Tổng quan nghiên cứu

Trong kỷ nguyên bùng nổ lưu lượng dữ liệu viễn thông, mạng đường trục IPBN đóng vai trò huyết mạch kết nối toàn bộ hệ thống dịch vụ truyền số liệu của các nhà mạng quy mô lớn. Theo ước tính từ các báo cáo hạ tầng mạng, lưu lượng truyền qua các cổng kết nối 1000BASE-TX/LX tăng trưởng trên 35% mỗi năm, đặt ra thách thức lớn cho công tác quản trị và bảo đảm chất lượng dịch vụ. Các hệ thống giám sát truyền thống dựa trên giao thức SNMP chỉ cung cấp thông tin tổng thể về lưu lượng trên từng cổng vật lý mà không thể bóc tách chi tiết địa chỉ IP, cổng dịch vụ hay loại giao thức.

Nhằm khắc phục triệt để hạn chế này, nghiên cứu tập trung tìm hiểu giao thức NetFlow phiên bản 9 và ứng dụng thực tiễn trong giám sát mạng IPBN tại Tập đoàn Viettel. Mục tiêu cụ thể là làm chủ công nghệ thu thập luồng dữ liệu, phân tích cơ chế hoạt động của bộ đệm NetFlow Cache, đồng thời triển khai thành công bộ công cụ Nfdump và Nfsen trên hệ điều hành RedHat Linux. Phạm vi nghiên cứu được thực nghiệm trực tiếp trên các nút mạng cốt lõi như P1_HNI, P2_HCM, cổng quốc tế IGW và cổng trong nước DGW trong chu kỳ đo kiểm năm 2015. Kết quả ứng dụng mang lại ý nghĩa then chốt khi cho phép người quản trị kiểm soát 100% các thành phần luồng theo chu kỳ 5 phút một lần, nâng cao khả năng phát hiện sớm các cuộc tấn công mạng và hỗ trợ tối ưu hóa định tuyến lưu lượng MPLS Traffic Engineering hiệu quả.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu kết hợp lý thuyết quản trị mạng hiện đại và các tiêu chuẩn định tuyến chuyển mạch nhãn tiên tiến với hai trụ cột cốt lõi:

Thứ nhất, mô hình phân tích luồng dữ liệu NetFlow phiên bản 9 theo tiêu chuẩn RFC 3954 và RFC 3917 của IETF. Giao thức này định nghĩa một luồng dữ liệu là tập hợp các gói tin có cùng 7 thuộc tính nhận dạng gồm: địa chỉ IP nguồn, địa chỉ IP đích, cổng kết nối nguồn, cổng kết nối đích, loại giao thức tầng 3, byte ToS và giao diện mạng vật lý. Cơ chế hoạt động dựa trên bộ đệm NetFlow Cache với cấu trúc Template FlowSet có định danh từ 0 đến 255 và Data FlowSet định danh từ 256 trở lên, hỗ trợ truyền tải từ 30 đến 50 luồng xuất đồng thời qua giao thức UDP.

Thứ hai, kiến trúc mạng chuyển mạch nhãn đa giao thức MPLS kết hợp kỹ thuật điều khiển lưu lượng MPLS Traffic Engineering và cơ chế dự phòng MPLS Fast Reroute. Mô hình cho phép thiết lập các đường hầm lưu lượng riêng biệt cho từng dịch vụ như Leased Line, IPTV, Voice over IP và VPN, đồng thời tích hợp giao thức gom kênh LACP với tùy chọn fast-timeout 3 giây nhằm tự động cách ly liên kết vật lý lỗi trên kênh logic nxGE.

Phương pháp nghiên cứu

Nghiên cứu áp dụng phương pháp thực nghiệm kết hợp phân tích định lượng dữ liệu luồng thực tế. Cỡ mẫu nghiên cứu bao gồm toàn bộ dữ liệu trích xuất từ 4 nút mạng đại diện trên hạ tầng IPBN gồm các bộ định tuyến P1_HNI, P2_HCM, IGW và DGW, với 288 tệp tin nhị phân thu thập mỗi ngày trên mỗi nút thông qua tiến trình nfcapd theo chu kỳ 5 phút một lần.

Phương pháp chọn mẫu được thực hiện theo nguyên tắc chọn mẫu chủ đích phi ngẫu nhiên, tập trung vào các nút mạng lõi trung chuyển lưu lượng cao nhất và các cổng kết nối quốc tế nhằm bảo đảm tính đại diện sâu sắc cho toàn mạng.

Lý do lựa chọn phương pháp phân tích qua bộ công cụ Nfdump và Nfsen trên hệ điều hành RedHat là nhờ kiến trúc tách biệt giữa khâu thu thập nfcapd và khâu xử lý nfdump. Cấu trúc này cho phép phân tích song song dữ liệu thời gian thực và lịch sử với định dạng dòng mở rộng, lọc chính xác theo IP hoặc cổng dịch vụ mà không gây nghẽn tài nguyên máy chủ. Quá trình thu thập và đánh giá được tiến hành liên tục trong giai đoạn nghiên cứu tại Viettel, tạo cơ sở thực chứng vững chắc.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình triển khai thực nghiệm trên mạng IPBN Viettel mang lại 4 phát hiện quan trọng:

Thứ nhất, NetFlow v9 vượt trội so với SNMP về độ sâu thông tin khi bóc tách được toàn bộ 100% dữ liệu IP nguồn, IP đích và danh mục 65535 cổng dịch vụ, thay vì chỉ cung cấp băng thông tổng thể.

Thứ hai, nghiên cứu xác lập mối quan hệ định lượng giữa việc kích hoạt NetFlow và mức độ tiêu hao tài nguyên. Trên thiết bị Cisco RSP2 trang bị bộ nhớ 128 Mbytes xử lý gói tin 64 Kbytes, lưu lượng đạt 216 kpps khiến tỷ lệ chuyển tiếp gói tin không bị hủy giảm gần 44%, đồng thời đẩy mức chiếm dụng CPU tăng vọt lên tới 60%.

Thứ ba, hệ thống Nfsen chứng minh hiệu quả cao trong phát hiện lưu lượng bất thường. Cụ thể, tại nút P1_HNI, hệ thống phát hiện và cô lập thành công cuộc tấn công quét ICMP bất thường từ 2 địa chỉ IP nguồn phát tán liên tục trong thời gian lần lượt là 9118 giây và 273 giây.

Thứ tư, công cụ Nfdump đạt tốc độ xử lý nhanh chóng, tổng hợp báo cáo Top 20 luồng chiếm băng thông cao nhất và kết xuất đồ họa theo giao diện RRDTool chỉ trong dưới 2 giây.

Thảo luận kết quả

Mức tăng tải CPU lên 60% khi kích hoạt NetFlow bắt nguồn từ việc khởi tạo và duy trì bản ghi trong bộ đệm NetFlow Cache cho mỗi luồng mới. So sánh với các nghiên cứu quốc tế về giám sát mạng ISP, kết quả này khẳng định sự cần thiết của cơ chế lấy mẫu ngẫu nhiên Random Sampled NetFlow nhằm cân bằng giữa độ chính xác và hiệu năng router.

Dữ liệu phân tích có thể được mô hình hóa trực quan qua bảng đối chiếu lưu lượng Top N dịch vụ và biểu đồ đường đa biến RRDTool thể hiện biến thiên băng thông theo thời gian. Bảng phân bổ lưu lượng chỉ rõ tỷ trọng giao thức TCP chiếm khoảng 78% tổng dung lượng luồng, UDP chiếm khoảng 19%, trong khi ICMP thông thường duy trì dưới 1.5%. Việc xuất hiện đột biến ICMP vượt ngưỡng 15% trên biểu đồ thời gian thực tại nút P1_HNI là căn cứ trực quan giúp kỹ sư phát hiện sự cố bảo mật nhanh hơn 80% so với phương pháp thủ công.

Đề xuất và khuyến nghị

Dựa trên kết quả thực nghiệm tại mạng IPBN Viettel, 4 nhóm giải pháp cụ thể được đề xuất:

Thứ nhất, cấu hình lấy mẫu ngẫu nhiên Random Sampled NetFlow với tỷ lệ phân bổ 1 trên 100 hoặc 1 trên 1000 trên toàn bộ các cổng chuyển mạch dCEF. Giải pháp hướng tới mục tiêu giảm tải CPU cho các router biên từ 60% xuống dưới mức an toàn 25%, triển khai hoàn thành trong lộ trình 3 tháng do Trung tâm Vận hành Mạng Viettel chủ trì.

Thứ hai, chuẩn hóa tiến trình thu thập nfcapd theo chu kỳ 5 phút trên cụm máy chủ RedHat Linux chuyên dụng. Mục tiêu là quản lý ổn định 288 tệp tin mỗi ngày trên mỗi thiết bị, bảo đảm lưu trữ tối ưu và sẵn sàng truy xuất dữ liệu lịch sử trong vòng 6 tháng, do đội ngũ Quản trị Hệ thống đảm nhiệm.

Thứ ba, thiết lập các đường hầm MPLS Traffic Engineering độc lập cho các dịch vụ nhạy cảm như VoIP, VoD và Leased Line kết hợp chuyển mạch LACP tốc độ cao 3 giây. Mục tiêu là giảm tỷ lệ mất gói xuống dưới 0.05% và duy trì độ trễ liên vùng dưới 15 mili-giây, thực hiện trong thời hạn 9 tháng bởi Phòng Quy hoạch Hạ tầng Viễn thông.

Thứ tư, phát triển mô-đun mở rộng trên Nfsen nhằm tự động hóa phát cảnh báo tức thì qua tin nhắn SMS và Email. Mục tiêu đạt thời gian phản hồi dưới 10 giây khi lưu lượng ICMP hoặc UDP vượt ngưỡng cảnh báo 20%, triển khai trong vòng 12 tháng do nhóm Kỹ sư Phát triển Công nghệ thực hiện.

Đối tượng nên tham khảo luận văn

Luận văn cung cấp nguồn tư liệu học thuật và thực tiễn giá trị cho 4 nhóm đối tượng:

Thứ nhất, kỹ sư quản trị và vận hành mạng tại các nhà cung cấp dịch vụ Internet. Tài liệu hướng dẫn thiết lập hệ thống thu thập Nfdump và cấu hình bộ đệm NetFlow Cache, giúp rút ngắn thời gian xử lý sự cố tắc nghẽn luồng trên các đường truyền nxGE xuống dưới 5 phút.

Thứ hai, chuyên gia an toàn thông tin tại các trung tâm điều hành SOC. Luận văn cung cấp phương pháp trích xuất thuộc tính luồng để phát hiện tấn công DDoS, nhận diện nguồn phát tán mã độc và điều tra các phiên quét ICMP bất thường kéo dài hàng nghìn giây.

Thứ ba, kỹ sư quy hoạch hạ tầng viễn thông. Nghiên cứu mang lại cơ sở dữ liệu xác thực về lưu lượng để tính toán dung lượng kênh truyền 1000BASE-TX/LX, phân bổ băng thông và thiết lập chính sách điều khiển lưu lượng MPLS TE tối ưu.

Thứ tư, học viên cao học và sinh viên ngành Kỹ thuật Máy tính và Mạng truyền thông. Công trình là tài liệu tham khảo chuẩn mực về triển khai NetFlow v9 theo RFC 3954 kết hợp phần mềm mã nguồn mở trên Linux, cung cấp 100% kiến thức từ lý thuyết đến lệnh thực chiến.

Câu hỏi thường gặp

Điểm khác biệt cốt lõi giữa giao thức SNMP và NetFlow trong giám sát mạng là gì? SNMP chủ yếu giám sát trạng thái phần cứng và tổng dung lượng băng thông qua từng cổng vật lý nhưng không thể nhận diện nội dung bên trong luồng. Ngược lại, NetFlow bóc tách chi tiết 7 thông số luồng gồm địa chỉ IP nguồn, IP đích, cổng kết nối và loại giao thức, giúp quản trị viên phân tích chính xác từng dịch vụ mạng chiếm dụng tài nguyên.

Tại sao NetFlow phiên bản 9 được ưu tiên triển khai hơn các phiên bản trước? NetFlow phiên bản 9 theo tiêu chuẩn RFC 3954 sử dụng cấu trúc linh hoạt dựa trên Template FlowSet định danh từ 0 đến 255. Thiết kế này cho phép mở rộng không giới hạn các trường dữ liệu mới như thông tin nhãn MPLS, địa chỉ IPv6 và trường bảo mật IPFIX theo RFC 3917 mà không cần thay đổi cấu trúc gói tin cơ bản, vượt trội so với phiên bản 5 truyền thống.

Việc kích hoạt NetFlow ảnh hưởng như thế nào đến hiệu năng router? Kích hoạt NetFlow đầy đủ đòi hỏi thiết bị khởi tạo bộ đệm NetFlow Cache cho từng gói tin, khiến tải CPU router có thể tăng vọt lên tới 60% và làm giảm tỷ lệ xử lý gói tin không hủy khoảng 44% trên các dòng thiết bị xử lý 216 kpps. Do đó, mạng quy mô lớn cần áp dụng cơ chế lấy mẫu ngẫu nhiên để duy trì tải CPU dưới 25%.

Bộ đôi công cụ Nfdump và Nfsen đóng vai trò gì trong hệ thống giám sát IPBN? Tiến trình nfcapd trong bộ Nfdump tiếp nhận dữ liệu luồng qua cổng UDP và lưu trữ định kỳ 5 phút một lần với 288 tệp tin mỗi ngày. Công cụ Nfsen cung cấp giao diện đồ họa trực quan trên nền web, hỗ trợ truy vấn lệnh Nfdump, hiển thị biểu đồ RRDTool đa chiều và thiết lập cảnh báo luồng bất thường tức thì.

Làm thế nào để phát hiện các cuộc tấn công từ chối dịch vụ thông qua NetFlow? Khi xảy ra tấn công DDoS hoặc quét mạng, dữ liệu NetFlow ghi nhận sự tăng đột biến số lượng luồng có cùng IP đích hoặc giao thức bất thường. Điển hình tại nút P1_HNI, hệ thống đã phát hiện lưu lượng ICMP tăng vọt từ 2 IP nguồn gửi liên tục trong 9118 giây, hỗ trợ cô lập nguồn tấn công chỉ trong vài phút.

Kết luận

Công trình nghiên cứu đã làm chủ toàn diện công nghệ giám sát mạng tiên tiến dựa trên NetFlow v9 và hiện thực hóa thành công trên hạ tầng mạng IPBN Viettel:

  • Hệ thống hóa cơ sở lý thuyết về NetFlow v9, cấu trúc bản ghi FlowSet theo tiêu chuẩn RFC 3954 và các giao thức quản trị mạng.
  • Đánh giá định lượng tác động tài nguyên của NetFlow trên phần cứng với mức tăng tải CPU tới 60% và đề xuất giải pháp lấy mẫu tối ưu.
  • Làm chủ hoàn toàn bộ công cụ mã nguồn mở Nfdump và Nfsen trên hệ điều hành RedHat Linux với chu kỳ quản lý 288 tệp tin mỗi ngày.
  • Triển khai thực nghiệm thành công trên mạng IPBN Viettel, phát hiện chính xác luồng tấn công ICMP bất thường kéo dài 9118 giây.
  • Đề xuất lộ trình 4 bước hoàn thiện hệ thống giám sát, nâng cao năng lực điều khiển lưu lượng MPLS Traffic Engineering và tự động hóa cảnh báo.

Trong lộ trình 12 tháng tới, hướng phát triển trọng tâm là nghiên cứu sự tương quan giữa cấu hình NetFlow và tải phần cứng trên từng dòng router, đồng thời tích hợp trí tuệ nhân tạo để tự động nhận diện tấn công mạng thời gian thực. Độc giả và các đơn vị viễn thông hãy ứng dụng ngay mô hình giám sát NetFlow này để tối ưu hóa năng lực quản trị mạng đường trục.