cách cài đặt và bảo mật Webmin trên Ubuntu 24.04

Những gì bạn sẽ xây dựng

Webmin là một web control panel cung cấp giao diện trình duyệt cho toàn bộ Linux server — bao gồm users, packages, cron jobs, firewall, Apache, BIND, disks và hàng trăm module khác — có thể truy cập qua HTTPS trên port 10000. Quá trình cài đặt chỉ gồm ba câu lệnh và mất khoảng một phút. Lý do hướng dẫn này dành phần lớn nội dung cho nửa sau là vì Webmin đăng nhập với quyền root và có thể làm mọi thứ mà root có thể làm. Một Webmin mở hoàn toàn hoặc không có xác thực không phải là "một rủi ro cần quản lý"; đó là một sự xâm nhập server toàn diện với một trang đăng nhập nằm ngay phía trước. Vì vậy, hãy cài đặt nó trong mười phút, sau đó dành thời gian còn lại để đảm bảo chỉ mình bạn có thể truy cập nó.

Điều kiện tiên quyết và một cảnh báo chân thành

Một VPS Ubuntu 24.04 KVM mới với quyền root hoặc user có sudo. Webmin chạy trên Perl và rất nhẹ — 1 GB RAM là quá đủ và nó tiêu tốn chưa đến 1/4 GB khi ở trạng thái idle. Nó lắng nghe trên TCP 10000 thông qua web server riêng được tích hợp sẵn (miniserv.pl), không phải Apache hay nginx, nên bạn không cần cài đặt gì khác trước đó.

Có hai điều cần quyết định trước khi bắt đầu. Thứ nhất, tài khoản bạn dùng để đăng nhập: Webmin xác thực qua các tài khoản Unix thông qua PAM, vì vậy bạn sẽ đăng nhập với tư cách là root hoặc một user trong group sudo bằng cách sử dụng Unix password của tài khoản đó. Các cloud images thường chỉ dùng key và không đặt password cho user mặc định, mà Webmin thì không thể đăng nhập vào một tài khoản không có password. Hãy đặt password bằng sudo passwd youruser trước, nếu không việc đăng nhập sẽ thất bại bất kể bạn nhập gì.

Thứ hai, và đây là cảnh báo: đừng chỉ mở port 10000 ra internet rồi bỏ mặc nó. Hãy quyết định ngay bây giờ xem bạn sẽ truy cập Webmin qua một SSH tunnel (khuyên dùng, không lộ gì ra ngoài) hay giới hạn nó ở IP của riêng bạn. Quyết định duy nhất này sẽ định hình mọi bước dưới đây, vì vậy hãy đọc cả hai phương án trước khi chạm vào firewall.

Cài đặt Webmin từ repository chính thức

Webmin cung cấp một apt repository đã được ký số. Script cài đặt sẽ thêm repo và GPG signing key của nó để các lần chạy apt upgrade sau này sẽ tải Webmin giống như bất kỳ package nào khác, và bạn sẽ nhận được các bản cập nhật đã xác thực thay vì một file .deb tải về không bao giờ tự patch chính nó.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

Script sẽ in ra những gì nó sắp thực hiện và hỏi Setup repository? (y/N) — hãy trả lời y. Khi hoàn tất, hãy cài đặt package. Flag --install-recommends sẽ tải các dependency Perl và SSL phổ biến để các module riêng lẻ không bị lỗi thiếu thư viện (missing-library) sau này.

sudo apt-get install --install-recommends webmin

Webmin đã từng đổi tên script này — các hướng dẫn cũ có thể nhắc đến setup-repos.sh — nên nếu URL gốc trả về lỗi 404, hãy lấy dòng lệnh một dòng (one-liner) hiện tại trực tiếp từ webmin.com/download thay vì cố định một cái tên cũ. Một bản cài đặt chuẩn xác sẽ kết thúc bằng một dòng như Webmin install complete. You can now login to https://your-host:10000/ as root. Service đã được enable và đang chạy, config nằm tại /etc/webmin, các request được log vào /var/webmin/miniserv.log, và các lần đăng nhập thất bại sẽ được gửi đến syslog — trên Ubuntu 24.04, đó là systemd journal.

Hãy xác nhận nó thực sự đang chạy và đang lắng nghe trước khi mở trình duyệt:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

Bạn cần thấy trạng thái active (running) và một dòng hiển thị miniserv.pl đang bound vào 0.0.0.0:10000 — địa chỉ này sẽ đổi thành 127.0.0.1:10000 nếu bạn dùng phương án tunnel ở dưới. Nếu ss không hiển thị gì trên port 10000, Webmin chưa khởi động; hãy đọc journalctl -u webmin -n 50 trước khi làm tiếp.

Đăng nhập lần đầu, và cảnh báo chứng chỉ

Hãy trỏ trình duyệt của bạn đến https://YOUR_SERVER_IP:10000. Hai điều sẽ xảy ra trên một máy mới.

Nếu ufw đang hoạt động — Ubuntu image mặc định không bật nó, nhưng nhiều nhà cung cấp đã bật sẵn — trang web sẽ không tải được, điều này được đề cập trong các lỗi dưới đây. Nếu port đã mở, trình duyệt sẽ chặn toàn bộ trang: "Your connection is not private" với mã NET::ERR_CERT_AUTHORITY_INVALID trên Chrome, hoặc SEC_ERROR_UNKNOWN_ISSUER / "Warning: Potential Security Risk Ahead" trên Firefox. Đây là điều bình thường và không phải là bị tấn công. Webmin đã tạo một self-signed certificate khi cài đặt (/etc/webmin/miniserv.pem), và vì không có certificate authority nào xác nhận nó, trình duyệt sẽ từ chối tin tưởng nó một cách âm thầm. Kết nối vẫn được mã hóa; nó chỉ là không được xác thực bởi bên thứ ba. Hãy nhấn tiếp tục (Advanced, rồi Proceed) để tạm thời — chúng ta sẽ thay thế certificate này một cách chuẩn chỉnh ở phần dưới.

Đăng nhập bằng root hoặc user sudo của bạn cùng với Unix password, và bạn sẽ vào dashboard System Information. Một lỗi phổ biến ở đây là gõ http:// thay vì https://. miniserv sẽ trả lời HTTP thuần trên port đó với nội dung "This web server is running in SSL mode. Try the URL https://..." — cách sửa đơn giản là đổi http thành https trên thanh địa chỉ.

Quyết định bảo mật: bạn sẽ truy cập Webmin bằng cách nào?

Đây là phần quan trọng nhất. Một control panel có quyền tương đương root không nên nằm trên internet công cộng để trả lời các nỗ lực đăng nhập từ mọi scanner trên hành tinh. Bạn có hai lựa chọn an toàn, theo thứ tự ưu tiên.

SSH tunnel ở Option B là lựa chọn tốt hơn, vì nó không lộ bất cứ thứ gì ra ngoài. IP allowlist ở Option A có thể chấp nhận được nếu IP của bạn là static. Không làm cả hai chính là sai lầm mà toàn bộ hướng dẫn này muốn ngăn chặn. Nếu bạn muốn truy cập Webmin qua mạng nội bộ thay vì hai cách trên, hãy đặt server sau một self-hosted WireGuard VPN và bind Webmin vào địa chỉ tunnel thay vì địa chỉ public.

Option A: giới hạn Webmin chỉ cho IP của bạn

Trong panel, mở Webmin, sau đó Webmin Configuration, rồi IP Access Control. Chọn "Only allow from listed addresses" và nhập IP public của bạn, bạn có thể tìm thấy bằng cách chạy curl ifconfig.me trên laptop. Lưu lại. Webmin sẽ ghi nội dung này vào dòng allow= trong /etc/webmin/miniserv.conf và tự restart.

Cạm bẫy: nếu IP nhà bạn là dynamic và bị thay đổi, hoặc bạn gõ sai địa chỉ, bạn sẽ bị khóa quyền truy cập (lock out). Trình duyệt sẽ hiển thị "Access denied for <your IP>" và không có form đăng nhập, và không có đường dẫn web nào để quay lại. Bạn phải sửa lỗi từ console của server qua SSH hoặc VNC của nhà cung cấp:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

Việc xóa dòng allow= sẽ khôi phục quyền truy cập hoàn toàn, vì vậy chỉ làm việc này để khôi phục, sau đó hãy thiết lập lại giá trị đúng ngay lập tức.

Option B: bind vào localhost và tunnel qua SSH (khuyên dùng)

Tốt hơn bất kỳ allowlist nào là không lắng nghe trên interface public. Hãy yêu cầu miniserv chỉ bind vào loopback, sau đó truy cập nó thông qua một SSH tunnel đã được mã hóa mà bạn đã tin tưởng.

Chỉnh sửa /etc/webmin/miniserv.conf và thêm, hoặc đổi, một dòng:

bind=127.0.0.1

Restart với sudo systemctl restart webmin. Webmin giờ đây không thể truy cập được từ internet — một lệnh port scan trên 10000 sẽ không thấy gì, và lệnh kiểm tra ss trước đó giờ sẽ hiển thị nó đang bound vào 127.0.0.1:10000. Từ laptop, hãy mở một tunnel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

Giữ session đó mở và truy cập vào https://localhost:10000. Traffic sẽ chạy bên trong SSH, vốn đã được xác thực bằng key và được mã hóa, vì vậy bạn có thể an tâm chấp nhận self-signed certificate ở đây — lớp SSH mới là thứ bảo vệ thực sự. Đóng session SSH và Webmin sẽ biến mất. Không cần allowlist, không lộ gì ra ngoài, không có service phụ nào cần hardening thêm.

Nếu bạn thiết lập bind=127.0.0.1 mà quên mở tunnel, quyền truy cập từ xa sẽ bị ngắt — đó là tính năng đang hoạt động, không phải lỗi. Khôi phục tương tự như Option A: từ console, xóa dòng bind hoặc đặt bind=0.0.0.0, sau đó restart. Đây cũng là thói quen tunneling mà bạn sẽ dùng để truy cập một remote development box đang chạy Claude Code trong tmux — một session SSH, mọi thứ đều riêng tư, không có gì lắng nghe trên interface public.

Thay thế self-signed certificate bằng một certificate thật

Nếu bạn có lộ Webmin trên một hostname theo Option A, hãy loại bỏ cảnh báo trình duyệt bằng một certificate Let's Encrypt thật. Bạn cần một DNS name — ví dụ panel.example.com — với một bản ghi A trỏ về server, và một thứ gì đó có thể trả lời HTTP challenge trên port-80 trong quá trình xác thực.

Webmin đã tích hợp sẵn tính năng này: Webmin, sau đó Webmin Configuration, rồi SSL Encryption, rồi tab Let's Encrypt. Nhập hostname, trỏ "website root directory" vào một path đang chạy trên port 80 cho domain đó, và gửi yêu cầu. Webmin sẽ lấy certificate, cập nhật các dòng certfile= và keyfile= trong miniserv.conf cho bạn, và tự động gia hạn trước khi nó hết hạn. Tải lại trang và biểu tượng ổ khóa sẽ hiển thị bình thường.

Một trở ngại thực tế: server riêng của Webmin chạy trên 10000, không phải 80, nên http-01 challenge cần một web server thật — Apache hoặc nginx — đang chạy cho panel.example.com trên port 80, hoặc phải dùng xác thực dựa trên DNS. Trên một box chỉ có Webmin mà không có gì chạy trên port 80, yêu cầu sẽ thất bại với lỗi xác thực cho đến khi bạn cung cấp cho Let's Encrypt một cách để tiếp cận file challenge. Các cơ chế — DNS records, port-80 challenge, và gia hạn — đều giống như khi cấp certificate cho bất kỳ website nào. Nếu bạn muốn tìm hiểu kỹ hơn, hướng dẫn Let's Encrypt TLS certificates với Certbot và nginx sẽ đi chi tiết qua luồng xác thực và thiết lập DNS. Nếu bạn chọn hướng SSH-tunnel, bạn có thể bỏ qua phần này: self-signed certificate là ổn khi chạy sau SSH, và một certificate thật cấp cho panel.example.com cũng sẽ chỉ gây ra cảnh báo mismatch name khi bạn truy cập https://localhost:10000 mà thôi.

Bật xác thực hai yếu tố (2FA)

Chỉ dùng password là sự bảo vệ mỏng manh cho một control panel có quyền root, vì vậy hãy thêm yếu tố thứ hai. Mở Webmin, sau đó Webmin Configuration, rồi Two-Factor Authentication. Chọn provider Google Authenticator — đây là chuẩn TOTP, nên nó hoạt động với Authy, 1Password, hoặc bất kỳ app authenticator nào — và lưu lại. Webmin sẽ cài đặt module Perl nhỏ cần thiết (Authen::OATH cùng với một trình tạo mã QR) và kích hoạt tính năng; riêng bước này thì chưa bảo vệ tài khoản nào cả.

Mỗi tài khoản sau đó sẽ phải đăng ký thiết bị riêng. Khi đã bật 2FA, mở Webmin, sau đó Webmin Users, chọn tài khoản, chọn Enable Two-Factor For User, và Webmin sẽ hiển thị một mã QR; hãy quét nó bằng app và nhập một mã được tạo ra để xác nhận. Từ đó về sau, khi đăng nhập, hệ thống sẽ yêu cầu mã token 6 chữ số sau password. Hãy đăng ký trước khi bạn log out — nếu 2FA được yêu cầu nhưng tài khoản của bạn chưa từng quét mã, bạn vẫn có thể xóa yêu cầu này từ console, nhưng sẽ vất vả hơn nhiều so với việc đăng ký trước.

Thêm Fail2ban để chặn brute-force logins

Ngay cả một endpoint đăng nhập bị giới hạn cũng nên trừng phạt các lần thử thất bại liên tục. Webmin báo cáo các lần đăng nhập thất bại vào syslog dưới dạng webmin[12345]: Invalid login as root from 10.0.0.9, hoặc Non-existent login as ... cho một username thậm chí không phải là tài khoản Unix — trên Ubuntu 24.04 những dòng này nằm trong systemd journal, vì bản image chuẩn không có /var/log/auth.log. Fail2ban đi kèm một filter webmin-auth mặc định khớp chính xác với hai dòng đó, và jail dưới đây sẽ tự thiết lập backend = systemd, nên nó không cần regex hay log path tùy chỉnh.

Tạo /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

Reload với sudo systemctl restart fail2ban, sau đó xác nhận jail đã hoạt động:

sudo fail2ban-client status webmin-auth

Bạn sẽ thấy jail được liệt kê với bộ đếm ban bằng 0 lúc bắt đầu (trên journal backend thì không có dòng File list:). Để kiểm tra kết nối từ đầu đến cuối, hãy thử đăng nhập sai vài lần từ một mạng khác, sau đó chạy lại lệnh status và quan sát Currently banned tăng lên. Nếu nó không tăng, hãy đảm bảo bạn không đang test từ một IP nằm trong ignoreip của Fail2ban, và chạy journalctl SYSLOG_IDENTIFIER=webmin trên server để xác nhận các dòng Invalid login thực sự đang được ghi. Nếu Fail2ban chưa được cài đặt trên box này, hướng dẫn Fail2ban trên Ubuntu 24.04 cho SSH sẽ hướng dẫn cài đặt và jail SSH mà bạn nên chạy song song với jail này.

Giới hạn những gì mỗi Webmin user có thể chạm vào

Không phải tất cả những người cần panel đều cần quyền root cho mọi thứ. Trong mục Webmin, sau đó Webmin Users, hãy tạo thêm các Webmin login và chỉ cấp cho mỗi user những module họ cần — ví dụ, một operator backup chỉ thấy module cron và filesystem. Chỉnh sửa một user sẽ hiển thị một danh sách kiểm tra (checklist) của mọi module; bỏ chọn một module sẽ xóa nó khỏi menu của user đó và chặn các URL tương ứng. Đây là chiến thuật phòng thủ chiều sâu: ngay cả khi một session Webmin đặc quyền thấp bị đánh cắp, nó cũng không thể sửa đổi /etc/shadow khi module Users không nằm trong danh sách của nó.

Giữ Webmin luôn được cập nhật

Vì bạn đã cài đặt từ apt repository, sudo apt update && sudo apt upgrade sẽ tải các bản phát hành Webmin mới cùng với phần còn lại của hệ thống. Hãy patch kịp thời — một control panel là mục tiêu ưa thích. Webmin cũng có thể tự cập nhật từ Webmin, sau đó Webmin Configuration, rồi Upgrade Webmin, nhưng đường dẫn apt sạch sẽ hơn trên Ubuntu vì nó giữ cho các version đồng nhất với quản lý package khác của bạn. Đừng coi đây là tùy chọn: một vài CVE của Webmin trước đây là lỗi thực thi mã từ xa (remote-code-execution), và ranh giới duy nhất giữa "đã patch" và "bị xâm nhập" chính là tốc độ admin chạy lệnh upgrade.

Các lỗi thường gặp, kèm theo các thông báo bạn sẽ thấy

"Your connection is not private" / NET::ERR_CERT_AUTHORITY_INVALID. Xuất hiện ngay lần tải đầu tiên. Nguyên nhân: self-signed certificate mà Webmin tạo khi cài đặt không có issuer đáng tin cậy. Đây không phải là một cuộc tấn công; kênh truyền đã được mã hóa, chỉ là không được xác thực. Cách sửa: tạm thời nhấn tiếp tục cảnh báo, sau đó cấp một certificate Let's Encrypt thật, hoặc chấp nhận nó vĩnh viễn nếu bạn truy cập Webmin qua SSH tunnel.

"This web server is running in SSL mode. Try the URL https://..." Bạn đã gõ http://server:10000. miniserv chỉ nói chuyện bằng TLS trên port đó và đang báo cho bạn biết bằng văn bản thuần. Cách sửa: đổi http thành https trên thanh địa chỉ.

Page times out — ERR_CONNECTION_TIMED_OUT / "This site can't be reached". Request không bao giờ đến được Webmin. Trên Ubuntu, điều này hầu như luôn là do ufw đang drop port 10000. Xác nhận bằng sudo ufw status; nếu 10000 không có trong danh sách, hãy mở nó bằng sudo ufw allow 10000/tcp hoặc tốt hơn, hãy để nó đóng và dùng SSH tunnel từ Option B. Lưu ý sự khác biệt: một lỗi timeout nghĩa là firewall đang âm thầm drop các packet, trong khi ERR_CONNECTION_REFUSED nghĩa là port có thể kết nối được nhưng Webmin không chạy — hãy kiểm tra sudo systemctl status webmin.

"Access denied for <your IP>." Bạn đã thiết lập IP Access Control theo Option A và IP hiện tại của bạn không nằm trong danh sách cho phép — một IP động bị thay đổi, hoặc gõ sai. Không có đường dẫn trình duyệt nào để quay lại. Cách sửa từ console: chỉnh sửa dòng allow= trong /etc/webmin/miniserv.conf, sửa lại hoặc xóa nó, và chạy sudo systemctl restart webmin.

"Login failed. Please try again." với credentials mà bạn biết là chính xác. Tài khoản không có Unix password, đây là trạng thái mặc định của các cloud images chỉ dùng key — vì vậy không có gì để PAM khớp và việc đăng nhập bị từ chối. Cách sửa: chạy sudo passwd youruser trên server, sau đó đăng nhập. Nếu /var/webmin/miniserv.log hiển thị Non-existent login as ..., nghĩa là bạn đang gõ một username không phải là tài khoản Unix.

Đối với hệ thống có nhiều hơn vài server, tự động hóa sẽ hiệu quả hơn là cài control panel trên từng box: Ansible playbook đầu tiên của bạn là nơi bắt đầu.

FAQ

Có an toàn không khi để Webmin trên internet công cộng?

Hãy coi một Webmin hướng ra internet như một shell có quyền root với một trang đăng nhập, vì đó chính xác là bản chất của nó. Nó chỉ "đủ an toàn" khi có nhiều lớp: một certificate thật, xác thực hai yếu tố, Fail2ban, và hoặc là một IP allowlist chặt chẽ, hoặc tốt hơn là không lộ diện công khai chút nào. Thiết lập ít rủi ro nhất là bind Webmin vào 127.0.0.1 và truy cập qua SSH tunnel, khi đó port 10000 sẽ không trả lời bất kỳ ai trên internet công cộng.

Làm thế nào để loại bỏ cảnh báo certificate của Webmin?

Cảnh báo (NET::ERR_CERT_AUTHORITY_INVALID) xuất hiện vì Webmin đi kèm với một self-signed certificate. Hãy cấp một cái thật từ Webmin, Webmin Configuration, SSL Encryption, Let's Encrypt, sử dụng một DNS name trỏ về server với một thứ gì đó đang phục vụ port-80 challenge để xác thực. Nếu bạn chỉ truy cập Webmin qua SSH tunnel đến localhost, cảnh báo này vô hại — SSH đã mã hóa và xác thực kết nối rồi — và bạn có thể an tâm chấp nhận self-signed certificate.

Làm thế nào để giới hạn Webmin chỉ cho IP của tôi?

Vào Webmin, Webmin Configuration, IP Access Control, chọn "Only allow from listed addresses", và nhập IP public của bạn từ curl ifconfig.me. Webmin lưu trữ thông tin này trong dòng allow= của /etc/webmin/miniserv.conf. Hãy cẩn thận với IP nhà là dynamic: nếu nó thay đổi bạn sẽ bị khóa quyền truy cập và phải sửa dòng allow= từ console của server, vì vậy một địa chỉ static hoặc phương pháp SSH-tunnel sẽ đáng tin cậy hơn trong thực tế.

Tại sao tôi đăng nhập thất bại dù đã dùng đúng password?

Webmin xác thực qua PAM dựa trên Unix password của bạn, và các cloud images thường chỉ dùng key và không đặt password cho tài khoản mặc định — vì vậy không có gì để PAM khớp và việc đăng nhập bị từ chối. Chạy sudo passwd youruser trên server để đặt password, sau đó đăng nhập. Một dòng Non-existent login as ... trong /var/webmin/miniserv.log nghĩa là chính username đó không phải là một tài khoản Unix thực sự.

Webmin hữu ích gì so với SSH thuần?

Webmin là một lớp giúp khám phá và tiện lợi. Nó thực sự hữu ích để duyệt các file log, quản lý users và cron, chỉnh sửa firewall rules, và xem trạng thái disk và service mà không cần phải nhớ mọi câu lệnh — rất tiện cho các admin không làm việc thường xuyên hoặc các team có kỹ năng hỗn hợp. SSH thuần nhanh hơn, có thể viết script được, và lộ ra ít bề mặt tấn công hơn cho các công việc hàng ngày. Nhiều admin chạy cả hai: SSH để làm việc hàng ngày, và Webmin bind vào localhost sau một tunnel cho các tác vụ click-and-point thỉnh thoảng.