Cloud Networking 101

[dangquangminh]

🔥 Giải Phẫu Một Mạng Cloud Networking: Đằng Sau Những Kết Nối “Tưởng Là Dễ”

Nhiều người nghĩ rằng kết nối Cloud chỉ cần "ping được" là xong. Nhưng đằng sau một hệ thống Cloud Networking hiện đại là cả một cấu trúc phức tạp với rất nhiều thành phần đóng vai trò riêng biệt. Hãy cùng “mổ xẻ” sơ đồ trong hình và phân tích các thành phần chính tạo nên một mạng Cloud Networking thực chiến.

---

☁️ 1. SD-WAN Overlay – Xương sống kết nối đa vùng


Đây là lớp mạng ảo hóa, che giấu sự phức tạp của WAN vật lý bên dưới. SD-WAN cho phép:

• Kết nối datacenter, branch và cloud thông qua một overlay duy nhất.
• Tự động chọn đường đi tối ưu (Dynamic Path Selection).
• Áp dụng chính sách bảo mật, QoS, segmentation theo ứng dụng.

🔐 2. VPN/IPsec Tunnels – Kết nối bảo mật giữa On-Prem và Cloud


Để nối các site SD-WAN với cloud (như AWS), chúng ta cần các Site-to-Site VPN tunnel sử dụng IPsec để mã hóa dữ liệu. Việc cấu hình tunnel thường thủ công:

• Gắn với từng VPC.
• Yêu cầu quản lý khóa, địa chỉ IP peer, định tuyến và chính sách bảo mật.

🌐 3. AWS/VPC Infrastructure – Khu vực Cloud cần bảo vệ


Trong sơ đồ là vùng Region US gồm:

• Public và Private Subnet.
• Route Table riêng biệt cho từng subnet.
• Kết nối với Internet Gateway hoặc Transit Gateway.

Mỗi VPC đóng vai trò như một "chi nhánh ảo", ví dụ:

• VPC-att-hr: dành cho hệ thống nhân sự.
• VPC-att-eng: cho đội ngũ kỹ thuật.

📡 4. AWS VGW và Transit Gateway – Trung tâm luồng tuyến

• VGW (Virtual Gateway): cầu nối giữa SD-WAN và AWS VPC thông qua VPN.
• Transit Gateway: đóng vai trò hub trung tâm giúp định tuyến giữa nhiều VPC mà không cần peering trực tiếp giữa từng VPC với nhau.

Nó giúp:

• Đơn giản hóa kiến trúc.
• Quản lý chính sách định tuyến tập trung.
• Hỗ trợ segmentation qua các bảng định tuyến riêng (Route Table for ENG VPC / HR VPC).

📋 5. BGP Peering & Route Tables – Trao đổi tuyến động


BGP (Border Gateway Protocol) được dùng để:

• Tự động trao đổi route giữa SD-WAN edge và AWS Transit Gateway.
• Đảm bảo khi subnet thay đổi (thêm mới, thu hẹp), các route được cập nhật động mà không cần sửa tay.

Mỗi vùng (ENG, HR) có prefix riêng quảng bá qua BGP:

• ENG prefix via vpn-att-wedge.
• HR prefix via vpn-att-wedge.

🔎 6. SD-WAN Controller – Bộ não trung tâm


Đây là control-plane điều phối toàn bộ mạng SD-WAN:

• Tự động tạo VPN overlay.
• Đẩy chính sách bảo mật và định tuyến xuống từng edge node.
• Hỗ trợ phân đoạn VRF và chính sách Zero Trust.

---

✅ Tóm lại, để xây dựng một mạng Cloud Networking đầy đủ, bạn cần:

• Overlay logic (SD-WAN) để kết nối các site.
• IPsec tunnels để mã hóa dữ liệu.
• Route table / BGP / peering để định tuyến thông minh.
• Cloud gateways (VGW, TGW) để điều phối lưu lượng giữa các VPC.
• Controller & Policy để quản lý nhất quán, tự động.

---

Bạn đã từng thiết kế kiến trúc Cloud Networking tương tự chưa? Hãy chia sẻ xem thành phần nào khiến bạn "đau đầu" nhất nhé!