Kỹ thuật Hardening Kernel và Chống DDoS Hạ tầng VPS 2026

Kỹ thuật Hardening Kernel và Chống tấn công DDoS mức độ hạ tầng cho VPS

Trong môi trường internet đầy biến động năm 2026, một chiếc VPS (Virtual Private Server) với cấu hình mặc định giống như một ngôi nhà mở cửa giữa phố đông. Các cuộc tấn công từ chối dịch vụ (DDoS) không còn chỉ là những đợt flood đơn giản mà đã tiến hóa thành các kỹ thuật khai thác sâu vào giao thức TCP/IP. Bài viết này sẽ hướng dẫn bạn cách "gia cố" (Hardening) Kernel Linux và thiết lập các lớp phòng thủ tầng thấp để bảo vệ hệ thống trước những đợt tấn công quy mô lớn.

1. Hardening Kernel thông qua tham số Sysctl

Kernel Linux cung cấp một giao diện thông qua sysctl để điều chỉnh các tham số mạng trong thời gian thực. Bằng cách tinh chỉnh các giá trị này, chúng ta có thể tối ưu hóa cách hệ điều hành xử lý các gói tin "độc hại" như SYN Flood hoặc ICMP Flood.

TCP SYN Cookies: Khi bị tấn công SYN Flood, hàng đợi kết nối của bạn sẽ bị lấp đầy. Kích hoạt SYN Cookies giúp server vẫn có thể chấp nhận kết nối mà không cần giữ trạng thái trong bộ nhớ ngay lập tức.
IP Spoofing Protection: Ngăn chặn việc giả mạo địa chỉ IP nguồn bằng cách kiểm tra đường dẫn ngược (Reverse Path Filtering).
TCP Timestamps: Tắt các dấu thời gian nếu không cần thiết để tránh việc rò rỉ uptime của hệ thống hoặc bị tấn công dựa trên trình tự gói tin.


// Giao diện mô phỏng cấu hình Sysctl cho hệ thống bảo mật
interface KernelParam {
    key: string;
    value: number | string;
    description: string;
}

const securityParams: KernelParam[] = [
    { key: "net.ipv4.tcp_syncookies", value: 1, description: "Kích hoạt bảo vệ SYN Flood" },
    { key: "net.ipv4.conf.all.rp_filter", value: 1, description: "Chống IP Spoofing" },
    { key: "net.ipv4.tcp_max_syn_backlog", value: 4096, description: "Tăng hàng đợi SYN" }
];

function applySysctl(params: KernelParam[]): void {
    params.forEach(p => {
        console.log(`Applying: sysctl -w ${p.key}=${p.value} # ${p.description}`);
    });
}

applySysctl(securityParams);

2. Quản lý kết nối TCP và giới hạn tài nguyên

Một cuộc tấn công DDoS thường cố gắng làm cạn kiệt tài nguyên bộ nhớ bằng cách duy trì hàng nghìn kết nối ở trạng thái TIME_WAIT hoặc FIN_WAIT. Việc giảm thời gian timeout của các kết nối này là cực kỳ quan trọng.

Nếu bạn để tcp_fin_timeout mặc định là 60 giây, một kẻ tấn công chỉ cần gửi vài nghìn gói tin mỗi phút là có thể treo hoàn toàn stack mạng của VPS. Hãy cân nhắc giảm con số này xuống khoảng 15-20 giây.


// Logic kiểm tra và tối ưu hóa thời gian sống của kết nối
const networkOptimization = {
    tcpFinTimeout: 15,
    tcpKeepaliveTime: 600,
    tcpMaxTwBuckets: 1440000
};

function checkOptimization(current: number, target: number): boolean {
    if (current > target) {
        console.log("Cần giảm timeout để giải phóng tài nguyên RAM nhanh hơn.");
        return true;
    }
    return false;
}

checkOptimization(60, networkOptimization.tcpFinTimeout);

3. NFTables: Thế hệ kế thừa mạnh mẽ của Iptables

Năm 2026, NFTables đã thay thế hoàn toàn Iptables nhờ hiệu năng vượt trội và cú pháp linh hoạt. NFTables cho phép bạn tạo ra các "Set" (tập hợp) địa chỉ IP để lọc traffic với độ trễ cực thấp.

Tính năng	Iptables (Cũ)	NFTables (Khuyên dùng)
Hiệu năng	Giảm dần khi số lượng rule tăng	Ổn định nhờ cấu trúc máy ảo JIT
Tổ chức Rule	Dạng chuỗi (Chain) tuyến tính	Dạng phân cấp, hỗ trợ Maps và Sets
Chống DDoS	Khó cấu hình Rate Limit phức tạp	Hỗ trợ giới hạn gói tin cực kỳ chi tiết

4. Thiết lập Rate Limiting bảo vệ tầng hạ tầng

Rate Limiting là kỹ thuật giới hạn số lượng yêu cầu từ một địa chỉ IP trong một khoảng thời gian nhất định. Điều này ngăn chặn các cuộc tấn công Brute-force và các loại DDoS tầng ứng dụng (L7) quy mô nhỏ ngay từ lớp mạng (L3/L4).

Sử dụng NFTables để giới hạn mỗi IP chỉ được phép khởi tạo tối đa 10 kết nối mới mỗi giây lên cổng 80/443:


// Mô phỏng cấu trúc dữ liệu cho Rule Rate Limit
interface RateLimitRule {
    port: number;
    maxRequests: number;
    interval: string;
    action: "drop" | "reject" | "accept";
}

const httpProtection: RateLimitRule = {
    port: 443,
    maxRequests: 20,
    interval: "1s",
    action: "drop"
};

console.log(`Bảo vệ cổng ${httpProtection.port}: Vượt quá ${httpProtection.maxRequests} req/${httpProtection.interval} sẽ bị ${httpProtection.action}`);

5. Chống tấn công UDP Amplification

UDP là giao thức không trạng thái (stateless), thường bị lợi dụng để khuếch đại traffic (như qua DNS, NTP). Trên một VPS chạy web, hầu như bạn không cần mở cổng UDP ngoại trừ DNS resolution. Quy tắc vàng: Nếu không dùng, hãy đóng nó lại.

Việc chặn hoàn toàn UDP hoặc giới hạn kích thước gói tin UDP giúp VPS tránh được việc trở thành "nạn nhân" của các cuộc tấn công khuếch đại từ các server khác bị chiếm quyền điều khiển.

6. Tinh chỉnh bảng băm kết nối (ConnTrack Tuning)

Module conntrack của Linux theo dõi trạng thái của tất cả kết nối. Trong một vụ tấn công DDoS, bảng này thường bị tràn (table full), khiến server từ chối cả những kết nối hợp lệ. Chúng ta cần tăng kích thước bảng này và tối ưu hóa bộ nhớ hash.


// Tính toán kích thước ConnTrack dựa trên RAM hệ thống
function calculateMaxConntrack(ramGB: number): number {
    // Công thức ước tính: 32 bit hệ thống, 1GB RAM chịu được khoảng 65536 entries
    const baseEntries = 65536;
    return ramGB * baseEntries;
}

const vpsRam = 8; // VPS 8GB RAM
const maxEntries = calculateMaxConntrack(vpsRam);
console.log(`Cấu hình tối ưu net.netfilter.nf_conntrack_max = ${maxEntries}`);

7. Sử dụng lớp lọc traffic từ xa (Anycast Network)

Dù bạn hardening kernel tốt đến đâu, nếu băng thông tấn công là 100Gbps trong khi cổng mạng VPS chỉ có 1Gbps, hệ thống vẫn sẽ sập. Giải pháp là kết hợp bảo mật hạ tầng với các dịch vụ proxy ngược như Cloudflare hoặc các giải pháp Anti-DDoS chuyên dụng tại Datacenter.

Lúc này, VPS của bạn chỉ chấp nhận traffic từ dải IP của nhà cung cấp bảo mật. Mọi traffic trực tiếp đến IP gốc của VPS sẽ bị DROP ngay lập tức.

8. Kết luận: Quy trình bảo mật 3 lớp

Để bảo vệ VPS bền vững, hãy tuân thủ quy trình 3 lớp sau:

Lớp 1 (Kernel): Tinh chỉnh sysctl để xử lý stack mạng hiệu quả nhất.
Lớp 2 (Firewall): Sử dụng NFTables để lọc IP xấu và giới hạn tốc độ kết nối.
Lớp 3 (Monitoring): Sử dụng các công cụ như fail2ban hoặc Netdata để phát hiện sớm các dấu hiệu bất thường.

Hãy nhớ rằng bảo mật là một quá trình liên tục. Một hệ thống được hardening tốt hôm nay vẫn cần được cập nhật và theo dõi sát sao vào ngày mai!

Kỹ thuật "Hardening" Kernel và Chống tấn công DDoS mức độ hạ tầng cho VPS