1. Đặt vấn đề: Tại sao cần chặn IP theo quốc gia (GeoIP Blocking)?

Trong kỷ nguyên số, an ninh mạng không còn là bài toán của riêng các tập đoàn lớn. Mọi máy chủ Linux khi công khai trên môi trường Internet đều trở thành mục tiêu của các cuộc quét cổng (port scanning), tấn công dò đoán mật khẩu (brute-force), và từ chối dịch vụ (DDoS). Thực tế vận hành cho thấy, một phần lớn lượng truy cập độc hại này thường xuất phát từ các dải IP thuộc các quốc gia mà doanh nghiệp của bạn không hề có ý định phục vụ hoặc hợp tác kinh doanh.

Chính vì vậy, GeoIP Blocking (Chặn IP theo vị trí địa lý) nổi lên như một giải pháp phòng ngự chủ động và hiệu quả. Bằng cách lọc và chặn toàn bộ lưu lượng truy cập từ các quốc gia có nguy cơ cao ngay tại tầng tường lửa, doanh nghiệp có thể:

Giảm thiểu bề mặt tấn công (Attack Surface): Loại bỏ tới 80-90% các cuộc tấn công tự động từ các vùng địa lý không xác định.
Tiết kiệm tài nguyên hệ thống: Ngăn chặn lưu lượng xấu ngay từ tầng hạt nhân (kernel), giúp CPU và RAM của máy chủ không bị lãng phí để xử lý các yêu cầu vô nghĩa ở tầng ứng dụng (như Nginx, Apache).
Tối ưu hóa băng thông: Dành trọn vẹn đường truyền cho những khách hàng mục tiêu đích thực.

2. Tại sao chọn NFTables thay vì IPTables cũ kỹ?

Từ lâu, iptables đã là công cụ tường lửa tiêu chuẩn trên Linux. Tuy nhiên, khi đối mặt với bài toán GeoIP đòi hỏi xử lý hàng trăm nghìn dải IP cùng lúc, iptables bộc lộ rõ nhược điểm về hiệu năng do cơ chế kiểm tra tuần tự (tuyến tính). Khắc phục điểm yếu này, nftables được phát triển để thay thế hoàn toàn người tiền nhiệm.

"Nftables sử dụng cấu trúc dữ liệu nâng cao (như Sets và Maps) cho phép tra cứu phần tử với độ phức tạp O(1) hoặc O(log n), mang lại tốc độ xử lý vượt trội bất kể số lượng IP cần chặn lớn đến mức nào."

Những ưu điểm cốt lõi của nftables bao gồm cấu trúc cú pháp phân cấp rõ ràng, khả năng cập nhật tập hợp IP (Sets) động mà không cần tải lại toàn bộ cấu hình tường lửa, và hiệu suất thực thi cực cao trong không gian hạt nhân (kernel space).

3. Quy trình triển khai GeoIP Blocking trên NFTables

Để cấu hình chặn IP theo quốc gia, chúng ta cần sự kết hợp của ba thành phần: Tường lửa nftables, cơ sở dữ liệu GeoIP (thường dùng mã nguồn mở từ MaxMind GeoLite2), và một công cụ tự động hóa để chuyển đổi dữ liệu IP thành định dạng mà nftables hiểu được (như geoip-shell hoặc các script tùy biến).

Bước 1: Chuẩn bị môi trường và cài đặt NFTables

Trước hết, hãy đảm bảo hệ điều hành của bạn (Ubuntu, Debian, RHEL, hoặc Rocky Linux) đã được cập nhật và cài đặt gói nftables. Bạn có thể kích hoạt dịch vụ bằng lệnh:

systemctl enable --now nftables

Bước 2: Đăng ký và lấy API Key từ MaxMind

Do lý do bản quyền, các cơ sở dữ liệu GeoIP hiện nay yêu cầu người dùng đăng ký tài khoản miễn phí để tải về. Bạn cần truy cập trang chủ MaxMind, tạo tài khoản GeoLite2 và sinh một đoạn mã License Key. Đoạn mã này sẽ được dùng để tự động tải và cập nhật danh sách IP định kỳ.

Bước 3: Sử dụng công cụ quản lý tập hợp IP cho NFTables

Có nhiều cách để nạp dữ liệu IP vào tường lửa, nhưng phương pháp tối ưu và an toàn nhất là sử dụng tính năng Named Sets (Tập hợp có tên) trong nftables. Chúng ta sẽ tạo ra các Set chứa danh sách mạng (subnets) của các quốc gia cần chặn.Dưới đây là cấu hình mẫu trong file /etc/nftables.conf để định nghĩa một Set chứa IP cần chặn:

table inet filter {
    set blocked_countries {
        type ipv4_addr
        flags interval
    }

    chain input {
        type filter hook input priority filter; policy accept;
        
        # Chặn toàn bộ IP nằm trong Set blocked_countries
        ip saddr @blocked_countries drop
    }
}

Thuộc tính flags interval là bắt buộc vì dữ liệu GeoIP tồn tại dưới dạng các dải mạng (CIDR) chứ không phải các địa chỉ IP đơn lẻ.

Bước 4: Tự động hóa quá trình cập nhật dữ liệu (Cronjob)

Địa chỉ IP của các quốc gia liên tục thay đổi và phân bổ lại. Vì vậy, việc cập nhật cơ sở dữ liệu là bắt buộc để tránh tình trạng chặn nhầm (False Positive). Bạn nên thiết lập một kịch bản (Script) chạy định kỳ hàng tuần thông qua cronjob để thực hiện các công việc sau:

Tải file nén chứa danh sách IP mới nhất từ MaxMind thông qua License Key.
Trích xuất các dải IP theo mã quốc gia mong muốn (ví dụ: CN, RU, BR...).
Sử dụng lệnh nft flush set inet filter blocked_countries để xóa dữ liệu cũ.
Nạp dữ liệu mới vào Set bằng lệnh nft add element inet filter blocked_countries { ... }.

4. Những lưu ý quan trọng để tránh "gậy ông đập lưng ông"

Mặc dù GeoIP Blocking rất mạnh mẽ, việc triển khai thiếu cẩn trọng có thể dẫn đến những sự cố nghiêm trọng cho hệ thống vận hành của doanh nghiệp:

Tránh chặn nhầm các dịch vụ Cloud toàn cầu: Rất nhiều dịch vụ thiết yếu như Googlebot, Bingbot, Cloudflare, hoặc các máy chủ CDN có thể sử dụng dải IP thuộc các quốc gia bạn định chặn. Nếu chặn nhầm, website của bạn sẽ mất thứ hạng SEO hoặc không thể giao tiếp với các API bên ngoài.
Luôn ưu tiên Whitelist trước Blacklist: Nếu máy chủ của bạn chỉ phục vụ nội bộ một quốc gia duy nhất (ví dụ: Việt Nam), hãy cân nhắc giải pháp "chặn tất cả và chỉ mở cho IP Việt Nam" thay vì đi chặn từng quốc gia một. Cách tiếp cận này an toàn và tối ưu hơn rất nhiều.
Giám sát dung lượng bộ nhớ (RAM): Nạp hàng triệu dải IP vào RAM của Server có thể gây tiêu tốn tài nguyên. Hãy cân nhắc chỉ chặn những quốc gia có tần suất tấn công cao nhất thay vì chặn vô tội vạ toàn bộ bản đồ thế giới.

5. Lời kết

Cấu hình GeoIP Blocking ở tầng NFTables là một bước đi chiến lược, nâng cấp đáng kể năng lực phòng thủ cho hạ tầng Linux Server của doanh nghiệp. Sự kết hợp giữa tốc độ xử lý vượt trội của nftables và tính chính xác của dữ liệu GeoIP tạo ra một lá chắn vững chắc, giúp hệ thống hoạt động ổn định, an toàn và mượt mà trước các làn sóng tấn công từ không gian mạng.

Hướng Dẫn Cấu Hình Chặn IP Theo Quốc Gia (GeoIP Blocking) Bằng NFTables Trên Linux Server