Hướng Dẫn Thiết Lập Cloudflare Zero Trust: Truy Cập Server Nội Bộ An Toàn Không Cần VPN

🔐 Tại Sao Cần Cloudflare Zero Trust?

Hầu hết các developer và sysadmin đều truy cập server bằng cách mở port SSH (22) ra internet. Đây là cách đơn giản nhất — nhưng cũng là nguy hiểm nhất.

Mô hình bảo mật truyền thống hoạt động theo nguyên tắc “tin tưởng mạng nội bộ” — nếu bạn ở trong VPN, bạn được tin tưởng. Nhưng mô hình này có nhiều lỗ hổng:

• VPN credentials bị lộ → kẻ tấn công có full access vào mạng nội bộ
• Lateral movement → từ một máy bị compromise, di chuyển sang các máy khác
• VPN server là single point of failure → nếu VPN down, mọi người mất access
• Performance kém → tất cả traffic phải đi qua VPN server trung tâm

Zero Trust đảo ngược hoàn toàn nguyên tắc này: “Không tin tưởng ai, xác thực mọi thứ”. Mỗi kết nối được xác thực riêng biệt, không phụ thuộc vào vị trí mạng.

🏗️ Kiến Trúc Tổng Quan

Trước: Kiến Trúc Truyền Thống (VPN / Port Mở)

Internet ──→ [Port 22 MỞ] ──→ Server
             ⚠️ Bị quét port       ⚠️ Brute force
             ⚠️ IP bị lộ           ⚠️ DDoS trực tiếp

Hoặc:

Internet ──→ [VPN Server] ──→ Mạng nội bộ ──→ Server
             ⚠️ Single point       ⚠️ Lateral movement
             ⚠️ Performance kém    ⚠️ Credential leak

Sau: Kiến Trúc Zero Trust (Cloudflare Tunnel)

PC (WARP) ──→ Cloudflare Edge ──→ Encrypted Tunnel ──→ Server
  🔒 Mã hóa      🛡️ WAF/DDoS       🔒 Outbound only     🔒 Không port mở
  ✅ Xác thực     ✅ Global CDN      ✅ IP ẩn              ✅ Private IP

So Sánh Chi Tiết: VPN vs Cloudflare Zero Trust

📋 Yêu Cầu Trước Khi Bắt Đầu

1 Tạo Cloudflare Tunnel Trên Server

Cloudflare Tunnel là “cầu nối” mã hóa giữa server của bạn và mạng lưới Cloudflare. Nó chạy dưới dạng một daemon (cloudflared) trên server, tạo kết nối outbound — không cần mở port inbound.

Tạo Tunnel Trên Dashboard

1. Đăng nhập Cloudflare Zero Trust Dashboard tại https://one.dash.cloudflare.com
2. Vào Networks → Connectors (hoặc Tunnels)
3. Click + Create a tunnel
4. Chọn connector type: Cloudflared
5. Đặt tên tunnel mô tả (ví dụ: prod-server, dev-server)
6. Dashboard sẽ cung cấp token và lệnh cài đặt

Cài Đặt Bằng Docker (Khuyến Nghị)

Nếu server của bạn đã chạy Docker, đây là cách đơn giản nhất:

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    container_name: cloudflared-tunnel
    restart: unless-stopped
    command: tunnel run --token YOUR_TUNNEL_TOKEN
    network_mode: host

Chạy:

docker compose up -d
docker logs cloudflared-tunnel
# Output: INF Connection established connIndex=0

Cài Đặt Native (Systemd) — Cho Server Không Có Docker

# Tải và cài đặt cloudflared
curl -L https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb \
  -o cloudflared.deb
sudo dpkg -i cloudflared.deb

# Cài đặt service với token từ dashboard
sudo cloudflared service install YOUR_TUNNEL_TOKEN

# Kiểm tra service
sudo systemctl status cloudflared
# Output: Active: active (running)

Windows (Cho PC/Homelab)

# Tải cloudflared từ GitHub releases
# Hoặc dùng lệnh cài đặt service từ dashboard:
cloudflared.exe service install YOUR_TUNNEL_TOKEN

2 Gán Private IP Cho VPS

Đây là bước quan trọng mà nhiều hướng dẫn bỏ qua. VPS trên cloud (DigitalOcean, Vultr, Linode, v.v.) thường chỉ có public IP — không có private network interface.

Để routing qua Cloudflare Tunnel hoạt động, ta cần tạo virtual private IP trên mỗi server:

# Gán private IP cho server (chọn dải 10.100.0.x)
sudo ip addr add 10.100.0.1/32 dev lo

# Kiểm tra
ip addr show lo | grep 10.100
# Output: inet 10.100.0.1/32 scope global lo

Cấu Hình Persistent (Tồn Tại Sau Reboot)

Trên Ubuntu/Debian sử dụng Netplan:

network:
  version: 2
  ethernets:
    lo:
      addresses:
        - 10.100.0.1/32

sudo netplan apply
# Verify
ip addr show lo | grep 10.100

Quy Hoạch IP Đề Xuất

Lập kế hoạch IP từ đầu giúp bạn mở rộng dễ dàng sau này:

3 Cấu Hình CIDR Routes Trên Dashboard

Bước này cho Cloudflare biết: “Khi ai đó truy cập IP 10.100.0.1, hãy gửi traffic đến tunnel prod-server”.

1. Vào Networks → Tunnels trên Cloudflare dashboard
2. Click vào tunnel cần cấu hình (ví dụ: prod-server)
3. Chọn tab CIDR routes
4. Click + Add CIDR route
5. Nhập CIDR: 10.100.0.1/32
6. Save

Lặp lại cho mỗi server:

4 Thiết Lập Device Enrollment

Mặc định, Cloudflare Zero Trust chặn tất cả device enrollment. Bạn cần tạo policy cho phép device của mình đăng ký vào hệ thống.

Tạo Device Enrollment Policy

1. Vào Team & Resources → Devices
2. Click tab Management
3. Tìm section Device enrollment permissions
4. Click Manage hoặc Add a rule
5. Click + Create new policy
6. Cấu hình:
   • Policy name: Allow my devices
   • Action: Allow
   • Selector: Emails
   • Value: [email protected]
7. Save

5 Cài Đặt WARP Client Trên PC

WARP client biến PC của bạn thành một phần của mạng Zero Trust. Nó tạo một encrypted tunnel từ PC đến Cloudflare, cho phép bạn truy cập private IP của các server.

Phân Biệt: cloudflared vs WARP Client

Cả hai có thể chạy song song trên cùng một máy mà không xung đột.

Cài Đặt Trên Windows

1. Tải Cloudflare WARP từ https://1.1.1.1/
2. Cài đặt và mở ứng dụng
3. Click vào icon WARP ở system tray → Settings (⚙️)
4. Vào tab Account
5. Click Login to Cloudflare Zero Trust
6. Nhập Team name (tên tổ chức bạn đã tạo, ví dụ: tonytechlab)
7. Xác thực qua email OTP hoặc SSO
8. WARP sẽ hiển thị: “Zero Trust — Connected”

6 Cấu Hình Split Tunnel

Split Tunnel quyết định traffic nào đi qua Cloudflare và traffic nào đi trực tiếp ra internet. Đây là cấu hình then chốt để private IP routing hoạt động.

Cấu Hình Trên Dashboard

1. Vào Team & Resources → Devices → Device profiles
2. Click vào profile Default → Configure
3. Cuộn xuống tìm section Split Tunnels
4. Chọn mode: Include IPs and domains
5. Click Manage
6. Thêm entry:
   • Selector: IP Address
   • Value: 10.100.0.0/24
   • Description: Internal Tunnel Subnet
7. Save destination

7 Bật Proxy Cho ICMP/TCP/UDP

Mặc định, Cloudflare Gateway chỉ proxy TCP. Để ping và các diagnostic tools hoạt động, cần bật thêm ICMP và UDP.

1. Vào Traffic policies → Traffic settings
2. Chọn tab Proxy and inspection
3. Bật “Allow Secure Web Gateway to proxy traffic”
4. Đảm bảo check:
   • ☑️ TCP (required — luôn bật)
   • ☑️ UDP (recommended — cho DNS, VoIP)
   • ☑️ ICMP (recommended — cho ping, traceroute)

8 Kiểm Tra & Xác Nhận Kết Nối

Sau khi hoàn thành tất cả các bước trên, toggle WARP off rồi on trên PC để reload cấu hình mới.

Test Ping

C:\> ping 10.100.0.1

Pinging 10.100.0.1 with 32 bytes of data:
Reply from 10.100.0.1: bytes=32 time=33ms TTL=253
Reply from 10.100.0.1: bytes=32 time=34ms TTL=253
Reply from 10.100.0.1: bytes=32 time=33ms TTL=253

Ping statistics for 10.100.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss)
    Average = 33ms

Test SSH

# SSH đến Production server
ssh [email protected]

# SSH đến Development server
ssh [email protected]

# Test HTTP service (nếu có)
curl http://10.100.0.1:8088

🛡️ Bảo Mật Nâng Cao

Sau khi xác nhận mọi thứ hoạt động ổn định qua tunnel, hãy tăng cường bảo mật:

Đóng Port SSH Trên Firewall

Vì SSH đã hoạt động qua private IP (tunnel), bạn không cần mở port 22 ra internet nữa:

# Chỉ cho phép SSH từ tunnel subnet
sudo ufw default deny incoming
sudo ufw allow from 10.100.0.0/24 to any port 22
sudo ufw allow 80/tcp    # Nếu cần web traffic
sudo ufw allow 443/tcp   # Nếu cần HTTPS
sudo ufw enable

Sơ Đồ Mạng Hoàn Chỉnh

                    ┌──── Public Internet ────┐
                    │   tonytechlab.com        │
                    │   (chỉ web traffic)      │
                    └──────────────────────────┘
                               │
                          Cloudflare CDN/WAF
                          (DDoS Protection)
                               │
  ┌─────────── Cloudflare Tunnel Network (Encrypted) ──────────────┐
  │                                                                 │
  │   🖥️ PC (WARP)      🖧 Prod Server      🖧 Dev Server          │
  │   10.100.0.x    ←→   10.100.0.1    ←→   10.100.0.2            │
  │                                                                 │
  │   SSH ✅  HTTP ✅  Ping ✅  — tất cả qua encrypted tunnel      │
  │   Port 22 đóng │  Port 22 đóng │  Không port nào mở ra internet│
  └─────────────────────────────────────────────────────────────────┘

🔧 Xử Lý Sự Cố Thường Gặp