Giải thích về VPN Concentrator: Chúng là gì và hoạt động như thế nào

Nếu từng tìm hiểu về mạng doanh nghiệp, hẳn bạn đã gặp thuật ngữ "VPN concentrator" và tự hỏi liệu đó chỉ là cách gọi cầu kỳ hơn cho cùng công nghệ vận hành các ứng dụng VPN cá nhân hay không. Cũng không hẳn vậy. Ứng dụng VPN cá nhân như Guru VPN bảo vệ lưu lượng rời khỏi một thiết bị; còn VPN concentrator là phần cứng hoặc phần mềm được thiết kế chuyên biệt để tập hợp và quản lý hàng chục, hàng trăm, thậm chí hàng nghìn đường hầm được mã hóa cùng lúc đổ vào mạng của một tổ chức. Hiểu rõ VPN concentrator thực sự làm gì — cách chúng được xây dựng và ranh giới giữa hạ tầng doanh nghiệp với công cụ bảo mật riêng tư cá nhân nằm ở đâu — sẽ giúp bạn xác định dễ dàng hơn loại nào phù hợp với tình huống của mình.

Bài viết này giải thích cách các thiết bị đó hoạt động, sự khác biệt giữa triển khai bằng phần cứng và ảo, cách AWS xử lý bài toán tương tự trên đám mây, và vì sao đại đa số cá nhân và nhóm nhỏ sẽ phù hợp hơn với VPN cá nhân đơn giản thay vì hạ tầng concentrator cấp doanh nghiệp.

Điểm chính

• VPN concentrator tập hợp và quản lý số lượng lớn đường hầm VPN đi vào — từ nhân viên làm việc từ xa hoặc văn phòng chi nhánh — vào mạng của một tổ chức.
• Chúng có hai dạng chính: thiết bị phần cứng chuyên dụng và concentrator ảo (dựa trên phần mềm) chạy trên máy chủ tiêu chuẩn hoặc phiên bản đám mây.
• AWS Site-to-Site VPN Concentrators xử lý cùng bài toán tập hợp kết nối dưới dạng dịch vụ đám mây được quản lý, xây dựng xoay quanh Transit Gateway thay vì các thiết bị vật lý.
• Concentrator thường phù hợp khi một tổ chức quản lý 100+ kết nối từ xa đồng thời hoặc 25+ đường hầm site-to-site — vượt xa nhu cầu của hầu hết doanh nghiệp nhỏ hoặc cá nhân.
• VPN cá nhân như Guru VPN giải quyết một vấn đề hoàn toàn khác: bảo vệ lưu lượng đi ra của một người, chứ không tập trung các kết nối đi vào của tổ chức.

Vậy chính xác VPN Concentrator là gì?

Về cốt lõi, VPN concentrator là một thiết bị — hoặc phần mềm đảm nhiệm vai trò tương tự — được đặt ở rìa mạng và kết thúc số lượng lớn kết nối VPN tại một điểm. Thay vì cấu hình hàng chục tường lửa riêng lẻ để mỗi thiết bị xử lý một vài đường hầm, toàn bộ lưu lượng được dồn vào một concentrator. Thiết bị này xác thực từng kết nối, mã hóa và giải mã lưu lượng đi qua, rồi định tuyến đến đúng đích bên trong mạng nội bộ.

Thuật ngữ này thường xuất hiện nhất trong bối cảnh VPN truy cập từ xa (kết nối từng nhân viên trở lại mạng công ty) và VPN site-to-site (liên kết cố định từ hai địa điểm văn phòng, trung tâm dữ liệu hoặc môi trường đám mây trở lên). Trong cả hai trường hợp, concentrator đều có cùng nhiệm vụ: trở thành điểm tập trung duy nhất, được quản lý tốt cho toàn bộ lưu lượng đã mã hóa, thay vì để việc quản lý đường hầm phân tán khắp mạng.

VPN Concentrator hoạt động như thế nào?

Trong một concentrator đang hoạt động, có ba việc diễn ra gần như liên tục.

Xác thực là bước đầu tiên. Trước khi cho phép thiết lập đường hầm, concentrator xác minh danh tính của người — hoặc thiết bị — đang tìm cách kết nối, thường bằng cách đối chiếu với dịch vụ thư mục tập trung, cơ quan cấp chứng chỉ hoặc máy chủ RADIUS. Nhờ đó, kẻ tấn công không thể chỉ trỏ một ứng dụng VPN đến địa chỉ IP công khai của concentrator rồi truy cập vào mạng.

Quản lý đường hầm là công việc duy trì liên tục từng kết nối đang hoạt động: thương lượng tham số mã hóa khi đường hầm bắt đầu hoạt động, định kỳ thay khóa để bảo đảm an ninh, theo dõi các đường hầm im lặng và đóng những phiên kết thúc bình thường hoặc hết thời gian chờ. Với concentrator xử lý hàng trăm kết nối đồng thời, công việc quản lý này diễn ra liên tục.

Cân bằng tải trở nên cần thiết khi lưu lượng vượt quá khả năng xử lý thoải mái của một đơn vị xử lý. Concentrator doanh nghiệp — và các cụm concentrator ảo — phân phối đường hầm đi vào cùng lưu lượng của chúng qua nhiều luồng xử lý, để không có điểm đơn lẻ nào trở thành nút thắt cổ chai và sự cố phần cứng ở một thiết bị không làm gián đoạn mọi kết nối.

VPN Concentrator phần cứng và ảo

Concentrator không chỉ có một dạng thiết bị. Tùy theo quy mô, ngân sách và tỷ lệ hạ tầng đã đặt trên đám mây, tổ chức sẽ chọn giữa thiết bị vật lý chuyên dụng và VPN concentrator ảo.

Các lựa chọn phần cứng — chẳng hạn thiết bị thuộc dòng 7000 và 8000 của Mako Networks — được thiết kế để duy trì hiệu năng thông lượng cao, ổn định. Chúng thường được chọn khi tổ chức đã có hạ tầng tại chỗ đáng kể và muốn có năng lực xử lý dự đoán được. Ví dụ, các mẫu lắp tủ rack của Mako thường được dẫn ở mức thông lượng VPN khoảng 850 Mbps, cho thấy cụ thể phần cứng chuyên dụng có thể đáp ứng ngay khi xuất xưởng. Ngược lại, VPN concentrator ảo chạy dưới dạng phần mềm — đôi khi trên máy chủ đa dụng, đôi khi trên các nền tảng chuyên biệt như phần mềm bộ định tuyến ảo của 6WIND, vốn được thiết kế riêng để đẩy thông lượng VPN trên phần cứng tiêu chuẩn lên gần mức của thiết bị chuyên dụng — 6WIND từng công bố mức cao tới khoảng 18 Gbps trên mỗi lõi CPU trong các triển khai được tối ưu hóa, cho thấy concentrator dựa trên phần mềm đã thu hẹp khoảng cách với phần cứng chuyên dụng đến mức nào. Điểm hấp dẫn là tính linh hoạt: bổ sung năng lực khi số lượng đường hầm tăng mà không phải chờ đặt mua phần cứng.

Các nhà cung cấp VPN Concentrator lớn và loại giao thức

Ngoài Mako và 6WIND, hầu hết mạng doanh nghiệp triển khai chức năng concentrator thông qua một số tên tuổi quen thuộc: Cisco (cả thiết bị ASA chuyên dụng lẫn dòng Meraki được quản lý trên đám mây), dòng FortiGate của Fortinet, GlobalProtect của Palo Alto Networks, thiết bị cổng mạng của Check Point và phần cứng truy cập từ xa của Aruba. Thay vì được bán dưới dạng một hộp "concentrator" chỉ có một chức năng, tính năng này thường được tích hợp vào tường lửa hoặc thiết bị bảo mật đa năng hơn, trong đó việc tập hợp đường hầm theo kiểu concentrator là một trong nhiều tính năng chạy trên cùng phần cứng.

Các nhà cung cấp này cũng phân chia theo loại giao thức, điểm khác biệt đáng tìm hiểu: Concentrator IPsec xử lý các đường hầm VPN site-to-site và VPN máy khách truyền thống ở tầng mạng, thường được ưu tiên để kết nối toàn bộ mạng văn phòng với nhau. Concentrator SSL VPN thay vào đó kết thúc kết nối ở tầng ứng dụng, thường thông qua trình duyệt hoặc ứng dụng khách gọn nhẹ. Loại này thường được chọn cho tình huống truy cập từ xa khi không cần đường hầm ở cấp mạng đầy đủ — chẳng hạn nhà thầu chỉ cần truy cập một ứng dụng web nội bộ. Nhiều thiết bị hiện đại hỗ trợ đồng thời cả hai chế độ, cho phép tổ chức kết hợp đường hầm IPsec site-to-site với truy cập từ xa SSL VPN trên cùng thiết bị.

Chi phí tăng mạnh theo năng lực. Thiết bị concentrator cấp cơ bản phù hợp với văn phòng nhỏ có thể có giá khởi điểm khoảng $200; phần cứng tầm trung dành cho vài trăm đường hầm đồng thời thường có giá từ $800 đến $1,500; còn triển khai doanh nghiệp dung lượng cao hỗ trợ hàng nghìn đường hầm có thể tốn đến hàng nghìn đô la, chưa tính giấy phép và hợp đồng hỗ trợ — cấu trúc chi phí này khác xa gói VPN dành cho người tiêu dùng.

AWS Site-to-Site VPN Concentrators

Các nhà cung cấp đám mây có cách riêng để xử lý cùng bài toán tập hợp kết nối, và AWS là ví dụ hữu ích cho thấy cách thức này vận hành ở quy mô lớn. Thay vì triển khai phần cứng vật lý, AWS Site-to-Site VPN Concentrators được xây dựng xoay quanh AWS Transit Gateway — một dịch vụ được quản lý, đóng vai trò trung tâm kết nối nhiều VPC, mạng tại chỗ và kết nối VPN mà không yêu cầu khách hàng tự vận hành hay vá lỗi phần cứng concentrator.

Theo mô hình này, mỗi địa điểm tại chỗ thiết lập kết nối VPN site-to-site riêng với Transit Gateway, nơi đảm nhiệm việc định tuyến, quản lý điểm cuối mã hóa và mở rộng quy mô ở phía sau. Với tổ chức đã vận hành hạ tầng trên AWS, cách này giảm đáng kể công việc vận hành: không cần hoạch định năng lực cho thiết bị vật lý, không cần cấu hình chuyển đổi dự phòng thủ công, và số lượng đường hầm có thể tăng vượt xa mức mà một thiết bị tại chỗ đơn lẻ có thể xử lý thoải mái. Khái niệm nền tảng cũng giống concentrator phần cứng hoặc ảo — tập hợp nhiều kết nối được mã hóa tại một điểm được quản lý — chỉ khác là được cung cấp dưới dạng dịch vụ đám mây thay vì hạ tầng do bạn sở hữu.

Khả năng Site-to-Site VPN Concentrator chuyên dụng của AWS có các giới hạn cụ thể đã được công bố mà bạn nên biết nếu đang cân nhắc sử dụng: chỉ được xây dựng trên Transit Gateway (không có dưới dạng tính năng độc lập), hỗ trợ tổng băng thông khoảng 5 Gbps trên tất cả các site được kết nối, giới hạn thông lượng ở khoảng 100 Mbps cho mỗi kết nối site riêng lẻ, yêu cầu BGP để định tuyến thay vì tuyến tĩnh và thường hướng đến các triển khai có từ 25 kết nối site trở lên — dưới ngưỡng đó, kết nối VPN Transit Gateway tiêu chuẩn không dùng công cụ dành riêng cho concentrator thường đơn giản và đủ dùng hơn. Các con số này quan trọng vì chúng xác định một khoảng phù hợp khá cụ thể: đủ lớn để cần quản lý tập trung, nhưng nhu cầu băng thông của từng site phải đủ thấp để giới hạn trên mỗi site không trở thành nút thắt cổ chai.

Khi nào bạn thực sự cần VPN Concentrator?

Trong phần lớn tình huống site-to-site nêu trên, quyết định này không thực sự phụ thuộc vào phán đoán — mà do quy mô quyết định. Nghiên cứu về bảo mật trong triển khai truy cập từ xa thường đặt ngưỡng ở khoảng 100 kết nối từ xa đồng thời trở lên; lúc đó concentrator chuyên dụng mới bắt đầu mang lại hiệu quả về chi phí hơn phần mềm cổng VPN đơn giản. Dưới con số đó, tính năng VPN tích hợp trong tường lửa tiêu chuẩn hoặc máy chủ VPN phần mềm quy mô nhỏ thường xử lý được tải mà không gặp khó khăn.

Triển khai site-to-site cũng tuân theo logic tương tự, chỉ khác cách đo. Khi một tổ chức quản lý từ 25 đường hầm site-to-site trở lên — như chuỗi bán lẻ kết nối hàng chục cửa hàng với trung tâm dữ liệu trung tâm, mạng lưới bệnh viện liên kết các phòng khám và phòng xét nghiệm chẩn đoán, hay sân bay kết nối các nhà ga, cơ sở hàng hóa và tòa nhà hành chính — riêng khối lượng công việc quản lý đường hầm đã là lý do thuyết phục để tập trung mọi thứ sau phần cứng concentrator chuyên dụng hoặc một phiên bản concentrator ảo. Vấn đề không chỉ là thông lượng thuần; mà còn là có một nơi để cấu hình chính sách định tuyến, theo dõi tình trạng đường hầm và triển khai thay đổi, thay vì phải thao tác thủ công trên hai tá tường lửa riêng biệt.

Tính sẵn sàng cao thường cũng trở thành nhu cầu ở cùng quy mô đó. Các triển khai concentrator doanh nghiệp thường được cấu hình theo cặp active/active (cả hai thiết bị cùng truyền lưu lượng và chia sẻ tải), cặp active/passive (một thiết bị dự phòng sẵn sàng tiếp quản ngay nếu thiết bị chính gặp sự cố), hoặc cụm cân bằng tải đầy đủ phân phối hàng nghìn đường hầm qua nhiều concentrator. Cơ chế chuyển đổi dự phòng này thường quen thuộc với các kỹ sư mạng: VRRP (Virtual Router Redundancy Protocol) giúp thiết bị dự phòng tiếp quản địa chỉ IP dùng chung nếu thiết bị chính ngừng hoạt động; HA ở cấp IKE giữ trạng thái đường hầm hiện có được đồng bộ giữa các thiết bị để khi chuyển đổi dự phòng, mọi kết nối không phải thương lượng lại từ đầu; một số nhà cung cấp còn bổ sung các tính năng chuyển đổi dự phòng nhanh mang thương hiệu riêng để rút ngắn thời gian gián đoạn hơn nữa. Không có gì quá đặc biệt ở đây — đó là cùng tư duy về tính sẵn sàng cao mà các nhóm CNTT đã áp dụng cho bộ chuyển mạch lõi hoặc máy chủ cơ sở dữ liệu, nay mở rộng sang lớp VPN vì nếu không có các cơ chế đó, sự cố ngừng hoạt động của concentrator sẽ đồng loạt làm gián đoạn kết nối của mọi chi nhánh hoặc nhân viên làm việc từ xa phụ thuộc vào nó.

Nếu tình huống của bạn không có những đặc điểm đó — bạn không quản lý hàng chục đường hầm site-to-site, không có nhân viên CNTT thiết lập các cặp chuyển đổi dự phòng, và "truy cập từ xa" với bạn là laptop và điện thoại cá nhân chứ không phải lực lượng lao động phân tán — thì concentrator sẽ giải quyết một vấn đề bạn không gặp phải.

VPN Concentrator và VPN cá nhân

Đây là chỗ hai công nghệ thường bị nhầm lẫn nhất, vì vậy cần nói thẳng về điểm khác biệt. Nhiệm vụ của VPN concentrator là tiếp nhận nhiều kết nối đi vào — từ văn phòng chi nhánh, nhân viên làm việc từ xa hoặc mạng lưới đối tác — rồi định tuyến chúng an toàn vào mạng nội bộ của một tổ chức. Đây là hạ tầng do công ty vận hành ở rìa mạng của mình, và lưu lượng mà nó quản lý thuộc về những người khác: nhân viên, nhà thầu và đối tác site-to-site.

Ứng dụng VPN cá nhân như Guru VPN làm một việc hoàn toàn khác. Thay vì kết thúc kết nối của người khác, ứng dụng bảo vệ lưu lượng đi ra của chính một người — mã hóa những gì rời khỏi thiết bị và định tuyến qua máy chủ bạn chọn, để hoạt động duyệt web không bị lộ trên mạng mà bạn đang kết nối. Không có cả loạt đường hầm đi vào cần quản lý, không có bảng định tuyến site-to-site và không cần cấu hình cặp chuyển đổi dự phòng. Đây là một kết nối được mã hóa duy nhất giữa thiết bị của bạn và máy chủ, được xây dựng để bảo vệ quyền riêng tư cá nhân thay vì truy cập mạng doanh nghiệp. Thiết lập chỉ mất khoảng thời gian cài Guru VPN và chọn một vị trí, chứ không phải cấp phát phần cứng hay cấu hình chính sách IKE.

Vì sao hầu hết mọi người không cần VPN Concentrator

Nếu đọc đến đây và đang tự hỏi liệu văn phòng tại nhà hoặc nhóm nhỏ của mình có cần hạ tầng cấp concentrator không, câu trả lời thành thật gần như chắc chắn là không — và đó là điều tốt, vì giải pháp sẽ đơn giản hơn nhiều so với những gì mô tả ở trên. Điều bạn thực sự cần là mã hóa đáng tin cậy cho lưu lượng của mình, máy chủ ở những vị trí bạn quan tâm và một ứng dụng không đòi hỏi kiến thức về mạng để cấu hình.

Guru VPN tập trung vào nhu cầu thường ngày đó: mã hóa mạnh trên mỗi kết nối, nhiều vị trí máy chủ để bạn luôn ở gần một máy chủ nhanh và mức giá dành cho cá nhân thay vì chu kỳ mua sắm của doanh nghiệp. Bạn nên so sánh các gói Guru VPN hiện tại với tần suất kết nối thực tế — người dùng không thường xuyên và người làm việc từ xa hằng ngày thường chọn các gói khác nhau. Bạn có thể xem chi tiết đầy đủ, bao gồm những gì có trong từng cấp gói, trên trang giá, đồng thời xem các vị trí hiện có trong danh sách máy chủ trước khi quyết định liệu các khu vực bạn cần có được hỗ trợ hay không.

Câu hỏi thường gặp

Kết luận

VPN concentrator giải quyết một vấn đề cụ thể ở quy mô lớn: kết nối an toàn hàng chục hoặc hàng trăm địa điểm và người dùng từ xa vào mạng của một tổ chức mà không khiến công việc quản lý trở nên hỗn loạn. Dù được xử lý bằng phần cứng chuyên dụng, phiên bản ảo hay dịch vụ đám mây được quản lý như tùy chọn Transit Gateway của AWS, nhiệm vụ cốt lõi vẫn giống nhau — tập trung, xác thực, mã hóa và định tuyến. Tuy nhiên, với bất kỳ ai không ở quy mô doanh nghiệp đó, câu trả lời đơn giản và thiết thực hơn nhiều là VPN cá nhân bảo vệ lưu lượng của chính bạn mà không cần gánh nặng hạ tầng. Guru VPN được xây dựng chính xác cho nhu cầu thường ngày đó.