Kill switch là gì?

“Kill switch” có nghĩa là “công tắc ngắt khẩn cấp”. Trong VPN, chức năng này ngắt kết nối Internet khi ứng dụng không còn kết nối ổn định với máy chủ, nhờ đó ngăn rò rỉ diễn ra âm thầm. Nó thường xuất hiện dưới dạng một nút bật/tắt. Nếu không có kill switch, khi đường hầm mã hóa bị gián đoạn, máy tính mặc định quay về địa chỉ IP công khai của nhà cung cấp Internet. Chỉ một khoảnh khắc cũng đủ để lộ IP thật, vị trí và những trang được truy cập lúc đó.

Kill switch tác động lên hệ thống ra sao?

Ứng dụng cài các quy tắc mạng trong hệ điều hành. Khi đường hầm hoạt động, các quy tắc cho phép lưu lượng đi qua giao diện VPN. Nếu tuyến đường biến mất, ứng dụng chặn gói tin trước khi chúng quay về kết nối thường. Cách triển khai tốt vẫn duy trì chặn trong lúc kết nối lại, khi thiết bị thức dậy và, nếu người dùng chọn, cả sau khi đóng ứng dụng.

Kill switch toàn mạng và theo ứng dụng

Chế độ toàn mạng chặn mọi lưu lượng định đi ra ngoài đường hầm và dễ kiểm tra nhất. Chế độ theo ứng dụng chỉ đóng hoặc chặn chương trình được chọn; tiện cho P2P hay làm việc từ xa nhưng có thể bỏ sót ứng dụng phụ trợ. Một số dịch vụ có chế độ thường trực, không cho truy cập Internet cho tới khi VPN kết nối.

Không chỉ là nút ngắt kết nối

Việc chủ động ngắt VPN có thể được coi là hành động được phép và một số ứng dụng sẽ bỏ chặn. Trước khi phụ thuộc vào chức năng này, cần biết nó chỉ bảo vệ khi mất kết nối ngoài ý muốn hay còn bảo vệ khi ứng dụng đóng, thiết bị khởi động lại hoặc người dùng tự ngắt đường hầm.

Vì sao kill switch không thể thiếu?

Ngay cả VPN ổn định nhất cũng có lúc gián đoạn trong thời gian rất ngắn. Kill switch bảo đảm thiết bị không bao giờ kết nối ngoài lớp bảo vệ. Người dùng P2P đặc biệt dễ bị ảnh hưởng vì lưu lượng trực tiếp tiết lộ danh tính và hoạt động. Điểm cần nhớ: kill switch không phải lúc nào cũng được bật mặc định — hãy kiểm tra phần cài đặt.

  • P2P: chỉ một kết nối ngoài đường hầm cũng có thể công bố IP thật cho các máy ngang hàng.
  • Mạng công cộng: cổng captive, đổi điểm truy cập hoặc tín hiệu yếu có thể làm phiên bị gián đoạn.
  • Làm việc từ xa: ứng dụng công việc có thể tự kết nối lại trước khi VPN được phục hồi.
  • Di chuyển: chuyển từ Wi-Fi sang 4G/5G làm thay đổi tuyến và địa chỉ cục bộ.

Kill switch hạn chế phơi lộ ngoài ý muốn. Nó không xử lý cookie, mã độc, tài khoản đang đăng nhập hay cấu hình split tunneling do người dùng chủ động đặt.

Các nguyên nhân có thể làm VPN mất kết nối

Kết nối mạng kém: đường truyền chậm hoặc không ổn định khiến đường hầm không duy trì được và kill switch tự kích hoạt. Xung đột phần mềm: tường lửa hoặc phần mềm diệt virus có thể can thiệp vào VPN; thêm VPN vào danh sách ngoại lệ thường giải quyết được. Giao thức không phù hợp: hiện nay ít gặp hơn; quay về thiết lập mặc định giúp cô lập nguyên nhân.

Đổi mạng hoặc thiết bị ngủ

Khi gập máy tính, đổi trạm phát sóng di động hoặc mất tín hiệu, các tuyến cũ không còn hợp lệ. Giao thức hỗ trợ di chuyển và kết nối lại nhanh giúp giảm thời gian gián đoạn, nhưng cơ chế chặn vẫn cần thiết.

Máy chủ quá tải hoặc bảo trì

Ứng dụng có thể thử chuyển sang máy chủ khác. Trong lúc chuyển, nó không được phép cho lưu lượng đi trực tiếp. Tự kết nối lại mà thiếu chặn sẽ tạo ra một khoảng thời gian rò rỉ.

Quy tắc xung đột

Tường lửa, phần mềm diệt virus, công cụ ảo hóa, ứng dụng container hoặc VPN thứ hai có thể cùng thay đổi các tuyến mạng. Thêm ngoại lệ mà không hiểu xung đột có thể làm yếu bảo vệ; cần kiểm tra lại sau mỗi thay đổi.

Kiểm tra kill switch hoạt động thế nào?

  1. Bật kill switch và kết nối VPN.
  2. Chạy truy vấn liên tục hoặc một lượt tải thử không chứa dữ liệu nhạy cảm.
  3. Ngắt đường hầm có kiểm soát, chẳng hạn đổi mạng hoặc dừng tiến trình ứng dụng VPN.
  4. Xác nhận kết nối dừng lại và địa chỉ IP thật không xuất hiện.
  5. Lặp lại khi thiết bị ngủ, khi khởi động lại ứng dụng và khi dùng split tunneling.

Bài kiểm tra phải bao phủ IPv4, IPv6 và DNS. Việc một trang web ngừng tải chưa đủ chứng minh tất cả ứng dụng đã bị chặn.

Cách triển khai được mô tả trong các bài đánh giá

Tên và chức năng có thể thay đổi theo phiên bản, nên cần kiểm tra ứng dụng đang cài. Các bài đánh giá của chúng tôi đề cập những cách tiếp cận sau:

  • NordVPN: chặn Internet và chế độ theo ứng dụng.
  • CyberGhost: chặn tự động tích hợp trong ứng dụng.
  • ExpressVPN: Network Lock, có quản lý quyền truy cập mạng cục bộ.
  • Proton VPN: chế độ bình thường và thường trực trên nền tảng tương thích.
  • Surfshark: chế độ linh hoạt và nghiêm ngặt tùy nền tảng.

Chúng tôi cũng đã thấy chức năng này ở Hide.me, Mullvad, Private Internet Access, PrivadoVPN, PureVPN, TunnelBear và VyprVPN. Có một nút bật không chứng minh nó hiệu quả; hành vi thực tế và nền tảng quan trọng hơn tên gọi.

Khác biệt giữa các nền tảng

Windows và Linux cho phép quy tắc mạng rất chi tiết. macOS và iOS phụ thuộc vào giao diện VPN cùng chính sách hệ thống cho phép. Android có “VPN luôn hoạt động” và tùy chọn chặn kết nối không qua VPN, giúp củng cố ứng dụng. Trên router, cơ chế chặn phải tính tới mọi thiết bị và lưu lượng cục bộ.

Chức năng có thể tồn tại trên ứng dụng máy tính nhưng không có trong tiện ích trình duyệt. Tiện ích thường chỉ bảo vệ trình duyệt và không thể thay kill switch cấp hệ thống.

Cấu hình thực tế

  • bật chặn trước khi bắt đầu hoạt động nhạy cảm;
  • quyết định có cho phép máy in, NAS hay thiết bị cục bộ tiếp tục hoạt động không;
  • kiểm tra split tunneling theo từng ứng dụng;
  • kiểm tra IPv6 và DNS, không chỉ IP hiển thị;
  • thử lại sau mỗi bản cập nhật lớn.

Có nên cấu hình kill switch không?

Kill switch cần thiết không kém mức mã hóa và không đòi hỏi thiết lập phức tạp: sau khi bật, nó chạy nền. Chỉ cần kiểm tra xung đột với phần mềm diệt virus và thêm ngoại lệ nếu thật sự cần. Điều quan trọng: phần mềm diệt virus và VPN bổ sung cho nhau — VPN không thay thế việc bảo vệ thiết bị.

Câu hỏi thường gặp

Có nên luôn bật kill switch?

Có, khi rò rỉ IP hoặc dữ liệu có thể gây hậu quả. Kill switch đôi khi bất tiện với mạng có cổng captive; trong trường hợp đó, hãy chủ động ngắt, hoàn tất đăng nhập mạng rồi kiểm tra lại.

Kill switch có ngăn mọi loại rò rỉ không?

Không. Nó giảm lưu lượng ngoài đường hầm khi VPN mất kết nối. Rò rỉ DNS, WebRTC hoặc IPv6 do cấu hình sai vẫn cần kiểm tra riêng.

Vì sao tôi không còn vào Internet?

Cơ chế chặn có thể giữ quy tắc sau khi ứng dụng đóng bất thường. Mở ứng dụng, kết nối lại hoặc chủ động tắt chức năng; đừng xóa quy tắc một cách ngẫu nhiên.

Phần mềm diệt virus và kill switch có giống nhau không?

Không. Phần mềm diệt virus tìm mối đe dọa trong tệp và tiến trình; kill switch kiểm soát tuyến mạng khi đường hầm không còn hoạt động.

Trang liên quan: đường hầm VPN, rò rỉ DNS và giao thức VPN.