Khi mở một app VPN, bạn có thể thấy mục cài đặt "Giao thức" với những cái tên như WireGuard. Phần lớn mọi người không bao giờ đụng tới, và như vậy cũng không sao. Nhưng nếu bạn từng thắc mắc những cái tên đó nghĩa là gì, bài viết này sẽ giải thích mà không cần toán học hay thuật ngữ rắc rối.

Giao thức VPN là gì

Giao thức đơn giản là một bộ quy tắc đã được thống nhất. Thiết bị của bạn và máy chủ VPN cần thống nhất ba điều trước khi có thể trò chuyện riêng tư:

  1. Ai là ai. Mỗi bên phải chắc chắn mình đang nói chuyện với đúng đối tác, không phải kẻ mạo danh.
  2. Dùng khoá bí mật nào. Hai bên cần những khoá chung mà không ai khác biết.
  3. Đóng gói dữ liệu ra sao. Mỗi phần lưu lượng đều phải được khoá lại, dán nhãn và gửi đi theo cách mà bên kia mở ra được.

Giao thức VPN là công thức bao trọn cả ba việc đó. Mỗi công thức có cách đánh đổi riêng giữa sự đơn giản, tốc độ và hình dạng của lưu lượng khi đi trên mạng.

Mã hoá trong một đoạn văn

Mã hoá biến dữ liệu đọc được thành dữ liệu bị xáo trộn mà chỉ người có đúng khoá mới đưa về như cũ được. Hướng dẫn Surveillance Self-Defense của EFF mô tả mã hoá là cách then chốt để bảo vệ thông tin trước kẻ xấu và cả nhà cung cấp dịch vụ, đồng thời lưu ý rằng khi được dùng đúng cách, mã hoá gần như không thể bị phá. Mã hoá hiện đại còn phát hiện được việc can thiệp. Nếu ai đó sửa dù chỉ một phần rất nhỏ của tin nhắn đã mã hoá trên đường truyền, bên nhận sẽ nhận ra và bỏ tin nhắn đó đi.

Có hai loại khoá tham gia:

  • Khoá công khai và khoá riêng. Hãy hình dung một chiếc ổ khoá bạn phát thoải mái cho mọi người (khoá công khai) và chiếc chìa duy nhất mở được nó, do bạn giữ (khoá riêng). Nhờ vậy, hai người lạ có thể thiết lập một bí mật chung mà không cần gặp nhau.
  • Khoá phiên. Khi hai bên đã tin nhau, họ tạo ra những khoá tạm thời, mới tinh để dùng cho dữ liệu thật. Các khoá này dùng nhanh và được thay thường xuyên.

"Bắt tay" là gì

Bắt tay (handshake) là đoạn trao đổi ngắn lúc bắt đầu kết nối. Đây là lúc hai bên chứng minh mình là ai và thống nhất khoá phiên. Hãy tưởng tượng hai người gặp nhau ở ga tàu: họ trao nhau một câu ám hiệu đã hẹn trước, xác nhận danh tính của nhau, rồi chuyển sang một thứ ngôn ngữ riêng chỉ hai người hiểu trong suốt chuyến đi.

Một lượt bắt tay tốt phải nhanh, khó làm giả và không để lộ khoá cho bất kỳ ai đang nghe lén.

WireGuard: hiện đại và cố tình nhỏ gọn

WireGuard do Jason Donenfeld thiết kế và được mô tả trong một sách trắng (whitepaper) công khai. Ý tưởng chính là giữ mọi thứ nhỏ gọn, đơn giản, vì mã đơn giản thì dễ soát lỗi hơn. Trang web của dự án cho biết WireGuard hướng tới việc dễ cấu hình, dễ triển khai, và được thiết kế để "một cá nhân có thể tự mình rà soát toàn diện" thay vì cần cả đội lớn kiểm toán.

Nói đơn giản, đây là những điểm khiến WireGuard khác biệt:

  • Một bộ thành phần mạnh cố định. Các giao thức cũ cho mỗi bên thương lượng từ một danh sách dài các tuỳ chọn, khiến hệ thống phức tạp hơn và dễ sai sót hơn. WireGuard chỉ dùng một bộ hiện đại. Theo trang giao thức của dự án, bộ này gồm ChaCha20 và Poly1305 để mã hoá và bảo vệ dữ liệu, Curve25519 để thống nhất khoá, BLAKE2s để băm và HKDF để dẫn xuất khoá.
  • Bắt tay dựa trên Noise. Lượt bắt tay của WireGuard dựa trên Noise Protocol Framework, một cách thiết kế trao đổi khoá đã được nghiên cứu kỹ. Lượt bắt tay rất ngắn: một thông điệp từ thiết bị của bạn, một phản hồi từ máy chủ, và đường hầm đã sẵn sàng.
  • Khoá liên tục thay đổi. Tài liệu của WireGuard cho biết lượt bắt tay được lặp lại vài phút một lần để xoay vòng khoá, đảm bảo tính bí mật chuyển tiếp hoàn hảo (perfect forward secrecy). Nói theo cách đời thường: kể cả nếu sau này một khoá nào đó bị đánh cắp, nó cũng không mở được lưu lượng của các phiên trước.
  • Im lặng từ trong thiết kế. Máy chủ WireGuard không trả lời những gói tin không chứng minh được chúng đến từ một khoá đã biết. Với một công cụ dò quét trái phép, máy chủ đơn giản là không phản hồi.
  • Thích nghi tốt với thiết bị di chuyển. Nếu điện thoại của bạn chuyển từ Wi-Fi sang dữ liệu di động, WireGuard có thể duy trì đường hầm từ địa chỉ mới mà không cần kết nối lại từ đầu.

Sự kết hợp này là lý do WireGuard trở thành lựa chọn phổ biến cho các app VPN hiện đại.

TLS nằm ở đâu trong bức tranh

Bạn vốn đã dùng một giao thức quan trọng khác mỗi ngày mà không để ý: TLS, chữ "S" trong HTTPS. Khi biểu tượng ổ khoá hiện trên trình duyệt, TLS đang bảo vệ trang web đó. Phiên bản hiện tại, TLS 1.3, được định nghĩa trong RFC 8446. TLS cũng dùng một lượt bắt tay để thống nhất khoá, rồi mã hoá cuộc trao đổi.

TLS quan trọng với VPN vì một số giao thức VPN được xây dựng bên trên nó. Lưu lượng của chúng được bọc trong cùng loại kết nối mã hoá mà các trang web bảo mật thông thường vẫn dùng.

Vì sao một số mạng xử lý lưu lượng VPN theo cách khác

Mã hoá che giấu những gì bên trong gói tin, nhưng giao thức nào cũng có một hình dạng nhận ra được. Hãy nghĩ tới phong bì thư: bạn không đọc được lá thư bên trong, nhưng vẫn thấy kích cỡ, hình dáng của phong bì và nhịp các lá thư được gửi tới. Thiết bị mạng có thể quan sát những hình dạng đó, một kỹ thuật thường gọi là phân loại lưu lượng hoặc soi gói tin sâu (DPI).

Các tổ chức dùng kỹ thuật này vì nhiều lý do. Mạng công ty có thể chỉ cho phép một số loại lưu lượng nhất định. Mạng khách sạn có thể giới hạn mọi thứ nó không nhận ra. Một số nhà mạng quản lý lưu lượng theo từng loại.

Vì WireGuard có định dạng thông điệp cố định và gọn, gói tin của nó có thể dễ bị nhận ra. Đây không phải điểm yếu của phần mã hoá (vốn vẫn mạnh), nhưng nó có nghĩa là một số mạng có thể nhận diện rồi làm chậm hoặc chặn nó.

Đó là lý do một số giao thức hiện đại chú trọng cả việc lưu lượng trông như thế nào, chứ không chỉ việc nó được khoá ra sao. Có hai hướng tiếp cận chính:

  • Điều chỉnh hình dạng. Thay đổi kích cỡ gói tin hoặc thêm phần đệm để lưu lượng không khớp với một mẫu cố định, đơn giản.
  • Dùng một phong bì quen thuộc. Đưa đường hầm vào bên trong một kết nối TLS để nó giống lưu lượng web mã hoá mà hầu hết các mạng vẫn xử lý hằng ngày.

Cả hai cách đều giữ dữ liệu của bạn được mã hoá suốt chặng giữa thiết bị và máy chủ VPN. Mục tiêu của chúng là một kết nối ổn định, riêng tư. Hãy luôn tuân thủ luật pháp và quy định mạng áp dụng với bạn.

Các giao thức trong app VPNRice

VPNRice có ba giao thức, cùng chế độ Tự động:

  • WireGuard. Giao thức tiêu chuẩn được mô tả ở trên. Lựa chọn mặc định hợp lý trên hầu hết mạng gia đình và di động.
  • RiceGuard. WireGuard kèm thêm lớp làm rối lưu lượng (obfuscation) ở mức gói tin. Giao thức này giữ nguyên phần mật mã của WireGuard nhưng thay đổi hình dạng gói tin.
  • RiceGuardX. Xây dựng trên VLESS với REALITY, một giao thức dựa trên TLS, nên đường hầm được đặt bên trong một kết nối TLS.
  • Tự động. App tự chọn giao thức cho bạn và chuyển sang giao thức khác nếu kết nối không hoạt động.

Cả ba giao thức cùng chế độ Tự động đều có trên Android và Android TV. Trên iPhone và iPad, chế độ Tự động không dùng RiceGuardX. App Windows có WireGuard, RiceGuardX và Tự động. Tiện ích cho Chrome và Firefox hoạt động khác: đây là proxy trình duyệt, chỉ chuyển lưu lượng của trình duyệt qua máy chủ VPNRice (các trang bạn mở qua HTTPS vẫn được mã hoá đầu cuối).

Bạn nên chọn giao thức nào?

Với hầu hết mọi người, câu trả lời thật lòng là: cứ để Tự động. Nếu muốn thử nghiệm:

  • Dùng WireGuard khi mạng của bạn bình thường và bạn muốn một thiết lập đơn giản, dễ hiểu.
  • Nếu kết nối chập chờn trên một mạng cụ thể, chế độ Tự động sẽ thử giao thức khác; bạn cũng có thể tự chuyển.

Dù chọn giao thức nào, những điều cơ bản vẫn như nhau: mã hoá mạnh, bắt tay nhanh và khoá thay đổi đều đặn.

Những điểm chính

  • Giao thức là bộ quy tắc mà thiết bị của bạn và máy chủ VPN tuân theo để trò chuyện riêng tư.
  • Lượt bắt tay xác minh danh tính và thiết lập khoá mới.
  • WireGuard hiện đại, gọn nhẹ và dùng một bộ mật mã mạnh cố định.
  • Một số mạng nhận ra lưu lượng VPN qua hình dạng của nó, dù không đọc được nội dung.
  • Các giao thức mới hơn thay đổi hình dạng lưu lượng mà vẫn giữ nguyên mã hoá.

Muốn thấy các giao thức này hoạt động thực tế? Tải VPNRice, mở mục cài đặt Giao thức và chuyển qua lại giữa chúng để xem giao thức nào chạy tốt trên mạng của bạn.