OpenVPN hoạt động thế nào?

Client-server và đường hầm TLS

Máy chủ lắng nghe cổng — thường 1194/UDP hoặc 443/TCP — và client mở kết nối đã xác thực. Đường hầm sau đó bọc lưu lượng IP. Xác thực thường dùng PKI: mỗi client có chứng chỉ do CA máy chủ ký. tls-auth và tls-crypt loại sớm gói sai, làm quét cổng khó hơn và giảm bề mặt.

Kênh điều khiển và dữ liệu

Kênh điều khiển dùng TLS 1.2/1.3 để xác thực và thương lượng khóa; kênh dữ liệu dùng khóa đối xứng. Cấu hình hiện đại ưu tiên AES-256-GCM hoặc ChaCha20-Poly1305. AES hưởng lợi từ AES-NI, ChaCha20 tốt trên ARM. Cần tránh Blowfish/BF-CBC, AES-CBC cũ và nén comp-lzo do VORACLE. TLS vững nhưng nặng hơn WireGuard.

UDP hay TCP?

OpenVPN trên UDP

  • độ trễ thấp;
  • không truyền lại hai lần;
  • mượt hơn cho video, thoại, game;
  • cân bằng tốt trong mạng thường.

Ứng dụng bên trong tự truyền lại nếu cần.

OpenVPN trên TCP

TCP đi qua mạng chặn UDP, cổng 443 phần nào giống web mã hóa. Điểm yếu “TCP trong TCP” khiến cả đường hầm và kết nối trong cùng xử lý mất gói, làm chờ lâu khi mạng kém. Quy tắc: UDP hằng ngày, TCP 443 dự phòng. Cổng 443 không bảo đảm ẩn trước DPI nâng cao.

Điểm mạnh năm 2026

Tương thích rộng

OpenVPN chạy trên Windows, macOS, Linux, Android, iOS, OpenWrt, pfSense, NAS và hệ nhúng, hữu ích với hạ tầng cũ.

Linh hoạt mạng

Nó đặt route theo ứng dụng/subnet, ép DNS, chạy script, tạo truy cập từ xa, site-to-site hoặc multihop. Kiểm soát sâu cũng tăng nguy cơ sai cấu hình.

Mạng hạn chế

TCP 443 vượt một số tường lửa. Lớp ngụy trang ngoài không thuộc giao thức; trên mạng DPI cần dịch vụ có obfuscation thật.

Trưởng thành và rà soát

Hơn hai thập kỷ dùng, sửa lỗi, thử nghiệm và kiểm toán tạo kinh nghiệm lớn, nhưng không xóa rủi ro cấu hình hay thư viện phụ thuộc.

Giới hạn khách quan

Hiệu năng thấp hơn

User space, TLS và nhiều lớp khiến OpenVPN thường tốn CPU, trễ và chậm hơn WireGuard trên cùng máy chủ. OpenVPN tối ưu vẫn có thể vượt WireGuard quá tải.

Tái kết nối chậm

Chuyển Wi-Fi sang 4G/5G có thể buộc dựng lại phiên, gián đoạn rõ hơn WireGuard hay IKEv2 với MOBIKE.

Cấu hình phức tạp

Cài thủ công phải quản lý chứng chỉ, khóa, tệp .ovpn, thu hồi, TLS và bộ mã. Kiểm soát sâu trở thành chi phí nếu thiếu người kỹ thuật.

Bề mặt mã lớn

Nhiều mã không tự động kém an toàn nhưng tăng phần phải bảo trì và kiểm toán.

Vị trí trong ngành

Các dịch vụ lớn giữ OpenVPN cho tương thích/dự phòng trong khi chuyển hằng ngày sang WireGuard. Nó hợp router, NAS, hệ cũ, TCP 443 khi UDP bị chặn, route/script nâng cao, site-to-site. Không phải lựa chọn đầu nếu ưu tiên pin, tái kết nối tức thì hoặc tốc độ di động.

Cách dùng an toàn

Ứng dụng nhà cung cấp

Kiểm tra TLS tối thiểu 1.2, AES-GCM hoặc ChaCha20-Poly1305, tắt nén, có kill switch và bảo vệ DNS/IPv6.

Cấu hình thủ công

Trên Linux, pfSense hay router: AEAD, tls-version-min 1.2, tls-crypt, chứng chỉ riêng và thu hồi. Tường lửa, route, DNS cũng phải đúng.

cipher AES-256-GCM
tls-version-min 1.2
tls-crypt ta.key

Kết luận

OpenVPN vẫn vững, minh bạch và thích nghi cao. Nó không còn dẫn đầu hiệu năng nhưng giữ lợi thế thiết bị cũ, TCP 443 và tùy biến. Lựa chọn đúng phụ thuộc mạng và thiết bị.

Giao thức liên quan