Hướng dẫn cài đặt aaPanel trên Ubuntu và cấu hình an toàn

aaPanel giúp quản lý website, PHP, database, SSL, cron, backup và tài nguyên VPS qua trình duyệt. Bài hướng dẫn này cài aaPanel trên một Ubuntu Server mới, sau đó khóa giao diện quản trị trước khi đưa website vào hoạt động.

aaPanel cần quyền root và thay đổi nhiều thành phần hệ thống. Hãy dùng VPS mới hoặc snapshot có thể phục hồi; không cài trực tiếp lên máy đang chạy stack production được cấu hình thủ công.

1. Cấu hình và thông tin cần chuẩn bị

• VPS có IP public, tối thiểu 1 vCPU và 1 GB RAM cho thử nghiệm; production nên sizing theo website và database.
• Ubuntu 22.04 hoặc phiên bản đang được aaPanel hỗ trợ; tài liệu chính thức hiện khuyến nghị Ubuntu 22.04.
• Tài khoản root hoặc tài khoản có quyền sudo, đăng nhập bằng SSH key.
• Một domain cho website; nên có thêm subdomain riêng cho panel.
• Nơi lưu backup ngoài VPS, chẳng hạn object storage hoặc máy chủ khác.

Không dùng máy đã cài sẵn Nginx, Apache, MySQL hoặc control panel khác nếu chưa hiểu xung đột. Trước khi bắt đầu, tạo snapshot tại nhà cung cấp VPS.

2. Kết nối SSH và cập nhật hệ điều hành

ssh -i ~/.ssh/server_key root@SERVER_IP

apt update
apt full-upgrade -y
apt install -y curl ca-certificates
reboot

Sau khi máy khởi động lại, kết nối SSH lần nữa. Kiểm tra hệ điều hành, dung lượng và RAM:

cat /etc/os-release
df -h
free -h

3. Cấu hình firewall ở nhà cung cấp

Ban đầu chỉ cho phép:

Chưa mở MySQL 3306, Redis 6379, FTP hoặc cổng panel cho toàn Internet. Sau khi cài, aaPanel in URL và cổng quản trị thực tế; khi đó mới thêm rule giới hạn nguồn.

4. Tải và kiểm tra script cài đặt

Tài liệu aaPanel cung cấp script chính thức tại tên miền aapanel.com. Thay vì tải với tùy chọn bỏ qua xác minh chứng chỉ, hãy dùng TLS bình thường:

cd /root
curl --fail --location --proto '=https' --tlsv1.2 \
  --output install_panel_en.sh \
  https://www.aapanel.com/script/install_panel_en.sh

ls -lh install_panel_en.sh
less install_panel_en.sh

Kiểm tra URL nguồn, các package và đường dẫn mà script sẽ thay đổi. Nếu TLS báo lỗi, hãy sửa thời gian hệ thống hoặc CA certificate; không dùng -k để bỏ xác minh trên máy production.

aaPanel chưa công bố checksum cố định ngay trên trang Quick Start cho script động, vì vậy việc tải từ đúng HTTPS, xem script và lưu bản đã dùng trong hồ sơ thay đổi là quan trọng.

5. Chạy cài đặt aaPanel

bash install_panel_en.sh forum

Xác nhận thư mục cài đặt khi script hỏi. Quá trình sẽ cài panel và in ra:

• URL truy cập bên ngoài và nội bộ;
• cổng panel;
• security entrance dạng đường dẫn ngẫu nhiên;
• username và password ban đầu.

Lưu thông tin vào password manager, không gửi qua chat hoặc email. Giữ phiên SSH mở cho đến khi đăng nhập panel thành công.

6. Mở đúng cổng panel và đăng nhập lần đầu

Thêm cổng panel vào security group nhưng chỉ cho phép IP quản trị hoặc dải VPN. Truy cập chính xác URL được script in ra, bao gồm HTTPS, cổng và security entrance.

aaPanel có thể dùng chứng chỉ tự ký ban đầu nên trình duyệt hiển thị cảnh báo. Hãy xác minh IP/URL đúng với phiên cài đặt trước khi tiếp tục; sau đó thay bằng chứng chỉ tin cậy.

Nếu quên thông tin, tài liệu chính thức nêu các lệnh:

bt default   # xem thông tin truy cập mặc định
bt 5         # đổi mật khẩu panel
bt           # mở menu quản lý aaPanel

7. Hardening ngay sau đăng nhập

1. Đổi username và mật khẩu panel thành giá trị duy nhất.
2. Bật Panel SSL với domain và chứng chỉ tin cậy.
3. Bật Google Authenticator; lưu mã khôi phục an toàn.
4. Bật BasicAuth nếu phù hợp để thêm một lớp trước trang đăng nhập.
5. Bind domain panel để chặn truy cập trực tiếp bằng IP.
6. Dùng Authorized IP hoặc VPN để chỉ máy quản trị truy cập.
7. Giữ security entrance khó đoán, nhưng không coi đây là lớp bảo mật chính.
8. Đặt timeout phiên ngắn và bật cảnh báo thay đổi tài khoản/log.
9. Kiểm tra host firewall trong mục Security; chính sách mặc định nên từ chối cổng không cần.

Đổi cổng panel chỉ giảm nhiễu từ bot quét. MFA, giới hạn IP, cập nhật và backup mới là các lớp bảo vệ quan trọng.

8. Chọn LEMP hay LAMP

Trong lần khởi tạo, chỉ cài web server, PHP, database và cache thực sự cần. Chọn phiên bản PHP/database còn được hỗ trợ bởi ứng dụng. Không cài mail server, FTP, Docker hoặc nhiều database engine “để sẵn”.

Sau khi cài stack, kiểm tra service và tài nguyên. Giữ đủ RAM trống cho database; trên VPS nhỏ, quá nhiều service sẽ gây swap và chậm I/O.

9. Thêm website đầu tiên

1. Trỏ bản ghi A/AAAA của domain về IP máy chủ.
2. Trong Website, chọn loại project và thêm domain.
3. Đặt document root đúng; với Laravel thường là thư mục public.
4. Tạo database và user riêng cho website, dùng mật khẩu sinh ngẫu nhiên.
5. Upload hoặc deploy mã nguồn bằng quy trình có kiểm soát.
6. Thiết lập rewrite, PHP version và extension theo tài liệu ứng dụng.
7. Kiểm tra website qua HTTP trước khi cấp SSL.

Không dùng tài khoản database root trong ứng dụng. File cấu hình chứa secret phải nằm ngoài public root hoặc bị web server chặn truy cập.

10. Cấp SSL và chuyển sang HTTPS

Sau khi DNS đã trỏ đúng và cổng 80/443 mở, vào cấu hình website, yêu cầu chứng chỉ Let's Encrypt rồi bật chuyển hướng HTTPS. Kiểm tra:

• domain và www cần thiết đều nằm trong chứng chỉ;
• không có mixed content;
• tự động gia hạn hoạt động;
• website vẫn truy cập sau khi reload web server.

11. Thiết lập backup ngoài máy

Tạo lịch backup riêng cho file website và database. Không dừng ở thư mục /www/backup trên cùng VPS. Đồng bộ bản sao sang storage hoặc tài khoản độc lập, mã hóa và đặt retention phù hợp.

1. Chạy một bản backup thủ công.
2. Tải hoặc chuyển bản backup ra ngoài máy.
3. Dựng database/site thử từ bản sao.
4. Ghi lại thời gian và các bước khôi phục.

Snapshot VPS hữu ích nhưng không thay thế backup cấp ứng dụng, vì snapshot có thể cùng tài khoản cloud và cùng miền sự cố.

12. Cập nhật, monitoring và vận hành

• Bật cảnh báo CPU, RAM, disk, service, SSL và backup.
• Kiểm tra bản cập nhật aaPanel/plugin định kỳ; thử trên staging khi có thể.
• Cập nhật Ubuntu và lên lịch reboot cho kernel.
• Đọc log web server, PHP và panel khi có lỗi, không chỉ restart dịch vụ.
• Kiểm tra dung lượng trước khi backup hoặc nâng cấp database.
• Lưu tài liệu domain, port, stack, phiên bản, backup và người chịu trách nhiệm.

Lỗi thường gặp

Checklist trước khi đưa vào production

• Panel chỉ truy cập qua HTTPS và IP/VPN được phép.
• MFA hoạt động và mã khôi phục đã được lưu.
• SSH dùng key; đăng nhập root bằng mật khẩu bị hạn chế theo chính sách.
• Chỉ mở 22, 80, 443 và cổng thật sự cần.
• Database/cache không public.
• Website chạy HTTPS và tự gia hạn chứng chỉ.
• Backup file/database nằm ngoài VPS và đã restore thử.
• Cảnh báo tài nguyên, SSL và backup đã được kiểm tra.
• Có snapshot hoặc kế hoạch rollback trước mỗi nâng cấp lớn.

Kết luận

Cài aaPanel chỉ mất ít phút, nhưng một máy chủ có thể vận hành an toàn cần nhiều bước hơn: giới hạn đường quản trị, bật MFA, cài stack tối thiểu, tách secret, backup ngoài máy và kiểm thử phục hồi. Nếu không có người chịu trách nhiệm cập nhật và xử lý sự cố Linux, managed hosting vẫn là lựa chọn phù hợp hơn tự quản lý VPS.

Nguồn tham khảo

• aaPanel Documentation: Quick Start
• aaPanel Documentation: Settings
• aaPanel Documentation: Security
• aaPanel Documentation: Website Basics