Thư Viện Câu Hỏi Phỏng Vấn

API Gateway chỉ bảo mật ở lớp biên (Perimeter Security). Nếu kẻ tấn công xâm nhập được vào mạng nội bộ, chúng có thể tấn công các service bên trong mà không gặp rào cản nào.

Phân tích bản chất

Thuật toán Round Robin phân phối yêu cầu theo lượt mà không quan tâm đến trạng thái thực tế của Backend Server. Trong hệ thống có các tác vụ xử lý với thời gian thực thi khác nhau (ví dụ: một request chỉ mất 10ms nhưng request khác mất 2s), Round Robin dễ dẫn đến tình trạng một server bị quá tải trong khi các server khác đang rảnh rỗi.

Giải pháp kỹ thuật

Để ngăn chặn DDoS ở Layer 7 tại Load Balancer, cần áp dụng các chiến lược sau:

Thách thức chính

Khi Auto Scaling Group tự động thêm hoặc xóa các instance, các kết nối đang xử lý dở dang hoặc dữ liệu session lưu cục bộ trên instance bị xóa sẽ bị mất, dẫn đến lỗi cho người dùng.

Bản chất vấn đề

Khi một request đi qua Load Balancer, địa chỉ IP nguồn (Source IP) mà Backend Server nhận được sẽ là địa chỉ IP của Load Balancer, không phải địa chỉ IP thực của người dùng cuối. Điều này gây khó khăn cho việc phân tích log, định vị địa lý hoặc chặn IP xấu.

So sánh chi tiết

1. Layer 4 (Transport Layer):

• Hoạt động dựa trên thông tin IP và Port (TCP/UDP).
• Ưu điểm: Hiệu năng cực cao, độ trễ thấp do không cần phân tích nội dung gói tin.
• Nhược điểm: Không thể đưa ra quyết định định tuyến dựa trên nội dung (URL, Header, Cookie).

2. Layer 7 (Application Layer):

• Hoạt động dựa trên nội dung HTTP/HTTPS (URL path, Host header, Cookies).
• Ưu điểm: Cực kỳ linh hoạt, hỗ trợ tốt cho Microservices (định tuyến theo path), SSL Termination, và tối ưu hóa nội dung.
• Nhược điểm: Tiêu tốn CPU và bộ nhớ hơn do phải giải mã và phân tích gói tin ở tầng ứng dụng.

Lời khuyên kiến trúc

Trong các hệ thống Enterprise, thường sử dụng mô hình kết hợp: Layer 4 Load Balancer ở phía trước để phân phối tải thô, sau đó chuyển tiếp đến các Layer 7 Load Balancer (như Nginx, HAProxy) để xử lý logic định tuyến chi tiết cho các Service cụ thể.

Phân tích sự khác biệt

1. Purge (Xóa hoàn toàn): Là hành động xóa sạch đối tượng ra khỏi bộ nhớ đệm của Edge Server. Khi có request tiếp theo, CDN buộc phải thực hiện một request mới (Fetch) về Origin Server để lấy dữ liệu mới.
2. Invalidation (Vô hiệu hóa): Là hành động đánh dấu đối tượng là 'stale' (cũ). CDN sẽ giữ lại đối tượng đó nhưng bắt buộc phải kiểm tra lại với Origin (thường qua header If-Modified-Since hoặc ETag) trước khi phục vụ. Nếu dữ liệu không thay đổi, Origin trả về 304 Not Modified, giúp tiết kiệm băng thông.

Khi nào sử dụng?

• Sử dụng Purge: Khi bạn cần xóa ngay lập tức các tệp tin nhạy cảm hoặc tệp tin bị lỗi (ví dụ: file cấu hình, tệp tin chứa thông tin cá nhân bị lộ) mà không muốn bất kỳ ai truy cập được phiên bản cũ nữa.
• Sử dụng Invalidation: Khi bạn cập nhật nội dung định kỳ và muốn tối ưu hóa băng thông giữa CDN và Origin. Đây là cách tiếp cận 'thân thiện' hơn với hạ tầng backend.

Lưu ý thực chiến

Việc Purge quá nhiều (đặc biệt là Purge theo wildcard *) có thể gây ra hiện tượng 'Cache Miss Storm', khiến Origin Server bị quá tải đột ngột do hàng loạt request đổ về cùng lúc. Hãy ưu tiên Invalidation hoặc Purge theo đường dẫn cụ thể (URL-based).

Bản chất của Vary header

Header Vary thông báo cho CDN rằng phản hồi này phụ thuộc vào giá trị của một header nhất định trong request (ví dụ: Vary: Accept-Encoding hoặc Vary: User-Agent). CDN sẽ tạo ra các biến thể (variants) của cache dựa trên giá trị đó.

So sánh cơ chế

1. Signed URLs: Mỗi URL được gắn một chữ ký số (signature) kèm thời hạn. Chỉ có URL đó mới truy cập được tài nguyên. Phù hợp cho việc bảo vệ từng tệp tin đơn lẻ (ví dụ: link tải file, link video).
2. Signed Cookies: Cho phép truy cập vào nhiều tệp tin hoặc toàn bộ thư mục (ví dụ: /videos/*) thông qua một cookie duy nhất. CDN sẽ kiểm tra cookie này cho mọi request trong phạm vi được cấu hình.

Khi nào chọn Signed Cookies?

• Khi bạn cần bảo vệ một tập hợp tài nguyên (ví dụ: toàn bộ khóa học video gồm nhiều file .ts và .m3u8).
• Khi bạn không muốn thay đổi cấu trúc URL của ứng dụng (vì Signed URL làm thay đổi đường dẫn tài nguyên).
• Khi ứng dụng của bạn đã có cơ chế quản lý session/authentication ổn định, việc cấp phát cookie sẽ tự nhiên hơn so với việc phải tạo URL động cho từng tệp tin.

Lưu ý

Signed Cookies yêu cầu domain của CDN phải là subdomain của domain chính (hoặc cấu hình domain đồng nhất) để trình duyệt có thể gửi cookie kèm theo request.

Cơ chế HTTP/2 Server Push

Server Push cho phép Origin Server chủ động gửi các tài nguyên (như CSS, JS) về trình duyệt trước khi trình duyệt kịp yêu cầu, giúp giảm độ trễ (latency) của trang web.

Khái niệm Shielding

Shielding (thường gọi là Origin Shield) là một lớp đệm trung gian giữa các Edge Server và Origin Server. Thay vì hàng nghìn Edge Server trên toàn cầu cùng gửi request về Origin, chúng sẽ gửi về một cụm 'Shield' tập trung.

Bản chất của Write-Ahead Logging (WAL)

WAL là cơ chế ghi lại mọi thay đổi dữ liệu vào một tệp nhật ký (log file) trên đĩa cứng trước khi thực hiện cập nhật vào cấu trúc dữ liệu chính (như B-Tree hoặc LSM-Tree) trong bộ nhớ.

Khái niệm Tombstone

Trong Cassandra, vì dữ liệu không bị xóa vật lý ngay lập tức (do cấu trúc LSM-Tree), khi thực hiện lệnh DELETE, hệ thống sẽ ghi một bản ghi đánh dấu gọi là Tombstone. Nó báo hiệu rằng dữ liệu này đã bị xóa.

Cơ chế WiredTiger Cache

WiredTiger sử dụng một bộ nhớ đệm (cache) để lưu trữ các trang dữ liệu (pages). Khi cache đầy, nó sẽ thực hiện cơ chế Eviction để giải phóng không gian cho các dữ liệu mới.

Định nghĩa Quorum

Quorum là cơ chế đảm bảo tính nhất quán bằng cách yêu cầu một số lượng Node tối thiểu (thường là W + R > N) phải phản hồi thành công trước khi một thao tác được coi là hoàn tất.