Kiến trúc Multi-Region K3s Cluster Không Cần VPN: Tận Dụng eBPF Cilium và ClusterMesh Trên VPS Giá Rẻ

Giới thiệu xu hướng Multi-Region và thách thức chi phí hạ tầng

Trong kỷ nguyên số hiện nay, tính sẵn sàng cao (High Availability) và khả năng chống chịu thảm họa (Disaster Recovery) không còn là đặc quyền của các tập đoàn lớn. Các doanh nghiệp khởi nghiệp và SMB (doanh nghiệp vừa và nhỏ) cũng đang ráo riết tìm kiếm giải pháp triển khai ứng dụng trên nhiều vùng địa lý (Multi-Region) để đảm bảo hệ thống luôn vận hành thông suốt ngay cả khi một trung tâm dữ liệu gặp sự cố.

Tuy nhiên, rào cản lớn nhất luôn là chi phí và độ phức tạp về mặt kỹ thuật. Việc thiết lập các cụm Kubernetes lớn trên các nhà cung cấp đám mây lớn (AWS, Google Cloud, Azure) với mạng kết nối vùng chuyên dụng thường tiêu tốn hàng ngàn USD mỗi tháng. Để tiết kiệm, nhiều kỹ sư lựa chọn giải pháp mua VPS giá rẻ từ các nhà cung cấp như Hetzner, DigitalOcean, OVH hoặc Linode. Nhưng lúc này, một bài toán đau đầu khác lại xuất hiện: Làm thế nào để kết nối các node Kubernetes ở các vùng khác nhau thành một cụm duy nhất một cách an toàn và hiệu năng cao?

Thông thường, câu trả lời sẽ là triển khai một mạng VPN (như WireGuard, OpenVPN, hoặc Tinc) để bắc cầu giữa các VPS. Mặc dù giải pháp này hoạt động được, nhưng nó lại tạo ra một "nút thắt cổ chai" (bottleneck) về hiệu năng do phải mã hóa/giải mã dữ liệu ở tầng ứng dụng và làm tăng độ trễ mạng (latency). Bài viết này sẽ hướng dẫn bạn một tư duy kiến trúc hoàn toàn mới: Xây dựng cụm Multi-Region K3s Cluster không cần VPN truyền thống, bằng cách tận dụng sức mạnh của công nghệ eBPF thông qua Cilium ClusterMesh.

Tại sao lại là K3s, eBPF và Cilium ClusterMesh?

K3s - Lựa chọn tối ưu cho VPS cấu hình thấp

K3s là một phiên bản Kubernetes rút gọn được phát triển bởi Rancher, được chứng nhận đầy đủ bởi CNCF. K3s loại bỏ các mã nguồn không cần thiết, các provider đám mây tích hợp sẵn và thay thế etcd bằng các tùy chọn nhẹ hơn như SQLite hoặc cơ sở dữ liệu bên ngoài. Với mức tiêu thụ RAM cực thấp (chỉ khoảng 512MB cho mỗi node), K3s là ứng cử viên hoàn hảo để chạy trên các VPS giá rẻ có cấu hình khiêm tốn.

eBPF và Cilium - Định nghĩa lại mạng Kubernetes

Cilium là một giải pháp mạng (CNI - Container Network Interface) mã nguồn mở dành cho Kubernetes, được xây dựng dựa trên công nghệ eBPF (Extended Berkeley Packet Filter) của Linux Kernel. Thay vì sử dụng `iptables` hoặc `IPVS` truyền thống vô cùng cồng kềnh khi quy mô kiểm soát tăng lên, eBPF cho phép nhúng mã thực thi trực tiếp vào kernel của hệ điều hành.

Sức mạnh của eBPF: Nhờ can thiệp trực tiếp ở tầng kernel, Cilium có thể định tuyến các gói tin mạng, thực thi chính sách bảo mật (Network Policies) và cân bằng tải với hiệu năng gần như tương đương với tốc độ của phần cứng, bỏ qua phần lớn các bước xử lý rườm rà của stack mạng thông thường.

Cilium ClusterMesh - Kết nối đa cụm không cần VPN

Cilium ClusterMesh là tính năng cho phép liên kết nhiều cụm Kubernetes độc lập lại với nhau ở tầng mạng. Điểm đặc biệt của ClusterMesh là:

Định tuyến trực tiếp (Direct Routing): Các Pod ở cụm A có thể giao tiếp trực tiếp với các Pod ở cụm B thông qua địa chỉ IP mà không cần phải đi qua một cổng VPN gateway trung gian nào.
Phát hiện dịch vụ toàn cục (Global Services): Bạn có thể định nghĩa một Service có thể cân bằng tải (Load Balancing) lưu lượng truy cập đến các Pod nằm ở cả hai vùng địa lý khác nhau một cách hoàn toàn trong suốt với ứng dụng.
Bảo mật tối đa: Mặc dù không dùng VPN toàn cục, Cilium vẫn có thể mã hóa lưu lượng giao tiếp giữa các node ở các vùng thông qua tính năng mã hóa WireGuard tích hợp sẵn ở tầng kernel, đảm bảo dữ liệu truyền qua internet công cộng luôn an toàn.

Thiết kế kiến trúc hệ thống tổng quan

Để bạn dễ hình dung, chúng ta sẽ thiết kế một hệ thống bao gồm hai cụm K3s độc lập nằm ở hai vùng địa lý khác nhau (ví dụ: Vùng 1 tại Singapore và Vùng 2 tại Frankfurt), sau đó kết nối chúng lại bằng ClusterMesh.

Sơ đồ phân bổ tài nguyên và IP dự kiến như sau:

Cluster 1 (Vùng Singapore): Pod CIDR: 10.244.1.0/24, Service CIDR: 10.96.1.0/24
Cluster 2 (Vùng Frankfurt): Pod CIDR: 10.244.2.0/24, Service CIDR: 10.96.2.0/24

Lưu ý quan trọng: Một điều kiện tiên quyết bắt buộc khi sử dụng ClusterMesh là dải IP của Pod (Pod CIDR) và dải IP của Service (Service CIDR) của các cụm không được phép trùng lặp nhau. Mỗi cụm cũng cần được gán một ID duy nhất (Cluster ID).

Hướng dẫn triển khai từng bước chi tiết

Bước 1: Chuẩn bị VPS và Cài đặt K3s

Trước tiên, bạn cần khởi tạo các VPS tại các vùng mong muốn. Đảm bảo rằng các cổng cần thiết cho Cilium và ClusterMesh (như cổng 2379 cho etcd của Cilium, cổng 4240 cho kiểm tra sức khỏe và các cổng WireGuard nếu bật mã hóa) được mở trên tường lửa của VPS.

Khi cài đặt K3s, chúng ta phải chỉ định tham số để K3s không tự động cài đặt CNI mặc định (Flannel), vì chúng ta sẽ thay thế nó bằng Cilium. Chạy lệnh sau trên Node chính của Cụm 1:

curl -sfL [https://get.k3s.io](https://get.k3s.io) | INSTALL_K3S_EXEC="--flannel-backend=none --disable-network-policy --cluster-cidr=10.244.1.0/24 --service-cidr=10.96.1.0/24" sh -

Thực hiện tương tự cho Cụm 2 với dải CIDR tương ứng đã hoạch định từ trước để tránh xung đột mạng.

Bước 2: Cài đặt Cilium CNI bằng Cilium CLI

Sau khi cụm K3s đã khởi chạy (ở trạng thái NotReady vì chưa có CNI), chúng ta tiến hành cài đặt Cilium CLI trên máy quản lý và triển khai Cilium lên từng cụm. Cấu hình Cilium cần bật tính năng ClusterMesh và định danh cụm rõ ràng.

Ví dụ lệnh cài đặt Cilium cho Cụm 1:

cilium install --cluster-name cluster-singapore --cluster-id 1 --helm-set ipam.operator.clusterPoolIPv4PodCIDRList=10.244.1.0/24

Và lệnh cài đặt cho Cụm 2:

cilium install --cluster-name cluster-frankfurt --cluster-id 2 --helm-set ipam.operator.clusterPoolIPv4PodCIDRList=10.244.2.0/24

Kiểm tra trạng thái cài đặt bằng lệnh cilium status cho đến khi tất cả các thành phần chuyển sang màu xanh và hoạt động ổn định.

Bước 3: Kích hoạt ClusterMesh và kết nối các cụm

Đây là bước quan trọng nhất để tạo nên "phép màu". Chúng ta sẽ bật tính năng ClusterMesh trên từng cụm. Cilium sẽ tự động tạo ra một dịch vụ expose cổng quản lý etcd nội bộ của nó ra ngoài internet (hoặc qua IP công cộng của node dưới dạng NodePort hoặc LoadBalancer giá rẻ).

Kích hoạt ClusterMesh trên cả hai cụm bằng lệnh:

cilium clustermesh enable --context context-cluster-1
cilium clustermesh enable --context context-cluster-2

Sau khi cả hai cụm đã sẵn sàng chấp nhận kết nối, bạn chỉ cần thực hiện duy nhất một lệnh từ máy cấu hình của mình để tiến hành kết nối kết hai cụm này lại với nhau:

cilium clustermesh connect --context context-cluster-1 --destination-context context-cluster-2

Hệ thống của Cilium sẽ tự động trao đổi chứng chỉ bảo mật, cấu hình các tuyến đường định tuyến eBPF trực tiếp giữa hai cụm thông qua địa chỉ IP WAN công cộng của các VPS.

Kiểm tra hiệu năng và khả năng mở rộng ứng dụng

Để xác minh hệ thống hoạt động chính xác, bạn hãy chạy lệnh sau: cilium clustermesh status. Kết quả hiển thị số lượng cụm kết nối thành công là 2/2 nghĩa là mạng lưới đã thông suốt.

Kiểm thử tính năng Global Service

Bạn có thể triển khai một ứng dụng Nginx lên cả hai cụm, sau đó tạo một Service với annotation đặc biệt của Cilium:

apiVersion: v1
kind: Service
metadata:
  name: my-global-service
  annotations:
    io.cilium/global-service: "true"
spec:
  ports:
  - port: 80
  selector:
    app: nginx

Bây giờ, một Pod ở vùng Singapore khi gọi đến my-global-service sẽ được Cilium tự động cân bằng tải thông minh. Nếu Pod Nginx ở Singapore bị sập, lưu lượng sẽ ngay lập tức được chuyển hướng sang Pod Nginx đang chạy tại Frankfurt một cách mượt mà và không hề có độ trễ của việc chuyển đổi DNS truyền thống.

Kết luận và những lưu ý khi vận hành thực tế

Việc kết hợp K3s, eBPF Cilium và ClusterMesh mở ra một hướng đi mới đầy đột phá cho việc thiết kế hạ tầng Multi-Region. Giải pháp này giúp loại bỏ hoàn toàn tầng trung gian VPN phức tạp, tận dụng tối đa sức mạnh phần cứng của các VPS giá rẻ và mang lại hiệu năng mạng vượt trội nhờ eBPF.

Tuy nhiên, khi vận hành hệ thống này trong thực tế, doanh nghiệp cần lưu ý một số điểm sau:

Chi phí băng thông (Data Egress): Các nhà cung cấp VPS giá rẻ thường cho từ 1TB - 20TB băng thông miễn phí, nhưng hãy kiểm tra kỹ mức phí phát sinh nếu ứng dụng của bạn truyền tải lượng dữ liệu quá lớn giữa các vùng.
Độ trễ vật lý: Cho dù eBPF tối ưu mạng đến đâu, tốc độ ánh sáng truyền trong cáp quang vẫn là giới hạn vật lý. Độ trễ (Ping) giữa Singapore và Frankfurt thường rơi vào khoảng 150ms - 180ms, do đó kiến trúc ứng dụng của bạn cần được thiết kế để không bị ảnh hưởng bởi độ trễ này (ưu tiên bất đồng bộ).
Bảo mật tường lửa: Hãy luôn tuân thủ nguyên tắc đặc quyền tối thiểu, chỉ mở các cổng Cilium ClusterMesh cho đúng danh sách IP public của các Node trong hệ thống, tuyệt đối không mở công khai cho toàn bộ internet.

Hy vọng bài viết này đã cung cấp cho bạn một cái nhìn toàn diện và các bước thực tế để tự xây dựng một hệ thống Multi-Region Cluster mạnh mẽ với chi phí tối ưu nhất!