Các lớp phía trên máy chủ của bạn: tên miền, CDN, trung chuyển

Chọn nơi đặt máy chủ chỉ là một quyết định trong số ba quyết định, và hiếm khi là quyết định quyết định kết quả cuối cùng. Phía trên máy chủ là một cái tên, do một bên khác vận hành. Phía trước máy chủ, với hầu hết các trang, là một reverse proxy do một bên khác nữa vận hành. Không bên nào trong hai bên đó bị ràng buộc bởi chính sách của nhà cung cấp lưu trữ của bạn, không bên nào nằm trong thẩm quyền tài phán của nhà cung cấp đó, và cả hai đều có thể bị một tòa án hoàn toàn không có quyền với nhà cung cấp của bạn ra lệnh phải hành động. Đây là phần của chồng hạ tầng mà lưu trữ offshore không bao phủ, và đáng để biết chính xác nó dừng lại ở đâu.

Ba lớp, ba chủ sở hữu khác nhau

Một trang web có thể truy cập được phụ thuộc vào ít nhất ba doanh nghiệp riêng biệt, và chúng gặp sự cố một cách độc lập với nhau.

Cái tên. Một registrar đã bán nó cho bạn; một registry vận hành phần đuôi mở rộng mà nó thuộc về. Hai công ty, thường ở hai quốc gia, và bên thứ hai chưa từng nghe tới bạn.

Mặt tiền. Nếu có bất cứ thứ gì trả lời thay bạn — một CDN, một reverse proxy, một điểm biên anycast — nó sẽ kết thúc kết nối của khách truy cập trước khi máy chủ của bạn kịp nhìn thấy họ. Do đó, theo cấu trúc, nó biết địa chỉ gốc của bạn, và nó là bên nhận các khiếu nại.

Đường truyền và cỗ máy. Nhà cung cấp lưu trữ của bạn, các nhà mạng trung chuyển của nó, cơ sở vật chất, dải địa chỉ mà máy chủ của bạn nằm trong đó. Đây là lớp mà người ta đi mua sắm, và cũng là lớp duy nhất trong ba lớp thực sự chịu sự chi phối của thẩm quyền tài phán nơi lưu trữ đặt trụ sở.

Thói quen đáng từ bỏ là coi ba thứ này như một lần mua duy nhất. Đó là ba thứ khác nhau, và việc đặt cả ba vào cùng một tay — hay cùng một hệ thống pháp luật — chính là cách một lệnh duy nhất có thể đánh sập tất cả cùng một lúc.

Tên miền: registrar, và registry phía trên nó

Registrar của bạn là cửa hàng bán lẻ. Registry là nhà bán buôn vận hành phần đuôi mở rộng, và đây là lớp mà hầu như không ai kiểm tra trước khi mua.

Điều gì khiến một registrar phải hành động

Kể từ ngày 5 tháng 4 năm 2024, các registrar được công nhận đã mang nghĩa vụ hợp đồng phải hành động trước cái mà ICANN gọi là DNS Abuse: khi họ nắm giữ bằng chứng có thể hành động được, họ phải nhanh chóng áp dụng các biện pháp giảm thiểu cần thiết một cách hợp lý để làm gián đoạn tên miền đó. Nửa hữu ích của quy tắc này nằm ở định nghĩa của nó. DNS Abuse có nghĩa là mã độc, botnet, lừa đảo phishing, pharming, và thư rác khi thư rác là phương tiện phát tán cho một trong những thứ kể trên. Nội dung trang web nằm ngoài phạm vi, và bản quyền cũng nằm ngoài phạm vi — một cách rõ ràng, minh thị.

Hãy đọc điều đó như một ngưỡng chứ không phải một sự an ủi. Nó cho bạn biết hình dạng mà một khiếu nại phải có trước khi registrar của bạn buộc phải hành động; nó cũng cho bạn biết rằng mọi thứ nằm ngoài danh sách đó phải đến dưới dạng một lệnh từ tòa án hoặc một cơ quan có thẩm quyền — chậm hơn, có thể kiểm chứng, và có thể kháng cáo. Cả hai nửa đều đáng biết trước khi bạn xử lý khiếu nại mà bạn sắp nhận được.

Điều registry có thể làm, và nó nằm ở đâu

Một registry có một đòn bẩy duy nhất và tuyệt đối: nó có thể đặt một trạng thái lên tên miền của bạn để loại nó khỏi zone. Từ đó, tên miền không còn phân giải được cho bất kỳ ai, ở bất kỳ đâu, bất kể registrar của bạn nghĩ gì và bất kể máy chủ của bạn đặt ở đâu. Không điều gì ở lớp lưu trữ có thể giảm nhẹ chuyện này, bởi vì lớp lưu trữ hoàn toàn không liên quan.

Đây không phải chuyện lý thuyết. Vào tháng 6 năm 2026, một tòa án cấp quận ở Texas đã ban hành một lệnh tịch thu tài sản, chỉ đạo Verisign — đơn vị vận hành .com — đặt motherless.com vào tình trạng registry hold. Đơn vị vận hành trang này là một công ty Luxembourg đã phớt lờ một phán quyết của Texas theo đạo luật xác minh độ tuổi của bang này; lệnh đó ấn định một khoản bảo lãnh 9,14 triệu đô la Mỹ như điều kiện để lấy lại tên miền. Trang web đó không được lưu trữ ở Texas và công ty đó cũng không có mặt ở Texas. Tên miền nằm trong .com, và .com do một công ty Hoa Kỳ vận hành, dưới thẩm quyền tài phán của Hoa Kỳ. Chừng đó là đủ.

Bài học có thể khái quát hóa không nằm ở vụ việc đó. Mà là phần đuôi mở rộng bạn chọn cũng là một lựa chọn thẩm quyền tài phán, hệt như quốc gia nơi máy chủ của bạn đặt, và hầu hết mọi người chọn nó theo thói quen. Hãy hỏi ai vận hành phần đuôi mở rộng đó, theo luật nào, và hệ thống pháp luật đó có thói quen ra lệnh cho các registry hay không. Rồi hãy quyết định xem bạn có muốn tên miền duy nhất của mình nằm ở đó hay không.

Quyền riêng tư trên tên miền là chuyện công khai, không phải chuyện hiểu biết

Việc ẩn thông tin WHOIS và RDAP chặn được trình thu thập dữ liệu hàng loạt và những lượt tra cứu qua loa. Nó không khiến registrar của bạn không biết gì: việc được công nhận buộc registrar phải giữ dữ liệu đăng ký, và nó tiết lộ dữ liệu đó theo thủ tục pháp lý như bất kỳ ai khác. Một dịch vụ riêng tư đặt trước bản ghi chỉ là một cài đặt về việc công khai, không phải một tấm khiên — và một registrar chưa từng hỏi bạn bất cứ điều gì thì không thể tiết lộ thứ nó không có, đó là một tính chất hoàn toàn khác và là tính chất duy nhất đáng bỏ tiền ra mua.

Proxy ở phía trước: điều nó loại bỏ, điều nó chuyển tiếp

Một CDN là một bên trung gian lưu đệm. Nó không lưu trữ lâu dài trang của bạn, nên “gỡ tệp xuống” thường không phải điều nó có thể làm. Điều nó có thể làm là ngừng đóng vai trò proxy cho bạn — mà đối với một trang phụ thuộc vào proxy để duy trì khả năng truy cập được và giữ kín địa chỉ gốc của mình, đó là một hành động gỡ bỏ và một sự tiết lộ diễn ra trong cùng một động tác.

Hành vi đáng chú ý hơn lại là hành vi thường nhật, và nhà cung cấp lớn nhất công bố nó một cách rõ ràng. Khi nhận được một báo cáo lạm dụng về một trang mà nó chỉ đơn thuần đóng vai trò proxy, nó sẽ chuyển khiếu nại của bạn cho đơn vị vận hành trang web và cho nhà cung cấp lưu trữ, và nó sẽ cung cấp cho nhà cung cấp lưu trữ địa chỉ IP gốc của nội dung đang bị khiếu nại. Cả hai điều đó đều được trích trực tiếp từ chính chính sách xử lý lạm dụng của nó, và chúng đối lập hoàn toàn với điều mà người mua vẫn tưởng mình đang trả tiền để có được.

Vậy nên proxy không phải là một lớp đệm giữa bạn và bộ phận xử lý lạm dụng của nhà cung cấp lưu trữ. Nó là một người đưa thư. Nó mang khiếu nại tới nhà cung cấp lưu trữ của bạn, và nó cho nhà cung cấp đó biết chính xác cần xem xét máy chủ nào. Nếu bạn chọn nhà cung cấp lưu trữ của mình vì cách nó xử lý khiếu nại, thì không sao cả — khiếu nại đến đúng nơi bạn muốn nó đến. Nếu bạn chọn một proxy với hy vọng khiếu nại sẽ dừng lại ở đó, thì nó không dừng lại.

Tài liệu của cùng nhà cung cấp đó cũng áp đặt một nghĩa vụ lên bạn: duy trì một địa chỉ liên hệ xử lý lạm dụng được quản lý và theo dõi tích cực, và phản hồi mọi thông báo báo cáo lạm dụng trong vòng hai mươi bốn giờ. Không phản hồi kịp thời có thể dẫn đến việc nội dung bị báo cáo bị gỡ bỏ hoặc chặn, và tài khoản bị đình chỉ hoặc chấm dứt. Bên trung gian vốn không thể gỡ bỏ nội dung của bạn vẫn tự viết cho mình một điều khoản gỡ bỏ, và một chiếc đồng hồ đếm giờ.

Có một ngoại lệ đáng lưu ý. Ở những nơi cùng công ty đó cũng lưu trữ — dịch vụ lưu trữ đối tượng, nền tảng serverless, các sản phẩm media và trang web của nó — thì nó là một nhà cung cấp lưu trữ đối với nội dung đó, nó tự nhận như vậy, và nó gỡ bỏ nội dung theo một quy trình notice-and-takedown có kèm phản thông báo (counter-notice), theo đúng hình thức mà luật Hoa Kỳ quy định. Hai sản phẩm của cùng một nhà cung cấp, hai câu trả lời hoàn toàn khác nhau. Hãy biết rõ bạn đang thực sự dùng sản phẩm nào.

Điều một CDN không giấu được, và cách địa chỉ gốc bị tìm ra

Rất nhiều người đặt một proxy trước máy chủ vì đúng một lý do: giữ địa chỉ gốc khỏi tầm nhìn của internet công cộng. Đáng để biết điều đó thực sự hiệu quả đến đâu trong thực tế, và câu trả lời trung thực là nó có hiệu quả cho đến khi một trong năm sai lầm thông thường phá hỏng nó. Không sai lầm nào trong số đó là hiếm gặp; chính các nhà cung cấp proxy cũng ghi lại chúng.

Những bản ghi bạn đã công bố trước khi chuyển. DNS là công khai và được lưu trữ. Gần như mọi trang từng chuyển ra sau một proxy đều có địa chỉ trước-khi-chuyển của mình nằm trong một tập dữ liệu lịch sử của ai đó, vĩnh viễn. Chính hướng dẫn của nhà cung cấp cũng khuyên nên xoay vòng địa chỉ gốc sau khi hoàn tất thiết lập — nếu bạn không làm vậy, việc chuyển chỉ là hình thức.

Những bản ghi bạn để sót, không qua proxy. Chỉ cần một subdomain trỏ thẳng vào máy chủ là đủ: mail, ftp, cpanel, dev, staging, vpn, máy chủ giám sát bạn từng thiết lập một lần rồi quên. Hãy rà soát mọi bản ghi trong zone, không chỉ những bản ghi bạn còn nhớ mình đã tạo.

Email rời khỏi máy chủ. Nếu máy chủ gốc gửi email, địa chỉ của nó sẽ đi kèm trong phần header. Hãy gửi một thư tới một địa chỉ không tồn tại và thư trả về (bounce) sẽ mang theo địa chỉ đó. Email nên đặt trên một máy khác, chứ không phải máy bạn đang cố giữ kín.

Certificate Transparency. Mọi chứng chỉ được tin cậy công khai đều được ghi log kèm theo danh sách tên miền mà nó bao phủ. Các log đó không giao ra một địa chỉ, nhưng chúng giao ra toàn bộ danh sách các subdomain để thử, kể cả những subdomain bạn tưởng là riêng tư.

Quét địa chỉ hàng loạt. Toàn bộ không gian địa chỉ IP bị quét liên tục và được lập chỉ mục theo những gì nó trả lời. Một trang có đặc điểm nhận dạng riêng được phục vụ từ một địa chỉ trần trụi chỉ là một lượt tra cứu cơ sở dữ liệu, không phải một cuộc điều tra.

Các cách khắc phục đã được hiểu rõ, và đáng làm theo thứ tự mức độ hiệu quả chứ không phải theo thứ tự tiện lợi.

1. Một tunnel chỉ đi ra ngoài (outbound-only). Máy chủ gốc mở một kết nối tới edge và không lắng nghe trên bất kỳ cổng nào. Không có cổng nào để tìm ra, nên địa chỉ đó thôi không còn đáng chú ý nữa dù có bị lộ. Đây là lựa chọn duy nhất trong danh sách không phụ thuộc vào việc cấu hình đúng một quy tắc.
2. mTLS từ phía edge. Máy chủ gốc chỉ phục vụ cho một client xuất trình được chứng chỉ của proxy. Địa chỉ có thể bị lộ; nhưng nó sẽ không trả lời. Đây là biện pháp mạnh, và nó vẫn còn hiệu lực ngay cả khi địa chỉ trở nên công khai.
3. Tường lửa giới hạn theo các dải địa chỉ đã công bố của proxy. Tốt hơn là không làm gì và dễ triển khai, nhưng các dải địa chỉ đó thay đổi, và chính bảng so sánh của nhà cung cấp cũng đánh dấu cách làm này là dễ bị giả mạo (spoofing). Hãy coi đây là mức sàn, không phải một giải pháp.
4. Dọn dẹp thường xuyên. Xoay vòng địa chỉ gốc ngay khi bạn đã ở sau edge, chuyển email sang một máy khác, và rà soát các bản ghi không qua proxy sau mỗi lần thay đổi. Phần lớn các trường hợp lộ thông tin nằm ở một trong ba điều này, không phải một cuộc tấn công tinh vi.

Một proxy giấu địa chỉ gốc khỏi một người lạ dùng trình duyệt. Nó không giấu địa chỉ gốc khỏi chính proxy đó — thứ vốn biết địa chỉ đó theo đúng định nghĩa, và khi nhận được một khiếu nại, cam kết sẽ cho nhà cung cấp lưu trữ của bạn biết địa chỉ đó là gì.

Bên dưới cỗ máy: trung chuyển, dải địa chỉ, cơ sở vật chất

Bên dưới máy chủ của bạn còn có thêm một nhóm các bên nữa, và đây thường là những bên mà một nhà cung cấp lưu trữ ít muốn nói đến nhất.

Các nhà mạng trung chuyển. Nhà cung cấp lưu trữ của bạn mua kết nối từ ai đó. Các nhà mạng trung chuyển đó có bộ phận xử lý lạm dụng, hợp đồng và mức chấp nhận rủi ro riêng của họ, và một nhà mạng trung chuyển quyết định rằng bạn là rắc rối có thể tự đưa ra quyết định thay cho nhà cung cấp lưu trữ của bạn. Hãy hỏi có bao nhiêu nhà mạng trung chuyển — chỉ một nhà mạng nghĩa là một điểm chính sách duy nhất cũng như một điểm lỗi duy nhất — và hãy hỏi câu hỏi sắc hơn: nhà cung cấp của bạn có âm thầm chấp nhận các blocklist từ phía nhà mạng trung chuyển áp lên lưu lượng của bạn hay không?

Dải địa chỉ (prefix) bạn dùng chung. Các hệ thống đánh giá uy tín hoạt động dựa trên dải địa chỉ, không dựa trên từng khách hàng. Bạn thừa hưởng những người hàng xóm của mình, và bạn thừa hưởng họ mà không hề được cho biết họ là ai. Đây là cái giá cụ thể của việc dùng một nhà cung cấp tự quảng cáo mình là nơi trú ẩn cho bất cứ thứ gì: các blocklist ập đến cả dải địa chỉ, và email cũng như các lệnh gọi API của bạn nằm bên trong dải đó.

Cơ sở vật chất và phần cứng. Tủ rack đi thuê nghĩa là có một chủ nhà với chính sách xử lý lạm dụng riêng nằm phía trên nhà cung cấp lưu trữ của bạn, một cách vô hình, và mỗi lớp phía trên nhà cung cấp của bạn là thêm một bên có thể chấm dứt dịch vụ của bạn vì những lý do bạn sẽ không bao giờ nhìn thấy.

Vì mục đích của hướng dẫn này là buộc mỗi lớp phải giải trình được, đây là câu trả lời của chúng tôi cho chính lớp này, theo đúng những thuật ngữ đó. Hai nhà mạng trung chuyển, cân bằng tải qua BGP, hai mươi gigabit hỗn hợp, đi vào Chișinău. Lọc ở tầng 3 và tầng 4 phía trên mọi cổng, cho tất cả mọi người, không phải mua thêm gì cả. Các blocklist từ phía nhà mạng trung chuyển không được chấp nhận áp lên lưu lượng khách hàng: nếu có thứ gì phải bị chặn, một tòa án sẽ nói vậy và chúng tôi sẽ báo cho bạn. Phần cứng được sở hữu chứ không phải đi thuê, ở một quốc gia duy nhất, bởi chính công ty bạn đang mua dịch vụ — chi tiết có trên trang mạng lưới và trang cơ sở vật chất.

Và khoảng trống đó, nói thẳng ra: chúng tôi không bán tên miền, và chúng tôi không vận hành proxy mà bạn đặt trước máy chủ của mình. Hai lớp đó là của bạn. Mọi điều đã nói ở trên về registry và về các khiếu nại được chuyển tiếp đều áp dụng cho bạn đúng như đã viết, và không thẩm quyền tài phán lưu trữ nào — kể cả của chúng tôi — thay đổi được một chữ nào trong đó.

Đặt ba lớp vào ba bàn tay khác nhau

Toàn bộ hướng dẫn này rút gọn lại thành một vài quyết định, và không quyết định nào trong số đó tốn kém gì cả.

1. Ba lớp, ba nhà cung cấp, ba hệ thống pháp luật khác nhau. Tên miền, edge và máy chủ nằm trong tay một công ty duy nhất chỉ cách con số không đúng một lệnh mà thôi. Ở trong ba bàn tay khác nhau, một lệnh nhắm vào bất kỳ bên nào trong số đó vẫn để hai bên còn lại tiếp tục hoạt động, và cho bạn thêm thời gian.
2. Hỏi mỗi lớp cùng ba câu hỏi. Bạn có thể bị buộc phải chuyển tiếp điều gì, bị buộc phải gỡ bỏ điều gì, và bị buộc phải tiết lộ điều gì? Ba điều này hỏng độc lập với nhau, và một nhà cung cấp trả lời cả ba câu chỉ trong một câu duy nhất là chưa hiểu câu hỏi.
3. Cấu hình như thể proxy sẽ chuyển tiếp, vì nó thực sự làm vậy. Hãy giả định mọi khiếu nại đều đến được nhà cung cấp lưu trữ của bạn kèm theo địa chỉ gốc của bạn. Nếu kết quả đó là một vấn đề, cách khắc phục nằm ở lớp lưu trữ hoặc ở những gì bạn công bố — không phải ở việc thêm một bên trung gian khác.
4. Đóng địa chỉ gốc lại đúng cách. Tunnel chỉ đi ra ngoài hoặc mTLS; email đặt trên một máy khác; xoay vòng địa chỉ sau khi hoàn tất thiết lập; rà soát các bản ghi không qua proxy. Bốn việc, đều nhàm chán, và chúng bao phủ gần như mọi trường hợp lộ thông tin thực sự.
5. Coi tên miền là điểm lỗi duy nhất của bạn, và lên kế hoạch cho nó. Hãy biết registry nào vận hành phần đuôi mở rộng của bạn và theo luật nào. Giữ một tên miền thứ hai, ở một phần đuôi mở rộng khác, tại một registrar khác, và biết trước bạn sẽ hướng dẫn mọi người dùng nó như thế nào.

Không điều gì trong bài này phản đối việc đặt một proxy trước máy chủ của bạn, và cũng không điều gì phản đối việc lưu trữ offshore — chúng tôi hẳn sẽ là một nguồn kỳ lạ để đưa ra một trong hai lập luận đó. Điều bài này lập luận là ba lớp này là ba lần mua riêng biệt với ba kiểu thất bại riêng biệt, và lớp mà hầu hết mọi người soi xét kỹ nhất lại không phải lớp có khả năng cao nhất khiến họ gặp rắc rối. Nếu bạn muốn lớp mà chính chúng tôi vận hành cũng bị soi theo cùng một tiêu chuẩn, số liệu hằng quý và trang dành cho cơ quan thực thi pháp luật là nơi để kiểm tra điều đó.

Được viết bởi các kỹ sư vận hành nền tảng, và được xem lại hôm nay. Nếu có điều gì ở đây sai hoặc đã lỗi thời, có thể phản ánh từ bảng điều khiển — đó cũng là nơi khoảng một nửa những điều này đến từ.