Kiểm thử QUIC connection migration qua load balancer và NAT

Theo RFC 9000, QUIC tách định danh kết nối khỏi tuple IP/port truyền thống bằng Connection ID. Khi client đổi mạng hoặc NAT tạo mapping mới, endpoint có thể xác minh path mới rồi tiếp tục connection. Tuy nhiên implementation có thể vô hiệu active migration; load balancer có thể route Connection ID sai; NAT hoặc firewall có thể drop UDP; và backend không chia sẻ state.

Mục tiêu test không phải “QUIC có hỗ trợ migration” một cách chung chung. Cần chứng minh workload cụ thể giữ được stream, không lặp giao dịch ngoài semantics, không vượt interruption budget và không mở lỗ hổng path spoofing.

Dùng client có hai interface hoặc network emulator thay đổi source IP/port, đi qua NAT/firewall tới UDP load balancer và ít nhất hai backend QUIC. Thu capture ở client-side, sau NAT, trước backend; bật qlog ở endpoint nếu implementation hỗ trợ. Gắn request ID, stream ID và application sequence.

Tạo ba biến đổi riêng: chỉ đổi UDP port, đổi source IP trong cùng access network, và chuyển giữa hai đường có latency/loss khác nhau. Mỗi biến đổi phải có timestamp điều khiển để đo cửa sổ gián đoạn.

Alt: “Topology QUIC connection migration qua NAT và load balancer.”

Khóa phiên bản QUIC/HTTP/3, client/server build, retry policy, idle timeout, keepalive, Connection ID length, load-balancer routing algorithm, backend state sharing và NAT UDP timeout. Kiểm soát 0-RTT riêng; đừng để resumption che một connection cũ đã chết.

Traffic profile gồm request ngắn, download dài, upload, nhiều stream song song và stream nhạy độ trễ. Chạy baseline không migration trước, rồi chỉ thay một biến. Đồng bộ clock hoặc dùng cùng một capture timeline để tránh tính sai interruption.

KPI chính gồm migration success rate, thời gian từ packet cuối trên path cũ tới packet hợp lệ đầu tiên trên path mới, request/stream loss, duplicate application action, latency p95/p99 spike, retransmission, path-validation duration và số connection bị handshake lại.

KPI · Nguồn đo · Pass/fail gợi ý Migration success · Client log + qlog · Connection ID tiếp tục, không tạo session mới ngoài dự kiến Interruption · PCAP hai path · Dưới budget dịch vụ đã chốt Stream continuity · Application sequence · Không thiếu hoặc lặp giao dịch Backend affinity · LB/backend log · Connection tới đúng state owner Path validation · qlog/PCAP · PATHCHALLENGE/RESPONSE hợp lệ Security behavior · Negative test · Không chấp nhận path chưa xác minh

Kịch bản · Thay đổi · Kỳ vọng · Rủi ro NAT rebinding · Port nguồn · Connection tiếp tục · Mapping timeout Wi‑Fi → mobile · IP và path · Validate path mới · Latency spike Backend fail · Server state · LB xử lý theo thiết kế · CID route sai UDP bị chặn · Protocol reachability · Fallback theo app · Black hole kéo dài Reordering cao · Packet order · Không nhầm path attack · PTO/retransmit tăng Spoofed path · Địa chỉ giả · Không chuyển trước validation · Amplification/hijack

Pha 1 xác minh handshake và HTTP/3 transaction ổn định. Pha 2 thực hiện NAT rebinding ở tải thấp; kiểm tra Connection ID, PATHCHALLENGE/PATHRESPONSE và stream continuity. Pha 3 chuyển access network trong lúc có download dài và nhiều request song song.

Pha 4 thêm latency, jitter, packet loss và reordering trên path mới; giữ từng profile đủ lâu để tách transient khỏi steady state. Pha 5 tạo concurrent migrations theo bậc nhằm tìm giới hạn control/state của load balancer. Pha 6 negative test với path giả, token không hợp lệ và UDP black hole. Pha 7 soak rồi lặp sau thay đổi LB hoặc QUIC library.

Alt: “Timeline xác minh path mới trong QUIC connection migration.”

• [ ] Ghi phiên bản client, server, QUIC library và LB.
• [ ] Bật qlog/correlation ID với chính sách bảo vệ dữ liệu.
• [ ] Xác nhận NAT/firewall UDP timeout.
• [ ] Tách migration thật khỏi reconnect/resumption.
• [ ] Đo cả request ngắn và stream dài.
• [ ] Kiểm tra multi-backend affinity/state.
• [ ] Thử UDP blocked và fallback theo thiết kế ứng dụng.
• [ ] Giới hạn migration storm để bảo vệ control plane.

Kết quả từ một OS hoặc QUIC library không đại diện cho mọi client. Thiết bị di động có radio transition, power saving và captive portal làm timeline khác lab. qlog phản ánh góc nhìn endpoint; cần PCAP và log trung gian để xác định drop ở đâu.

Migration thành công không đồng nghĩa giao dịch nghiệp vụ an toàn. Ứng dụng phải định nghĩa idempotency, replay và timeout riêng. Không công bố “zero interruption” nếu sampling/timestamp không đủ phân giải.

• Connection ID: Định danh QUIC cho phép route connection độc lập với tuple IP/port.
• NAT rebinding: Mapping NAT thay đổi dù endpoint logic vẫn là một client.
• Path validation: Cơ chế chứng minh peer có thể nhận packet tại địa chỉ mới.
• PTO: Probe Timeout kích hoạt probe khi chưa nhận ACK kỳ vọng.
• qlog: Định dạng log sự kiện cho QUIC và giao thức liên quan.
• Connection migration: Chuyển đường mạng của connection đang tồn tại.