Vận hành mạng riêng ảo (VPN) quy mô lớn và cấu trúc mạng phủ (overlay fabric) trong trung tâm dữ liệu đòi hỏi thông lượng xử lý số lượng gói tin mỗi giây (PPS) rất cao trên các máy chủ đa lõi. Khi tốc độ đường truyền vật lý mở rộng lên 40GbE, 100GbE và cao hơn, các kỹ sư hệ thống thường đối mặt với hiện tượng nghẽn cổ chai xử lý dữ liệu khi sử dụng các giao thức đường hầm tầng 3 (Layer 3) truyền thống.

Các phương pháp đóng gói cổ điển—như IP-in-IP (IPIP, giao thức IP 4), IPv6-in-IPv4 (SIT, giao thức IP 41) và Generic Routing Encapsulation (GRE, giao thức IP 47)—đặt toàn bộ gói tin tải trọng trực tiếp bên trong một tiêu đề IP ngoài. Dù đơn giản về mặt cấu trúc, việc thiếu vắng tiêu đề tầng giao vận Layer 4 (UDP hoặc TCP) tạo ra những hạn chế kỹ thuật lớn đối với phần cứng mạng hiện đại:

  1. Vô hiệu hóa bộ băm Receive-Side Scaling (RSS) của card mạng: Card mạng (NIC) hiện đại sử dụng công cụ băm phần cứng (thuật toán Toeplitz) để phân bổ gói tin vào nhiều hàng đợi nhận (RX queue) gắn với các lõi CPU khác nhau. Khi thiếu cổng UDP/TCP ở tiêu đề ngoài, card mạng chỉ có thể băm dựa trên địa chỉ IP nguồn và đích của lớp vỏ ngoài. Hệ quả là toàn bộ gói tin của một đường hầm lưu lượng khổng lồ bị dồn vào đúng một hàng đợi nhận và một lõi CPU duy nhất, gây quá tải softirq và rớt gói tin trong khi các lõi CPU khác vẫn hoàn toàn rảnh rỗi.
  2. Mất cân bằng định tuyến đa đường ECMP: Các thiết bị chuyển mạch trung tâm (Spine-Leaf) và bộ định tuyến đường trục thực hiện cân bằng tải Equal-Cost Multi-Path (ECMP) dựa trên mã băm 5 thông số (IP nguồn, IP đích, giao thức, cổng nguồn, cổng đích). Do thiếu trường cổng ở tầng 4, toàn bộ lưu lượng đường hầm thô bị ép đi qua một đường truyền vật lý duy nhất, làm tê liệt khả năng phân bổ băng thông trên hạ tầng mạng trung chuyển.

Để giải quyết triệt để rào cản này, nhân Linux đã tích hợp hai cơ chế đóng gói: Foo-over-UDP (FOU) và Generic UDP Encapsulation (GUE, tiêu chuẩn hóa trong RFC 8150). Bằng cách bao bọc các giao thức mạng bên trong các gói tin UDP tiêu chuẩn, hệ thống giải phóng toàn bộ năng lực phần cứng card mạng, phân phối xử lý đa lõi và tối ưu hóa định tuyến truyền dẫn.

+--------------------------------------------------------------------------+
|         CẤU TRÚC GÓI TIN: SO SÁNH IPIP CỔ ĐIỂN VỚI FOU VÀ GUE            |
+--------------------------------------------------------------------------+
|                                                                          |
| 1. IP-in-IP truyền thống:                                                |
|    +-------------------+-----------------------------------------------+ |
|    | Tiêu đề IP ngoài  | Gói tin IP bên trong (Tải trọng dữ liệu)      | |
|    | Giao thức: 4      | (Không có cổng L4 hiển thị cho phần cứng RSS) | |
|    +-------------------+-----------------------------------------------+ |
|                                                                          |
| 2. Foo-over-UDP (FOU - Đóng gói UDP trực tiếp, không phụ phí tiêu đề):   |
|    +-------------------+-------------------+---------------------------+ |
|    | Tiêu đề IP ngoài  | Tiêu đề UDP (8 B) | Gói tin IP bên trong      | |
|    | Giao thức: 17 UDP | Cổng nguồn động   | Giao thức gắn theo cổng   | |
|    +-------------------+-------------------+---------------------------+ |
|                                                                          |
| 3. Generic UDP Encapsulation (GUE - Chuẩn RFC 8150):                     |
|    +-------------------+-------------------+-------------+-------------+ |
|    | Tiêu đề IP ngoài  | Tiêu đề UDP (8 B) | Tiêu đề GUE | Gói dữ liệu | |
|    | Giao thức: 17 UDP | Cổng nguồn động   | 4 Byte (+)  | IPv4/v6/Eth | |
|    +-------------------+-------------------+-------------+-------------+ |
|                                                                          |
+--------------------------------------------------------------------------+

Foo-over-UDP (FOU): Đóng gói UDP trực tiếp

Foo-over-UDP (FOU) là phương thức đóng gói trực tiếp các giao thức Layer 3 vào bên trong khung UDP tiêu chuẩn mà không chèn thêm bất kỳ trường tiêu đề trung gian nào. Tải trọng UDP bắt đầu ngay từ byte đầu tiên của gói tin IP bên trong.

Cơ chế sinh cổng nguồn động từ dòng dữ liệu

Điểm đột phá của FOU nằm ở cách xử lý cổng nguồn UDP (sport) của lớp vỏ ngoài. Khi truyền gói tin qua đường hầm FOU, nhân Linux tính toán mã băm từ các thông số của luồng dữ liệu bên trong (IP nguồn, IP đích, giao thức và các cổng dịch vụ bên trong).

Giá trị băm này được ánh xạ trực tiếp vào dải cổng tạm thời (thường từ 32768 đến 60999) để làm cổng nguồn UDP bên ngoài:

  • Mỗi kết nối TCP hoặc luồng UDP của người dùng bên trong đường hầm sẽ sở hữu một cổng nguồn UDP ngoài khác nhau.
  • Các thiết bị chuyển mạch trung gian và router mạng trục đọc tiêu đề UDP ngoài và thực hiện cân bằng tải ECMP đồng đều trên tất cả các tuyến cáp quang vật lý song song.
  • Card mạng tại gateway đích phân tích 5 thông số ngoài và phân chia các luồng vào tất cả các hàng đợi phần cứng RX thông qua RSS, phân tán tải tính toán đều khắp các lõi CPU.
+--------------------------------------------------------------------------+
|       PHÂN PHỐI RSS ĐA LÕI NHỜ CỔNG NGUỒN ĐỘNG CỦA FOU VÀ GUE            |
+--------------------------------------------------------------------------+
|                                                                          |
|   Các luồng kết nối bên trong đường hầm VPN:                             |
|   - Luồng A: 10.0.0.2:443 -> 10.0.0.8:5201  (Mã băm A -> Cổng: 41205)    |
|   - Luồng B: 10.0.0.3:80  -> 10.0.0.9:38192 (Mã băm B -> Cổng: 53891)    |
|   - Luồng C: 10.0.0.4:53  -> 10.0.0.10:53   (Mã băm C -> Cổng: 36712)    |
|                           │                                              |
|                           v (Truyền qua một đường hầm VPN duy nhất)      |
|   Card mạng vật lý tiếp nhận tại gateway đích                            |
|                           │                                              |
|                           v [Băm phần cứng Toeplitz trên 5 thông số ngoài|
|             ┌─────────────┼─────────────┐                                |
|             ▼             ▼             ▼                                |
|       [RX Queue 0]  [RX Queue 1]  [RX Queue 2]  (Hàng đợi phần cứng NIC) |
|             │             │             │                                |
|             ▼             ▼             ▼                                |
|          Lõi CPU 0     Lõi CPU 1     Lõi CPU 2  (Ngữ cảnh SoftIRQ)       |
|                                                                          |
|   Kết quả: Toàn bộ các lõi CPU hoạt động đồng đều, triệt tiêu nghẽn cổ chai
|                                                                          |
+--------------------------------------------------------------------------+

Generic UDP Encapsulation (GUE - RFC 8150)

Nếu FOU tối ưu cho các liên kết điểm-đối-điểm tĩnh với một loại giao thức cố định trên mỗi cổng, thì môi trường mạng đa dịch vụ đòi hỏi khả năng truyền tải linh hoạt nhiều giao thức và mang theo thông tin điều khiển. GUE (RFC 8150) đáp ứng chính xác nhu cầu này.

GUE bổ sung một tiêu đề nhỏ gọn tối thiểu 4 byte ngay sau tiêu đề UDP:

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Ver|C|  Hlen   |  Proto/Ptype  |            Flags              |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                 Các trường mở rộng tuỳ chọn                   |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Các trường quan trọng trong tiêu đề GUE gồm:

  • Phiên bản (Ver, 2 bit): Đặt là 00b theo đặc tả chuẩn GUE.
  • Cờ điều khiển (C, 1 bit): Phân biệt giữa gói tin dữ liệu (C=0) và gói tin thông điệp điều khiển nội bộ (C=1).
  • Độ dài tiêu đề (Hlen, 5 bit): Xác định kích thước các trường mở rộng đi kèm (tính theo từ 32-bit).
  • Loại giao thức (Proto/Ptype, 8 bit): Định danh giao thức bên trong (ví dụ: 4 cho IPv4, 41 cho IPv6, 47 cho GRE).
  • Cờ và tính năng mở rộng (16 bit): Hỗ trợ tính toán checksum từ xa (Remote Checksum Offload), gắn thẻ định danh mạng ảo (VNI) và theo dõi đường truyền.

Bảng đối chiếu kỹ thuật: FOU và GUE

+--------------------------------------------------------------------------+
|                 SO SÁNH TÍNH NĂNG KỸ THUẬT GIỮA FOU VÀ GUE               |
+--------------------------------------------------------------------------+
| Đặc tính kỹ thuật       | Foo-over-UDP (FOU)     | GUE (RFC 8150)        |
+-------------------------+------------------------+-----------------------+
| Phụ phí tiêu đề         | Đúng 8 Byte (UDP)      | 12+ Byte (UDP + GUE)  |
| Đa giao thức trên 1 cổng| Cố định 1 giao thức    | Động nhiều giao thức  |
| Hỗ trợ gói tin          | IPv4, IPv6, GRE        | IPv4, IPv6, GRE, Eth  |
| Tín hiệu điều khiển     | Không hỗ trợ           | Hỗ trợ gói tin OAM    |
| Tối ưu Checksum         | UDP Checksum tiêu chuẩn| Remote Checksum (RCO) |
| Mức độ phức tạp cấu hình| Rất đơn giản           | Linh hoạt cao         |
| Kịch bản triển khai     | Trạm trung chuyển tĩnh | Mạng phủ đa đối tượng |
+--------------------------------------------------------------------------+

Các bước triển khai thực tế trên Linux

Cả hai cơ chế FOU và GUE đều được tích hợp sẵn trong nhân Linux thông qua mô-đun CONFIG_NET_FOU.

Bước 1: Nạp các mô-đun nhân cần thiết

Đảm bảo hệ điều hành đã kích hoạt các mô-đun đường hầm tương ứng:

modprobe fou
modprobe ipip
modprobe ip_gre

Bước 2: Thiết lập đường hầm Foo-over-UDP (FOU)

Cấu hình đường hầm FOU tiếp nhận lưu lượng IPv4 trên cổng UDP 5555:

# Đăng ký cổng FOU lắng nghe cho giao thức IPv4 (ipproto 4)
ip fou add port 5555 ipproto 4

# Khởi tạo giao diện mạng đường hầm được đóng gói
ip link add name fou0 type ipip \
    remote 198.51.100.2 local 198.51.100.1 \
    ttl 64 \
    encap fou \
    encap-sport auto \
    encap-dport 5555 \
    encap-csum

# Gán địa chỉ IP nội bộ và kích hoạt giao diện
ip addr add 10.200.1.1/30 dev fou0
ip link set dev fou0 up

Tuỳ chọn encap-sport auto chỉ thị cho nhân tự động tạo cổng nguồn ngẫu nhiên theo mã băm dòng dữ liệu, đảm bảo việc chia tải RSS ở phía đối tác nhận.

Bước 3: Thiết lập đường hầm Generic UDP Encapsulation (GUE)

Để triển khai đường hầm GUE đa giao thức hoạt động trên cổng UDP 6666:

# Đăng ký cổng GUE tiếp nhận gói tin
ip fou add port 6666 gue

# Khởi tạo giao diện GRE đóng gói bên trong GUE
ip link add name gue0 type gre \
    remote 198.51.100.2 local 198.51.100.1 \
    ttl 64 \
    encap gue \
    encap-sport auto \
    encap-dport 6666 \
    encap-csum

# Cấu hình IP và kích hoạt cổng mạng
ip addr add 10.200.2.1/30 dev gue0
ip link set dev gue0 up

Bước 4: Kiểm tra tính năng tăng tốc phần cứng của card mạng

Kiểm tra xem card mạng vật lý có hỗ trợ xử lý phân đoạn gói tin UDP tunnel hay không:

ethtool -k eth0 | grep -E "tx-udp_tnl|rx-udp_tunnel"

Kết quả phản hồi tiêu chuẩn:

tx-udp_tnl-segmentation: on
tx-udp_tnl-csum-segmentation: on
rx-udp_tunnel-port-offload: on

Khi các tính năng này được kích hoạt, card mạng sẽ tự đảm nhiệm việc tính toán checksum và phân đoạn gói tin trực tiếp trên chip xử lý (ASIC), giảm tải gần như triệt để cho CPU máy chủ.

Ứng dụng thực tế trong hệ thống RiceGuard và VPNRice

Trong kiến trúc mạng của VPNRice, FOU và GUE đóng vai trò quan trọng trong việc luân chuyển lưu lượng giữa các trung tâm dữ liệu toàn cầu:

  1. Phân phối tải đa lõi quy mô lớn: Các cụm máy chủ biên tiếp nhận lưu lượng mã hoá của người dùng, đóng gói vào các đường trục liên vùng. Nhờ FOU và GUE, lưu lượng được phân bổ đều cho tất cả các lõi CPU trên máy chủ thông qua bộ băm RSS, duy trì băng thông trên 40Gbps mỗi máy chủ mà không bị nghẽn đơn lõi.
  2. Khai thác tối đa kiến trúc định tuyến Spine-Leaf: Trong các trung tâm dữ liệu hiện đại, hệ thống sử dụng nhiều đường truyền 100GbE song song. Việc phân bổ cổng nguồn UDP ngẫu nhiên giúp các bộ chuyển mạch ECMP phân tán dữ liệu đồng đều qua mọi tuyến cáp, tránh quá tải cục bộ.
  3. Thích ứng với hạ tầng mạng trung gian: Các giao thức Layer 3 thô (như GRE thuần) thường bị chặn hoặc bóp băng thông bởi các tường lửa doanh nghiệp và cổng CGNAT. Việc bao bọc trong phong bì UDP giúp lưu lượng di chuyển mượt mà qua các ranh giới mạng phức tạp.

Lưu ý kỹ thuật khi vận hành trên môi trường thực tế

Khi đưa FOU và GUE vào khai thác thực tế, các kỹ sư cần chú ý ba điểm kỹ thuật cốt lõi:

  • Tính toán kích thước MTU: Việc đóng gói sẽ làm tăng thêm 8 byte tiêu đề UDP (đối với FOU) hoặc 12 byte (đối với GUE), cộng thêm tiêu đề IP bên ngoài (20 byte cho IPv4, 40 byte cho IPv6). Cần giảm MTU của giao diện ảo xuống mức tương ứng (khoảng 1420–1440 byte) hoặc cấu hình kẹp MSS (TCPMSS --clamp-mss-to-pmtu) để tránh phân mảnh gói tin.
  • Checksum trên nền IPv6: Giao thức IPv6 yêu cầu bắt buộc phải có giá trị UDP checksum hợp lệ (theo RFC 8200). Luôn cấu hình cờ encap-csum khi chạy trên nền tảng IPv6 để ngăn ngừa việc router trung gian loại bỏ gói tin âm thầm.
  • Lưu cấu hình sau khi khởi động: Các lệnh ip fou add không tự động lưu lại khi máy chủ khởi động lại. Cần đưa cấu hình vào dịch vụ quản lý mạng của hệ điều hành (systemd-networkd) hoặc tập lệnh khởi động hệ thống.

Sự kết hợp giữa FOU, GUE và cơ chế băm RSS phần cứng mang lại giải pháp chuyển tiếp lưu lượng bền bỉ, tạo nền tảng vững chắc cho các hệ thống VPN và mạng phủ hiện đại.