1. Zone ID là gì?

Zone ID là mã số định danh duy nhất cho từng tên miền (zone) mà bạn quản lý trên Cloudflare. Zone ID được sử dụng trong nhiều lệnh API của Cloudflare để xác định chính xác tên miền mà bạn muốn thao tác.

Ví dụ: Khi bạn muốn cập nhật DNS thông qua API, bạn sẽ cần cung cấp Zone ID để Cloudflare biết tên miền nào cần chỉnh sửa.

2. Cách lấy Zone ID trên Cloudflare

Truy cập vào trang chủ của Cloudflare tại https://www.cloudflare.com và đăng nhập vào tài khoản của bạn.

Sau khi đăng nhập, bạn sẽ thấy danh sách các tên miền đã thêm vào Cloudflare. Bấm chọn vào tên miền bạn muốn tìm Zone ID

Sau khi vào trang quản lý của tên miền, kéo xuống dưới cùng của trang Overview, phía cột bên phải bạn sẽ thấy mục Zone ID nằm trong phần API.

Ví dụ:

Zone ID: 43423423423432430abcdef

Hãy sao chép Zone ID này lại để sử dụng khi cần.

3. API Token là gì và tại sao cần tạo API Token?

API Token là mã thông báo bảo mật cho phép truy cập và thực hiện các thao tác trên Cloudflare thông qua API. Bạn có thể tạo các API Token với quyền hạn cụ thể tùy vào từng mục đich sử dụng, giúp tăng cường bảo mật.

Ví dụ: bạn có thể tạo một API Token chỉ để cập nhật DNS, hoặc một API Token khác để quản lý Firewall Rules.

4. Cách tạo API Token trên Cloudflare#

Truy cập vào https://dash.cloudflare.com/profile/api-tokens để vào trang quản lý API Tokens. Hoặc từ trang chủ Cloudflare, bấm vào biểu tượng Tài khoản rồi chọn My Profile

Tiếp theo, bấn chọn vào mục API Token ở Menu bên trái

Để tạo Token mới, bấm vào nút Create Token

Cloudflare đã tạo sẵn nhiều mẫu (template) để chúng ta có thể cấu hình nhanh thông số cho Token. Nếu chỉ cần API Token liên quan đến DNS, bấm chọn vào nút Use template của mục Edit Zone DNS

Tiếp theo, cấu hình quyền cho Token. Sau đó bấm Continue to Summary

• Chọn quyền Zone**:Edit** để có thể đọc và chỉnh sửa thông tin của tên miền.
• Chọn cụ thể tên miền (hoặc tất cả tên miền) mà API Token này sẽ được phép truy cập.

Bấm Create Token để xác nhận

Cloudflare sẽ hiển thị mã API Token của bạn một lần duy nhất. Hãy sao chép và lưu lại mã này để sử dụng.

Lưu ý: Không chia sẻ API Token của bạn với người khác và tránh lưu trữ ở những nơi không an toàn.

Bạn có thể xác nhận lại token có hoạt động hay không bằng cách gõ dòng lệnh curl ... vào terminal. Nếu thấy kết quả trả về có dòng "status": "active" nghĩa là token đang hoạt động.

{"result":{"id":"2a8376b6ab629d04aba6957570fd1d56","status":"active"},"success":true,"errors":[],"messages":[{"code":10000,"message":"This API Token is valid and active","type":null}]}%

5. Lưu ý bảo mật

• Bạn nên sử dụng API Token thay vì Global API Key để tăng cường bảo mật.
• Chỉ cấp các quyền cần thiết cho API Token.
• Mỗi ứng dụng nên sử dụng một API Token riêng.
• Xóa các API Token không còn sử dụng.
• Sử dụng các công cụ quản lý mật khẩu như Bitwarden hoặc 1Password để lưu trữ API Token an toàn.

• Truy cập trực tiếp bằng Public IP của modem
• Truy cập qua tên miền được cấu hình trỏ đến Public IP.

Đa số mọi người sẽ chọn cách thứ hai vì nó đơn giản, dễ nhớ hơn so với chuỗi dãy số IP xxx.xxx.xxx.xxx. Tuy nhiên nếu mạng ở nhà sử dụng IP động (đa số trường hợp), tên miền cần phải được tự động cập nhật mỗi khi Public IP thay đổi để tránh kết nối bị lỗi.

Hiện tại mình đang dùng 1 bash script trên Raspberry Pi để tự động cập nhật IP động cho tên miền qua dịch vụ CloudFlare. Nhờ vậy tên miền luôn được trỏ đến IP mới nhất được cấp cho modem mạng ở nhà.

Dưới đây là hướng dẫn chi tiết cách thiết lập

1. Yêu cầu

• Đã có sẵn tên miền và đã có tài khoản Cloudflare.
• Tên miền đã được chuyển về CloudFlare quản lý
• Máy tính / máy ảo chạy Linux (Ubuntu / Arch / CentOS / …) hoặc Raspberry Pi (đời nào cũng được)

Lưu ý: Tên miền sử dụng phải là loại trả phí (.com, .net, .org, .me, …), không thể sử dụng các loại tên miền miễn phí (.tk, .ga, .ml, .cf, .gq, …) vì Cloudflare không hỗ trợ.

2. Cài đặt Cloudflare.sh script

Bạn cần truy cập SSH vào máy tính để thiết lập script.

Tạo file cloudflare.sh trong thư mục $HOME

cd ~
mkdir cloudflare
cd cloudflare
nano cloudflare.sh

Nhập vào nội dung sau

#!/bin/bash

# Forked from benkulbertis/cloudflare-update-record.sh
# CHANGE THESE

# API Token (Recommended)                                                                      #####
auth_token="xxxx-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

# Domain and DNS record for synchronization
zone_identifier="f1nd7h3fuck1n6z0n31d3n71f13r4l50" # Can be found in the "Overview" tab of your domain
record_name="ipv4.example.org"                     # Which record you want to be synced

# DO NOT CHANGE LINES BELOW

# SCRIPT START
echo -e "Check Initiated"

# Check for current external network IP
ip=$(curl -s4 https://icanhazip.com/)
if [[ ! -z "${ip}" ]]; then
  echo -e "  > Fetched current external network IP: ${ip}"
else
  >&2 echo -e "Network error, cannot fetch external network IP."
fi

# The execution of update
if [[ ! -z "${auth_token}" ]]; then
  header_auth_paramheader=( -H '"Authorization: Bearer '${auth_token}'"' )
else
  header_auth_paramheader=( -H '"X-Auth-Email: '${auth_email}'"' -H '"X-Auth-Key: '${auth_key}'"' )
fi

# Seek for the record
seek_current_dns_value_cmd=( curl -s -X GET '"https://api.cloudflare.com/client/v4/zones/'${zone_identifier}'/dns_records?name='${record_name}'&type=A"' "${header_auth_paramheader[@]}" -H '"Content-Type: application/json"' )
record=`eval ${seek_current_dns_value_cmd[@]}`

# Can't do anything without the record
if [[ -z "${record}" ]]; then
  >&2 echo -e "Network error, cannot fetch DNS record."
  exit 1
elif [[ "${record}" == *'"count":0'* ]]; then
  >&2 echo -e "Record does not exist, perhaps create one first?"
  exit 1
fi

# Set the record identifier from result
record_identifier=`echo "${record}" | sed 's/.*"id":"//;s/".*//'`

# Set existing IP address from the fetched record
old_ip=`echo "${record}" | sed 's/.*"content":"//;s/".*//'`
echo -e "  > Fetched current DNS record value   : ${old_ip}"

# Compare if they're the same
if [ "${ip}" == "${old_ip}" ]; then
  echo -e "Update for A record '${record_name} (${record_identifier})' cancelled.\\n  Reason: IP has not changed."
  exit 0
else
  echo -e "  > Different IP addresses detected, synchronizing..."
fi

# The secret sause for executing the update
json_data_v4="'"'{"id":"'${zone_identifier}'","type":"A","proxied":true,"name":"'${record_name}'","content":"'${ip}'","ttl":120}'"'"
update_cmd=( curl -s -X PUT '"https://api.cloudflare.com/client/v4/zones/'${zone_identifier}'/dns_records/'${record_identifier}'"' "${header_auth_paramheader[@]}" -H '"Content-Type: application/json"' )

# Execution result
update=`eval ${update_cmd[@]} --data $json_data_v4`

# The moment of truth
case "$update" in
*'"success":true'*)
  echo -e "Update for A record '${record_name} (${record_identifier})' succeeded.\\n  - Old value: ${old_ip}\\n  + New value: ${ip}";;
*)
  >&2 echo -e "Update for A record '${record_name} (${record_identifier})' failed.\\nDUMPING RESULTS:\\n${update}"
  exit 1;;
esac

Bạn cần phải điền thông tin vào các dòng sau:

• auth_token: Cloudflare API Token
• zone_identifier: Zone ID
• record_name: Tên miền

3. Tìm Zone ID và tạo API Token

Tham khảo bài viết này : Cloudflare: Hướng dẫn lấy Zone ID và tạo API Token nhanh chóng

4. Tạo A Record cho tên miền

Ví dụ mình muốn sử dụng tên miền alibaba.thuanbui.me để truy cập đến homelab ở nhà. Bấm vào Add record và tạo một A record mới.

• Name: điền vào alibaba
• IPv4: điền tạm 1.1.1.1, thông số này sẽ được tự động cập nhật về IP của modem sau khi chạy script.

5. Cập nhật script

Thông tin cần thiết đã có đầy đủ, mình cập nhật lại vào file cloudflare.sh và lưu lại

#!/bin/bash

# Forked from benkulbertis/cloudflare-update-record.sh
# CHANGE THESE

# API Token (Recommended)                                                                  #####
auth_token="LrAB--xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

# Domain and DNS record for synchronization
zone_identifier="48bxxxxxxxxxxxxxxxxxxxx60" # Can be found in the "Overview" tab of your domain
record_name="alibaba.thuanbui.me"                     # Which record you want to be synced

# DO NOT CHANGE LINES BELOW

# SCRIPT START
echo -e "Check Initiated"

# Check for current external network IP
ip=$(curl -s4 https://icanhazip.com/)
if [[ ! -z "${ip}" ]]; then
  echo -e "  > Fetched current external network IP: ${ip}"
else
  >&2 echo -e "Network error, cannot fetch external network IP."
fi

# The execution of update
if [[ ! -z "${auth_token}" ]]; then
  header_auth_paramheader=( -H '"Authorization: Bearer '${auth_token}'"' )
else
  header_auth_paramheader=( -H '"X-Auth-Email: '${auth_email}'"' -H '"X-Auth-Key: '${auth_key}'"' )
fi

# Seek for the record
seek_current_dns_value_cmd=( curl -s -X GET '"https://api.cloudflare.com/client/v4/zones/'${zone_identifier}'/dns_records?name='${record_name}'&type=A"' "${header_auth_paramheader[@]}" -H '"Content-Type: application/json"' )
record=`eval ${seek_current_dns_value_cmd[@]}`

# Can't do anything without the record
if [[ -z "${record}" ]]; then
  >&2 echo -e "Network error, cannot fetch DNS record."
  exit 1
elif [[ "${record}" == *'"count":0'* ]]; then
  >&2 echo -e "Record does not exist, perhaps create one first?"
  exit 1
fi

# Set the record identifier from result
record_identifier=`echo "${record}" | sed 's/.*"id":"//;s/".*//'`

# Set existing IP address from the fetched record
old_ip=`echo "${record}" | sed 's/.*"content":"//;s/".*//'`
echo -e "  > Fetched current DNS record value   : ${old_ip}"

# Compare if they're the same
if [ "${ip}" == "${old_ip}" ]; then
  echo -e "Update for A record '${record_name} (${record_identifier})' cancelled.\\n  Reason: IP has not changed."
  exit 0
else
  echo -e "  > Different IP addresses detected, synchronizing..."
fi

# The secret sause for executing the update
json_data_v4="'"'{"id":"'${zone_identifier}'","type":"A","proxied":true,"name":"'${record_name}'","content":"'${ip}'","ttl":120}'"'"
update_cmd=( curl -s -X PUT '"https://api.cloudflare.com/client/v4/zones/'${zone_identifier}'/dns_records/'${record_identifier}'"' "${header_auth_paramheader[@]}" -H '"Content-Type: application/json"' )

# Execution result
update=`eval ${update_cmd[@]} --data $json_data_v4`

# The moment of truth
case "$update" in
*'"success":true'*)
  echo -e "Update for A record '${record_name} (${record_identifier})' succeeded.\\n  - Old value: ${old_ip}\\n  + New value: ${ip}";;
*)
  >&2 echo -e "Update for A record '${record_name} (${record_identifier})' failed.\\nDUMPING RESULTS:\\n${update}"
  exit 1;;
esac

Mặc định, script này sẽ kích hoạt chế độ proxy trên Cloudflare nhằm mục đích ẩn IP của modem, giảm nguy cơ bị tấn công vào mạng nhà. Nếu vì lý do nào đó không muốn ẩn IP của mình thì có thể thay đổi thông số "proxied":true thành "proxied":false

6. Chạy thử nghiệm

Thiết lập quyền thực thi cho file cloudflare.sh

chmod +X cloudflare.sh

Chạy thử xem nào

./cloudflare.sh

Terminal window

thuanbui@raspberrypi:~/cloudflare $ ./cloudflare.sh
bash: warning: setlocale: LC_ALL: cannot change locale (en_US.UTF-8)
Check Initiated
  > Fetched current external network IP: 27.xx.xx.xx
  > Fetched current DNS record value   : 1.1.1.1
  > Different IP addresses detected, synchronizing...
Update for A record 'alibaba.thuanbui.me (48bxxxxxxxxxxxxxxxxxxxx60)' succeeded.
  - Old value: 1.1.1.1
  + New value: 27.xx.xx.xx

Quay lại Cloudflare, tên miền alibaba.thuanbui.me, mình thấy đã được tự động cập nhật với IP mới. Ngon lành!

7. Thiết lập cron tự động

Việc cuối cùng cần làm là thiết lập cron để script tự động chạy 24/7. Sau đó, không cần bận tâm đến nó nữa

crontab -e

Mình chỉnh cho script tự động chạy sau mỗi 10 phút bằng cách thêm dòng này vào dưới cùng

*/10 * * * * /bin/bash /home/thuanbui/cloudflare/cloudflare.sh

Chú ý nhớ thay /home/thuanbui/cloudflare/cloudflare.sh thành đường dẫn đến nơi lưu file cloudflare.sh của bạn.

Chúc bạn thực hiện thành công!

Bài viết này mình sẽ chia sẻ sự khác nhau giữa các loại Virtual Switch của Hyper-V và cách chọn loại Virtual Switch phù hợp cho nhu cầu sử dụng của bạn

Virtual Switch là gì?

Virtual Switch (bộ chia mảng ảo) trong Hyper-V vận hành y hệt như một Physical Switch (bộ chia mạng vật lý). Nó hoạt động ở Layer 2 của OSI Protocol với nhiệm vụ gửi gói dữ liệu đến địa chỉ MAC Address và quản lý VLAN Tagging.

Nếu bạn chưa hiểu rõ về các khái niệm mạng (OSI Protocol, MAC Address, VLAN) mình vừa mới nhắc đến, hãy tham gia khoá học Networking Essentials (miễn phí) của Cisco để trang bị kiến thức căn bản về hệ thống mạng. Nó sẽ giúp bạn không chỉ trong việc quản lý Homelab, mà còn hữu ích trong công việc sau này.

Trong Hyper-V, Virtual Switch được chia làm 3 loại:

• External Virtual Switch: Tạo mạng ảo kết nối với mạng nội bộ trong nhà thông qua card mạng vật lý (network interface card) của Host. Các thiết bị trong mạng ảo có thể kết nối đến các thiết bị mạng vật lý trong mạng nội bộ.
• Internal Virtual Switch: Kết nối host và các máy ảo với nhau. Dữ liệu được trao đổi giữa các máy ảo và host.
• Private Virtual Switch: Kết nối các máy ảo với nhau, chỉ cho phép trao đổi dữ liệu giữa các máy ảo. Host và máy ảo không giao tiếp được với nhau.

Chi tiết về mô hình hoạt động của từng loại Virtual Switch, các bạn xem tiếp bên dưới sẽ hiểu rõ hơn

External Virtual Switch

External Virtual Network sử dụng adapter mạng vật lý của máy chủ để tạo mạng ảo. Card mạng vật lý trên máy chủ Hyper-V sẽ được biến thành Virtual Switch, không được cấp IP. Máy chủ sẽ tự động tạo thêm 1 card mạng ảo và kết nối vào External Virtual Switch.

Do External Switch hoạt động dựa trên card mạng vật lý nên nếu máy bạn chỉ có 1 card mạng vật lý, bạn chỉ có thể tạo được duy nhất 1 External Network trong Hyper-V.

Để tạo External Virtual Switch, bạn mở Hyper-V Manager và truy cập vào mục Virtual Swich Manager, bấm vào New virtual network switch, chọn External. Bấm Create Virtual Swich

Khi tạo External network, bạn sẽ có thêm lựa chọn “Allow management operating system to share this network adapter”.

• Nếu bấm chọn: Card mạng ảo của Host sẽ được kết nối vào Virtual Switch Network.
• Nếu không chọn: Card mạng ảo của Host sẽ KHÔNG được kết nối vào Virtual Switch Network.

Lưu ý: Nếu bạn không chọn mục Allow management operating system to share this network adapter, Host sẽ không thể kết nối được với Router mạng trong nhà và sẽ bị mất kết nối Internet.

Nếu muốn có kết nối Internet trên Host, bạn có 2 lựa chọn:

• Vào chính sửa External Virtual Swich, bấm chọn lại Allow management operating system to share this network adapter.
• Tạo thêm 1 Internal Virtual Switch, kết nối với 1 máy ảo được cấu hình làm Router mạng để chia sẻ Internet với Host. Xem tiếp phần Internal Switch, mình sẽ có hình minh hoạt

Internal Virtual Switch

Internal Virtual switch không sử dụng kết nối đến NIC vật lý nào trên máy chủ. Nó là một switch tách biệt hoàn toàn trong Hyper-V. Hệ điều hành Host sẽ kết nối vào Internal Virtual Switch thông qua một card mạng ảo được Hyper-V tạo ra khi thiết lập Internal Switch.

Mặc định, Hyper-V đã tạo ra sẵn 1 Internal Swich có tên gọi Default Switch, với cấu hình DHCP và NAT để các máy ảo có thể kết nối với mạng vật lý / mạng Internet mà không cần phải cấu hình gì thêm.

Bạn có thể tạo thêm Internal Switch bằng cách truy cập vào Virtual Switch Manager và bấm vào New vỉtual network switch.

Lưu ý: Nếu bạn tạo thêm Internal Switch, cần phải kết nối nó với một máy ảo được cấu hình làm Router (dùng VyOS, pfSense, OPNsense,…) thì các máy ảo khác trong cùng Switch mới được cấp DHCP. Virtual Switch không có chức năng cấp DHCP cho thiết bị kết nối.

Trong hình ở trên, các bạn có thể thấy vEthernet (pfSense Switch) báo Unidentified Network. Lý do vì trên Switch chưa có kết nối đến Router, nên nó không được cấp IP và báo lỗi.

Như trong hình này, Host đang có IP 172.16.0.10 do máy ảo pfSense cung cấp. Cả Host và pfSense đều không thể truy cập Internet do chưa kết nối đến mạng vật lý bên ngoài. Mình có thể kết nối pfSense đến External Switch để chia sẻ Internet đến Host (hiện đang không có kết nối đến External Switch) như sau

pfSense có thể được cấu hình NAT để chia sẻ kết nối từ subnet 192.168.0.1/24 đến subnet 172.16.0.1/24, Host có thể truy cập Internet thông qua pfSense.

Private Virtual Switch

Private Virtual Switch hoạt động y hệt như Internal Virtual Switch, chỉ khác là Host không có kết nối đến trên Private Switch. Do đó, các máy ảo trên Private Switch có thể giao tiếp với nhau, nhưng không thể giao tiếp với Host. Ngược lại, Host cũng không thể kết nối đến các máy ảo trên Private Network thông qua Private Virtual Switch.

Mục đích của Private Virtual Switch là để thiết lập các mạng riêng ảo Private Network hoàn toàn tách biệt với nhau. Nếu muốn các mạng riêng ảo này kết nói với nhau, hoặc kết nối đến Host, bạn cần phải tạo 1 máy ảo làm nhiệm vụ Router để liên kết các mạng ảo với nhau.

Trong hình minh hoạ ở trên, các bạn có thể thấy mình sử dụng pfSense làm nhiệm vụ Router + Firewall để kết nối mạng từ subnet 172.16.0.1/24 đến subnet 192.168.0.1/24. Nếu cấu hình NAT trên pfSense, các máy ảo trong Private Switch có thể kết nối đến Router Mikrotik trong mạng vật lý để truy cập vào Host hoặc truy cập Internet.

Sử dụng Virtual Switch nào?

Lựa chọn loại Virtual Switch nào để sử dụng hoàn toàn phụ thuộc vào nhu cầu thiết lập Homelab của bạn. Có rất nhiều kịch bản bạn có thể áp dụng:

• Nếu bạn muốn thiết lập máy ảo để chạy Pi-Hole hoặc AdGuard Home để chặn quảng cáo cho cả nhà, tốt nhất nên cho máy ảo này kết nối vào External Switch để tối ưu hoạt động.
• Nếu bạn muốn tạo web server để có thể truy cập từ Internet, bạn nên sử dụng Private Switch và thiết lập thêm máy ảo pfSense làm tường lửa để tăng bảo mật. Đồng thời, ngăn chặn truy cập trái phép từ Internet vào hệ thống mạng vật lý trong nhà.
• Bạn còn có thể thiết lập VLAN để phân chia mạng LAN ảo trên cùng một Virtual Switch, giúp việc cấu hình đơn giản hơn.

Hy vọng bài viết mang đến thông tin hữu ích cho bạn trong bước đầu nghiên cứu về Hyper-V và Virtualization.

Chúc bạn thiết lập Homelab thành công!

Nguồn: thuanbui