Bài viết này do AI tạo ra, có thể mắc sai sót.

Mở bài

Networking là xương sống của mọi hệ thống hiện đại, từ web app đơn giản đến kiến trúc microservices phức tạp trên Kubernetes. Video 38 phút này của TechWorld with Nana đưa bạn qua hành trình tiến hoá mạng từ physical server đến container orchestration, giải thích chi tiết các khái niệm cốt lõi mà mọi DevOps/Cloud Engineer cần nắm vững. Đây không chỉ là lý thuyết khô khan mà là kiến thức thực chiến để thiết kế, vận hành và troubleshoot hệ thống production.

Video đang nói gì?

Video lấy ví dụ thực tế về ShopEasy, một nền tảng thương mại điện tử, để minh hoạ cách networking thay đổi qua 4 giai đoạn chính:

1. Physical Server đơn (thời kỳ đầu)

• Mọi thứ (web, database, services) chạy trên 1 máy vật lý duy nhất
• 1 public IP address (ví dụ: 203.0.113.10)
• Khách hàng truy cập qua DNS: shopeasy.com → IP
• Port để phân biệt service: port 80 (HTTP), 443 (HTTPS), 5432 (PostgreSQL)
• Vấn đề: single point of failure, không scale, bảo trì khó

2. Virtual Machines (VMs) — tách biệt service

• Hypervisor chia 1 physical server thành nhiều VM độc lập
• Mỗi VM có private IP trong subnet nội bộ (ví dụ: 10.0.0.5, 10.0.0.6)
• VM giao tiếp với nhau qua private network, không ra internet
• NAT gateway: cho phép VM private subnet ra internet (download updates) mà không lộ IP
• Firewall/Security groups: kiểm soát traffic vào/ra từng VM (chỉ cho phép port 443 từ internet vào web server, chặn hết còn lại)
• Snapshot/backup: dễ dàng restore VM khi physical server hỏng

3. Cloud VPC — thuê infrastructure từ AWS/GCP/Azure

• VPC (Virtual Private Cloud): không gian mạng riêng biệt, cách ly với tenant khác
• Public subnet: VM có thể truy cập từ internet (web server, load balancer)
• Private subnet: VM chỉ truy cập nội bộ (database, backend service), không expose ra ngoài
• Route tables: định tuyến traffic đi đâu (internet gateway, NAT gateway, internal)
• Security groups: firewall rules chi tiết cho từng VM/service
• Lợi ích: không cần quản lý phần cứng, scale nhanh, pay-as-you-go

4. Containers & Kubernetes — microservices hiện đại

Containers (Docker):

• Đóng gói app + dependencies + OS libraries vào 1 image nhẹ (MB thay vì GB như VM)
• Chia nhỏ monolith thành microservices (payment, shipping, catalog riêng biệt)
• Docker bridge network: virtual switch docker0, mỗi container có IP riêng trong subnet 172.17.0.0/16
• Container giao tiếp với nhau qua bridge, không cần biết IP host
• Port mapping: expose service ra host (-p 8080:80 map port 80 container → 8080 host)
• Overlay network: cho phép container trên nhiều host khác nhau giao tiếp như cùng 1 mạng

Kubernetes (container orchestration):

• Pod: đơn vị nhỏ nhất, chứa 1 hoặc nhiều container, có IP riêng
• CNI (Container Network Interface): plugin tạo virtual network interface cho mỗi pod
• Flat network model: mọi pod giao tiếp trực tiếp với nhau không cần NAT, dù ở node khác nhau
• Service object: stable endpoint (ClusterIP) cho nhóm pod, làm load balancer nội bộ. Pod chết/tạo mới → IP thay đổi, nhưng Service IP không đổi
• DNS service discovery: gọi service bằng tên (backend-service) thay vì IP, Kubernetes tự resolve
• Ingress controller: "cổng vào" cluster, điều hướng HTTP/HTTPS traffic từ bên ngoài vào Service dựa trên hostname/path, hỗ trợ TLS termination
• NetworkPolicy: firewall rules giữa các pod (ví dụ: chỉ cho phép pod api-server kết nối đến pod database trên port 5432, chặn hết còn lại)

Giải thích bản chất

IP Address & Subnet

IP address là "địa chỉ nhà" của thiết bị trên mạng. IPv4 dùng 4 số (0–255) ngăn bởi dấu chấm, ví dụ 203.0.113.10. Ba phần đầu xác định network (khu phố), phần cuối xác định host (số nhà).

Subnet mask & CIDR: Subnet mask (ví dụ 255.255.255.0) hoặc CIDR (/24) xác định phần nào của IP là network, phần nào là host. /24 nghĩa là 24 bit đầu là network, 8 bit cuối là host → 256 địa chỉ trong subnet (thực tế 254 dùng được, trừ network address và broadcast).

Router & Gateway

Router là "bưu điện" chuyển tiếp gói tin giữa các network khác nhau. Khi thiết bị muốn gửi data ra ngoài network của nó, nó gửi cho router (default gateway), router forward đến đích hoặc router tiếp theo. Router dùng phần network của IP để quyết định đường đi.

DNS (Domain Name System)

DNS dịch tên miền dễ nhớ (google.com) thành IP. Khi bạn gõ shopeasy.com, trình duyệt hỏi DNS server "IP của shopeasy.com là gì?", DNS trả về IP, trình duyệt kết nối đến IP đó. Nếu IP server thay đổi, chỉ cần update DNS record, user vẫn dùng tên miền cũ.

Port

Port là "cửa phòng" trong nhà (server). Một IP có thể chạy nhiều service, mỗi service lắng nghe trên port riêng. Ví dụ: web server port 80/443, SSH port 22, PostgreSQL port 5432. Client kết nối đến IP:port để chỉ định service cụ thể.

NAT (Network Address Translation)

NAT cho phép nhiều thiết bị private IP (192.168.x.x, 10.x.x.x) dùng chung 1 public IP ra internet. Router thay IP nguồn của gói tin outbound thành public IP, ghi nhớ mapping (IP:port nội bộ ↔ IP:port public), khi response về thì dịch ngược lại. NAT gateway trong cloud cho phép VM trong private subnet ra internet mà không lộ IP.

Firewall & Security Groups

Firewall kiểm soát traffic vào/ra dựa trên rules (IP nguồn/đích, port, protocol). Ví dụ: chỉ cho phép port 443 (HTTPS) từ internet vào web server, chặn hết còn lại. Security groups trong cloud là firewall ảo cho từng VM/service, dễ quản lý hơn iptables thủ công.

Container Networking (Docker)

Docker tạo virtual bridge docker0, mỗi container gắn vào bridge này, có IP riêng trong subnet 172.17.0.0/16. Container giao tiếp với nhau qua bridge. Để expose service ra host, dùng port mapping (-p 8080:80). Overlay network cho phép container trên nhiều host giao tiếp như cùng 1 mạng, dùng VXLAN tunneling.

Kubernetes Networking

Pod-to-pod flat network: Mỗi pod có IP riêng, pod-to-pod giao tiếp trực tiếp không cần NAT. CNI plugin (Calico, Flannel, Cilium) tạo virtual network interface cho pod, cấu hình routing giữa node.

Service: Stable endpoint cho nhóm pod. Khi pod chết/tạo mới, IP thay đổi, nhưng Service IP không đổi. Kubernetes dùng iptables/IPVS để load balance traffic đến pod backend. Service types: ClusterIP (chỉ truy cập nội bộ), NodePort (expose trên port của mọi node), LoadBalancer (tạo external load balancer trên cloud).

DNS service discovery: Kubernetes chạy CoreDNS, mỗi Service có DNS record service-name.namespace.svc.cluster.local. Pod gọi service bằng tên, CoreDNS resolve thành ClusterIP.

Ingress: HTTP/HTTPS router, điều hướng traffic từ bên ngoài vào Service dựa trên hostname (api.example.com → api-service) hoặc path (/api → api-service, /web → web-service). Ingress controller (Nginx, Traefik) đọc Ingress rules và cấu hình routing.

NetworkPolicy: Firewall rules giữa pod. Mặc định mọi pod giao tiếp tự do. NetworkPolicy dùng label selector để chỉ định pod nguồn/đích, port, protocol. Ví dụ: chỉ cho phép pod có label app=api kết nối đến pod có label app=db trên port 5432. CNI plugin (Calico, Cilium) enforce rules bằng iptables/eBPF.

Sơ đồ minh hoạ

Sơ đồ minh hoạ luồng traffic từ Internet qua Router, Firewall, Load Balancer đến Web App, API, Database, kèm DNS, subnet, NAT, container network và Kubernetes pod network.

Áp dụng thực tế

• Thiết kế subnet cho VPC trên AWS/GCP: Dùng CIDR để chia IP range hợp lý (10.0.1.0/24 public subnet, 10.0.2.0/24 private subnet), tránh overlap, đảm bảo đủ IP cho scale. Public subnet cho web/load balancer, private subnet cho database/backend.
• Cấu hình firewall/security group: Principle of least privilege — chỉ mở port cần thiết (22 SSH từ bastion, 443 HTTPS từ internet, 5432 PostgreSQL chỉ từ app server), deny all còn lại. Review rules định kỳ, gỡ rules không dùng.
• Troubleshoot container không kết nối được: Kiểm tra bridge network (docker network inspect bridge), port mapping (docker ps), firewall rules trên host (iptables -L), DNS resolution (nslookup), routing table (ip route).
• Deploy microservices trên Kubernetes: Dùng Service để service discovery (frontend gọi backend-service thay vì IP), Ingress để expose HTTP endpoint ra ngoài, NetworkPolicy để kiểm soát traffic giữa pod (chỉ cho phép frontend → backend, backend → database, chặn frontend → database trực tiếp).
• Debug Kubernetes networking: Kiểm tra pod IP (kubectl get pod -o wide), service endpoint (kubectl get endpoints), DNS resolution từ pod (kubectl exec pod -- nslookup service-name), NetworkPolicy (kubectl get networkpolicy), CNI plugin logs.
• Hiểu log/metric mạng: Khi thấy "connection timeout", check DNS resolution (domain resolve đúng IP chưa), routing table (có route đến đích không), firewall (port có mở không), NAT config (private IP có translate đúng không), service health (backend pod có sống không).
• Security best practices: Dùng private subnet cho database, NAT gateway cho outbound traffic, security group restrictive, NetworkPolicy trong K8s, TLS cho traffic giữa service, rotate credentials định kỳ.

Kết luận

Video này là nền tảng vững chắc cho bất kỳ ai làm việc với infrastructure hiện đại. Từ IP/subnet/router cơ bản đến VM/VPC/container/Kubernetes networking phức tạp, hiểu rõ các khái niệm này giúp bạn:

• Thiết kế hệ thống an toàn, scalable, cost-effective
• Troubleshoot nhanh khi có sự cố (connection timeout, DNS failure, routing loop)
• Giao tiếp hiệu quả với team network/security/platform
• Đọc hiểu tài liệu kỹ thuật, architecture diagram, incident postmortem
• Tự tin làm việc với cloud provider (AWS VPC, GCP VPC, Azure VNet), container platform (Docker, Podman), orchestration (Kubernetes, ECS, Nomad)

Đây là kiến thức bắt buộc cho DevOps/Cloud/Platform Engineer, không chỉ để vận hành mà còn để thiết kế kiến trúc đúng từ đầu, tránh technical debt và security incident sau này. Video dài 38 phút nhưng đáng từng giây — nếu bạn làm việc với infrastructure, đây là video phải xem và xem lại nhiều lần.

Nguồn tham khảo

Xem video gốc