Danh Mục Gia Cố Bảo Mật FragNode: Không Phơi Bày Cổng Quản Trị Ra Internet

1. Khóa Chặt Giao Diện Lắng Nghe Của AMP Instance Manager + srcds_run Về Mạng Nội Bộ

Ánh xạ cổng container trực tiếp ra 0.0.0.0 sẽ vượt qua tường lửa UFW mặc định, vô tình phơi bày giao diện nội bộ của AMP Instance Manager + srcds_run trước các công cụ quét tự động toàn cầu.

Hãy cố định địa chỉ lắng nghe về 127.0.0.1 hoặc dải mạng riêng WireGuard trong GameUserSettings.ini, chỉ mở duy nhất cổng 443 chuẩn TLS 1.3 qua tầng proxy ngược.

Thói quen mở cổng container bằng cờ -p 8080:8080 sẽ tự động ghi đè bảng nat trong iptables và đi vòng qua tường lửa UFW, phơi bày trực diện cổng nội bộ của AMP Instance Manager + srcds_run cho bot dò quét chỉ sau 90 giây bật máy.

# Rà Soát Cổng Mở Công Khai, Khóa UFW & Gia Cố SSH Cho FragNode
# Verify zero internal AMP Instance Manager + srcds_run sockets leak on 0.0.0.0
ss -tulpn | grep -v '127.0.0.1'
sudo ufw default deny incoming && sudo ufw allow 443/tcp && sudo ufw allow in on wg0
sudo sshd -T | grep -E 'passwordauthentication|permitrootlogin|pubkeyauthentication'

2. Xác Thực Khóa Ed25519, Chặn IP Tự Động & Lọc Tấn Công DDoS

Tắt hoàn toàn đăng nhập mật khẩu SSH truyền thống và cài đặt bộ lọc CrowdSec siêu nhẹ chỉ tốn dưới 95MB RAM ngay cả trên gói 8GB khởi điểm.

Hạ tầng mạng của Hostinger Game Panel EPYC (299.000đ/tháng) và UltaHost Dedicated EPYC VDS (940.000đ/tháng) đều tích hợp lớp lọc DDoS tầng biên, bảo vệ trọn vẹn hiệu năng cho 64 người chơi đồng thời.

Luôn chỉ định rõ địa chỉ 127.0.0.1:PORT hoặc giao diện mạng riêng wg0 trong GameUserSettings.ini, cài đặt bộ chặn IP tự động CrowdSec nhẹ dưới 90MB RAM kết hợp lớp lọc DDoS tầng biên của Hostinger Game Panel EPYC và UltaHost Dedicated EPYC VDS.

3. Phân Quyền Tiến Trình Phi Quản Trị & Quản Lý Biến Bí Mật

Khởi chạy AMP Instance Manager + srcds_run dưới tài khoản hệ thống giới hạn quyền, khóa chế độ chỉ đọc cho thư mục gốc và chỉ cấp quyền ghi đúng phân vùng World-save NVMe atomic fsync.

4. Nguyên Tắc Bảo Vệ Sống Còn Quanh Tệp GameUserSettings.ini

Vòng lặp vật lý của game phụ thuộc chặt vào tốc độ đơn nhân: xung nhịp thấp 2.2GHz cộng bộ dọn rác mặc định của Java gây khựng 420ms mỗi nhịp, lại thêm bão truy vấn UDP làm rớt gói.

Tự nắm quyền root một con Hostinger Game Panel 16GB ($11.99/tháng) cài sẵn AMP hoặc UltaHost VDS 32GB ($37.50/tháng) cho phép tinh chỉnh bộ đệm UDP, nạp sẵn chunk trên NVMe mà không tốn thuế slot.

Xoay vòng khóa kết nối định kỳ mỗi quý và tuyệt đối tách rời tệp mật khẩu khỏi kho lưu trữ cấu hình GameUserSettings.ini.

5. Quy Trình Rà Soát An Toàn Trước Khi Mở Lưu Lượng Thật

Hãy hoàn tất trọn vẹn 4 bước nghiệm thu dưới đây trên máy chủ 16GB (Hostinger Game Panel EPYC hoặc UltaHost Dedicated EPYC VDS) trước khi đổ người dùng thật vào FragNode:

• Tường lửa web thông thường bất lực trước các đòn dội gói UDP nhắm vào cổng truy vấn phòng chơi; các cụm FiveM hay Rust công khai bắt buộc phải có lớp lọc DDoS tầng giao thức game chuyên dụng.
• Các máy chủ nhiều nhân Xeon đời cũ xung 2.1GHz là cái bẫy lớn nhất khi thuê server game, vì luồng tính toán chính của Minecraft và CS2 cần xung đơn nhân cao chứ không chia đều ra 16 nhân.
• Dùng plugin Chunky tạo sẵn vùng bản đồ vào ban đêm để cuối tuần anh em đi mở đường chỉ đọc từ ổ NVMe thay vì vắt kiệt nhân CPU.
• Nâng giới hạn bộ đệm UDP rmem_max và wmem_max lên 26214400 trong sysctl để xóa sổ hiện tượng khựng hình khi đông người giao tranh.

6. Hỏi Đáp Tối Ưu Tệp GameUserSettings.ini & Chọn Nhà Mạng

Cấu hình VPS nào tối ưu nhất cho chỉ số Thu hẹp bề mặt tấn công (0 cổng nội bộ mở công khai) ở quy mô 64 người chơi đồng thời trên FragNode?

Phương án chuẩn xác nhất là khởi tạo node KVM 16GB DDR5 (Hostinger Game Panel EPYC giá 299.000đ/tháng) đã khóa tham số NetServerMaxTickRate=128 trong GameUserSettings.ini.

Khi tải thực tế tiệm cận 128 người chơi đồng thời, hãy nâng lên 32GB tại UltaHost Dedicated EPYC VDS (940.000đ/tháng).

Làm sao kiểm tra chắc chắn phân vùng World-save NVMe atomic fsync không làm nghẽn AMP Instance Manager + srcds_run (15.6 ms tick)?

Kiểm chứng trực tiếp qua công cụ fio ghi 4K và theo dõi cột w_await trên iostat -xz; ổ NVMe Gen4 chuẩn sẽ đạt 115,000 IOPS với độ trễ ghi dưới 2,5ms, bảo toàn mục tiêu 15.6 ms tick cho FragNode.

Khi nào cụm server FiveM hoặc Rust công khai cần nâng từ VPS thường lên UltaHost VDS?

Ngay khi phòng chơi mở công khai trên 40 người kèm nhiều script OneSync hoặc hay bị đối thủ phá bằng bão gói UDP, chúng tôi khuyến nghị UltaHost VDS 32GB ($37.50/tháng) có RAM vật lý riêng và lọc DDoS trên 150Gbps.

Sau này chuyển máy chủ cho AMP Instance Manager + srcds_run có sợ mất dữ liệu hay phải cấu hình lại từ đầu không?

Hoàn toàn không. Khi đã quản lý tệp GameUserSettings.ini trên Git kết hợp sao lưu mã hóa ZSTD cho World-save NVMe atomic fsync, bạn có thể đồng bộ qua kênh riêng WireGuard và đổi DNS sang nhà mạng mới chỉ trong chưa đầy 60 giây.