Tweet
Nhân viên ở chi nhánh gọi video call nội bộ mà giật lag liên tục, dù đường truyền Internet tại đó đo tốc độ vẫn rất cao. Vấn đề không nằm ở băng thông, mà ở việc gói tin bị bắt vòng về trung tâm dữ liệu để qua tường lửa kiểm duyệt, rồi mới được thả ra Internet - đi thêm một quãng đường không cần thiết chỉ vì kiến trúc mạng cũ buộc phải làm vậy. Đây chính là bài toán mà SD-WAN sinh ra để giải quyết.
WAN truyền thống, chủ yếu dựa trên MPLS, vận hành theo kiểu mỗi router một pháo đài riêng: cấu hình qua CLI, định tuyến theo địa chỉ đích bằng OSPF hay BGP, hoàn toàn không biết gói tin đó thuộc ứng dụng gì. Muốn đổi chính sách cho toàn bộ chi nhánh, kỹ sư phải đăng nhập tay từng thiết bị một. SD-WAN đảo ngược mô hình đó bằng cách tách control plane - nơi ra quyết định - ra khỏi data plane - nơi chuyển tiếp gói tin, y hệt triết lý của SDN. Một bộ điều khiển trung tâm tính toán chính sách, rồi đẩy xuống đồng loạt cho toàn bộ thiết bị biên, và quan trọng nhất là định tuyến dựa trên loại ứng dụng cùng chất lượng đường truyền thời gian thực, chứ không chỉ dựa vào địa chỉ đích như trước.
Hai khái niệm hay bị nhầm với nhau là underlay và overlay. Underlay là toàn bộ hạ tầng vật lý đã có sẵn - đường Internet băng rộng, MPLS, 4G/5G - những con đường thật sự mà gói tin chạy qua. Overlay là mạng logic SD-WAN dựng lên trên nền đó bằng các tunnel mã hóa, tạo cảm giác như một mạng riêng thống nhất bất kể bên dưới là loại đường truyền gì. Giống như một hãng logistics không tự xây đường mới, mà chỉ vẽ ra các tuyến vận chuyển ưu tiên trên nền đường xá sẵn có, quyết định xe nào đi tuyến nào và đổi tuyến lúc nào nếu tắc đường, tùy theo loại hàng hóa đang chở.
Động lực chuyển từ MPLS sang SD-WAN phần lớn đến từ bài toán tiền và tốc độ. MPLS tính phí trên mỗi Mbps rất cao, lắp thêm một kênh mới có thể mất hàng tuần đến hàng tháng vì phụ thuộc nhà mạng, còn băng thông cố định thì doanh nghiệp phải trả tiền cho công suất dự phòng ít khi dùng tới. Càng nhiều chi nhánh, chi phí và độ phức tạp cấu hình càng tăng theo cấp số nhân.
Nhưng lý do sâu xa hơn nằm ở xu hướng dịch chuyển lên cloud. Trong kiến trúc cũ, mọi lưu lượng kể cả truy cập Office 365 hay tài nguyên trên AWS đều bị ép quay về trung tâm dữ liệu trước khi ra ngoài - hiện tượng gọi là hairpinning hay backhaul, chính là nguyên nhân gây lag ở ví dụ mở đầu. SD-WAN giải quyết bằng Direct Internet Access: chi nhánh đi thẳng ra Internet và cloud tại chỗ, không cần vòng qua trung tâm, kết hợp định tuyến theo SLA để luôn chọn đường ngắn và ổn định nhất tới điểm SaaS gần nhất.
Cơ chế định tuyến thông minh của SD-WAN chạy liên tục chứ không phải một lần cấu hình rồi thôi. Thiết bị biên dùng deep packet inspection để nhận diện từng luồng dữ liệu thuộc ứng dụng gì - VoIP, video call, ERP, web thường - đồng thời liên tục gửi gói thăm dò qua từng tunnel để đo độ trễ, jitter và tỷ lệ mất gói theo thời gian thực. Khi một chỉ số vượt ngưỡng SLA đã đặt cho loại ứng dụng đó, ví dụ VoIP vốn nhạy với jitter hơn nhiều so với truyền file, hệ thống tự động chuyển luồng sang tunnel khác đạt chuẩn, thường chỉ trong vài trăm mili-giây đến vài giây, người dùng gần như không cảm nhận được gián đoạn.
Vì lưu lượng giờ đây chạy qua Internet công cộng thay vì đường riêng MPLS, bảo mật buộc phải chuyển hướng khác. Mỗi kết nối overlay giữa hai edge đều được bọc trong tunnel IPsec, một số nền tảng dùng DTLS, tạo thành lưới an toàn tách biệt hoàn toàn với hạ tầng công cộng bên dưới. Nhiều nền tảng SD-WAN hiện đại tích hợp sẵn tường lửa thế hệ mới ngay tại thiết bị biên, và xu hướng đang hội tụ dần về SASE - nơi các dịch vụ bảo mật được phân phối từ cloud gần người dùng nhất, thay vì tập trung một điểm duy nhất như mô hình cũ. Hướng đi xa hơn còn tiến tới nguyên lý Zero Trust: không chỉ mã hóa đường truyền, mà còn xác thực và đánh giá rủi ro liên tục cho từng luồng dữ liệu trước khi được phép định tuyến đi.
Việc đưa một chi nhánh mới vào hệ thống cũng khác hẳn thời phải cử kỹ sư đến tận nơi ngồi gõ CLI. Với Zero-Touch Provisioning, nhân viên tại chỗ chỉ cần cắm nguồn và cắm cáp uplink, thiết bị tự động gọi về orchestrator bằng mã kích hoạt đã đăng ký sẵn, tải cấu hình theo template, tự thiết lập tunnel overlay và gia nhập mạng lưới - toàn bộ quá trình thường chỉ mất vài phút đến vài chục phút.
SD-WAN phù hợp nhất với các tổ chức có nhiều chi nhánh phân tán và phụ thuộc nhiều vào cloud/SaaS - chuỗi bán lẻ, ngân hàng nhiều phòng giao dịch, chuỗi nhà hàng khách sạn. Nhưng đi cùng với đó là một thay đổi tư duy bắt buộc cho kỹ sư mạng: từ việc debug từng router riêng lẻ theo giao thức, sang tư duy intent-based - mô tả mục tiêu như "lưu lượng VoIP luôn ưu tiên đường có độ trễ thấp nhất" và để controller tự dịch thành cấu hình, thay vì tự tay viết từng dòng.
Hệ thống chỗ bạn đang chạy MPLS thuần, hay đã chuyển sang SD-WAN hybrid rồi? Chia sẻ trải nghiệm để mọi người cùng tham khảo nhé.
WAN truyền thống, chủ yếu dựa trên MPLS, vận hành theo kiểu mỗi router một pháo đài riêng: cấu hình qua CLI, định tuyến theo địa chỉ đích bằng OSPF hay BGP, hoàn toàn không biết gói tin đó thuộc ứng dụng gì. Muốn đổi chính sách cho toàn bộ chi nhánh, kỹ sư phải đăng nhập tay từng thiết bị một. SD-WAN đảo ngược mô hình đó bằng cách tách control plane - nơi ra quyết định - ra khỏi data plane - nơi chuyển tiếp gói tin, y hệt triết lý của SDN. Một bộ điều khiển trung tâm tính toán chính sách, rồi đẩy xuống đồng loạt cho toàn bộ thiết bị biên, và quan trọng nhất là định tuyến dựa trên loại ứng dụng cùng chất lượng đường truyền thời gian thực, chứ không chỉ dựa vào địa chỉ đích như trước.
Hai khái niệm hay bị nhầm với nhau là underlay và overlay. Underlay là toàn bộ hạ tầng vật lý đã có sẵn - đường Internet băng rộng, MPLS, 4G/5G - những con đường thật sự mà gói tin chạy qua. Overlay là mạng logic SD-WAN dựng lên trên nền đó bằng các tunnel mã hóa, tạo cảm giác như một mạng riêng thống nhất bất kể bên dưới là loại đường truyền gì. Giống như một hãng logistics không tự xây đường mới, mà chỉ vẽ ra các tuyến vận chuyển ưu tiên trên nền đường xá sẵn có, quyết định xe nào đi tuyến nào và đổi tuyến lúc nào nếu tắc đường, tùy theo loại hàng hóa đang chở.
Động lực chuyển từ MPLS sang SD-WAN phần lớn đến từ bài toán tiền và tốc độ. MPLS tính phí trên mỗi Mbps rất cao, lắp thêm một kênh mới có thể mất hàng tuần đến hàng tháng vì phụ thuộc nhà mạng, còn băng thông cố định thì doanh nghiệp phải trả tiền cho công suất dự phòng ít khi dùng tới. Càng nhiều chi nhánh, chi phí và độ phức tạp cấu hình càng tăng theo cấp số nhân.
Nhưng lý do sâu xa hơn nằm ở xu hướng dịch chuyển lên cloud. Trong kiến trúc cũ, mọi lưu lượng kể cả truy cập Office 365 hay tài nguyên trên AWS đều bị ép quay về trung tâm dữ liệu trước khi ra ngoài - hiện tượng gọi là hairpinning hay backhaul, chính là nguyên nhân gây lag ở ví dụ mở đầu. SD-WAN giải quyết bằng Direct Internet Access: chi nhánh đi thẳng ra Internet và cloud tại chỗ, không cần vòng qua trung tâm, kết hợp định tuyến theo SLA để luôn chọn đường ngắn và ổn định nhất tới điểm SaaS gần nhất.
Cơ chế định tuyến thông minh của SD-WAN chạy liên tục chứ không phải một lần cấu hình rồi thôi. Thiết bị biên dùng deep packet inspection để nhận diện từng luồng dữ liệu thuộc ứng dụng gì - VoIP, video call, ERP, web thường - đồng thời liên tục gửi gói thăm dò qua từng tunnel để đo độ trễ, jitter và tỷ lệ mất gói theo thời gian thực. Khi một chỉ số vượt ngưỡng SLA đã đặt cho loại ứng dụng đó, ví dụ VoIP vốn nhạy với jitter hơn nhiều so với truyền file, hệ thống tự động chuyển luồng sang tunnel khác đạt chuẩn, thường chỉ trong vài trăm mili-giây đến vài giây, người dùng gần như không cảm nhận được gián đoạn.
Vì lưu lượng giờ đây chạy qua Internet công cộng thay vì đường riêng MPLS, bảo mật buộc phải chuyển hướng khác. Mỗi kết nối overlay giữa hai edge đều được bọc trong tunnel IPsec, một số nền tảng dùng DTLS, tạo thành lưới an toàn tách biệt hoàn toàn với hạ tầng công cộng bên dưới. Nhiều nền tảng SD-WAN hiện đại tích hợp sẵn tường lửa thế hệ mới ngay tại thiết bị biên, và xu hướng đang hội tụ dần về SASE - nơi các dịch vụ bảo mật được phân phối từ cloud gần người dùng nhất, thay vì tập trung một điểm duy nhất như mô hình cũ. Hướng đi xa hơn còn tiến tới nguyên lý Zero Trust: không chỉ mã hóa đường truyền, mà còn xác thực và đánh giá rủi ro liên tục cho từng luồng dữ liệu trước khi được phép định tuyến đi.
Việc đưa một chi nhánh mới vào hệ thống cũng khác hẳn thời phải cử kỹ sư đến tận nơi ngồi gõ CLI. Với Zero-Touch Provisioning, nhân viên tại chỗ chỉ cần cắm nguồn và cắm cáp uplink, thiết bị tự động gọi về orchestrator bằng mã kích hoạt đã đăng ký sẵn, tải cấu hình theo template, tự thiết lập tunnel overlay và gia nhập mạng lưới - toàn bộ quá trình thường chỉ mất vài phút đến vài chục phút.
SD-WAN phù hợp nhất với các tổ chức có nhiều chi nhánh phân tán và phụ thuộc nhiều vào cloud/SaaS - chuỗi bán lẻ, ngân hàng nhiều phòng giao dịch, chuỗi nhà hàng khách sạn. Nhưng đi cùng với đó là một thay đổi tư duy bắt buộc cho kỹ sư mạng: từ việc debug từng router riêng lẻ theo giao thức, sang tư duy intent-based - mô tả mục tiêu như "lưu lượng VoIP luôn ưu tiên đường có độ trễ thấp nhất" và để controller tự dịch thành cấu hình, thay vì tự tay viết từng dòng.
Hệ thống chỗ bạn đang chạy MPLS thuần, hay đã chuyển sang SD-WAN hybrid rồi? Chia sẻ trải nghiệm để mọi người cùng tham khảo nhé.