VPS vừa giao xong là đã có IP công khai trên Internet — và các con bot quét mạng tìm tới rất nhanh. Ngày 29/10/2026, chúng tôi tạo một VPS Ubuntu mới để viết bài này: 5 phút 11 giây sau khi máy bật, lượt dò mật khẩu SSH đầu tiên đã tới.
Dưới đây là 10 việc nên làm trong buổi đầu tiên với VPS, xếp theo thứ tự nên làm. Mỗi lệnh trong bài đã chạy thật trên VPS thử, kèm kết quả, và những bẫy chúng tôi gặp khi làm.
01 · Đổi mật khẩu máy
Mật khẩu Portal tạo cho VPS là chuỗi ngẫu nhiên đủ mạnh, nhưng nó đã nằm trong email, trong ứng dụng ghi chú, có khi trong tin nhắn gửi đồng nghiệp. Đổi sang mật khẩu của riêng bạn ngay buổi đầu: ở trang VPS trên Portal, mục Đăng nhập vào máy có nút Đổi mật khẩu; quên mật khẩu thì có Đặt lại ngay cạnh. Muốn đổi từ trong máy: Windows · Linux.
Mật khẩu mới: tối thiểu 12 ký tự, không dùng lại ở nơi khác, không chứa tên công ty hay ngày sinh. Bot dò bằng danh sách mật khẩu quen thuộc — mật khẩu yếu là việc duy nhất khiến chúng thành công.
02 · Đổi cổng Remote Desktop / SSH trên Portal
Bot quét gần như chỉ gõ cửa 3389 (Remote Desktop) và 22 (SSH). Chuyển sang một cổng 5 chữ số là ra khỏi tầm của phần lớn chúng: hai máy Ubuntu cùng loại, máy giữ cổng 22 bị dò 17 lần trong một giờ, máy đã đổi cổng — 0 lần. Trên Portal: Máy chủ VPS → Hành động → Đổi cổng Remote Desktop / Đổi cổng SSH, có nút Ngẫu nhiên chọn hộ. Chi tiết: Đổi cổng RDP và SSH ngay trên Portal.
Portal tự mở cổng mới trong tường lửa của máy (ufw / firewalld trên Linux, Windows Firewall trên Windows) trước khi đóng cổng cũ, nên không lo tự khoá mình ngoài.
03 · Chặn IP dò mật khẩu
Linux — fail2ban. Công cụ đọc nhật ký đăng nhập, thấy một IP sai mật khẩu nhiều lần thì chặn IP đó. Trên Ubuntu 24.04 của CloudNest chỉ cần một lệnh, cài xong là đã bật sẵn luật cho SSH:
apt update && apt install -y fail2ban
fail2ban-client status sshdChúng tôi thử bằng cách cố ý đăng nhập sai từ một máy khác của mình:
Nghĩa là: sai 5 lần trong 10 phút thì IP bị chặn 1 giờ, và bị chặn ở mọi cổng TCP — nên đổi cổng SSH ở việc 02 vẫn được bảo vệ. Lỡ tự chặn mình (gõ sai mật khẩu nhiều lần), vào máy qua Console trên Portal rồi gỡ: fail2ban-client set sshd unbanip IP-CỦA-BẠN.
Windows không có fail2ban. Dùng tệp chặn IP tấn công bằng 1 file .BAT của CloudNest: tự đọc nhật ký đăng nhập sai của Windows và chặn IP dò Remote Desktop.
04 · Đăng nhập bằng khoá SSH, tắt đăng nhập mật khẩu
Khoá SSH là cặp tệp: tệp riêng nằm trên máy bạn, tệp công khai đặt lên VPS. Bot có dò bao nhiêu mật khẩu cũng vô ích khi máy không còn nhận mật khẩu. Làm theo đúng thứ tự, mỗi bước đều kiểm trước khi sang bước sau.
Bước 1 — tạo khoá trên máy của bạn (Windows 10/11 có sẵn trong PowerShell; macOS, Linux trong Terminal). Bấm Enter để nhận vị trí mặc định; đặt thêm passphrase càng tốt:
ssh-keygen -t ed25519Bước 2 — đưa khoá công khai lên VPS (nhập mật khẩu VPS lần cuối). Thay IP và thêm -p CỔNG nếu đã đổi cổng SSH:
# macOS, Linux, Git Bash
cat ~/.ssh/id_ed25519.pub | ssh root@IP "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"
# Windows PowerShell
type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh root@IP "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"Bước 3 — thử đăng nhập bằng khoá: ssh root@IP phải vào thẳng, không hỏi mật khẩu VPS. Chưa được thì dừng ở đây, đừng làm bước 4.
Bước 4 — tắt đăng nhập bằng mật khẩu, chạy trên VPS:
echo 'PasswordAuthentication no' > /etc/ssh/sshd_config.d/10-tat-mat-khau.conf
sshd -t && systemctl reload ssh
sshd -T | grep -i passwordauthenticationGiữ nguyên phiên SSH đang mở cho tới khi thử xong ở một cửa sổ mới. Mất tệp khoá thì vẫn vào được máy qua Console trên Portal để thêm khoá mới.
05 · Bật tường lửa đúng cách
Windows: Windows Firewall bật sẵn trên mọi bản Windows của CloudNest — chỉ mở thêm cổng khi cài dịch vụ cần đón kết nối (web, game). Linux: ufw trên Ubuntu dựng sẵn đang tắt. Bật lên, nhưng mở cổng SSH trước, nếu không phiên SSH đang dùng sẽ bị cắt:
ufw allow 22/tcp # hoặc cổng SSH bạn đã đổi
ufw allow 80,443/tcp # chỉ khi máy chạy web
ufw enable # hỏi (y|n) thì gõ y
ufw statusĐổi cổng SSH trên Portal sau khi bật ufw thì Portal tự thêm cổng mới (việc 02); dòng cổng cũ xoá bằng ufw delete allow 22/tcp.
06 · Chỉ mở dịch vụ cần dùng
Mỗi cổng đang nghe là một cánh cửa. Xem trên Linux bằng ss -lntu. Ubuntu dựng sẵn của CloudNest chỉ mở đúng cổng SSH ra ngoài:
Cài thêm phần mềm thì xem lại danh sách này. Cơ sở dữ liệu (MySQL, PostgreSQL, Redis) chỉ nên nghe ở 127.0.0.1 — trang web cùng máy vẫn dùng được, còn Internet không chạm tới. Trên Windows, xem cổng đang nghe trong Resource Monitor → Network → Listening Ports.
07 · Cập nhật hệ thống
Phần lớn vụ xâm nhập đi qua lỗ hổng đã có bản vá từ lâu. Ubuntu dựng sẵn của CloudNest đã bật tự cài bản vá bảo mật mỗi ngày (unattended-upgrades: enabled / active); chạy thêm một lượt đầy đủ ngay khi nhận máy:
apt update && apt upgrade -yWindows: mở Windows Update (trong Settings, hoặc Control Panel ở bản 2012 R2) → kiểm tra cập nhật, khởi động lại khi được yêu cầu (chọn giờ ít người dùng). Đang chọn hệ điều hành thì ưu tiên bản còn được cập nhật bảo mật — mốc từng bản ở bài VPS Windows hay Linux.
08 · Khoá tài khoản Portal bằng passkey hoặc 2FA
Ai vào được tài khoản Portal của bạn là đặt lại được mật khẩu VPS, mở Console, cài lại hệ điều hành. Bảo vệ tài khoản quan trọng ngang bảo vệ máy. Vào Tài khoản → Bảo mật:
- Passkey: đăng nhập bằng vân tay, khuôn mặt hoặc mã PIN của thiết bị — không cần mật khẩu, và trang giả mạo không lừa lấy được.
- Xác thực 2 lớp (2FA): thêm mã 6 số từ Google / Microsoft Authenticator mỗi lần đăng nhập.
- Đăng nhập gần đây: thấy lượt lạ thì đổi mật khẩu và bấm Đăng xuất khỏi mọi thiết bị khác.
09 · Bật thông báo và giám sát
Biết sớm là xử lý sớm. Ở Tài khoản → Thông báo, kết nối Telegram và bật thông báo đẩy để nhận tin khi máy tắt ngoài ý muốn, bị treo, ổ sắp đầy, sắp hết hạn — các báo này miễn phí cho mọi VPS. Muốn biết ngay khi website, Remote Desktop hay SSH ngừng phản hồi dù máy vẫn bật, bật thêm Giám sát nâng cao (thử 7 ngày miễn phí).
10 · Sao lưu ra ngoài VPS
Bảo mật tốt tới đâu vẫn còn rủi ro: lỡ tay xoá, phần mềm lỗi, mã độc mã hoá dữ liệu. Giữ bản sao dữ liệu quan trọng (mã nguồn, cơ sở dữ liệu, tệp cấu hình) ở ngoài VPS — máy tính của bạn, một VPS khác, dịch vụ lưu trữ đám mây — và lên lịch sao lưu định kỳ. Nhớ: Cài lại hệ điều hành trên Portal xoá sạch ổ cứng, không khôi phục lại được.
Dấu hiệu máy bị xâm nhập — và làm gì
Không chắc máy đã sạch thì cách chắc chắn nhất là sao lưu dữ liệu (không sao lưu chương trình chạy được), cài lại hệ điều hành trên Portal, rồi làm lại 10 việc trên từ đầu. Cần hỗ trợ, gửi yêu cầu ở mục Hỗ trợ trên Portal hoặc gọi hotline 08.8888.5971.
Câu hỏi thường gặp
VPS mới thì bao lâu bị dò mật khẩu?
Rất nhanh. VPS Ubuntu thử ngày 29/10/2026 bị dò SSH lần đầu sau 5 phút 11 giây; hai máy khác ngày 25/10 sau 11 và 22 phút, rồi 18–19 lần trong 1,5 giờ đầu. Mức dò tuỳ dải IP và thời điểm, nhưng không có máy nào “chưa ai biết”.
Đổi cổng có thay được mật khẩu mạnh không?
Không. Đổi cổng giúp tránh phần lớn bot quét tự động; người cố tình nhắm vào bạn vẫn quét ra cổng mới. Đổi cổng, mật khẩu mạnh (hoặc khoá SSH) và chặn IP dò mật khẩu bổ trợ cho nhau.
Tắt đăng nhập mật khẩu rồi mất khoá thì sao?
Vào máy qua Console trên Portal (không đi qua SSH), thêm khoá mới vào ~/.ssh/authorized_keys hoặc tạm xoá tệp 10-tat-mat-khau.conf rồi chạy systemctl reload ssh.
fail2ban có chặn nhầm chính tôi không?
Có thể, nếu bạn gõ sai mật khẩu 5 lần trong 10 phút. IP bị chặn 1 giờ; muốn gỡ sớm, vào Console trên Portal chạy fail2ban-client set sshd unbanip IP-của-bạn. Dùng khoá SSH thì gần như không gặp chuyện này.
Có cần cài phần mềm diệt virus trên VPS Windows không?
Windows Server 2016 trở lên và Windows 10 có sẵn Microsoft Defender — giữ nó bật và cập nhật; quan trọng hơn là không chạy tệp lạ, công cụ “crack” trên VPS — đó là đường lây phổ biến nhất.
