500 Tbps of capacity: 16 years of scaling our global network

Cloudflare · 2026 · 3. Quy mô lớn · Độ khó: Dễ — bài gốc

Bài hồi tưởng và quảng bá nhân mốc 500 Tbps. Phần về AI crawler chỉ tóm tắt ngắn.

Bối cảnh

2010: khởi đầu từ một văn phòng ở Palo Alto, một nhà cung cấp transit (nLayer, nay là GTT), một reverse proxy cài bằng cách đổi hai nameserver.
2026: vượt 500 Tbps năng lực kết nối ra ngoài (tổng cổng tới transit, peering, Internet exchange) ở hơn 330 thành phố, hơn 125 nước, hơn 13.000 mạng peer. Đây không phải lưu lượng đỉnh; theo Cloudflare, phần lớn năng lực còn lại là "ngân sách DDoS".

Mở rộng từng thành phố: Chicago, Ashburn, San Jose, Amsterdam, Tokyo... Mỗi nơi là hợp đồng colocation, kéo cáp, lắp rack, peering qua IX. Có tháng năm 2018 họ mở 31 thành phố trong 24 ngày.
Mạng thành lớp bảo mật: từ cache website sang bảo vệ nhân viên, thay MPLS, bảo vệ cả mạng doanh nghiệp, bằng phần mềm chạy trên chính mạng thay vì thiết bị chuyên dụng.
Chống DDoS tự động trên mọi server:
- gói tin vào NIC đi thẳng vào chuỗi chương trình XDP/eBPF; l4drop lọc theo luật;
- dosd phát hiện mẫu tấn công, áp luật cục bộ và lan ra toàn cầu trong vài giây qua Quicksilver (KV phân tán);
- sau đó gói tin mới tới Unimog (cân tải L4).
- Năm 2025 họ chặn một đợt 31,4 Tbps kéo dài 35 giây (botnet gồm nhiều Android TV nhiễm mã độc), một trong hơn 5.000 đợt hôm đó, không ai bị gọi dậy. Không chuyển traffic về trung tâm lọc; mỗi server tự nhận ra và bỏ gói ở tốc độ đường truyền.
Nền tảng developer ở mọi thành phố: đã chạy eBPF trên mọi máy thì chạy luôn code của khách: Workers, sau đó KV, Durable Objects, và năm 2025 là Containers.
Giao thức: áp dụng sớm IPv6, RPKI (bỏ route không hợp lệ chống BGP hijack); tiếp theo là ASPA (kiểm tra cả đường đi của route).

Đưa khả năng phòng vệ tới từng node (vòng điều khiển cục bộ, luật lan nhanh) thay vì gom về một trung tâm. Cùng nguyên tắc "giữ vòng điều khiển cục bộ" của Airbnb (Airbnb 2026, Hot partition và thundering herd).
Năng lực dư có chủ đích là một phần của độ tin cậy: phần lớn 500 Tbps tồn tại để hấp thụ tấn công (Độ tin cậy và multi-region).
Kiểm soát toàn bộ stack (phần cứng, mạng, phần mềm) cho phép tái dùng hạ tầng cho sản phẩm mới (Workers chạy trên chính các server chống DDoS).