Cách hoạt động bên trong

Khi bật VPN, ba thao tác diễn ra liên tiếp. Chặn lưu lượng: giao diện ảo như tun/tap hoặc wg0 bắt gói tin trước khi chúng rời thiết bị. Đóng gói: gói được đặt trong một lớp vỏ do giao thức quy định — WireGuard, OpenVPN hoặc IKEv2/IPsec — cùng header phục vụ vận chuyển, định tuyến và mã hóa. Mã hóa và truyền: toàn bộ được mã hóa rồi gửi tới máy chủ; máy chủ giải mã và chuyển tiếp đến đích. Website thấy IP máy chủ VPN. Đường hầm chỉ tồn tại tới điểm thoát; sau đó lưu lượng trở lại Internet thông thường, thường vẫn được HTTPS bảo vệ.

Đóng gói, MTU và overhead

Mỗi giao thức thêm dữ liệu phụ: khoảng 32 byte với WireGuard, 40–80 byte với OpenVPN và 50–60 byte với IPsec/IKEv2 tùy cấu hình. Nếu overhead làm gói vượt MTU phổ biến 1.500 byte, gói phải phân mảnh. Phân mảnh tăng nguy cơ mất dữ liệu, độ trễ và dao động tốc độ vì gói chỉ dùng được khi mọi mảnh đã tới. Giao thức và ứng dụng hiện đại vì vậy hạ MTU của tunnel. Overhead thấp của WireGuard góp phần làm nó hiệu quả.

Ba mô hình đường hầm

  • Full tunnel: trình duyệt, DNS, ứng dụng và cập nhật đều qua VPN. Bảo vệ dễ hiểu, nhưng NAS, máy in hoặc dịch vụ nội bộ có thể khó truy cập.
  • Split tunneling: chỉ ứng dụng hay đích nhất định đi qua VPN. Hiệu năng và truy cập nội bộ được giữ lại, nhưng một rule định tuyến hoặc DNS sai có thể tạo rò rỉ âm thầm.
  • Strict tunnel với kill switch: không cho lưu lượng được bảo vệ đi ra ngoài tunnel. Internet bị cắt nếu VPN rớt, mang lại chống rò rỉ nghiêm ngặt nhất.

Điều làm đường hầm thực sự đáng tin

Duy trì phiên: WireGuard có thể gửi keepalive, OpenVPN ping máy chủ, còn IKEv2/IPsec dùng DPD và MOBIKE để phát hiện gián đoạn. Đổi mạng: WireGuard roaming nhanh, IKEv2 nối lại qua MOBIKE, trong khi OpenVPN đôi khi phải thương lượng lại. Ngăn rò rỉ: rò rỉ DNS lộ tên miền truy vấn; rò rỉ IPv6 xảy ra khi chỉ IPv4 vào tunnel; WebRTC có thể làm lộ địa chỉ qua trình duyệt.

Giao thức quyết định đường hầm

Đường hầm không thể tốt hơn giao thức tạo ra nó. Giao thức quyết định cách đóng gói, mô hình mật mã, hành vi khi di chuyển và khả năng chống rò rỉ. Vì vậy chọn trong tổng quan giao thức là chọn đặc tính tunnel, không chỉ chọn một cái tên trong menu.

Áp dụng thực tế

Full tunnel phù hợp với đa số người dùng. Split tunneling có thể giữ một dịch vụ Việt Nam nhạy với vị trí, máy in cục bộ hoặc tốc độ kết nối trực tiếp, nhưng rule phải rõ ràng. Để kiểm tra, hãy thử IP hiển thị, DNS resolver, IPv6 và phản ứng khi VPN mất kết nối hoặc chuyển Wi-Fi sang 4G/5G.

Kết luận

Đường hầm VPN là một giao diện mạng thật. Độ vững của nó được đo bằng sự ổn định phiên, khả năng chịu đổi mạng và ngăn rò rỉ. Hiểu cơ chế này giúp đánh giá dịch vụ bằng hành vi quan sát được thay vì lời quảng cáo. Xem thêm độ tin cậy của VPN.