Lớp phân phối truy cập: API Gateway, cân bằng tải, WAF và chống DDoS

Với 10 triệu người dùng đồng thời, lớp tiếp nhận và phân phối lưu lượng là nơi chịu tải khốc liệt nhất và là mục tiêu tấn công đầu tiên. Thiết bị thương mại chuyên dụng (như F5) có chi phí bản quyền rất cao ở quy mô này và tạo phụ thuộc dài hạn; tấn công DDoS tại Việt Nam tăng nhanh (gần 500 nghìn cuộc chỉ trong 6 tháng đầu năm 2024, đã xuất hiện cuộc cường độ 300 Gbps).

Về nghiệp vụ: lớp phân phối gồm bốn tầng — chống DDoS thể tích từ mạng đường trục nhà mạng; cân bằng tải toàn cục đa vùng (GSLB) điều phối người dùng về vùng gần nhất và chuyển hướng khi một vùng sự cố; API Gateway thống nhất cho mini-app và đối tác (thực thi hạn mức, thời gian chờ, ngắt mạch theo chuẩn tại Phụ lục 01); WAF bảo vệ tầng ứng dụng theo OWASP. Về kỹ thuật: xây dựng bộ 'Cổng truy cập VNeID' hợp nhất trên nền nguồn mở kiểm chứng ở quy mô siêu lớn (NGINX, Envoy, HAProxy, Kong, APISIX), tăng cứng và bổ sung mô-đun đặc thù (xác thực định danh, chống bot bằng AI); chống DDoS ký hợp đồng đồng thời với tối thiểu hai nhà mạng. Năng lực trong nước đã thương mại hóa: Viettel Anti-DDoS xử lý tại mạng lõi với năng lực công bố tới 2,5 Tbps; VNPT có lợi thế băng thông đường trục; VCS và CMC đều có WAF, giám sát ứng dụng web.

Phương thức áp dụng: toàn bộ lưu lượng vào VNeID đi qua Cổng truy cập tự chủ; cấu hình quản lý dưới dạng mã để tái lập nhanh khi ứng cứu sự cố. Mục tiêu cụ thể: chịu được đỉnh tải 10 triệu người dùng đồng thời và hấp thụ được tấn công DDoS quy mô lớn mà không phải trả chi phí bản quyền thiết bị nước ngoài tính theo thông lượng.