Trong thế giới quản trị máy chủ Linux, ConfigServer Security & Firewall (CSF) là một trong những giải pháp tường lửa (firewall) mạnh mẽ, phổ biến và dễ sử dụng nhất. Bài viết này sẽ hướng dẫn bạn từ A-Z cách cài đặt và tối ưu hóa CSF để bảo mật server của mình.
1. ConfigServer Security & Firewall (CSF) là gì?
CSF là một Stateful Packet Inspection (SPI) firewall, login/intrusion detection và ứng dụng bảo mật cho các máy chủ Linux. Nó cung cấp một giao diện quản lý trực quan (nếu dùng cPanel/DirectAdmin) và hệ thống phát hiện xâm nhập (LFD) cực kỳ hiệu quả.
2. Hướng dẫn cài đặt CSF
Trước khi cài đặt, hãy đảm bảo bạn đã gỡ bỏ các firewall khác như firewalld hoặc ufw để tránh xung đột.
# Tải bộ cài đặt
wget https://download.configserver.com/csf.tgz
# Giải nén
tar -xzf csf.tgz
cd csf
# Chạy script cài đặt
sh install.shKiểm tra xem máy chủ của bạn có hỗ trợ đầy đủ các module iptables cần thiết hay không:
perl /usr/local/csf/bin/csftest.pl3. Cấu hình CSF chi tiết (csf.conf)
File cấu hình chính nằm tại /etc/csf/csf.conf. Dưới đây là các thông số quan trọng bạn cần lưu ý:
Tắt chế độ Testing
Mặc định CSF ở chế độ TEST (Testing). Bạn phải tắt nó để firewall bắt đầu hoạt động thực sự.
TESTING = "0"Cấu hình Port (TCP/UDP)
Mở các port cần thiết cho dịch vụ của bạn (SSH, HTTP, HTTPS, v.v.):
TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995"
TCP_OUT = "20,21,22,25,53,80,110,113,443,587,993,995"4. Các tính năng nâng cao (LFD)
Login Failure Daemon (LFD) là một phần của CSF, nó quét các file log để phát hiện các nỗ lực đăng nhập sai liên tục và block IP đó ngay lập tức.
- LF_DAEMON = "1": Bật LFD.
- LF_SSH = "5": Block IP sau 5 lần đăng nhập SSH sai.
- CT_LIMIT = "150": Giới hạn số lượng kết nối đồng thời từ một IP (chống DoS nhẹ).
5. Các lệnh quản trị CSF cơ bản
# Khởi động lại CSF
csf -r
# Block một địa chỉ IP
csf -d 1.2.3.4 "Lý do block"
# Allow/Whitelist một địa chỉ IP
csf -a 5.6.7.8 "IP của admin"
# Kiểm tra xem IP có bị block không
csf -g 1.2.3.4Tổng kết
Việc triển khai CSF là một bước đi đúng đắn để bảo vệ hạ tầng của bạn. Tuy nhiên, hãy luôn cẩn thận khi thay đổi cấu hình port để tránh bị tự khóa mình ra khỏi server. Hãy kết hợp với Fail2Ban hoặc các giải pháp bảo mật khác để đạt hiệu quả cao nhất.
Leave a Comment