Cách cấu hình proxy ngược để bảo vệ trang web khỏi bot, trình quét và trình phân tích: hướng dẫn đầy đủ

Mỗi ngày, trang web của bạn bị hàng trăm bot tấn công: một số đánh cắp giá cả và nội dung, một số khác làm quá tải máy chủ bằng các yêu cầu, và một số tìm kiếm lỗ hổng. Nếu bạn sở hữu một cửa hàng trực tuyến trên Wildberries hoặc Ozon, quản lý các trang đích cho các chiến dịch quảng cáo trên Facebook Ads hoặc điều hành các trang web của khách hàng — vấn đề này liên quan trực tiếp đến bạn. Proxy ngược (reverse proxy) là hàng rào phòng thủ đầu tiên mà bạn có thể thiết lập mà không cần kiến thức kỹ thuật sâu.

Proxy ngược là gì và nó khác gì so với proxy thông thường

Hầu hết mọi người biết đến proxy như một công cụ để thay đổi địa chỉ IP: bạn kết nối với máy chủ proxy và các trang web thấy địa chỉ của nó thay vì địa chỉ của bạn. Điều này được gọi là proxy trực tiếp (forward proxy) — nó bảo vệ người dùng.

Proxy ngược (reverse proxy) hoạt động ở phía bên kia. Nó đứng trước máy chủ của bạn và nhận tất cả các yêu cầu đến thay cho nó. Người truy cập nghĩ rằng họ đang giao tiếp trực tiếp với trang web của bạn — nhưng thực tế, họ trước tiên đến máy chủ proxy, nơi kiểm tra yêu cầu, lọc hoạt động đáng ngờ và chỉ sau đó chuyển tiếp lưu lượng hợp lệ đến máy chủ thực của bạn.

Sự khác biệt chính so với proxy thông thường còn ở chỗ địa chỉ IP thực của máy chủ của bạn vẫn được ẩn giấu. Kẻ xấu và bot không biết trang web của bạn nằm ở đâu — họ chỉ thấy địa chỉ của proxy ngược. Điều này tự nó đã chặn một phần lớn các cuộc tấn công.

Đối với các chủ cửa hàng trực tuyến, nhà tiếp thị và người điều phối, những người quản lý hàng chục trang đích, điều này cực kỳ quan trọng: đối thủ sẽ không thể tìm thấy máy chủ thực của bạn và tấn công nó trực tiếp, bỏ qua sự bảo vệ.

Tại sao bot và trình quét lại nguy hiểm cho doanh nghiệp của bạn

Nhiều chủ sở hữu trang web đánh giá thấp mối đe dọa từ bot, coi đó là "vấn đề kỹ thuật". Thực tế, đây là những tổn thất kinh doanh trực tiếp. Hãy phân tích những kịch bản cụ thể mà độc giả của chúng tôi gặp phải.

Crawl giá cả của đối thủ

Nếu bạn bán hàng trên các thị trường hoặc sở hữu cửa hàng trực tuyến của riêng mình, đối thủ có thể khởi động một trình phân tích, thu thập giá của bạn mỗi 15-30 phút và tự động đưa ra giá của họ thấp hơn 1-2%. Bạn mất doanh số mà không hiểu lý do tại sao. Các bot phân tích cũng làm quá tải máy chủ: hàng trăm yêu cầu mỗi phút làm chậm trang web cho những khách hàng thực, điều này ảnh hưởng trực tiếp đến tỷ lệ chuyển đổi.

Nhấp chuột giả (click fraud)

Những người điều phối và nhà tiếp thị làm việc với Facebook Ads và Google Ads thường xuyên gặp phải việc tăng số lần nhấp chuột. Các bot nhấp chuột truy cập vào quảng cáo của bạn, tiêu tốn ngân sách mà không có bất kỳ chuyển đổi nào. Theo các nghiên cứu, tới 20-30% lưu lượng quảng cáo trong một số lĩnh vực là bot. Proxy ngược với các quy tắc đúng giúp phát hiện và chặn những nguồn này.

Trình quét lỗ hổng

Các trình quét tự động như Shodan, Masscan và hàng trăm công cụ ít nổi tiếng hơn liên tục quét toàn bộ internet để tìm kiếm các trang web không được bảo vệ. Chúng kiểm tra các phiên bản CMS lỗi thời, các cổng mở, mật khẩu mặc định. Nếu trang web của bạn trên WordPress hoặc bất kỳ nền tảng phổ biến nào khác — chắc chắn nó đã có trong cơ sở dữ liệu của họ. Nếu không có sự bảo vệ, đó chỉ là vấn đề thời gian trước khi họ tìm thấy lỗ hổng.

Tấn công DDoS và quá tải máy chủ

Đối thủ hoặc chỉ đơn giản là những kẻ thù có thể tổ chức một cuộc tấn công khiến trang web của bạn ngừng hoạt động vào thời điểm không thích hợp nhất — chẳng hạn như trong thời gian giảm giá hoặc chiến dịch quảng cáo tích cực. Ngay cả một cuộc tấn công DDoS nhỏ với vài nghìn yêu cầu mỗi giây cũng có thể "hạ gục" một máy chủ giá rẻ.

Cách proxy ngược bảo vệ trang web: cơ chế hoạt động

Proxy ngược bảo vệ trang web ngay từ nhiều cấp độ. Hiểu các cấp độ này sẽ giúp bạn thiết lập hệ thống đúng cách và không bỏ lỡ các bước quan trọng.

Cấp độ 1 — Ẩn địa chỉ IP thực

Ngay khi bạn chuyển hướng lưu lượng qua proxy ngược, địa chỉ IP thực của máy chủ bạn không còn là công khai. Bot và kẻ tấn công không thể truy cập vào máy chủ trực tiếp — họ chỉ gặp phải proxy. Điều này đặc biệt quan trọng để bảo vệ khỏi DDoS: ngay cả khi kẻ xấu biết miền của trang web của bạn, họ cũng không thể tấn công máy chủ mà không qua sự bảo vệ.

Cấp độ 2 — Phân tích và lọc yêu cầu

Mỗi yêu cầu đến đều trải qua kiểm tra theo nhiều tham số: User-Agent (trình duyệt/bot nào đang gửi yêu cầu), tần suất yêu cầu từ một IP, vị trí địa lý, các mẫu hành vi. Bot thường gửi yêu cầu quá nhanh, sử dụng các chuỗi User-Agent không chuẩn hoặc đến từ các địa chỉ IP của trung tâm dữ liệu đã biết. Proxy ngược có khả năng theo dõi và chặn tất cả điều này.

Cấp độ 3 — Giới hạn tần suất yêu cầu (Rate limiting)

Một người thực không thể xem 500 trang của một trang web trong một phút. Proxy ngược cho phép thiết lập giới hạn: chẳng hạn, không quá 60 yêu cầu mỗi phút từ một IP. Nếu ai đó vượt quá giới hạn — họ sẽ nhận được một chặn tạm thời hoặc kiểm tra CAPTCHA. Điều này hiệu quả trong việc ngăn chặn hầu hết các trình phân tích và trình quét mà không làm ảnh hưởng đến những khách truy cập thông thường.

Cấp độ 4 — Bộ nhớ đệm và giảm tải

Proxy ngược bộ nhớ đệm nội dung tĩnh (hình ảnh, CSS, JavaScript) và cung cấp nó trực tiếp mà không cần truy cập vào máy chủ của bạn. Do đó, ngay cả khi bot vượt qua các bộ lọc, chúng nhận được các trang đã được bộ nhớ đệm — tải trên máy chủ thực là tối thiểu. Thêm vào đó, điều này làm tăng tốc độ trang web cho những khách truy cập thực, điều này có ảnh hưởng tích cực đến SEO và tỷ lệ chuyển đổi.

Cấp độ 5 — Kết thúc SSL/TLS

Proxy ngược đảm nhận việc mã hóa lưu lượng. Máy chủ của bạn hoạt động nhanh hơn, vì không phải tiêu tốn tài nguyên cho việc mã hóa mỗi yêu cầu. Và khách truy cập thấy kết nối bảo mật HTTPS — điều này quan trọng cho cả sự tin tưởng và xếp hạng trong Google.

Tổng quan về các giải pháp: Cloudflare, Nginx, Caddy — chọn cái nào

Có một số giải pháp phổ biến để tổ chức proxy ngược. Lựa chọn phụ thuộc vào trình độ kỹ thuật của bạn, ngân sách và quy mô của nhiệm vụ.

Đối với hầu hết các chủ sở hữu trang web, nhà tiếp thị và người điều phối không muốn tìm hiểu về các thiết lập máy chủ, Cloudflare là lựa chọn tối ưu. Gói miễn phí giải quyết 90% các nhiệm vụ bảo vệ khỏi bot và trình quét. Chính từ đây chúng ta sẽ bắt đầu hướng dẫn từng bước.

Thiết lập Cloudflare như một proxy ngược: từng bước

Cloudflare là một dịch vụ đám mây, trở thành proxy ngược cho trang web của bạn sau khi thay đổi đơn giản DNS. Không cần lập trình, không cần truy cập vào máy chủ — chỉ cần thiết lập trong trình duyệt.

Bước 1 — Đăng ký và thêm trang web

Truy cập vào cloudflare.com và tạo một tài khoản. Sau khi đăng nhập, nhấn nút "Add a Site" và nhập miền của trang web của bạn (ví dụ: myshop.ru). Chọn gói miễn phí Free — cho đến lúc này, nó đã đủ.

Cloudflare sẽ tự động quét các bản ghi DNS của bạn và hiển thị danh sách của chúng. Kiểm tra xem tất cả các bản ghi có ở đúng vị trí (thông thường là bản ghi A với IP của máy chủ và các bản ghi MX cho email). Nhấn "Continue".

Bước 2 — Thay đổi máy chủ DNS tại nhà đăng ký miền

Cloudflare sẽ cung cấp cho bạn hai địa chỉ nameserver — cái gì đó giống như alex.ns.cloudflare.com và diana.ns.cloudflare.com. Truy cập vào bảng điều khiển của nhà đăng ký miền của bạn (RU-CENTER, Reg.ru, Namecheap, v.v.) và thay thế các nameserver hiện tại bằng hai địa chỉ này.

Cập nhật DNS mất từ 15 phút đến 48 giờ. Khi mọi thứ được cập nhật, toàn bộ lưu lượng đến trang web của bạn sẽ bắt đầu đi qua các máy chủ Cloudflare — proxy ngược sẽ hoạt động tự động.

Bước 3 — Bật chế độ "Under Attack" khi cần thiết

Trong bảng điều khiển Cloudflare, chuyển đến phần Security → Overview. Tại đây bạn thấy mức độ bảo vệ (Security Level). Đối với hầu hết các trang web, mức độ "Medium" là phù hợp. Nếu trang web đang bị tấn công tích cực — hãy tạm thời chuyển sang "Under Attack Mode": tất cả khách truy cập sẽ phải trải qua kiểm tra JS, mà bot thường không vượt qua.

Bước 4 — Thiết lập Chế độ Chiến đấu với Bot

Chuyển đến Security → Bots. Bật công tắc "Bot Fight Mode" — đây là bảo vệ cơ bản chống lại các bot tự động, có sẵn miễn phí. Cloudflare tự động xác định và chặn lưu lượng từ các bot độc hại đã biết, sử dụng cơ sở dữ liệu từ hàng tỷ yêu cầu.

Trên các gói trả phí (Pro và cao hơn), có sẵn Super Bot Fight Mode với các thiết lập chi tiết hơn: bạn có thể thiết lập hành vi riêng cho các bot tìm kiếm (Googlebot, Yandexbot cần được cho phép!), cho các bot đã được xác minh (giám sát uptime) và cho các yêu cầu tự động đáng ngờ.

Bước 5 — Tạo quy tắc tường lửa (Firewall Rules)

Chuyển đến Security → WAF → Firewall Rules và tạo các quy tắc theo nhu cầu của bạn. Dưới đây là một số ví dụ về các quy tắc mà bạn nên thêm ngay lập tức:

Bước 6 — Thiết lập Giới hạn Tần suất (Rate Limiting)

Trong phần Security → WAF → Rate limiting rules, tạo một quy tắc giới hạn tần suất yêu cầu. Ví dụ: không quá 100 yêu cầu trong 1 phút từ một địa chỉ IP. Nếu vượt quá giới hạn — hiển thị CAPTCHA hoặc chặn tạm thời. Điều này ngăn chặn hầu hết các trình phân tích cố gắng thu thập tất cả các trang của trang web của bạn một cách nhanh chóng.

Thiết lập proxy ngược Nginx: cấu hình cơ bản

Nếu bạn có một máy chủ VPS riêng (ví dụ: trên Timeweb, Selectel hoặc DigitalOcean), bạn có thể thiết lập Nginx như một proxy ngược. Điều này mang lại nhiều kiểm soát và linh hoạt hơn, mặc dù yêu cầu kỹ năng cơ bản về dòng lệnh.

Sơ đồ điển hình: bạn có một máy chủ chính với ứng dụng (ví dụ: cửa hàng trực tuyến trên cổng 8080), và một máy chủ riêng hoặc cùng một máy chủ với Nginx trên cổng 80/443, nhận toàn bộ lưu lượng và chuyển tiếp nó đến ứng dụng.

Cấu hình cơ bản của Nginx như một proxy ngược với bảo vệ khỏi bot trông như sau:

server {
    listen 80;
    server_name mysite.ru www.mysite.ru;

    # Chuyển hướng đến HTTPS
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name mysite.ru www.mysite.ru;

    ssl_certificate /etc/letsencrypt/live/mysite.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mysite.ru/privkey.pem;

    # Chặn User-Agent trống (bot không có UA)
    if ($http_user_agent = "") {
        return 403;
    }

    # Chặn các trình quét đã biết theo User-Agent
    if ($http_user_agent ~* (sqlmap|nikto|nmap|masscan|zgrab|python-requests)) {
        return 403;
    }

    # Giới hạn tần suất — áp dụng khu vực giới hạn
    limit_req zone=one burst=20 nodelay;

    # Chuyển tiếp yêu cầu đến máy chủ thực
    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Ẩn thông tin về máy chủ thực
        proxy_hide_header X-Powered-By;
        proxy_hide_header Server;
    }
}

# Xác định khu vực Giới hạn Tần suất (thêm vào khối http)
# limit_req_zone $binary_remote_addr zone=one:10m rate=60r/m;

Lưu ý đến chỉ thị proxy_hide_header — nó ẩn các tiêu đề tiết lộ thông tin về máy chủ thực và CMS của bạn. Điều này làm cho công việc của các trình quét lỗ hổng trở nên khó khăn hơn: họ không biết chính xác họ đang tìm kiếm gì.

Khu vực limit_req_zone giới hạn mỗi địa chỉ IP đến 60 yêu cầu mỗi phút. Tham số burst=20 cho phép các đợt tăng ngắn hạn (người dùng thực có thể mở nhanh nhiều trang), nhưng tải cao kéo dài sẽ bị chặn.

Quy tắc chặn bot và trình quét: danh sách kiểm tra

Sau khi thiết lập cơ bản proxy ngược, hãy sử dụng danh sách kiểm tra này để đảm bảo rằng bảo vệ đã được thiết lập một cách toàn diện. Mỗi mục là một vectơ tấn công riêng biệt cần được đóng lại.

✅ Bảo vệ cơ bản (bắt buộc cho tất cả)

• Bật Chế độ Chiến đấu với Bot trong Cloudflare (hoặc tương tự trong giải pháp khác)
• Thiết lập Giới hạn Tần suất: không quá 60-100 yêu cầu mỗi phút từ một IP
• Chặn các yêu cầu với User-Agent trống
• Chặn các trình quét đã biết: sqlmap, nikto, nmap, masscan
• Ẩn các tiêu đề Server và X-Powered-By (không hiển thị phiên bản máy chủ và CMS)
• Thiết lập HTTPS, HTTP tự động chuyển hướng đến HTTPS
• Địa chỉ IP thực của máy chủ không xuất hiện trong các cơ sở dữ liệu công khai (Shodan, Censys)

✅ Bảo vệ nâng cao (cho các trang web bị tấn công tích cực)

• Thiết lập Honeypot — trang ẩn chỉ bot nhìn thấy (người dùng thực không vào đó). IP đã truy cập honeypot sẽ tự động bị chặn
• Bật kiểm tra tính toàn vẹn của trình duyệt (Browser Integrity Check trong Cloudflare)
• Thiết lập CAPTCHA cho lưu lượng đáng ngờ (không cho tất cả — chỉ cho lưu lượng đáng ngờ)
• Địa lý chặn các quốc gia không mong đợi lưu lượng hợp pháp
• Theo dõi nhật ký: thiết lập cảnh báo khi có sự gia tăng đột ngột lỗi 403/429
• Chặn các dải IP của các nhà cung cấp đám mây lớn (AWS, Azure, GCP) — hầu hết các bot hoạt động từ đám mây
• Thiết lập robots.txt với lệnh cấm cho các bot hung hăng

✅ Bảo vệ các trang cụ thể

• Trang đăng nhập (/admin, /wp-admin, /login) — Giới hạn Tần suất nghiêm ngặt (5-10 cố gắng mỗi phút) và xác thực hai yếu tố
• Các điểm cuối API — yêu cầu xác thực qua API key hoặc token
• Các trang có giá — kiểm tra bổ sung cho các yêu cầu thường xuyên (bảo vệ khỏi phân tích)
• Mẫu đăng ký/yêu cầu — CAPTCHA hoặc bẫy honeypot vô hình cho bot

Proxy để giám sát: cách kiểm tra bảo vệ trang web của bạn

Sau khi thiết lập proxy ngược, điều quan trọng là đảm bảo rằng bảo vệ hoạt động chính xác và không chặn người dùng thực. Tại đây, các proxy thông thường sẽ giúp ích — bạn trở thành "người dùng bên ngoài" và kiểm tra hành vi của trang web.

Tại sao các nhà tiếp thị và người điều phối cần kiểm tra trang web của họ qua proxy

Hãy tưởng tượng tình huống: bạn đã thiết lập bảo vệ chống lại bot, bật địa lý chặn, và đột nhiên nhận thấy rằng tỷ lệ chuyển đổi đã giảm. Có thể bạn đã vô tình chặn người dùng thực từ một số khu vực hoặc thiết bị nhất định. Bạn có thể kiểm tra điều này bằng cách truy cập vào trang web qua proxy từ các quốc gia khác nhau và với các loại kết nối khác nhau.

Đối với những nhiệm vụ như vậy, proxy di động là lựa chọn tuyệt vời — chúng mô phỏng kết nối từ một thiết bị di động thực qua nhà mạng. Nếu các quy tắc chặn của bạn cho phép lưu lượng di động một cách chính xác, điều đó có nghĩa là người dùng thông thường từ điện thoại thông minh không bị ảnh hưởng bởi sự bảo vệ.

Các kịch bản kiểm tra thực tế

Kịch bản 1 — Kiểm tra khả năng truy cập địa lý. Bạn đã chạy quảng cáo trên Facebook Ads cho đối tượng từ một số khu vực của Nga. Qua proxy với IP từ Novosibirsk, Yekaterinburg và Krasnodar, hãy kiểm tra xem trang đích có mở đúng cách, không hiển thị CAPTCHA và tải nhanh không.

Kịch bản 2 — Kiểm tra Giới hạn Tần suất. Mở vài tab qua một proxy và nhanh chóng chuyển đổi giữa các trang. Nếu bạn nhận được chặn khi hành vi bình thường — ngưỡng quá thấp, cần nâng cao nó.

Kịch bản 3 — Kiểm tra từ các loại IP khác nhau. Hãy thử truy cập qua proxy của trung tâm dữ liệu (mô phỏng bot/máy chủ) — nếu bảo vệ của bạn hoạt động, yêu cầu như vậy sẽ nhận được CAPTCHA hoặc bị chặn. Sau đó, hãy truy cập qua proxy cư trú (mô phỏng người dùng bình thường) — quyền truy cập phải được tự do.

Kịch bản 4 — Kiểm tra từ đối thủ. Nếu bạn muốn kiểm tra mức độ khó khăn khi phân tích trang web của bạn, hãy thử làm điều đó một cách tự lực qua một công cụ đơn giản. Nếu trình phân tích bị chặn ngay sau 10-20 yêu cầu — bảo vệ hoạt động. Nếu thu thập dữ liệu một cách không bị cản trở — cần thắt chặt quy tắc.

Giám sát hiệu quả của bảo vệ

Trong Cloudflare, chuyển đến phần Security → Overview — tại đây bạn thấy biểu đồ về các yêu cầu bị chặn, loại mối đe dọa và địa lý của các cuộc tấn công. Hãy chú ý đến:

• Sự gia tăng đột ngột của các yêu cầu bị chặn — dấu hiệu của một cuộc tấn công hoặc phân tích tích cực
• Tỷ lệ lưu lượng cao từ một quốc gia — có thể nên thêm địa lý chặn
• Tăng lỗi 403/429 trong nhật ký — kiểm tra xem có phải người dùng thực bị chặn không
• Các yêu cầu thường xuyên đến /admin, /wp-login.php — cố gắng xâm nhập, tăng cường bảo vệ cho các đường dẫn này

Kết luận: proxy ngược không phải là tùy chọn, mà là sự cần thiết

Proxy ngược đã không còn là công cụ chỉ dành cho các tập đoàn lớn. Ngày nay, ngay cả một cửa hàng trực tuyến nhỏ, một trang đích cho chiến dịch điều phối hoặc một trang web của một công ty SMM cũng cần có sự bảo vệ cơ bản khỏi bot, trình quét và phân tích của đối thủ.

Những điểm chính từ hướng dẫn này: Cloudflare — khởi đầu nhanh nhất mà không cần kiến thức kỹ thuật, Nginx — kiểm soát tối đa khi có máy chủ riêng. Trong cả hai trường hợp, bảo vệ cơ bản có thể được thiết lập trong 30-60 phút và đóng lại 80-90% các mối đe dọa điển hình. Đừng quên kiểm tra rằng các bot hữu ích (Googlebot, Yandexbot) vẫn nằm trong danh sách trắng, và người dùng thực không bị ảnh hưởng bởi các quy tắc quá nghiêm ngặt.

Một điểm riêng cho những người sử dụng proxy trong công việc của họ: nếu bạn kiểm tra các chiến dịch quảng cáo, theo dõi đối thủ hoặc kiểm tra khả năng truy cập của các trang web của mình từ các khu vực khác nhau — cho những nhiệm vụ này, proxy cư trú là lựa chọn tốt nhất. Chúng có địa chỉ IP của những người dùng thực tại nhà, vì vậy chúng vượt qua hầu hết các hệ thống bảo vệ giống như những khách truy cập thông thường và cung cấp cái nhìn khách quan về những gì khán giả của bạn thấy.