Tổng hợp dải IP Việt Nam miễn phí trên GitHub: chặn IP nước ngoài, chỉ cho phép IP Việt Nam

Bạn cần danh sách dải IP Việt Nam để chặn IP nước ngoài, chỉ cho phép IP trong nước truy cập vào NAS, Remote Desktop, SSH hay phần mềm nội bộ? TND vừa công bố miễn phí trên GitHub danh sách tổng hợp dải IP Việt Nam (IPv4 và IPv6), cập nhật hàng tuần, kèm sẵn file cấu hình cho iptables, nftables, Nginx, Apache, MikroTik, Windows Firewall.

Repo dải IP Việt Nam có gì?

Repo tnd-vn/dai-ip-viet-nam trên GitHub là danh sách tổng hợp dải IP Việt Nam do TND duy trì trong quá trình vận hành hạ tầng VPS, hosting và tổng đài tại Việt Nam. Danh sách đã được gộp gọn và tự động cập nhật mỗi thứ Hai.

Ngoài danh sách thô (vn-ipv4.txt, vn-ipv6.txt, file CSV mở bằng Excel), repo có sẵn file cấu hình dùng ngay cho:

• Linux: iptables + ipset, nftables, UFW, CSF (cPanel, DirectAdmin)
• Web server: Nginx, Apache, LiteSpeed
• Router: MikroTik RouterOS
• Windows Server: Windows Firewall cho Remote Desktop
• Cloudflare: luật WAF theo quốc gia

Khi nào nên chỉ cho phép IP Việt Nam truy cập?

Chặn toàn bộ IP nước ngoài, chỉ cho phép (allow) IP Việt Nam truy cập là cách cắt bỏ phần lớn các đợt quét và khai thác lỗ hổng tự động, vốn chủ yếu đến từ nước ngoài. Nhưng cách này chỉ thực sự cần thiết khi đủ hai điều kiện:

1. Thiết bị hoặc dịch vụ chỉ có người dùng ở Việt Nam.
2. Không cần Google hay dịch vụ nước ngoài truy cập vào: không cần lên kết quả tìm kiếm, không nhận webhook từ nước ngoài.

Ví dụ phù hợp: NAS (Synology, QNAP) mở cho nhân viên làm việc từ xa, camera và đầu ghi, Remote Desktop, SSH, phần mềm kế toán hoặc ERP nội bộ, tổng đài VoIP, VPN, cơ sở dữ liệu buộc phải mở ra ngoài.

Không phù hợp cho website bán hàng, blog, landing page cần SEO, vì chặn IP nước ngoài sẽ chặn luôn Googlebot và website sẽ rớt khỏi Google.

Trường hợp điển hình là NAS Synology, vừa có nhiều lỗ hổng mức Critical trong năm 2026. Xem hướng dẫn chi tiết: Bảo mật NAS Synology: dùng VPN thay vì mở ra Internet, chặn IP nước ngoài chỉ cho phép IP Việt Nam.

Dùng nhanh trong 1 phút

Linux: chỉ cho phép IP Việt Nam vào SSH

curl -fsSL https://raw.githubusercontent.com/tnd-vn/dai-ip-viet-nam/main/formats/ipset-vn.txt -o /etc/ipset-vn.txt
ipset restore -exist < /etc/ipset-vn.txt

iptables -I INPUT -p tcp --dport 22 -j DROP
iptables -I INPUT -p tcp --dport 22 -m set --match-set vn4 src -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -s 203.0.113.10 -j ACCEPT

Dòng cuối là IP quản trị của bạn, sửa lại trước khi chạy. Luôn giữ một phiên SSH hoặc console đang mở khi áp dụng để không tự khoá mình.

Nginx: dịch vụ nội bộ chỉ cho IP Việt Nam

curl -fsSL https://raw.githubusercontent.com/tnd-vn/dai-ip-viet-nam/main/formats/nginx-allow-vn.conf -o /etc/nginx/vn-allow.conf

Rồi thêm include /etc/nginx/vn-allow.conf; vào khối server của dịch vụ nội bộ (không áp cho website chính cần SEO).

MikroTik: chặn IP nước ngoài vào Winbox/SSH

/tool fetch url="https://raw.githubusercontent.com/tnd-vn/dai-ip-viet-nam/main/formats/mikrotik-vn.rsc" dst-path=vn.rsc
/import file-name=vn.rsc
/ip firewall filter add chain=input in-interface-list=WAN protocol=tcp dst-port=8291,22 src-address-list=!VN action=drop

Phần in-interface-list=WAN là bắt buộc, thiếu nó thì máy trong mạng LAN cũng bị chặn.

Hướng dẫn đầy đủ cho nftables, UFW, Apache, CSF, Windows và Cloudflare có trong README của repo.

Tự động cập nhật danh sách

Địa chỉ IP được cấp mới và thu hồi theo thời gian. Repo tự cập nhật mỗi thứ Hai, bạn chỉ cần đặt cron tải lại hàng tuần:

17 3 * * 1 curl -fsSL https://raw.githubusercontent.com/tnd-vn/dai-ip-viet-nam/main/formats/ipset-vn.txt -o /etc/ipset-vn.txt && ipset restore -exist < /etc/ipset-vn.txt

File ipset được thiết kế để nạp lại an toàn khi đang chạy: dữ liệu được nạp vào danh sách tạm rồi mới hoán đổi, nên không có lúc nào danh sách đang dùng bị trống.

Lưu ý trước khi chặn IP nước ngoài

• Chặn theo quốc gia là lớp bảo vệ bổ sung, không thay được việc cập nhật bản vá, mật khẩu mạnh và xác thực 2 lớp. Kẻ tấn công vẫn có thể dùng IP trong nước.
• Khi đi nước ngoài hoặc dùng roaming, IP của bạn không còn là IP Việt Nam. Hãy có sẵn đường vào dự phòng như VPN.
• Tốt nhất vẫn là không mở dịch vụ nội bộ ra Internet, truy cập qua VPN như Tailscale hoặc WireGuard.

Góp ý, bổ sung

Danh sách được tổng hợp bởi TND và phát hành miễn phí theo giấy phép MIT. Nếu thấy dải IP Việt Nam nào còn thiếu, bị sai, hoặc cần thêm định dạng cấu hình khác (pfSense, FortiGate, Sophos...), hãy mở Issue trên GitHub hoặc liên hệ TND. Nếu thấy hữu ích, hãy bấm Star cho repo để nhiều người tìm thấy hơn.