Vận hành VPS: Giám sát, Sao lưu, Phục hồi và Di dời máy chủ

Khoảnh khắc hào hứng nhất là khi lần đầu tiên bạn mở được trang web của mình trên Internet. Nhưng vòng đời thực sự của máy chủ mới bắt đầu: đĩa đầy, chứng chỉ hết hạn, tiến trình crash, nhà cung cấp bảo trì hạ tầng hay gói cước thay đổi.

Vận hành bền vững đòi hỏi bạn trả lời được 3 câu hỏi: Khi hỏng có biết kịp thời không? Dữ liệu có thực sự khôi phục được không? Khi đổi máy chủ có di dời trật tự được không?

1. Giám sát không phải là ngồi nhấn F5 liên tục

Hệ thống giám sát tối thiểu theo dõi 5 nhóm tín hiệu:

Giám sát tính sẵn sàng bắt buộc phải thực hiện từ bên ngoài máy chủ, vì hệ thống tự chẩn đoán nội bộ không thể thấy được sự cố mạng công cộng và DNS.

2. Phân biệt Nhật ký (Log), Chỉ số (Metric) và Cảnh báo (Alert)

• Log: ghi lại các sự kiện đơn lẻ (đăng nhập thất bại, lỗi ứng dụng);
• Metric: số liệu biến thiên theo thời gian (tỷ lệ chiếm dụng đĩa, độ trễ);
• Alert: thông báo gửi đến bạn khi vi phạm ngưỡng đặt trước (ví dụ 3 lần kiểm tra ngoài thất bại liên tiếp).

Không xem log thì không phát hiện được lỗi tiềm ẩn; nhận cảnh báo mà không có log thì không thể truy tìm nguyên nhân. Hãy bắt đầu với một vài cảnh báo quan trọng nhất để tránh bị "chai lì cảnh báo" (alert fatigue).

3. Phân biệt Snapshot, Sao lưu dữ liệu và Danh mục tái thiết lập

Snapshot nằm trên cùng tài khoản và hạ tầng của nhà cung cấp. Nếu tài khoản bị khóa hoặc trung tâm dữ liệu gặp sự cố lớn, snapshot cũng sẽ mất theo. Có snapshot trong bảng điều khiển chưa phải là chiến lược sao lưu hoàn chỉnh.

4. 5 tiêu chuẩn của một bản sao lưu hữu ích

1. Sao lưu đúng đối tượng

Xác định dữ liệu không thể thay thế: cơ sở dữ liệu, tệp tải lên của người dùng, cấu hình ứng dụng, khóa bí mật, bản ghi DNS. Các tệp nhị phân có thể cài lại từ kho chính thức thì không cần sao chép hàng ngày.

2. Tách biệt vật lý khỏi máy chủ gốc

Để file nén sao lưu ngay trên ổ đĩa của VPS đó thì khi hỏng đĩa sẽ mất tất cả. Hãy chuyển bản sao lưu sang dịch vụ lưu trữ độc lập (như Object Storage hoặc máy chủ khác).

3. Mã hóa và kiểm soát quyền truy cập

Bản sao lưu chứa toàn bộ dữ liệu nhạy cảm nhất của môi trường production. Hãy mã hóa khi truyền tải và lưu trữ, không để thông tin đăng nhập nơi lưu trữ sao lưu ở dạng văn bản thô trên máy chủ web.

4. Thiết lập chính sách lưu giữ (Retention Policy)

Chỉ giữ một bản mới nhất có thể khiến dữ liệu hỏng ghi đè lên bản sao lưu tốt; không bao giờ xóa thì sẽ tràn bộ nhớ. Hãy thiết lập chu kỳ lưu giữ theo ngày, tuần và tháng.

5. Thực hiện diễn tập phục hồi thực tế

Script sao lưu chạy xong mã 0 chỉ chứng minh nó vừa xuất ra một tệp. Bạn cần định kỳ giải nén trên môi trường thử nghiệm độc lập, kiểm tra giải mã, nạp cơ sở dữ liệu và khởi động ứng dụng.

Bản sao lưu chưa từng được thử nghiệm phục hồi chỉ là một niềm hy vọng chưa được kiểm chứng.

5. Lập danh mục tài sản trước khi di dời máy chủ

Chuyển máy chủ không phải là việc kéo thả thư mục. Hãy lập danh sách:

• Phiên bản hệ điều hành và phần mềm;
• Tên miền, bản ghi DNS và giá trị TTL;
• Cổng mở và quy tắc tường lửa;
• Các systemd service, cron job và người dùng chạy dịch vụ;
• Nơi lưu cấu hình, biến môi trường và secret;
• File dump cơ sở dữ liệu, thư mục tải lên và quyền phân quyền;
• Cấu hình Reverse Proxy và cơ chế gia hạn SSL;
• Đích gửi log, giám sát và cảnh báo;
• Ngày thanh toán và hạn hủy máy chủ cũ.

6. Quy trình di dời máy chủ an toàn

1. Tạo bản sao lưu mới nhất và đã kiểm chứng khi máy cũ đang hoạt động bình thường; 2. Khởi tạo VPS mới với hệ điều hành được hỗ trợ theo danh mục đã lập; 3. Khôi phục cấu hình và dữ liệu trên máy mới, đối chiếu người dùng, đường dẫn và quyền; 4. Kiểm tra chức năng nội bộ qua localhost và địa chỉ kiểm thử tạm thời; 5. Kiểm tra truy cập HTTPS từ ngoài, các trang chính và thao tác ghi dữ liệu; 6. Thiết lập giai đoạn chuyển giao: đặt máy cũ ở chế độ chỉ đọc hoặc chuyển tiếp yêu cầu sang máy mới; 7. Đồng bộ phần dữ liệu chênh lệch cuối cùng, sau đó trỏ bản ghi DNS sang máy mới và theo dõi log cả hai bên; 8. Giữ máy cũ hoạt động thêm một khoảng thời gian dự phòng để có thể quay xe (rollback) nếu cần; 9. Xác nhận bộ nhớ đệm DNS đã chuyển dịch xong, sao lưu và giám sát trên máy mới chạy tốt; 10. Tắt tự động gia hạn gói cước máy cũ và thu hồi các khóa SSH, API token không còn dùng.

7. Danh sách kiểm tra trước khi hủy VPS cũ

• [ ] VPS mới đã vượt qua các bài kiểm tra tải thực tế và tính năng nghiệp vụ;
• [ ] Bản sao lưu môi trường mới đã được chuyển sang nơi lưu trữ độc lập và khôi phục thử thành công;
• [ ] Thời gian TTL của DNS đã hết hạn trên toàn cầu;
• [ ] Máy cũ không còn nhận bất kỳ yêu cầu dịch vụ hợp lệ nào trong log;
• [ ] Giám sát, gia hạn SSL và cron job đã chuyển giao hoàn toàn sang máy mới;
• [ ] Đã thu hồi các khóa SSH, API token và quyền truy cập cũ;
• [ ] Đã kiểm tra kỹ mã định danh máy chủ trước khi xác nhận lệnh xóa.

8. Tổng kết

Vòng tròn khép kín của vận hành VPS bao gồm: Triển khai, Kiểm chứng, Giám sát, Sao lưu, Phục hồi và Di dời. Giám sát báo sự cố, log và metric giúp tìm nguyên nhân, sao lưu bảo vệ dữ liệu, danh mục hướng dẫn cách làm lại, và diễn tập phục hồi chứng minh mọi thứ khớp nối hoàn hảo.

Khi bạn có thể khôi phục toàn bộ dịch vụ của mình lên một máy chủ hoàn toàn trắng chỉ bằng tài liệu và bản sao lưu, bạn mới thực sự làm chủ hệ thống của mình.

Câu hỏi thường gặp (FAQ)

Tần suất sao lưu bao lâu một lần là đủ?

Phụ thuộc vào mức độ chấp nhận mất dữ liệu của bạn (RPO). Blog cập nhật mỗi tuần một bài có yêu cầu khác hoàn toàn so với cơ sở dữ liệu thương mại điện tử phát sinh đơn hàng mỗi phút.

Có sao lưu tự động rồi thì có cần giám sát không?

Có. Các tiến trình sao lưu tự động có thể âm thầm báo lỗi do hết dung lượng hoặc đổi mật khẩu. Cần giám sát thời gian thành công gần nhất và kích thước tệp.

Có thể di dời bằng cách sao chép nguyên ổ đĩa hệ thống không?

Trong cùng một nền tảng thì có thể, nhưng khác nền tảng ảo hóa hoặc nhà mạng sẽ gây lỗi driver và mạng. Tốt nhất là sao lưu ở cấp độ dữ liệu và giữ tài liệu tái thiết lập.

Tài liệu tham khảo

• CISA: Hướng dẫn StopRansomware
• NIST SP 800-34 Rev. 1: Hướng dẫn lập kế hoạch ứng phó sự cố cho hệ thống thông tin
• Ubuntu Server Documentation: Sao lưu
• Let’s Encrypt: Hướng dẫn tích hợp