Cách bảo mật proxy khi dùng cho công việc

Tối qua, ba lập trình viên nhắn tin vào nhóm hỗ trợ của chúng tôi với cùng một sự tự tin: "Website em vừa dựng xong reverse proxy Nginx trên VPS Việt nam, bây giờ chắc chắn là bất khả xâm phạm rồi đúng không?".

Tôi không trả lời ngay. Tôi chỉ gửi lại ảnh chụp log tấn công của một khách hàng tuần trước. Khách đó cũng dựng chính xác cái proxy giống hệt, cũng tin vào sự an toàn tuyệt đối đó, để rồi bị hacker bắn SQL injection vào form đăng nhập, lấy sạch dữ liệu của 12.000 khách hàng.

Đáng nói là hệ thống bảo mật proxy đó vẫn đứng vững, hoạt động bình thường, không báo lỗi, không chặn đứng bất cứ điều gì. Nó chỉ làm đúng việc được giao: nhận yêu cầu và chuyển tiếp đi. Đó là hiểu lầm chết người mà hầu hết mọi người mắc phải: Nghĩ proxy là áo giáp, trong khi thực tế nó chỉ là một tấm bạt che mưa.

Bảo mật proxy: Bạn đang tin vào một câu chuyện cổ tích

Hầu hết các bài hướng dẫn kỹ thuật hiện nay đều vẽ nên một bức tranh lý tưởng: Reverse proxy đứng ở giữa như một bức tường kiên cố ngăn cách internet và máy chủ gốc. Mọi yêu cầu phải đập vào tường này trước, không ai chạm được vào "trái tim" hệ thống đằng sau. Hình ảnh đó không sai, nhưng nó chỉ là nửa sự thật.

Proxy đứng giữa là đúng, nhưng nó không phải tường đá. Nó giống như một cánh cổng tự động mở cho tất cả mọi người. Nó chỉ kiểm tra xem bạn có đến đúng địa chỉ nhà không, nếu đúng là nó mở cửa ngay lập tức. Nó không kiểm tra trong túi bạn có dao hay không. Nó không phân biệt được yêu cầu xem sản phẩm bình thường với một đoạn mã độc định xóa sạch cơ sở dữ liệu.

Tháng 5 vừa rồi, một cửa hàng thời trang online tìm đến chúng tôi sau khi bị hack dù đã chi hơn 3 triệu mỗi tháng để vận hành hệ thống trên các dòng VPS Việt Nam cấu hình cao. Họ dùng Nginx Proxy Manager đúng chuẩn hướng dẫn trên mạng.

Khi kiểm tra log, hacker không hề phá proxy. Họ chỉ gửi một yêu cầu POST bình thường vào form liên hệ, bên trong chứa mã SQL injection. Proxy thấy yêu cầu "đúng định dạng", liền chuyển thẳng vào máy chủ gốc. Kết quả là sụp đổ hoàn toàn. Sai lầm ở đây là bạn đang yêu cầu một nhân viên giao hàng phải kiểm tra bom trong kiện hàng – đó chưa bao giờ là công việc của anh ta.

Tại sao 90% người dùng hiểu sai về khả năng của reverse proxy

Để không còn nhầm lẫn về khái niệm bảo mật proxy, bạn cần phân biệt rõ ranh giới giữa khả năng định tuyến và khả năng bảo vệ thực sự.

Những cái proxy LÀM được

• Che giấu địa chỉ IP thật của máy chủ gốc trước internet công cộng.
• Cân bằng tải khi có hàng ngàn người truy cập cùng lúc.
• Lưu đệm (cache) dữ liệu giúp website phản hồi nhanh hơn.
• Quản lý tập trung chứng chỉ SSL cho nhiều tên miền.
• Chặn truy cập dựa trên tên miền hoặc đường dẫn đơn giản.

Những cái proxy TUYỆT ĐỐI không làm được

• Không thể phát hiện SQL injection, XSS hay các loại backdoor trong nội dung yêu cầu.
• Không có khả năng chặn bot quét lỗ hổng tự động chạy 24/7.
• Không ngăn chặn được các cuộc tấn công dò mật khẩu (brute force).
• Không có cơ sở dữ liệu để đối chiếu IP với danh sách đen độc hại toàn cầu.
• Không cảnh báo hành vi truy cập bất thường mang tính hệ thống.

Tất cả những yếu tố cốt lõi để bảo vệ hệ thống, proxy đều không có. Vấn đề không phải do công cụ này tệ, mà do người dùng đang gán cho nó trách nhiệm mà nó không được thiết kế để đảm nhận. Đây chính là gốc rễ của mọi vụ rò rỉ dữ liệu trong suốt 7 năm làm nghề mà tôi từng chứng kiến.

Proxy miễn phí: "Cái bẫy" đánh cắp dữ liệu tinh vi

Nếu bạn đang dùng proxy miễn phí để làm việc hoặc đăng nhập tài khoản công ty, hãy dừng lại ngay. Không ai cung cấp hạ tầng miễn phí chỉ vì lòng tốt. Trong 10 proxy miễn phí công khai, có đến 8 cái đang âm thầm ghi lại toàn bộ lưu lượng của bạn.

Họ thấy mật khẩu, thấy tin nhắn, thấy cả số thẻ tín dụng khi bạn thanh toán. Bạn không phải khách hàng, bạn là hàng hóa. Dữ liệu của bạn sẽ bị bán cho bên thứ ba hoặc dùng để thực hiện các cuộc tấn công mạng khác. Thậm chí, hầu hết proxy miễn phí không mã hóa, nghĩa là nhà cung cấp mạng (ISP) có thể nhìn thấy mọi thứ bạn làm một cách "trần trụi". Nếu không có ngân sách cho một hệ thống thuê VPS và proxy uy tín, tốt nhất là đừng dùng gì cả.

Thứ bạn cần bổ sung ngay sau khi dựng reverse proxy

Đừng gỡ proxy, nó vẫn rất hữu ích. Nhưng để bảo mật proxy thực sự hiệu quả, bạn phải xây dựng thêm các lớp phòng thủ đúng thứ tự sau:

1. Đặt WAF trước proxy, không phải sau

WAF (Web Application Firewall) mới là "nhân viên an ninh" thực thụ. Nó đọc từng ký tự trong yêu cầu gửi đến để đối chiếu với hàng chục ngàn quy tắc tấn công. Mọi lưu lượng phải đi qua WAF trước khi đến proxy và máy chủ gốc. Bạn có thể dùng Cloudflare hoặc tự dựng ModSecurity miễn phí, nhưng tuyệt đối không được bỏ qua bước này.

2. Đóng chặt các cổng truy cập máy chủ gốc

Sau khi kết nối VPS với proxy, hãy vào tường lửa và đóng toàn bộ cổng công cộng. Chỉ cho phép duy nhất địa chỉ IP của proxy được quyền kết nối tới máy chủ gốc. Mẹo nhỏ này chỉ mất 10 phút cấu hình nhưng giúp bạn loại bỏ 80% rủi ro bị tấn công trực tiếp vào IP thật.

3. Kiểm tra rò rỉ định kỳ

Một dòng cấu hình sai ở proxy cũng có thể làm lộ IP gốc trong tích tắc. Mỗi tuần, hãy dành 2 phút để chạy các công cụ kiểm tra rò rỉ IP, DNS và WebRTC. Đừng để sự lười biếng trả giá bằng toàn bộ công sức gây dựng hệ thống.

4. Loại bỏ cấu hình mặc định

Cài đặt mặc định của Nginx hay các phần mềm proxy thường để lộ phiên bản phần mềm và danh sách thư mục – những "miếng mồi" ngon cho hacker. Hãy tắt header lộ phiên bản, giới hạn kích thước file tải lên và khóa các phương thức HTTP không cần thiết ngay lập tức.

Bảo mật không phải là một phần mềm, đó là thói quen

Không có "viên đạn bạc" nào giúp bạn an toàn tuyệt đối chỉ bằng một cú click chuột. Bảo mật là việc hiểu rõ công cụ mình dùng làm được gì và quan trọng hơn là nó KHÔNG làm được gì. Proxy là công cụ tốt, nhưng đừng bao giờ tin rằng chỉ mình nó là đủ.

Ngay bây giờ, hãy mở tab mới và kiểm tra: Bạn đã có WAF chưa? IP gốc có đang bị lộ không? Các cổng truy cập trực tiếp đã đóng chưa? Chỉ 5 phút kiểm tra có thể cứu vãn cả một sự nghiệp của bạn. Nếu bạn cần một lộ trình bài bản hơn, hãy xem thêm tài liệu hướng dẫn cấu hình bảo mật proxy chuyên sâu của chúng tôi để bảo vệ tài sản số của mình đúng cách.