Sao lưu ruleset trước khi chỉnh firewall chống DDoS
Luật mới có thể làm mất đường quản trị dù chỉ nhằm bảo vệ port game. Bản sao cần đủ để khôi phục đúng trạng thái đang chạy, không chỉ vài dòng vừa sửa.
Đọc hướng dẫnCHỦ ĐỀ · 20 BÀI
Tường lửa & giới hạn
Cấu hình giới hạn có thể tác động lên cả người chơi hợp lệ. Các bài này giải thích cách quan sát counter, phạm vi luật và đường quay lui.
Phân biệt INPUT và FORWARD khi bảo vệ proxy
Gói đến tiến trình trên host và gói được định tuyến qua host có thể đi qua các chain khác nhau. Đặt luật đúng cú pháp nhưng sai đường gói sẽ không có tác dụng.
Đọc hướng dẫnDùng counter để xác minh luật firewall thực sự khớp
Luật xuất hiện trong cấu hình chưa chứng minh nó đang xử lý lưu lượng. Counter giúp nối thiết kế với hành vi thật, miễn là biết thời điểm bắt đầu đo.
Đọc hướng dẫnThứ tự luật accept và drop ảnh hưởng bảo vệ thế nào?
Một luật accept rộng đặt trước có thể khiến nhánh lọc phía sau không được xét trong cùng chain. Nhiều base chain và hook lại cần được xem xét toàn bộ.
Đọc hướng dẫnTránh xung đột giữa nftables và iptables trên cùng host
Các công cụ có thể quản lý backend khác nhau hoặc các phần luật khác nhau. Sửa một nơi rồi nhìn nơi khác dễ dẫn đến kết luận sai rằng luật đã biến mất.
Đọc hướng dẫnĐặt tên table riêng để quản lý luật game an toàn
Một nhóm luật có tên và phạm vi rõ giúp cập nhật dễ kiểm tra hơn. Điều này đặc biệt hữu ích khi host còn chạy website, cơ sở dữ liệu hoặc container.
Đọc hướng dẫnKiểm tra cú pháp nftables trước khi áp dụng
Sai cú pháp nên được phát hiện trước khi tác động lên lưu lượng. Kiểm tra cấu hình không thay thế thử hành vi nhưng giúp loại bỏ một lớp lỗi triển khai.
Đọc hướng dẫnBurst trong rate limit cần hiểu như thế nào?
Lưu lượng hợp lệ thường không đều từng mili giây. Khoảng đệm burst cho phép một đợt ngắn đi qua, nhưng nếu quá lớn có thể giảm tác dụng bảo vệ.
Đọc hướng dẫnThiết kế set động có timeout và giới hạn dung lượng
Set động lưu thông tin theo nguồn cũng tiêu thụ bộ nhớ. Khi số nguồn tăng nhanh, chính cấu trúc bảo vệ có thể trở thành tài nguyên cần giới hạn.
Đọc hướng dẫnAllowlist health check mà không tạo lỗ hổng rộng
Health check cần đi qua bộ lọc, nhưng ngoại lệ quá rộng có thể bỏ qua nhiều kiểm soát hơn dự kiến. Quyền truy cập nên gắn với chức năng kiểm tra cụ thể.
Đọc hướng dẫnĐặt giới hạn log ở luật drop
Log chi tiết giúp điều tra nhưng ghi theo từng gói có thể tiêu CPU và đầy đĩa. Bộ đếm tổng hợp nên là dữ liệu chính trong đợt lưu lượng lớn.
Đọc hướng dẫnGiữ IPv6 trong phạm vi kiểm tra firewall
Nếu dịch vụ có IPv6 công khai, bảo vệ chỉ cho IPv4 có thể để lại đường truy cập khác. Ngược lại, chặn IPv6 thiếu suy nghĩ có thể làm một số client kết nối lỗi.
Đọc hướng dẫnKhông chặn ICMP theo thói quen khi bảo vệ game
ICMP có nhiều chức năng chẩn đoán và thông báo mạng. Chặn toàn bộ có thể làm việc xác định lỗi và phát hiện vấn đề MTU khó hơn.
Đọc hướng dẫnTheo dõi conntrack trước khi nâng giới hạn
Bảng conntrack có thể cạn khi nhiều luồng được theo dõi. Nâng trần cần cân nhắc bộ nhớ và nguyên nhân tạo luồng, thay vì chỉ sửa con số tối đa.
Đọc hướng dẫnThay nf_conntrack_tcp_loose cần xem phạm vi toàn host
Một tham số toàn host có thể ảnh hưởng nhiều dịch vụ ngoài cổng game. Đặc biệt với triển khai SYNPROXY hoặc đường mạng bất đối xứng, cần thử kỹ hành vi phiên.
Đọc hướng dẫnReload firewall có làm mất kết nối đang chơi không?
Hành vi khi reload phụ thuộc cách cập nhật luật và trạng thái liên quan. Một script xóa rồi tạo lại có thể khác một lần cập nhật có kiểm soát.
Đọc hướng dẫnChuẩn bị đường quản trị trước khi siết firewall
Một luật áp dụng nhầm có thể làm mất SSH đúng lúc cần quay lui. Đường console của nhà cung cấp hoặc kênh quản trị riêng phải sẵn sàng trước thay đổi.
Đọc hướng dẫnKiểm tra luật sau reboot thay vì chỉ sau reload
Luật đang chạy có thể chưa được lưu vào nguồn cấu hình khởi động. Máy chủ reboot rồi mất bảo vệ là lỗi vận hành có thể phòng tránh bằng kiểm thử.
Đọc hướng dẫnĐánh giá chặn theo quốc gia cho cộng đồng game
Chặn theo vị trí IP có thể giảm một phần truy cập không mong muốn nhưng dễ ảnh hưởng người chơi đi nước ngoài, dùng VPN hoặc mạng được định vị sai. Đây là quyết định sản phẩm…
Đọc hướng dẫnĐặt thời hạn cho danh sách chặn tạm thời
Địa chỉ công khai có thể đổi chủ hoặc được nhiều người dùng chung. Danh sách cấm không có thời hạn dễ tích lũy chặn nhầm sau sự cố.
Đọc hướng dẫn