Các đường hầm VPN mã hóa hiệu năng cao truyền tải hàng gigabit lưu lượng quan trọng của doanh nghiệp qua hạ tầng Internet công cộng. Trong kiến trúc IPsec (RFC 4301), tính toàn vẹn và bảo mật dữ liệu dựa vào các liên kết an ninh một chiều mang tên Security Association (SA). Mỗi SA lưu trữ các khóa mã hóa đối xứng, thuật toán mật mã và bộ đếm số thứ tự gói tin được thỏa thuận thông qua giao thức IKEv2 (RFC 7296). Tuy nhiên, không có khóa mã hóa nào được phép tồn tại vĩnh viễn. Nếu không đổi khóa định kỳ theo quy chuẩn, suy hao mật mã và tràn bộ đếm số thứ tự sẽ làm suy yếu an ninh hoặc gây ngắt kết nối đường truyền.

Trong các hệ thống IPsec đời đầu, quá trình đổi khóa thường gây gián đoạn nghiêm trọng. Cách tiếp cận cũ mang tên "break-before-make" tiến hành hủy bỏ SA đang chạy trước khi xác nhận SA thay thế. Trên các đường truyền băng thông lớn, một khoảng ngắt chỉ 50 mili-giây cũng đủ làm rớt hàng nghìn gói tin, phá vỡ cửa sổ tắc nghẽn TCP và làm gián đoạn cuộc gọi thoại hoặc luồng video. Tiêu chuẩn RFC 7296 Mục 2.8 xác lập cơ chế "Make-Before-Break" — một máy trạng thái bất đồng bộ cho phép SA cũ và SA mới cùng tồn tại song song, bảo đảm chuyển giao khóa êm dịu tuyệt đối.

Make-Before-Break (Chuyển giao mượt theo RFC 7296):
SA cũ (Chiều đến) ══════════════════════════════[ Cửa sổ xả gói đến ]════> [ Xóa bỏ ]
SA mới (Chiều đến) ─────────────[ Thiết lập ]══════════════════════════════════════════>
Lưu lượng đi      ─────────────[ SPI cũ ]────> ───[ Chuyển sang SPI mới ]──────────────>
Dòng dữ liệu      ────────────────────── Không mất gói tin nào ─────────────────────────>

Sự cần thiết về mặt mật mã của việc đổi khóa trong đường hầm dài hạn

Các thuật toán mã hóa khối đối xứng hiện đại như AES-GCM hoặc ChaCha20-Poly1305 cung cấp khả năng tăng tốc phần cứng vượt trội cùng cơ chế xác thực dữ liệu đi kèm (AEAD). Dù vậy, độ an toàn mật mã luôn suy giảm khi xử lý khối lượng dữ liệu khổng lồ dưới một khóa không thay đổi.

Suy hao mật mã và cạn kiệt số thứ tự gói tin

Với chế độ Galois/Counter Mode (GCM), tính bảo mật phụ thuộc nghiêm ngặt vào tính duy nhất của vector khởi tạo (IV) và không gian nonce. Nếu một IV 96-bit hoặc giá trị bộ đếm bị lặp lại dưới cùng một khóa 128-bit hoặc 256-bit, kẻ tấn công có thể giả mạo thẻ xác thực và giải mã dữ liệu gốc.

Giao thức đóng gói bảo mật IPsec ESP (RFC 4303) ngăn chặn tấn công phát lại bằng trường Sequence Number 32-bit tăng đơn điệu. Khi dùng số thứ tự 32-bit tiêu chuẩn, đường hầm chỉ có thể truyền tối đa $2^{32} - 1$ (4.294.967.295) gói tin trước khi cạn kiệt bộ đếm. Trên đường truyền 10 Gbps đầy tải với khung dữ liệu 1500 byte, bộ đếm sẽ cạn kiệt trong chưa đầy 58 phút:

$$\text{Số gói/giây} = \frac{10 \times 10^9 \text{ bits/s}}{1500 \times 8 \text{ bits/gói}} \approx 833.333 \text{ gói/giây}$$

Theo quy định bắt buộc của RFC 4303, máy phát KHÔNG ĐƯỢC lặp lại số thứ tự về 0 trên cùng một SA. Khi không gian số thứ tự chạm ngưỡng giới hạn, hệ thống bắt buộc phải thỏa thuận bộ khóa mới hoặc lập tức hủy bỏ các gói tin gửi đi tiếp theo.

Cửa sổ trượt chống phát lại và gói tin đảo thứ tự

ESP duy trì một cửa sổ trượt chống phát lại (thường có kích thước 64, 128 hoặc 1024 gói) nhằm loại bỏ các gói tin trùng lặp do kẻ tấn công trên đường truyền chèn vào. Khi mạng truyền thông chịu ảnh hưởng bởi định tuyến đa đường (ECMP), các gói tin đến đích thường bị xáo trộn thứ tự trên phạm vi rộng.

Nếu một đầu cuối đơn phương đổi khóa trong khi các gói tin trễ vẫn đang trên đường truyền, gateway phía nhận sẽ xem các gói tin này thuộc về một chỉ số SPI đã hết hạn hoặc không tồn tại. Cơ chế đổi khóa chuẩn mực phải bảo lưu trạng thái chống phát lại trên cả SA đang chạy và SA đang rút lui mà không tạo ra kẽ hở an ninh.

Rủi ro từ Break-Before-Make: Gián đoạn vi mô và hố đen gói tin

Các phần mềm VPN truyền thống xử lý đổi khóa tuần tự: hủy SA cũ, dọn sạch bảng trạng thái trong nhân, khởi tạo đàm phán IKE, cài đặt SA mới rồi mới phục hồi truyền dữ liệu. Lối thiết kế này gây ra chuỗi sụp đổ nghiêm trọng trên mạng doanh nghiệp.

Xung đột thời điểm hủy bỏ và vô hiệu hóa gói tin đang truyền

Trên mạng diện rộng (WAN), độ trễ lan truyền dao động từ 10 ms đến 150 ms. Khi gateway phát hủy SA chiều đi và gửi gói tin INFORMATIONAL chứa payload DELETE, các gói dữ liệu đã nằm trong bộ đệm của switch trung gian hoặc cáp quang biển vẫn đang lao về phía gateway nhận.

Nếu phía nhận xóa ngay SA chiều đến khi vừa đọc payload DELETE, toàn bộ các gói tin đang bay này sẽ va vào một SPI vô danh. Tầng mạng trong nhân kernel lập tức loại bỏ gói tin và phát sinh thông báo lỗi INVALID_SPI. Ở các đường trục lưu lượng lớn, điều này tạo ra các đợt mất dữ liệu đột ngột lên đến hàng trăm megabyte.

Nghẽn bộ đệm, đình trệ TCP và bão truyền lại

Các thuật toán điều khiển tắc nghẽn TCP diễn giải hiện tượng mất gói đột ngột như một sự cố nghẽn mạng nghiêm trọng. Khi đổi khóa kiểu cũ làm rơi gói giữa chừng:

  1. Thiết bị nhận ngừng gửi xác nhận tích lũy (ACK) và phát các gói xác nhận chọn lọc trùng lặp (SACK).
  2. Phía gửi kích hoạt Fast Retransmit, thu hẹp một nửa cửa sổ tắc nghẽn (cwnd) hoặc sụt giảm về một Maximum Segment Size (MSS) khi gặp Retransmission Timeout (RTO).
  3. Hàng loạt phiên TCP đồng thời truyền lại dữ liệu qua SA mới vừa dựng, làm nghẽn hàng đợi giao diện mạng và gây tràn bộ đệm.

Đối với lưu lượng UDP thời gian thực như đàm thoại VoIP hay đường hầm WireGuard đóng gói, sự cố này gây giật tiếng, vỡ hình và ngắt phiên điều khiển.

Cơ chế Make-Before-Break RFC 7296: Máy trạng thái vòng đời SA kép

Mục 2.8 của RFC 7296 giải quyết triệt để vấn đề mất gói bằng cách tách rời vòng đời của SA chiều đến và SA chiều đi. Thay vì đồng bộ việc xóa khóa với tạo khóa, các bên thiết lập SA con (Child SA) chiều đến trước, chuyển hướng lưu lượng đi, rồi mới duy trì SA đến cũ cho tới khi toàn bộ gói tin đang bay về đích an toàn.

Trao đổi CREATE_CHILD_SA và phái sinh Nonce

Quá trình đổi khóa Child SA diễn ra bên trong kênh điều khiển IKE_SA đã được mã hóa thông qua lượt trao đổi CREATE_CHILD_SA. Phía khởi xướng gửi:

  • Một giá trị SPI chiều đến mới (SPI_in_new) sinh ra từ bảng nhớ cục bộ.
  • Một chuỗi số ngẫu nhiên mật mã (Ni) để chống tấn công phát lại.
  • Tùy chọn chia sẻ khóa tạm thời Diffie-Hellman (KEi) nhằm bảo đảm tính bí mật chuyển tiếp hoàn hảo (PFS).
  • Payload thông báo REKEY_SA chỉ định chính xác SPI cũ đang được thay thế.

Phía phản hồi kiểm tra đề xuất, cấp phát SPI chiều đến của mình (SPI_resp_new), sinh nonce Nr, rồi tính toán khóa phiên qua hàm giả ngẫu nhiên:

$$\text{KEYMAT} = \text{prf+}(\text{SK_d}, \text{Ni} \mid \text{Nr})$$

Nếu kích hoạt PFS với nhóm DH mới, bí mật dùng chung $g^{ir}$ được kết hợp trực tiếp: $\text{KEYMAT} = \text{prf+}(\text{SK_d}, g^{ir} \mid \text{Ni} \mid \text{Nr})$.

Bộ đếm thời gian xả gói đến và chuyển mạch SPI chiều đi mượt mà

Ngay khi hoàn tất lượt trao đổi CREATE_CHILD_SA, mỗi đầu cuối cập nhật cơ sở dữ liệu chính sách (SPD) và cơ sở dữ liệu liên kết an ninh (SAD):

  1. Chuyển mạch chiều đi tức thì: Mọi gói tin mới lập tức được đóng gói dưới mã SPI chiều đi mới và thiết lập lại số thứ tự từ 1.
  2. Tiếp nhận song song chiều đến: Gateway tiếp tục duy trì SA chiều đến cũ trong bảng SAD của nhân kernel cùng với SA chiều đến mới. Dữ liệu mã hóa bằng SPI cũ hay mới đều được giải mã trong suốt.
  3. Cửa sổ xả gói đến: SA chiều đến cũ khởi động bộ đếm lùi (thường là 30 giây). Khoảng thời gian này đủ rộng để mọi gói tin đến muộn hoặc bị trễ bộ đệm đi qua an toàn.
  4. Hủy bỏ phối hợp: Sau khi bộ đếm xả hết giờ hoặc nhận được thông điệp DELETE xác nhận phía đối tác đã chuyển mạch, SA cũ mới chính thức bị giải phóng khỏi bộ nhớ nhân.

Xử lý xung đột đổi khóa đồng thời và điều kiện tranh chấp SPI

Trong các mô hình VPN đối xứng Site-to-Site, cả hai gateway đều áp dụng cùng một ngưỡng dung lượng và thời gian hết hạn. Khi lưu lượng tăng đột biến đồng thời, hai đầu cuối thường kích hoạt đổi khóa tại cùng một phần nghìn giây và gửi chéo yêu cầu CREATE_CHILD_SA.

Nếu thiếu cơ chế phân xử tất định, việc đổi khóa đồng thời sẽ sinh ra các Child SA trùng lặp, gây lãng phí tài nguyên mật mã và làm sai lệch trạng thái bảng kết nối. RFC 7296 Mục 2.8.1 quy định nguyên tắc giải quyết xung đột chuẩn xác:

  1. Nhận diện: Gateway nhận được yêu cầu đổi khóa cho một SA mà chính nó cũng đang phát lệnh đổi khóa sẽ xác định đây là tình huống va chạm đồng thời.
  2. Quy tắc phân định Nonce: Hai bên so sánh giá trị chuỗi ngẫu nhiên (Ni) trong gói tin của nhau. Bên nào sở hữu giá trị nonce nhỏ hơn về mặt số học sẽ chủ động hủy yêu cầu của mình và chấp nhận yêu cầu của đối phương.
  3. Đóng SA dư thừa: Nếu do độ trễ truyền thông mà cả hai SA con mới đều lỡ được tạo thành công, bên có nonce nhỏ hơn PHẢI gửi gói tin INFORMATIONAL chứa payload DELETE để xóa bỏ SA thừa.

Nhờ quy tắc toán học rõ ràng này, hai gateway luôn hội tụ về một cặp Child SA duy nhất mà không cần quản trị viên can thiệp hay khởi động lại đường hầm.

Giảm tải phần cứng mã hóa và đồng bộ hóa hàng đợi nhân

Các bộ định tuyến và máy chủ hiện đại thường giảm tải thuật toán AES-GCM và ChaCha20 trực tiếp xuống vi mạch chuyên dụng trên card mạng (NIC ASIC) hoặc tập lệnh CPU (AES-NI, AVX-512). Trong quá trình đổi khóa không mất gói, cơ chế phần cứng đặt ra nhiều thách thức kỹ thuật:

  • Vòng chứa mô tả bất đồng bộ: Phần cứng xử lý gói tin lưu các bộ đệm mô tả trong bộ nhớ DMA. Việc hoán đổi chỉ mục bảng SPI trên phần cứng trong khi gói tin đang nằm trong hàng đợi đòi hỏi thao tác nguyên tử tuyệt đối.
  • Thay thế nguyên tử trong Linux XFRM: Tầng mạng nhân Linux quản lý trạng thái thông qua Netlink socket. Cơ chế Make-Before-Break bổ sung xfrm_state mới trước khi cập nhật bảng chính sách xfrm_policy, bảo đảm việc đọc ghi khóa diễn ra không khóa (lockless) trên đa lõi CPU.
  • Chuyển ngữ cảnh bộ đồng xử lý mật mã: Mỗi SPI gắn liền với một ngữ cảnh phiên riêng. Trong giai đoạn xả gói, bảng mạch phần cứng bắt buộc phải duy trì đồng thời cả hai ngữ cảnh mã hóa song song.

Bảo mật đường hầm doanh nghiệp: Kiến trúc đổi khóa không mất gói RiceGuard

Nhiều giải pháp VPN thương mại bỏ qua việc thiết lập thời gian xả gói thích hợp, dẫn đến tình trạng gián đoạn luồng stream, rớt phiên SSH hoặc ngắt kết nối cơ sở dữ liệu mỗi khi đổi khóa định kỳ hàng giờ.

VPNRice đã phát triển công nghệ RiceGuard để xóa bỏ hoàn toàn hiện tượng suy giảm hiệu năng này:

  • Bộ đếm xả gói thích ứng: RiceGuard liên tục đo đạc thời gian Round Trip Time (RTT) và độ dao động jitter thực tế, tự động điều chỉnh cửa sổ xả gói của SA cũ từ 10 đến 60 giây phù hợp với độ trễ đường truyền.
  • Triệt tiêu va chạm đa điểm: Bộ phân xử trạng thái tích hợp ngăn chặn việc sinh SA dư thừa trên các cụm máy chủ Anycast biên, bảo đảm dung lượng bảng mạch phần cứng luôn tối ưu.
  • Cảnh báo sớm ngưỡng số thứ tự: RiceGuard theo dõi số thứ tự mở rộng 64-bit (ESN) và chủ động đổi khóa khi đạt 75% ngưỡng dung lượng, ngăn chặn tình trạng dừng khẩn cấp ở tốc độ 40 Gbps.
  • Truyền dẫn không nghẽn socket: Mọi ứng dụng chạy qua RiceGuard duy trì thông lượng liên tục với tỷ lệ mất gói bằng 0, không co hẹp cửa sổ TCP và không phát sinh độ trễ truyền lại trong suốt chu kỳ đổi khóa.

Xác minh chẩn đoán: Giám sát chuyển giao SA trên hệ thống thực tế

Kỹ sư hạ tầng mạng có thể theo dõi và kiểm chứng quá trình đổi khóa Make-Before-Break trên môi trường Linux gateway bằng công cụ iproute2.

Kiểm tra các SA đang hoạt động và gối đầu nhau

Chạy lệnh ip xfrm state trong lúc diễn ra đổi khóa để quan sát sự cùng tồn tại của hai SA:

# Xem danh sách trạng thái XFRM trong chu kỳ chuyển giao
ip -s xfrm state list

Trạng thái chuẩn Make-Before-Break sẽ hiển thị hai giá trị SPI chiều đến cùng hướng về một gateway:

src 198.51.100.1 dst 203.0.113.5
    proto esp spi 0xc4a19b22 reqid 1 mode tunnel
    replay-window 64 flag esn
    auth-trunc hmac(sha256) 0x... 128
    enc cbc(aes) 0x...
    lifetime current: 3420 (s), 1482910408 (bytes)
    # SA cũ đang trong giai đoạn xả gói đến

src 198.51.100.1 dst 203.0.113.5
    proto esp spi 0x07f3e8d1 reqid 1 mode tunnel
    replay-window 64 flag esn
    auth-trunc hmac(sha256) 0x... 128
    enc cbc(aes) 0x...
    lifetime current: 12 (s), 894210 (bytes)
    # SA mới đã nhận lưu lượng chính thức

Xác thực không mất gói tin qua ping dồn dập và theo dõi gói

Thực hiện kiểm tra bằng luồng ICMP tần suất cao trong lúc kích hoạt lệnh đổi khóa:

# Phát luồng ping liên tục 100 gói/giây
ping -c 1000 -i 0.01 10.0.0.1

# Tại cửa sổ lệnh khác, kích hoạt đổi Child SA thủ công qua swanctl
swanctl --rekey-child --name net-to-net

Khi hệ thống tuân thủ đầy đủ chuẩn RFC 7296, thống kê ping cho kết quả 0% packet loss và độ lệch chuẩn jitter hoàn toàn phẳng:

1000 packets transmitted, 1000 received, 0% packet loss, time 10012ms
rtt min/avg/max/mdev = 14.120/14.852/17.310/0.412 ms

Việc cấu hình chính xác cơ chế Make-Before-Break, duy trì thời gian xả gói thỏa đáng và áp dụng quy tắc phân xử va chạm đóng vai trò quyết định đối với độ ổn định của hạ tầng mạng mã hóa. Nhờ quản lý vòng đời SA chặt chẽ, hệ thống đường hầm bảo mật duy trì khả năng cô lập mật mã cấp cao mà không làm suy giảm tính sẵn sàng của tầng truyền vận.

Để trải nghiệm hạ tầng VPN mã hóa tốc độ cao, ổn định tuyệt đối và không gián đoạn kết nối, Tải VPNRice.