# Cài Nginx, PHP, MariaDB trên Ubuntu 24.04 (LEMP) từng bước > Hướng dẫn cài nginx php mariadb trên Ubuntu 24.04 và Debian 12: tường lửa, PHP-FPM, server block, database, SSL Let's Encrypt và các lỗi bảo mật hay gặp. Source: https://zopanel.net/vi/blog/lemp-stack-ubuntu Updated: 2026-10-21 ## Ý chính - Ubuntu 24.04 có sẵn nginx 1.24, PHP 8.3 và MariaDB 10.11 trong kho chính thức. - nginx chuyển file PHP cho PHP-FPM qua Unix socket /run/php/php8.3-fpm.sock. - Mỗi website nên có user Linux và pool PHP-FPM riêng để một site bị hack không đọc được site khác. - Luôn mở cổng SSH trong UFW trước khi bật tường lửa. Để cài nginx, PHP và MariaDB (LEMP) trên Ubuntu 24.04, bạn chỉ cần kho gói chính thức: `apt install nginx mariadb-server php8.3-fpm php8.3-mysql`, chạy `mariadb-secure-installation`, rồi tạo server block nginx chuyển file `.php` tới socket `/run/php/php8.3-fpm.sock`. Toàn bộ quá trình mất khoảng 20 phút trên một VPS mới, kể cả cấp SSL miễn phí. Bài viết đi qua từng bước với lệnh đã kiểm tra trên Ubuntu 24.04 (và ghi chú khác biệt cho Debian 12), giải thích vì sao mỗi bước tồn tại, và chỉ ra những chỗ mà hướng dẫn ngắn thường bỏ qua: tường lửa, quyền file, pool PHP riêng cho từng website. Cuối bài là phần so sánh khi nào nên tự cài và khi nào nên dùng control panel. ## Cài nginx, PHP, MariaDB trên Ubuntu: LEMP là gì, vì sao chọn nginx? LEMP gồm **L**inux, **E**ngine-X (nginx), **M**ariaDB (hoặc MySQL) và **P**HP. Khác với LAMP dùng Apache với `mod_php`, nginx không chạy PHP bên trong tiến trình web server. Nó phục vụ file tĩnh rất nhanh và chuyển request PHP cho **PHP-FPM**, một dịch vụ riêng quản lý các worker PHP. Cách tách này có hai lợi ích thực tế: nginx dùng ít RAM khi có nhiều kết nối đồng thời, và mỗi website có thể chạy PHP dưới user Linux riêng. Nhược điểm: nginx không đọc `.htaccess`, nên quy tắc rewrite phải viết trong cấu hình nginx. ## Ubuntu 24.04 và Debian 12 có sẵn phiên bản nào? | Thành phần | Ubuntu 24.04 | Debian 12 | | --- | --- | --- | | nginx | 1.24 | 1.22 | | PHP | 8.3 | 8.2 | | MariaDB | 10.11 | 10.11 | Các nhánh phiên bản trên cố định trong suốt vòng đời bản phát hành; bản vá bảo mật được backport. Kiểm tra chính xác trên server bằng `apt policy nginx mariadb-server php8.3-fpm`. Nếu cần nhiều phiên bản PHP cùng lúc, bạn phải thêm kho ngoài (PPA của Ondřej Surý trên Ubuntu, packages.sury.org trên Debian); bài này chỉ dùng kho chính thức. Trên Debian 12, thay mọi chỗ `8.3` trong bài bằng `8.2`. ## Bước 1: Cập nhật hệ thống và bật tường lửa Đăng nhập VPS bằng user có sudo và chạy: ```bash sudo apt update && sudo apt full-upgrade -y ``` Bật tường lửa UFW, **mở SSH trước tiên**: ```bash sudo apt install ufw sudo ufw allow 22/tcp sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw enable sudo ufw status ``` Nếu SSH của bạn chạy ở cổng khác 22, đổi số cho đúng. Bật UFW mà quên cổng SSH là cách nhanh nhất để tự khoá mình khỏi server; khi đó chỉ còn console của nhà cung cấp VPS cứu được. Với các bước bảo mật khác cho server mới, xem [hướng dẫn bảo mật VPS Ubuntu](/vi/blog/secure-ubuntu-vps). ## Bước 2: Cài nginx ```bash sudo apt install nginx sudo systemctl enable --now nginx curl -I http://localhost ``` Dòng `HTTP/1.1 200 OK` cho biết nginx đã chạy. Mở `http://IP-của-VPS` trên trình duyệt sẽ thấy trang chào mặc định. ## Bước 3: Cài MariaDB và bảo mật ban đầu ```bash sudo apt install mariadb-server sudo mariadb-secure-installation ``` Trình hướng dẫn hỏi vài câu. Trên Ubuntu và Debian, user `root` của MariaDB mặc định xác thực bằng `unix_socket`, nghĩa là chỉ root của hệ điều hành (qua `sudo mariadb`) đăng nhập được, không cần mật khẩu. Đây là thiết lập an toàn, hãy giữ nguyên. Trả lời **Y** cho các câu xoá user ẩn danh, cấm root đăng nhập từ xa, xoá database test. MariaDB mặc định chỉ lắng nghe trên `127.0.0.1`. Đừng mở cổng 3306 ra internet; nếu cần kết nối từ xa, dùng SSH tunnel hoặc chỉ cho phép đúng IP của bạn. Tạo database và user cho website (mỗi website một user riêng): ```bash sudo mariadb -e "CREATE DATABASE example_wp CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; CREATE USER 'example_wp'@'localhost' IDENTIFIED BY 'đổi-mật-khẩu-mạnh'; GRANT ALL PRIVILEGES ON example_wp.* TO 'example_wp'@'localhost';" ``` ## Bước 4: Cài PHP-FPM và extension cần thiết ```bash sudo apt install php8.3-fpm php8.3-mysql php8.3-curl php8.3-gd \ php8.3-mbstring php8.3-xml php8.3-zip php8.3-intl sudo systemctl status php8.3-fpm ``` Danh sách extension trên đủ cho WordPress và phần lớn ứng dụng PHP phổ biến. OPcache được cài sẵn cùng PHP-FPM. **Đừng** cài gói `php8.3` không kèm hậu tố: trên một số hệ thống nó kéo theo Apache và `libapache2-mod-php`, khiến Apache tranh cổng 80 với nginx. Chỉnh vài giá trị trong `/etc/php/8.3/fpm/php.ini` nếu ứng dụng cần: ```ini upload_max_filesize = 64M post_max_size = 64M memory_limit = 256M ``` Rồi `sudo systemctl reload php8.3-fpm`. ## Bước 5: Tạo server block nginx cho website Tạo thư mục website và file cấu hình: ```bash sudo mkdir -p /var/www/example.com/public sudo nano /etc/nginx/sites-available/example.com ``` ```nginx server { listen 80; listen [::]:80; server_name example.com www.example.com; root /var/www/example.com/public; index index.php index.html; location / { try_files $uri $uri/ /index.php?$args; } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/run/php/php8.3-fpm.sock; } location ~ /\.(?!well-known) { deny all; } } ``` `snippets/fastcgi-php.conf` có sẵn trong gói nginx của Ubuntu/Debian và lo phần tham số FastCGI. Khối cuối chặn file ẩn như `.env`, `.git` nhưng vẫn cho Let's Encrypt dùng `.well-known`. Kích hoạt và kiểm tra: ```bash sudo ln -s /etc/nginx/sites-available/example.com /etc/nginx/sites-enabled/ sudo rm /etc/nginx/sites-enabled/default sudo nginx -t && sudo systemctl reload nginx ``` Luôn chạy `nginx -t` trước khi reload. Một dấu chấm phẩy thiếu có thể làm nginx không khởi động lại được, kéo theo mọi website trên server. Tham khảo thêm [tài liệu nginx](https://nginx.org/en/docs/). ## Bước 6: Kiểm tra PHP chạy đúng ```bash echo '