY OPEN_PORTS tcp/22 KEY_TYPE hmac-sha256 REQUIRE_SOURCE_ADDRESS Y

Bước 3: Khởi tạo khóa mã hóa và đồng bộ giữa Client - Server

Để tạo tính bảo mật cao, bạn nên tạo ra một cặp khóa HMAC và khóa mã hóa đối xứng. Sử dụng lệnh sau trên máy client để tự động sinh cấu hình:

fwknop -A tcp/22 -D [IP_CUA_SERVER] --key-gen --use-hmac-save-config

Hệ thống sẽ ghi nhận các chuỗi khóa ngẫu nhiên. Bạn cần copy các chuỗi khóa này điền vào file access.conf trên Server, sau đó khởi động lại dịch vụ bằng lệnh: sudo systemctl restart fwknop-server.

Bước 4: Thiết lập tường lửa nghiêm ngặt

Bây giờ, hãy cấu hình UFW hoặc iptables để chặn toàn bộ kết nối SSH mặc định bên ngoài:

sudo ufw default deny incoming
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw deny 22/tcp
sudo ufw enable

Lúc này, cổng 22 đã hoàn toàn đóng. Nếu bạn cố gắng kết nối SSH thông thường, phiên kết nối sẽ bị từ chối (Timeout).

5. Thử nghiệm thực tế: Quy trình kích hoạt mở cổng từ xa

Khi quản trị viên cần truy cập vào VPS, quy trình sẽ diễn ra như sau:

  1. Gửi lệnh SPA từ máy Client: Quản trị viên thực hiện lệnh: fwknop -n [Ten_Server]. Máy client sẽ đóng gói một tin nhắn chứa IP hiện tại của client, mã hóa nó bằng khóa đã thiết lập và gửi đến server qua giao thức UDP (mặc định là cổng 62201).
  2. Xử lý tại Server: fwknop-server nhận được gói tin, kiểm tra tính hợp lệ của chữ ký HMAC, giải mã gói tin và xác thực timestamp. Nếu hợp lệ, nó sẽ thực hiện lệnh iptables để mở cổng 22 chỉ riêng cho IP của client trong vòng 30 giây.
  3. Kết nối SSH: Ngay sau khi lệnh gửi thành công, quản trị viên thực hiện lệnh kết nối chuẩn: ssh user@server_ip. Kết nối sẽ thành công mượt mà. Sau khi hết thời gian 30 giây, quy trình tự động đóng cổng sẽ kích hoạt, nhưng phiên SSH đang kết nối vẫn được giữ nguyên.

6. Những lưu ý quan trọng khi vận hành hệ thống Port Knocking

Mặc dù Port Knocking nâng cao cung cấp mức độ bảo mật vượt trội, việc quản trị vận hành cần tuân thủ các nguyên tắc nghiêm ngặt để tránh tình trạng tự khóa mình khỏi hệ thống (lockout):

  • Đồng bộ thời gian (NTP): Do SPA dựa vào mốc thời gian để chống tấn công lặp lại, hãy đảm bảo cả Server và Client đều được đồng bộ thời gian chính xác qua giao thức NTP. Sai lệch quá 2-3 phút sẽ khiến gói tin SPA bị từ chối.
  • Sao lưu khóa bảo mật: Luôn lưu trữ các khóa cấu hình cấu hình mạng (access.conf keys) ở một nơi an toàn bên ngoài máy tính làm việc chính. Nếu mất các khóa này, bạn sẽ không thể tạo gói tin gõ cửa hợp lệ.
  • Cơ chế dự phòng (Fallback): Hãy luôn giữ một phương thức truy cập dự phòng an toàn, chẳng hạn như giao diện điều khiển Web Console/VNC do nhà cung cấp dịch vụ VPS cung cấp, phòng trường hợp dịch vụ tường lửa hoặc fwknop gặp sự cố lỗi cấu hình.

7. Lời kết

Bảo mật VPS bằng kỹ thuật Port Knocking nâng cao (SPA) là một giải pháp chủ động, giúp chuyển đổi tư thế phòng ngự từ "chống đỡ các đợt tấn công" sang "ẩn mình hoàn toàn khỏi tầm ngắm của hacker". Bằng việc thiết lập ranh giới bảo mật nghiêm ngặt và không để lộ bất kỳ dấu vết nào của các cổng dịch vụ, doanh nghiệp có thể giảm thiểu tới 99% rủi ro từ các đợt quét mã độc tự động, đảm bảo toàn vẹn dữ liệu và hạ tầng hệ thống luôn trong trạng thái an toàn nhất.