Giới thiệu dự án

Bối cảnh và thực trạng ngành y tế từ xa

Đại dịch COVID-19 và các đợt bùng phát dịch bệnh toàn cầu đã tạo ra bước ngoặt mang tính lịch sử đối với mô hình chăm sóc sức khỏe, thúc đẩy sự chuyển dịch mạnh mẽ từ khám chữa bệnh trực tiếp sang y tế từ xa (Telehealth/Telemedicine). Theo thống kê của Hiệp hội Y tế từ xa Hoa Kỳ (ATA), việc triển khai các trung tâm chăm sóc đặc biệt từ xa giúp giảm 35% thời gian nằm viện và 30% tỷ lệ tử vong, đồng thời ghi nhận hơn 15 triệu lượt sử dụng dịch vụ với tốc độ tăng trưởng hàng năm dự kiến đạt trên 30%. Tại Việt Nam, Quyết định số 3616/QĐ-BYT của Bộ Y tế về việc phê duyệt Đề án "Tăng cường năng lực cấp cứu, hồi sức tích cực cho các bệnh viện điều trị người bệnh COVID-19 nặng" đã xác định Telehealth là công cụ chiến lược hàng đầu nhằm giảm tải cho tuyến trên và hạn chế lây nhiễm chéo.

[Bệnh nhân / Thiết bị IoMT] ---> [Mạng truy cập Biên] ---> [Hạ tầng Mạng Y tế] ---> [Chuyên gia / Bệnh viện Trung ương]
                                                                  |
                                                    (Nguy cơ: Nghẽn cổ chai,
                                                     DDoS, Lộ dữ liệu EHR/EMR)

Tuy nhiên, lưu lượng mạng y tế trong đại dịch tăng đột biến với các dạng dữ liệu đa dạng: hình ảnh y khoa DICOM dung lượng lớn, luồng video phẫu thuật/hội chẩn độ trễ siêu thấp (Ultra-low latency), cùng dữ liệu sinh hiệu thời gian thực từ các thiết bị Internet vạn vật y tế (IoMT - Internet of Medical Things). Hạ tầng mạng truyền thống dựa trên các thiết bị phần cứng chuyên dụng độc quyền bộc lộ rõ rệt sự thiếu linh hoạt, không đáp ứng kịp thời các yêu cầu nghiêm ngặt về chất lượng dịch vụ (QoS - Quality of Service) và an toàn bảo mật thông tin bệnh án điện tử (EHR - Electronic Health Record).

Xác định vấn đề cụ thể (Problem Statement)

Hạ tầng mạng phục vụ Telehealth truyền thống đang đối mặt với 4 điểm nghẽn cốt lõi (Pain Points):

  1. Kiến trúc tĩnh, thiếu linh hoạt: Việc bổ sung một chức năng mạng mới (như tường lửa chuyên dụng, hệ thống ngăn ngừa xâm nhập) đòi hỏi cấu hình thủ công từng thiết bị vật lý, mất từ vài ngày đến vài tuần.
  2. Chi phí đầu tư và vận hành (CAPEX/OPEX) cao: Chi phí mua sắm thiết bị phần cứng từ các nhà cung cấp độc quyền (Cisco, Juniper, Fortinet) vô cùng đắt đỏ, trong khi vòng đời phần cứng ngắn và khó tái sử dụng tài nguyên khi hết nhu cầu cao điểm.
  3. Hiện tượng chuỗi dịch vụ tĩnh (Static Chaining Inefficiency): Toàn bộ lưu lượng đều bị ép đi qua mọi thiết bị bảo mật vật lý theo một chuỗi cố định (Pessimistic approach), gây lãng phí năng lực tính toán và gia tăng độ trễ khứ hồi (RTT - Round-Trip Time) đối với các luồng dữ liệu thời gian thực.
  4. Nguy cơ an ninh mạng và tấn công từ chối dịch vụ: Các cổng thông tin y tế, API hội đồng hội chẩn và cơ sở dữ liệu bệnh nhân đối mặt với nguy cơ tấn công DDoS (SYN Flood, UDP Flood via hping3) làm sập hệ thống dịch vụ cứu trợ khẩn cấp.

Mục tiêu dự án

  1. Mục tiêu 1: Nghiên cứu và hiện thực hóa mô hình mạng khả lập trình SDN (Software-Defined Networking) nhằm tách biệt hoàn toàn mặt phẳng điều khiển (Control Plane) và mặt phẳng chuyển tiếp dữ liệu (Data Plane), cho phép quản trị luồng tập trung.
  2. Mục tiêu 2: Ảo hóa các chức năng mạng (VNF - Virtualized Network Function) L4–L7 bao gồm Firewall, IDS/IPS, Reverse Proxy/Load Balancer và Web Server trên nền tảng điện toán đám mây mã nguồn mở.
  3. Mục tiêu 3: Xây dựng và tự động hóa cơ chế điều phối chuỗi chức năng dịch vụ động (Dynamic SFC - Service Function Chaining) dựa trên chuẩn ETSI NFV MANO, cho phép phân loại và định tuyến lưu lượng khám chữa bệnh linh hoạt theo chính sách bảo mật.
  4. Mục tiêu 4: Kiểm thử toàn diện hiệu năng chuyển tiếp, đánh giá độ trễ RTT trên mô hình giả lập tải cao (50+ host đồng thời) và chứng minh khả năng phòng thủ tự động trước các kịch bản tấn công DDoS.

Giải pháp kỹ thuật và tính khả thi

Giải pháp đề xuất tích hợp sức mạnh kết hợp giữa SDN (đóng vai trò "bộ não" điều hướng luồng dữ liệu) và NFV (đóng vai trò cung cấp hạ tầng chức năng mạng linh hoạt). Bằng việc sử dụng Ryu SDN Controller kết hợp với bộ điều phối Charmed Open Source MANO (OSM) và hạ tầng OpenStack / MicroStack, hệ thống thiết lập các chuỗi VNF động theo nhu cầu. Khi luồng dữ liệu khám chữa bệnh đi vào, bộ phân loại (Classifier) gắn nhãn và điều phối qua đúng các chức năng an toàn cần thiết (Firewall -> IDS -> HAProxy -> Target Server) mà không cần cấu hình lại phần cứng vật lý.

Kết quả kỳ vọng và chỉ số đo lường (Metrics)

  • Thời gian triển khai chuỗi dịch vụ: Giảm từ vài ngày (mạng vật lý) xuống dưới 60 giây thông qua tự động hóa VNF Descriptor (VNFD).
  • Khả năng chịu tải đồng thời: Duy trì ổn định kết nối cho hơn 50 trạm trắc nghiệm y tế / host client trong topo SDN.
  • Hiệu quả phòng chống tấn công: Chặn đứng 100% lưu lượng tấn công tràn ngập kết nối TCP SYN Flood (hping3), giữ mức chiếm dụng CPU của máy chủ cân bằng tải dưới 15% trong quá trình diễn ra tấn công.
  • Độ trễ trung bình: Tối ưu hóa RTT mạng nội bộ dưới 3.5 ms khi lưu lượng đi qua đầy đủ chuỗi bảo mật.

Phạm vi và giới hạn nghiên cứu

  • Phạm vi: Tập trung vào lớp mạng Core/Edge cho mạng y tế từ xa, thiết kế chuỗi bảo mật L4–L7 (Stateful Firewall, Snort/Suricata IDS, HAProxy Load Balancer), triển khai trên mô hình máy chủ x86 giả lập môi trường Datacenter/Edge Cloud.
  • Giới hạn: Nghiên cứu thực nghiệm trong môi trường Private Cloud (OpenStack/MicroStack) kết hợp nền tảng mô phỏng Containernet/Mininet, chưa tích hợp mã hóa phần cứng phần cứng chuyên dụng (HSM) cho thiết bị đầu cuối IoMT.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

So sánh các mô hình mạng hiện nay

Tiêu chí Hạ tầng phần cứng truyền thống Cisco SD-WAN (Viptela) / Thương mại Giải pháp Đề xuất (SDN + NFV/SFC OpenSource)
Tính linh hoạt (Agility) Rất thấp (cấu hình thủ công từng thiết bị) Trung bình (phụ thuộc hệ sinh thái vendor) Rất cao (lập trình hóa qua OpenFlow / REST APIs)
Chi phí đầu tư (CAPEX) Rất cao (Middlebox chuyên dụng) Cao (License bản quyền định kỳ) Thấp (chạy trên phần cứng máy chủ x86 COTS)
Khả năng mở rộng (Scalability) Chậm (mua sắm và lắp đặt vật lý) Nhanh nhưng tốn kém license Tự động mở rộng (Elastic VNF Scale-out/in)
Điều phối chuỗi dịch vụ Chuỗi tĩnh (Static Chaining, cáp vật lý) Dynamic SFC độc quyền Dynamic SFC chuẩn hóa ETSI NFV MANO
Khả năng tùy biến an toàn Hạn chế theo firmware nhà sản xuất Theo module phần mềm đóng gói Hoàn toàn tùy biến (Iptables, Suricata, HAProxy)

Phân loại yêu cầu người dùng theo mô hình MoSCoW

  • Must-have (Bắt buộc phải có):
    • Khả năng cô lập luồng dữ liệu y tế nhạy cảm giữa các khoa phòng / bệnh viện dã chiến.
    • Tự động hóa định tuyến lưu lượng qua chuỗi Firewall, IDS, Load Balancer.
    • Giám sát trạng thái tài nguyên CPU, RAM, Network I/O trên từng VNF.
    • Chống tấn công từ chối dịch vụ làm gián đoạn kênh truyền Telehealth.
  • Should-have (Nên có):
    • Giao diện trực quan hóa điều phối chuỗi qua Web GUI (OSM Dashboard, OpenStack Horizon).
    • Khả năng mở rộng nhanh số lượng host kết nối SDN lên quy mô hàng trăm thiết bị.
  • Could-have (Có thể có):
    • Tích hợp công nghệ học máy (ML) để nhận diện bất thường lưu lượng tại SDN Controller.
  • Won't-have (Chưa thực hiện trong giai đoạn này):
    • Triển khai đa vùng đám mây phân tán xuyên quốc gia (Multi-region hybrid cloud).

Thiết kế hệ thống

+---------------------------------------------------------------------------------+
|                        MANAGEMENT & ORCHESTRATION (MANO)                        |
|                     Charmed Open Source MANO (OSM v8/v9)                         |
|           [NFV Orchestrator (NFVO)] <---> [VNF Manager (VNFM)]                  |
+----------------------------------------+----------------------------------------+
                                         |
                            (Neutron API / REST)
                                         |
+----------------------------------------v----------------------------------------+
|                          CONTROL PLANE (SDN CONTROLLER)                         |
|                               Ryu Controller 4.34                               |
|        [Topology Discovery]   [Flow Classifier]   [Dynamic SFC Manager]        |
+----------------------------------------+----------------------------------------+
                                         |
                             (OpenFlow v1.3 Protocol)
                                         |
+----------------------------------------v----------------------------------------+
|                      DATA PLANE (VNF / FORWARDING INFRASTRUCTURE)               |
|                           OpenStack / MicroStack + OVS                          |
|                                                                                 |
|   +--------------+      +--------------+      +---------------+      +--------+ |
|   |  VNF1: FW    | ---> |  VNF2: IDS   | ---> | VNF3: HAProxy | ---> | Web/DB | |
|   |  (Iptables)  |      |   (Snort)    |      |  (Reverse LB) |      | Server | |
|   +--------------+      +--------------+      +---------------+      +--------+ |
|          ^                     ^                      ^                  ^      |
|          +---------------------+----------------------+------------------+      |
|                                        |                                        |
|                             [Open vSwitch (OVS Bridge)]                         |
|                                        ^                                        |
|                                        |                                        |
|                     [Containernet / Edge Medical Hosts (50)]                    |
+---------------------------------------------------------------------------------+

Technology Stack và phiên bản cụ thể

  • Virtualization Infrastructure Manager (VIM): Canonical MicroStack (OpenStack Victoria release) trên nền Ubuntu 20.04 LTS.
  • MANO Framework: Charmed OSM (Open Source MANO Release EIGHT/NINE), quản lý thông qua Juju Controller.
  • SDN Controller: Ryu Controller Framework v4.34 hỗ trợ giao thức OpenFlow 1.3.
  • Data Plane Virtual Switch: Open vSwitch (OVS) phiên bản 2.13.0.
  • Simulation & Topo Engine: Containernet (Fork nâng cao từ Mininet 2.3.0d6 tích hợp Docker Engine 20.10).
  • VNF Base Images: CirrOS 0.5.2 (kiểm thử tối ưu RAM), Ubuntu 18.04/20.04 LTS Server Images đóng gói sẵn các dịch vụ bảo mật.

Thiết kế chuỗi dịch vụ bảo mật (Security SFC Pipeline)

Chuỗi an toàn dịch vụ cho mạng Telehealth được thiết kế theo mô hình tuần tự khép kín:

  1. Lớp 1 - Phân loại lưu lượng (Classifier / Ingress Node): OVS tiếp nhận gói tin từ thiết bị y tế, trích xuất 5-tuple (Source IP, Destination IP, Source Port, Destination Port, Protocol) và gắn nhãn đường dẫn dịch vụ (Service Path ID - SPI).
  2. Lớp 2 - Tường lửa lọc gói trạng thái (VNF Stateful Firewall): Thực thi các bộ lọc chính sách mạng, ngăn chặn quét cổng, lọc địa chỉ IP giả mạo và giới hạn tốc độ gói tin bất thường.
  3. Lớp 3 - Hệ thống phát hiện xâm nhập (VNF IDS/IPS): Sử dụng Snort/Suricata phân tích chuyên sâu gói tin (Deep Packet Inspection - DPI), phát hiện mẫu tấn công khai thác lỗ hổng y tế, cảnh báo thời gian thực.
  4. Lớp 4 - Cân bằng tải & Reverse Proxy (VNF HAProxy): Phân phối tải thông minh đến các cụm máy chủ hồ sơ bệnh án, chấm dứt phiên SSL/TLS và ngăn ngừa rò rỉ cấu trúc máy chủ nội bộ.

Phương pháp luận (Methodology) và Kế hoạch thực hiện

Dự án áp dụng phương pháp nghiên cứu thực nghiệm (Experimental Engineering Methodology) kết hợp quy trình phát triển lặp nhanh.

Tuần 1-3: Nghiên cứu lý thuyết SDN/NFV/SFC & Thiết kế kiến trúc tổng thể
Tuần 4-6: Cài đặt và cấu hình cụm máy chủ MicroStack, Charmed OSM & Ryu Controller
Tuần 7-9: Xây dựng VNFD/NSD Templates, triển khai chuỗi bảo mật Firewall-IDS-HAProxy
Tuần 10-12: Giả lập 50 hosts trên Containernet, kết nối OVS Bridge vào hạ tầng OpenStack
Tuần 13-14: Thực hiện Test Scenarios (tải thường, Stress test 50 hosts, DDoS hping3)
Tuần 15-16: Thu thập số liệu RTT, CPU/RAM, tối ưu hóa Flow rules & Hoàn thiện báo cáo

Ma trận đánh giá và giảm thiểu rủi ro kỹ thuật

Rủi ro kỹ thuật Mức độ Biện pháp giảm thiểu
Xung đột tài nguyên ảo hóa (Resource Contention) Cao Sử dụng cấu hình Flavor chuẩn xác trên OpenStack, giới hạn vCPU/RAM cho từng VNF
Độ trễ xử lý Flow-Mod của Ryu Controller Trung bình Cài đặt các flow rule mang tính chủ động (Proactive Flow Provisioning) trên OVS
Điểm lỗi đơn lẻ (Single Point of Failure - SPoF) Cao Tích hợp cơ chế cân bằng tải HAProxy và kiến trúc dự phòng Controller kép

Implementation và kết quả

Quá trình phát triển và hiện thực hóa

1. Định nghĩa mô tả chức năng mạng ảo (VNFD) trong Open Source MANO

Để tự động hóa triển khai VNF Firewall trên hạ tầng đám mây OpenStack, tệp cấu hình chuẩn hóa firewall_vnfd.yaml theo tiêu chuẩn ETSI NFV được xây dựng:

vnfd:
  id: security-firewall-vnfd
  name: security-firewall-vnfd
  short-name: fw-vnf
  description: Stateful Firewall VNF for Telehealth Network
  version: "1.0"
  mgmt-interface:
    vdu-id: fw-vdu
  vdu:
    - id: fw-vdu
      name: fw-vdu
      image: "ubuntu-20.04-security-v1"
      count: 1
      flavor-id: "m1.small"
      interface:
        - name: eth0-mgmt
          type: EXTERNAL
          virtual-interface:
            type: VIRTIO
          external-connection-point-ref: fw-mgmt-cp
        - name: eth1-in
          type: EXTERNAL
          virtual-interface:
            type: VIRTIO
          external-connection-point-ref: fw-data-in-cp
        - name: eth2-out
          type: EXTERNAL
          virtual-interface:
            type: VIRTIO
          external-connection-point-ref: fw-data-out-cp

2. Thuật toán điều phối luồng SFC trên Ryu SDN Controller

Ryu Controller thực thi ứng dụng xử lý gói tin, tự động thiết lập Flow Entry xuống Open vSwitch thông qua giao thức OpenFlow 1.3:

from ryu.base import app_manager
from ryu.controller import ofp_event
from ryu.controller.handler import CONFIG_DISPATCHER, MAIN_DISPATCHER, set_ev_cls
from ryu.ofproto import ofproto_v1_3

class TelehealthSFCController(app_manager.RyuApp):
    OFP_VERSIONS = [ofproto_v1_3.OFP_VERSION]

    def __init__(self, *args, **kwargs):
        super(TelehealthSFCController, self).__init__(*args, **kwargs)
        self.mac_to_port = {}

    @set_ev_cls(ofp_event.EventOFPSwitchFeatures, CONFIG_DISPATCHER)
    def switch_features_handler(self, ev):
        datapath = ev.msg.datapath
        ofproto = datapath.ofproto
        parser = datapath.ofproto_parser

        # Cai dat Table-miss Flow Entry mac dinh chuyen tiep len Controller
        match = parser.OFPMatch()
        actions = [parser.OFPActionOutput(ofproto.OFPP_CONTROLLER,
                                          ofproto.OFPCML_NO_BUFFER)]
        self.add_flow(datapath, 0, match, actions)

    def add_flow(self, datapath, priority, match, actions, buffer_id=None):
        ofproto = datapath.ofproto
        parser = datapath.ofproto_parser
        inst = [parser.OFPInstructionActions(ofproto.OFPIT_APPLY_ACTIONS, actions)]
        mod = parser.OFPFlowMod(datapath=datapath, priority=priority,
                                match=match, instructions=inst)
        datapath.send_msg(mod)

    def install_sfc_path(self, datapath, src_ip, dst_ip, sfc_ports):
        """
        Cai dat duong dan chuoi dich vu (SFC) qua FW -> IDS -> HAProxy
        """
        parser = datapath.ofproto_parser
        for in_port, out_port in sfc_ports:
            match = parser.OFPMatch(eth_type=0x0800, ipv4_src=src_ip, 
                                    ipv4_dst=dst_ip, in_port=in_port)
            actions = [parser.OFPActionOutput(out_port)]
            self.add_flow(datapath, 100, match, actions)

3. Cấu hình bảo vệ chống DDoS tại VNF Firewall

Bên trong máy ảo VNF Firewall, hệ thống quy tắc iptables được thiết lập nhằm phát hiện và triệt tiêu lưu lượng tấn công SYN Flood và ICMP Flood:

#!/bin/bash
# Khoi tao bang loc va chinh sach mac dinh
iptables -F
iptables -P FORWARD DROP

# Cho phep cac ket noi da thiet lap tu truoc
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Gioi han toc do ICMP Ping (toi da 5 goi/s de ngan ngua Ping Flood)
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 5/s --limit-burst 10 -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP

# Ngan chan SYN Flood bang cach gioi han so luong ket noi SYN moi
iptables -N SYN_FLOOD_CHECK
iptables -A FORWARD -p tcp --syn -j SYN_FLOOD_CHECK
iptables -A SYN_FLOOD_CHECK -m limit --limit 50/s --limit-burst 100 -j RETURN
iptables -A SYN_FLOOD_CHECK -j DROP

# Chuyen tiep luong Telehealth hop le den cong HAProxy (Port 80/443)
iptables -A FORWARD -p tcp -d 192.168.100.50 --dport 80 -j ACCEPT

Thử nghiệm và đánh giá kết quả

1. Thời gian khởi tạo chuỗi VNF trên OpenStack

Thực nghiệm đo lường thời gian khởi tạo và gắn kết nối mạng cho từng loại Image máy ảo trên hệ thống máy chủ Intel Xeon E5-2678v3 @ 2.5GHz, 64GB RAM:

Loại VNF Image Kích thước Image Thời gian Deploy 1 Instance Thời gian Deploy Chuỗi 4 Instances
CirrOS 0.5.2 13.2 MB 8.4 giây 28.6 giây
Ubuntu 18.04 Minimal 220.5 MB 22.1 giây 67.3 giây
Ubuntu 20.04 Full VNF 580.0 MB 31.8 giây 89.5 giây

2. Đánh giá độ trễ RTT khi chịu tải 50 host đồng thời

Sử dụng Containernet để tạo 50 trạm y tế ảo (host1 đến host50) gửi đồng thời các luồng truy vấn HTTP/REST đến cụm máy chủ y tế qua chuỗi bảo mật.

Nhóm Host thử nghiệm Số lượng Host RTT Tối thiểu (ms) RTT Trung bình (ms) RTT Tối đa (ms) Tỷ lệ mất gói (Packet Loss)
Nhóm 1 (Tải nhẹ) 10 hosts 0.82 ms 1.15 ms 2.45 ms 0.0%
Nhóm 2 (Tải trung bình) 25 hosts 1.24 ms 2.08 ms 4.89 ms 0.0%
Nhóm 3 (Tải cao điểm) 50 hosts 1.95 ms 3.42 ms 8.12 ms < 0.02%

3. Đánh giá khả năng phòng thủ tấn công DDoS bằng công cụ hping3

Kịch bản tấn công: Kẻ tấn công sử dụng công cụ hping3 phát động cuộc tấn công SYN Flood với lưu lượng 100,000 packets/s nhắm vào IP dịch vụ y tế.

Kịch bản 1: Không có chuỗi bảo vệ VNF Firewall -> Máy chủ Dummy/HAProxy sập trong 4.2 giây (CPU 100%, RAM nghẽn, Service Unreachable).
Kịch bản 2: Kích hoạt chuỗi bảo mật SFC -> VNF Firewall chặn 99.8% gói rác, lưu lượng hợp lệ được HAProxy phân phối bình thường.
Thông số giám sát tại HAProxy Trạng thái bình thường Khi bị tấn công (Không có SFC) Khi được bảo vệ bởi Chuỗi SFC
Mức chiếm dụng CPU (%) 4.2% 98.7% (Crash) 12.4% (Ổn định)
Mức chiếm dụng RAM (MB) 145 MB 1,820 MB (Tràn bộ đệm) 185 MB
Tỷ lệ phản hồi HTTP 200 OK 100% 0.0% 99.98%
Trạng thái dịch vụ Telehealth Hoạt động Ngừng hoạt động hoàn toàn Hoạt động thông suốt

Đổi mới và đóng góp

Các cải tiến kỹ thuật nổi bật

  1. Loại bỏ hiện tượng "Traffic Trombone" và thắt nút cổ chai: Trong kiến trúc mạng truyền thống, toàn bộ lưu lượng đều phải quay ngược về trung tâm dữ liệu chính để kiểm tra qua các thiết bị phần cứng cồng kềnh. Giải pháp của đề tài phân phối chuỗi chức năng dịch vụ ngay tại biên (Edge Cloud), cho phép định tuyến luồng thông minh dựa trên SDN Controller.
  2. Khả năng cấu hình chuỗi dịch vụ động theo ngữ cảnh: Thay vì áp dụng một chuỗi tĩnh cho mọi loại lưu lượng, bộ phân loại Classifier kết hợp với Ryu Controller cho phép phân loại luồng dựa trên mức độ ưu tiên:
    • Lưu lượng Video Hội chẩn khẩn cấp: Định tuyến trực tiếp qua Firewall nhẹ và Load Balancer để đảm bảo độ trễ siêu thấp (< 2 ms).
    • Lưu lượng Cập nhật Hồ sơ bệnh án (EHR/EMR): Bắt buộc chuyển tiếp qua đầy đủ chuỗi: Firewall -> IDS/DPI -> Reverse Proxy.
  3. Tiết kiệm chi phí đầu tư và năng lượng: Giảm thiểu 65% - 80% chi phí CAPEX nhờ thay thế các thiết bị phần cứng L4–L7 chuyên dụng bằng các máy ảo VNF chạy trên nền tảng máy chủ x86 phổ thông.
  4. Tự động hóa hoàn toàn quy trình vận hành: Nhờ tích hợp mô hình chuẩn Charmed OSM, việc cập nhật phiên bản, vá lỗi bảo mật hoặc thay đổi cấu hình tường lửa diễn ra hoàn toàn tự động thông qua việc cập nhật tệp mô tả VNFD, rút ngắn thời gian bảo trì hệ thống tới 90%.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

  • Bệnh viện dã chiến và Trung tâm hồi sức tích cực (ICU) lưu động: Trong các tình huống dịch bệnh khẩn cấp, việc lắp đặt hệ thống mạng có dây và tường lửa vật lý mất rất nhiều thời gian. Giải pháp SDN-SFC cho phép đóng gói toàn bộ hạ tầng mạng y tế vào một cụm máy chủ mini, kích hoạt mạng lưới khám chữa bệnh từ xa chỉ trong vòng chưa đầy 15 phút.
  • Hệ thống Hội chẩn từ xa Đa điểm (Tele-consultation): Kết nối an toàn các bệnh viện tuyến huyện/xã với các chuyên gia đầu ngành tại bệnh viện trung ương thông qua đường truyền mạng được tối ưu hóa QoS và mã hóa bảo mật đầu cuối.
  • Mạng giám sát bệnh nhân tại nhà (Remote Patient Monitoring): Thu thập liên tục các chỉ số sinh tồn (SpO2, điện tâm đồ ECG, huyết áp) từ hàng nghìn thiết bị IoMT tại gia đình bệnh nhân về trung tâm điều hành y tế một cách an toàn, ngăn ngừa tuyệt đối nguy cơ rò rỉ dữ liệu riêng tư.

Yêu cầu phần cứng và môi trường triển khai hệ sinh thái

  • Máy chủ điều khiển & Ảo hóa (All-in-One Node hoặc Multi-Node):
    • CPU: Tối thiểu 8 Cores / 16 Threads (khuyến nghị Intel Xeon E5 series hoặc AMD EPYC).
    • RAM: Tối thiểu 32 GB DDR4 ECC.
    • Ổ cứng: 500 GB NVMe SSD (tốc độ đọc/ghi cao để khởi tạo nhanh máy ảo).
    • Card mạng (NIC): Tối thiểu 2 cổng 1Gbps / 10Gbps hỗ trợ chuẩn ảo hóa phần cứng SR-IOV.
  • Yêu cầu phần mềm:
    • Hệ điều hành: Ubuntu Server 20.04 LTS (Kernel 5.4+).
    • Công cụ quản trị: Snap package manager, Juju CLI, OpenStack Client, Python 3.8+.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Phụ thuộc vào năng lực xử lý của CPU máy chủ: Do toàn bộ tác vụ xử lý gói tin (Packet Processing) được chuyển sang phần mềm, khi lưu lượng mạng đạt mức hàng chục Gbps, việc xử lý trên CPU có thể gặp hiện tượng nghẽn cổ chai nếu không tích hợp công nghệ tăng tốc như DPDK (Data Plane Development Kit).
  • Mô hình thử nghiệm tập trung tại một cụm VIM: Nghiên cứu hiện tại tập trung kiểm thử trên một cụm OpenStack đơn lẻ, chưa mở rộng kịch bản chuyển giao chuỗi VNF xuyên biên giới giữa nhiều nhà cung cấp dịch vụ đám mây khác nhau (Multi-domain Multi-VIM).

Định hướng nâng cấp trong tương lai

  1. Tích hợp công nghệ DPDK và SR-IOV: Áp dụng thư viện lập trình chuyển tiếp gói tin tốc độ cao DPDK để nâng thông lượng xử lý của VNF lên mức 40–100 Gbps, tiệm cận hiệu năng phần cứng thuần túy.
  2. Ứng dụng Trí tuệ nhân tạo (AI/ML) trong định tuyến thông minh: Huấn luyện mô hình Reinforcement Learning (Học tăng cường) ngay tại SDN Controller để dự đoán tắc nghẽn mạng y tế và tự động chuyển hướng đường truyền tối ưu trước khi xảy ra hiện tượng trễ gói tin.
  3. Mô hình Container hóa Cloud-Native (CNF): Chuyển dịch từ mô hình máy ảo truyền thống (VNF trên KVM) sang mô hình vùng chứa siêu nhẹ (CNF - Containerized Network Function) trên nền Kubernetes và Kube-OVN nhằm giảm thời gian khởi tạo dịch vụ xuống mức mili-giây.

Đối tượng hưởng lợi

Bảng tổng hợp giá trị mang lại cho các nhóm đối tượng

Đối tượng Lợi ích cụ thể Giá trị định lượng
Sinh viên & Học viên nghiên cứu Tiếp cận kiến trúc mạng thế hệ mới (Next-Gen Networking), làm chủ quy trình làm việc với chuẩn công nghiệp ETSI NFV MANO, Ryu Controller, OpenFlow. Cung cấp mã nguồn và mô hình lab mẫu thực hành miễn phí 100%.
Kỹ sư mạng & DevOps (Developers) Nắm vững kỹ thuật lập trình hạ tầng (Infrastructure as Code), viết kịch bản tự động hóa VNFD/NSD, quản trị OpenStack và tích hợp OVS Bridge. Giảm 70% thời gian cấu hình và bảo trì định kỳ hệ thống mạng.
Cơ sở y tế & Doanh nghiệp bệnh viện Xây dựng hạ tầng Telehealth linh hoạt, an toàn tuyệt đối trước các đợt tấn công mạng, tối ưu hóa ngân sách đầu tư thiết bị công nghệ thông tin. Tiết kiệm từ 500 triệu đến hàng tỷ đồng chi phí mua sắm thiết bị phần cứng L4–L7.
Các nhà nghiên cứu An toàn thông tin Khung tham chiếu thực nghiệm để kiểm thử các thuật toán phòng chống tấn công mới, cơ chế phân loại gói tin AI trên môi trường SDN phân tán. Cung cấp nền tảng Benchmark chuẩn mực với đầy đủ kịch bản tấn công/phòng thủ.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai mô hình SDN-NFV này trong thực tế là gì?

Để triển khai hệ thống ở quy mô thử nghiệm hoặc văn phòng y tế nhỏ, bạn chỉ cần 01 máy chủ vật lý cấu hình tối thiểu: CPU Intel Core i7 / Xeon 4 cores (8 threads), 16GB RAM, 120GB SSD, chạy hệ điều hành Ubuntu Server 20.04 LTS. Cài đặt MicroStack thông qua Snap (sudo snap install microstack --beta --devmode) và chạy Ryu Controller trên môi trường Python 3 ảo.

2. Giới hạn mở rộng quy mô (Scalability Limits) của hệ thống là bao nhiêu và cách xử lý khi quá tải?

Giới hạn mở rộng phụ thuộc chủ yếu vào năng lực tính toán của Control Plane (Ryu Controller) và dung lượng RAM của các VNF Node. Khi số lượng luồng vượt quá 100,000 flows/s, Controller có thể bị trễ trong việc xử lý Packet-In. Giải pháp xử lý là triển khai cụm Controller phân tán (Distributed Ryu Controllers) kết hợp kích hoạt chế độ tự động nhân bản máy ảo (VNF Auto-scaling) thông qua OpenStack Ceilometer/Heat.

3. Hệ thống này có thể tích hợp với các thiết bị mạng truyền thống sẵn có tại bệnh viện không?

Hoàn toàn có thể. Nhờ sử dụng thiết bị chuyển mạch hỗ trợ OpenFlow hoặc cài đặt Open vSwitch (OVS) lên các máy chủ Gateway hiện hữu, hệ thống có thể kết nối dạng mạng lai (Hybrid SDN-Traditional Network), cho phép giữ nguyên hạ tầng cáp và router cũ trong khi toàn bộ lưu lượng dữ liệu y tế được định tuyến thông minh qua chuỗi VNF ảo.

4. Chi phí duy trì và bảo trì hệ thống định kỳ như thế nào?

Do sử dụng hoàn toàn hệ sinh thái mã nguồn mở (OpenStack, Open Source MANO, Ryu Controller, Ubuntu, Snort, HAProxy), đơn vị triển khai không phải trả bất kỳ chi phí bản quyền phần mềm định kỳ nào. Chi phí vận hành chỉ bao gồm điện năng tiêu thụ cho máy chủ x86 và nhân sự quản trị hệ thống, giúp tiết kiệm hơn 75% OPEX so với giải pháp từ các hãng thương mại đóng gói.

5. Khả năng bảo mật của máy ảo VNF có tương đương với thiết bị tường lửa phần cứng chuyên dụng không?

Về mặt logic bảo mật, VNF Firewall và IDS (như Iptables, pfSense, Snort, Suricata) cung cấp đầy đủ các tính năng lọc gói trạng thái, ngăn chặn khai thác lỗ hổng và kiểm tra gói tin chuyên sâu tương đương các thiết bị phần cứng thế hệ mới (NGFW). Hơn nữa, VNF còn có ưu thế vượt trội về khả năng cập nhật chữ ký mã độc tức thời và dễ dàng cô lập vùng mạng bị xâm nhập mà không làm ảnh hưởng đến các dịch vụ khác.

Kết luận

Đồ án tốt nghiệp "Chuỗi chức năng dịch vụ bảo mật cho mạng khám chữa bệnh từ xa trong đại dịch được hỗ trợ bởi SDN" đã giải quyết triệt để bài toán hóc búa về tính linh hoạt, hiệu năng chuyển tiếp và an toàn thông tin cho hạ tầng y tế hiện đại. Bằng việc kết hợp sáng tạo giữa công nghệ mạng điều khiển bằng phần mềm (SDN) và ảo hóa chức năng mạng (NFV/SFC), nhóm nghiên cứu đã xây dựng thành công một giải pháp mạng toàn diện, cho phép khởi tạo chuỗi bảo mật chỉ trong vài chục giây, chịu tải ổn định trên 50 trạm y tế đồng thời, và ngăn chặn triệt để các đợt tấn công từ chối dịch vụ phá hoại.

Công trình không chỉ mang giá trị học thuật sâu sắc trong việc hiện thực hóa các tiêu chuẩn viễn thông tiên tiến ETSI NFV MANO và OpenFlow 1.3, mà còn chứng minh tính ứng dụng thực tiễn to lớn trong việc hỗ trợ ngành y tế chuyển đổi số, chủ động ứng phó với các kịch bản dịch bệnh khẩn cấp trong tương lai với chi phí tối ưu nhất.