Cách tạo VPN cá nhân bằng VPS và 3X-UI: Hướng dẫn từ A đến Z

Cập nhật tháng 10/2026: hướng dẫn này giúp người mới tạo một kết nối VPN/proxy cá nhân trên VPS Ubuntu bằng 3X-UI. Sau khi hoàn thành, bạn có thể dùng cấu hình trên điện thoại hoặc máy tính để bảo vệ kết nối Wi-Fi công cộng và truy cập Internet qua địa chỉ IP của VPS.

Hiểu đúng trước khi làm: phần mềm 3X-UI miễn phí và mã nguồn mở, nhưng VPS thường có phí thuê hàng tháng. Hãy tuân thủ pháp luật tại nơi bạn sinh sống, điều khoản của nhà cung cấp VPS và điều khoản của Facebook, TikTok, Instagram cùng các dịch vụ bạn sử dụng.

Cần chuẩn bị những gì?

• Một VPS chạy Ubuntu hoặc Debian, tối thiểu khoảng 1 GB RAM.
• Địa chỉ IPv4 công khai và tài khoản root hoặc tài khoản có quyền sudo.
• Ứng dụng SSH như Terminal, PowerShell hoặc Termius.
• Một tên miền là tùy chọn nhưng nên có nếu bạn muốn cấu hình TLS thuận tiện.

Nếu chưa có máy chủ, bạn có thể tham khảo VPS DataOnline tại đây. Đây là liên kết affiliate của Vuchina; nếu đăng ký qua liên kết này, Vuchina có thể nhận hoa hồng mà giá dịch vụ của bạn không thay đổi.

Bước 1: Tạo VPS và chọn vị trí máy chủ

Chọn Ubuntu LTS mới, ưu tiên trung tâm dữ liệu gần khu vực sử dụng để độ trễ thấp. Sau khi VPS khởi tạo, nhà cung cấp sẽ gửi IP, tên đăng nhập và phương thức xác thực. Không đăng ảnh chụp mật khẩu hoặc khóa riêng lên mạng.

Bước 2: Đăng nhập SSH

Trên Windows PowerShell hoặc Terminal, thay địa chỉ mẫu bằng IP thật của VPS:

ssh root@IP_CUA_VPS

Nếu dùng khóa SSH:

ssh -i DUONG_DAN_KHOA_RIENG root@IP_CUA_VPS

Lần đầu kết nối, kiểm tra dấu vân tay máy chủ trước khi chấp nhận.

Bước 3: Cập nhật hệ thống

apt update
apt upgrade -y
apt install -y curl ufw

Nếu bản cập nhật thay kernel, hãy khởi động lại VPS rồi đăng nhập lại:

reboot

Bước 4: Cài 3X-UI từ kho chính thức

Trang dự án chính thức công bố lệnh cài nhanh sau. Trước khi chạy lệnh tải trực tiếp, hãy kiểm tra URL vẫn thuộc kho MHSanaei/3x-ui:

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Trình cài đặt sẽ tạo thông tin đăng nhập và đường dẫn quản trị ngẫu nhiên. Lưu chúng trong trình quản lý mật khẩu. Khi cần xem lại trạng thái hoặc cấu hình, chạy:

x-ui

Bước 5: Bảo vệ trang quản trị

Không công khai đường dẫn quản trị thật. Hãy dùng tên đăng nhập và mật khẩu mạnh, một cổng không mặc định, Web Base Path dài và ngẫu nhiên, sau đó bật TLS/HTTPS và xác thực hai lớp nếu phiên bản hỗ trợ.

Địa chỉ truy cập có dạng:

https://IP-HOAC-TEN-MIEN:CONG_QUAN_TRI/DUONG_DAN_NGAU_NHIEN/

Chuỗi Web Base Path trong bài chỉ là cấu trúc minh họa. Nếu một đường dẫn thật từng bị chia sẻ công khai, hãy đổi đường dẫn và mật khẩu trước khi tiếp tục.

Bước 6: Mở cổng bằng UFW

Mở cổng SSH trước để tránh tự khóa mình khỏi VPS. Nếu SSH của bạn dùng cổng 22:

ufw allow 22/tcp

Tiếp theo, chỉ mở cổng quản trị và các cổng inbound bạn thực sự đã cấu hình. Ví dụ, nếu cổng quản trị là 13947 và các inbound dùng 2096, 8843, 9443, 10443:

ufw allow 13947/tcp
ufw allow 2096/tcp
ufw allow 8843/tcp
ufw allow 9443/tcp
ufw allow 10443/tcp
ufw enable
ufw reload
ufw status numbered

Nếu bạn không dùng một cổng trong danh sách, không cần mở cổng đó. Tốt hơn nữa, hãy giới hạn cổng quản trị theo IP nhà hoặc VPN quản trị của bạn:

ufw delete allow 13947/tcp
ufw allow from IP_CUA_BAN to any port 13947 proto tcp

Bước 7: Mở cổng trong Security Group

Nhiều nhà cung cấp có tường lửa bên ngoài VPS. Trong bảng điều khiển DataOnline hoặc nhà cung cấp khác, tìm mục Firewall/Security Group và thêm inbound rule tương ứng:

• TCP 22 từ IP của bạn để quản trị SSH.
• TCP cổng quản trị 3X-UI, nên chỉ cho phép IP của bạn.
• TCP hoặc UDP cho từng inbound đã tạo, đúng với giao thức cấu hình.

Tường lửa của nhà cung cấp và UFW đều phải cho phép thì kết nối mới hoạt động. Bạn có thể xem các gói VPS DataOnline nếu cần một máy chủ thử nghiệm riêng.

Bước 8: Tạo một kết nối cho thiết bị

1. Đăng nhập trang 3X-UI bằng HTTPS.
2. Chọn Inbounds → Add inbound.
3. Chọn giao thức tương thích với ứng dụng khách; người mới nên dùng một cấu hình có mã hóa và tài liệu đầy đủ.
4. Đặt cổng chưa bị dịch vụ khác sử dụng, tạo client riêng cho từng thiết bị và đặt giới hạn dung lượng nếu cần.
5. Lưu cấu hình, lấy liên kết chia sẻ hoặc QR rồi nhập vào ứng dụng tương thích.

Không đăng QR hoặc liên kết cấu hình lên Facebook, nhóm chat công khai hay ảnh chụp màn hình. Người có liên kết có thể sử dụng lưu lượng và IP của VPS.

Bước 9: Kiểm tra trên điện thoại

1. Tắt Wi-Fi để thử bằng 4G/5G, hoặc dùng một mạng khác VPS.
2. Kết nối cấu hình trong ứng dụng khách.
3. Mở trang kiểm tra IP để xác nhận IP hiển thị là IP của VPS.
4. Thử mở một trang web thông thường trước, sau đó mới kiểm tra Facebook, TikTok hoặc Instagram.

Nếu kết nối không hoạt động, kiểm tra trạng thái Xray, cổng UFW, Security Group và việc TCP/UDP có khớp cấu hình hay không.

Lỗi thường gặp và cách xử lý

Không mở được trang quản trị

Chạy x-ui để xem lại cổng và Web Base Path, sau đó kiểm tra ufw status. Đừng bỏ qua dấu gạch chéo cuối của đường dẫn nếu cấu hình yêu cầu.

Kết nối được nhưng không vào Internet

Kiểm tra DNS, thời gian hệ thống, trạng thái dịch vụ và rule routing. Thử khởi động lại Xray trong bảng điều khiển thay vì khởi động lại toàn bộ VPS liên tục.

Tốc độ chậm

Nguyên nhân thường là vị trí VPS xa, tuyến mạng giờ cao điểm, băng thông gói thấp hoặc giao thức không phù hợp. Thử máy chủ gần hơn và kiểm tra tốc độ trực tiếp của VPS trước khi đổi cấu hình.

Checklist bảo mật sau khi cài

• Đổi mật khẩu root hoặc tắt đăng nhập root bằng mật khẩu sau khi SSH key hoạt động.
• Bật HTTPS/TLS cho trang quản trị; không đăng nhập qua HTTP công khai.
• Dùng Web Base Path ngẫu nhiên và bật 2FA.
• Chỉ mở cổng đang dùng; giới hạn cổng quản trị theo IP.
• Cập nhật 3X-UI/Xray định kỳ và sao lưu cơ sở dữ liệu.
• Tạo client riêng cho từng thiết bị để có thể thu hồi từng cấu hình.

Câu hỏi thường gặp

VPN này có hoàn toàn miễn phí không?

Phần mềm 3X-UI là mã nguồn mở, nhưng bạn vẫn phải trả tiền VPS, tên miền và lưu lượng nếu nhà cung cấp tính phí.

Có thể dùng một cấu hình cho nhiều người không?

Có thể nhưng không nên. Mỗi người hoặc thiết bị nên có client riêng để kiểm soát dung lượng và thu hồi khi bị lộ.

Tại sao không nên công khai Web Base Path?

Đường dẫn ngẫu nhiên giúp giảm quét tự động vào trang đăng nhập. Nó không thay thế mật khẩu, 2FA, HTTPS và giới hạn IP.

Nguồn tham khảo

• Kho mã nguồn chính thức 3X-UI.
• Tài liệu cấu hình và bảo mật panel.

Bài viết dành cho mục đích quản trị kết nối cá nhân hợp pháp. Vuchina không khuyến khích hành vi xâm nhập, che giấu hoạt động trái pháp luật hoặc vi phạm điều khoản dịch vụ.