Hướng dẫn thiết lập Private Droplet và Bastion Host với Cloud Firewall

Giới thiệu về Private Droplet và Bastion Host

Trong hạ tầng đám mây, bảo mật luôn là ưu tiên hàng đầu. Một Private Droplet là máy chủ ảo không được cấp giao diện mạng công cộng (Public IP), giúp ngăn chặn hoàn toàn các cuộc tấn công trực tiếp từ Internet. Tuy nhiên, vì không có IP công cộng, bạn không thể truy cập SSH trực tiếp vào máy chủ này.

Giải pháp tiêu chuẩn cho vấn đề này là sử dụng một Bastion Host (hay còn gọi là Jump Host). Đây là một Droplet cấu hình tối thiểu có IP công cộng, nằm trong cùng mạng VPC (Virtual Private Cloud) với Private Droplet, đóng vai trò làm cầu nối SSH an toàn.

Bài viết này Bitech sẽ hướng dẫn bạn từng bước thiết lập mô hình Bastion Host và Private Droplet kết hợp với Cloud Firewall trên DigitalOcean.

Yêu cầu chuẩn bị

• Một tài khoản DigitalOcean đang hoạt động.
• SSH Key đã được thêm vào tài khoản DigitalOcean.
• Một VPC Network đã được tạo sẵn trên DigitalOcean.

Các bước thực hiện

Bước 1: Khởi tạo Bastion Host

1. Đăng nhập vào DigitalOcean Control Panel.
2. Chọn Create > Droplets.
3. Chọn OS (ví dụ: Ubuntu 24.04 LTS) và cấu hình tối thiểu (Basic Plan).
4. Tại mục VPC Network, chọn VPC mà bạn muốn sử dụng.
5. Chọn phương thức xác thực bằng SSH Key.
6. Đặt tên cho Droplet (ví dụ: bastion-host) và tiến hành khởi tạo.

Bước 2: Khởi tạo Private Droplet

1. Tiếp tục tạo một Droplet mới cho ứng dụng của bạn.
2. Chọn OS và cấu hình phù hợp với nhu cầu.
3. Tại mục VPC Network, chọn cùng VPC với Bastion Host.
4. Lưu ý quan trọng: Tắt/bỏ chọn cấp phát Public IPv4 address.
5. Chọn SSH Key và đặt tên (ví dụ: private-app-server).

Bước 3: Cấu hình Cloud Firewall

Để đảm bảo chỉ có Bastion Host mới có thể kết nối tới Private Droplet, bạn cần cấu hình Cloud Firewall:

1. Firewall cho Bastion Host:

   • Tạo Firewall mới tên bastion-firewall.
   • Inbound Rules: Cho phép dịch vụ SSH (Port 22) từ địa chỉ IP của máy cá nhân bạn.
   • Áp dụng Firewall này cho bastion-host.

2. Firewall cho Private Droplet:

   • Tạo Firewall mới tên private-droplet-firewall.
   • Inbound Rules: Cho phép dịch vụ SSH (Port 22) nhưng nguồn truy cập (Source) chỉ chọn Bastion Host.
   • Áp dụng Firewall này cho private-app-server.

Bước 4: Truy cập Private Droplet qua Bastion Host

Bạn có thể sử dụng tính năng SSH Jump Host (-J) để kết nối trực tiếp từ máy cá nhân:

ssh -J root@<BASTION_PUBLIC_IP> root@<PRIVATE_DROPLET_PRIVATE_IP>

Nếu sử dụng SSH Agent Forwarding, bạn thực hiện theo các bước sau:

1. Thêm SSH Key vào SSH Agent trên máy cục bộ:

   ssh-add ~/.ssh/id_rsa
   

2. Đăng nhập vào Bastion Host với cờ -A:

   ssh -A root@<BASTION_PUBLIC_IP>
   

3. Từ giao diện dòng lệnh của Bastion Host, SSH vào IP nội bộ của Private Droplet:

   ssh root@<PRIVATE_DROPLET_PRIVATE_IP>
   

Kết luận

Bằng cách triển khai mô hình Bastion Host kết hợp với Cloud Firewall trên DigitalOcean, bạn đã tạo ra một lớp phòng thủ vững chắc cho hạ tầng nội bộ. Private Droplet của bạn hoàn toàn ẩn mình khỏi các mối đe dọa trên Internet nhưng vẫn đảm bảo khả năng quản trị linh hoạt và an toàn.

Ngày phát hành: 01/07/2026
Nguồn: www.digitalocean.com