Các máy chủ cổng VPN tập trung và nút định tuyến bảo mật quy mô lớn thường xuyên đối mặt với áp lực cấp phát bộ nhớ vô cùng khắc nghiệt. Khi xử lý hàng chục nghìn đường hầm mã hóa đồng thời với lưu lượng tổng hợp từ 40 Gbps đến 100 Gbps kết hợp cả UDP lẫn TCP, hệ thống mạng của Linux liên tục cấp phát rồi giải phóng các bộ đệm gói tin (sk_buff), bảng trạng thái conntrack và các vòng đệm mã hóa. Dưới những đợt bùng nổ lưu lượng ở tốc độ đường truyền, bộ nhớ vật lý giảm đột ngột buộc nhân hệ điều hành phải bước vào chu trình thu hồi trang nhớ (page reclamation).

Suốt hơn hai thập kỷ, nhân Linux dựa vào thuật toán LRU danh sách kép (Active/Inactive) để quản lý việc giải phóng trang nhớ. Dù hoạt động ổn thỏa trên máy chủ ứng dụng thông thường, thiết kế di sản này lại gây ra những đợt tăng vọt độ trễ đuôi (tail latency) nghiêm trọng trên các nút mạng đòi hỏi phản hồi tức thì. Khi dung lượng RAM trống tụt xuống dưới mức ngưỡng tối thiểu (low watermark), nhân rơi vào trạng thái thu hồi trực tiếp (direct reclamation): các luồng xử lý gói tin bị đình trệ từ vài chục đến hàng trăm mili-giây để duyệt các chuỗi ánh xạ ngược, dẫn tới rớt gói tin và làm gián đoạn các phiên truyền phát video hay thoại trực tiếp.

Sự xuất hiện của Multi-Gen LRU (MGLRU, tích hợp chính thức từ Linux 6.1) kết hợp cùng cơ chế đo lường áp lực tài nguyên PSI (Pressure Stall Information, có từ Linux 4.20) đã thay đổi căn bản cách thức quản lý bộ nhớ trên các hệ thống mạng biên. Bộ đôi công nghệ này cung cấp cơ chế phân tầng trang nhớ theo thế hệ, duyệt bảng trang không khóa và phát hiện nghẽn ở cấp độ micro-giây, giúp cổng VPN duy trì tốc độ truyền dẫn ổn định mà không bị sụt giảm hiệu năng bất ngờ.

Hạn chế của cơ chế LRU danh sách kép truyền thống

Để hiểu rõ nguyên nhân gây trễ trên các cổng mạng, cần xem xét cách thức hệ thống LRU hai danh sách cổ điển theo dõi mức độ sử dụng trang nhớ:

Kiến trúc LRU 2 danh sách cổ điển:
[ Danh sách Active (Trang nóng) ] <--- Tranh chấp khóa toàn cục (lru_lock) ---> [ Danh sách Inactive (Trang lạnh) ]
                |                                                                           |
         Quét bởi kswapd                                                             Giải phóng / Swap
     (Duyệt rmap O(N), ngốn CPU)                                                  (Gây nghẽn trực tiếp)

Hệ thống cổ điển phân chia bộ nhớ thành hai trạng thái Active và Inactive, bộc lộ bốn điểm nghẽn nghiêm trọng khi chạy cổng mạng tải cao:

  1. Tranh chấp khóa toàn cục gay gắt: Mọi thao tác thêm mới, thăng cấp hay thu hồi trang trên toàn bộ vùng nhớ đều phải chiếm giữ khóa zone->lru_lock. Khi hàng chục lõi CPU đồng thời cấp phát bộ đệm socket và xử lý lưu lượng đường hầm, các luồng mạng tiêu tốn lượng lớn chu kỳ xử lý chỉ để chờ khóa bộ nhớ.
  2. Chi phí duyệt ánh xạ ngược (rmap): Để kiểm tra xem một trang trong danh sách Inactive có vừa được truy cập hay không, nhân phải duyệt chuỗi ánh xạ ngược trên tất cả không gian địa chỉ tiến trình tham chiếu tới trang vật lý đó. Quá trình tra cứu con trỏ này gây xáo trộn bộ nhớ đệm CPU (cache miss) và làm tăng tải CPU.
  3. Độ phân giải thế hệ quá thô: Một trang chỉ có thể là nóng hoặc lạnh, thiếu dòng thời gian chi tiết để phân biệt giữa bộ đệm được truy cập cách đây 2 giây với bộ đệm không dùng suốt 10 phút. Hậu quả là các bảng phiên mạng đang hoạt động rất dễ bị giải phóng nhầm.
  4. Thu hồi trực tiếp gây rớt gói: Khi tiến trình nền kswapd không kịp giải phóng RAM trước các đợt bùng nổ lưu lượng, luồng mạng buộc phải tự chuyển sang thu hồi trực tiếp (direct reclaim). Một luồng đang luân chuyển gói tin bất ngờ bị khóa chờ I/O đĩa, gây rớt gói tin hàng loạt trên giao diện mạng.

Kiến trúc MGLRU: Phân tầng trang nhớ theo thế hệ

Multi-Gen LRU thay thế sự phân chia thô sơ bằng một đường ống thế hệ có cấu trúc rõ ràng. Các trang nhớ được xếp vào các thế hệ riêng biệt được đánh số tăng dần:

Quy trình phân tầng thế hệ MGLRU:
[ Thế hệ N (Mới nhất) ] ---> [ Thế hệ N-1 ] ---> [ Thế hệ N-2 ] ---> [ Thế hệ N-3 (Cũ nhất) ]
            ^                                                                  |
            |--------- Thăng cấp trang khi có truy cập ------------------------|
                                                                               v
                                                                       Thu hồi tuần tự
                                                                   (Không gián đoạn luồng)

Cơ chế dịch chuyển thế hệ và quét không khóa

Thay vì dựa vào các chuỗi ánh xạ ngược phức tạp, MGLRU sử dụng bộ duyệt bảng trang (page-table walker) đọc trực tiếp các bit truy cập phần cứng từ bảng trang (PTE). Quá trình quét bảng trang diễn ra hoàn toàn không khóa nhờ cơ chế RCU (Read-Copy Update), giúp giảm mạnh chi phí CPU:

  • Thăng cấp trang (Promotion): Khi gói tin mã hóa đi qua và chạm vào trang trạng thái, bit truy cập phần cứng được kích hoạt. Trong các đợt kiểm tra chu kỳ, các trang nóng được đẩy lên thế hệ mới nhất (max_seq), trong khi các trang nhàn rỗi dịch chuyển dần về thế hệ cũ hơn (min_seq).
  • Thu hồi trang lạnh chuẩn xác: Việc thu hồi chỉ diễn ra trên thế hệ cũ nhất (min_seq). Khoảng cách giữa max_seq và min_seq phản ánh chính xác tuổi đời của trang nhớ, giúp phân tách tuyệt đối giữa dữ liệu làm việc thực sự và các luồng lưu lượng nhất thời.
  • Cân bằng bộ nhớ đệm: MGLRU cân bằng thông minh giữa việc giải phóng page cache và hoán đổi bộ nhớ ẩn danh mà không phụ thuộc vào các phỏng đoán swappiness thô sơ, bảo vệ an toàn cho bộ nhớ của các tiến trình mã hóa nhạy cảm.

Giám sát áp lực bộ nhớ qua Pressure Stall Information (PSI)

Bên cạnh việc tổ chức phân tầng bộ nhớ với MGLRU, người vận hành mạng cần khả năng nhận biết sớm tình trạng căng thẳng bộ nhớ trước khi xảy ra hiện tượng mất gói tin. PSI đáp ứng chính xác yêu cầu này.

PSI đo lường tỷ lệ phần trăm thời gian thực tế mà các tác vụ bị đình trệ (stalled) do thiếu hụt tài nguyên bộ nhớ, chia thành hai chỉ số cốt lõi:

/proc/pressure/memory:
some avg10 = 0.05 avg60 = 0.02 avg300 = 0.00 total = 142083
full avg10 = 0.00 avg60 = 0.00 avg300 = 0.00 total = 0
  • Chỉ số some: Tỷ lệ thời gian có ít nhất một luồng xử lý bị đình trệ để chờ cấp phát bộ nhớ hoặc thu hồi trang, trong khi các luồng khác vẫn tiếp tục làm việc.
  • Chỉ số full: Tỷ lệ thời gian mà toàn bộ các luồng có thể chạy trên lõi CPU đều bị đình trệ do thiếu bộ nhớ. Trên cổng mạng VPN, bất kỳ giá trị full nào lớn hơn 0 đều là dấu hiệu cảnh báo mất gói tin sắp xảy ra.

Nhân Linux cho phép các tiến trình người dùng đăng ký sự kiện ngưỡng thông qua hàm epoll(2) hoặc select(2) trực tiếp trên tệp /proc/pressure/memory. Nếu độ trễ vượt quá ngưỡng thiết lập (ví dụ 10 mili-giây trong cửa sổ quan sát 500 mili-giây), nhân sẽ đánh thức tiến trình giám sát ngay lập tức.

Hướng dẫn thiết lập MGLRU và PSI trên cổng mạng thực tế

Để kích hoạt MGLRU trên các bản phân phối Linux sử dụng nhân từ 6.1 trở lên, hãy kiểm tra tùy chọn biên dịch của nhân:

# Kiểm tra cấu hình MGLRU trong nhân
zcat /proc/config.gz | grep CONFIG_LRU_GEN
CONFIG_LRU_GEN = y
CONFIG_LRU_GEN_ENABLED = y

Điều chỉnh thông số MGLRU qua sysfs

Quản trị viên có thể kiểm tra và bật toàn bộ tính năng tăng tốc thông qua thư mục /sys/kernel/mm/lru_gen:

# Ý nghĩa các bit cấu hình:
# Bit 0 (1): Bật MGLRU cho việc quét bảng trang
# Bit 1 (2): Bật bộ duyệt bảng trang đa luồng
# Bit 2 (4): Bật theo dõi thế hệ theo từng nút NUMA
# Giá trị 7 (1 + 2 + 4): Kích hoạt toàn bộ tính năng tăng tốc
echo 7 > /sys/kernel/mm/lru_gen/enabled

# Thiết lập thời gian sống tối thiểu cho thế hệ (ví dụ: 2000 ms)
# Tránh giáng cấp trang quá nhanh khi mạng có đột biến lưu lượng
echo 2000 > /sys/kernel/mm/lru_gen/min_ttl_ms

Giám sát sự kiện áp lực bộ nhớ bất đồng bộ bằng Python

Tiến trình dịch vụ VPN có thể lắng nghe sự kiện áp lực bộ nhớ để kịp thời điều chỉnh luồng hoặc tạm dừng các tác vụ phụ trợ không cấp thiết:

import select, os

# Mở tệp điều khiển áp lực bộ nhớ ở chế độ non-blocking
psi_fd = os.open("/proc/pressure/memory", os.O_RDWR | os.O_NONBLOCK)

# Đăng ký ngưỡng: cảnh báo nếu thời gian nghẽn vượt 15ms trong chu kỳ 500ms
trigger = "some 15000 500000"
os.write(psi_fd, trigger.encode("ascii"))

epoll = select.epoll()
epoll.register(psi_fd, select.POLLPRI)

print("Đang giám sát áp lực bộ nhớ qua PSI...")
try:
    while True:
        events = epoll.poll(timeout = 5)
        for fd, event in events:
            if event & select.POLLPRI:
                print("[CẢNH BÁO] Chạm ngưỡng PSI! Hệ thống đang chịu áp lực bộ nhớ.")
                # Tự động điều chỉnh kích thước bộ đệm socket và thu nhỏ bảng trạng thái
finally:
    os.close(psi_fd)

Ứng dụng thực tế trong kiến trúc RiceGuard VPN

RiceGuard, công nghệ định tuyến tầng mạng hiệu năng cao của VPNRice, tích hợp chặt chẽ MGLRU và PSI vào cụm máy chủ chuyển tiếp:

  1. Bảo vệ bộ đệm thế hệ: Các luồng xử lý gói tin của RiceGuard cấp phát bộ đệm trong các cgroup v2 chuyên biệt với chỉ số memory.min được cam kết trước. MGLRU đảm bảo các cấu trúc phiên truyền thông được giữ trong các thế hệ ưu tiên, ngăn ngừa rớt gói khi có các tác vụ tải tệp dung lượng lớn.
  2. Xử lý chủ động trước khi cạn kiệt RAM: Thay vì thụ động đợi cơ chế OOM-killer can thiệp, trình quản trị của RiceGuard liên tục theo dõi cảnh báo từ PSI. Khi chỉ số some vượt mức 2%, hệ thống sẽ chủ động điều tiết dung lượng bộ đệm nhận (SO_RCVBUF) và phân tán lưu lượng sang cổng dự phòng.
  3. Triệt tiêu hiện tượng nghẽn thu hồi trực tiếp: Trong các bài đo tải với 1,2 triệu gói tin mỗi giây qua 8.000 đường hầm kết nối, cụm máy chủ áp dụng MGLRU đã giảm độ biến thiên độ trễ ping (jitter ở mức p99.9) từ 48,2 ms xuống chỉ còn 1,4 ms so với nhân chạy cơ chế hai danh sách truyền thống.

Câu hỏi thường gặp

MGLRU có làm tăng mức chiếm dụng CPU của máy chủ không?

Không. Trên thực tế, MGLRU giúp giảm từ 15% đến 40% tải CPU của tiến trình kswapd nhờ cơ chế quét bảng trang không khóa và loại bỏ hoàn toàn các chuỗi duyệt con trỏ ánh xạ ngược tốn kém.

MGLRU có tương thích với giới hạn bộ nhớ cgroup v2 không?

Hoàn toàn tương thích. MGLRU hoạt động liền mạch trong từng nhóm tài nguyên cgroup v2 (memory.high, memory.max), giúp cô lập bộ nhớ giữa các không gian mạng người dùng và ngăn hiện tượng chiếm dụng tài nguyên chéo.

Sự khác biệt cơ bản giữa PSI và các chỉ số vmstat truyền thống là gì?

Các chỉ số cũ như pgscan hay pgsteal chỉ đếm số lượng trang nhớ được xử lý mà không phản ánh được mức độ chậm trễ của hệ thống. PSI phản ánh chính xác lượng thời gian xử lý bị lãng phí do chờ đợi bộ nhớ, mang lại thước đo trực tiếp đối với độ trễ truyền gói tin.