Cố xây dựng startup chỉ bằng hạ tầng châu Âu, nhưng hóa ra khó hơn dự kiến

• Để đảm bảo chủ quyền dữ liệu và đơn giản hóa việc tuân thủ GDPR, tác giả đã xây dựng startup hoàn toàn trên hạ tầng châu Âu, nhưng thực tế có nhiều ma sát và ràng buộc hơn dự kiến
• Hạ tầng chính gồm Hetzner, Scaleway, Bunny.net, Nebius, Hanko..., mỗi bên phụ trách các chức năng như compute, storage, CDN, AI và xác thực
• Để tự lưu trữ, tác giả vận hành Gitea, Plausible, Twenty CRM, Infisical, Bugsink... bằng Kubernetes và Rancher nhằm giành quyền kiểm soát dữ liệu
• Những phần khó khăn nhất là dịch vụ email giao dịch, thay thế GitHub, giá TLD tên miền..., do hệ sinh thái và hỗ trợ còn kém hơn so với các dịch vụ Mỹ
• Ở một số mảng, sự phụ thuộc vào Mỹ vẫn không thể tránh khỏi, như Google Ads, chương trình nhà phát triển Apple, đăng nhập mạng xã hội, mô hình AI..., và “Made in EU” vẫn đòi hỏi một lựa chọn có ý thức

---

Bối cảnh xây dựng startup dựa trên hạ tầng châu Âu

• Mục tiêu là thoát phụ thuộc vào các hyperscaler Mỹ như AWS và đảm bảo chủ quyền dữ liệu
  • Động lực đến từ việc đơn giản hóa tuân thủ GDPR và niềm tin vào hệ sinh thái công nghệ châu Âu
  • Đồng thời cũng muốn chứng minh rằng “ở châu Âu vẫn hoàn toàn có thể làm được”
• Các công ty hạ tầng châu Âu đang cung cấp sản phẩm thực chất và dịch vụ có sức cạnh tranh

Stack công nghệ đã sử dụng

• Hetzner: hạ tầng compute cốt lõi, vận hành load balancer, VM và object storage tương thích S3
  • Có tính cạnh tranh cao về giá so với AWS và hiệu năng ổn định
• Scaleway: bù đắp các mảng mà Hetzner chưa cung cấp
  • Cung cấp tích hợp email giao dịch, container registry, bucket S3 bổ sung, giám sát, đăng ký tên miền...
• Bunny.net: công ty có trụ sở tại Slovenia, cung cấp CDN, DNS, tối ưu ảnh, WAF và chống DDoS
  • Trải nghiệm sử dụng tương tự Cloudflare, chất lượng dashboard rất tốt
• Nebius: cung cấp dịch vụ suy luận AI dựa trên GPU trong châu Âu
• Hanko: dịch vụ xác thực và quản lý danh tính của Đức, hỗ trợ passkey, đăng nhập mạng xã hội và quản lý người dùng

Môi trường tự lưu trữ

• Vận hành cụm Kubernetes với Rancher làm trung tâm
  • Tự host trực tiếp Gitea (quản lý mã nguồn), Plausible (phân tích), Twenty CRM, Infisical (quản lý bí mật), Bugsink (theo dõi lỗi)...
• Gánh nặng quản trị lớn hơn SaaS, nhưng đổi lại có thể kiểm soát vị trí dữ liệu và tránh rủi ro về giá cả hoặc bị mua lại
• Email dùng Tutanota, giám sát dùng UptimeRobot

Những phần khó hơn dự kiến

• Dịch vụ email giao dịch: so với Sendgrid, Postmark, Mailgun thì các lựa chọn châu Âu còn yếu về giá, tỷ lệ gửi thành công và trải nghiệm lập trình viên
  • Có thể dùng Scaleway TEM, nhưng còn hạn chế về template, tích hợp và hỗ trợ từ cộng đồng
• Thoát GitHub: chức năng Git của Gitea rất tốt, nhưng do thiếu hệ sinh thái như Actions, Issues, tích hợp CI/CD... nên cần tái cấu trúc lại
  • Đồng nghĩa với việc mất đi workflow và mạng lưới xã hội của GitHub
• Giá TLD tên miền: một số TLD được các nhà đăng ký châu Âu định giá đắt gấp 2~3 lần, nhưng không rõ lý do

Những yếu tố phụ thuộc vào Mỹ không thể tránh

• Google Ads, Apple Developer Program: vẫn là bắt buộc để thu hút người dùng và phân phối ứng dụng
  • Châu Âu chưa có App Store thay thế hay mạng quảng cáo nội khối đủ sức thay thế
• Đăng nhập mạng xã hội: “Sign in with Google/Apple” đã trở thành kỳ vọng của người dùng, và nếu bỏ đi thì tỷ lệ chuyển đổi sẽ giảm
  • Có thể giữ lớp xác thực ở châu Âu thông qua Hanko, nhưng luồng OAuth vẫn đi qua máy chủ Mỹ
• Mô hình AI: các mô hình mới nhất như Claude thuộc sở hữu của các công ty Mỹ (Anthropic)
  • Có thể chạy mô hình open-weight trong châu Âu, nhưng các frontier model vẫn phải phụ thuộc vào API của Mỹ

Kết luận: lựa chọn có giá trị nhưng không dễ

• Đạt được tiết kiệm chi phí và độ rõ ràng về nơi lưu trú dữ liệu so với AWS
• Tuy nhiên, việc xây dựng và duy trì đòi hỏi nhiều thời gian và công sức hơn
  • Tài liệu, cộng đồng và hệ sinh thái hỗ trợ vẫn còn tương đối mỏng
• Hệ sinh thái hạ tầng châu Âu đang tăng trưởng nhanh, nhưng vẫn đòi hỏi sự lựa chọn có ý thức và nỗ lực bổ sung
• “Made in EU” không chỉ là một khẩu hiệu, mà là một thực tế đòi hỏi quyết định kỹ thuật và vận hành

[GN⁺]

Ý kiến trên Hacker News

• Khoảng giữa năm ngoái tôi cũng đã thực hiện một chuyển đổi tương tự. Tôi vốn đã dùng Hetzner nên cứ thế mở rộng luôn. Có một lần trang instance của Hetzner gặp sự cố khoảng một ngày nên tôi tạm thời thử Openclaw trên OVH, nhưng rồi vấn đề được xử lý ngay
  Tôi đang dùng Bunny cho CDN, nhưng khá tiếc là nó không thể định tuyến lưu lượng IPv4 tới origin chỉ dùng IPv6. Cloudflare có hỗ trợ việc này
  Domain thì tôi vẫn đang dùng Porkbun. Tôi có khoảng 20 tên miền, nên nếu chuyển sang một nhà đăng ký trong EU thì chi phí sẽ khá lớn. Dù vậy, có lẽ sau này tôi vẫn sẽ chuyển. Tôi đang tối ưu việc quản lý domain bằng dot.bs
  Tôi đang chạy CI/CD bằng một instance Forgejo, nhưng việc mirror hàng trăm repo và gia hạn PAT khá phiền. Vì công việc vốn đã phải đụng vào hạ tầng rất nhiều nên ở nhà tôi muốn tự host ở mức tối thiểu. Thay vào đó, tôi cũng định sớm thử Hanko, Nebius, Scaleway

  • Tôi đã dùng Bunny, đội hỗ trợ phản hồi thực sự rất nhanh. Nhưng vì đây là một ngành cạnh tranh khốc liệt và có nhiều yêu cầu DMCA giả mạo, tài khoản của tôi cuối cùng từng bị khóa. Dùng cho dự án cá nhân thì ổn, nhưng với dịch vụ cốt lõi của doanh nghiệp thì tôi khó khuyến nghị
  • Công ty tôi cũng đang tự host repo git bằng Gitea. Nó gần như tương thích với GitHub Actions, nên việc migrate CI/CD khá dễ. Dù vậy vẫn cần quản lý cập nhật. Nhân tiện, tôi khuyên bạn nên đọc tài liệu so sánh Gitea Actions
  • Về CDN thì CDN77 cũng ổn. Họ có máy chủ trên toàn cầu và đặt nền tảng ở châu Âu (Praha), nên cũng đáng tham khảo
  • Nếu lý do chuyển domain sang EU là vì chủ quyền dữ liệu hay đơn giản hóa GDPR, thì .com vẫn nằm dưới sự kiểm soát của Mỹ nên theo tôi lợi ích thực tế không nhiều. Nhưng nếu đó là vấn đề về “nguyên tắc” thì lại là chuyện khác
  • Openprovider.eu khá rẻ nếu mua số lượng lớn, gần như ở mức giá vốn. Tuy nhiên chất lượng DNS chỉ ở mức bình thường, nên tôi chỉ khuyên dùng cho mục đích cá nhân

• Tôi đang vận hành SaaS ở châu Âu và cuối cùng cũng hội tụ về một stack tương tự. Tôi dùng OVHCloud, và nếu mua vài chiếc Mac Studio để tự vận hành thì có thể giữ được chủ quyền dữ liệu hoàn toàn
  Nếu đơn giản hóa bằng bare metal thì rẻ hơn và nhanh hơn AWS rất nhiều. Với MinIO bạn có thể dùng storage tương thích S3 miễn phí, còn Postgres chạy cục bộ mà không có độ trễ. Tôi cho rằng Managed DB là trò lừa đảo. Apple Silicon yên tĩnh và hiệu quả, nên cả CI/CD lẫn kiểm thử trình duyệt đều nhanh hơn nhiều
  Với cấu hình này, bạn có thể đạt hiệu năng tương đương gói AWS 25.000 euro/tháng chỉ với mức chi phí cỡ tiền điện

  • Tôi tò mò không biết bạn chạy trực tiếp trên macOS hay không
  • Tôi muốn hỏi bạn xử lý lỗi ổ cứng hay dự phòng như thế nào
  • Trước đây tôi cũng từng nghĩ “Managed DB là trò lừa đảo”, nhưng sau khi thực sự gặp hỏng RAID controller và sao lưu thất bại thì tôi đã đổi ý. Vì ta không thường xuyên kiểm thử khôi phục sau thảm họa, nên theo tôi một dịch vụ Managed DB đáng tin cậy rốt cuộc vẫn có lợi hơn cho việc bảo vệ dữ liệu khách hàng
  • Tôi tò mò liệu có thể suy luận phân tán với Exo.Labs hay không, và tốc độ token vào khoảng bao nhiêu
  • Tôi nghĩ chỉ khi có văn phòng vật lý và nhân sự ở từng khu vực tài phán thì mới có thể duy trì được sự độc lập thực sự

• Tôi biết bỏ “Sign in with Google/Apple” sẽ làm giảm tỷ lệ chuyển đổi, nhưng tôi không hiểu vì sao nó lại phổ biến đến vậy. Tôi luôn thích đăng nhập bằng email/passkey hơn

  • Phần lớn người dùng thích đăng nhập ít ma sát, chỉ cần vài cú nhấp là xong. Những lo lắng về trình quản lý mật khẩu hay khóa tài khoản chủ yếu là mối quan tâm của dân kỹ thuật
  • Ngoài ngành công nghệ thì đơn giản là trên hết. Chỉ với một nút “Sign up with Google” là xong, nên chẳng có lý do gì để phải nhập tay
  • Khi mua smartphone thì người dùng vốn đã có sẵn tài khoản Google hoặc Apple, nên từ góc nhìn của họ gần như không có ma sát
  • Người dùng HN lo về bảo mật hay phụ thuộc nhà cung cấp, nhưng người dùng phổ thông ưu tiên sự tiện lợi. Các cách không mật khẩu như đăng nhập bằng mã email cũng phổ biến vì lý do tương tự
  • Nếu email công ty nằm trên Google Workspace hoặc Microsoft 365, thì dù sao toàn bộ công việc cũng diễn ra trong hệ sinh thái đó, nên đăng nhập xã hội hợp lý hơn nhiều

• Tôi thấy đây là một bài viết chân thành và hay. Từ góc độ người dùng, cũng cần có nỗ lực thoát khỏi hệ sinh thái Mỹ. Tuy vậy, bản dịch tiếng Pháp của hank.parts có vẻ hơi gượng. Dùng “vous” sẽ tự nhiên hơn “tu”

  • Bản dịch tiếng Pháp được giao cho một dịch giả người Bỉ. Cảm ơn bạn vì phản hồi
  • Ngay cả khi châu Âu thay thế được SaaS của Mỹ, vấn đề phụ thuộc vào năng lượng và quốc phòng vẫn còn nguyên. Châu Âu nhập khẩu hơn một nửa năng lượng, còn Mỹ và Nga là nước xuất khẩu. Cũng có bài báo WSJ nói rằng cần 1 nghìn tỷ USD để tăng cường năng lực quốc phòng. Cuối cùng, chỉ độc lập về SaaS thôi vẫn chưa đủ để tự chủ

• Tôi đang dùng Scaleway khá hài lòng. Tôi chọn nó làm phương án thay thế sau khi Packet đổi thành Equinix Metal rồi ngừng hoạt động. Chi phí và cấu hình phần cứng khá cân bằng

  • Tôi cũng là fan của Scaleway. Sau khi Linode bị mua lại, tôi chuyển sang một nhà cung cấp của Pháp và từng có trải nghiệm không tốt với OVH. Tuy vậy, giá của một số dịch vụ hơi cao một chút
  • Tôi đã chuyển một phần khách hàng sang Scaleway, và tôi thích sự đơn giản cùng tính ổn định của nó. Chi phí cũng hợp lý

• Scaleway khiến tôi không yên tâm về mặt mã hóa và cách cô lập dữ liệu, còn OVHCloud thì chỉ ổn định khi dùng gói cao cấp hoặc cấu hình đa vùng bằng vRack. Phần lớn cloud ở châu Âu có IAM chất lượng thấp, và việc quản lý API key khá phiền. Tôi muốn có thêm phản hồi kỹ thuật

  • Scaleway có tiềm năng rất lớn để trở thành một sản phẩm tốt, nhưng họ cần một product leader có tầm nhìn
  • Tôi lại thấy hệ thống IAM của Scaleway khá cân bằng. Nó không phức tạp như GCP, cũng không đơn giản như Hetzner
  • Tôi muốn nghe cụ thể hơn về vấn đề mã hóa dữ liệu của Scaleway. Ngoài ra, tôi cũng tò mò liệu các datacenter của họ có chỉ ở gần Paris hay không, và có dự phòng địa lý không

• Tôi nghĩ Codeberg là lựa chọn tốt hơn trong EU cho một code forge lưu trữ mã nguồn. Dạo này Gitea có chút tranh cãi

  • Tôi không rõ vì sao Gitea lại gây tranh cãi
  • Tôi cũng đang tự host nhờ biết về tính tương thích của Gitea Actions, nhưng Codeberg cũng khá thú vị
  • Codeberg là chỉ dành cho mã nguồn mở, nên không phù hợp với dự án thương mại

• Tôi tò mò người Mỹ nhìn nhận thế nào về xu hướng người châu Âu rời khỏi các nền tảng Mỹ

  • Tôi nghĩ đó là một lựa chọn khôn ngoan. Chính trị Mỹ đang bất ổn nên cũng không có gì đáng ngạc nhiên
  • Ngược lại, tôi lại tích cực dùng các dịch vụ Mỹ. Càng nhiều cạnh tranh thì người tiêu dùng càng có lợi
  • Thực ra cuộc thảo luận này khá giống với câu chuyện “hãy tự vận hành trên bare metal”. Ở Mỹ cũng có lời khuyên tương tự
  • Cạnh tranh là điều tốt
  • Động thái của chính quyền Trump là điều đáng lo, nhưng việc châu Âu dùng công nghệ của chính mình là tích cực. Luật quyền riêng tư của họ cũng tốt hơn nhiều, và tôi cũng đang host một phần dữ liệu ở châu Âu

• Chúng tôi cũng đã chuyển sang châu Âu, chi phí giảm còn 1/5 và hiệu năng máy chủ tăng gấp 4. Khi chuyển sang cloud châu Âu, ngay cả cấu hình máy chủ dự phòng 3 lớp cũng không còn là gánh nặng. Đây là mức giá/hiệu năng mà ở AWS khó tưởng tượng nổi

• Tôi cũng đang chuyển toàn bộ stack SaaS sang EU. Cấu hình của tôi là Hetzner bare-metal, Talos k8s, OVH Object Storage, và GitOps dựa trên FluxCD. Tôi đang cân nhắc Bunny thay cho Cloudflare. Hetzner cung cấp tài nguyên gấp 50 lần với chi phí chỉ bằng 1/3 so với GCP.
  Tuy vậy, việc triển khai mã hóa toàn bộ đĩa (LUKS + TPM) vẫn là một bài toán còn bỏ ngỏ. Nếu ai có kinh nghiệm thì mong được chia sẻ.

  • Tôi đang thử cài đặt máy chủ mã hóa LUKS trên Hetzner. Có hướng dẫn này nhưng khá phức tạp. Thay vào đó, tutorial này đơn giản hơn. Ngoài ra còn có thể mở khóa qua SSH bằng thông báo email như bài viết này
  • Khi cài bằng ISO trên Hetzner, bạn có thể tự cấu hình LUKS trực tiếp. Cũng có thể dùng teng/clevis để mở khóa tự động có điều kiện vậy.