Chống DDoS cho VPS Linux: Tăng bảo mật và hiệu suất

Nếu bạn đang sử dụng VPS Linux, một trong những mối đe dọa phổ biến nhất đối với VPS là tấn công DDoS (Distributed Denial of Service) – hình thức khiến máy chủ bị nghẽn, quá tải hoặc ngừng hoạt động hoàn toàn.  Việc chống DDoS không chỉ giúp bảo vệ hệ thống mà còn […]

Enode

21/Oct/2025

Nếu bạn đang sử dụng VPS Linux, một trong những mối đe dọa phổ biến nhất đối với VPS là tấn công DDoS (Distributed Denial of Service) – hình thức khiến máy chủ bị nghẽn, quá tải hoặc ngừng hoạt động hoàn toàn.  Việc chống DDoS không chỉ giúp bảo vệ hệ thống mà còn tăng cường hiệu suất, tốc độ và độ tin cậy của dịch vụ. Bài viết này sẽ hướng dẫn bạn cách chống DDoS cho VPS Linux từ cơ bản đến nâng cao, giúp bạn chủ động bảo mật và duy trì hiệu suất ổn định.

Chống DDoS cho VPS Linux

Chống DDoS cho VPS Linux

Tấn công DDoS là gì?

DDoS (Distributed Denial of Service) — hay còn gọi là tấn công từ chối dịch vụ phân tán, là một hình thức tấn công mạng trong đó kẻ tấn công sử dụng nhiều máy tính hoặc thiết bị bị nhiễm mã độc (botnet) để gửi hàng loạt yêu cầu truy cập giả mạo tới một máy chủ (server) hoặc website trong cùng một thời điểm.

Mục đích: làm quá tải tài nguyên hệ thống (CPU, RAM, băng thông mạng), khiến máy chủ không thể xử lý yêu cầu thật từ người dùng hợp pháp. Kết quả là website hoặc dịch vụ bị chậm, treo hoặc sập hoàn toàn.

Cách thức hoạt động củaDDoS

  • Kẻ tấn công xây dựng mạng botnet gồm hàng nghìn thiết bị (máy tính, router, camera IP, IoT…) bị kiểm soát từ xa.
  • Từ máy điều khiển trung tâm, hacker ra lệnh cho toàn bộ botnet gửi request ồ ạt đến mục tiêu.
  • Lượng yêu cầu quá lớn khiến: Băng thông mạng bị nghẽn, RAM và CPU của VPS bị quá tải, Webserver (Apache/Nginx) không phản hồi kịp.
  • Kết quả: người dùng thật không thể truy cập website hoặc ứng dụng.

Các dạng tấn công DDoS phổ biến

Tấn công DDoS có nhiều hình thức khác nhau, tùy vào tầng mạng mà kẻ tấn công nhắm tới (tầng mạng – tầng giao vận – tầng ứng dụng). Việc hiểu rõ từng loại giúp bạn xác định đúng nguyên nhân và chọn biện pháp chống DDoS hiệu quả cho VPS Linux.

1. SYN Flood Attack

SYN Flood là một trong những hình thức tấn công cổ điển nhưng vẫn cực kỳ phổ biến.

Cách hoạt động:

Khi có một kết nối TCP, quá trình “bắt tay 3 bước” (three-way handshake) gồm 3 gói tin: SYN → SYN-ACK → ACK.

Kẻ tấn công sẽ gửi hàng ngàn gói SYN giả mạo đến server nhưng không bao giờ gửi gói ACK để hoàn tất. Khiến máy chủ phải giữ hàng nghìn kết nối nửa vời trong bộ nhớ, dẫn đến:

  • Tốn tài nguyên RAM.
  • Kết nối mới từ người dùng thật bị từ chối.

Cách chống: Bật SYN Cookies, giới hạn kết nối đồng thời và dùng firewall (iptables, ufw).

2. UDP Flood Attack

UDP Flood nhắm vào tầng mạng (Layer 3 – 4).

Kẻ tấn công gửi một lượng lớn gói UDP ngẫu nhiên đến nhiều cổng trên server.

Khi nhận gói tin, máy chủ cố phản hồi tới địa chỉ IP không tồn tại → lãng phí tài nguyên và băng thông.

Hậu quả: VPS nhanh chóng bị nghẽn mạng hoặc treo toàn bộ dịch vụ.

Cách chống:

  • Chặn lưu lượng bất thường bằng iptables
  • Giới hạn băng thông mỗi IP.
  • Dùng tường lửa hoặc router có chức năng chống UDP Flood.

3. ICMP Flood (Ping Flood)

ICMP Flood còn gọi là Ping Flood – hình thức tấn công “ngập lụt ping”.

Kẻ tấn công gửi liên tục gói ICMP Echo Request (ping) khiến server phải trả lời lại từng gói.

Khi số lượng ping quá lớn, hệ thống:

  • Bị nghẽn đường truyền.
  • CPU tăng cao vì phải phản hồi liên tục.
  • Cách chống: tắt phản hồi ICMP hoặc giới hạn tốc độ ICMP trong kernel:

sudo sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1

4. HTTP Flood Attack

Đây là loại DDoS nguy hiểm nhất, vì nó giả mạo người dùng thật truy cập website.
Kẻ tấn công sử dụng botnet để gửi hàng triệu yêu cầu HTTP GET/POST đến trang web của bạn.

Tấn công HTTP Flood Attack gây ngốn CPU, RAM và sập webserver

Tấn công HTTP Flood Attack gây ngốn CPU, RAM và sập webserver

Server tưởng là traffic hợp pháp, nên vẫn xử lý từng request → ngốn CPU, RAM và sập webserver.

Đặc điểm:

  • Không dễ phát hiện bằng firewall thông thường.
  • Thường nhắm vào website thương mại điện tử, cổng thanh toán hoặc landing page có nhiều tài nguyên động.

Cách chống:

  • Dùng CDN như Cloudflare để lọc bot.
  • Áp dụng rate limiting (giới hạn request).
  • Cài mod_evasive hoặc Fail2Ban cho Apache/Nginx.

5. DNS Amplification Attack

DNS Amplification là kiểu khuếch đại lưu lượng DDoS, thường được dùng để tăng sức công phá.

Cơ chế:

  • Kẻ tấn công gửi yêu cầu DNS nhỏ (vài byte) đến server DNS công cộng, nhưng giả mạo IP nguồn là IP của mục tiêu.
  • Khi DNS server phản hồi, dữ liệu trả về có thể lớn gấp 50–100 lần yêu cầu gốc, và toàn bộ phản hồi sẽ dội về VPS nạn nhân.

Kết quả: Chỉ cần một botnet nhỏ, hacker cũng có thể tạo lưu lượng cực lớn.

Cách chống:

  • Không mở DNS recursion công khai.
  • Dùng firewall lọc port 53 (UDP).
  • Bật rate limit và anti-spoofing trong hệ thống mạng.

6. Slowloris Attack

Slowloris tấn công webserver bằng cách giữ hàng nghìn kết nối HTTP chưa hoàn tất.

Thay vì gửi request nhanh, hacker gửi header HTTP cực chậm, khiến webserver phải giữ tài nguyên cho từng kết nối.

Ảnh hưởng:

  • Apache dễ bị ảnh hưởng nhất.
  • Các kết nối thật bị chặn do hết slot xử lý.

Cách chống:

  • Dùng Nginx thay Apache.
  • Giới hạn thời gian kết nối (RequestReadTimeout).
  • Cài module mod_reqtimeout hoặc dùng reverse proxy.

Tổng kết:

Tên tấn công Mục tiêu Tác động Biện pháp chống
SYN Flood TCP Handshake Treo kết nối Bật SYN Cookies, firewall
UDP Flood Cổng UDP Nghẽn băng thông Giới hạn UDP, lọc IP
ICMP Flood Ping Request Tốn CPU Chặn ICMP
HTTP Flood Webserver Sập website CDN, rate limit
DNS Amplification Port 53 Lưu lượng cực lớn Chặn recursion DNS
Slowloris Apache/Nginx Treo webserver Giới hạn timeout

Dấu hiệu VPS Linux đang bị DDoS

Dấu hiệu dễ nhận biết

  • Website load chậm bất thường.
  • Băng thông tăng vọt dù lượng truy cập thật không đổi.
  • Log ghi nhận hàng trăm kết nối từ cùng một IP hoặc dải IP.
  • Server không phản hồi với SSH hoặc HTTP request.

Cách kiểm tra nhanh

Bạn có thể dùng các lệnh sau để xác định:

top
netstat -antp
ss -an
iftop
dmesg | grep SYN

Nếu thấy nhiều kết nối cùng IP hoặc port bất thường, khả năng cao VPS đang bị DDoS.

Cách chống DDoS cho VPS Linux hiệu quả

Sử dụng tường lửa (Firewall)

Dùng iptables

Iptables giúp bạn giới hạn kết nối từ IP gửi quá nhiều request:

sudo iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 -j DROP

Dùng UFW (dễ cho người mới)

sudo apt install ufw -y
sudo ufw limit ssh
sudo ufw enable

Giới hạn kết nối SSH, tránh brute-force và flood.

Cài đặt Fail2Ban để chặn IP xấu tự động

Fail2Ban đọc file log và tự động chặn IP có hành vi bất thường (đăng nhập sai, gửi request ảo…).

Cài đặt:

sudo apt install fail2ban -y

Cấu hình file /etc/fail2ban/jail.local để bảo vệ SSH, HTTP, và MySQL.

Lợi ích:

  • Tự động phát hiện và chặn IP tấn công.
  • Giảm tải hệ thống, hạn chế nguy cơ bị flood.

Bật SYN Cookies chống SYN Flood

Kích hoạt SYN Cookies trong kernel để tránh tiêu tốn tài nguyên TCP:

sudo sysctl -w net.ipv4.tcp_syncookies=1

Thêm dòng này vào /etc/sysctl.conf để tự động bật mỗi khi khởi động lại VPS Linux.

Giới hạn tốc độ truy cập bằng iptables

sudo iptables -A INPUT -p tcp --dport 80 -m limit --limit 30/minute --limit-burst 100 -j ACCEPT

Lệnh này giúp giảm tải khi có quá nhiều request ảo, tránh nghẽn mạng.

Dùng CDN chống DDoS (Cloudflare, DDoS-Guard)

Một trong những cách hiệu quả nhất là ẩn IP thật của VPS và lọc lưu lượng qua CDN.

Cloudflare – công cụ miễn phí chống DDoS phổ biến:

  • Bật chế độ “Under Attack Mode” để chặn bot tự động.
  • Lọc lưu lượng xấu trước khi đến server.
  • Tăng tốc website bằng cache toàn cầu.

Các bước:

  • Trỏ DNS domain về Cloudflare.
  • Bật “Under Attack Mode”.
  • Bật HTTPS và SSL Full Strict để bảo mật kết nối.

Cập nhật hệ thống định kỳ

Luôn cập nhật hệ điều hành và phần mềm để vá lỗi bảo mật:

sudo apt update && sudo apt upgrade -y

Cập nhật hệ điều hành và phần mềm để vá lỗi bảo mật

Cập nhật hệ điều hành và phần mềm để vá lỗi bảo mật

Giữ kernel, Apache/Nginx, PHP, MySQL luôn ở phiên bản mới giúp ngăn chặn lỗ hổng bị khai thác.

Theo dõi log và giám sát hệ thống

Theo dõi log thường xuyên giúp phát hiện sớm hành vi lạ:

tail -f /var/log/syslog
tail -f /var/log/auth.log

Cài thêm công cụ như Netdata, Grafana hoặc Zabbix để theo dõi CPU, RAM, network real-time. Khi lưu lượng tăng đột biến, bạn có thể chặn IP tấn công ngay lập tức.

Kết hợp chống DDoS và tối ưu hiệu suất

Bảo mật tốt mà không tối ưu hiệu suất thì VPS vẫn dễ sập khi bị flood.

Dưới đây là những cách vừa chống DDoS vừa tăng tốc hệ thống:

Tối ưu webserver

  • Dùng Nginx thay Apache để xử lý request nhanh hơn.
  • Bật Gzip, HTTP/2, và cache tĩnh.
  • Giảm số lượng process PHP bằng PHP-FPM.

Tối ưu kernel Linux

Thêm vào /etc/sysctl.conf:

net.ipv4.tcp_fin_timeout = 15
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_max_syn_backlog = 4096

Rồi chạy:

sudo sysctl -p

Giúp kernel xử lý kết nối nhanh, giảm nguy cơ nghẽn TCP.

Nâng cấp hạ tầng khi cần thiết

Nếu thường xuyên bị tấn công, bạn nên:

  • Tăng RAM, CPU, băng thông VPS.
  • Dùng Load Balancer để phân tải.
  • Tạo các lớp proxy (reverse proxy, cache) để giảm tải backend.

Lưu ý:

Không có cách nào chống DDoS tuyệt đối, nhưng hiểu rõ từng loại tấn công giúp bạn:

  • Cấu hình đúng lớp bảo vệ cho VPS Linux.
  • Kết hợp firewall + CDN + giám sát để ngăn chặn hiệu quả.

Chống DDoS cho VPS Linux là việc làm thiết yếu nếu bạn muốn hệ thống hoạt động ổn định, nhanh và an toàn. Chỉ với vài bước cơ bản – từ cấu hình firewall, Fail2Ban, SYN Cookies cho đến sử dụng Cloudflare – bạn đã có thể giảm thiểu đến 90% nguy cơ tấn công DDoS phổ biến. Bảo mật tốt cũng đồng nghĩa tối ưu hiệu suất, giúp website nhanh hơn, uptime cao hơn và được Google đánh giá tốt hơn trong SEO.

Trải nghiệm vận hành một VPS đã giúp tôi hiểu rõ hơn về hệ thống máy chủ, tăng khả năng kiểm soát hiệu suất và bảo mật website – điều mà hosting thông thường khó đáp ứng.

Liên hệ