Bảo mật Email bằng Security Settings

Security Settings trong dịch vụ Mail Business của VNDATA cung cấp các tính năng giúp quản trị viên kiểm soát truy cập vào Mail Server, bao gồm Whitelist, Blacklist và cơ chế tự động khóa IP khi phát hiện nhiều lần đăng nhập thất bại.

Trong bài viết này, VNDATA sẽ hướng dẫn quý khách cách sử dụng các tính năng trên để chủ động bảo vệ hệ thống Email Business.

1. Truy cập Security Settings

Tại trang quản lý dịch vụ Mail Business, quý khách chọn:

Security Settings

Tại đây hệ thống hiển thị các thông số bảo vệ đăng nhập và danh sách IP được cho phép hoặc bị chặn.

Truy cập Security Settings

Các thông số chính bao gồm:

  • Ban time: Thời gian khóa IP khi IP bị hệ thống tự động ban.
  • Max ban time: Thời gian khóa tối đa.
  • Max attempts: Số lần đăng nhập thất bại tối đa trước khi IP bị ban.
  • Retry window: Khoảng thời gian hệ thống theo dõi số lần đăng nhập thất bại.
  • Netban IPv4 mask: Network mask được sử dụng khi ban IPv4.
  • Netban IPv6 mask: Network mask được sử dụng khi ban IPv6.
  • Increase ban time after repeated failures: Tăng thời gian ban nếu một IP tiếp tục vi phạm nhiều lần.
  • Whitelist: Danh sách IP hoặc subnet được phép truy cập và không bị áp dụng cơ chế ban.
  • Blacklist: Danh sách IP hoặc subnet bị chặn truy cập vào Mail Server.

Lưu ý: Whitelist và Blacklist hỗ trợ khai báo từng địa chỉ IP hoặc theo CIDR. Mỗi giá trị được nhập trên một dòng riêng.

2. Kiểm tra kết nối trước khi cấu hình Blacklist

Trước khi thêm IP vào Blacklist, quý khách nên kiểm tra kết nối từ server hoặc máy tính cần thử nghiệm đến Mail Server.

Ví dụ kiểm tra cổng IMAPS 993 bằng nc:

nc -vz mail.starter.vndata.vn 993

Nếu kết nối thành công, kết quả sẽ tương tự:

Connection to mail.starter.vndata.vn (...) 993 port [tcp/imaps] succeeded!

Kiểm tra kết nối port 993 trước khi cấu hình Blacklist

Việc kiểm tra này giúp xác nhận server hiện tại vẫn có thể kết nối đến Mail Business trước khi thực hiện thao tác chặn.

3. Xác định IP của server cần chặn

Tiếp theo, xác định địa chỉ Public IP của server hoặc đường truyền mà quý khách muốn đưa vào Blacklist.

Trong ví dụ, server thực hiện kết nối có Public IP:

115.xxx.xxx.191

Xác định Public IP của server cần đưa vào Blacklist

Quý khách cần sử dụng đúng Public IP mà Mail Server nhìn thấy. Nếu server đi Internet qua NAT, IP cần blacklist là IP Public/NAT chứ không phải địa chỉ IP private như 10.x.x.x, 172.16.x.x hoặc 192.168.x.x.

4. Thêm IP vào Blacklist

Quay lại trang Security Settings.

Tại phần Blacklist:

  1. Nhập địa chỉ IP cần chặn.
  2. Mỗi IP nhập trên một dòng riêng.
  3. Chọn Save Changes để lưu cấu hình.

Thêm IP vào Blacklist và chọn Save Changes

Ví dụ:

115.xxx.xxx.191

Ngoài một IP đơn lẻ, quý khách cũng có thể khai báo cả subnet bằng CIDR, ví dụ:

203.0.113.10
203.0.113.0/24

Cảnh báo: Hãy kiểm tra kỹ IP trước khi lưu. Nếu thêm nhầm Public IP đang sử dụng để quản trị hoặc kết nối email, quý khách có thể tự chặn kết nối của chính mình.

5. Kiểm tra kết nối sau khi Blacklist

Sau khi lưu Blacklist, thực hiện lại lệnh kiểm tra từ chính server đã bị chặn:

nc -vz mail.starter.vndata.vn 993
nc -vz mail.starter.vndata.vn 465

Khi Blacklist hoạt động, kết nối đến Mail Server sẽ không còn thành công và có thể nhận kết quả tương tự:

Connection timed out

Kết nối đến cổng 993 và 465 bị timeout sau khi Blacklist

Như vậy, địa chỉ IP vừa cấu hình đã bị chặn truy cập đến các dịch vụ Mail Business.

6. Xóa IP khỏi Blacklist

Khi không còn nhu cầu chặn, quý khách có thể xóa IP hoặc subnet khỏi phần Blacklist, sau đó chọn Save Changes.

Blacklist hỗ trợ cả:

203.0.113.10

hoặc một dải mạng:

203.0.113.0/24

Quản lý IP và CIDR trong Blacklist

Sau khi IP được loại bỏ khỏi Blacklist, kiểm tra lại kết nối:

nc -vz mail.starter.vndata.vn 993
nc -vz mail.starter.vndata.vn 465

Nếu kết nối đã được cho phép trở lại, kết quả sẽ hiển thị succeeded.

Kết nối cổng 993 và 465 hoạt động trở lại sau khi bỏ Blacklist

7. Tự động khóa IP khi đăng nhập sai nhiều lần

Ngoài Blacklist thủ công, Security Settings còn hỗ trợ cơ chế tự động ban IP khi phát hiện nhiều lần xác thực thất bại.

Thông số quan trọng là:

  • Max attempts: Số lần đăng nhập thất bại được phép.
  • Retry window: Khoảng thời gian tính số lần thất bại.
  • Ban time: Thời gian IP bị khóa.
  • Max ban time: Thời gian khóa tối đa.
  • Increase ban time after repeated failures: Tăng thời gian khóa với các IP tái phạm.

Ví dụ, khi một IP liên tục thử đăng nhập với thông tin không chính xác, Mail Server sẽ trả về lỗi xác thực:

NO [AUTHENTICATIONFAILED] Authentication failed.

Thực hiện nhiều lần đăng nhập sai để kiểm tra cơ chế tự động ban

Khi số lần đăng nhập sai đạt ngưỡng Max attempts, hệ thống sẽ tự động đưa IP vào danh sách Active bans.

8. Kiểm tra IP đang bị Active Ban

Trong trang Security Settings, kéo xuống khu vực Active bans.

Tại đây quý khách có thể xem:

  • IP đang bị khóa.
  • Network mask áp dụng.
  • Thời điểm hoặc khoảng thời gian IP còn bị khóa.
  • Tổng số IP đang bị block.
  • Nút Unban để gỡ khóa thủ công.

IP xuất hiện trong Active bans sau nhiều lần đăng nhập thất bại

Khác với Blacklist, đây là trạng thái ban tự động do cơ chế bảo vệ đăng nhập của Mail Server tạo ra.

9. Kiểm tra kết nối khi IP đang bị Active Ban

Trong thời gian IP đang bị ban, thử kết nối lại đến các cổng email:

nc -vz mail.starter.vndata.vn 993
nc -vz mail.starter.vndata.vn 465

Kết nối sẽ bị từ chối hoặc timeout tương tự trường hợp Blacklist.

Kết nối bị timeout khi IP đang nằm trong Active bans

Cơ chế này giúp hạn chế các hành vi dò mật khẩu hoặc brute-force vào tài khoản Mail Business.

10. Gỡ khóa IP bằng Unban

Nếu xác định IP bị khóa là IP hợp lệ của khách hàng hoặc quản trị viên, quý khách có thể gỡ ban thủ công.

Tại mục Active bans, chọn:

Unban

Chọn Unban để gỡ khóa IP

Sau khi chọn, hệ thống sẽ đưa yêu cầu vào trạng thái:

Queued for unban

Yêu cầu gỡ khóa đang ở trạng thái Queued for unban

Chờ hệ thống xử lý trong thời gian ngắn hoặc chọn Reload để cập nhật trạng thái.

Khi gỡ ban hoàn tất, khu vực Active bans sẽ hiển thị:

0 blocked
No active bans.

IP đã được gỡ khỏi Active bans

11. Kiểm tra lại sau khi Unban

Sau khi IP được gỡ ban, kiểm tra lại kết nối:

nc -vz mail.starter.vndata.vn 993
nc -vz mail.starter.vndata.vn 465

Nếu Unban thành công, kết nối đến Mail Server sẽ hoạt động trở lại:

993 port [tcp/imaps] succeeded!
465 port [tcp/submissions] succeeded!

Kết nối Mail Server hoạt động trở lại sau khi Unban

12. Phân biệt Blacklist, Whitelist và Active bans

Tính năngMục đích
BlacklistChủ động chặn vĩnh viễn hoặc cho đến khi quản trị viên xóa IP/CIDR khỏi danh sách
WhitelistKhai báo IP/CIDR tin cậy để tránh bị cơ chế tự động ban
Active bansDanh sách các IP đang bị hệ thống tự động khóa do vi phạm chính sách đăng nhập
UnbanGỡ một IP khỏi trạng thái Active ban trước khi hết thời gian khóa

13. Một số lưu ý khi cấu hình

  • Nên xác định chính xác Public IP trước khi thêm vào Blacklist hoặc Whitelist.
  • Không Whitelist các dải mạng quá rộng nếu không thật sự cần thiết.
  • Có thể sử dụng CIDR để quản lý cả một subnet thay vì nhập từng IP.
  • Không nên đặt Max attempts quá thấp vì có thể khiến người dùng hợp lệ dễ bị khóa khi nhập sai mật khẩu.
  • Khi một IP thường xuyên bị Active Ban, cần kiểm tra thiết bị hoặc ứng dụng mail đang lưu mật khẩu cũ.
  • Nếu nghi ngờ brute-force, không nên Unban ngay khi chưa xác định được nguồn truy cập.
  • Sau mỗi thay đổi nên kiểm tra thực tế bằng kết nối đến các cổng dịch vụ như 993, 465 hoặc các cổng đang sử dụng.

Security Settings giúp quản trị viên chủ động kiểm soát nguồn truy cập và tự động bảo vệ Mail Business trước các hành vi đăng nhập bất thường hoặc dò mật khẩu.

Cảm ơn quý khách đã theo dõi bài viết.