Ranet3: Giải pháp SD-WAN dựa trên IPsec đạt tốc độ gần 95% băng thông vật lý
Ranet3 vừa ra mắt trên Hacker News với tư cách một dự án mã nguồn mở xây dựng mạng SD-WAN dựa trên giao thức IPsec chuẩn. Điểm nổi bật là tốc độ xử lý dữ liệu trong không gian người dùng đạt tới 95% giới hạn băng thông 10 GbE, vượt qua cả WireGuard và IPsec chạy trên nhân hệ điều hành, đồng thời hỗ trợ định tuyến theo độ trễ và segment routing.
Ranet3: Giải pháp SD-WAN dựa trên IPsec đạt tốc độ gần 95% băng thông vật lý
Một dự án mới có tên Ranet3 vừa được giới thiệu trên Hacker News, mang đến giải pháp mạng SD-WAN (Software-Defined Wide Area Network) hoạt động dựa trên các giao thức IPsec tiêu chuẩn. Điểm đáng chú ý nhất là hiệu năng xử lý gói tin trong không gian người dùng (userspace) đạt tới 95% giới hạn băng thông của card mạng 10 GbE, vượt trội so với nhiều giải pháp quen thuộc như WireGuard hay IPsec chạy trên nhân Linux.
Dự án hướng tới những người quản trị hệ thống cần một giải pháp kết nối mạng riêng ảo (VPN) hiệu năng cao mà vẫn đảm bảo khả năng tương tác với các thiết bị mạng tiêu chuẩn khác.
Kiến trúc dựa trên giao thức chuẩn
Điều làm nên sự khác biệt của Ranet3 là việc sử dụng hoàn toàn các giao thức mở đã được chuẩn hóa, thay vì xây dựng một giao thức độc quyền như nhiều công cụ mesh VPN phổ biến hiện nay.
- Vận chuyển: ESP (RFC 4303) trong chế độ tunnel, chạy trên UDP (RFC 3948)
- Bắt tay: IKEv2 (RFC 7296) kết hợp trao đổi khóa lai ML-KEM (FIPS 203) theo RFC 9370, giúp tăng cường khả năng chống lại các cuộc tấn công bằng máy tính lượng tử
- Định tuyến: Bộ định tuyến Babel nhúng (RFC 8966) với các chỉ số độ trễ khứ hồi RTT (RFC 9616) và định tuyến theo nguồn (RFC 9079)
- Điều hướng lưu lượng: SRv6 (RFC 8986) dựa trên tiền tố nguồn và đích
Nhờ sử dụng giao thức chuẩn, các thiết bị đầu cuối chỉ cần hỗ trợ IKEv2, ESP, Babel và SRv6 là có thể kết nối. Dự án đã kiểm thử khả năng tương tác với strongSwan cho phiên IKEv2 và ESP dùng khóa Ed25519, với BIRD cho định tuyến Babel, và với nhân Linux cho phần xử lý header SRv6.
Điểm mạnh này cho phép Ranet3 chạy song song với các giải pháp mesh VPN phổ biến như Tailscale, NetBird, ZeroTier hay Nebula trên cùng một máy chủ, thay vì buộc người dùng phải thay thế hoàn toàn.
Định tuyến theo độ trễ thông minh
Một trong những tính năng ấn tượng nhất là khả năng định tuyến theo độ trễ. Babel đo liên tục thời gian khứ hồi của từng đường kết nối và tự động chuyển lưu lượng qua một nút trung gian nếu đường trực tiếp chậm hơn.
Ví dụ, nếu đường trực tiếp giữa A và C có RTT 265 ms, trong khi đi vòng qua B chỉ mất 80 ms, hệ thống sẽ chọn đường qua B. Khi đường trực tiếp nhanh trở lại, lưu lượng sẽ tự động quay về. Các yếu tố như mất gói và gián đoạn kết nối cũng được tính vào điểm số của từng đường truyền.
Bên cạnh đó, tính năng segment routing cho phép người quản trị đặt chính sách định tuyến dựa trên tiền tố nguồn và đích, đưa lưu lượng đi qua các điểm trung gian theo thứ tự tùy ý. Đáng chú ý là segment routing được triển khai hoàn toàn trong không gian người dùng, nên vẫn hoạt động trên macOS – hệ điều hành mà nhân XNU không hỗ trợ công nghệ này.
Hiệu năng vượt trội so với các giải pháp hiện có
Theo kết quả đo đạc công bố ngày 15/10/2026 trên hai máy chủ Dell PowerEdge C6420 trang bị CPU Intel Xeon Gold 6130 và card mạng Intel X710 10 GbE, Ranet3 đạt được những con số rất đáng chú ý.
Với một luồng dữ liệu đơn hướng, Ranet3 đạt 8,39 Gbit/s, tương đương 95% giới hạn 8,84 Gbit/s của gói TCP khi không qua tunnel. Con số này cao hơn đáng kể so với WireGuard chạy nhân (5,35 Gbit/s) hay IPsec chạy nhân (4,67 Gbit/s).
| Giải pháp | Thông lượng 1 luồng (Gbit/s) | Mức tiêu thụ CPU (nhân/Gbit/s) |
|---|---|---|
| Ranet3 (userspace) | 8,39 | 0,909 |
| wireguard-go (userspace) | 6,77 | 1,079 |
| WireGuard (kernel) | 5,35 | 1,511 |
| IPsec (kernel) | 4,67 | 0,672 |
Đáng chú ý là Ranet3 vượt qua WireGuard chạy nhân từ 1,6 đến 2,1 lần về thông lượng và nhanh hơn wireguard-go từ 1,2 đến 1,5 lần trên cả 6 bài kiểm tra. Tuy nhiên, về độ trễ p99 khi bão hòa, các giải pháp chạy nhân vẫn có lợi thế với con số 0,85-2,51 ms, trong khi Ranet3 dao động từ 1,91 đến 4,96 ms.
Ý nghĩa với người dùng Việt Nam
Với các doanh nghiệp và quản trị viên hệ thống tại Việt Nam, Ranet3 mở ra một lựa chọn mới cho việc xây dựng hạ tầng mạng riêng ảo giữa các chi nhánh hoặc kết nối đa đám mây (multi-cloud). Việc dựa trên giao thức chuẩn giúp giảm phụ thuộc vào nhà cung cấp và dễ dàng tích hợp với thiết bị mạng sẵn có.
Bên cạnh đó, khả năng lấy địa chỉ IPv4/IPv6 công khai ổn định cho mọi thiết bị phía sau router – như tác giả chia sẻ khi dùng nhà mạng SFR với IPv4 động – có thể hữu ích cho những ai cần truy cập từ xa vào thiết bị trong mạng nội bộ mà không phải lo về địa chỉ IP thay đổi.
Dự án được phát hành theo giấy phép FSL-1.1-ALv2 / Apache-2.0, mã nguồn mở và có sẵn trên GitHub. Phiên bản ứng dụng cho iOS và Android được cho là sẽ ra mắt trong thời gian tới.
