Chương 3: Mô hình VPC của GCP — Kiến Trúc Mạng Ảo Toàn Cầu

Giới thiệu

VPC (Virtual Private Cloud) là nền tảng của mọi thứ trong GCP. Không chỉ là một mạng ảo đơn thuần, VPC là một kiến trúc SDN (Software-Defined Networking) toàn cầu được xây dựng trên Andromeda stack của Google, tích hợp sâu với Jupiter fabric vật lý của GCP.

Chương này tập trung vào các khía cạnh thực chiến của thiết kế VPC, từ tính nhất quán global-regional, lập kế hoạch CIDR, đến các chính sách firewall phức tạp và các mô hình multi-tenancy. Chúng ta sẽ phân tích những lỗi phổ biến khiến hệ thống production bị gián đoạn, cách nó ảnh hưởng ở quy mô lớn, và chiến lược phòng tránh.

Tại sao VPC quan trọng ở Quy mô Lớn

• Blast radius: Một lỗi trong thiết kế VPC có thể cô lập toàn bộ tổ chức hoặc chỉ một nhóm
• Performance: Logic routing của VPC trực tiếp ảnh hưởng đến độ trễ, mất gói tin, băng thông
• Security: Firewall rules, peering, Shared VPC là cửa ngõ duy nhất vào hệ thống - cấu hình sai = rò rỉ dữ liệu
• Cost: Các quyết định routing ảnh hưởng đến chi phí egress, phân bổ băng thông
• Độ phức tạp multi-region: Global VPC + regional subnets = thách thức về tính nhất quán cuối cùng

Quy ước của Chương

• Hướng production: Mọi mô hình thiết kế được so sánh với ràng buộc thực tế ở quy mô lớn (10K+ VM, đa vùng)
• Có quan điểm: Khi có đánh đổi, chúng tôi giải thích cách lựa chọn dựa trên kinh nghiệm vận hành
• GCP-native: Ưu tiên các giải pháp GCP đặc thù (Cloud Router, hierarchical firewall policies) hơn các phương pháp thông thường

Cấu trúc Chương

Phần 1: Nền tảng VPC (Mô hình Global-Regional)

1. VPC là Global Resource, Subnet là Regional

   • Phạm vi VPC so với phạm vi subnet
   • Tác động đối với triển khai đa vùng
   • Tại sao GCP khác với AWS/Azure

2. Auto-mode vs Custom-mode VPC

   • Hạn chế của auto-mode (10.128.0.0/9)
   • Sự linh hoạt của custom-mode
   • Tại sao production luôn dùng custom
   • Chuyển đổi từ auto → custom

3. Thiết kế Subnet & Lập kế hoạch CIDR

   • Dải primary vs secondary
   • Phân bổ GKE Pod CIDR
   • Quản lý địa chỉ IP ở quy mô lớn
   • Ràng buộc về dải chồng lấp

Phần 2: Kiến trúc Routing

4. Alias IP Ranges & GKE Pods

   • Cơ chế alias IP (không NAT)
   • Định tuyến trực tiếp pod-to-pod
   • Kiểm tra chống giả mạo
   • Các mô hình mạng container

5. Static Routes & Next Hops

   • Subnet routes (tự động)
   • Static routes tùy chỉnh
   • Các loại next hop (instances, ILB, VPN)
   • Xung đột route và cách giải quyết

6. Dynamic Routes & Cloud Router

   • BGP sessions của Cloud Router
   • Học và quảng bá route
   • Chế độ regional vs global
   • Các mô hình kết nối on-premises

7. System-generated Routes

   • Route mặc định (0.0.0.0/0)
   • Subnet routes
   • Các đường dẫn routing đặc biệt (GFE, IAP, v.v.)
   • Routes của IAM/KMS/Serverless

Phần 3: Firewall & Bảo mật

8. Nền tảng Firewall Rules

   • Kiểm tra trạng thái (stateful inspection)
   • Độ ưu tiên 0-65535
   • Ingress (ngầm từ chối) vs egress (ngầm cho phép)
   • Giới hạn bảng theo dõi kết nối
   • Thứ tự đánh giá quy tắc

9. Network Tags vs Service Accounts

   • Các phương thức nhắm mục tiêu firewall
   • Ma trận quyết định tags vs service accounts
   • Các mô hình gắn thẻ đa tầng
   • Bảo mật tích hợp IAM

10. Hierarchical Firewall Policies

    • Thứ tự đánh giá chính sách (org → folder → project → VPC)
    • Ngữ nghĩa allow/deny
    • Ngoại lệ và ghi đè
    • Các tình huống đa tổ chức

11. Cloud NGFW & Kiểm tra L7

    • Khả năng lọc Layer 7
    • Quy tắc dựa trên FQDN
    • Tích hợp IDS/IPS
    • Tác động đến hiệu năng

Phần 4: Kết nối Mạng

12. VPC Peering chuyên sâu

    • Nguyên tắc không bắc cầu (no transitivity)
    • Ràng buộc về chồng lấp subnet
    • Các tùy chọn trao đổi route
    • Phân giải DNS trong mạng đã ghép nối
    • Các mô hình peering đa dự án

13. Shared VPC & Quản lý Tập trung

    • Host project vs service projects
    • Độ chi tiết trong chia sẻ subnet
    • Phân tách vai trò IAM
    • Multi-tenancy với Shared VPC
    • Phân bổ chi phí

14. Private Google Access

    • IP ảo 199.36.153.x/30
    • Định tuyến Google APIs
    • Private vs restricted endpoints
    • Tác động đến VPC Flow Logs

Phần 5: Quan sát & Kiểm soát

15. Phân tích VPC Flow Logs

    • Cơ chế lấy mẫu
    • Các trường metadata
    • Đích xuất dữ liệu
    • Phân tích chi phí (heuristics lấy mẫu)
    • Các mô hình xử lý sự cố

16. Network Intelligence Center

    • Trực quan hóa topology
    • Kiểm tra kết nối
    • Phân tích hiệu suất
    • Phân tích firewall

17. VPC Service Controls để Bảo vệ Dữ liệu

    • Ranh giới vành đai bảo vệ
    • Ngăn chặn rò rỉ dữ liệu
    • Chính sách truy cập dịch vụ
    • Tích hợp Shared VPC + VPC SC

Điều kiện Tiên quyết

• Chương 2 (Kiến trúc Mạng Vật lý GCP): Hiểu Andromeda, Jupiter, global backbone
• Nền tảng mạng: TCP/IP, ký hiệu CIDR, BGP, các khái niệm routing
• Nền tảng GCP: Compute Engine, GKE, service accounts, IAM

Mục tiêu Học tập

Sau khi hoàn thành chương này, bạn sẽ có khả năng:

1. Thiết kế mạng VPC cho hệ thống production với ràng buộc đa vùng, đa tenant
2. Gỡ lỗi sự cố kết nối sử dụng logic routing, firewall rules, VPC Flow Logs
3. Kiến trúc Shared VPC cho tổ chức lớn với phân bổ chi phí
4. Triển khai mô hình zero-trust sử dụng hierarchical firewall policies
5. Lập kế hoạch phân bổ địa chỉ IP cho quy mô 10K+ tài nguyên mà không xung đột
6. Tối ưu hóa chi phí bằng cách hiểu đường dẫn routing, NAT, phí egress

Độ sâu: 5/5

Chương này giả định kiến thức cao về mạng. Chúng ta sẽ không giải thích "CIDR là gì" mà tập trung vào "cách phân bổ CIDR ở quy mô GCP mà không xung đột, kèm theo các kịch bản rollback".

Chú ý Đặc biệt

• Di chuyển từ AWS: AWS VPC ≠ GCP VPC. Peering là tùy chọn trong AWS, bắt buộc trong GCP cho multi-VPC
• Di chuyển từ Azure: Azure NSG không tương đương firewall rules (NSG chỉ áp dụng ở cấp VM)
• Hybrid on-premises: Cloud Router + Interconnect khác hoàn toàn so với ExpressRoute

Vui lòng bắt đầu từ phần 1 (Global-Regional) để xây dựng mô hình tư duy chính xác trước khi đi vào các mô hình nâng cao.