Đăng nhập VPS lần đầu: Bảng điều khiển, Web Console, SSH và Vân tay máy chủ

Sau khi mua VPS, nhiều người mới băn khoăn: máy chủ ở đâu? Tại sao không có màn hình desktop? Điền địa chỉ IP, tài khoản, mật khẩu và cổng do nhà cung cấp gửi vào đâu?

Máy chủ Linux VPS thông thường là "máy chủ không đầu" (headless) — không gắn màn hình hay bàn phím vật lý. Bạn quản trị nó từ xa qua SSH; nếu cấu hình SSH hoặc mạng gặp trục trặc, bạn vào Web Console trong trang quản lý của nhà cung cấp để cứu hộ.

1. Phân biệt rõ ba kênh truy cập

Có thể hình dung đơn giản:

Bảng điều khiển nhà cung cấp = Ban quản lý tòa nhà
Web Console                  = Chìa khóa cơ dự phòng khẩn cấp
SSH                          = Cửa chính ra vào hàng ngày

Nếu tài khoản nhà cung cấp bị xâm nhập, kẻ tấn công có thể cài lại máy, tắt nguồn hoặc mở console đặc quyền. Do đó, bảo vệ tài khoản nhà cung cấp quan trọng hơn cả mật khẩu SSH riêng lẻ. Hãy bật xác thực hai yếu tố (MFA) ngay sau khi mua và lưu mã khôi phục an toàn.

2. Thông tin cần thiết cho lần kết nối đầu tiên

Bạn thường cần:

• Địa chỉ IP công cộng hoặc tên miền máy chủ;
• Cổng kết nối SSH (mặc định là 22, kiểm tra thông tin nhà cung cấp);
• Tên đăng nhập (tùy bản phân phối, ví dụ root, ubuntu);
• Mật khẩu hoặc khóa riêng tư SSH ban đầu;
• Vân tay khóa máy chủ hiển thị trong trang quản trị.

Cú pháp lệnh mẫu sử dụng địa chỉ tài liệu chuẩn:

ssh admin@203.0.113.10 -p 22

Cấu trúc câu lệnh:

3. Vân tay hiển thị lần đầu không phải là hình thức

Khi kết nối đến máy chủ mới lần đầu, SSH sẽ hiển thị vân tay khóa máy chủ (host key fingerprint) và hỏi bạn có muốn tiếp tục hay không. Khóa máy chủ giúp xác nhận xem hệ thống đang phản hồi có đúng là máy chủ bạn dự định kết nối hay không, chống lại tấn công nghe lén xen giữa (Man-in-the-Middle).

Cách làm an toàn nhất không phải là gõ ngay yes, mà là lấy vân tay chuẩn từ bảng điều khiển nhà cung cấp và đối chiếu với chuỗi hiển thị trên terminal. Chỉ chấp nhận khi chúng hoàn toàn trùng khớp.

Tính năng `StrictHostKeyChecking` của OpenSSH sẽ cảnh báo với các máy chủ lạ và từ chối kết nối nếu khóa của máy chủ đã lưu trước đó bị thay đổi bất ngờ.

Nếu gặp cảnh báo khóa máy chủ bị thay đổi, đừng vội vàng xóa file known_hosts. Hãy tự hỏi:

• Bạn vừa cài lại hệ điều hành phải không?
• Nhà cung cấp có chuyển máy ảo sang node khác không?
• Địa chỉ IP có bị cấp phát lại không?
• Vân tay mới có khớp với thông tin trong bảng điều khiển không?

Chỉ cập nhật bản ghi cục bộ sau khi xác nhận lý do thay đổi là chính đáng.

4. Kiểm tra ở chế độ chỉ đọc ngay sau khi đăng nhập

Khi vừa đăng nhập thành công, đừng vội chạy các script cài đặt tự động. Hãy kiểm tra hiện trạng hệ thống:

whoami
hostnamectl
cat /etc/os-release
uname -a
ip address

Các lệnh này xác nhận: bạn là người dùng nào, tên máy chủ là gì, bản phân phối OS và nhân kernel nào đang chạy, có những giao diện mạng nào.

Sau đó, ghi chép lại hồ sơ tài sản cơ bản:

• Tên nhà cung cấp và định danh máy chủ;
• Phiên bản OS và kiến trúc CPU;
• IP công cộng, tài khoản SSH và cổng;
• Đường dẫn Web Console cứu hộ;
• Ngày gia hạn gói cước;
• Vân tay khóa máy chủ hiện tại;
• Mục đích sử dụng duy nhất của máy này.

Không lưu mật khẩu, khóa riêng tư hay mã khôi phục trong các ghi chú văn bản không mã hóa hoặc kho lưu trữ Git công khai.

5. Đừng vội đổi cổng SSH hay tắt đăng nhập bằng mật khẩu

Đổi cổng không thể thay thế cho việc xác thực bằng khóa, cập nhật bảo mật và phân quyền. Đổi cổng, tường lửa và cấu hình SSH cùng lúc rất dễ khiến bạn tự khóa mình ở bên ngoài.

Quy trình thao tác an toàn:

1. Xác nhận Web Console cứu hộ hoạt động tốt; 2. Giữ nguyên phiên kết nối SSH hiện tại đang mở; 3. Tạo tài khoản quản trị thông thường và cài đặt khóa SSH; 4. Mở cửa sổ terminal thứ hai để thử đăng nhập bằng khóa mới; 5. Mở các cổng tường lửa cần thiết trước; 6. Kiểm tra cú pháp cấu hình SSH; 7. Sau khi phiên mới đăng nhập thành công, mới từng bước thu hẹp các phương thức cũ.

Nếu bất kỳ bước nào thất bại, hãy quay lại phiên kết nối cũ để sửa lỗi.

6. Khắc phục sự cố khi không kết nối được SSH

Phân biệt các lỗi kết nối phổ biến:

• Connection timed out: Sự cố đường truyền, tường lửa chặn hoặc IP sai;
• Connection refused: Đến được máy chủ nhưng cổng đó không có dịch vụ nào đón nhận kết nối;
• Permission denied: Đã kết nối được đến SSH daemon nhưng xác thực thông tin đăng nhập thất bại.

7. Tổng kết

Mục tiêu của lần đăng nhập đầu tiên không phải là "cài đặt phần mềm nhanh nhất", mà là thiết lập kênh quản trị đáng tin cậy: tài khoản nhà cung cấp có MFA, Web Console sẵn sàng cứu hộ, vân tay máy chủ SSH đã được đối chiếu, và hiểu rõ môi trường máy chủ.

Câu hỏi thường gặp (FAQ)

Người dùng Mac có cần cài thêm phần mềm SSH không?

Không cần. Terminal mặc định của macOS đã tích hợp sẵn OpenSSH client. Windows hiện đại cũng có sẵn OpenSSH qua Windows Terminal.

Có thể dùng Web Console thay cho SSH hàng ngày không?

Không nên. Web Console dành cho cứu hộ khẩn cấp; nó có độ trễ cao, khó thao tác sao chép văn bản và không lưu nhật ký phiên làm việc thuận tiện.

Đổi cổng 22 có giúp an toàn tuyệt đối không?

Không. Nó chỉ giảm bớt các bản ghi quét tự động trong log, không thể thay thế cho xác thực bằng khóa, cập nhật bản vá, phân quyền tối thiểu và kiểm tra tường lửa.

Tài liệu tham khảo

• MeowVPS: Hướng dẫn VPS cho người mới
• OpenSSH: Tài liệu ssh_config
• OpenSSH: Tài liệu sshd_config
• Ubuntu Server: OpenSSH Server
• RFC 5737: Dải địa chỉ IPv4 dành riêng cho tài liệu