Cài và bảo mật Webmin trên Ubuntu 24.04

Bạn đang xây dựng gì

Webmin là control panel trên web, cung cấp giao diện trình duyệt cho toàn bộ máy chủ Linux: user, package, cron job, firewall, Apache, BIND, disk và hàng trăm module khác. Webmin có thể truy cập qua HTTPS trên port 10000. Việc cài đặt chỉ gồm 3 lệnh và mất khoảng 1 phút. Lý do hướng dẫn này dành phần lớn nội dung cho nửa sau là Webmin đăng nhập bằng root và có thể thực hiện mọi thao tác mà root có thể thực hiện. Webmin mở truy cập hoàn toàn hoặc không yêu cầu xác thực không chỉ là “một rủi ro cần quản lý”; đó là việc máy chủ bị xâm nhập hoàn toàn với một trang đăng nhập ở phía trước. Vì vậy, hãy cài đặt trong 10 phút, rồi dành phần thời gian còn lại của giờ đó để bảo đảm chỉ bạn mới có thể truy cập Webmin.

Điều kiện cần và một cảnh báo thẳng thắn

Bạn cần một Ubuntu 24.04 KVM VPS mới với tài khoản root hoặc một user có quyền sudo. Webmin chạy bằng Perl và khá nhẹ; 1 GB RAM là dư sức, còn mức sử dụng khi idle thấp hơn nhiều so với một phần tư gigabyte. Webmin lắng nghe trên TCP 10000 thông qua web server tích hợp riêng (miniserv.pl), không dùng Apache hoặc nginx, nên chưa cần cài thêm gì.

Trước khi bắt đầu, bạn cần quyết định 2 việc. Thứ nhất là account dùng để đăng nhập: Webmin xác thực account Unix thông qua PAM. Vì vậy, bạn đăng nhập bằng root hoặc một user thuộc group sudo, sử dụng Unix password của account đó. Cloud image thường chỉ cho đăng nhập bằng key và không đặt password cho user mặc định. Webmin không thể đăng nhập bằng account không có password. Trước tiên hãy đặt password bằng sudo passwd youruser. Nếu không, đăng nhập sẽ thất bại dù bạn nhập gì.

Thứ hai, đây là cảnh báo quan trọng: không được chỉ mở port 10000 ra Internet rồi bỏ đó. Ngay bây giờ, hãy quyết định bạn sẽ truy cập Webmin qua SSH tunnel (khuyến nghị, không expose gì ra ngoài) hay giới hạn truy cập vào IP của bạn. Quyết định này ảnh hưởng đến toàn bộ các bước bên dưới, vì vậy hãy đọc cả 2 tùy chọn trước khi cấu hình firewall.

Cài đặt Webmin từ repository chính thức

Webmin cung cấp một apt repository có chữ ký. Script thiết lập sẽ thêm repository và GPG signing key của repository đó để các lần chạy apt upgrade sau này lấy Webmin như mọi package khác. Bạn sẽ nhận được các bản cập nhật đã xác thực thay vì một .deb được tải xuống nhưng không bao giờ tự cập nhật bản vá.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

Script sẽ in ra các thao tác sắp thực hiện và hỏi Setup repository? (y/N). Hãy trả lời y. Khi hoàn tất, hãy cài package. Flag --install-recommends sẽ cài các dependency Perl và SSL phổ biến để từng module không bị lỗi thiếu library về sau.

sudo apt-get install --install-recommends webmin

Trước đây Webmin đã đổi tên script này. Các tài liệu cũ có thể tham chiếu đến setup-repos.sh. Nếu raw URL trả về lỗi 404, hãy lấy one-liner hiện tại trực tiếp từ webmin.com/download thay vì cố định một tên. Một lần cài đặt đúng sẽ kết thúc bằng dòng như Webmin install complete. You can now login to https://your-host:10000/ as root. Service được enable và đang chạy. Cấu hình nằm trong /etc/webmin. Request được ghi vào /var/webmin/miniserv.log. Đăng nhập thất bại được ghi vào syslog, hoặc trên Ubuntu 24.04 là systemd journal.

Hãy xác nhận Webmin thực sự đang hoạt động và listening trước khi mở browser:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

Bạn cần thấy trạng thái active (running) và một dòng cho biết miniserv.pl đang bind vào 0.0.0.0:10000. Địa chỉ đó sẽ đổi thành 127.0.0.1:10000 khi bạn dùng phương án tunnel bên dưới. Nếu ss không hiển thị gì trên port 10000, Webmin chưa khởi động. Hãy đọc journalctl -u webmin -n 50 trước khi tiếp tục.

Đăng nhập lần đầu và cảnh báo chứng chỉ

Mở trình duyệt đến https://YOUR_SERVER_IP:10000. Trên một máy mới cài đặt, sẽ có hai tình huống xảy ra.

Nếu ufw đang active, image server riêng của Ubuntu mặc định để ufw inactive, nhưng nhiều nhà cung cấp bật sẵn, trang sẽ không tải được. Trường hợp này được mô tả trong phần các lỗi thường gặp bên dưới. Nếu cổng đã mở, trình duyệt sẽ chặn toàn trang với thông báo "Kết nối của bạn không riêng tư" và mã NET::ERR_CERT_AUTHORITY_INVALID trong Chrome, hoặc SEC_ERROR_UNKNOWN_ISSUER / "Cảnh báo: Có thể có rủi ro bảo mật" trong Firefox. Đây là hành vi bình thường, không phải dấu hiệu server bị breach. Webmin đã tạo self-signed certificate khi cài đặt (/etc/webmin/miniserv.pem). Vì không có certificate authority nào xác thực certificate này, trình duyệt không âm thầm tin cậy nó. Kết nối vẫn được mã hóa; chỉ là certificate chưa được xác thực. Tạm thời bấm tiếp (Advanced, rồi Proceed). Phần dưới sẽ thay certificate này đúng cách.

Đăng nhập bằng root hoặc sudo user của bạn cùng Unix password của user đó. Sau đó, bạn sẽ vào dashboard System Information. Một lỗi thường gặp là nhập http:// thay vì https://. miniserv trả về HTTP thuần trên cổng đó với đúng nội dung "This web server is running in SSL mode. Try the URL https://...". Cách sửa là đổi http thành https trong address bar.

Quyết định bảo mật: bạn sẽ truy cập Webmin bằng cách nào?

Đây là phần quan trọng. Một panel có quyền tương đương root không nên nằm trên Internet công khai và tiếp nhận các lần đăng nhập từ mọi scanner trên toàn thế giới. Bạn có hai lựa chọn có thể bảo vệ được, theo thứ tự ưu tiên. Mọi giao diện quản trị self-hosted đều phải giải quyết cùng câu hỏi này. Vì vậy, Vaultwarden có an toàn hay không phụ thuộc vào admin endpoint và file backup của nó, chứ không phải encryption.

SSH tunnel trong Option B tốt hơn vì nó không expose bất cứ thứ gì. IP allowlist trong Option A chấp nhận được nếu địa chỉ của bạn là static. Không làm cả hai chính là sai lầm mà toàn bộ hướng dẫn này nhằm ngăn chặn. Nếu bạn muốn truy cập Webmin qua private network thay vì hai cách trên, hãy đặt máy chủ phía sau một WireGuard VPN tự host và bind Webmin vào địa chỉ của tunnel thay vì địa chỉ public.

Phương án A: giới hạn Webmin theo IP của bạn

Trong panel, mở Webmin, sau đó Webmin Configuration, rồi IP Access Control. Chọn "Only allow from listed addresses" và nhập IP public của bạn. Bạn có thể tìm IP này bằng cách chạy curl ifconfig.me trên laptop. Lưu lại. Webmin ghi giá trị này vào dòng allow= trong /etc/webmin/miniserv.conf rồi tự khởi động lại.

Điểm dễ mắc lỗi: nếu IP ở nhà của bạn là IP động và thay đổi, hoặc bạn nhập sai địa chỉ, bạn sẽ bị khóa quyền truy cập. Trình duyệt sẽ hiển thị "Access denied for <your IP>" và không có biểu mẫu đăng nhập. Bạn cũng không thể truy cập lại qua web. Hãy sửa từ console của server qua SSH hoặc VNC của nhà cung cấp:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

Xóa dòng allow= sẽ khôi phục quyền truy cập hoàn toàn không giới hạn. Chỉ xóa dòng này để khôi phục quyền truy cập, sau đó đặt lại ngay giá trị chính xác.

Tùy chọn B: bind vào localhost và tạo tunnel qua SSH (khuyến nghị)

Tốt hơn mọi allowlist là không listen trên public interface ngay từ đầu. Cấu hình miniserv chỉ bind vào loopback, rồi truy cập nó qua một SSH tunnel đã được xác thực và tin cậy.

Chỉnh sửa /etc/webmin/miniserv.conf và thêm hoặc thay đổi một dòng:

bind=127.0.0.1

Khởi động lại bằng sudo systemctl restart webmin. Webmin lúc này không thể truy cập từ Internet, quét port 10000 không tìm thấy gì, và kết quả kiểm tra ss ở phần trước sẽ cho thấy nó bind vào 127.0.0.1:10000. Từ laptop, mở một tunnel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

Giữ session đó mở rồi truy cập https://localhost:10000. Lưu lượng chạy bên trong SSH. SSH đã xác thực bằng key của bạn và được mã hóa, nên bạn có thể an toàn chấp nhận certificate tự ký ở đây; chính lớp SSH mới là lớp bảo vệ thực sự. Đóng SSH session là Webmin không còn truy cập được. Không cần allowlist, không có gì bị expose và không cần harden thêm service nào.

Nếu bạn thiết lập bind=127.0.0.1 rồi quên tunnel, remote access chỉ dừng lại. Đó là tính năng đang hoạt động, không phải lỗi. Khôi phục theo cách tương tự Option A: từ console, xóa dòng bind hoặc đặt bind=0.0.0.0, rồi restart. Đây cũng là thói quen tunnelling bạn sẽ dùng để truy cập một development box từ xa chạy Claude Code trong tmux: một SSH session, mọi thứ đều private và không có service bổ sung nào listen trên public interface.

Thay certificate self-signed bằng certificate thật

Nếu bạn public Webmin trên một hostname theo Option A, hãy thay certificate self-signed để trình duyệt không còn cảnh báo. Bạn cần một DNS name, chẳng hạn panel.example.com, có A record trỏ đến server, và một dịch vụ trả lời thử thách HTTP trên port 80 trong quá trình xác thực.

Webmin đã tích hợp sẵn chức năng này: Webmin, sau đó Webmin Configuration, sau đó SSL Encryption, rồi tab Let's Encrypt. Nhập hostname, trỏ "website root directory" đến một path được phục vụ trên port 80 cho domain đó, rồi gửi yêu cầu. Webmin sẽ lấy certificate, tự cập nhật các dòng certfile= và keyfile= trong miniserv.conf, đồng thời tự động gia hạn trước khi certificate hết hạn. Reload trang và biểu tượng ổ khóa sẽ không còn cảnh báo.

Có một điểm cần lưu ý: server riêng của Webmin chạy trên port 10000, không phải port 80. Vì vậy, thử thách http-01 cần một web server thực, như Apache hoặc nginx, trả lời cho panel.example.com trên port 80; hoặc bạn phải dùng phương thức xác thực dựa trên DNS. Trên một máy chỉ chạy Webmin và không có gì trên port 80, yêu cầu sẽ thất bại với lỗi xác thực cho đến khi bạn cung cấp cách để Let's Encrypt truy cập file thử thách. Cơ chế, DNS record, thử thách trên port 80 và việc gia hạn đều giống như khi cấp certificate cho bất kỳ website nào. Nếu cần tìm hiểu thêm, hướng dẫn certificate TLS Let's Encrypt với Certbot và nginx trình bày chi tiết quy trình xác thực và cấu hình DNS. Nếu bạn chọn phương án SSH tunnel, bạn có thể bỏ qua toàn bộ section này: certificate self-signed vẫn phù hợp khi truy cập qua SSH, còn certificate thật được cấp cho panel.example.com sẽ chỉ tạo cảnh báo không khớp tên khi bạn truy cập https://localhost:10000.

Bật xác thực hai yếu tố

Chỉ dùng password thì bảo vệ root panel chưa đủ, vì vậy hãy thêm factor thứ hai. Mở Webmin, sau đó Webmin Configuration, rồi Two-Factor Authentication. Chọn provider Google Authenticator. Đây là TOTP tiêu chuẩn nên hoạt động với Authy, 1Password hoặc bất kỳ authenticator app nào, sau đó lưu lại. Webmin cài Perl module nhỏ cần thiết (Authen::OATH cùng một QR generator) và bật tính năng này. Riêng bước này chưa bảo vệ account nào.

Sau đó, mỗi account phải đăng ký thiết bị riêng. Khi 2FA đã bật, mở Webmin, sau đó Webmin Users, chọn account, chọn Enable Two-Factor For User, rồi Webmin sẽ hiển thị QR code. Quét mã bằng app và nhập một code được tạo để xác nhận. Từ đó, khi login, hệ thống sẽ yêu cầu token gồm 6 chữ số sau password. Hãy đăng ký trước khi logout. Nếu 2FA bắt buộc nhưng account của bạn chưa từng quét code, bạn vẫn có thể xóa yêu cầu này từ console, nhưng đăng ký trước sẽ ít rắc rối hơn nhiều.

Thêm Fail2ban để chặn các lần đăng nhập brute-force

Ngay cả endpoint đăng nhập đã được hạn chế cũng nên xử lý các lần đăng nhập thất bại lặp lại. Webmin ghi các lần đăng nhập thất bại vào syslog dưới dạng webmin[12345]: Invalid login as root from 10.0.0.9, hoặc Non-existent login as ... nếu username thậm chí không phải là Unix account. Trên Ubuntu 24.04, các dòng này nằm trong systemd journal vì image mặc định không có /var/log/auth.log. Fail2ban có sẵn filter webmin-auth để khớp chính xác 2 dòng đó. Jail bên dưới tự đặt backend = systemd nên không cần regex hoặc log path tùy chỉnh.

Tạo /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

Reload bằng sudo systemctl restart fail2ban, rồi xác nhận jail đang hoạt động:

sudo fail2ban-client status webmin-auth

Bạn sẽ thấy jail trong danh sách, với ban counter ban đầu bằng 0. Với journal backend sẽ không có dòng File list:. Để kiểm tra toàn bộ cấu hình từ đầu đến cuối, cố ý đăng nhập sai vài lần từ một network khác, rồi chạy lại lệnh status và theo dõi Currently banned tăng lên. Nếu counter không tăng, hãy chắc chắn bạn không test từ một address nằm trong ignoreip của Fail2ban. Trên server, chạy journalctl SYSLOG_IDENTIFIER=webmin để xác nhận các dòng Invalid login thực sự được ghi. Nếu Fail2ban chưa được cài trên máy này, hướng dẫn Fail2ban trên Ubuntu 24.04 cho SSH trình bày cách cài đặt và SSH jail nên chạy cùng jail này.

Giới hạn phạm vi mỗi người dùng Webmin được phép quản lý

Không phải ai cần dùng panel cũng cần quyền root trên toàn hệ thống. Vào Webmin, rồi Webmin Users, tạo thêm các tài khoản đăng nhập Webmin và chỉ cấp cho từng tài khoản những module cần thiết. Ví dụ, tài khoản phụ trách backup chỉ được xem các module cron và filesystem. Khi chỉnh sửa một người dùng, bạn sẽ thấy danh sách chọn gồm tất cả module. Bỏ chọn một module sẽ xóa module đó khỏi menu của người dùng và chặn các URL tương ứng. Đây là một lớp phòng thủ bổ sung: ngay cả khi một phiên Webmin có quyền thấp bị đánh cắp, kẻ tấn công cũng không thể ghi đè /etc/shadow nếu module Users không nằm trong danh sách của phiên đó.

Cập nhật Webmin

Vì bạn đã cài Webmin từ apt repository, sudo apt update && sudo apt upgrade sẽ tải các bản phát hành Webmin mới cùng với các bản cập nhật còn lại của hệ thống. Hãy cài patch sớm vì control panel thường là mục tiêu bị tấn công. Webmin cũng có thể tự cập nhật từ Webmin, rồi Webmin Configuration, rồi Upgrade Webmin, nhưng dùng apt sẽ phù hợp hơn trên Ubuntu vì cách này giữ phiên bản nhất quán với các gói khác mà bạn quản lý. Không được xem đây là việc tùy chọn: một số CVE của Webmin trước đây là lỗi thực thi mã từ xa, và tốc độ admin chạy lệnh upgrade là yếu tố duy nhất phân biệt giữa trạng thái “đã cài patch” và “đã bị breach”.

Các tình huống lỗi và chuỗi thông báo bạn sẽ thấy

"Your connection is not private" / NET::ERR_CERT_AUTHORITY_INVALID. Hiển thị ngay ở lần tải đầu tiên. Nguyên nhân là chứng chỉ self-signed do Webmin tạo khi cài đặt không có issuer được tin cậy. Đây không phải là cuộc tấn công; kênh kết nối vẫn được mã hóa, chỉ là không có bên tin cậy xác nhận. Cách xử lý: tạm thời tiếp tục qua cảnh báo, sau đó cấp chứng chỉ Let's Encrypt chính thức, hoặc chấp nhận vĩnh viễn nếu bạn truy cập Webmin qua SSH tunnel.

"This web server is running in SSL mode. Try the URL https://..." Bạn đã nhập http://server:10000. miniserv chỉ hỗ trợ TLS trên cổng đó và thông báo điều này bằng văn bản thường. Cách xử lý: đổi http thành https trên thanh địa chỉ.

Trang hết thời gian chờ, ERR_CONNECTION_TIMED_OUT / "This site can't be reached". Request chưa bao giờ đến được Webmin. Trên Ubuntu, nguyên nhân gần như luôn là ufw đang drop port 10000. Xác nhận bằng sudo ufw status; nếu không thấy 10000 trong danh sách, bạn có thể mở cổng bằng sudo ufw allow 10000/tcp hoặc tốt hơn là để cổng đóng và dùng SSH tunnel theo Option B. Lưu ý sự khác biệt: timeout nghĩa là firewall âm thầm drop packet, còn ERR_CONNECTION_REFUSED nghĩa là port có thể truy cập nhưng Webmin không chạy; hãy kiểm tra sudo systemctl status webmin.

"Access denied for <your IP>." Bạn đã cấu hình IP Access Control trong Option A nhưng địa chỉ hiện tại không nằm trong allow list, hoặc IP động đã thay đổi, hoặc bạn nhập sai. Không có cách quay lại bằng trình duyệt. Cách xử lý từ console: sửa dòng allow= trong /etc/webmin/miniserv.conf, chỉnh lại hoặc xóa dòng đó, rồi chạy sudo systemctl restart webmin.

"Login failed. Please try again." dù bạn biết chắc credentials là đúng. Account không có Unix password. Đây là cấu hình tiêu chuẩn trên các cloud image chỉ dùng key. Webmin xác thực qua PAM dựa trên Unix password, nhưng user này không có password đó. Cách xử lý: chạy sudo passwd youruser trên server rồi đăng nhập. Nếu /var/webmin/miniserv.log hiển thị Non-existent login as ..., bạn đang nhập username không phải là Unix account.

Nếu quản lý nhiều hơn vài server, automation sẽ mở rộng tốt hơn so với việc cài một control panel trên từng máy: playbook Ansible đầu tiên của bạn là nơi bắt đầu.

FAQ

Webmin trên Internet công khai có an toàn không?

Hãy xem Webmin có thể truy cập từ Internet như một root shell có trang đăng nhập, vì đó chính xác là bản chất của nó. Chỉ có thể coi là đủ an toàn khi dùng nhiều lớp bảo vệ: certificate hợp lệ, xác thực hai yếu tố, Fail2ban và một IP allowlist chặt chẽ; tốt hơn hết là không public Webmin. Cấu hình ít rủi ro nhất là bind Webmin vào 127.0.0.1 rồi truy cập qua SSH tunnel, để cổng 10000 không nhận kết nối từ Internet công khai.

Làm cách nào để xóa cảnh báo certificate của Webmin?

Cảnh báo (NET::ERR_CERT_AUTHORITY_INVALID) xuất hiện vì Webmin phát hành kèm một self-signed certificate. Hãy cấp một certificate hợp lệ từ Webmin, Webmin Configuration, SSL Encryption, Let's Encrypt. Bạn cần dùng một DNS name trỏ đến server và có một dịch vụ trả lời challenge trên port 80 để xác thực. Nếu bạn chỉ truy cập Webmin qua SSH tunnel đến localhost, cảnh báo này không gây hại. SSH đã mã hóa và xác thực kết nối, nên bạn có thể an toàn chấp nhận self-signed certificate.

Làm cách nào để chỉ cho phép IP của tôi truy cập Webmin?

Vào Webmin, Webmin Configuration, IP Access Control, chọn "Only allow from listed addresses", rồi nhập public IP của bạn từ curl ifconfig.me. Webmin lưu thiết lập này trong dòng allow= của /etc/webmin/miniserv.conf. Hãy lưu ý nếu IP mạng nhà bạn là dynamic: khi IP thay đổi, bạn sẽ bị khóa ngoài và phải sửa dòng allow= từ server console. Vì vậy, dùng địa chỉ static hoặc phương pháp SSH tunnel thường đáng tin cậy hơn trong thực tế.

Vì sao đăng nhập thất bại dù tôi nhập đúng password?

Webmin xác thực qua PAM dựa trên Unix password. Cloud image thường chỉ cho phép đăng nhập bằng key và không đặt password cho account mặc định, nên PAM không có password để đối chiếu và từ chối đăng nhập. Chạy sudo passwd youruser trên server để đặt password, rồi đăng nhập lại. Nếu có dòng Non-existent login as ... trong /var/webmin/miniserv.log, điều đó có nghĩa username này không phải là một Unix account hợp lệ.

Webmin hữu ích gì so với SSH thông thường?

Webmin là một lớp giúp dễ tìm chức năng và thuận tiện hơn. Nó hữu ích khi duyệt log file, quản lý user và cron, chỉnh firewall rule, cũng như xem trạng thái disk và service mà không cần nhớ từng command. Điều này phù hợp với admin chỉ quản trị thỉnh thoảng hoặc các team có nhiều mức kỹ năng khác nhau. SSH thông thường nhanh hơn, có thể dùng trong script và tạo attack surface nhỏ hơn nhiều cho công việc hằng ngày. Nhiều admin dùng cả hai: SSH cho công việc thường xuyên, còn Webmin bind vào localhost phía sau một tunnel để xử lý các tác vụ thỉnh thoảng cần thao tác qua giao diện. Nếu câu hỏi thực sự là nên chọn panel nào thay vì so sánh panel với shell, bạn nên cân nhắc Cockpit so với Webmin trước, vì hai công cụ khác nhau về phạm vi hệ thống có thể thay đổi và cách chúng xác thực bạn.