Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số và bùng nổ lưu lượng thông tin, các dịch vụ truyền thông đa phương tiện thời gian thực như hội nghị truyền hình, thoại qua giao thức mạng cùng hệ sinh thái thiết bị kết nối không dây đang phát triển với tốc độ trên 25% mỗi năm. Bất kỳ sự cố tắc nghẽn hoặc suy giảm chất lượng dịch vụ (Quality of Service - QoS) nào trong các dây chuyền sản xuất thông minh cũng có thể gây thiệt hại ước tính lên tới 10.000 USD mỗi giây. Vấn đề cốt lõi đặt ra là làm thế nào để tối ưu hóa năng lực chuyển tiếp gói tin, kiểm soát hiện tượng nghẽn mạng và duy trì độ trễ ở mức tối thiểu mà không phải đầu tư quá nhiều vào các thiết bị định tuyến phần cứng đóng đắt đỏ.

Luận văn thạc sĩ chuyên ngành An toàn thông tin của tác giả Phạm Thanh Tùng, dưới sự hướng dẫn khoa học của Tiến sĩ Nguyễn Đại Thọ tại Trường Đại học Công nghệ – Đại học Quốc gia Hà Nội (hoàn thành vào tháng 05/2019), tập trung giải quyết bài toán kiểm soát tắc nghẽn thông qua việc thử nghiệm các giải pháp QoS trên hệ điều hành mạng nguồn mở VyOS phiên bản 1.2. Mục tiêu nghiên cứu cụ thể bao gồm: phân tích kiến trúc phân cấp của VyOS, xác định chính xác vị trí mã nguồn các giải thuật quản lý hàng đợi trong nhân hệ điều hành Linux kernel 4.x, đồng thời xây dựng kịch bản kiểm thử thực nghiệm trên nền tảng giả lập EVE-NG nhằm so sánh hiệu năng giữa cơ chế truyền thống DropTail và các cơ chế quản lý hàng đợi tích cực gồm Random Early Detection (RED) và Adaptive-RED (A-RED).

Nghiên cứu mang ý nghĩa thực tiễn to lớn khi mở ra khả năng làm chủ mã nguồn tầng thấp, giúp các tổ chức và doanh nghiệp tiết kiệm từ 50% đến 70% chi phí đầu tư thiết bị mạng chuyên dụng, đồng thời tạo tiền đề kỹ thuật vững chắc cho việc cài đặt các giải thuật can thiệp hàng đợi để ngăn chặn các cuộc tấn công từ chối dịch vụ phân tán trong tương lai.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Khung lý thuyết của nghiên cứu được xây dựng dựa trên 2 trụ cột chính: lý thuyết đảm bảo chất lượng dịch vụ mạng (QoS) và các thuật toán quản lý hàng đợi tích cực (Active Queue Management - AQM). Hệ thống đánh giá QoS dựa trên 4 tham số hiệu suất tiêu chuẩn bao gồm: thông lượng đường truyền (Throughput), thời gian trễ trung bình (Delay time), biến thiên độ trễ (Jitter) và tỷ lệ tổn thất gói tin (Packet loss rate).

Bốn khái niệm kỹ thuật cốt lõi được áp dụng xuyên suốt gồm có:

  • Cơ chế bỏ đuôi (DropTail): Cơ chế hàng đợi vào trước - ra trước (First In First Out) truyền thống. Khi bộ đệm đầy, toàn bộ các gói tin đến sau đều bị hủy bỏ, dễ dẫn tới hiện tượng đồng bộ toàn cục và làm tăng trễ hàng đợi.
  • Cơ chế phát hiện sớm ngẫu nhiên (RED): Giải thuật do Sally Floyd và Van Jacobson đề xuất năm 1993, sử dụng bộ lọc thông thấp với trọng số hàng đợi cố định 0,002 để tính toán kích thước hàng đợi trung bình. Thuật toán thiết lập hai ngưỡng gồm ngưỡng tối thiểu min và ngưỡng tối đa max nhằm loại bỏ gói tin theo xác suất trước khi bộ đệm bị tràn.
  • Cơ chế Adaptive-RED (A-RED): Phiên bản cải tiến tự động điều chỉnh xác suất loại bỏ gói tối đa trong phạm vi từ 0,01 đến 0,5 theo nguyên lý tăng tuyến tính, giảm theo cấp số nhân (AIMD) để giữ độ dài hàng đợi luôn ổn định ở mức một nửa khoảng cách giữa ngưỡng tối thiểu và ngưỡng tối đa.
  • Kiến trúc điều khiển lưu lượng VyOS: Mô hình phân tách giữa không gian người dùng tại thư mục chuyên biệt và nhân Linux, thực thi quản lý hàng đợi thông qua cơ chế quy tắc hàng đợi (queue disciplines - qdisc) của công cụ Traffic Control.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm giả lập kết hợp phân tích mã nguồn hệ thống. Dữ liệu thực nghiệm được thu thập trên nền tảng giả lập mạng thế hệ mới EVE-NG Community, chạy trực tiếp các tệp ảnh hệ điều hành chính thức của thiết bị định tuyến thay vì các phần mềm mô phỏng toán học thuần túy.

Về cỡ mẫu và phương pháp chọn mẫu thử nghiệm: Hệ thống thiết lập 3 luồng tải lưu lượng độc lập từ 3 thiết bị định tuyến nguồn R1, R2 và R3 với các địa chỉ mạng từ 192.168.1.3 đến 192.168.1.5, đồng thời gửi tải tập trung về một thiết bị định tuyến đích R4 có địa chỉ 192.168.30.2 thông qua cổng chuyển tiếp 192.168.1.254 của VyOS. Công cụ phát sinh lưu lượng chuyên dụng Ostinato được cấu hình để tạo mẫu lưu lượng dạng gói tin HTTP SYN cổng 80 với kích thước gói trung bình chuẩn hóa là 1000 bytes. Mẫu lưu lượng này được lựa chọn có chủ đích nhằm mô phỏng chính xác trạng thái nghẽn mạng thực tế do tải dịch vụ web tăng đột biến hoặc các đợt tấn công từ chối dịch vụ.

Phương pháp phân tích được thực hiện bằng cách trích xuất và đo lường lưu lượng gói tin thực tế (tính theo đơn vị packets/giây) tại giao tiếp mạng đầu ra eth1 của VyOS thông qua công cụ phân tích giao thức Wireshark. Mọi kịch bản kiểm thử đều được đồng bộ hóa ở mức băng thông giới hạn 100 Kbps (đáp ứng điều kiện thuật toán RED yêu cầu đường truyền lớn hơn 98 Kbps). Toàn bộ quá trình nghiên cứu, xây dựng mô hình và thu thập dữ liệu được hoàn thiện trong lộ trình 5 tháng (từ tháng 01/2019 đến tháng 05/2019). Việc lựa chọn phương pháp này đảm bảo tính khách quan, phản ánh chính xác 100% hành vi xử lý của nhân hệ điều hành trên phần cứng thực mà vẫn tối ưu hóa được chi phí thử nghiệm.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích cấu trúc hệ thống và thực nghiệm kiểm thử đã mang lại 4 phát hiện kỹ thuật quan trọng:

Thứ nhất, nghiên cứu đã định vị thành công vị trí can thiệp mã nguồn của toàn bộ hệ thống QoS trong VyOS. Tầng cấu hình giao diện người dùng được quản lý bởi các tệp mẫu tại đường dẫn chia sẻ hệ thống và các kịch bản Perl xử lý trung gian, trong khi mã nguồn thực thi thuật toán quản lý hàng đợi RED và A-RED nằm trực tiếp tại thư mục mạng lõi của nhân Linux với định danh quy tắc hàng đợi tương ứng. Điều này chứng minh tính khả thi tuyệt đối của việc chỉnh sửa, tối ưu hoặc bổ sung giải thuật mới vào nhân thiết bị định tuyến.

Thứ hai, cơ chế DropTail bộc lộ sự thiếu ổn định nghiêm trọng khi lưu lượng tải vượt quá năng lực xử lý 100 Kbps. Lưu lượng gói tin đầu ra dao động dữ dội theo chu kỳ hình sin, xuất hiện các khoảng trũng lưu lượng kéo dài do hiện tượng đồng bộ toàn cục khi hàng loạt phiên truyền đồng thời giảm kích thước cửa sổ truyền gói. Tỷ lệ mất gói cục bộ trong các giai đoạn nghẽn đỉnh điểm vượt ngưỡng 40%.

Thứ ba, hiệu năng của thuật toán RED tĩnh chịu sự chi phối nặng nề bởi việc thiết lập tham số xác suất loại bỏ tối đa. Khi thiết lập tham số này ở mức 0,5 (kịch bản RED-1) với ngưỡng tối thiểu 17.000 bytes và ngưỡng tối đa 50.000 bytes, thuật toán loại bỏ gói quá sớm, khiến lưu lượng chuyển tiếp trung bình bị sụt giảm khoảng 35%. Ngược lại, khi giảm xác suất loại bỏ tối đa xuống mức 0,02 (kịch bản RED-2), thông lượng duy trì ổn định hơn và số lượng gói tin truyền qua tăng thêm khoảng 18% so với kịch bản RED-1.

Thứ tư, thuật toán Adaptive-RED thể hiện sự vượt trội toàn diện về khả năng điều hòa dòng dữ liệu. Nhờ cơ chế tự động điều chỉnh xác suất loại bỏ gói trong dải từ 1% đến 50%, lưu lượng đầu ra từ nguồn R2 được phân phối đồng đều nhất, triệt tiêu hoàn toàn các khoảng trũng lưu lượng đột ngột và cải thiện độ ổn định đường truyền cao hơn 25% đến 30% so với cả DropTail lẫn RED cấu hình tĩnh.

Thảo luận kết quả

Các phát hiện thực nghiệm hoàn toàn nhất quán với lý thuyết điều khiển luồng trong mạng máy tính. Khi áp dụng DropTail, thiết bị chỉ phản ứng thụ động khi bộ nhớ đệm đã cạn kiệt, dẫn đến việc mất gói hàng loạt. Ngược lại, việc RED tính toán độ dài hàng đợi trung bình thông qua bộ lọc thông thấp giúp gateway phát hiện nguy cơ nghẽn mạng từ sớm và chủ động gửi tín hiệu điều tiết về nguồn phát.

Để biểu diễn trực quan các kết quả này, toàn bộ dữ liệu đo lường đã được tổng hợp thành bảng thống kê số lượng gói tin bị hủy và đồ thị biến thiên lưu lượng theo thời gian. Đồ thị dạng sóng xung của DropTail thể hiện rõ sự mất cân bằng, trong khi đường biểu diễn lưu lượng của A-RED có dạng đường thẳng nằm ngang tương đối phẳng, minh chứng cho việc kiểm soát trễ và thông lượng ở trạng thái cân bằng động tối ưu.

So với các nghiên cứu trước đây tại các cơ sở đào tạo lớn vốn chỉ dừng lại ở việc mô phỏng trên phần mềm giải lập toán học hoặc mới dừng ở mức khảo sát cấu trúc tệp lệnh của VyOS, công trình này là nghiên cứu đầu tiên đã hiện thực hóa việc cài đặt, tinh chỉnh tham số và đánh giá định lượng trên môi trường firmware thực tế. Kết quả này khẳng định hệ điều hành định tuyến nguồn mở hoàn toàn đủ độ tin cậy để triển khai trên các hạ tầng mạng doanh nghiệp yêu cầu khắt khe về chất lượng dịch vụ.

Đề xuất và khuyến nghị

Dựa trên các kết quả thực nghiệm đạt được, luận văn đưa ra 4 nhóm giải pháp kỹ thuật cụ thể nhằm nâng cao năng lực đảm bảo chất lượng dịch vụ trên các hệ thống mạng:

  1. Triển khai cấu hình thuật toán A-RED trên các giao tiếp mạng kết nối diện rộng (WAN): Các doanh nghiệp viễn thông và nhà cung cấp dịch vụ nên thay thế toàn bộ cơ chế DropTail mặc định bằng cơ chế A-RED với tỷ lệ cấu hình ngưỡng tối đa gấp 3 lần ngưỡng tối thiểu (khuyến nghị mức 50.000 bytes và 17.000 bytes). Mục tiêu duy trì tỷ lệ mất gói dưới 2% và giảm độ trễ hàng đợi trung bình xuống dưới 20 mili-giây đối với các luồng dữ liệu thời gian thực; lộ trình áp dụng từ 1 đến 2 tháng do đội ngũ kỹ sư vận hành mạng thực hiện.

  2. Tích hợp tính năng thông báo tắc nghẽn tường minh (Explicit Congestion Notification - ECN): Quản trị viên hệ thống cần kích hoạt cờ ECN trong câu lệnh điều khiển lưu lượng của VyOS để chuyển đổi từ cơ chế hủy gói sang cơ chế đánh dấu gói tin tại tiêu đề IP. Giải pháp này giúp giảm thiểu ít nhất 15% lượng gói tin phải truyền lại trên toàn mạng; thời gian triển khai trong vòng 3 tháng bởi bộ phận quản trị hạ tầng.

  3. Nhúng giải thuật lọc lưu lượng WDA (Web farm DDoS Attack attenuator) trực tiếp vào nhân Linux: Nhóm nghiên cứu an toàn thông tin cần tận dụng vị trí mã nguồn quy tắc hàng đợi tại thư mục mạng lõi để lập trình bổ sung cơ chế phát hiện và điều tiết các luồng lưu lượng bất thường. Target metric là nâng cao khả năng giảm thiểu các đợt tấn công từ chối dịch vụ dạng SYN Flood lên tới 80%; thời gian hoàn thiện module từ 6 đến 12 tháng.

  4. Chuẩn hóa quy trình kiểm thử chất lượng dịch vụ bằng giải lập EVE-NG: Xây dựng tài liệu hướng dẫn và bộ kịch bản đo kiểm tự động kết hợp công cụ sinh tải Ostinato và phần mềm Wireshark để đánh giá hiệu năng thiết bị trước khi đưa vào vận hành thực tế trên quy mô đường truyền từ 100 Kbps đến 10 Gbps; hoàn thành trong vòng 1 tháng bởi nhóm kiểm thử hệ thống.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang giá trị học thuật và ứng dụng thực tiễn cao, đặc biệt hữu ích cho 4 nhóm đối tượng sau:

  1. Kỹ sư quản trị mạng và chuyên viên vận hành hạ tầng viễn thông: Luận văn cung cấp hướng dẫn chi tiết về cấu trúc phân cấp, quy trình thực thi lệnh và phương pháp cấu hình tối ưu các tham số hàng đợi trên hệ điều hành VyOS, phục vụ trực tiếp cho công tác tối ưu hóa băng thông doanh nghiệp.

  2. Chuyên gia an toàn thông tin và nghiên cứu an ninh mạng: Tài liệu là tài liệu tham khảo giá trị về phương pháp tiếp cận tầng nhân hệ điều hành để phát triển các giải pháp phòng chống tấn công từ chối dịch vụ phân tán ngay trên thiết bị định tuyến trung gian.

  3. Học viên cao học và sinh viên chuyên ngành Công nghệ thông tin: Cung cấp mô hình phương pháp luận mẫu mực trong việc thiết kế bài thí nghiệm mạng ảo hóa trên nền tảng EVE-NG, kết nối các công cụ sinh tải và phân tích gói tin chuyên dụng.

  4. Lãnh đạo công nghệ và nhà quản lý hạ tầng CNTT tại các doanh nghiệp vừa và nhỏ: Giúp các nhà quản trị đánh giá bài toán chi phí - hiệu năng khi chuyển đổi từ các dòng thiết bị định tuyến thương mại đóng kín sang giải pháp định tuyến nguồn mở, giúp tiết kiệm ngân sách đầu tư thiết bị lên tới hàng trăm triệu đồng.

Câu hỏi thường gặp

  1. Tại sao cơ chế DropTail truyền thống lại không đáp ứng được yêu cầu của các dịch vụ mạng hiện đại? Cơ chế DropTail xử lý thụ động theo nguyên tắc FIFO và chỉ loại bỏ gói tin khi bộ đệm đã đầy 100%. Điều này gây ra hiện tượng tràn bộ đệm kéo dài, làm tăng độ trễ trung bình và gây ra hiện tượng đồng bộ toàn cục khi hàng loạt kết nối TCP cùng giảm tốc độ phát gói, làm suy giảm nghiêm trọng chất lượng của các ứng dụng nhạy cảm như cuộc gọi thoại hoặc truyền hình trực tuyến.

  2. Thuật toán Adaptive-RED khắc phục nhược điểm nào của thuật toán RED nguyên bản? Thuật toán RED gốc rất nhạy cảm với việc cấu hình thông số tĩnh, dễ dẫn tới việc loại bỏ gói sai lệch khi lưu lượng mạng biến động mạnh. A-RED khắc phục triệt để điều này bằng cách tự động co giãn xác suất loại bỏ gói tối đa trong dải từ 0,01 đến 0,5 theo cơ chế AIMD, giúp giữ độ dài hàng đợi trung bình luôn xoay quanh mức mục tiêu lý tưởng.

  3. Làm thế nào để can thiệp và sửa đổi giải thuật quản lý hàng đợi trên hệ điều hành VyOS? Hệ thống VyOS cho phép can thiệp ở hai cấp độ: cấp độ giao diện cấu hình thông qua việc chỉnh sửa các tệp mẫu và kịch bản Perl trong thư mục chuyên dụng của hệ thống, và cấp độ thuật toán lõi thông qua việc chỉnh sửa trực tiếp mã nguồn trong thư mục mạng của nhân Linux rồi biên dịch lại kernel.

  4. Nền tảng giả lập EVE-NG mang lại lợi thế gì so với các công cụ mô phỏng mạng khác? Khác với các công cụ mô phỏng thuần túy dựa trên các mô hình toán học, EVE-NG cho phép nạp và chạy trực tiếp các bản firmware và hệ điều hành mạng chính thức trên máy ảo. Nhờ đó, môi trường thử nghiệm phản ánh chính xác 100% cơ chế xử lý gói tin thực tế mà không đòi hỏi chi phí đầu tư thiết bị phần cứng đắt tiền.

  5. Căn cứ nào để thiết lập các tham số băng thông 100 Kbps và các ngưỡng hàng đợi trong bài thử nghiệm? Mức băng thông 100 Kbps được lựa chọn dựa trên công thức tính toán toán học của thuật toán RED yêu cầu tốc độ đường truyền phải lớn hơn 98 Kbps để giải thuật hội tụ chính xác. Các ngưỡng tối thiểu 17.000 bytes và tối đa 50.000 bytes được thiết lập theo khuyến nghị chuẩn, đảm bảo ngưỡng tối đa xấp xỉ gấp 3 lần ngưỡng tối thiểu nhằm tối ưu hóa khả năng hấp thụ các luồng dữ liệu bùng nổ.

Kết luận

Luận văn thạc sĩ của tác giả Phạm Thanh Tùng đã hoàn thành xuất sắc các mục tiêu nghiên cứu đề ra với những đóng góp nổi bật:

  • Làm rõ cấu trúc phân cấp toàn diện của hệ điều hành định tuyến mã nguồn mở VyOS từ không gian người dùng đến không gian nhân.
  • Định vị chính xác mã nguồn các giải thuật quản lý hàng đợi tích cực trong nhân Linux, chứng minh tính khả thi của việc can thiệp thuật toán ở tầng lõi.
  • Thiết kế và vận hành thành công hệ thống thử nghiệm mạng hoàn chỉnh trên môi trường giả lập EVE-NG tích hợp công cụ phát sinh tải Ostinato và phân tích Wireshark.
  • Chứng minh bằng số liệu thực nghiệm rằng giải thuật A-RED giúp duy trì lưu lượng ổn định hơn và giảm dao động mất gói từ 20% đến 30% so với DropTail và RED tĩnh.
  • Đặt nền móng kỹ thuật vững chắc cho các nghiên cứu tiếp theo về việc cài đặt giải thuật phòng chống tấn công từ chối dịch vụ WDA trên thiết bị mạng nguồn mở.

Trong giai đoạn tiếp theo kéo dài 6 đến 12 tháng, hướng nghiên cứu sẽ tiếp tục mở rộng việc lập trình nhúng thuật toán chống tấn công vào nhân kernel và đo kiểm trên các môi trường mạng băng thông cao từ 1 Gbps đến 10 Gbps. Các tổ chức và doanh nghiệp quan tâm đến giải pháp định tuyến nguồn mở hiệu năng cao được khuyến khích tải về toàn văn công trình nghiên cứu và áp dụng mô hình thử nghiệm vào thực tế hạ tầng của đơn vị.