CSF Firewall
HƯỚNG DẪN QUẢN LÝ CSF FIREWALL TRÊN VPANEL
CSF (ConfigServer Security & Firewall) là bộ tường lửa nhẹ dựa trên iptables/nftables đi kèm dịch vụ LFD (Login Failure Daemon) quét log xác thực để phát hiện brute-force. vPanel tích hợp sẵn CSF khi cài đặt và cung cấp giao diện đồ họa cho phép admin cho phép IP tin cậy, chặn IP thù địch, tinh chỉnh connection tracker và xem hoạt động firewall mà không cần SSH vào server.
1. Truy cập quản lý CSF
Đăng nhập Admin Panel trên cổng :2087. Mở mục Security ở thanh menu trái và nhấn CSF Firewall.
Tổng quan giao diện
| Thành phần | Mô tả |
|---|---|
| Firewall Status | Hiển thị RUNNING hoặc STOPPED kèm phiên bản CSF. |
| LFD Status | Trạng thái dịch vụ LFD giám sát log xác thực. |
| Blocked (24h) | Số IP duy nhất đã bị chặn trong 24 giờ qua. |
| Testing Mode | Nếu bật, CSF sẽ tự động xóa toàn bộ rule sau 5 phút (dùng khi tinh chỉnh). |
| Start / Stop / Restart | Các nút điều khiển dịch vụ firewall. |
| Disable / Enable | Tắt hoàn toàn firewall (rule bị xóa cho đến khi bật lại). |
Cảnh báo: Tắt firewall khiến server bị lộ trực tiếp ra Internet. Chỉ tắt khi cần khắc phục sự cố kết nối và bật lại ngay.
2. Allow / Deny IP nhanh
Mở tab Quick Actions để quản lý allow và deny list mà không cần chỉnh file config thô.
Allow List (csf.allow)
- IP hoặc CIDR: nhập một IP đơn (
203.0.113.5) hoặc dải subnet (203.0.113.0/24). - Comment: lý do ngắn để audit sau này (ví dụ
office VPN). - Nhấn Add to Allow — entry được ghi vào
/etc/csf/csf.allowvà có hiệu lực ngay.
IP được allow bỏ qua toàn bộ rule firewall, gồm cả block port và LFD.
Deny List (csf.deny)
- IP hoặc CIDR: địa chỉ cần chặn.
- Comment: lý do chặn.
- Công tắc Temporary block — nếu bật, chọn thời gian (1h / 24h / 7 ngày). Nếu tắt, chặn vĩnh viễn.
- Nhấn Add to Deny — CSF drop toàn bộ traffic từ IP đó.
Xóa entry
Cả Allow và Deny list đều hiển thị các entry hiện có. Nhấn nút thùng rác trên hàng để xóa.
Hãy whitelist máy làm việc / IP văn phòng của bạn TRƯỚC khi thêm rule chặn mạnh tay để tránh tự khóa mình.
3. Cấu hình Firewall
Mở tab Configuration để tinh chỉnh CSF. Chỉ các thiết lập phổ biến nhất xuất hiện trên panel; chỉnh /etc/csf/csf.conf cho tinh chỉnh nâng cao.
General
| Thiết lập | Ý nghĩa |
|---|---|
| TCP_IN / TCP_OUT | Các cổng TCP vào / ra được cho phép. |
| UDP_IN / UDP_OUT | Các cổng UDP vào / ra được cho phép. |
| ICMP_IN | Cho phép ping (khuyến nghị: bật để uptime monitoring). |
| IPv6 Support | Bật rule ip6tables song song IPv4. |
Login Failure Daemon (LFD)
| Thiết lập | Ý nghĩa |
|---|---|
| LF_TRIGGER | Chặn IP sau N lần đăng nhập thất bại (mặc định 5). |
| LF_TRIGGER_PERM | Thời gian chặn, hoặc 1 để vĩnh viễn. |
| PT_LIMIT | Kill process chạy quá N giây dưới tenant (0 = tắt). |
| CT_LIMIT | Chặn IP mở nhiều hơn N kết nối đồng thời (mặc định 100). |
Rule phát hiện đăng nhập
CSF giám sát log xác thực của các dịch vụ phổ biến:
- SSHD_LOGIN — đăng nhập SSH sai.
- SMTPAUTH_LOG — xác thực SMTP thất bại (Postfix / Dovecot).
- HTACCESS_LOG — nhiều 401 trên đường dẫn bảo vệ bằng
.htaccess. - MODSEC_LOG — nhiều 403 do ModSecurity chặn.
Bật/tắt rule rồi nhấn Save & Restart CSF để áp dụng.
4. Log Firewall
Mở tab Logs để xem hoạt động LFD và packet iptables drop.
Nguồn log
| Nguồn | Nội dung |
|---|---|
| lfd.log | Quyết định của LFD: block, whitelist, sự kiện cluster. |
| iptables dropped | Packet bị firewall drop (đọc từ dmesg). |
| auth.log / secure | Log thô đăng nhập SSH và PAM. |
Lọc
- Source dropdown — chọn một nguồn log.
- Level dropdown —
all,warning,error. - Keyword — lọc theo IP, username hoặc mã sự kiện.
- Since — chỉ hiển thị entry trong khoảng thời gian đã chọn.
Sự kiện thường gặp
| Thông điệp | Ý nghĩa |
|---|---|
(sshd) Failed SSH login from IP | LFD đếm một lần thất bại. Sau LF_TRIGGER, IP đó sẽ bị chặn. |
Blocked in csf.deny: (sshd) | IP vừa được đưa vào deny list. |
Connection tracking flood | Một IP mở quá nhiều kết nối đồng thời và bị throttling. |
Testing mode enabled – rules flushed | Bạn khởi động CSF ở chế độ testing; nhớ tắt khi đã tinh chỉnh xong. |
5. Xử lý sự cố
| Vấn đề | Nguyên nhân & Cách xử lý |
|---|---|
| Không kết nối được sau khi bật CSF | Có thể bạn chưa whitelist IP của mình. Từ console server: csf -a YOUR_IP rồi bật lại. |
| LFD không chặn brute force | Kiểm tra LFD đang chạy: systemctl status lfd. Xác nhận đường dẫn auth log tồn tại. |
| Console bị flood log kernel | Trên hệ non-Ubuntu, đặt DROP_LOGGING=0 trong csf.conf. Reconciler khởi động của vPanel tự xử lý việc này. |
Firewall xung đột với firewalld | Trên EL9/Rocky, mask firewalld: systemctl mask --now firewalld nftables ufw. |
Chúc bạn quản trị Server an toàn và hiệu quả!