IPv4 và IPv6: khác biệt kỹ thuật, tương thích và quyền riêng tư

Cấu trúc và địa chỉ

IPv4 dùng địa chỉ 32 bit ở dạng thập phân ngăn bằng dấu chấm, như 192.168.1.1, tạo khoảng 4,3 tỷ địa chỉ; con số từng được xem là dư dả vào đầu thập niên 1980 (RFC 791). IPv6 dùng 128 bit ở dạng thập lục phân, cung cấp khoảng 340 tỷ tỷ tỷ tỷ tỷ tỷ địa chỉ theo cách gọi quy mô trong bài gốc (RFC 8200). Khi địa chỉ IPv4 cạn dần, NAT cho phép nhiều thiết bị dùng chung một IP công cộng. IPv6 không cần cơ chế này: mỗi thiết bị có thể nhận một địa chỉ công cộng riêng, làm thay đổi cách định tuyến, lọc và phơi lộ thiết bị. Khả năng theo dõi tăng lên không xuất phát từ bản thân giao thức, mà từ cách dùng địa chỉ khi thiếu đường hầm và bộ lọc thích hợp.

Hai giao thức và cách chọn tuyến

Trên mạng chạy đồng thời hai giao thức, hệ thống có cả IPv4 lẫn IPv6. Trình duyệt và hệ điều hành thử các tuyến rồi thường ưu tiên tuyến phản hồi tốt hơn. Vì vậy, kiểm tra riêng IPv4 chưa chứng minh toàn bộ lưu lượng được bảo vệ.

NAT không phải tường lửa

NAT có thể che cấu trúc mạng nội bộ như một hệ quả thực tế, nhưng mục đích chính là chuyển đổi địa chỉ. Với IPv6, tường lửa có theo dõi trạng thái vẫn chặn được các kết nối đến ngoài ý muốn mà không cần bỏ cách đánh địa chỉ toàn cầu.

IPv6 và quyền riêng tư: đừng nhầm lẫn

Đôi khi IPv6 được quảng bá là bảo vệ quyền riêng tư tốt hơn nhờ Privacy Extensions (RFC 4941), cơ chế tạo địa chỉ tạm thời phía người dùng. Trên thực tế, chúng hạn chế một số kiểu theo dõi tại mạng cục bộ nhưng không ngăn được việc liên kết lưu lượng trên mạng: nhà mạng, điểm trung chuyển và dịch vụ đích vẫn có thể quan sát, liên hệ các luồng IPv6. IPv6 giúp quản lý địa chỉ quy mô lớn; bản thân nó không bảo vệ quyền riêng tư. Điều đó còn phụ thuộc cách lưu lượng được định tuyến, lọc và mã hóa, kể cả việc VPN có được cấu hình đúng hay không.

Địa chỉ tạm thời

Các tiện ích quyền riêng tư tạo mã định danh tạm thời cho kết nối đi. Chúng hạn chế theo dõi cùng một thiết bị qua phần cuối địa chỉ, nhưng tiền tố mạng, thời điểm và các mã định danh khác vẫn có thể bị dùng để liên kết hoạt động.

DNS và siêu dữ liệu

Ngay cả khi nội dung đi qua HTTPS, nhà mạng vẫn có thể thấy địa chỉ đích và kiểu lưu lượng. DNS mã hóa thay đổi bên nào nhìn thấy truy vấn, nhưng không làm phần còn lại của kết nối biến mất. Quyền riêng tư cần nhiều lớp bảo vệ.

IPv6 và VPN: rủi ro rò rỉ âm thầm

Nhiều VPN, kể cả dịch vụ trả phí, xử lý IPv6 không nhất quán. Trên mạng hai giao thức, nếu ứng dụng chỉ đưa IPv4 vào đường hầm, lưu lượng IPv6 vẫn đi trực tiếp qua kết nối tại chỗ. Khi trang hỗ trợ IPv6, hệ thống có thể tự ưu tiên giao thức này: IP IPv6 thật bị lộ mà không có cảnh báo. VPN vẫn hiển thị đang hoạt động và đã che IPv4, nhưng IPv6 rò rỉ âm thầm. Cách triển khai đúng gồm một trong ba phương án: đưa toàn bộ IPv6 qua đường hầm; chặn rõ ràng mọi IPv6 bên ngoài đường hầm; hoặc quản lý nhất quán IPv4, IPv6, DNS và kill switch. Người dùng chỉ cần kiểm tra nguyên tắc: không có lưu lượng IPv6 đi ngoài đường hầm. Hãy thử riêng địa chỉ IPv4 và IPv6 khi VPN bật; nếu thấy IPv6 thật, đó là dấu hiệu rò rỉ. Xem thêm rò rỉ DNS khi dùng VPN.

Ba cách xử lý đúng

• Đường hầm IPv6 gốc: cấp địa chỉ từ nhà cung cấp và định tuyến toàn bộ lưu lượng IPv6.
• Chặn rõ ràng: ngăn IPv6 khi VPN hoạt động nếu dịch vụ không thể truyền giao thức này.
• Hai giao thức đầy đủ: áp dụng cùng quy tắc DNS, tuyến và kill switch cho cả hai.

Kiểm tra từng bước

1. Ghi lại IPv4, IPv6 và DNS khi chưa bật VPN.
2. Kết nối máy chủ rồi kiểm tra lại.
3. Nếu IPv6 thật xuất hiện, đã có rò rỉ dù IPv4 thay đổi.
4. Ngắt đường hầm để kiểm tra kill switch.
5. Lặp lại khi chuyển từ Wi-Fi sang mạng di động.

Không thấy địa chỉ IPv6 có thể là do VPN chặn đúng, nhưng cũng có thể mạng không hỗ trợ IPv6. Tài liệu của hãng cần giải thích họ dùng cách nào.

IP tĩnh riêng: vì sao IPv4 vẫn phổ biến

Các gói IP tĩnh riêng hầu như đều dựa vào IPv4. Đây là lựa chọn thực tế: IPv4 dễ cấp địa chỉ ổn định cho truy cập từ xa và các dịch vụ công khai, dễ kiểm tra từ phía khách hàng, tương thích rộng với tường lửa, danh sách cho phép và hạ tầng sẵn có, đồng thời hỗ trợ DNS ngược thường cần trong doanh nghiệp. IP IPv6 riêng hiếm gặp trong hệ sinh thái VPN vì nhu cầu thấp và việc vận hành phức tạp hơn, chứ không phải do thiếu địa chỉ. Với quản trị từ xa, truy cập an toàn và lọc mạng, một IPv4 tĩnh được bảo vệ đúng vẫn dễ dự đoán và quản lý.

Tại doanh nghiệp, quy tắc cũ, danh sách cho phép và thiết bị đời trước duy trì nhu cầu IPv4. IPv6 có thể cấp cả tiền tố mạng, nhưng nhà cung cấp, ứng dụng và hệ thống kiểm soát phải thống nhất cách vận hành.

Có nên tắt IPv6?

Có, nếu VPN của bạn không xử lý IPv6 an toàn: để giao thức hoạt động có thể làm lộ IP thật và truy vấn DNS; tắt nó thường không ảnh hưởng lớn đến việc duyệt web thông thường. Không nên tắt nếu mạng của bạn thực sự cần IPv6 và VPN xử lý đúng, hoặc trong môi trường doanh nghiệp, điện toán đám mây có quy định riêng. Có thể chỉnh trong thuộc tính bộ điều hợp trên Windows, thiết lập mạng nâng cao trên macOS hay thông số sysctl trên Linux. Tuy nhiên, ưu tiên VPN có cơ chế chống rò rỉ IPv6 thật sự, gồm kill switch phù hợp, để giảm lỗi cấu hình và giữ tương thích. Xem địa chỉ IP là gì và cách ẩn địa chỉ IP.

Khi nào không nên tắt?

Một số mạng di động, dịch vụ đám mây và môi trường doanh nghiệp cần IPv6. Tắt đi có thể che triệu chứng mà không sửa lỗi VPN. Khi có thể, hãy dùng dịch vụ đưa IPv6 vào đường hầm hoặc chặn giao thức này có kiểm soát.

Kiểm tra theo hệ điều hành

• Windows: xem thuộc tính bộ điều hợp và bảng định tuyến, không xóa thành phần hệ thống.
• macOS: kiểm tra TCP/IP của giao diện mạng và hành vi khi đổi mạng.
• Linux: kiểm tra địa chỉ, tuyến và tường lửa; mọi thay đổi bằng sysctl cần được ghi chép và có thể hoàn tác.
• Android và iOS: ứng dụng VPN phải kiểm soát cách xử lý; người dùng ít có quyền chỉnh tuyến trực tiếp.

Câu hỏi thường gặp

IPv6 có nhanh hơn không?

IPv6 có thể tránh NAT và có tuyến tốt hơn, nhưng trong sử dụng hằng ngày, khác biệt thường phụ thuộc nhà mạng, kết nối ngang hàng và máy chủ nhiều hơn phiên bản giao thức.

IPv6 có kém an toàn hơn không?

Không phải do thiết kế. IPv6 thay đổi cách đánh địa chỉ và đòi hỏi tường lửa đúng. Rủi ro xuất hiện khi mạng hoặc VPN không đưa IPv6 vào quy tắc bảo vệ.

Làm sao biết mình đang dùng phiên bản nào?

Kiểm tra kết nối sẽ cho thấy các địa chỉ hiện có. Trên mạng hai giao thức, cả hai có thể được dùng tùy đích truy cập.

VPN nào cũng bảo vệ IPv6?

Không. Có dịch vụ đưa IPv6 vào đường hầm, có dịch vụ chặn, có dịch vụ để rò rỉ. Phép thử phải xét IPv4, IPv6 và DNS.

Tài liệu kỹ thuật

Bài so sánh dựa trên định nghĩa IPv4 trong RFC 791, IPv6 trong RFC 8200 và các tiện ích quyền riêng tư. Không thể đánh giá VPN chỉ từ quảng cáo: cần kiểm tra tuyến mạng thực tế.

Tóm tắt

Hiểu IPv4 và IPv6 là điều kiện để cấu hình VPN mà không bỏ sót một lỗ hổng khó thấy. IPv6 tự nó không bảo vệ quyền riêng tư; xử lý sai còn gây rò rỉ âm thầm. Giải pháp tin cậy là chọn dịch vụ thực sự đưa IPv6 qua đường hầm hoặc chặn có kiểm soát.