Mạng của bạn có “sạch” không?

Đây là câu hỏi đầu tiên nhưng hiếm khi được đặt ra. Cấu hình phổ biến dùng modem-router của nhà cung cấp Internet, nơi thường không thể cài VPN vì không truy cập được firmware. Thêm bộ định tuyến cá nhân phía sau modem tạo double NAT, tức hai thiết bị cùng thực hiện chuyển đổi địa chỉ. Duyệt web ít bị ảnh hưởng, nhưng chơi game trực tuyến có thể gặp NAT nghiêm ngặt và không vào được phòng, một số dịch vụ P2P cùng mọi hoạt động chuyển tiếp cổng cũng gặp vấn đề. Giải pháp: nối bộ định tuyến trực tiếp với đường truyền khi ONT tách rời; chuyển modem sang chế độ bridge, cách sạch nhất biến thiết bị thành modem thuần; hoặc dùng DMZ, phương án dung hòa giúp giảm nhưng không luôn loại bỏ double NAT. Phải kiểm tra trước khi đầu tư phần cứng.

VPN bảo vệ gì và không tác động gì?

VPN trên laptop hoặc điện thoại chỉ bảo vệ thiết bị đó; Smart TV, máy chơi game, NAS và thiết bị kết nối vẫn nằm ngoài nếu không có ứng dụng tương thích. VPN trên bộ định tuyến xử lý từ gốc: mọi lưu lượng từ mạng nội bộ ra Internet đi qua đường hầm. Tuy nhiên, đường hầm mã hóa lưu lượng mạng ↔ Internet, không mã hóa lưu lượng nội bộ, chẳng hạn TV truy cập NAS hay thiết bị IoT giao tiếp với cổng mạng. Đây là bản chất của VPN lớp 3: nói “toàn bộ mạng được mã hóa” là không chính xác; phần được mã hóa là lưu lượng ra Internet.

Bộ ba rò rỉ: IPv6, DNS và WebRTC

IPv6 là điểm mù phổ biến nhất. Tùy firmware và nhà cung cấp, IPv6 có thể không được định tuyến qua đường hầm dù ngày càng được triển khai rộng. Khi đó yêu cầu IPv6 đi ra bằng IP thật. Chỉ có hai cấu hình bảo vệ được: đường hầm dual-stack IPv4/IPv6 — WireGuard® hỗ trợ, OpenVPN cần cấu hình rõ — hoặc IPv6 được chặn đúng cách bằng quy tắc tường lửa. Cần kiểm tra bằng công cụ thử rò rỉ.

DNS: “tự quản lý DNS” phức tạp hơn tưởng tượng. Một số thiết bị như Smart TV, Chromecast và máy chơi game bỏ qua DNS của bộ định tuyến để hỏi máy chủ được ghi cứng; yêu cầu sẽ đi ngoài đường hầm nếu bộ định tuyến không chuyển hướng. Cách thực tế là chặn bắt rồi chuyển hướng về trình phân giải mong muốn trên cổng 53, không phải chặn thô làm thiết bị hỏng kết nối. DoH, DNS qua HTTPS trên cổng 443, không thể phân biệt với lưu lượng web nếu không kiểm tra sâu nên khó hạn chế sạch trên mạng gia đình.

WebRTC là rò rỉ ở cấp trình duyệt mà bộ định tuyến không kiểm soát; phải xử lý trên thiết bị bằng cài đặt hoặc tiện ích.

Các loại cấu hình

Bộ định tuyến cấu hình sẵn, như Aircove của ExpressVPN: dùng ngay nhưng gắn với một nhà cung cấp; nếu không gia hạn, nó vẫn là bộ phát Wi-Fi nhưng không truy cập được máy chủ và không thể thay bằng nhà cung cấp khác. Firmware thay thế như DD-WRT, OpenWrt hoặc Asuswrt-Merlin: linh hoạt nhưng kỹ thuật, và lỗi có thể làm bộ định tuyến không dùng được. Cấu hình trực tiếp trên bộ định tuyến hỗ trợ sẵn OpenVPN hoặc WireGuard®: nhập tệp của nhà cung cấp như NordVPN, Proton VPN hay Surfshark. Đây là lựa chọn dễ tiếp cận nhất để giữ quyền chọn nhà cung cấp, với điều kiện xác minh model thật sự tương thích.

Các giới hạn cần biết

CPU là nút thắt thực sự: mã hóa cần năng lực tính toán và bộ định tuyến phổ thông thường chạy thấp hơn nhiều so với tốc độ cáp quang, đặc biệt với OpenVPN vốn hiếm khi được tăng tốc phần cứng. WireGuard® thay đổi đáng kể bài toán. Kill switch không tự động: trên bộ định tuyến đã thay firmware, phải cấu hình thủ công bằng quy tắc tường lửa; nếu không, khi đường hầm rớt, mọi lưu lượng đi ra ở dạng rõ mà không báo — hãy thử ngắt máy chủ rồi kiểm tra IP. MTU hoặc overhead sai gây phân mảnh và triệu chứng dễ chẩn đoán nhầm như trang chậm, hết thời gian chờ. Một máy chủ áp dụng cho toàn mạng nếu không chia VLAN. Cuối cùng, mức hỗ trợ bộ định tuyến khác nhau giữa các nhà cung cấp — tệp cấu hình tải trực tiếp và tài liệu cập nhật là tiêu chí phải kiểm tra.

Quyết định

Nên dùng nếu cần bảo vệ thiết bị không có ứng dụng gốc, muốn bảo vệ luôn bật, chấp nhận một máy chủ cho cả mạng và mạng đơn giản hoặc biết chuyển modem sang bridge. Không nên dùng, hoặc không dùng riêng lẻ, nếu chủ yếu di động, thường đổi máy chủ hay quốc gia theo từng thiết bị, chơi game đòi độ trễ và NAT nghiêm ngặt, hoặc không quen cấu hình mạng — cấu hình sai tạo an toàn giả. Phương án phù hợp thường là kết hợp: VPN trên bộ định tuyến cho thiết bị cố định, ứng dụng gốc trên thiết bị di động. Cấu hình đúng thì vững chắc; cấu hình sai tạo cảm giác an toàn giả với rò rỉ mà công cụ cơ bản không phát hiện.