VPS Security Guide · 2026

CrowdSec คู่มือ VPS 2026: ติดตั้งระบบป้องกันการโจมตีแบบ Crowdsourced บน Linux

โดย ทีมรีวิว CloudPicked  ·  อัปเดตล่าสุด: ตุลาคม 2026  ·  ตรวจสอบข้อมูลจาก crowdsec.net และ docs.crowdsec.net

ทุกวันนี้ VPS ที่เปิดบนอินเทอร์เน็ตจะถูกสแกนและโจมตีภายในไม่กี่นาทีหลังจากเปิดใช้งาน — ทั้ง brute-force SSH, portscan, web exploit และ DDoS botnet เป็นภัยคุกคามที่เจ้าของเซิร์ฟเวอร์ทุกคนต้องเผชิญ

CrowdSec คือระบบ IDS/IPS (Intrusion Detection & Prevention System) แบบ Open Source ที่ใช้ "พลังของกลุ่ม" ในการป้องกัน — เซิร์ฟเวอร์ 70,000+ เครื่องทั่วโลกแชร์ข้อมูล IP อันตรายร่วมกัน ทำให้คุณได้รับ blocklist ที่อัปเดตเร็วกว่าระบบดั้งเดิมถึง 7–60 วัน

CrowdSec คืออะไร?

CrowdSec เป็น Security Engine แบบ Open Source เวอร์ชัน v1.8 (ณ ปี 2026) ที่ทำหน้าที่ตรวจจับและบล็อกพฤติกรรมอันตรายบนเซิร์ฟเวอร์ ต่างจาก Fail2ban ตรงที่ CrowdSec ใช้ระบบ Crowdsourced Threat Intelligence — เมื่อเซิร์ฟเวอร์ของคุณตรวจพบ IP อันตราย ข้อมูลนั้นจะถูกแชร์ไปยัง community กลับคืนมาในรูป Community Blocklist ที่ทุกคนได้รับโดยอัตโนมัติ

สถาปัตยกรรมหลัก

CrowdSec แบ่งออกเป็น 4 ส่วนหลัก:

1. Log Processor — อ่าน log จาก source ที่กำหนด (SSH, Nginx, Apache, ฯลฯ) และวิเคราะห์ pattern
2. AppSec (WAF) — กรอง HTTP request อันตราย รองรับ web exploit, bot detection
3. Local API (LAPI) — ตัวกลางระหว่าง Log Processor และ Remediation Components
4. Remediation Components (Bouncers) — บังคับใช้คำตัดสิน: บล็อก IP ที่ Firewall, Nginx, หรือ Reverse Proxy

CrowdSec vs Fail2ban: เปรียบเทียบโดยตรง

Fail2ban ยังเป็น tool ที่ดี แต่ CrowdSec มีข้อได้เปรียบสำคัญหลายอย่าง:

ข้อมูล ณ ตุลาคม 2026 — ตรวจสอบล่าสุดจาก docs.crowdsec.net

สถิติและประสิทธิภาพ (ข้อมูลจาก crowdsec.net)

ตามข้อมูลจาก Nicolas Iung, Head of CERT ที่ Crédit Mutuel: "CrowdSec บล็อก 66.6 ล้าน attempt เทียบกับ Palo Alto ที่บล็อกได้ 11 ล้าน attempt ในช่วงเวลาเดียวกัน — โดย false positive เป็นศูนย์"

ติดตั้ง CrowdSec บน Ubuntu/Debian VPS

ขั้นตอนต่อไปนี้ทดสอบบน Ubuntu 22.04/24.04 LTS และ Debian 11/12:

ขั้นที่ 1: เพิ่ม Repository

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash

ขั้นที่ 2: ติดตั้ง CrowdSec

sudo apt update
sudo apt install crowdsec -y

หลังติดตั้ง CrowdSec จะตรวจ OS และเพิ่ม collection ที่เหมาะสมอัตโนมัติ เช่น crowdsecurity/linux, crowdsecurity/nginx หากมี Nginx อยู่

ขั้นที่ 3: ตรวจสอบสถานะ

sudo systemctl status crowdsec
sudo cscli metrics

ขั้นที่ 4: ตรวจดู Collection ที่ติดตั้ง

sudo cscli collections list

ถ้ายังไม่มี collection ที่ต้องการ ติดตั้งเพิ่มด้วย:

sudo cscli collections install crowdsecurity/nginx
sudo cscli collections install crowdsecurity/apache2
sudo cscli collections install crowdsecurity/sshd

ตั้งค่า Firewall Bouncer (cs-firewall-bouncer)

Firewall Bouncer คือ Remediation Component ที่บล็อก IP ที่ LAPI ตัดสินว่าอันตราย โดยฉีด rule เข้า iptables หรือ nftables โดยตรง:

ติดตั้ง Firewall Bouncer

sudo apt install crowdsec-firewall-bouncer-iptables -y

หรือสำหรับ nftables (Ubuntu 22.04+ แนะนำ):

sudo apt install crowdsec-firewall-bouncer-nftables -y

ตรวจสอบ Bouncer

sudo cscli bouncers list

ผลลัพธ์ควรแสดง cs-firewall-bouncer พร้อมสถานะ valid

ทดสอบว่า Firewall Bouncer ทำงาน

sudo cscli decisions list

คำสั่งนี้แสดง IP ที่ถูก ban อยู่ในขณะนั้น หาก community blocklist โหลดสำเร็จจะเห็น IP หลายพันรายการ

ตั้งค่า Nginx Bouncer (Layer 7)

Nginx Bouncer ทำงานที่ระดับ HTTP — สามารถตอบสนองด้วย 403 Forbidden, CAPTCHA หรือ redirect แทนที่จะแค่ drop packet ที่ firewall

ติดตั้ง Nginx Bouncer

sudo apt install crowdsec-nginx-bouncer -y

ตั้งค่า /etc/crowdsec/bouncers/crowdsec-nginx-bouncer.conf

API_KEY=<your-api-key>  # ดูจาก: sudo cscli bouncers list
API_URL=http://127.0.0.1:8080

เพิ่ม Directive ใน Nginx Config

server {
    # ...
    lua_package_path "/usr/local/share/lua/5.1/?.lua;;";
    access_by_lua_file /usr/lib/crowdsec/lua/nginx/access.lua;
    # ...
}

หลังจากนั้น reload Nginx:

sudo nginx -t && sudo systemctl reload nginx

คำสั่ง cscli ที่ควรรู้

cscli คือ CLI tool หลักสำหรับจัดการ CrowdSec ทั้งหมด:

CrowdSec Console — Dashboard ฟรี

CrowdSec Console (app.crowdsec.net) คือ Web Dashboard ที่ให้คุณ:

• เห็น alert และ decision แบบ real-time
• จัดการ Security Engine หลายตัวจากที่เดียว
• รับ notification เมื่อมี attack surge
• ดู Prometheus metrics แบบ visualized

เชื่อมต่อ Console ด้วยคำสั่ง:

sudo cscli console enroll <enrollment-key-from-console>
sudo systemctl restart crowdsec

Console ฟรีสำหรับ Community tier — ไม่จำกัดจำนวน Security Engine

ราคาและแผน Premium (ตรวจสอบจาก crowdsec.net/pricing — ตุลาคม 2026)

สำหรับผู้ดูแล VPS ส่วนตัวหรือ startup — Security Engine ฟรี + Community Blocklist เพียงพอสำหรับการป้องกันในชีวิตประจำวัน แผน Premium เหมาะกับองค์กรที่ต้องการข้อมูล threat intelligence ล้ำหน้ากว่า community

เหมาะกับใคร?

ใช้ได้ดีกับ:

• VPS ที่รัน Nginx/Apache + WordPress
• เซิร์ฟเวอร์ที่มี SSH เปิดสาธารณะ
• Self-hosted services (Gitea, Nextcloud, Mattermost)
• Shared hosting ที่รัน WHM/cPanel (รองรับ native)
• Docker container deployments
• Kubernetes clusters

อาจไม่จำเป็นถ้า:

• ใช้ Shared hosting ที่ provider ดูแล security เอง (เช่น AsiaGB, Ruk-Com Cloud ที่มี CPGuard/Imunify360)
• มี Cloudflare WAF อยู่แล้วและไม่ได้รัน origin server เองโดยตรง

คำถามที่พบบ่อย (FAQ)