Cấu hình Cloudflare Tunnels nâng cao bảo vệ VPS: Chặn hoàn toàn IP quốc gia lạ và tích hợp Cloudflare Access

Giới thiệu về thách thức bảo mật VPS trong kỷ nguyên số

Đối với các doanh nghiệp và quản trị viên hệ thống, việc vận hành máy chủ riêng ảo (VPS) luôn đi kèm với thách thức lớn về an ninh mạng. Theo các báo cáo bảo mật gần đây, các cuộc tấn công tự động (botnet), quét cổng (port scanning) và tấn công brute-force vào các cổng dịch vụ phổ biến như SSH (22), HTTP (80/443) diễn ra liên tục mỗi giây. Việc cấu hình tường lửa truyền thống (UFW, Firewalld) tuy có hiệu quả nhưng chưa đủ để bảo vệ hệ thống trước các lỗ hổng zero-day hoặc các cuộc tấn công DDoS phức tạp.

Giải pháp tối ưu hiện nay là ẩn hoàn toàn máy chủ khỏi hạ tầng internet công cộng. Cloudflare Tunnels (Cloudflared) chính là chìa khóa giải quyết bài toán này. Thay vì mở port và chờ đợi kết nối từ bên ngoài, VPS sẽ tự động thiết lập một kết nối outbound an toàn tới hạ tầng của Cloudflare. Trong bài viết này, chúng tôi sẽ hướng dẫn bạn cách nâng cao lớp bảo mật này lên tối đa bằng cách chặn hoàn toàn IP từ các quốc gia lạ và tích hợp giải pháp xác thực Zero Trust (Cloudflare Access).

Lợi ích chiến lược khi kết hợp Cloudflare Tunnels, Geofencing và Cloudflare Access

Khi triển khai mô hình bảo mật ba lớp này, doanh nghiệp của bạn sẽ đạt được những lợi thế vượt trội:

Ẩn hoàn toàn địa chỉ IP gốc (Origin IP): Kẻ tấn công không thể tìm thấy IP của VPS thông qua các công cụ quét port như Shodan hay Censys.
Giảm thiểu 99% bề mặt tấn công từ nước ngoài: Tính năng Geofencing cho phép bạn chỉ cho phép lưu lượng truy cập từ các quốc gia chỉ định (ví dụ: Việt Nam) và chặn đứng các request từ các vùng có tỷ lệ tấn công cao.
Kiến trúc Zero Trust toàn diện: Tích hợp Cloudflare Access giúp ép buộc mọi truy cập vào hệ thống quản trị (Dashboard, SSH, Web App nội bộ) phải qua bước xác thực danh tính (OTP, Google Workspace, Azure AD) trước khi chạm đến VPS.

---

Hướng dẫn từng bước cấu hình nâng cao bảo vệ VPS

Bước 1: Khởi tạo và thiết lập Cloudflare Tunnels

Đầu tiên, bạn cần cài đặt và thiết lập kết nối an toàn giữa VPS và Cloudflare Cloud thông qua công cụ mạng cloudflared.

Truy cập vào giao diện Cloudflare Zero Trust Dashboard.
Điều hướng đến mục Networks > Tunnels và chọn Create a Tunnel.
Đặt tên cho Tunnel (ví dụ: vps-secure-tunnel) và chọn hệ điều hành phù hợp với VPS của bạn (Ubuntu/CentOS).
Sao chép lệnh cài đặt được Cloudflare cung cấp và chạy trên VPS dưới quyền root. Lệnh này sẽ tự động tải, cài đặt và khởi chạy dịch vụ cloudflared như một daemon hệ thống.
Cấu hình Public Hostname trong giao diện Cloudflare để trỏ domain của bạn (ví dụ: app.yourdomain.com) về dịch vụ nội bộ chạy trên VPS (ví dụ: http://localhost:8080).

Lưu ý quan trọng: Sau khi cấu hình thành công, hãy đảm bảo bạn đã đóng toàn bộ các cổng inbound trên tường lửa của VPS (chỉ giữ lại cổng outbound cho phép Cloudflared kết nối ra ngoài).

Bước 2: Cấu hình WAF chặn hoàn toàn IP quốc gia lạ (Geofencing)

Mặc dù Tunnel đã ẩn IP gốc, nhưng domain công cộng của bạn vẫn có thể bị truy cập bởi bất kỳ ai trên thế giới. Để giới hạn phạm vi, chúng ta sử dụng Web Application Firewall (WAF) của Cloudflare.

Quay lại giao diện quản lý tên miền chính trên Cloudflare, chọn mục Security > WAF > Custom Rules.
Nhấp vào Create rule và đặt tên quy tắc là Block Foreign IPs.
Trong phần cấu hình điều kiện (If incoming requests match), thiết lập như sau:
- Field: Country
- Operator: does not equal
- Value: Vietnam (hoặc quốc gia nơi doanh nghiệp bạn hoạt động)
Tại mục Choose action, chọn Block (hoặc Challenge nếu bạn muốn sử dụng Managed Challenge của Cloudflare).
Nhấn Deploy để kích hoạt cấu hình. Ngay lập tức, mọi yêu cầu truy cập từ các quốc gia nằm ngoài danh sách sẽ bị từ chối ngay tại lớp Edge của Cloudflare, giảm tải xử lý đáng kể cho VPS của bạn.

Bước 3: Tích hợp Cloudflare Access để xác thực Zero Trust

Để bảo vệ các phân vùng nhạy cảm hoặc giao diện quản trị nội bộ, việc thiết lập Cloudflare Access là bắt buộc. Điều này đảm bảo rằng ngay cả khi hacker có thông tin đăng nhập của ứng dụng, họ vẫn không thể vượt qua hàng rào xác thực đầu tiên.

Trong giao diện Zero Trust Dashboard, truy cập vào Access > Applications và chọn Add an Application.
Chọn loại ứng dụng là Self-hosted.
Điền các thông tin cần thiết bao gồm: Tên ứng dụng và Application URL (phải trùng khớp với subdomain đã cấu hình ở Bước 1, ví dụ: admin.yourdomain.com).
Trong mục Identity providers, cấu hình phương thức xác thực mong muốn. Đối với doanh nghiệp, khuyên dùng tích hợp với Google Workspace, Azure AD hoặc đơn giản nhất là One-Time PIN (OTP) gửi qua email doanh nghiệp.
Cấu hình Assign a policy: Tạo quy tắc để chỉ cho phép các email có đuôi cố định của công ty (ví dụ: *@yourcompany.com) hoặc một danh sách email cụ thể được phép truy cập.
Nhấn Save application để hoàn tất.

---

Đánh giá và kiểm tra hiệu quả hệ thống bảo mật

Sau khi hoàn tất cấu hình, bạn cần tiến hành thử nghiệm để đảm bảo hệ thống hoạt động đúng như kỳ vọng:

Kiểm tra Geofencing: Sử dụng các dịch vụ VPN hoặc proxy để chuyển đổi IP sang các quốc gia khác như Mỹ, Trung Quốc, Nga và truy cập vào domain của bạn. Màn hình sẽ ngay lập tức hiển thị thông báo lỗi Error 1020: Access Denied từ Cloudflare.
Kiểm tra Cloudflare Access: Truy cập domain từ IP Việt Nam hợp lệ. Bạn sẽ không thấy giao diện ứng dụng ngay, thay vào đó là một trang trung gian yêu cầu nhập Email để nhận mã OTP hoặc yêu cầu đăng nhập tài khoản doanh nghiệp.
Giám sát Log: Thường xuyên kiểm tra mục Security > Events trên Cloudflare để xem số lượng request độc hại đã bị chặn đứng, từ đó có những điều chỉnh policy linh hoạt hơn.

Kết luận

Bảo mật VPS bằng Cloudflare Tunnels kết hợp với Geofencing và Cloudflare Access tạo nên một lá chắn vững chắc theo mô hình Zero Trust hiện đại. Giải pháp này không chỉ bảo vệ an toàn cho dữ liệu doanh nghiệp trước các mối đe dọa toàn cầu, mà còn tối ưu hóa hiệu năng của máy chủ nhờ giảm thiểu lượng traffic rác xử lý tại VPS. Hãy triển khai cấu hình này ngay hôm nay để đưa hạ tầng mạng của doanh nghiệp lên một tiêu chuẩn an toàn mới.