Giới thiệu về bảo mật Nginx Virtual Host (Vhost)

Trong kỷ nguyên số hiện nay, Nginx đã trở thành một trong những web server phổ biến nhất thế giới nhờ vào hiệu năng cao, khả năng chịu tải tốt và cấu hình linh hoạt. Tuy nhiên, một hệ thống Nginx chạy với cấu hình mặc định thường ẩn chứa nhiều lỗ hổng bảo mật nghiêm trọng. Hai trong số những nguy cơ phổ biến nhất là rò rỉ thông tin phiên bản hệ điều hành và cấu hình TLS lỏng lẻo. Kẻ tấn công có thể dễ dàng khai thác các thông tin này để thực hiện các cuộc tấn công có chủ đích (Targeted Attacks).

Bài viết này sẽ hướng dẫn bạn chi tiết cách làm chủ nghệ thuật tối ưu hóa Nginx Vhost, biến máy chủ của bạn thành một pháo đài kiên cố và đạt được điểm số A+ tuyệt đối trên SSL Labs — chứng nhận vàng cho một hệ thống Web Server an toàn toàn diện.

---

Phần 1: Chống rò rỉ thông tin hệ điều hành và phiên bản Nginx

Mặc định, khi một client gửi yêu cầu đến Nginx hoặc khi xảy ra các lỗi như 404 Not Found hoặc 500 Internal Server Error, Nginx sẽ tự động đính kèm số phiên bản của chính nó và tên hệ điều hành vào HTTP Response Header (ví dụ: Server: nginx/1.18.0 (Ubuntu)). Đây là nguồn thông tin tình báo vô giá cho các hacker (Reconnaissance Phase) để tìm kiếm các lỗ hổng CVE cụ thể của phiên bản đó.

1.1. Tắt hiển thị phiên bản Nginx (Server Tokens)

Để khắc phục điều này, chúng ta cần can thiệp vào file cấu hình chính của Nginx (thường là /etc/nginx/nginx.conf) hoặc cấu hình trong từng block server cụ thể.

Giải pháp: Sử dụng chỉ thị server_tokens off; để ẩn hoàn toàn số phiên bản.

Bạn hãy mở file cấu hình và thêm hoặc sửa đổi dòng sau trong block http:

http {
    server_tokens off;
    # Các cấu hình khác...
}

Sau khi áp dụng, header trả về sẽ chỉ còn vỏn vẹn: Server: nginx. Kẻ tấn công sẽ mất dấu vết và không thể biết chính xác bạn đang chạy phiên bản cũ hay mới.

1.2. Vô hiệu hóa hoặc tùy biến Header X-Powered-By

Nếu ứng dụng phía sau Nginx (như PHP, Node.js) tự động sinh ra header X-Powered-By, bạn cũng nên ẩn nó đi bằng cách sử dụng chỉ thị proxy_hide_header hoặc fastcgi_hide_header trong cấu hình Vhost:

location ~ \.php$ {
    fastcgi_pass unix:/var/run/php/php8.2-fpm.sock;
    fastcgi_hide_header X-Powered-By;
    include fastcgi_params;
}

---

Phần 2: Cấu hình TLS chuẩn bảo mật để đạt điểm A+ SSL Labs

Để đạt được điểm số A+ từ SSL Labs (Qualys), hệ thống của bạn không chỉ cần chứng chỉ SSL/TLS hợp lệ mà phải tuân thủ nghiêm ngặt các tiêu chuẩn mã hóa hiện đại, loại bỏ các giao thức lỗi thời và kích hoạt các tính năng bảo mật nâng cao.

2.1. Chỉ sử dụng các giao thức mã hóa an toàn (TLS Protocols)

Các giao thức cũ như SSLv2, SSLv3, TLS 1.0 và TLS 1.1 hiện đã bị coi là không còn an toàn và dính nhiều lỗ hổng nghiêm trọng (như POODLE, BEAST). Chúng ta cần cấu hình Nginx chỉ chấp nhận TLS 1.2 và TLS 1.3.

ssl_protocols TLSv1.2 TLSv1.3;

2.2. Tối ưu hóa danh sách Cipher Suites (Thuật toán mã hóa)

Việc lựa chọn các Cipher Suites mạnh mẽ đảm bảo rằng dữ liệu truyền đi giữa client và server không thể bị giải mã bởi bên thứ ba. Hãy ưu tiên các thuật toán hỗ trợ Forward Secrecy (FS) như ECDHE.

ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;

Chỉ thị ssl_prefer_server_ciphers on; bắt buộc client phải tuân theo thứ tự ưu tiên các bộ mã hóa do server quy định.

2.3. Cấu hình Diffie-Hellman (DH Parameters) mạnh mẽ

Mặc định Nginx sử dụng khóa DH 1024-bit, mức này quá yếu trước năng lực tính toán hiện nay. Bạn cần tạo một khóa DH có độ dài ít nhất là 2048-bit hoặc 4096-bit bằng lệnh sau trong Terminal:

openssl dhparam -out /etc/nginx/dhparam.pem 2048

Sau đó, khai báo đường dẫn này vào cấu hình Vhost của Nginx:

ssl_dhparam /etc/nginx/dhparam.pem;

2.4. Kích hoạt HTTP Strict Transport Security (HSTS)

HSTS là điều kiện kiên quyết để đạt điểm A+. Header này ra lệnh cho trình duyệt của người dùng luôn luôn kết nối bằng HTTPS, ngay cả khi họ gõ http:// trên thanh địa chỉ.add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Lưu ý: Tham số preload cho phép bạn đăng ký tên miền vào danh sách HSTS mã hóa cứng của các trình duyệt lớn, tăng tối đa mức độ an toàn.

2.5. OCSP Stapling - Tối ưu hiệu năng và bảo mật

Thay vì bắt trình duyệt phải tốn thời gian kết nối tới bên cấp phát chứng chỉ (CA) để kiểm tra chứng chỉ có bị thu hồi hay không, OCSP Stapling cho phép Nginx tự động tải thông tin này về định kỳ và đính kèm (staple) vào quá trình bắt tay TLS (TLS Handshake).

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/chain.pem;
resolver 8.8.8.8 1.1.1.1 valid=300s;
resolver_timeout 5s;

---

Phần 3: Tổng hợp File cấu hình mẫu Nginx Vhost chuẩn A+

Dưới đây là một file cấu hình Virtual Host hoàn chỉnh, kết hợp toàn bộ các kỹ thuật tối ưu hóa bảo mật đã nêu ở trên. Bạn có thể áp dụng ngay cho hệ thống của mình:

server {
    listen 80;
    listen [::]:80;
    server_name tech.example.com;
    
    # Chuyển hướng mọi traffic HTTP sang HTTPS tin cậy
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name tech.example.com;

    # Đường dẫn chứng chỉ SSL (Let's Encrypt hoặc CA khác)
    ssl_certificate /etc/letsencrypt/live/[tech.example.com/fullchain.pem](https://tech.example.com/fullchain.pem);
    ssl_certificate_key /etc/letsencrypt/live/[tech.example.com/privkey.pem](https://tech.example.com/privkey.pem);

    # Cấu hình tối ưu TLS & Chống rò rỉ thông tin
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    ssl_dhparam /etc/nginx/dhparam.pem;

    # Bảo mật Headers nâng cao
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline'" always;

    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/[tech.example.com/chain.pem](https://tech.example.com/chain.pem);
    resolver 8.8.8.8 1.1.1.1 valid=300s;

    root /var/www/tech.example.com;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

---

Phần 4: Kiểm tra và Duy trì thành quả

Sau khi đã thay đổi tệp cấu hình, hãy luôn thực hiện kiểm tra cú pháp của Nginx trước khi reload dịch vụ bằng lệnh:nginx -t

Nếu hệ thống báo thành công (syntax is ok), hãy tiến hành tải lại cấu hình:

systemctl reload nginx

Cuối cùng, hãy truy cập vào trang web Qualys SSL Labs ([ssllabs.com/ssltest/](https://ssllabs.com/ssltest/)), nhập tên miền của bạn và tiến hành quét. Nếu bạn làm đúng theo hướng dẫn này, kết quả nhận được chắc chắn sẽ là điểm số A+ rực rỡ.

Lời kết

Việc tối ưu hóa Nginx Vhost không chỉ đơn thuần là việc đạt được một điểm số đẹp trên các công cụ kiểm tra, mà đó là trách nhiệm bảo vệ dữ liệu của doanh nghiệp và người dùng trước làn sóng tấn công mạng ngày càng tinh vi. Bằng cách khóa chặt các thông tin hệ điều hành thừa thãi và áp dụng các tiêu chuẩn TLS tân tiến, bạn đã xây dựng được một nền tảng hạ tầng vững chắc cho mọi ứng dụng web.

Nghệ thuật tối ưu Nginx Vhost: Chống rò rỉ thông tin và cấu hình TLS đạt điểm A+ trên SSL Labs