Cuộc tranh luận kéo dài về việc triển khai TCP-over-TCP đã có bước ngoặt mới khi người dùng dịch vụ điện toán đám mây phải đối mặt với các hạn chế ngày càng tăng đối với lưu lượng UDP, buộc họ phải cân nhắc các giải pháp VPN dựa trên TCP bất chấp những tác động đã biết đến hiệu năng.
Tình thế khó xử hiện tại
Các cuộc thảo luận gần đây trong cộng đồng kỹ thuật đã làm nổi bật một thách thức ngày càng lớn: các nhà cung cấp điện toán đám mây lớn đang thực hiện các hạn chế nghiêm ngặt đối với lưu lượng UDP, khiến việc vận hành các giải pháp VPN truyền thống dựa trên UDP như WireGuard ngày càng khó khăn. Người dùng báo cáo rằng AWS đã từng hoàn toàn tắt các máy chủ bị nghi ngờ tấn công DDOS khi phát hiện lưu lượng UDP cao, trong khi OVH áp đặt giới hạn nghiêm ngặt 1 Gbps đối với lưu lượng UDP mà không có tài liệu hướng dẫn rõ ràng.
Ảnh hưởng kỹ thuật
Lập luận truyền thống phản đối TCP-over-TCP, như được mô tả trong tài liệu gốc, tập trung vào hiệu ứng sụp đổ, nơi các thuật toán truyền lại TCP lồng nhau có thể tạo ra độ trễ chồng chất. Khi mất gói tin xảy ra:
- TCP lớp dưới xếp hàng đợi truyền lại và tăng thời gian chờ
- TCP lớp trên, không nhận biết được đảm bảo của lớp dưới, cũng xếp hàng đợi truyền lại
- Điều này tạo ra hiệu ứng dây chuyền khiến việc truyền lại ở lớp trên tích tụ nhanh hơn khả năng xử lý của lớp dưới
Giải pháp và cách xử lý hiện tại
Một số cách tiếp cận đã xuất hiện để giải quyết những thách thức này:
- Phantun : Một giải pháp triển khai TCP stack ở không gian người dùng, gửi các phân đoạn TCP hợp lệ về mặt cú pháp nhưng không bao giờ truyền lại, hiệu quả trong việc ngụy trang UDP thành TCP
- ** UDP2RAW** : Tương tự như Phantun nhưng có giới hạn hiệu năng được báo cáo khoảng 100 Mbps
- ** IPsec với ESP** : Một số người dùng báo cáo thành công khi sử dụng ESP không đóng gói (IP Protocol 50) thông qua Libreswan, đạt 2-3 Gbps trên một nhân
Hiệu năng thực tế
Mặc dù có những lo ngại về mặt lý thuyết về TCP-over-TCP, một số người dùng báo cáo đạt được mức hiệu năng chấp nhận được:
- Kết nối TCP-over-TCP đạt 400 Mbps
- Vận hành thành công đường hầm 1 Gbps giữa AWS và OVH
- Suy giảm hiệu năng chủ yếu xảy ra khi cố gắng vượt quá 1 Gbps
Cân nhắc trong tương lai
Cộng đồng đang kêu gọi các giải pháp mạnh mẽ hơn, đặc biệt là:
- Tài liệu hướng dẫn tốt hơn về giới hạn lưu lượng UDP của các nhà cung cấp điện toán đám mây
- Hỗ trợ TCP hiệu quả hơn trong các giải pháp VPN hiện đại
- Các cách tiếp cận thay thế có thể đáp ứng cả yêu cầu bảo mật và hiệu năng
Mặc dù các lập luận kỹ thuật phản đối TCP-over-TCP vẫn còn giá trị, thực tế về các hạn chế của nhà cung cấp điện toán đám mây đang buộc phải đánh giá lại những nguyên tắc này trong triển khai thực tế.