DPTCloud
Quay lại danh sách
Tin tức công nghệ

Cấu hình Zero-Trust Application Proxy trên VPS với Pomerium: Bảo vệ mọi ứng dụng nội bộ không cần cài Client VPN

25 tháng 5, 2026

1. Thách thức của VPN truyền thống và Sự trỗi dậy của Kiến trúc Zero-Trust

Trong kỷ nguyên số hóa và làm việc từ xa, việc bảo vệ các ứng dụng nội bộ (như bảng điều khiển quản trị, hệ thống CRM, công cụ CI/CD, hoặc cơ sở dữ liệu) là ưu tiên hàng đầu của mọi doanh nghiệp. Nhiều năm qua, Virtual Private Network (VPN) đã đóng vai trò là bức tường thành vững chắc. Tuy nhiên, mô hình bảo mật dựa trên chu vi (perimeter-based security) truyền thống này đang bộc lộ những lỗ hổng nghiêm trọng.

Khi một người dùng hoặc thiết bị độc hại vượt qua được rào cản VPN, họ mặc nhiên có quyền truy cập vào toàn bộ mạng nội bộ (lateral movement). Hơn nữa, việc cấu hình, duy trì và cài đặt các phần mềm Client VPN trên máy tính của nhân viên thường xuyên gặp lỗi, gây phiền toái cho người dùng và tăng gánh nặng cho đội ngũ hỗ trợ kỹ thuật (IT Support).

Chính vì lý do đó, kiến trúc bảo mật Zero-Trust (Luôn luôn xác thực, không bao giờ tin tưởng) ra đời. Thay vì tin tưởng bất kỳ ai bên trong mạng, Zero-Trust liên tục xác thực danh tính, thiết bị và bối cảnh của từng yêu cầu truy cập cụ thể. Trong bài viết này, chúng tôi sẽ hướng dẫn bạn cách triển khai một Zero-Trust Application Proxy mạnh mẽ trên VPS bằng Pomerium — giải pháp thay thế VPN hoàn hảo, bảo mật và hoàn toàn miễn phí cài đặt client.

2. Pomerium là gì? Tại sao nên chọn Pomerium cho VPS của bạn?

Pomerium là một mã nguồn mở định tuyến ứng dụng (identity-aware reverse proxy) được xây dựng dựa trên mô hình Zero-Trust. Nó hoạt động như một người gác cổng thông minh đứng trước các ứng dụng nội bộ của bạn trên VPS. Thay vì mở công khai các cổng (ports) dịch vụ ra Internet hoặc bắt người dùng bật VPN, mọi lưu lượng truy cập đều phải đi qua Pomerium để kiểm tra danh tính.

Những ưu điểm vượt trội của Pomerium:

  • Không cần cài đặt Client: Người dùng chỉ cần sử dụng trình duyệt web tiêu chuẩn để truy cập ứng dụng nội bộ. Không cần cài đặt ứng dụng bên thứ ba, không cần cấu hình file .ovpn phức tạp.
  • Tích hợp nhà cung cấp danh tính (IdP): Pomerium kết nối mượt mà với các giải pháp phổ biến như Google Workspace, Microsoft Azure AD, Okta, GitHub, v.v. Điều này cho phép tận dụng cơ chế xác thực đa yếu tố (MFA) có sẵn của doanh nghiệp.
  • Phân quyền dựa trên ngữ cảnh (Context-aware): Bạn có thể thiết lập chính sách truy cập chi tiết. Ví dụ: "Chỉ cho phép nhân viên thuộc phòng kế toán, truy cập từ Việt Nam, sử dụng thiết bị của công ty được vào hệ thống tài chính".
  • Hiệu năng cao và gọn nhẹ: Được viết bằng ngôn ngữ Go, Pomerium tiêu tốn rất ít tài nguyên trên VPS nhưng vẫn đảm bảo tốc độ mã hóa và chuyển tiếp dữ liệu cực nhanh.

3. Mô hình hoạt động và Chuẩn bị hạ tầng

Trước khi bắt đầu cấu hình, hãy cùng hình dung luồng đi của dữ liệu. Khi người dùng truy cập vào một sub-domain (ví dụ: internal.yourdomain.com):

  1. Yêu cầu được gửi đến Pomerium trên VPS.
  2. Pomerium kiểm tra xem người dùng đã đăng nhập chưa. Nếu chưa, nó sẽ chuyển hướng họ đến trang đăng nhập của Google/Microsoft.
  3. Sau khi xác thực thành công tại IdP, IdP trả về thông tin người dùng cho Pomerium.
  4. Pomerium đối chiếu với chính sách (Policy) đã cấu hình. Nếu hợp lệ, Pomerium mới chuyển tiếp (proxy) yêu cầu đến ứng dụng chạy ngầm bên trong VPS.
Yêu cầu chuẩn bị trước khi cài đặt:
- 1 máy chủ VPS (Ubuntu 22.04 LTS hoặc mới hơn được khuyến khích).
- 1 Tên miền (Domain) đã trỏ bản ghi A về IP của VPS (ví dụ: *.yourdomain.com).
- Docker và Docker Compose đã được cài đặt sẵn trên VPS.
- Tài khoản quản trị của một Nhà cung cấp danh tính (trong hướng dẫn này, chúng tôi sẽ dùng Google Console làm ví dụ).

4. Hướng dẫn cấu hình chi tiết Zero-Trust Proxy với Pomerium

Bước 1: Tạo OAuth Client ID trên Google Cloud Console

Để Pomerium có thể xác thực người dùng bằng tài khoản Google, bạn cần tạo thông tin định danh ứng dụng:

  1. Truy cập vào Google Cloud Console và tạo một dự án mới.
  2. Đi tới mục APIs & Services > OAuth consent screen. Chọn loại "Internal" (nếu dùng Google Workspace doanh nghiệp) hoặc "External" và điền các thông tin cơ bản.
  3. Chuyển sang mục Credentials, nhấp vào Create Credentials > OAuth client ID.
  4. Chọn Application type là Web application.
  5. Tại mục Authorized redirect URIs, thêm địa chỉ sau: [https://authenticate.yourdomain.com/oauth2/callback](https://authenticate.yourdomain.com/oauth2/callback) (Thay thế bằng domain của bạn).
  6. Nhấn Save và lưu lại hai thông tin quan trọng: Client ID và Client Secret.

Bước 2: Tạo khóa bí mật mã hóa (Shared Secret & Cookie Secret)

Pomerium yêu cầu các khóa bảo mật được mã hóa base64 để bảo vệ dữ liệu phiên làm việc. Bạn hãy đăng nhập vào SSH của VPS và chạy các lệnh sau để tạo chuỗi ngẫu nhiên:

head -c32 /dev/urandom | base64

Hãy chạy lệnh này hai lần và ghi lại hai chuỗi kết quả khác nhau để dùng cho SHARED_SECRET và COOKIE_SECRET.

Bước 3: Tạo file cấu hình Pomerium (config.yaml)

Tạo một thư mục chứa dự án trên VPS: mkdir ~/pomerium && cd ~/pomerium. Sau đó tạo file cấu hình chính mang tên config.yaml:

# config.yaml
address: ":443"

# Cấu hình chứng chỉ TLS tự động qua Let's Encrypt
autocert: true
autocert_dir: /data/autocert

# URL dành cho việc xác thực tập trung
authenticate_service_url: [https://authenticate.yourdomain.com](https://authenticate.yourdomain.com)

# Khởi tạo các khóa bảo mật đã tạo ở Bước 2
shared_secret: "CHUOI_BASE64_1"
cookie_secret: "CHUOI_BASE64_2"

# Kết nối với Google Identity Provider
idp_provider: google
idp_client_id: "YOUR_GOOGLE_CLIENT_ID.apps.googleusercontent.com"
idp_client_secret: "YOUR_GOOGLE_CLIENT_SECRET"

# Định tuyến và Chính sách bảo mật (Routes & Policies)
routes:
  - from: [https://grafana.yourdomain.com](https://grafana.yourdomain.com)
    to: http://localhost:3000
    policy:
      - allow:
          and:
            - email:
                ends_with: "@company.com"
  - from: [https://ssh-web.yourdomain.com](https://ssh-web.yourdomain.com)
    to: http://localhost:8080
    policy:
      - allow:
          and:
            - domain:
                is: "company.com"

Giải thích: Trong cấu hình trên, Pomerium sẽ tự động cấp chứng chỉ SSL miễn phí từ Let's Encrypt cho các subdomain. Hệ thống chỉ cho phép những người dùng sở hữu email đuôi @company.com truy cập vào ứng dụng Grafana (đang chạy ở cổng 3000 nội bộ) và ứng dụng Web-SSH (ở cổng 8080).

Bước 4: Triển khai bằng Docker Compose

Để dễ dàng quản lý và vận hành, chúng ta sẽ chạy Pomerium thông qua Docker Compose. Tạo file docker-compose.yml cùng thư mục:

version: '3'
services:
  pomerium:
    image: pomerium/pomerium:latest
    container_name: pomerium
    volumes:
      - ./config.yaml:/pomerium/config.yaml:ro
      - ./data:/data
    ports:
      - "80:80"
      - "443:443"
    restart: always

Bây giờ, khởi động hệ thống bằng lệnh: docker compose up -d. Pomerium sẽ tự động tải về, đọc file cấu hình, kích hoạt SSL và bắt đầu bảo vệ hệ thống của bạn.

5. Đánh giá thực tế và Khuyến nghị vận hành

Sau khi hoàn tất cài đặt, hãy dùng một trình duyệt ở chế độ ẩn danh và truy cập vào [https://grafana.yourdomain.com](https://grafana.yourdomain.com). Ngay lập tức, bạn sẽ được chuyển hướng một cách mượt mà tới giao diện đăng nhập của Google. Nếu đăng nhập bằng email cá nhân, hệ thống sẽ từ chối truy cập. Chỉ khi đăng nhập bằng email doanh nghiệp được chỉ định, bạn mới có thể làm việc với ứng dụng.

Về mặt trải nghiệm người dùng: Giải pháp này mang lại sự tiện lợi tuyệt đối. Nhân viên có thể làm việc từ bất kỳ thiết bị nào (điện thoại, máy tính cá nhân) mà không cần cài đặt phần mềm rối rắm, nâng cao đáng kể hiệu suất làm việc từ xa.

Về mặt an ninh bảo mật: Do các cổng dịch vụ nội bộ (như 3000, 8080) chỉ mở nội bộ (localhost) và được che giấu hoàn toàn sau cổng 443 của Pomerium, các hacker quét IP tự động trên Internet sẽ không thể phát hiện ra lỗ hổng của các ứng dụng này, giảm thiểu tối đa nguy cơ bị tấn công khai thác (Exploit).

6. Lời kết

Chuyển dịch từ VPN truyền thống sang kiến trúc Zero-Trust Application Proxy với Pomerium trên VPS là một bước đi chiến lược, thông minh cho các doanh nghiệp vừa và nhỏ (SMEs) cũng như các đội ngũ phát triển công nghệ. Nó không chỉ tối ưu hóa chi phí bản quyền phần mềm mà còn tái định nghĩa lại tư duy bảo mật: tối giản cho người dùng cuối nhưng nghiêm ngặt tối đa ở hệ thống lõi. Hãy bắt đầu áp dụng ngay hôm nay để bảo vệ tài sản số của doanh nghiệp bạn một cách toàn diện.