0. Giới thiệu & cách làm việc với AI

Agent-Box = 1 máy Ubuntu (laptop/mini-PC) cho mỗi khách: bảo mật, truy cập từ xa, chạy 4 AI agent (Claude Code, Codex, Antigravity, Grok) qua SSH+tmux, kèm bot Telegram riêng. Khách dùng agent từ bất kỳ đâu.

Sơ đồ: 1 chiếc Agent-Box trông như thế nào

Luồng cài đặt — 9 bước

1. Cài nhanh — script tự động (khuyên dùng)

Sau khi đã có Ubuntu + SSH (mục 3–4), phần lớn việc còn lại tự động bằng 1 script. Copy thư mục agent-box/ lên máy rồi chạy:

cd agent-box
bash bootstrap-agent-box.sh            # mặc định: có Caddy
# tuỳ chọn: --no-caddy  |  --with-tunnel (web ra internet)  |  --with-modules (Samba/Syncthing/Cockpit)

Script tự cài: công cụ cơ bản, UFW/Fail2ban/SSH hardening, Tailscale, Docker, Node + 4 AI CLI, Caddy, bot Telegram (sl-bot) + skills sl-*, banner thương hiệu. Idempotent — chạy lại an toàn. Bên dưới là bản thủ công để hiểu rõ / xử lý khi script lỗi.

2. Chuẩn bị

Tải: Ubuntu Server 24.04 LTS (ubuntu.com/download/server) · Rufus (Windows) hoặc Balena Etcher (macOS) để tạo USB boot.

3. Cài Ubuntu Server

1. Tạo USB boot (Rufus/Etcher → chọn file .iso).
2. Cắm USB, vào Boot Menu (F12/F2/Del) → Try or Install Ubuntu Server.
3. Ngôn ngữ English · Keyboard US · bản Ubuntu Server (không GUI).
4. Mạng — để DHCP (tự xin IP): giữ mặc định (Automatic). KHÔNG đặt IP tĩnh cứng — khi bàn giao sang mạng khác của khách dễ bị sai subnet/trùng IP → mất kết nối. Ta sẽ truy cập bằng TÊN máy (mục 6), không cần nhớ IP.
   Muốn ghim IP trong nhà khách? Dùng DHCP reservation trên router của khách (gán theo MAC) — an toàn hơn IP tĩnh cứng, không lo trùng.
5. Proxy: trống · Storage: Use entire disk (+LVM).
6. Profile: hostname đặt theo khách (vd agentbox-khachA — dùng cho tên truy cập), username, mật khẩu mạnh (≥12).
7. Ubuntu Pro: Skip.
8. Tick "Install OpenSSH server".
9. Snaps: không chọn → cài → Reboot, rút USB.

Sau reboot, đăng nhập rồi lấy IP: ip addr show (dòng inet 192.168.x.x).

4. Kết nối SSH (+ SSH key)

# từ máy cá nhân (PowerShell/Terminal)
ssh username@192.168.1.100

# tạo SSH key để khỏi nhập mật khẩu mỗi lần
ssh-keygen -t ed25519 -C "email@example.com"      # Enter 3 lần
ssh-copy-id username@192.168.1.100                # (macOS/Linux)  → nhập mật khẩu lần cuối

5. Bảo mật (script làm tự động — đây là bản tay)

sudo apt update && sudo apt upgrade -y
sudo apt install -y ufw fail2ban
sudo ufw allow OpenSSH && sudo ufw --force enable
# Fail2ban: bật bảo vệ SSH (script tạo /etc/fail2ban/jail.local: maxretry 3, bantime 24h)
sudo systemctl enable --now fail2ban
# SSH: cấm root, giới hạn thử
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl restart ssh

6. Truy cập bằng TÊN — Tailscale + .local

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --hostname=agentbox-khachA   # đăng nhập 1 lần; đặt tên máy theo khách
sudo systemctl enable tailscaled
sudo ufw allow in on tailscale0
sudo apt install -y avahi-daemon               # để có "ten-may.local" trong LAN

Host khachA
    HostName agentbox-khachA      # Tailscale MagicDNS (hoặc agentbox-khachA.local trong LAN)
    User username

7. Docker + tmux

# Docker (script làm tự động). tmux để agent chạy nền khi đóng máy:
sudo apt install -y tmux
tmux new -s ai      # tạo phiên ;  Ctrl+b rồi d = thoát (vẫn chạy) ;  tmux attach -t ai = quay lại

8. Agent — 4 AI CLI (đăng nhập bằng tài khoản của KHÁCH)

# lần đầu mỗi CLI: chạy nó để đăng nhập (qua SSH nó in URL+code, dán vào trình duyệt)
tmux new -s ai
claude          # đăng nhập tài khoản Anthropic của khách
# tương tự: codex / agy / grok
# Ctrl+b d để thoát — agent vẫn chạy; đóng laptop vẫn ok

9. Bot Telegram riêng của khách

1. Mở @BotFather trên Telegram → /newbot → đặt tên → nhận BOT_TOKEN.
2. Lấy chat-id: nhắn @userinfobot → copy số id của bạn.
3. Điền vào ~/.config/agent-box/secrets.env (mode 600 — script tạo sẵn template):

   BOT_TOKEN=123456:ABC...
   ADMIN_CHAT_IDS=123456789

4. Bật + test:

   sudo systemctl restart agent-box-bot
   /opt/agent-box/sl-bot/notify.sh "Xin chào từ Agent-Box"   # → nhận tin trên Telegram
   # trong Telegram nhắn /status để xem tình trạng máy

10. Caddy — deploy web app (cài mặc định)

sudo nano /etc/caddy/Caddyfile

vidu.com {
    reverse_proxy localhost:3000      # app Node/Python chạy cổng 3000
}
tinh.vidu.com {
    root * /var/www/tinh
    file_server                        # web tĩnh
}

sudo caddy validate --config /etc/caddy/Caddyfile
sudo systemctl reload caddy

11. Bàn giao & lệnh thường dùng

Chuyển sang tab Checklist bàn giao (ở đầu trang) để điền thông tin + chạy smoke test + lưu lại thành file JSON/Markdown trước khi giao. Lệnh hay dùng:

12. Nhiều người dùng & module thêm

Admin tạo người dùng bằng 1 lệnh:

sudo /opt/agent-box/sl-adduser.sh nhanvienA --shared      # cho thấy /srv/shared
sudo /opt/agent-box/sl-adduser.sh sep --sudo --shared     # admin phụ

Người dùng đăng nhập (ssh nhanvienA@ten-may hoặc Cockpit web → Terminal) → tmux new -s ai → chạy claude/codex bằng tài khoản AI của họ. Giới hạn 1 folder cụ thể: setfacl -R -m u:nhanvienA:rwx /srv/duan-x.

Cách B — admin dựng 1 lần (ví dụ 2 nhân sự alice, bob; KHÔNG cấp --sudo để họ không xem session của nhau):

# tạo user + vào nhóm chung, siết home riêng tư
sudo /opt/agent-box/sl-adduser.sh alice --shared
sudo /opt/agent-box/sl-adduser.sh bob   --shared
sudo chmod 750 /home/alice /home/bob

# thư mục dự án chung (setgid: file mới tự thuộc nhóm) + git chống đè nhau
sudo install -d -m 2770 -g agent-team /srv/shared/du-an-x
echo 'umask 002' | sudo tee -a /home/alice/.bashrc /home/bob/.bashrc   # nhóm ghi được file mới
cd /srv/shared/du-an-x && sudo git init -b main

Hoặc 1 lệnh (tạo folder + set nhóm/umask cho tất cả thành viên):

sudo /opt/agent-box/sl-adduser.sh alice --project du-an-x --members alice,bob

Mỗi người làm việc bằng tài khoản của mình: ssh alice@ten-may → tmux new -s work → cd /srv/shared/du-an-x → claude (đăng nhập tài khoản Claude của họ). Cùng sửa 1 bộ file, session tách biệt.

Module bật-khi-cần

Bật cả ba: bash bootstrap-agent-box.sh --name agentbox-khachA --with-modules.

13. Lỗi thường gặp