DPTCloud
Quay lại danh sách
Tin tức công nghệ

Tối ưu hóa Tường lửa nftables kết hợp IPSet trên VPS để chặn đứng các cuộc tấn công Brute-Force từ Botnet

30 tháng 5, 2026

Cơ sở hạ tầng mạng hiện đại và bài toán bảo mật VPS doanh nghiệp

Trong kỷ nguyên số hóa, máy chủ ảo cá nhân (VPS) đóng vai trò là xương sống cho nhiều dịch vụ cốt lõi của doanh nghiệp, từ hệ thống quản trị nội bộ đến các ứng dụng web thương mại. Tuy nhiên, việc công khai các cổng dịch vụ như SSH (cổng 22), FTP (cổng 21), hay các giao diện quản trị luôn biến VPS thành mục tiêu hàng đầu của các cuộc tấn công quét diện rộng. Trong số đó, tấn công thử sai hàng loạt (Brute-Force) được điều phối bởi các mạng lưới máy tính ma (Botnet) là mối đe dọa phổ biến và nguy hiểm nhất.

Các cuộc tấn công này không chỉ đe dọa đến tính toàn vẹn của dữ liệu qua nguy cơ rò rỉ mật khẩu, mà còn gây ra tình trạng nghẽn băng thông và cạn kiệt tài nguyên hệ thống (CPU, RAM) do phải xử lý hàng triệu yêu cầu kết nối giả mạo mỗi phút. Để giải quyết triệt để bài toán này, các kỹ sư hệ thống cần một giải pháp tường lửa có khả năng xử lý gói tin ở tốc độ cao mà không làm giảm hiệu năng chung của máy chủ. Đó chính là lý do sự kết hợp giữa nftables và cấu trúc dữ liệu Set (IPSet tương đương) trở thành tiêu chuẩn vàng mới trong bảo mật Linux.

Sự dịch chuyển công nghệ: Từ iptables sang nftables

Suốt hơn hai thập kỷ, iptables đã hoàn thành xuất sắc nhiệm vụ của mình. Tuy nhiên, kiến trúc cũ kỹ với cơ chế kiểm tra gói tin tuần tự (sequential lọc) khiến nó bộc lộ rõ nhược điểm khi đối mặt với danh sách đen lên đến hàng trăm nghìn IP. Khi một gói tin đi qua, iptables phải duyệt qua từng quy tắc một; nếu danh sách chặn càng lớn, độ trễ hệ thống càng cao.

nftables, được tích hợp vào Linux Kernel từ phiên bản 3.13, sinh ra để thay thế hoàn toàn iptables. Nó mang lại những cải tiến vượt bậc nhờ vào cấu trúc mã máy ảo (Virtual Machine) thực thi ngay trong không gian nhân (kernelspace). Những ưu điểm cốt lõi của nftables bao gồm:

  • Cú pháp hợp nhất và tường minh: Không còn sự phân tách rườm rà giữa iptables, ip6tables, và arptables. Tất cả được quản lý trong một khung làm việc duy nhất.
  • Hiệu năng xử lý tối ưu: Giảm thiểu đáng kể số lần chuyển đổi ngữ cảnh giữa không gian người dùng và không gian nhân.
  • Hỗ trợ cấu trúc dữ liệu nâng cao bẩm sinh: Khác với iptables cần tiện ích mở rộng ipset từ bên ngoài, nftables tích hợp sẵn các cấu trúc dữ liệu như sets (tập hợp) và maps (bản đồ) trực tiếp vào lõi của nó với hiệu năng tối ưu tương đương hoặc vượt trội hơn IPSet truyền thống.

Sức mạnh của IPSet và Set trong nftables đối kháng Botnet

Khi đối phó với một mạng lưới Botnet chứa hàng triệu địa chỉ IP độc hại được cập nhật liên tục từ các nguồn uy tín như Firehol hay Spamhaus, việc tạo từng dòng lệnh chặn riêng lẻ là một sai lầm nghiêm trọng về mặt kiến trúc.

Cấu trúc dữ liệu Set trong nftables sử dụng giải thuật bảng băm (Hash Table) với độ phức tạp thuật toán là O(1). Điều này có nghĩa là dù danh sách chặn của bạn có 10 địa chỉ hay 1.000.000 địa chỉ IP, thời gian tường lửa kiểm tra và ra quyết định từ chối (Drop) một gói tin là hoàn toàn như nhau.

Bằng cách đưa toàn bộ IP định danh của botnet vào một tập hợp (set) duy nhất, nftables chỉ cần một quy tắc duy nhất để đối chiếu và chặn đứng toàn bộ lưu lượng truy cập không mong muốn, giải phóng gần như tuyệt đối tài nguyên CPU cho VPS của bạn.

Hướng dẫn cấu hình chi tiết: Triển khai tường lửa tối ưu

Dưới đây là quy trình từng bước để thiết lập hệ thống tường lửa nftables kết hợp cơ chế thiết lập tập hợp động nhằm tự động phát hiện và chặn đứng các cuộc tấn công Brute-Force SSH.

Bước 1: Cài đặt và kích hoạt nftables

Đảm bảo hệ thống của bạn đã gỡ bỏ hoàn toàn ufw hoặc iptables truyền thống để tránh xung đột cấu hình, sau đó tiến hành cài đặt nftables trên nền tảng Debian/Ubuntu:

sudo apt update && sudo apt install nftables -y

Kích hoạt dịch vụ khởi động cùng hệ thống:

sudo systemctl enable nftables && sudo systemctl start nftables

Bước 2: Xây dựng bộ quy tắc bảo mật mẫu (Cấu hình nftables.conf)

Chỉnh sửa tệp cấu hình chính tại đường dẫn /etc/nftables.conf. Chúng ta sẽ định nghĩa một bảng (table) thuộc họ inet (hỗ trợ cả IPv4 và IPv6), thiết lập một tập hợp động để lưu các IP bị khóa, và thiết lập luật giới hạn tần suất kết nối.

flush ruleset

table inet filter {
    # Tập hợp lưu trữ danh sách IP bị cấm vĩnh viễn hoặc dài hạn
    set botnet_blacklist {
        type ipv4_addr
        flags interval
    }

    # Tập hợp động theo dõi các IP đang cố gắng thử sai SSH
    set ssh_meter {
        type ipv4_addr
        flags dynamic, timeout
        timeout 1m
    }

    # Tập hợp tự động khóa IP vi phạm trong 24 giờ
    set ssh_banlist {
        type ipv4_addr
        flags dynamic, timeout
        timeout 1d
    }

    chain input {
        type filter hook input priority filter; policy drop;

        # Chấp nhận các kết nối hợp lệ hiện tại
        ct state established,related accept
        iifname "lo" accept

        # Chặn lập tức các IP nằm trong danh sách đen botnet
        ip saddr @botnet_blacklist drop
        ip saddr @ssh_banlist drop

        # Kiểm soát và chống Brute-Force cổng SSH (Cổng 22)
        tcp dport 22 ct state new tcp flags syn {
            # Thêm IP vào meter, nếu vượt quá 3 kết nối mới trong 1 phút
            update @ssh_meter { ip saddr . ct count over 3 } && update @ssh_banlist { ip saddr } drop;
            accept;
        }
    }

    chain forward {
        type filter hook forward priority filter; policy drop;
    }

    chain output {
        type filter hook output priority filter; policy accept;
    }
}

Bước 3: Tự động cập nhật danh sách đen Botnet từ các nguồn mở

Để tường lửa luôn chủ động trước các dải IP độc hại mới, chúng ta có thể viết một đoạn mã script nhỏ (Bash script) chạy định kỳ bằng Cronjob để tải danh sách các IP thuộc mạng lưới botnet và nạp trực tiếp vào set botnet_blacklist mà không cần khởi động lại tường lửa:

#!/bin/bash
# Tải danh sách IP độc hại từ Firehol
URL="https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level1.netset"
curl -s $URL | grep -E -v "^(#|$)" > /tmp/botnet_ip.txt

# Xóa danh sách cũ trong nftables và nạp danh sách mới
nft flush set inet filter botnet_blacklist
while read -r ip; do
    nft add element inet filter botnet_blacklist { $ip }
done < /tmp/botnet_ip.txt

Giám sát và Đánh giá hiệu năng hệ thống

Sau khi triển khai, việc giám sát là bắt buộc để đảm bảo hệ thống hoạt động chính xác và không chặn nhầm người dùng hợp lệ (False Positive). Bạn có thể kiểm tra danh sách các IP đang bị khóa theo thời gian thực bằng lệnh:

sudo nft list set inet filter ssh_banlist

Để theo dõi lượng tài nguyên hệ thống được tiết kiệm, hãy sử dụng lệnh top hoặc htop. Bạn sẽ nhận thấy rằng ngay cả khi tần suất các cuộc quét từ botnet tăng cao, chỉ số sử dụng CPU của tiến trình xử lý ngắt mạng (softirq) vẫn duy trì ở mức tối thiểu, chứng minh hiệu quả vượt trội của giải thuật bảng băm trong nftables so với việc sử dụng chuỗi quy tắc tuần tự của iptables trước đây.

Lời kết và Khuyến nghị vận hành

Việc tối ưu hóa tường lửa bằng cách kết hợp nftables và cấu trúc Set không chỉ là giải pháp tình thế mà là một chiến lược dài hạn, chuyên nghiệp để bảo vệ hạ tầng VPS doanh nghiệp trước các mạng lưới Botnet ngày càng tinh vi. Bằng cách chặn đứng mã độc ngay từ lớp mạng nhân (kernel-space), hệ thống của bạn luôn giữ được sự ổn định và an toàn tuyệt đối. Hãy kết hợp giải pháp này với việc đổi cổng SSH mặc định, sử dụng xác thực bằng SSH Key thay cho mật khẩu truyền thống để tạo nên một hệ thống phòng thủ chuyên sâu, bất khả xâm phạm.

Tối ưu hóa Tường lửa nftables kết hợp IPSet trên VPS để chặn đứng các cuộc tấn công Brute-Force từ Botnet | DPTCloud