Quyết định nhanh theo kiến trúc:
- nối hai địa điểm bằng phần cứng: IPsec/IKEv2;
- truy cập từ xa và thiết bị di động: IKEv2/IPsec với MOBIKE;
- mạng chặn UDP: OpenVPN TCP/443 làm phương án dự phòng;
- WireGuard®: lớp truyền tải nhanh nhưng thường cần tầng quản lý;
- PPTP: loại bỏ; L2TP/IPsec: công nghệ cũ nên thay khi có giải pháp hiện đại.
Hai kiến trúc, hai logic
Truy cập từ xa tạo đường hầm tạm thời giữa thiết bị và mạng. Giao thức phải quản lý danh tính từng người, thay đổi mạng và tích hợp MDM hoặc SSO. Kết nối giữa các địa điểm tạo đường hầm cố định giữa tường lửa hoặc bộ định tuyến; độ ổn định, khả năng tương tác giữa nhà sản xuất và hỗ trợ phần cứng trở thành ưu tiên.
IPsec, chuẩn tham chiếu cho hạ tầng doanh nghiệp
IPsec là bộ tiêu chuẩn IETF hoạt động ở lớp mạng. Nó mã hóa và xác thực gói bằng ESP, dùng IKEv2 để thương lượng khóa và vượt NAT bằng đóng gói UDP. Các cơ quan như ANSSI và NIST ưu tiên IPsec trong nhiều tình huống VPN chuyên nghiệp, từ di động tới liên kết địa điểm, nhờ độ trưởng thành và hỗ trợ trên thiết bị Cisco, Fortinet, Palo Alto, pfSense hay OPNsense.
IPsec chiếm ưu thế trong kết nối site-to-site vì được hỗ trợ sẵn trong hệ sinh thái mạng doanh nghiệp. Khả năng tương tác qua IKEv2 và ESP vẫn cần kiểm tra bộ mã hóa ở cả hai đầu.
Điểm cốt lõi: nên dùng IKEv2 để trao đổi khóa. IKEv1 đã được RFC 9395 tuyên bố lỗi thời năm 2023; cấu hình còn phụ thuộc vào nó là một khoản nợ kỹ thuật.
IKEv2, lựa chọn tự nhiên cho thiết bị di động
IKEv2 thương lượng khóa cho IPsec và quyết định hành vi phía người dùng. MOBIKE trong RFC 4555 xử lý thay đổi địa chỉ IP, giúp chuyển từ Wi-Fi sang dữ liệu di động mà không phải tái tạo hoàn toàn phiên. Sự liên tục này có thể quyết định việc người dùng giữ VPN hay thường xuyên tắt nó.
IKEv2 có sẵn trên Windows, macOS, iOS và được hỗ trợ nguyên bản trên Android hiện đại. Nó có thể triển khai không cần ứng dụng bên thứ ba, tích hợp PKI qua chứng chỉ X.509 và hỗ trợ EAP với Active Directory hoặc RADIUS.
Giới hạn: IKEv2 dùng UDP 500 và 4500. Một số khách sạn, điểm phát công cộng hoặc mạng khách hàng chặn các cổng này, vì vậy cần phương án dự phòng cho nhân viên di chuyển.
WireGuard®: truyền tải nhanh nhưng cần hoàn thiện kiến trúc
WireGuard® được tích hợp vào nhân Linux từ phiên bản 5.6. Mã nguồn nhỏ giúp dễ kiểm toán và góp phần tạo hiệu suất tốt cùng mức dùng CPU thấp. Trong doanh nghiệp, chế độ nguyên bản vẫn có giới hạn thường bị bỏ qua trong so sánh cho người dùng cá nhân.
WireGuard® dựa trên khóa công khai tĩnh được trao đổi trước. Quản lý vẫn đơn giản với vài thiết bị ổn định nhưng trở nên rủi ro khi nhân sự thay đổi và mỗi người dùng nhiều thiết bị. Nó không tích hợp sẵn PKI, danh tính tập trung hay thu hồi tự động và chỉ dùng UDP. Tailscale, NetBird hoặc Headscale bổ sung SSO, ACL và cấp phát; khi đó WireGuard® đóng vai trò lớp truyền tải trong kiến trúc được quản lý.
Nó phù hợp nhất với đội kỹ thuật có thể quản lý các peer, hạ tầng Linux và đường hầm đồng nhất. Độ phức tạp của bản nguyên gốc thường bị doanh nghiệp nhỏ đánh giá thấp. WireGuard® là nhãn hiệu đăng ký của Jason A. Donenfeld.
OpenVPN, phương án cho mạng hạn chế
OpenVPN không nhanh nhất hay đơn giản nhất nhưng có lợi thế trong môi trường mạng khó. Ở chế độ TCP/443, lưu lượng vượt qua bộ lọc đơn giản tốt hơn. Đây không phải khả năng ẩn hoàn toàn: kiểm tra gói sâu vẫn có thể nhận diện.
Với site-to-site, OpenVPN kém tự nhiên và tương tác hơn IPsec. Nó chạy trong không gian người dùng nên có thể tăng tải CPU, cần hiểu TLS và chứng chỉ, đồng thời không có sẵn trên mọi hệ điều hành. Việc triển khai qua MDM vì thế có thể nặng hơn.
“SSL VPN” là thuật ngữ dễ gây nhầm
Trong tài liệu Cisco, Palo Alto hoặc Fortinet, “SSL VPN” chỉ giải pháp dùng TLS qua ứng dụng riêng hoặc trình duyệt, đôi khi chỉ mở một số ứng dụng web. Nó không phải giao thức đường hầm có thể so trực tiếp với IPsec hay OpenVPN. Cách này hữu ích cho quyền truy cập nhẹ nhưng không thay thế kiến trúc mạng hoàn chỉnh.
PPTP và L2TP/IPsec: nên thay thế
PPTP dùng RC4 và cơ chế MS-CHAPv2 có các cuộc tấn công thực tế đã được ghi nhận từ lâu. Duy trì nó trong kiến trúc doanh nghiệp hiện đại rất khó biện minh. L2TP/IPsec với tham số hiện đại không nhất thiết bị phá vỡ, nhưng không đem lại ưu điểm so với IKEv2/IPsec và tạo thêm chi phí đóng gói. Đây là công nghệ chuyển tiếp cần di chuyển, không phải tối ưu.
Các tiêu chuẩn thực sự yêu cầu gì?
ANSSI ưu tiên IPsec cho nhu cầu chuyên nghiệp và nhạy cảm. Ngược lại, ISO 27001 không bắt buộc giao thức cụ thể mà định hướng quản lý rủi ro. Sự nhất quán giữa giao thức, khóa, xác thực, nhật ký, bảo trì an toàn và rà soát rủi ro quan trọng hơn tên sản phẩm.
WireGuard® được quản lý, kiểm toán và lập tài liệu tốt có thể nằm trong hệ thống theo ISO 27001; IPsec cấu hình yếu với bộ mã cũ và chứng chỉ không được quản lý thì không đủ. Giao thức chỉ là một thành phần, không phải bảo đảm.
Bảng lựa chọn theo tình huống
| Tình huống | Giao thức đề xuất |
|---|---|
| Kết nối địa điểm bằng phần cứng | IPsec/IKEv2 |
| Truy cập từ xa và thiết bị di động | IKEv2/IPsec với MOBIKE |
| Mạng hạn chế chặn UDP | OpenVPN TCP/443 dự phòng |
| Hạ tầng Linux phân tán có đội kỹ thuật | WireGuard® với tầng quản lý |
| PPTP hoặc L2TP hiện có | Nên di chuyển |
Câu hỏi thường gặp
ANSSI đề xuất gì? IPsec là giải pháp ưu tiên trong tài liệu chuyên môn, dùng IKEv2 thay cho IKEv1.
WireGuard® có hợp doanh nghiệp không? Có, nếu có kỹ năng hoặc tầng quản lý danh tính, ACL và thu hồi khóa.
IKEv2 có thể bị chặn không? Có, trên UDP 500/4500. OpenVPN TCP/443 là phương án dự phòng nhưng không chống được mọi kiểm tra nâng cao.
ISO 27001 có bắt buộc giao thức không? Không. Tính nhất quán của hệ thống mới là điều quan trọng.
Quyết định kiến trúc, không phải tốc độ
Đừng chọn giao thức nhanh nhất trên lý thuyết; hãy chọn loại mà kiến trúc, thiết bị, bộ lọc, hệ thống danh tính và biện pháp kiểm soát có thể duy trì. Kết nối địa điểm: IPsec/IKEv2. Thiết bị di động: IKEv2/IPsec. Mạng hạn chế: OpenVPN TCP/443 dự phòng. WireGuard® hiệu quả khi nằm trong tầng quản lý nhất quán. Xem thêm SDP so với VPN và SASE.