Hệ thống Reverse Proxy

Các hướng dẫn này khá dài dòng. ACE chịu khó đọc để hiểu và làm từng bước nhé. Lần sau có thể vào trực tiếp phần mình cần.

Loạt bài viết này được soạn dựa trên mô hình thực tế như sau:

BÀI TOÁN ĐẶT RA

Thiết kế và triển khai Reverse Proxy cho hệ thống nhiều backend, có dự phòng

1. Mô hình hạ tầng tổng thể

Hệ thống được thiết kế theo mô hình ba lớp:

Modem/Router (Internet Gateway)
→ Reverse Proxy Server
→ Các máy chủ Backend (QMS, AI, và các máy chủ web khác)

Trong đó:

• Reverse Proxy là điểm duy nhất được NAT port 80/443 từ Internet.

• Các máy chủ backend hoạt động trong mạng riêng (private network).

2. Thông tin kỹ thuật hệ thống

Reverse Proxy Server

• Hệ điều hành: Debian 12

• IP nội bộ: 192.168.1.88

• NAT port: 80, 443 từ modem/router

• Phần cứng:

  • CPU: Intel Core i3-1215U

  • RAM: 8 GB

  • Storage: 128 GB NVMe SSD

  • Network: 6 cổng LAN 2.5 Gbps

Các máy chủ Backend chính

• QMS Server (máy chủ chính)

  • IP: 10.10.10.66

  • Vai trò: chạy toàn bộ hệ thống web và web application chính

• AI Server (máy chủ dự phòng)

  • IP: 10.10.10.88

  • Vai trò:

    • Dự phòng cho QMS khi xảy ra sự cố

    • Chạy mô hình AI khi cần (không thường xuyên)

Cấu hình phần cứng backend

• Máy chủ 1:

  • Dell T7812

  • Dual Xeon E5-2696 v4

  • RAM: 256 GB

  • Lưu trữ:

    • SSD 1 TB RAID 1

    • HDD 2 × 12 TB RAID 1

    • 1 HDD 12 TB độc lập

• Máy chủ 2:

  • SuperMicro GPU 7049GP-TR

  • Dual Xeon Platinum 8272CL (52 Core / 104 Threads)

  • RAM: 256 GB

  • Storage:

    • 2 TB NVMe SSD

    • 2 × 12 TB HDD RAID 1

  • NIC: 2 cổng 2.5 Gbps

  • GPU: RTX 5060 Ti 16 GB

3. Yêu cầu và ràng buộc kỹ thuật

Bài toán đặt ra cần giải quyết các yêu cầu sau:

1. Tách lớp rõ ràng

   • Internet chỉ truy cập Reverse Proxy.

   • Backend không expose trực tiếp ra Internet.

2. Quản lý tập trung hàng trăm website và web app

   • Một Reverse Proxy phục vụ nhiều domain, subdomain.

   • Dễ dàng thêm/bớt website mà không ảnh hưởng hệ thống chung.

3. HTTPS và bảo mật

   • Bắt buộc HTTPS cho toàn bộ website.

   • Hỗ trợ tích hợp Cloudflare khi cần.

4. Hiệu năng cao trong mạng nội bộ

   • Tối ưu kết nối LAN 2.5 Gbps giữa proxy và backend.

   • Không để traffic nội bộ vòng ra Internet.

5. Dự phòng và khôi phục nhanh

   • Cho phép chuyển backend từ QMS (10.10.10.66) sang AI (10.10.10.88) bằng thao tác cấu hình đơn giản.

   • Không phụ thuộc vào các giải pháp HA phức tạp, khó kiểm soát.

6. Vận hành thực tế, không phức tạp hóa

   • Ưu tiên cấu hình rõ ràng, dễ đọc, dễ sửa.

   • Phù hợp môi trường bệnh viện và đơn vị nhà nước, nơi yêu cầu tính ổn định và khả năng tự vận hành cao.