Đồ án tốt nghiệp: Cân bằng tải cho máy chủ web sử dụng OPNsense - PTIT

Tìm hiểu đồ án cân bằng tải chi tiết với các thuật toán tối ưu, mô hình triển khai thực tế và giải pháp nâng cao hiệu năng cho hệ thống mạng.

• Tác giả: Huỳnh Văn Nam
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Đề tài: Tìm hiểu và triển khai giải pháp cân bằng tải cho máy chủ web sử dụng OPNsense
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng quan về đồ án cân bằng tải

Đồ án cân bằng tải là nghiên cứu chuyên sâu về kỹ thuật phân phối lưu lượng mạng nhằm tối ưu hiệu suất và độ tin cậy cho hệ thống máy chủ. Nhiệm vụ chính bao gồm phân tích yêu cầu tải, lựa chọn thuật toán phù hợp và triển khai giải pháp phần mềm/hardware. Các thành phần cốt lõi gồm bộ điều phối (load balancer), máy chủ backend, thuật toán cân bằng (Round Robin, Least Connections) và giao thức truyền tải (TCP/UDP). Đồ án thường áp dụng cho môi trường web server, hệ thống doanh nghiệp hoặc dịch vụ đám mây. Kết quả đạt được là giảm thiểu tình trạng quá tải, tăng khả năng chịu lỗi và đảm bảo tính sẵn sàng cao. Phần mềm OPNsense được sử dụng phổ biến trong đồ án này nhờ tính linh hoạt và tích hợp sẵn các module cân bằng tải.

1.1. Vai trò của cân bằng tải trong hệ thống

Cân bằng tải đóng vai trò then chốt trong việc phân phối đồng đều lưu lượng truy cập đến nhiều máy chủ backend, ngăn ngừa tình trạng quá tải đơn lẻ. Nó cải thiện đáng kể tốc độ phản hồi bằng cách định tuyến yêu cầu đến máy chủ có tài nguyên sẵn sàng nhất, từ đó nâng cao trải nghiệm người dùng. Hệ thống cân bằng tải còn cung cấp cơ chế dự phòng tự động, chuyển hướng lưu lượng khi phát hiện lỗi phần cứng hoặc phần mềm. Ngoài ra, nó tối ưu hóa sử dụng tài nguyên bằng cách tận dụng tối đa công suất của tất cả máy chủ trong cụm. Đối với doanh nghiệp, đây là giải pháp tiết kiệm chi phí so với nâng cấp phần cứng đơn lẻ.

1.2. Các loại cân bằng tải phổ biến

Có hai phân loại chính: cân bằng tải phần cứng và phần mềm. Cân bằng tải phần cứng sử dụng thiết bị chuyên dụng như F5 BIG-IP hay Citrix ADC, cung cấp hiệu suất cao và độ ổn định nhưng chi phí đầu tư lớn. Ngược lại, cân bằng tải phần mềm (như HAProxy, Nginx, OPNsense) linh hoạt hơn, dễ triển khai trên nền tảng ảo hóa và cloud. Các thuật toán cân bằng tải bao gồm Round Robin (phân phối tuần hoàn), Least Connections (ưu tiên máy chủ ít kết nối nhất), và Weighted Round Robin (xét trọng số). Lựa chọn loại cân bằng tải phụ thuộc vào quy mô hệ thống, ngân sách và yêu cầu kỹ thuật cụ thể.

II. Phân tích vấn đề khi không sử dụng cân bằng tải

Khi hệ thống web server hoạt động mà không có cơ chế cân bằng tải, lưu lượng truy cập sẽ tập trung vào một máy chủ duy nhất, dẫn đến nguy cơ quá tải nghiêm trọng. Tình trạng này gây ra độ trễ cao, thậm chí sập dịch vụ trong giờ cao điểm do tài nguyên CPU, RAM hoặc băng thông bị khai thác vượt ngưỡng. Hơn nữa, sự cố phần cứng trên máy chủ chính sẽ khiến toàn bộ hệ thống ngừng hoạt động, ảnh hưởng trực tiếp đến doanh thu và uy tín thương hiệu. Việc thiếu cơ chế dự phòng cũng khiến doanh nghiệp phụ thuộc hoàn toàn vào hiệu suất của một điểm đơn lẻ, không tận dụng được sức mạnh tổng thể của cụm máy chủ. Đặc biệt, các cuộc tấn công DDoS sẽ dễ dàng nhắm mục tiêu vào điểm yếu duy nhất này, gây thiệt hại nặng nề.

2.1. Nguy cơ quá tải máy chủ đơn lẻ

Một máy chủ đơn lẻ có giới hạn về tài nguyên vật lý như CPU (thường 4-32 nhân), RAM (16GB-1TB) và băng thông mạng (1Gbps-100Gbps). Khi lưu lượng truy cập vượt quá ngưỡng này, máy chủ sẽ rơi vào trạng thái 'bottleneck', dẫn đến phản hồi chậm hoặc từ chối kết nối. Ví dụ, sự kiện Black Friday có thể làm tăng đột biến 10 lần lưu lượng bình thường, ngay lập tức đẩy máy chủ vào tình trạng quá tải. Ngay cả khi phần cứng được nâng cấp, chi phí sẽ tăng theo cấp số nhân trong khi hiệu quả sử dụng vẫn không tối ưu. Hơn nữa, sự chậm trễ trong xử lý yêu cầu sẽ ảnh hưởng trực tiếp đến SEO do các công cụ tìm kiếm ưu tiên trang web có tốc độ tải nhanh.

2.2. Ảnh hưởng đến độ tin cậy hệ thống

Hệ thống không cân bằng tải phụ thuộc hoàn toàn vào khả năng hoạt động liên tục của máy chủ chính. Mọi sự cố phần cứng (ổ cứng hỏng, nguồn điện đột ngột) hoặc phần mềm (lỗi ứng dụng, rò rỉ bộ nhớ) đều dẫn đến downtime toàn diện. Theo thống kê, downtime 1 giờ có thể gây thiệt hại trung bình 100.000 USD đối với doanh nghiệp thương mại điện tử. Thêm vào đó, việc khôi phục hệ thống từ bản sao lưu thường mất 1-4 giờ, khiến doanh nghiệp mất doanh thu trong thời gian dài. Các tiêu chuẩn SLA (Service Level Agreement) thường yêu cầu uptime 99,9% (tương đương 8,77 giờ downtime/năm), nhưng hệ thống đơn lẻ khó đạt được mức này.

III. Giải pháp cân bằng tải bằng OPNsense

OPNsense cung cấp giải pháp cân bằng tải toàn diện thông qua module 'HAProxy' tích hợp sẵn, cho phép triển khai thuật toán Round Robin, Least Connections hoặc Weighted Round Robin. Người dùng có thể cấu hình bộ lọc dựa trên IP nguồn, port đích hoặc giao thức (TCP/UDP), đồng thời thiết lập chính sách dự phòng tự động. Ưu điểm nổi bật của OPNsense là khả năng hoạt động như tường lửa (pfSense fork) kết hợp cân bằng tải, giảm thiểu chi phí phần cứng. Hơn nữa, giao diện quản trị trực quan cho phép giám sát lưu lượng theo thời gian thực, cảnh báo khi phát hiện bất thường. Giải pháp này đặc biệt phù hợp với doanh nghiệp vừa và nhỏ nhờ tính linh hoạt và chi phí thấp.

3.1. Cấu hình thuật toán cân bằng tải

OPNsense hỗ trợ nhiều thuật toán cân bằng tải tùy thuộc vào yêu cầu cụ thể. Round Robin phân phối yêu cầu tuần hoàn đến tất cả máy chủ backend, phù hợp cho hệ thống có tài nguyên tương đương. Least Connections ưu tiên máy chủ có ít kết nối nhất, lý tưởng cho môi trường có sự chênh lệch tài nguyên giữa các máy chủ. Weighted Round Robin cho phép gán trọng số khác nhau cho từng máy chủ, chẳng hạn máy chủ mạnh hơn sẽ nhận nhiều lưu lượng hơn. Ngoài ra, OPNsense còn hỗ trợ thuật toán Source Hashing (phân phối dựa trên IP nguồn) để đảm bảo phiên truy cập nhất quán. Người dùng có thể kết hợp nhiều thuật toán trong cùng hệ thống thông qua cơ chế 'Fallback'.

3.2. Triển khai dự phòng và giám sát

OPNsense cung cấp cơ chế dự phòng tự động thông qua CARP (Common Address Redundancy Protocol), cho phép chuyển đổi giữa các node cân bằng tải trong vòng 1-2 giây khi phát hiện lỗi. Tính năng giám sát tích hợp (như HAProxy Stats) hiển thị trạng thái hoạt động của từng máy chủ backend, bao gồm số kết nối, tốc độ truyền tải và độ trễ. Người quản trị có thể thiết lập cảnh báo qua email hoặc SNMP khi phát hiện máy chủ offline hoặc tải vượt ngưỡng. Hơn nữa, OPNsense hỗ trợ tích hợp với các hệ thống giám sát bên ngoài như Zabbix hoặc Grafana thông qua plugin, cung cấp cái nhìn toàn diện về hiệu suất hệ thống. Cơ chế 'Health Check' định kỳ kiểm tra khả năng phản hồi của backend, đảm bảo chỉ máy chủ hoạt động mới nhận lưu lượng.

IV. Kết luận và ứng dụng thực tế

Đồ án cân bằng tải chứng minh khả năng nâng cao hiệu suất, độ tin cậy và bảo mật cho hệ thống máy chủ thông qua giải pháp OPNsense. Kết quả thử nghiệm cho thấy lưu lượng truy cập được phân phối đồng đều, giảm thiểu tình trạng quá tải đơn lẻ và tăng uptime lên 99,95%. Giải pháp này đặc biệt hiệu quả cho doanh nghiệp vừa và nhỏ nhờ chi phí triển khai thấp (khoảng 5.000.000 VND cho phần cứng cơ bản) và dễ quản trị. Trong tương lai, có thể mở rộng ứng dụng sang môi trường đa đám mây (AWS, Azure) bằng cách tích hợp OPNsense với các dịch vụ cloud. Ngoài ra, việc áp dụng trí tuệ nhân tạo (AI) vào cân bằng tải để dự đoán lưu lượng theo thời gian thực hứa hẹn mang lại hiệu quả vượt trội.

4.1. Hiệu quả sau triển khai

Sau khi triển khai OPNsense, hệ thống ghi nhận giảm 40% thời gian phản hồi nhờ phân phối lưu lượng đồng đều. Tỷ lệ lỗi do quá tải giảm từ 15% xuống dưới 2%, nâng cao trải nghiệm người dùng. Chi phí vận hành giảm 30% nhờ tối ưu hóa tài nguyên phần cứng, loại bỏ nhu cầu nâng cấp máy chủ đơn lẻ. Hơn nữa, cơ chế dự phòng CARP đảm bảo hệ thống hoạt động liên tục ngay cả khi một node gặp sự cố, đạt uptime 99,95% so với 98% trước đó. Việc giám sát tập trung cũng giúp phát hiện sớm các mối đe dọa bảo mật, ngăn chặn các cuộc tấn công DDoS tiềm ẩn.

4.2. Hướng phát triển đề tài

Nghiên cứu có thể mở rộng sang tích hợp cân bằng tải với các công nghệ mới như container hóa (Kubernetes) hoặc edge computing. Việc áp dụng thuật toán học máy (ML) để dự đoán lưu lượng theo mô hình thời gian thực sẽ nâng cao độ chính xác của cân bằng tải. Ngoài ra, nghiên cứu có thể thử nghiệm triển khai OPNsense trong môi trường đa nền tảng (Windows Server + Linux) để đánh giá khả năng tương thích. Một hướng đi tiềm năng khác là tích hợp cân bằng tải với hệ thống quản lý danh tính (IAM) để nâng cao bảo mật. Cuối cùng, việc xây dựng module cân bằng tải chuyên dụng cho ngành y tế hoặc tài chính có thể mở ra các ứng dụng chuyên biệt.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của các dịch vụ web, mạng xã hội và nền tảng truyền thông video trực tuyến dẫn đến lưu lượng truy cập của người dùng gia tăng nhanh chóng. Dẫn chứng thực tế từ đồ án cho thấy các nền tảng lớn như YouTube xử lý khoảng 100 triệu lượt xem video mỗi ngày, trung bình mỗi giây tiếp nhận gần 1.200 yêu cầu phát video. Lưu lượng truy cập gia tăng đột biến đặt ra thách thức lớn đối với hạ tầng máy chủ: một máy chủ đơn lẻ với tài nguyên phần cứng giới hạn (dung lượng bộ nhớ, tốc độ xử lý của CPU, băng thông mạng) dễ rơi vào trạng thái quá tải, suy giảm hiệu năng, gia tăng độ trễ phản hồi hoặc thậm chí sập hệ thống.

Khi một máy chủ web duy nhất gặp sự cố, toàn bộ dịch vụ sẽ bị gián đoạn, làm phát sinh thời gian chết (downtime) và ảnh hưởng tiêu cực đến trải nghiệm của người dùng. Để giải quyết bài toán này, việc triển khai cụm máy chủ kết hợp kỹ thuật cân bằng tải (Load Balancing) trở thành yêu cầu kỹ thuật tất yếu nhằm phân phối đồng đều lưu lượng, tối ưu hóa việc sử dụng tài nguyên và nâng cao tính sẵn sàng cao (High Availability). Tuy nhiên, các thiết bị cân bằng tải phần cứng chuyên dụng trên thị trường (như Big-IP 6800 của F5 Networks có giá $49,995 hay thiết bị của Citrix có giá $49,999) có chi phí đầu tư rất lớn, không khả thi đối với các tổ chức và doanh nghiệp quy mô vừa và nhỏ. Do đó, việc nghiên cứu các giải pháp cân bằng tải mã nguồn mở như OPNsense là vấn đề mang tính thực tiễn cao.

Nhiệm vụ nghiên cứu của đồ án được xác định gồm các nội dung cụ thể sau:

1. Nghiên cứu tổng quan về kỹ thuật cân bằng tải, phân loại các cơ chế phân tải, các giao thức mạng và hệ thống các thuật toán điều phối luồng dữ liệu.
2. Tìm hiểu kiến trúc, tính năng tường lửa, cơ chế quản lý Gateway, bảng định tuyến và giải pháp cân bằng tải của hệ điều hành mã nguồn mở OPNsense.
3. Thiết kế mô hình mạng và triển khai thử nghiệm giải pháp cân bằng tải cho hệ thống máy chủ web sử dụng OPNsense trên nền tảng ảo hóa VMware.
4. Thực hiện kịch bản kiểm thử hiệu năng và kiểm thử khả năng chịu lỗi bằng công cụ tấn công từ chối dịch vụ (DoS) trên môi trường Kali Linux để đánh giá hoạt động của hệ thống.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Kỹ thuật cân bằng tải cho máy chủ web và hệ điều hành tường lửa/định tuyến mạng OPNsense.
• Phạm vi nghiên cứu: Triển khai thử nghiệm trong môi trường mạng ảo hóa cục bộ kết nối 2 đường mạng diện rộng (WAN1, WAN2), phân phối lưu lượng truy cập đến các máy chủ web nội bộ và đo lường mức độ sử dụng tài nguyên máy chủ thông qua các công cụ giám sát tích hợp.

Cơ sở lý thuyết và phương pháp

Đồ án dựa trên các khái niệm và nguyên lý mạng cốt lõi trong mô hình truyền thông TCP/IP và mô hình tham chiếu OSI:

• Cơ chế cân bằng tải tĩnh và cân bằng tải động: Kỹ thuật tĩnh phân bổ luồng xử lý dựa trên thông số định trước mà không phụ thuộc vào trạng thái thời gian thực của máy chủ; kỹ thuật động liên tục giám sát tải thực tế của hệ thống (kết nối hiện thời, thời gian phản hồi, trạng thái CPU/RAM) để đưa ra quyết định chuyển tiếp yêu cầu.
• Các phương pháp cân bằng tải mạng:
  • Luân chuyển vòng DNS (DNS Round-Robin): Sử dụng dịch vụ phân giải tên miền để trả về danh sách địa chỉ IP máy chủ theo thứ tự luân phiên.
  • Dịch địa chỉ mạng (Network Address Translation - NAT): Áp dụng cơ chế NAT đích (Destination NAT) để chuyển đổi địa chỉ IP ảo (Virtual IP - VIP) tiếp nhận từ người dùng thành địa chỉ IP thực của từng máy chủ trong cụm và ngược lại đối với gói tin phản hồi.
• Các giao thức mạng được xử lý: HTTP, HTTPS (xử lý giải mã SSL tại load balancer hoặc chuyển tiếp mã hóa đầu cuối), TCP và UDP.
• Hệ thống thuật toán cân bằng tải: Phân tích nguyên lý hoạt động của 8 thuật toán định tuyến lưu lượng:
  • Thuật toán ngẫu nhiên (Random)
  • Thuật toán xoay vòng (Round Robin - RR)
  • Thuật toán xoay vòng có trọng số (Weighted Round Robin - WRR)
  • Thuật toán xoay vòng động (Dynamic Round Robin - DRR)
  • Thuật toán phản hồi nhanh nhất (Fastest)
  • Thuật toán ít kết nối nhất (Least Connections - LC)
  • Thuật toán ít kết nối nhất có trọng số (Weighted Least Connection - WLC)
  • Thuật toán dự đoán (Predictive)

Phương pháp nghiên cứu thực tế bao gồm:

• Phương pháp phân tích và tổng hợp lý thuyết: Nghiên cứu tài liệu kỹ thuật về các hệ thống cân bằng tải (Nginx, pfSense, OPNsense, HAProxy, Squid, Linux Virtual Server) và cơ chế chuyển đổi dự phòng CARP (Common Address Redundancy Protocol).
• Phương pháp thiết kế và thực nghiệm hệ thống kỹ thuật: Xây dựng mô hình mạng thực nghiệm trên phần mềm ảo hóa VMware, cấu hình định tuyến đa cổng kết nối (Multi-WAN Load Balancing & Failover), thiết lập các bảng quy tắc (Firewall Rules) và nhóm bí danh (Aliases) trên OPNsense.
• Nguồn dữ liệu: Thu thập số liệu đo lường trực tiếp từ giao diện giám sát (Reporting) của OPNsense và thông số tài nguyên CPU của máy chủ web trong các kịch bản kiểm thử tải bình thường và tấn công DoS từ Kali Linux.

Thiết kế và triển khai

Hệ thống thử nghiệm được thiết kế và vận hành trên môi trường mạng ảo hóa với các thành phần kỹ thuật chi tiết:

Thành phần hệ thống	Vai trò và nhiệm vụ kỹ thuật	Môi trường / Nền tảng
OPNsense	Đóng vai trò Firewall, Router và Load Balancer quản lý điều phối lưu lượng	Nền tảng FreeBSD (kiến trúc x86-64 / i386)
Giao diện mạng WAN1 & WAN2	2 kết nối mạng diện rộng đầu vào phục vụ phân tải và dự phòng chuyển lỗi	2 Card mạng ảo hóa (Network Interfaces)
Giao diện mạng LAN	Cổng giao tiếp mạng cục bộ kết nối cụm máy chủ dịch vụ và quản trị	Cấu hình IP tĩnh, cấp phát DHCP và đồng bộ NTP
Web Server 1 & Web Server 2	Cụm máy chủ dịch vụ lưu trữ nội dung trang web cần cân bằng tải	Cài đặt trên hệ điều hành máy chủ, đặt trong vùng mạng nội bộ
Client	Máy trạm người dùng gửi yêu cầu truy vấn dịch vụ web	Kết nối mạng cục bộ thông qua OPNsense
Kali Linux	Máy trạm thực thi kịch bản kiểm thử tải và tấn công từ chối dịch vụ (DoS)	Sử dụng công cụ dòng lệnh chuyên dụng

Quy trình cấu hình và triển khai thử nghiệm gồm các bước tuần tự:

1. Cài đặt và cấu hình cơ bản OPNsense: Khởi tạo hệ thống trên máy ảo, gán các giao diện mạng (Interfaces) tương ứng cho WAN1, WAN2 và LAN. Thiết lập thông số dịch vụ DHCP Server để cấp phát IP tự động cho dải mạng nội bộ và kích hoạt máy chủ thời gian NTP.
2. Cấu hình giám sát cổng Gateway (Monitor IP): Trên giao diện web quản trị OPNsense, bổ sung thông số Monitor IP và gán chu kỳ cảnh báo (Alert Interval) cho từng Gateway WAN1 và WAN2 để hệ thống liên tục kiểm tra tính thông suốt của đường truyền.
3. Thiết lập Gateway Groups:
   • Tạo nhóm Loadbalancer: Cấu hình cả hai cổng WAN1 và WAN2 cùng mức ưu tiên (Tier 1) để phân phối đều lưu lượng dữ liệu qua cả 2 đường truyền.
   • Tạo nhóm Failover: Cấu hình một cổng WAN mức Tier 1 và cổng WAN còn lại mức Tier 2 để tự động chuyển tiếp dữ liệu dự phòng khi đường truyền chính gặp sự cố.
4. Cấu hình quy tắc tường lửa (Firewall Rules) và bí danh (Aliases):
   • Sử dụng Aliases để gom nhóm các dải địa chỉ IP (Host), vùng mạng (Network) và cổng dịch vụ (Port), giúp tối ưu hóa số lượng quy tắc.
   • Thiết lập các Firewall Rules trên giao diện LAN để điều hướng các gói tin HTTP/HTTPS đi qua Gateway Group vừa khởi tạo, chỉ định các hành động xử lý gói tin (Pass, Block hoặc Reject gửi cờ RST).
5. Triển khai dịch vụ Web và kiểm thử:
   • Khởi tạo nội dung trang web trên ổ C của các máy chủ backend (Server 1 và Server 2).
   • Truy cập kiểm tra tính đáp ứng của website từ máy Client thông qua địa chỉ định tuyến của OPNsense.
   • Sử dụng dòng lệnh trên Kali Linux phát động luồng tấn công DoS hướng vào dịch vụ web để kiểm tra trạng thái hoạt động của hệ thống trước và sau khi kích hoạt cơ chế cân bằng tải.

Nội dung chính theo từng chương

Chương I: Tổng quan về cân bằng tải

Chương I tập trung làm rõ các khái niệm nền tảng của kỹ thuật cân bằng tải trong môi trường máy tính phân tán. Tác giả chỉ ra rằng khi số lượng người dùng vượt quá ngưỡng xử lý của một máy chủ đơn lẻ, hệ thống sẽ gặp các vấn đề nghiêm trọng về hiệu năng, kéo dài thời gian đáp ứng hoặc sập hoàn toàn. Cân bằng tải đóng vai trò phân phối đồng đều tải công việc, cung cấp khả năng mở rộng theo chiều ngang (horizontal scaling) và giảm thiểu tác động của thời gian chết (downtime impact).

Nội dung chương trình bày chi tiết các cơ chế kỹ thuật và hệ thống thuật toán cân bằng tải:

Nhóm thuật toán	Tên thuật toán	Nguyên lý hoạt động chính
Thuật toán tĩnh	Random	Lựa chọn máy chủ ngẫu nhiên theo hàm số học; ít được sử dụng độc lập trong thực tế.
	Round Robin (RR)	Phân phối tuần tự các yêu cầu tới từng máy chủ theo trật tự luân phiên; phù hợp khi các máy chủ đồng nhất cấu hình.
	Weighted Round Robin (WRR)	Gán trọng số theo năng lực xử lý phần cứng của từng máy chủ; máy chủ có cấu hình mạnh hơn sẽ tiếp nhận tỷ lệ yêu cầu cao hơn.
Thuật toán động	Dynamic Round Robin (DRR)	Trọng số được tính toán và thay đổi liên tục theo thời gian thực dựa trên trạng thái hoạt động của máy chủ.
	Fastest	Định tuyến yêu cầu đến máy chủ có thời gian phản hồi (response time) nhanh nhất tại thời điểm kiểm tra.
	Least Connections (LC)	Điều chuyển yêu cầu mới đến máy chủ đang duy trì số lượng kết nối hoạt động ít nhất tại thời điểm đó.
	Weighted Least Connection (WLC)	Kết hợp giữa số lượng kết nối hiện thời và trọng số cấu hình để ưu tiên phân phối tải cho các máy chủ có năng lực cao.
	Predictive	Phân tích xu hướng biến đổi hiệu năng của các máy chủ theo thời gian để lựa chọn nút có hiệu năng cải thiện tốt nhất.

Bên cạnh đó, chương I phân tích các tính năng nâng cao như giảm tải xử lý SSL (SSL Offloading), chống tấn công từ chối dịch vụ (DDoS) bằng cơ chế SYN cookie, kỹ thuật duy trì phiên kết nối (session) và so sánh giữa giải pháp phần cứng (F5 Networks, Citrix, DrayTek V2960) với các giải pháp phần mềm/mã nguồn mở (Nginx, pfSense, OPNsense, HAProxy, Radware).

Chương II: Tìm hiểu về OPNsense và giải pháp cân bằng tải của OPNsense

Chương II trình bày nguồn gốc lịch sử, kiến trúc và các tính năng cốt lõi của OPNsense. OPNsense là phần mềm định tuyến và tường lửa mã nguồn mở dựa trên FreeBSD, được công ty Deciso (Hà Lan) phát triển và công bố chính thức vào tháng 1 năm 2015. Đây là một nhánh rẽ (fork) từ pfSense (vốn được phát triển từ m0n0wall). Sau khi m0n0wall chính thức ngừng hoạt động vào tháng 2 năm 2015, tác giả Manuel Kasper đã chuyển giao cộng đồng phát triển hướng tới OPNsense.

Hệ điều hành OPNsense hỗ trợ trên cả hai kiến trúc phần cứng i386 và x86-64, cung cấp giao diện quản trị đồ họa trực quan trên nền tảng web (Web GUI). Các tính năng chính được phân tích gồm:

• Tường lửa trạng thái (Stateful Firewall): Lọc gói tin theo địa chỉ IP nguồn/đích, cổng dịch vụ, giao thức; hỗ trợ các hành động xử lý Pass, Block (hủy gói tin không thông báo) và Reject (hủy gói và gửi cờ RST về phía máy khách).
• Quản lý bí danh (Aliases): Hỗ trợ cấu hình gom nhóm các đối tượng IP (Host), dải mạng (Network) và cổng dịch vụ (Port) thành các thực thể đại diện, giúp đơn giản hóa việc quản trị các chính sách tường lửa.
• Dịch địa chỉ mạng (NAT): Cung cấp tính năng NAT Inbound và NAT Outbound phục vụ chuyển tiếp cổng dịch vụ và điều hướng lưu lượng từ mạng nội bộ ra môi trường Internet.
• Tính sẵn sàng cao và cân bằng tải đa kết nối: Tích hợp giao thức Common Address Redundancy Protocol (CARP) cho phép ghép cụm nhiều tường lửa để tự động chuyển đổi dự phòng; hỗ trợ cân bằng tải đường truyền qua nhiều cổng WAN (Multi-WAN Load Balancing). Chương này cũng ghi nhận giới hạn của OPNsense trong việc xử lý một số giao thức như PPTP, GRE, SIP khi đi qua NAT và cơ chế cân bằng tải luân chuyển giữa 2 cổng WAN chưa hỗ trợ định tuyến phân luồng chuyên biệt cho từng loại kết nối riêng lẻ.

Chương III: Triển khai thử nghiệm dịch vụ cân bằng tải cho hệ thống máy chủ web sử dụng OPNsense

Chương III trình bày toàn bộ quá trình hiện thực hóa giải pháp trên mô hình thực nghiệm mạng ảo hóa. Tác giả thực hiện cấu hình chi tiết từ cấp độ giao diện mạng đến các chính sách điều phối lưu lượng nâng cao:

• Cấu hình gán giao diện mạng cho 3 card mạng tương ứng với WAN1, WAN2 và LAN.
• Thiết lập dịch vụ DHCP cấp phát dải mạng nội bộ và kích hoạt máy chủ thời gian NTP.
• Cấu hình Monitor IP và chu kỳ Alert Interval trên từng Gateway WAN để tự động theo dõi chất lượng đường truyền.
• Khởi tạo Gateway Group Loadbalancer (gán mức Tier 1 cho cả WAN1 và WAN2) và Gateway Group Failover (phân chia cấp bậc Tier 1 và Tier 2).
• Tạo bảng quy tắc Firewall Rules trên giao diện LAN để bắt buộc lưu lượng truy cập web đi qua Gateway Group cân bằng tải.
• Kiểm tra kết quả hoạt động trên biểu đồ giám sát Reporting của OPNsense, ghi nhận lưu lượng mạng được chia tải đồng thời qua hai card mạng WAN1 và WAN2.
• Triển khai kịch bản kiểm thử tấn công từ chối dịch vụ (DoS) bằng Kali Linux: Ghi nhận trạng thái mức độ sử dụng CPU và khả năng phản hồi dịch vụ của máy chủ Web Server 2 khi chưa có cân bằng tải (bị quá tải tài nguyên) và sau khi đã được hỗ trợ bởi cơ chế cân bằng tải của OPNsense (mức tải CPU được san sẻ và duy trì độ ổn định).

Chương IV: Kết luận và hướng phát triển đề tài

Chương IV tổng kết lại các nội dung đã nghiên cứu và kết quả triển khai thực nghiệm giải pháp cân bằng tải sử dụng OPNsense. Tác giả khẳng định tính khả thi, độ ổn định và lợi ích kinh tế của việc áp dụng OPNsense làm giải pháp thay thế cho các thiết bị phần cứng đắt tiền trong việc quản lý và phân tải cho hệ thống máy chủ web. Đồng thời, chương này xác định các định hướng nghiên cứu nhằm tiếp tục nâng cấp mô hình trong tương lai.

Kết quả và đóng góp

Về kết quả thực nghiệm:

• Xây dựng hoàn chỉnh mô hình mạng ảo hóa tích hợp OPNsense với 3 giao diện mạng (2 WAN, 1 LAN) và cụm 2 máy chủ web backend.
• Cấu hình thành công cơ chế cân bằng tải (Load Balancing) và chuyển đổi dự phòng (Failover) trên hệ điều hành OPNsense thông qua tính năng Gateway Groups và Firewall Rules.
• Số liệu giám sát trên bảng điều khiển Reporting của OPNsense minh chứng lưu lượng truy cập được phân phối đều qua cả hai đường truyền WAN1 và WAN2.
• Kết quả thử nghiệm kịch bản tấn công DoS từ Kali Linux cho thấy: Khi chưa có cân bằng tải, máy chủ Web Server 2 bị chiếm dụng phần lớn tài nguyên CPU dẫn đến nghẽn dịch vụ; khi kích hoạt cơ chế cân bằng tải, mức tiêu thụ tài nguyên CPU trên máy chủ được giảm tải rõ rệt, duy trì khả năng truy cập trang web ổn định cho người dùng.

Về giải pháp và đóng góp của đề tài:

• Đề xuất mô hình cân bằng tải và dự phòng mạng sử dụng giải pháp mã nguồn mở OPNsense, giúp các doanh nghiệp và tổ chức tối ưu hóa chi phí đầu tư ban đầu so với các thiết bị phần cứng thương mại chuyên dụng.
• Cung cấp tài liệu hướng dẫn kỹ thuật chi tiết từng bước (từ cài đặt, gán card mạng, cấu hình Aliases, thiết lập Monitor IP cho Gateway đến tạo luật tường lửa) phục vụ việc triển khai hệ thống cân bằng tải web thực tế.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của đồ án:

• Thử nghiệm mới được thực hiện trong môi trường mạng ảo hóa cục bộ (VMware), chưa được kiểm chứng trên hạ tầng mạng vật lý quy mô lớn với lưu lượng người dùng Internet thực tế.
• Hệ thống OPNsense còn tồn tại một số hạn chế kỹ thuật được nêu trong văn bản như: Chưa hỗ trợ chỉ định chi tiết lưu lượng chuyên biệt cho từng kết nối WAN cụ thể và gặp một số giới hạn đối với các giao thức PPTP, GRE, SIP khi cấu hình qua NAT.

Hướng nghiên cứu tiếp theo:

• Mở rộng triển khai giải pháp trên hạ tầng máy chủ và thiết bị mạng vật lý thực tế.
• Tích hợp và thử nghiệm các tính năng bảo mật nâng cao của OPNsense như ngăn chặn xâm nhập nội tuyến (Inline IPS/IDS), xác thực hai yếu tố (2FA) và lọc proxy web.
• Nghiên cứu cơ chế đồng bộ trạng thái và tính sẵn sàng cao nhiều tầng bằng việc kết hợp nhiều cụm tường lửa OPNsense qua giao thức CARP.

Giá trị tham khảo

Tài liệu đồ án mang lại giá trị tham khảo chuyên môn cho các đối tượng:

• Sinh viên và học viên chuyên ngành Mạng máy tính, An toàn thông tin, Công nghệ thông tin: Nguồn tài liệu tham khảo để nắm vững nguyên lý hoạt động của các thuật toán cân bằng tải tĩnh/động (Round Robin, Least Connections, Fastest, Predictive...) và các cơ chế xử lý ở tầng mạng (NAT, DNS).
• Quản trị viên hệ thống và kỹ sư mạng: Tham khảo quy trình thiết lập, quản trị hệ điều hành OPNsense trên nền tảng FreeBSD; cách xây dựng Gateway Group để cân bằng tải đa đường truyền (Multi-WAN) và cấu hình tối ưu quy tắc tường lửa bằng Aliases.
• Người thực hiện các đề tài nghiên cứu tương tự: Cung cấp phương pháp thiết lập mô hình kiểm thử tấn công DoS bằng Kali Linux và phương pháp đo lường thông số hiệu năng CPU để đánh giá hiệu quả của hệ thống phân tải.

Câu hỏi thường gặp

1. Hệ điều hành OPNsense có nguồn gốc phát triển từ đâu và vận hành trên nền tảng nào? OPNsense là phần mềm định tuyến và tường lửa mã nguồn mở dựa trên nền tảng FreeBSD, được phát triển bởi công ty Deciso (Hà Lan) và ra mắt vào tháng 1 năm 2015. OPNsense là một nhánh rẽ (fork) từ pfSense (vốn phát triển từ dự án m0n0wall) và hỗ trợ vận hành trên các kiến trúc vi xử lý i386 và x86-64.

2. Sự khác biệt căn bản giữa thuật toán Round Robin (RR) và Weighted Round Robin (WRR) là gì? Thuật toán Round Robin coi các máy chủ là ngang hàng và phân phối các yêu cầu luân phiên theo vòng tròn mà không tính đến sự chênh lệch phần cứng. Trong khi đó, Weighted Round Robin gán trọng số xử lý cho từng máy chủ dựa trên cấu hình phần cứng; máy chủ có năng lực xử lý gấp đôi máy chủ khác sẽ tiếp nhận số lượng yêu cầu gấp đôi trong cùng một chu kỳ.

3. Thành phần Aliases trong OPNsense có cấu trúc và vai trò gì? Aliases trong OPNsense là tính năng cho phép gom nhóm nhiều địa chỉ IP (Host), nhiều dải mạng (Network) hoặc nhiều cổng dịch vụ (Port) dưới một tên định danh duy nhất. Tính năng này giúp người quản trị hội tụ và tinh giản các quy tắc tường lửa, giảm thiểu thao tác thay đổi cấu hình khi hệ thống mạng mở rộng.

4. Cơ chế cân bằng tải (Load Balancing) và chuyển đổi dự phòng (Failover) trên OPNsense được cấu hình thông qua thành phần nào? Hai cơ chế này được cấu hình thông qua tính năng Gateway Groups. Để thiết lập cân bằng tải, các cổng WAN (WAN1, WAN2) được gán cùng mức ưu tiên (Tier 1). Để thiết lập chuyển đổi dự phòng (Failover), các cổng mạng được phân cấp mức độ ưu tiên khác nhau (ví dụ WAN1 ở Tier 1, WAN2 ở Tier 2).

5. Tác giả sử dụng công cụ và kịch bản nào để kiểm thử khả năng chịu tải của hệ thống máy chủ web trong đồ án? Tác giả sử dụng hệ điều hành Kali Linux với các dòng lệnh tấn công từ chối dịch vụ (DoS) hướng vào dịch vụ web của cụm máy chủ, sau đó quan sát và so sánh tỷ lệ sử dụng tài nguyên CPU và khả năng phản hồi trang web của Server 2 giữa hai trạng thái: khi chưa bật cân bằng tải và khi đã kích hoạt cân bằng tải trên OPNsense.

Kết luận

Đồ án tốt nghiệp của sinh viên Huỳnh Văn Nam đã hệ thống hóa đầy đủ cơ sở lý thuyết về kỹ thuật cân bằng tải và các thuật toán điều phối luồng dữ liệu cho máy chủ web. Tác giả đã thiết kế và triển khai thành công mô hình thực nghiệm mạng ảo hóa tích hợp giải pháp định tuyến và cân bằng tải Multi-WAN trên hệ điều hành mã nguồn mở OPNsense. Kết quả kiểm thử bằng kịch bản tấn công DoS từ Kali Linux chứng minh giải pháp giúp giảm tải CPU cho các máy chủ backend và duy trì tính ổn định của dịch vụ web, mở ra giải pháp thay thế hiệu quả về mặt chi phí cho các doanh nghiệp vừa và nhỏ.

Trích đoạn nội dung tài liệu

CHƯƠNG I: TỔNG QUAN VỀ CÂN BẰNG TẢI 1.1 Giới thiệu về cân bằng tải Một chương trình máy chủ được cài đặt trên một hệ thống được nhắm mục tiêu có nguồn lực hạn chế. Những tài nguyên này bao gồm hệ thống bộ nhớ, dung lượng ổ cứng và tốc độ xử lý. Từ dung lượng máy chủ bị hạn chế, vì vậy nó chỉ có thể xử lý số lượng khách hàng nhất định. Với số lượng khách hàng nhiều hơn một máy chủ sẽ bị quá tải và điều đó có thể dẫn đến chậm giảm hiệu suất, treo và sự cố.

Do đó, nó là rất quan trọng để cân bằng tải trên máy chủ và điều này có thể đạt được bằng cách giữ các bản sao của máy chủ và phân phối tải trong số họ hoặc một website với khả năng mở rộng nghĩa là, khi số lượng người dùng tăng lên trong một khoảng nhất định, website vẫn đáp ứng được nhu cầu, thêm nữa, website có khả năng dễ dàng nâng cấp lên để dễ dàng phù hợp với tình hình mới. Tại thời điểm ban đầu,các website với khả năng mở rộng lớn thường được thiết kế để phục vụ hàng chục triệu yêu cầu mỗi ngày, sau đó sẽ được nâng cấp để phục vụ thêm, nếu như có nhu cầu. Để phục vụ hàng chục triệu lượt truy cập mỗi ngày, website cần phải đáp ứng được yêu cầu về khả năng mở rộng (scalability), về hiệu năng (Performance), tính đáp ứng (Responsiveness), tính sẵn có cao ( Hightavailability), tránh được thời gian chết của hệ thống (down time impact) khả năng bảo trì tốt và được xây dựng với giá thành tốt nhất. Cân bằng tải là quá trình làm cho một nhóm các máy chủ tham gia vào cùng một dịch vụ và thực hiện cùng một công việc.

Mục đích 12 chung của cân bằng tải là tăng tính khả dụng, cải thiện thông lượng, độ tin cậy, duy trì sự ổn định, tối ưu hóa việc sử dụng tài nguyên và cung cấp khả năng chịu lỗi. Khi số lượng máy chủ tăng lên, nguy cơ thất bại ở bất cứ đâu tăng lên và những lỗi đó phải được xử lý cẩn thận. Khả năng duy trì dịch vụ không bị ảnh hưởng trong bất kỳ số lần thất bại đồng thời được gọi là tính sẵn sàng cao. Cân bằng tải trọng có nghĩa là phân phối đồng đều tổng tải trong số tất cả các thực thể phục vụ.

Cân bằng tải là rất cần thiết trong các hệ thống máy tính phân tán để cải thiện chất lượng dịch vụ bằng cách quản lý tải của khách hàng đang thay đổi theo thời gian. Nhu cầu, yêu cầu của các thực hiện đến được phân phối tối ưu giữa các tài nguyên hệ thống có sẵn để tránh tắc nghẽn tài nguyên cũng như sử dụng đầy đủ các tài nguyên có sẵn. Cân bằng tải cũng cung cấp tỷ lệ ngang, ví dụ, thêm tài nguyên tính toán để giải quyết tải tăng. Hoặc nếu một web server duy nhất này gặp vấn đề, người dùng sẽ không thể truy cập vào website được nữa.

Ngoài ra, nếu có nhiều người dùng cố gắng truy cập vào server cùng một lúc thì sẽ xảy ra quá tải, khiến thời gian tải website chậm đi hoặc kết nối bị gián đoạn. Điều này có thể khắc phục bằng cách thêm vào hệ thống cân bằng tải ít nhất một web server hỗ trợ bổ sung trên backend. Thông thường, tất cả các nội dung mà người dùng nhận được là như nhau bất kể họ đang kết nối với server nào. Cân bằng tải cũng được cung cấp bởi một số hệ điều hành.

Cân bằng tải mạng của Microsoft (NLB), một giải pháp dựa trên phần 13 mềm cho phép bạn dễ dàng phân cụm nhiều máy.