Kiểm thử hiệu năng mạng đám mây với Keysight CyPerf: agent phần mềm và phần cứng APS-ONE-100 do APS-M1010 quản lý (ảnh minh họa: Techmaster)
Khi một ngân hàng chuyển ứng dụng lên đám mây, hay một doanh nghiệp thay VPN truyền thống bằng Zero Trust và SASE, câu hỏi khó nhất thường không phải “có chạy không” mà là “chạy nhanh tới đâu khi hàng nghìn người dùng đăng nhập cùng lúc và lưu lượng đều được mã hóa”. Data sheet của từng thiết bị an ninh không trả lời trọn vẹn câu đó, vì hiệu năng thật phụ thuộc cả chuỗi: tường lửa, proxy, cổng VPN, bộ cân bằng tải và đường truyền giữa các vùng đám mây.
Bài này giải thích kiểm thử hiệu năng mạng đám mây là gì, vì sao nó khác cách đo mạng truyền thống, và cách Keysight CyPerf đo hạ tầng lai bằng agent phần mềm hoặc phần cứng APS-ONE-100. Mọi thông số về CyPerf, APS-ONE-100 và license trong bài lấy từ data sheet CyPerf 3120-1464 do Keysight phát hành ngày 26/03/2026; thông tin về Zero Trust, ML-KEM và chương trình điện toán đám mây quốc gia dẫn từ NIST và Quyết định 1121/QĐ-TTg.
Kiểm thử hiệu năng mạng đám mây là gì?
Kiểm thử hiệu năng mạng đám mây là việc tạo tải ứng dụng có kiểm soát — người dùng mô phỏng, phiên TLS, truy cập web, cơ sở dữ liệu, gọi video — rồi đẩy tải đó qua hạ tầng thật để đo thông lượng, số kết nối, độ trễ và khả năng chặn tấn công. Điểm khác với bài đo mạng cổ điển là nguồn tải và đích tải không còn nằm trong một phòng lab: người dùng ở chi nhánh, ứng dụng nằm trên AWS hoặc Azure, còn chính sách bảo mật được thực thi ở một điểm giữa.
Mô hình Zero Trust làm việc đo khó hơn. Theo NIST SP 800-207 (08/2020), Zero Trust chuyển lớp phòng thủ từ chu vi mạng tĩnh sang người dùng, tài sản và tài nguyên. Mỗi phiên phải qua xác thực và kiểm tra chính sách, nên một bài đo chỉ gửi gói tin không xác thực sẽ bỏ qua bước xác thực và kiểm tra chính sách mà hạ tầng Zero Trust phải xử lý cho từng phiên.
Vì sao doanh nghiệp Việt Nam cần đo trước khi chuyển lên đám mây?
Quyết định 1121/QĐ-TTg ngày 11/6/2025 phê duyệt Chương trình hành động quốc gia về phát triển và chuyển đổi sang sử dụng nền tảng điện toán đám mây giai đoạn 2025–2030. Đến năm 2030, Chương trình đặt mục tiêu đánh giá, phân loại và chuyển đổi tối thiểu 70% hệ thống thông tin, dịch vụ công nghệ thông tin hiện có của các bộ, ngành, địa phương (theo thứ tự ưu tiên, nếu đủ điều kiện) sang môi trường điện toán đám mây, và 70% doanh nghiệp tư nhân sử dụng dịch vụ điện toán đám mây do doanh nghiệp trong nước cung cấp. Chương trình cũng yêu cầu triển khai giải pháp bảo đảm an toàn thông tin mạng, an ninh mạng và bảo vệ dữ liệu cho các hệ thống thông tin chạy trên môi trường điện toán đám mây.
Chuyển hệ thống lên đám mây kéo theo thay đổi kiến trúc mạng: đường truy cập đi qua SASE hoặc ZTNA thay vì VPN tập trung, lưu lượng TLS được giải mã và kiểm tra ở nhiều điểm. Theo kinh nghiệm của Techmaster, mỗi lớp thêm vào đều có trần hiệu năng riêng, và điểm nghẽn thường chỉ lộ ra khi tải thật đổ vào sau ngày đưa vào vận hành (go-live). Kiểm thử hiệu năng mạng đám mây bằng tải mô phỏng trước go-live giúp chọn đúng cấu hình và chứng minh được con số với bộ phận vận hành.
Keysight CyPerf hoạt động như thế nào?
CyPerf gồm hai phần. Agent là phần mềm nhẹ, đóng vai client hoặc server, triển khai được trên máy ảo, container, instance đám mây hoặc máy chủ thông thường. Controller là ứng dụng cloud-native xây trên nền Kubernetes, chạy dạng máy ảo on-prem hoặc trên đám mây công cộng, điều khiển qua giao diện web nhiều người dùng.
Kiến trúc kiểm thử CyPerf và các chỉ số trả về (infographic: Techmaster)
Vì agent đóng cả vai máy chủ, bài kiểm thử là một vòng kín: tấn công mô phỏng không chạm tới người dùng hay máy chủ thật. Theo bảng thông số, agent chạy được trên:
- Đám mây công cộng: AWS và Azure (qua Marketplace), Google Cloud Platform.
- Đám mây riêng: VMware ESXi 8.0, 7.0 và 6.5; KVM trên Ubuntu 20.04.
- Container: Kubernetes on-prem với Flannel hoặc Calico, AWS EKS, Azure AKS.
- Máy chủ vật lý: gói cài Debian trên Ubuntu 24.04/22.04.
- Kiến trúc: x86 và ARM.
Mỗi agent mang được tới 10.000 địa chỉ IP. Agent có thể đặt trong nhóm tự co giãn (auto-scale) và tăng giảm ngay khi bài đo đang chạy — cách để kiểm tra chính sách bảo mật có theo kịp khi hạ tầng tự mở rộng hay không. Toàn bộ thao tác có REST API, nên bài đo gắn được vào quy trình CI/CD.
Kiểm thử hiệu năng mạng đám mây với CyPerf đo những chỉ số nào?
Người dùng đặt mục tiêu theo thông lượng, số kết nối mỗi giây, số kết nối đồng thời hoặc số người dùng mô phỏng; có thể đặt hai mục tiêu cùng lúc, ví dụ đạt một mức thông lượng trong khi vẫn giữ đủ số người dùng. Thuật toán tự dò (goal-seeking) của Keysight đưa agent hội tụ về mức tải ổn định cao nhất mà hạ tầng chịu được.
Kết quả trả về gồm thông lượng, kết nối mỗi giây, số người dùng mô phỏng, số lần tấn công bị chặn hoặc lọt, số lần lặp ứng dụng thành công và thất bại, và độ trễ trung bình ở ba mốc: thời gian kết nối, thời gian tới byte đầu (TTFB) và tới byte cuối (TTLB). Thống kê được chia theo phân đoạn mạng, theo agent (kèm CPU và bộ nhớ của agent) và có mục riêng cho Zero Trust. Với lưu lượng thoại và video như Teams, Zoom hay WhatsApp, CyPerf tính thêm điểm chất lượng trải nghiệm MOS.
Kiểm thử Zero Trust, SSL VPN và IPsec gồm những kịch bản nào?
Trong kiểm thử Zero Trust, lưu lượng phải đi qua bước xác thực giống người dùng thật: theo data sheet, CyPerf tạo cả lưu lượng đã xác thực và chưa xác thực, và mô phỏng được:
- Điểm thực thi chính sách ZTNA: Palo Alto GlobalProtect (Clientless / Explicit Proxy), F5 BIG-IP Identity Aware Proxy, Cisco Umbrella / Firepower; nhà cung cấp định danh Okta (SAML) hoặc IdP mô phỏng nội bộ.
- Client SSL VPN: Cisco AnyConnect, Palo Alto GlobalProtect và Prisma Access Agent, F5 BIG-IP SSL VPN, Fortinet SSL VPN.
- IPsec: IKEv2, site-to-site và remote access, xác thực khóa chia sẻ trước, NAT-Traversal, rekey và Dead Peer Detection.
- Proxy: chế độ reverse, transparent và forward.
Với SASE, CyPerf mô phỏng client Prisma Access Agent của Palo Alto và đặt agent ở chi nhánh, đám mây công cộng và trung tâm dữ liệu để đo cả đường đi qua dịch vụ SASE; data sheet cũng nêu cách kết hợp node APS-ONE-100 với agent ảo để dựng topo phân tán cho bài đo SD-WAN và SASE.
Trên các đường hầm đã thiết lập, CyPerf chạy tiếp ứng dụng và tấn công. Thư viện tấn công có hơn 10.000 tấn công riêng biệt, gồm SQL injection, XSS, directory traversal, CSRF, vượt xác thực, mã độc từ client lên server và prompt injection nhắm vào ứng dụng AI. Phép đo cho biết cả hai mặt: chính sách Zero Trust có chặn đúng không, và chặn xong thì người dùng hợp lệ còn lại bao nhiêu thông lượng.
Chuẩn bị cho mật mã hậu lượng tử: CyPerf kiểm tra gì?
Tháng 8/2024, NIST ban hành FIPS 203, chuẩn ML-KEM — cơ chế đóng gói khóa để hai bên thiết lập khóa bí mật chung qua kênh công khai, thiết kế để chống máy tính lượng tử. Theo bảng 3 của FIPS 203, khóa đóng gói (khóa công khai) của ML-KEM dài 800, 1.184 hoặc 1.568 byte tùy bộ tham số — lớn hơn nhiều so với khóa đường cong elliptic — nên thông điệp bắt tay TLS dài hơn. Tác động thực tế lên tường lửa hay bộ giải mã TLS phải đo mới biết chắc.
Data sheet liệt kê các nhóm trao đổi khóa TLS 1.3 mà CyPerf hỗ trợ: nhóm chuẩn P-256, P-384, P-521; ML-KEM thuần; và nhóm lai như x25519_MLKEM768, P384_MLKEM1024. Nhờ vậy, có thể chạy cùng một bài đo hai lần — một lần với khóa cổ điển, một lần với nhóm lai hậu lượng tử — để so số bắt tay mỗi giây và thông lượng của tường lửa, bộ giải mã hay cân bằng tải trước khi bật PQC trên hệ thống thật.
Khi nào cần phần cứng APS-ONE-100?
Theo kinh nghiệm của Techmaster, với phần lớn dự án kiểm thử hiệu năng mạng đám mây, agent phần mềm là đủ, nhất là khi cần đặt điểm đo ở nhiều nơi. Nhưng data sheet ghi rõ khả năng của agent “phụ thuộc tài nguyên phần cứng bên dưới”, nên khi thiết bị cần kiểm có cổng 100GE và mục tiêu hàng trăm Gbps, có thể chạy CyPerf trên node phần cứng APS-ONE-100 (4 cổng 100GE QSFP28) do bộ điều khiển APS-M1010 quản lý. Một bộ điều khiển quản lý tới mười node, và node phần cứng kết hợp được với agent ảo trong cùng một bài đo.
Cấu hình tối đa cho CyPerf: một APS-M1010 quản lý mười node APS-ONE-100 (ảnh minh họa: Techmaster)
Mức trần của từng gói license CyPerf và hiệu năng của một APS-ONE-100 (infographic: Techmaster)
Bảng hiệu năng trong data sheet cho một APS-ONE-100 quản lý bởi APS-M1010 ghi: thông lượng HTTP 190 Gbps, 4,8 triệu kết nối HTTP mỗi giây, 45 triệu kết nối HTTP đồng thời. Với TLS 1.2 (ECDHE-ECDSA, P-256), con số là 185 Gbps thông lượng (trang 1 MB), 165.000 lần bắt tay mỗi giây (trang 1 B) và 6 triệu kết nối đồng thời. Mỗi con số đi kèm điều kiện đo riêng, không nên cộng dồn hay so chéo. Số liệu này cũng khác bảng BreakingPoint cho cùng thiết bị trong bài NGFW RFC 9411, vì phần mềm, chế độ chạy (độc lập hay qua APS-M1010) và điều kiện đo khác nhau.
Ở phía phần mềm, license được bán theo đơn vị hiệu năng. Một đơn vị 1 Gbps cho phép tới 10.000 kết nối mỗi giây, 100.000 kết nối đồng thời và 100.000 người dùng mô phỏng; các gói lớn hơn là 10, 100 và 400 Gbps. License là thuê bao theo năm, dạng floating dùng chung toàn cầu; ngoài ra có gói thuê bao ngắn hạn 30 ngày. Đây là mức trần license cho phép; con số đo được còn tùy máy chạy agent.
Quy trình kiểm thử hiệu năng mạng đám mây gồm mấy bước?
Techmaster đề xuất năm bước kiểm thử hiệu năng mạng đám mây cho một dự án chuyển đổi lên đám mây hoặc triển khai Zero Trust:
- Chốt kịch bản người dùng: số người dùng đồng thời, tỉ lệ ứng dụng (web, Office 365, cơ sở dữ liệu, gọi video), phương thức truy cập (ZTNA, SSL VPN, IPsec).
- Đo nền (baseline): chạy tải giữa hai agent không qua thiết bị an ninh để biết năng lực của chính đường truyền và máy chạy agent.
- Đo từng lớp: thêm lần lượt tường lửa, giải mã TLS, proxy, cổng VPN; ghi lại mức sụt thông lượng và độ trễ TTFB sau mỗi lớp.
- Đo có tấn công: xen tấn công vào lưu lượng hợp lệ, xem tỉ lệ chặn và ảnh hưởng tới người dùng thật.
- Tự động hóa: lưu cấu hình, gọi qua REST API mỗi lần đổi chính sách hoặc nâng cấp firmware.
Với riêng bài đo một thiết bị tường lửa theo phương pháp chuẩn hóa, xem thêm bài kiểm thử hiệu năng tường lửa NGFW theo RFC 9411 với Keysight BreakingPoint. Để tái tạo độ trễ và mất gói của đường WAN trước khi đo, xem bài mô phỏng mạng và bộ chỉ tiêu RFC 2544; còn để quan sát lưu lượng thật sau go-live, xem bài về network packet broker. Nếu hệ thống có nhiều thiết bị IoT, bài kiểm thử bảo mật IoT bổ sung góc nhìn ở phía thiết bị.
Cụm APS-M1010 và hai APS-ONE-100 trong phòng lab kiểm thử mạng (ảnh minh họa: Techmaster)
Câu hỏi thường gặp về kiểm thử hiệu năng mạng đám mây
CyPerf khác BreakingPoint ở điểm nào?
BreakingPoint mạnh ở kiểm thử hiệu năng và bảo mật theo phương pháp chuẩn hóa cho thiết bị như tường lửa, IPS (có cả bản ảo BreakingPoint VE). CyPerf là phần mềm cloud-native, đặt agent ở nhiều nơi — đám mây công cộng, container, chi nhánh — để đo cả chuỗi hạ tầng phân tán, gồm Zero Trust, SASE, SD-WAN và VPN. Hai công cụ dùng chung được bộ điều khiển APS-M1010 và node APS-ONE-100 bản Fusion, với license tương ứng cho từng phần mềm.
Kiểm thử hiệu năng mạng đám mây với CyPerf có cần mua phần cứng không?
Không bắt buộc. Agent CyPerf chạy trên máy ảo, container, instance AWS, Azure, GCP hoặc máy chủ x86 và ARM. Phần cứng APS-ONE-100 đáng cân nhắc khi cần cổng 100GE vật lý và mức tải cao, ổn định mà máy chạy agent phần mềm khó đạt; theo bảng hiệu năng của data sheet, một APS-ONE-100 do APS-M1010 quản lý đạt 190 Gbps thông lượng HTTP.
CyPerf có kiểm thử được mật mã hậu lượng tử không?
Có. CyPerf hỗ trợ TLS 1.3 với nhóm trao đổi khóa ML-KEM thuần và các nhóm lai như x25519_MLKEM768, P384_MLKEM1024, nên đo được số bắt tay mỗi giây và thông lượng của thiết bị khi bật mật mã hậu lượng tử theo FIPS 203.
License CyPerf được bán thế nào?
Theo đơn vị hiệu năng, thuê bao theo năm, license floating dùng chung toàn cầu. Một đơn vị 1 Gbps cho phép tới 10.000 kết nối mỗi giây và 100.000 kết nối đồng thời; có gói 10, 100 và 400 Gbps, cùng gói thuê bao ngắn hạn 30 ngày. License CyPerf cho node APS-ONE-100 là loại vĩnh viễn (perpetual), floating trong phạm vi một bộ điều khiển.
Kết luận
Kiểm thử hiệu năng mạng đám mây trả lời câu hỏi mà data sheet từng thiết bị không trả lời trọn vẹn: cả chuỗi Zero Trust, SASE, VPN và giải mã TLS chịu được bao nhiêu người dùng thật trước khi độ trễ vượt ngưỡng. Keysight CyPerf làm việc đó bằng agent đặt ở hai đầu, từ đám mây công cộng tới container, và mở rộng lên phần cứng APS-ONE-100 khi cần tải hàng trăm Gbps.
Techmaster là nhà phân phối ủy quyền Keysight tại Việt Nam. Xem thêm các giải pháp khác tại trang Keysight của Techmaster. Để được tư vấn kịch bản đo, chọn gói license CyPerf hoặc đăng ký dùng thử, hãy liên hệ Techmaster.
