Không giao thức nào tốt nhất trong mọi tình huống. WireGuard® ưu tiên sự gọn nhẹ và tốc độ; OpenVPN rất linh hoạt; IKEv2 đặc biệt hiệu quả khi điện thoại chuyển giữa Wi-Fi và 4G/5G. Lựa chọn phải dựa trên thiết bị, mạng và mối đe dọa cần xử lý.
Vì sao giao thức quan trọng?
Ứng dụng đẹp và chính sách rõ không bù được đường hầm yếu về kỹ thuật. Giao thức quyết định:
- mật mã và cơ chế xác thực;
- hiệu năng — độ trễ, thông lượng, ổn định, CPU và pin;
- khả năng bị nhận diện trước DPI, chặn mạng và kiểm duyệt.
Các giao thức chính
OpenVPN
OpenVPN, mã nguồn mở từ năm 2001, dùng TLS để thương lượng đường hầm và các bộ mã hiện đại như AES-GCM hoặc ChaCha20 cho kênh dữ liệu. Cấu hình đúng có PFS. Nó chạy UDP để nhanh hoặc TCP, kể cả cổng 443, và hỗ trợ lớp ngụy trang: hữu ích trong mạng doanh nghiệp hoặc lọc mạnh. Tuy nhiên mã nguồn, thư viện phụ thuộc và việc chạy trong user space khiến nó nặng, khó kiểm toán toàn bộ hơn WireGuard.
WireGuard®
WireGuard® dựa trên Noise Protocol Framework, khoảng 4.000 dòng mã trong triển khai chính và bộ thuật toán cố định gồm ChaCha20-Poly1305, Curve25519, BLAKE2s. Được tích hợp vào kernel Linux từ 2020, nó kết nối nhanh, tốn ít tài nguyên và chuyển mạng tốt. Giao thức dùng UDP, không tự ngụy trang và tạm liên kết khóa công khai với IP nội bộ, điểm kết nối. Nhà cung cấp phải chỉ giữ trạng thái cần thiết, luân chuyển phù hợp và tránh tương quan lâu dài.
Kernel là phần lõi quản lý bộ nhớ, tiến trình và phần cứng. Chạy gần kernel giảm sao chép dữ liệu và chi phí xử lý nhưng đòi hỏi triển khai cẩn thận.
IKEv2
IKEv2 thương lượng khóa, còn IPsec mã hóa lưu lượng. MOBIKE giữ phiên khi điện thoại đổi địa chỉ hoặc giao diện, phù hợp người dùng Việt Nam thường chuyển Wi-Fi, 4G và 5G. Nhưng UDP 500/4500 dễ nhận diện, dễ chặn và một số triển khai đóng mã nguồn.
IPsec
IPsec là họ cơ chế ở lớp mạng chứ không phải một giao thức duy nhất. ESP bảo vệ dữ liệu, IKE thương lượng khóa; chế độ tunnel bọc cả gói, chế độ transport chỉ bảo vệ phần tải. IPsec là nền cho IKEv2 và L2TP/IPsec. Nhiều tùy chọn cũng tạo nguy cơ cấu hình sai và bảo trì nặng.
SoftEther
SoftEther, nền tảng đa giao thức mã nguồn mở từ Đại học Tsukuba, có thể vận chuyển trong HTTPS và tương thích OpenVPN, L2TP/IPsec hoặc SSTP. Tính linh hoạt hỗ trợ một số mạng bị lọc nhưng cấu hình phức tạp, ít phổ biến ở VPN tiêu dùng.
Shadowsocks
Shadowsocks là proxy SOCKS5 mã hóa để chống kiểm duyệt chủ động. Nó bảo vệ ứng dụng được cấu hình, không nhất thiết tạo đường hầm IP toàn hệ thống. Bản hiện đại dùng mã hóa xác thực nhưng máy chủ vẫn thấy siêu dữ liệu. Đây không phải VPN đầy đủ hay công cụ ẩn danh.
QUIC
QUIC là giao thức vận chuyển, không phải VPN. Dịch vụ có thể đặt nó dưới đường hầm để tái kết nối nhanh hoặc làm lưu lượng giống HTTP/3 hơn. Một mình QUIC không che IP và không tạo đường hầm; “VPN QUIC” thường ghép giao thức VPN thật với lớp vận chuyển này.
PPTP: đã lỗi thời và cần tránh
PPTP từng có sẵn trên nhiều hệ thống, nhưng MS-CHAPv2 có thể bị phá với nguồn lực phổ thông, RC4 không còn an toàn, thiếu PFS và có tấn công thực tế từ lâu. Đây là lỗi thiết kế, không phải một cấu hình riêng lẻ. Không nên dùng PPTP cho dữ liệu nhạy cảm; dịch vụ vẫn coi nó là lựa chọn chính là dấu hiệu xấu.
So sánh kỹ thuật
| Giao thức | Bảo mật | Hiệu năng | Di chuyển | Kháng chặn | Nhu cầu phù hợp |
|---|---|---|---|---|---|
| OpenVPN | TLS, mã nguồn mở, kiểm toán | Tốt | Phải kết nối lại | Rất tốt với TCP 443 và ngụy trang | Mạng khó, tương thích, kiểm soát |
| WireGuard® | ChaCha20-Poly1305, mã nguồn gọn | Rất tốt | Kết nối lại nhanh | Thấp nếu không có lớp ngoài | Dùng hằng ngày, tốc độ, hiệu quả |
| IKEv2/IPsec | AES-GCM, PFS, IPsec | Tốt | Rất tốt với MOBIKE | Trung bình hoặc thấp nếu cổng bị chặn | Di động, đổi mạng thường xuyên |
Xem thêm OpenVPN so với WireGuard và IKEv2 so với OpenVPN.
Các yếu tố bao quanh giao thức
Giao thức không hoạt động riêng lẻ. Bộ mã, cấu hình máy chủ, thương lượng, quản lý khóa, route, DNS, IPv6 và kill switch quyết định kết quả. Kiến trúc tốt vẫn có thể bị ứng dụng rò rỉ làm mất tác dụng.
Đọc tiếp về tốc độ giao thức VPN, rò rỉ DNS và cấu trúc đường hầm VPN.