ANTI-DDOS & WAF ENGINE

Chặn DDoS tại tầng kernel
trước cả hệ điều hành

vFWCloud Engine sử dụng XDP/eBPF để lọc gói tin ngay tại driver card mạng — xử lý 33 triệu gói/giây mỗi node với độ trễ dưới 100 nano giây. Kết hợp WAF + AI để bảo vệ toàn diện từ L3 đến L7.

33M
Gói tin/giây mỗi node
<100ns
Xử lý mỗi gói tin
11
Tầng lọc XDP
4
Loại cờ TCP theo dõi
Vấn đề

Tại sao firewall truyền thống không đủ?

Tấn công DDoS hiện đại có thể đạt hàng trăm Gbps với hàng chục triệu gói tin mỗi giây. Firewall truyền thống xử lý ở tầng userspace — quá chậm để đối phó.

🐢

Userspace quá chậm

Mỗi gói tin phải đi qua toàn bộ network stack của OS (netfilter, iptables, conntrack) rồi mới đến firewall. Tốn hàng microsecond mỗi gói.

💥

CPU bị ngập

Khi traffic vượt khả năng xử lý, CPU 100% chỉ để đọc gói tin — không còn tài nguyên cho dịch vụ thật sự. Server sập.

💸

Thiết bị chuyên dụng đắt

Appliance DDoS của Arbor, F5, Fortinet giá từ $50K-$500K cho mỗi điểm bảo vệ. Không phù hợp với đa số doanh nghiệp Việt Nam.

Kiến trúc

Ba thành phần chính

Hệ thống gồm DataPlane (lọc tốc độ cao), ControlPlane (quản trị) và Console (giám sát). Mỗi thành phần được tối ưu cho nhiệm vụ riêng.

⚡

DataPlane

C / eBPF

Lọc gói tin tại kernel, trước cả network stack.

  • SYN Protect (SYN cookie validation)
  • vRouter (định tuyến thông minh)
  • SYN Shield (11 tầng lọc)
  • IP/Port blacklist & whitelist
⚙️

ControlPlane

Go 1.21+

API quản trị và giao tiếp giữa các thành phần.

  • Gin REST API
  • WebSocket real-time
  • InfluxDB metrics
  • Cluster management
📊

Console

Web Dashboard

Giám sát thời gian thực, quản lý cấu hình.

  • Traffic graphs thời gian thực
  • IP tracking & geo
  • Rule management
  • Alert & report
XDP Pipeline

11 tầng lọc — từ gói tin đến quyết định

Mỗi gói tin đi qua 11 tầng kiểm tra tuần tự. Giai đoạn nào phát hiện bất thường sẽ drop ngay — không cần đi hết pipeline.

01
Ethernet Header Parse
Kiểm tra và giải mã header Ethernet, xác định giao thức tầng tiếp theo
02
IP Header Validation
Xác minh IP header hợp lệ, loại bỏ gói tin sai định dạng (malformed packets)
03
IP Blacklist / Whitelist
Tra cứu nhanh trong BPF map — drop ngay nếu IP nằm trong blacklist
04
Protocol Filter
Lọc theo giao thức (TCP/UDP/ICMP), drop các giao thức không mong muốn
05
TCP Header Parse
Giải mã TCP header, trích xuất cờ (SYN/ACK/FIN/RST) và port
06
Port Destination Filter
Chỉ cho phép các port đã đăng ký (protected destinations)
07
SYN Rate Limiter
Giới hạn tốc độ SYN từ mỗi source IP — chặn SYN flood cơ bản
08
TCP Flag Tracker (4 loại)
Theo dõi độc lập 4 loại cờ TCP (SYN, ACK, FIN, RST) từ mỗi IP — phát hiện anomaly
09
SYN Cookie Validation
Xác thực kết nối TCP bằng SYN cookie — loại bỏ spoofed IP
10
Connection State Tracking
Theo dõi trạng thái kết nối đã xác thực — bypass các bước lọc cho traffic hợp lệ
11
vRouter Decision
Quyết định cuối: XDP_PASS (cho qua), XDP_DROP (loại bỏ), hoặc XDP_REDIRECT
Hiệu năng

Scale tuyến tính — từ 1 Gbps đến 400 Gbps

Ghép nhiều node qua LACP (Link Aggregation) để tăng băng thông tuyến tính. Không cần thiết bị phần cứng chuyên dụng.

Cấu hình Băng thông Gói tin/giây Số node Ghi chú
1 node 1 Gbps 33M pps 1 VPS / bare-metal đơn
1 LACP bond 10 Gbps 330M pps 10 1 switch, 10 port
4 LACP bond 40 Gbps 1.32B pps 40 Data center vừa
10 LACP bond 100 Gbps 3.3B pps 100 Enterprise
40 LACP bond 400 Gbps 13.2B pps 400 Carrier-grade
WAF tích hợp

Từ L3/L4 lên L7 — ModSecurity + AI

Sau khi XDP lọc DDoS ở tầng mạng, traffic sạch được chuyển lên WAF để kiểm tra SQL Injection, XSS, bot và các tấn công ứng dụng web.

⚡
XDP Filter
L3/L4 DDoS
→
🧱
Nginx
ModSecurity
OWASP CRS v4
→
⚙️
Go Engine
~5,500 LOC
→
🧠
AI Classifier
Qwen3-0.6B
→
✅
Quyết định
Block/Challenge/Allow
🧱

ModSecurity + OWASP CRS v4

Quy tắc WAF chuẩn công nghiệp chặn SQLi, XSS, LFI, RCE, scanner. Nginx reverse proxy với rate limiting và IP reputation.

🧠

AI Scoring (Qwen3-0.6B)

Mô hình ngôn ngữ fine-tuned chạy local bằng llama.cpp. Phân tích hành vi bất thường, tương quan cross-IP, báo cáo tiếng Việt.

Yêu cầu hệ thống

Thông số kỹ thuật

Thông số Yêu cầu
Hệ điều hành Linux (Ubuntu 22.04+, Debian 12+)
Kernel 5.4+ (hỗ trợ BPF/XDP)
CPU 4 vCPU tối thiểu (8+ khuyến nghị cho AI)
RAM 4 GB tối thiểu, 8 GB khuyến nghị
DataPlane C / eBPF — XDP native mode
ControlPlane Go 1.21+ — Gin, WebSocket, InfluxDB
WAF Engine Go — ~5,500 LOC, behavioral scoring
AI Model Qwen3-0.6B fine-tuned (Q4_K_M, ~379MB) — llama.cpp
Scale-out LACP bond — tuyến tính đến hàng trăm Gbps

Triển khai ngay trên hạ tầng của bạn

Chỉ cần server Linux với kernel 5.4+ — không cần mua thiết bị phần cứng chuyên dụng.

WAF Console Tìm hiểu WAF WAF K8s Security Proxy