Bối cảnh và vấn đề nghiên cứu

Trong xu thế phát triển của các công nghệ viễn thông và truyền thông hiện đại như mạng di động 5G, Internet vạn vật (IoT), điện toán đám mây (Cloud Computing) và thực tế ảo (Virtual Reality), nhu cầu mở rộng quy mô và nâng cao chất lượng dịch vụ mạng đặt ra áp lực lớn cho các nhà cung cấp dịch vụ viễn thông và doanh nghiệp. Phần lớn hạ tầng mạng truyền thống hiện nay đang phụ thuộc vào các thiết bị phần cứng chuyên dụng từ các hãng như Cisco, Juniper, Sophos. Mô hình này bộc lộ nhiều nhược điểm: chi phí đầu tư thiết bị đắt đỏ, tính tương thích giữa các hãng kém dẫn đến khó khăn trong quản lý tập trung, chu kỳ cập nhật phần mềm chậm, cùng chi phí giấy phép sử dụng cao và thời hạn ngắn.

Bên cạnh đó, quy trình triển khai dịch vụ mạng truyền thống (từ xác định nhu cầu, thiết kế, lắp đặt, đấu nối dây, cấu hình, kiểm thử đến vận hành) thường kéo dài từ vài ngày, vài tuần đến vài tháng. Đối với các dự án ngắn hạn hoặc các nhu cầu thay đổi hạ tầng đột xuất, phương thức truyền thống gây lãng phí lớn về thời gian và chi phí đầu tư. Để giải quyết các bất cập trên, công nghệ Ảo hóa chức năng mạng (Network Functions Virtualization - NFV) kết hợp với Chuỗi chức năng dịch vụ (Service Function Chain - SFC) và Mạng khả lập trình (Software Defined Networking - SDN) được xem là giải pháp thay thế phù hợp, cho phép chuyển đổi các chức năng mạng từ phần cứng chuyên biệt sang các phần mềm chạy trên nền tảng ảo hóa với phần cứng phổ thông.

Đề tài đặt ra 5 mục tiêu nghiên cứu cụ thể:

  1. Đề xuất giải pháp triển khai SFC gồm nhiều VNF cho phép tách biệt các chức năng mạng (Router, Firewall, Intrusion Detection, Reverse Proxy, Web Server) khỏi các thiết bị vật lý chuyên dụng bằng hình thức phần mềm chạy trong môi trường ảo hóa trên các thiết bị phần cứng phổ thông, tạo thành một chuỗi sắp xếp có thứ tự kết nối với nhau.
  2. Cho phép dùng mạng khả lập trình SDN quản lý và điều phối hệ thống.
  3. Tăng cường tính linh hoạt trong việc mở rộng hệ thống.
  4. Nghiên cứu và triển khai các giải pháp bảo mật dựa trên VNF và SFC trong mạng khả lập trình SDN.
  5. Xây dựng mô hình ảo hóa có khả năng ứng dụng vào thực tiễn.
  • Đối tượng nghiên cứu: Công nghệ Ảo hóa chức năng mạng (NFV), Hàm chức năng mạng ảo (Virtual Network Function - VNF), Chuỗi chức năng dịch vụ (Service Function Chaining - SFC), Mạng khả lập trình (SDN), Nền tảng điện toán đám mây mã nguồn mở OpenStack, và Nền tảng điều phối Open-Source Management and Orchestration (OSM).
  • Phạm vi nghiên cứu: Giải pháp triển khai và quản lý chức năng mạng ảo trong môi trường mạng doanh nghiệp vừa và nhỏ (quy mô dưới 10 thiết bị); thay thế thiết bị mạng vật lý bằng chức năng mạng ảo trong môi trường giả lập mạng SDN bằng Mininet/Containernet; ảo hóa chức năng mạng thông qua OpenStack và điều phối bởi Open Source MANO (OSM).

Cơ sở lý thuyết và phương pháp nghiên cứu

Khóa luận xây dựng dựa trên các khung lý thuyết, mô hình chuẩn hóa và công trình nghiên cứu liên quan:

  • Kiến trúc tham chiếu NFV theo chuẩn ETSI ISG NFV: Mô hình chuẩn hóa do Viện Tiêu chuẩn Viễn thông Châu Âu (ETSI) ban hành năm 2012, bao gồm ba khối chính: Các hàm chức năng mạng ảo hóa (VNF) được đặc tả qua tệp mô tả VNFD (Virtualized Network Function Descriptor); Khối hạ tầng ảo hóa chức năng mạng (NFVI) quản lý tài nguyên tính toán, lưu trữ, chuyển mạch mạng; và Khối quản lý và điều phối (NFV MANO) gồm NFV Orchestrator (NFVO), VNF Manager (VNFM), Virtualized Infrastructure Manager (VIM).
  • Kiến trúc Mạng khả lập trình SDN (ONF): Mô hình phân tách rõ ràng giữa tầng điều khiển (Control Plane) và tầng dữ liệu (Data Plane). Kiến trúc gồm 3 tầng: Tầng ứng dụng (Application Layer), Tầng điều khiển (Control Layer với SDN Controller), Tầng hạ tầng (Infrastructure Layer), tương tác qua Northbound API và Southbound API (sử dụng giao thức OpenFlow).
  • Chuỗi chức năng dịch vụ (SFC): Khái niệm kết nối có thứ tự các VNF (như Firewall, Deep Packet Inspection/IPS, Proxy) nhằm kiểm soát và điều hướng luồng dữ liệu truyền qua các dịch vụ đầu cuối.
  • Tình hình nghiên cứu liên quan: Kế thừa và tham khảo framework NFV-VITAL của Cao và cộng sự về đặc tính hiệu suất VNF; SDIoT security framework của Choi và cộng sự về bảo mật IoT dựa trên SDN/SFC; và mô hình điều phối bảo mật động trong dự án EU H2020 ANASTACIA.

Phương pháp nghiên cứu được triển khai bao gồm:

  • Phương pháp phân tích và thiết kế: Thiết kế kiến trúc tổng thể tích hợp giữa ba thành phần chính: khối quản lý điều phối MANO (sử dụng OSM), hạ tầng điện toán đám mây (sử dụng OpenStack) và mạng mở rộng SDN (sử dụng ONOS và Containernet).
  • Phương pháp thực nghiệm và đo lường: Thiết lập hệ thống thực tế trên các máy chủ ảo hóa; viết các tệp mô tả VNFD, NSD định dạng YAML; tự động hóa khởi tạo máy ảo; đo đạc thời gian triển khai chi tiết của từng VNF (so sánh mốc thời gian bắt đầu trên OSM và thời gian hoàn tất cloud-init trong log máy ảo); theo dõi mức độ chiếm dụng tài nguyên CPU của hệ thống điều phối OSM.
  • Phương pháp kiểm thử bảo mật và chức năng: Sử dụng công cụ hping3 từ host mạng SDN để mô phỏng các đợt tấn công từ chối dịch vụ (DoS) dạng ICMP flood và SYN flood vào chuỗi SFC; sử dụng lệnh curl để kiểm thử cơ chế phân phối tải của Reverse Proxy.
  • Nguồn dữ liệu: Dữ liệu log vận hành, log cảnh báo và bảng số liệu thời gian trích xuất trực tiếp từ máy ảo OSM, OpenStack Horizon/Nova, Snort IPS, HAProxy, iptables và công cụ giám sát tải CPU.

Thiết kế và triển khai hệ thống

Hệ thống được thiết kế và hiện thực hóa dựa trên sự kết hợp của ba máy ảo máy chủ chuyên dụng:

Thành phần máy chủ Hệ điều hành Cấu hình phần cứng Địa chỉ IP Vai trò và phần mềm triển khai
Server 1 (MANO) Ubuntu Desktop 18.04 4 vCPU, 8GB RAM, 40GB HDD 10.112 Cài đặt Open Source MANO (OSM Release 8) đóng vai trò NFVO, VNFM, giao tiếp VIM
Server 2 (Cloud/VIM) Ubuntu Server 18.04 6 vCPU, 12GB RAM, 64GB HDD 10.141 Cài đặt OpenStack thông qua DevStack (Nova, Neutron, Swift, Cinder) cung cấp hạ tầng ảo hóa
Server 3 (SDN) Ubuntu Desktop 18.04 2 vCPU, 8GB RAM, 64GB HDD 10.199 Cài đặt ONOS Controller (chạy qua Docker container) và Containernet (cài đặt qua Ansible playbook)

Quy trình triển khai kỹ thuật bao gồm các bước:

  1. Xây dựng Template và Descriptor trên OSM: Các mẫu template VNFD và NSD được cấu hình theo định dạng YAML dựa trên mô hình thông tin OSM Release EIGHT Information Model. VNF Package khai báo các thông số VDU (vCPU, memory, disk, interface, kết nối mạng, script cloud-init), trong khi NS Package khai báo liên kết giữa các VNF (constituent-vnfd), mạng nội bộ (vld), subnet và cấp phát IP/DHCP. Các gói được đẩy lên kho lưu trữ bằng lệnh osm nfpkg-create và osm nspkg-create.
  2. Tối ưu hóa Image trên OpenStack: Khắc phục nhược điểm khởi tạo máy ảo từ image gốc mất khoảng 30 phút do phải update/cài đặt gói phần mềm trong lúc boot. Nhóm thực hiện cài sẵn các phần mềm chuyên dụng trên nền Ubuntu 18.04, cấu hình hoàn chỉnh rồi chụp snapshot tạo thành các image tĩnh trên OpenStack:
    • Image Firewall: Tích hợp iptables.
    • Image Reverse Proxy: Cài đặt và cấu hình HAProxy.
    • Image IPS: Cài đặt Snort.
    • Image Web Server: Cài đặt Nginx.
  3. Liên kết mạng SDN và OpenStack: Sử dụng Open vSwitch (OVS) để thiết lập kết nối giữa bridge br-int trên máy OpenStack và switch s1 trên máy Containernet thông qua đường hầm VXLAN (gán port s1-eth0 với type vxlan, remote IP tương ứng) và gán VLAN tag=2 khớp với dải mạng Public (172.x) của OpenStack, cho phép các host trong Containernet giao tiếp trực tiếp với hạ tầng đám mây.

Nội dung chính theo từng chương

Chương 1 - Mở đầu

Chương này giới thiệu tổng quan bối cảnh bùng nổ dịch vụ Internet, phân tích các hạn chế cố hữu của hạ tầng mạng phần cứng truyền thống (chi phí cao, cấu hình phức tạp, khó tương thích đa hãng, triển khai chậm). Tác giả xác định 5 mục tiêu nghiên cứu, xác lập đối tượng nghiên cứu (NFV, VNF, SFC, SDN, OpenStack, OSM) và phạm vi giới hạn trong mạng doanh nghiệp vừa và nhỏ dưới 10 thiết bị được giả lập và ảo hóa.

Chương 2 - Tình hình nghiên cứu và kiến thức nền tảng

Chương 2 trình bày tổng quan tình hình nghiên cứu về kết hợp NFV và SDN trong và ngoài nước (NFV-VITAL, SDIoT, ANASTACIA). Nội dung phân tích sâu cơ sở lý thuyết về NFV theo kiến trúc ETSI (gồm VNF, NFVI, MANO, OSS/BSS), nguyên lý hoạt động của SDN theo chuẩn ONF (phân tách Control Plane/Data Plane, vai trò của SDN Controller, giao thức OpenFlow, Northbound/Southbound API), mối quan hệ tương hỗ giữa SDN và NFV, cùng nguyên lý thiết lập chuỗi dịch vụ mạng SFC.

Chương 3 - Phân tích và thiết kế hệ thống

Tác giả đề xuất phương pháp thực hiện và sơ đồ thiết kế tổng thể hệ thống gồm ba trụ cột: Khối quản trị và điều phối MANO (OSM), Khối hạ tầng điện toán đám mây (OpenStack đóng vai trò VIM cung cấp tài nguyên Compute, Storage, Network), và Khối mạng khả lập trình SDN (ONOS, Containernet). Chương này làm rõ cơ chế liên kết dữ liệu giữa các OpenFlow Switch của OpenStack và mạng SDN qua card mạng bridge và đường hầm VXLAN.

Chương 4 - Hiện thực, triển khai hệ thống

Chương 4 mô tả chi tiết các bước hiện thực hóa: thông số phần cứng 3 máy chủ; quá trình cài đặt OSM Release 8; thiết lập các tệp cấu hình YAML (vnfd.yaml, nsd.yaml); quy trình cài đặt OpenStack thông qua DevStack; kỹ thuật tối ưu hóa image Ubuntu bằng snapshot cài sẵn iptables, HAProxy, Snort, Nginx; triển khai ONOS Controller bằng Docker, Containernet bằng Ansible playbook; và cấu hình Open vSwitch thiết lập kết nối mạng Public liên thông giữa SDN và OpenStack.

Chương 5 - Kết quả thử nghiệm và đánh giá

Chương này triển khai thực nghiệm 4 mô hình chuỗi dịch vụ (Mô hình 1 cơ bản, Mô hình 2 phân tách mạng, Mô hình 3 nâng cao bảo mật bổ sung Snort IPS, Mô hình 4 tích hợp SDN). Tác giả tiến hành đo lường thời gian khởi tạo từng VNF, giám sát mức tải CPU của hệ thống điều phối OSM, thực hiện các kịch bản tấn công DoS (ICMP flood, SYN flood bằng công cụ hping3), và kiểm thử tính năng cân bằng tải của HAProxy điều phối lưu lượng đến các Web Server Nginx.

Chương 6 - Tổng kết và hướng phát triển

Chương cuối tổng kết toàn bộ kết quả nghiên cứu đạt được trong việc làm chủ quy trình ảo hóa chức năng mạng và liên kết chuỗi dịch vụ tự động; phân tích những thuận lợi và khó khăn về tài nguyên tính toán trong quá trình triển khai; từ đó định hướng các nghiên cứu tiếp theo nhằm nâng cao hiệu năng và mở rộng quy mô hệ thống.

Kết quả và đóng góp

Kết quả đo lường và thực nghiệm

  1. Thời gian triển khai chuỗi dịch vụ: Nhờ áp dụng phương pháp tối ưu hóa image snapshot có cài sẵn phần mềm, thời gian khởi tạo các VNF trong chuỗi dịch vụ được rút ngắn đáng kể so với việc cài đặt tuần tự trên image gốc (~30 phút). Dữ liệu thực nghiệm đo đạc tại Mô hình 1 (tính theo múi giờ GMT+7) được ghi nhận chi tiết:
Máy ảo chức năng (VNF) Thời gian bắt đầu Thời gian kết thúc Thời gian triển khai (giây)
Firewall (iptables) 10:20:58 AM 10:27:30 AM 392
Reverse Proxy (HAProxy) 10:21:06 AM 10:27:52 AM 406
Server 1 (Nginx) 10:21:14 AM 10:28:07 AM 413
Server 2 (Nginx) 10:21:22 AM 10:28:16 AM 414

Toàn bộ chuỗi dịch vụ hoàn tất khởi tạo trong khoảng thời gian từ 10:20:58 AM đến 10:28:16 AM (khoảng 7 phút 18 giây). Trong suốt quá trình này, mức tải CPU tổng của máy chủ OSM dao động từ mức nền 40% và không vượt quá ngưỡng 100%.

  1. Hiệu quả phòng chống tấn công từ chối dịch vụ (DoS):
    • Khi chưa cấu hình rule phòng thủ: Khi host trong mạng SDN sử dụng hping3 tấn công ICMP flood và SYN flood nhắm vào Reverse Proxy, tải CPU của Reverse Proxy tăng cao, dịch vụ bị gián đoạn và Snort IPS ghi nhận liên tục lượng lớn cảnh báo tấn công thành công.
    • Khi đã cấu hình rule trên Firewall và IPS: Các gói tin ICMP flood và SYN flood độc hại bị lọc và ngăn chặn triệt để; CPU của Reverse Proxy duy trì ở mức ổn định; IPS không còn ghi nhận log cảnh báo dồn dập; cuộc tấn công DoS bị vô hiệu hóa hoàn toàn.
  2. Hiệu quả cân bằng tải: Reverse Proxy (HAProxy) tiếp nhận các truy vấn gửi qua lệnh curl từ host SDN và điều phối luân phiên chính xác đến hai Web Server Nginx backend, che giấu cấu trúc mạng nội bộ và đảm bảo tính sẵn sàng của dịch vụ web.

Đóng góp của đề tài

  • Xây dựng thành công mô hình tích hợp hoàn chỉnh giữa nền tảng điều phối NFV MANO (OSM), nền tảng điện toán đám mây (OpenStack) và mạng khả lập trình (SDN ONOS/Containernet).
  • Chuẩn hóa bộ template descriptor (VNFD, NSD) và quy trình đóng gói image giúp tự động hóa việc khởi tạo, cấu hình và kết nối chuỗi chức năng mạng bảo mật.
  • Chứng minh tính khả thi kỹ thuật trong việc thay thế phần cứng chuyên dụng đắt tiền bằng các giải pháp phần mềm mã nguồn mở cho các mạng doanh nghiệp vừa và nhỏ.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Nghiên cứu mới dừng lại ở phạm vi thử nghiệm mô phỏng cho mạng doanh nghiệp vừa và nhỏ với quy mô dưới 10 thiết bị; hạ tầng triển khai đặt trên 3 máy ảo dùng chung tài nguyên phần cứng vật lý thay vì hệ thống cụm máy chủ phân tán lớn; các kịch bản kiểm thử bảo mật tập trung chủ yếu vào hai hình thức DoS cơ bản (ICMP flood và SYN flood) thông qua công cụ hping3.
  • Hướng nghiên cứu tiếp: Mở rộng nghiên cứu triển khai NFV trên hạ tầng phân tán đa vùng (multi-PoP); tích hợp thêm nhiều loại VNF chuyên sâu khác; nghiên cứu cơ chế điều phối bảo mật động tự động cấu hình lại đường đi của luồng dữ liệu khi phát hiện sự cố an ninh mạng; và tối ưu hóa hiệu năng truyền tải gói tin trên đường hầm VXLAN.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo phù hợp cho sinh viên, học viên cao học và kỹ sư thuộc các chuyên ngành An toàn thông tin, Mạng máy tính và Truyền thông, Kỹ thuật viễn thông hoặc Điện toán đám mây.

Tài liệu có giá trị ứng dụng cao ở các nội dung:

  • Quy trình cấu hình và cú pháp khai báo tệp mô tả YAML cho VNFD và NSD theo chuẩn OSM Release 8 (Chương 4).
  • Giải pháp kỹ thuật liên kết Open vSwitch qua giao thức VXLAN giữa môi trường giả lập Containernet và OpenStack (Chương 4).
  • Phương pháp đo đạc thời gian triển khai VNF bằng log cloud-init và quy trình xây dựng kịch bản kiểm thử an toàn mạng cho chuỗi SFC (Chương 5).

Câu hỏi thường gặp

1. Khóa luận sử dụng những phần mềm mã nguồn mở cụ thể nào để đóng vai trò các chức năng mạng ảo (VNF) trong chuỗi dịch vụ?
Khóa luận sử dụng iptables cho chức năng Firewall, HAProxy cho chức năng Reverse Proxy và cân bằng tải, Snort cho hệ thống ngăn ngừa xâm nhập (IPS), và Nginx cho các máy chủ dịch vụ Web Server.

2. Giải pháp nào được nhóm tác giả áp dụng để rút ngắn thời gian khởi tạo các máy ảo VNF từ 30 phút xuống còn khoảng 6-7 phút?
Nhóm tác giả đã khởi tạo các máy ảo nền tảng Ubuntu 18.04, cài đặt và cập nhật sẵn toàn bộ phần mềm chuyên dụng (iptables, HAProxy, Snort, Nginx), sau đó thực hiện snapshot và tải về tạo thành các custom image chuyên dụng trên OpenStack, tránh việc máy ảo phải tải và cài đặt lại phần mềm trong quá trình boot template.

3. Mạng khả lập trình SDN (Containernet) kết nối với hạ tầng OpenStack bằng phương thức và thông số kỹ thuật nào?
Hệ thống sử dụng Open vSwitch (OVS) thiết lập đường hầm mạng VXLAN giữa card bridge br-int trên máy OpenStack (IP 10.141) và switch s1 trên máy SDN (IP 10.199), đồng thời gán VLAN tag=2 để liên thông trực tiếp với lớp mạng Public (dải 172.x) của OpenStack.

4. Trong thực nghiệm Mô hình 1, thời gian triển khai chi tiết của từng máy ảo chức năng là bao nhiêu?
Theo số liệu thống kê tại Bảng 5.1 của khóa luận, thời gian triển khai đo được lần lượt là: máy ảo Firewall mất 392 giây, máy ảo Reverse Proxy mất 406 giây, Web Server 1 mất 413 giây, và Web Server 2 mất 414 giây.

5. Kịch bản kiểm thử bảo mật cho chuỗi dịch vụ được thực hiện bằng công cụ gì và nhắm vào những dạng tấn công nào?
Tác giả sử dụng công cụ hping3 phát động từ host h1 trong mạng Containernet để thực hiện tấn công từ chối dịch vụ (DoS) dạng ICMP flood và SYN flood nhắm vào địa chỉ của máy ảo Reverse Proxy nhằm kiểm tra khả năng phát hiện của Snort IPS và năng lực chặn lọc của Firewall iptables.

Kết luận

Khóa luận tốt nghiệp kỹ sư của Huỳnh Đức Duy và Nguyễn Thanh Hùng đã nghiên cứu và hiện thực hóa thành công giải pháp triển khai chuỗi chức năng mạng ảo (SFC) dựa trên kiến trúc NFV kết hợp mạng điều khiển bằng phần mềm SDN. Thông qua việc tích hợp Open Source MANO (OSM), nền tảng đám mây OpenStack và bộ điều khiển ONOS/Containernet, đề tài đã chứng minh tính khả thi của việc tự động hóa khởi tạo chuỗi dịch vụ an toàn thông tin (Firewall, IPS, Reverse Proxy, Web Server) với thời gian triển khai nhanh và tải hệ thống ổn định. Các kết quả thực nghiệm về cân bằng tải và ngăn chặn tấn công DoS khẳng định tiềm năng ứng dụng thực tế của mô hình trong việc tối ưu hóa chi phí và linh hoạt hóa hạ tầng mạng cho doanh nghiệp vừa và nhỏ.