Một dàn công cụ giám sát mạng hiện đại hiếm khi chỉ có một món. Có hệ phát hiện xâm nhập, có bộ ghi gói tin phục vụ điều tra sự cố, có công cụ đo hiệu năng ứng dụng, và ở nhiều nơi còn có thêm hệ phân tích hành vi. Tất cả đều cần nhìn thấy cùng một dòng lưu lượng — nhưng mỗi cái chỉ cần một phần khác nhau của dòng đó, và đó chính là lý do lớp thiết bị gọi là network packet broker tồn tại.
Câu hỏi thực tế không phải là mua công cụ nào, mà là đưa gói tin tới từng công cụ bằng cách nào. Cấu hình một cổng SPAN trên switch là phản xạ đầu tiên của hầu hết đội vận hành, và nó vẫn ổn cho tới ngày thứ hai — khi công cụ thứ ba xin thêm một cổng nữa.
Network packet broker là gì?
Network packet broker (viết tắt NPB, tạm dịch: bộ môi giới gói tin mạng) là thiết bị nằm giữa chỗ lấy lưu lượng và các công cụ phân tích. Nó nhận bản sao lưu lượng từ nhiều nguồn, xử lý, rồi giao đúng phần dữ liệu mà mỗi công cụ cần.
Theo trang danh mục network packet broker của Keysight, một NPB đảm nhiệm các việc sau:
- Gộp lưu lượng từ nhiều TAP hoặc nhiều cổng SPAN về một chỗ.
- Lọc để mỗi công cụ giám sát hoặc bảo mật nhận đúng dữ liệu nó cần, không thừa.
- Cân bằng tải ra nhiều công cụ phân tích chạy song song.
- Giải mã SSL để phát hiện mối đe dọa ẩn trong lưu lượng ứng dụng đã mã hoá.
- Nhận biết ứng dụng ở lớp 7, xử lý gói theo từng ứng dụng cụ thể.
Điểm mà Keysight nhấn mạnh là kiến trúc không rơi gói: phần tăng tốc bằng phần cứng chuyên dụng lo việc chuyển tiếp ở tốc độ đường truyền. Ngoài ra còn có bộ biên dịch luật lọc động, tự xử lý các luật chồng lấn lên nhau — thứ vốn là cơn ác mộng cấu hình khi số luật vượt vài chục.
Vì sao cổng SPAN không đủ khi số công cụ giám sát tăng lên?
Cổng SPAN không đủ vì nó dùng chính tài nguyên chuyển mạch của switch để sao chép gói: băng thông cổng đích có hạn, số session có hạn, và việc sao chép phải cạnh tranh với lưu lượng sản xuất. Cổng SPAN không sai — nó chỉ được thiết kế cho một quy mô khác.
Bản chất của SPAN là chiếc switch tự sao chép gói từ cổng nguồn ra cổng đích, bằng chính tài nguyên chuyển mạch đang phục vụ lưu lượng sản xuất. Ba giới hạn đi kèm: cổng đích có thể hẹp hơn tổng lưu lượng cần sao chép, số session SPAN trên mỗi switch là hữu hạn, và việc sao chép chia sẻ tài nguyên với công việc chính của switch.
Cách còn lại là dùng network TAP — thiết bị xen thẳng vào đường truyền để chia tín hiệu. Trang network TAP của Keysight mô tả họ sản phẩm này gồm patch tap, tap quang, tough tap và tap đồng, hỗ trợ cả cáp đồng lẫn quang multimode và single-mode ở tốc độ tới 400 Gbps. Keysight nói rõ TAP là loại hoàn toàn thụ động, để hạ tầng giám sát không tác động tới tính sẵn sàng của mạng, và định vị TAP là cách xoá bỏ chi phí cao cùng nguy cơ điểm mù gắn với việc bổ sung cổng SPAN.
Nhưng đây mới là chỗ hay bị bỏ sót: cả TAP lẫn SPAN đều không quyết định gói nào đi tới công cụ nào. Chúng chỉ trả lời câu hỏi lấy bản sao ở đâu. Khi bạn có ba điểm lấy và bốn công cụ phân tích, số đường dây phải nối là mười hai — và không ai lọc bớt giúp bạn. Đó chính là lớp mà packet broker lấp vào.
Packet broker làm được gì mà một chiếc switch không làm được?
Câu trả lời ngắn: biến đổi gói tin ngay trên đường giao. Trang sản phẩm Keysight Vision 400 liệt kê những phép biến đổi có mặt trên mọi cổng:
- Bóc header — gỡ các lớp đóng gói mà công cụ phân tích không hiểu.
- Gắn dấu thời gian — lấy nguồn từ NTP, 1588 PTP, hoặc 1PPS+ToD theo G.8271, với hai đường 1PPS độc lập.
- Lọc theo IP đã đóng gói trong tunnel, thay vì chỉ lọc được lớp vỏ ngoài.
- Che bớt dữ liệu — bỏ đi phần nội dung nhạy cảm trước khi gói rời khỏi thiết bị.
- Tạo và kết thúc tunnel để đưa lưu lượng qua hạ tầng sẵn có.
Phần xử lý được chia làm hai lớp, và đây là chi tiết đáng hỏi khi đi lấy báo giá. PacketStack chạy trên FPGA lo những việc bắt buộc phải theo kịp tốc độ đường truyền: chống trùng gói, cắt bớt gói và chống bùng nổ lưu lượng tới 400G, cấp phát theo bước 25G. Còn AppStack, SecureStack và MobileStack chạy trên CPU 16 nhân gắn trên bo mạch — bản Vision 400XT nâng lên 32 nhân. Keysight cho biết tính năng và tốc độ được cấp phép tăng dần, nên khi lấy báo giá hãy hỏi rõ bài toán của mình cần bật những lớp nào.
Về dung lượng, Vision 400 công bố backplane tối đa 9.200 Gbps, hỗ trợ dải tốc độ 10/25/40/50/100/200/400G và mật độ tối đa 16 cổng 400G (hoặc 32×200G, 64×100G, 152×10G/25G/50G, đã tính cả fan-out). Máy hỗ trợ cả chuẩn tín hiệu NRZ lẫn PAM4 — điều kiện cần nếu hạ tầng của bạn đang trong giai đoạn chuyển tiếp giữa hai thế hệ quang. Dòng Vision 400 cũng là sản phẩm đoạt giải 2024 Global New Product Innovation Award của Frost & Sullivan.
Họ Keysight Vision có những model nào?
Keysight có mười hai model packet broker, trải từ một hộp nhỏ cho trạm viễn thông ở xa tới khung máy hai terabit mỗi giây cho lõi trung tâm dữ liệu. Danh mục rộng như vậy nên chọn sai đầu thang là cách nhanh nhất để trả tiền cho thứ không dùng tới.
Ở đầu nhỏ nhất là Vision Edge 1S và Vision Edge 10S, dành cho trạm ở xa và văn phòng chi nhánh. Lên một bậc là Vision Edge 40 và Vision Edge 100 ở mức tủ rack. Cho trung tâm dữ liệu có Vision ONE và Vision 7816. Khi cần lên 400G, Vision Edge 400P gói 32 cổng QSFP-DD trong 1RU, mỗi cổng fan-out xuống 200G, 100G, 40G, 50/25/10G qua cáp fan-out. Ở đỉnh là Vision 400 cùng bản Vision 400XT, và Vision X với khay module thay được, 60 cổng đa tốc độ và thông lượng 2 Tbps. Riêng môi trường công nghiệp có Vision T1000 — bộ gộp lưu lượng dạng “tough” cho link đồng trong điều kiện khắc nghiệt.
Một lưu ý khi lập yêu cầu kỹ thuật: các con số 9.200 Gbps, 16×400G và 16 nhân CPU ở trên là của riêng Vision 400. Cả họ Vision trải từ một hộp nhỏ đặt ở trạm viễn thông cho tới khung máy hai terabit mỗi giây, nên một con số tách khỏi tên model là một con số sai. Hãy ghi kèm mã đặt hàng.
Doanh nghiệp Việt Nam nên bắt đầu từ đâu?
Nên bắt đầu từ việc xác định các điểm lấy lưu lượng bắt buộc phải có, rồi mới chọn thiết bị theo số công cụ sẽ cắm vào. Hai sức ép đang đẩy bài toán này lên bàn của nhiều tổ chức trong nước cùng lúc.
Thứ nhất là hạ tầng. Theo Mordor Intelligence, thị trường trung tâm dữ liệu Việt Nam ở mức 0,34 nghìn MW trong năm 2026 và được dự báo đạt 0,58 nghìn MW vào năm 2031, tương ứng tốc độ tăng trưởng kép 11,07% mỗi năm. Mỗi megawatt tăng thêm là thêm rack, thêm uplink, và thêm lưu lượng mà đội vận hành phải nhìn thấy.
Thứ hai là pháp lý. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Theo phân tích của DFDL, khung xử phạt có mức lên tới 5% doanh thu năm liền trước đối với vi phạm chuyển dữ liệu xuyên biên giới. Khi chế tài gắn với doanh thu, khả năng chứng minh dữ liệu đã đi đâu không còn là việc riêng của đội bảo mật.
Bước đi thực tế thường theo thứ tự này: xác định các điểm lấy lưu lượng bắt buộc phải có (uplink ra Internet, biên giữa các vùng, đường tới hệ thống chứa dữ liệu cá nhân); chọn TAP cho những đường không được phép gián đoạn và giữ SPAN cho các nhánh ít quan trọng; rồi đưa tất cả về một packet broker đủ cổng cho số công cụ của ba năm tới, chứ không phải số công cụ hôm nay.
Nếu bài toán của bạn nằm ở lớp kiểm thử chứ không phải giám sát, hai hướng liên quan đáng đọc thêm là mô phỏng mạng trước triển khai với bộ chỉ tiêu RFC 2544 và kiểm thử bảo mật bằng mô phỏng tấn công. Với hạ tầng đang lên tốc độ cao hơn, bài đo kiểm 800G Ethernet và bước lên 1.6T bàn về lớp vật lý phía dưới. Còn nếu phần dấu thời gian là thứ bạn quan tâm nhất, xem thêm đo kiểm định thời TSN trong mạng truyền tải 5G.
Câu hỏi thường gặp
Network packet broker có thay thế được switch không?
Không. Packet broker không nằm trên đường đi của lưu lượng sản xuất theo nghĩa định tuyến — nó xử lý bản sao lưu lượng lấy về từ TAP hoặc cổng SPAN rồi phân phối cho các công cụ giám sát. Riêng chế độ inline, Keysight mô tả Vision 400 hỗ trợ cả inline lẫn out-of-band ở dạng active-active có dự phòng, nhưng vai trò vẫn là lớp phân phối cho công cụ, không phải lớp chuyển mạch.
Đã có network TAP rồi thì còn cần packet broker nữa không?
Cần, nếu bạn có nhiều hơn một công cụ phân tích hoặc nhiều hơn một điểm lấy. TAP giải quyết việc lấy bản sao mà không ảnh hưởng tới mạng; packet broker giải quyết việc gộp nhiều nguồn lại, lọc bớt phần không cần, cân bằng tải và biến đổi gói trước khi giao. Với đúng một TAP nối thẳng vào đúng một công cụ thì chưa cần.
Vision 400 và Vision 400XT khác nhau ở điểm nào?
Theo trang sản phẩm của Keysight, khác biệt được nêu là số nhân CPU trên bo mạch: Vision 400 dùng CPU 16 nhân, còn Vision 400XT dùng 32 nhân. Đây là phần chạy AppStack, SecureStack và MobileStack — tức các lớp xử lý thông minh phía trên, tách biệt với PacketStack chạy trên FPGA.
Một cổng SPAN làm rơi bao nhiêu phần trăm gói tin?
Không có con số chung, và nên cảnh giác với bất kỳ nguồn nào đưa ra một tỷ lệ cố định. Tỷ lệ này phụ thuộc vào chính chiếc switch, vào tải tại thời điểm đo và vào cách cấu hình session. Keysight mô tả rủi ro của cổng SPAN bằng khái niệm điểm mù chứ không công bố tỷ lệ. Cách đúng là đo trên hạ tầng của bạn.
Cần tư vấn cấu hình cho hạ tầng của bạn?
Techmaster Electronics là nhà phân phối ủy quyền của Keysight tại Việt Nam. Đội kỹ thuật có thể giúp bạn xác định điểm lấy lưu lượng, chọn model trong họ Vision theo số cổng và số công cụ thực tế, và làm rõ bài toán của bạn rơi vào lớp cấp phép nào. Xem thêm Keysight Vision ONE, Keysight Vision Edge 40 (E40), giải pháp kiểm thử bảo mật Keysight BreakingPoint, hoặc toàn bộ thiết bị Keysight tại Techmaster.
Liên hệ Techmaster để được tư vấn và báo giá.
