Thuật ngữ VPN: những từ khóa đáng biết

Một kỹ thuật của Xray khiến lưu lượng VPN trông như một kết nối TLS thật — tức HTTPS thông thường — tới một website thật, nổi tiếng, mà không cần chứng chỉ riêng. Đó là mô tả cách nó hoạt động; TUKTUKVPN không khẳng định gì về các mạng chặn VPN.

Một giao thức VPN hiện đại với mã nguồn gọn gàng, áp dụng mật mã học mới nhất, tốc độ nhanh và tiêu thụ điện thấp — là tiêu chuẩn phổ biến nhất hiện nay. Hạn chế của nó: định dạng gói tin khá đặc trưng, nên trên những mạng bị lọc nghiêm ngặt sẽ bị DPI nhận diện và chặn.

Một nhánh WireGuard được chỉnh sửa, thay đổi đặc điểm gói tin để không còn các dấu hiệu thường thấy của WireGuard, đồng thời vẫn giữ tốc độ của WireGuard. TUKTUKVPN dùng WireGuard/AmneziaWG như một trong các giao thức của mình.

Một giao thức xây dựng trên QUIC/UDP, được thiết kế để chịu được mạng mất gói hoặc độ trễ cao nhờ cơ chế kiểm soát tắc nghẽn mạnh tay — vì vậy thường cho thông lượng tốt hơn trên kết nối kém hoặc tuyến quốc tế xa.

Một proxy mã hóa mã nguồn mở ra đời tại Trung Quốc trong bối cảnh Vạn Lý Tường Lửa. Các hệ thống DPI hiện đại ngày càng nhận diện chính xác dấu hiệu lưu lượng của nó, nên Shadowsocks thuần bị phát hiện và chặn thường xuyên hơn nhiều so với trước. TUKTUKVPN dùng VLESS+Reality thay thế, với lưu lượng trông như HTTPS thông thường. Chúng tôi không khẳng định gì về các mạng chặn VPN.

Giao thức VPN mã nguồn mở lâu đời — an toàn, được thử lửa kỹ lưỡng và được hỗ trợ trên hầu như mọi thiết bị lẫn router. Cái giá đi kèm tuổi tác: mã nguồn nặng nề, thông lượng thấp hơn WireGuard rõ rệt, và kiểu lưu lượng mà DPI có thể nhận diện khá dễ dàng. TUKTUKVPN thay vào đó vận hành WireGuard/AmneziaWG, VLESS+Reality và Hysteria2. Đáng biết vì nhiều dịch vụ VPN đời cũ vẫn dùng nó làm mặc định.

Trường trong lần bắt tay TLS cho máy chủ biết bạn muốn vào website nào — được gửi dưới dạng văn bản thuần, nên bất kỳ ai trên đường truyền cũng đọc được đích đến dù phần còn lại đã mã hóa. Bên kiểm duyệt khai thác chính điều này: cắt mọi lần bắt tay có SNI ghi tên một trang bị cấm. Reality đưa ra SNI của một website thật, nên lần bắt tay của nó trông như HTTPS thông thường. Đó là mô tả thiết kế; TUKTUKVPN không khẳng định gì về các mạng chặn VPN.

Một giao thức truyền tải hiện đại chạy trên UDP thay vì TCP — do Google thiết kế, được IETF chuẩn hóa và là nền tảng của HTTP/3. Nó thiết lập kết nối nhanh hơn, phục hồi sau mất gói mượt hơn và tránh hiện tượng nghẽn đầu hàng của TCP. Hysteria2, một trong các giao thức của TUKTUKVPN, xây dựng trên QUIC — vì thế nó kết nối nhanh và trụ vững trên mạng khách sạn hay di động hay mất gói. Với người dùng VPN, QUIC là lý do tốc độ vẫn giữ được khi mạng kém.

Phiên bản HTTP mới nhất, chạy trên QUIC (UDP) thay vì TCP, và đã được các nền tảng lớn như Google và Cloudflare cung cấp. Hysteria2 chạy trên cùng lớp truyền tải QUIC, nên xử lý tốt các kết nối hay mất gói.

Hệ thống kiểm duyệt internet của Trung Quốc, kết hợp DPI, đầu độc DNS, đặt lại kết nối, cùng việc chủ động dò tìm các máy chủ khả nghi để chặn website và VPN. Được xem rộng rãi là một trong những hệ thống lọc internet tinh vi nhất thế giới.

Các kỹ thuật khiến lưu lượng VPN trông như thứ khác — HTTPS hoặc QUIC thông thường — hoặc xóa đi dấu hiệu của giao thức. Ví dụ, lưu lượng VLESS + Reality trông như HTTPS thông thường. Obfuscation mô tả lưu lượng trông thế nào; nó không bảo đảm kết nối được, và TUKTUKVPN không khẳng định gì về các mạng chặn VPN.

Một kỹ thuật kiểm duyệt — được Vạn Lý Tường Lửa của Trung Quốc dùng nổi tiếng nhất — trong đó bên kiểm duyệt không chỉ quan sát lưu lượng mà còn tự kết nối ngược tới máy chủ VPN hoặc proxy bị nghi ngờ, đóng vai một client, để xác nhận nó thực sự là gì trước khi chặn. Các giao thức cũ như Shadowsocks từng bị lộ theo cách này. Một lần dò tìm tới máy chủ Reality sẽ nhận phản hồi từ website thật mà nó mô phỏng; chúng tôi không khẳng định gì về việc giao thức nào chịu được dò tìm chủ động.

Tính năng lập tức cắt truy cập internet ngay khoảnh khắc VPN rớt kết nối, đảm bảo lưu lượng thật và IP thật không bị lộ ra ngoài đường hầm trong khoảng thời gian trống. Là lớp bảo vệ không thể thiếu với những ai cần quyền riêng tư liên tục.

Cách ngành gọi tắt lập trường lưu trữ dữ liệu của một nhà cung cấp — họ lưu gì, trong bao lâu, và tòa án có thể buộc họ giao nộp những gì. TUKTUKVPN giữ những gì dịch vụ cần để vận hành: tài khoản của bạn, lượng dữ liệu bạn đã dùng theo gói, và các thiết bị của bạn. Ở những phần luật Thái Lan yêu cầu lưu trữ, chúng tôi lưu trữ và nói rõ điều đó.

Quốc gia nơi công ty VPN đăng ký và chịu sự điều chỉnh của luật pháp — nó quyết định mức độ mà nhà nước có thể buộc công ty giao nộp hoặc lưu giữ dữ liệu người dùng. TUKTUKVPN hoạt động theo luật Thái Lan, vốn buộc nhà cung cấp dịch vụ phải lưu giữ một số dữ liệu lưu lượng; hãy cân nhắc điều đó song song với chính sách lưu trữ dữ liệu.

Là khi nhà mạng cố ý làm chậm một số loại lưu lượng nhất định — xem video trực tuyến, chơi game — thay vì toàn bộ kết nối của bạn. Muốn bóp băng thông thì trước hết phải nhận diện được loại lưu lượng; mã hóa của VPN che giấu đó là loại lưu lượng gì, nên nhà mạng không thể tách riêng nó ra để làm chậm. Nếu đo tốc độ vẫn ổn mà một ứng dụng lại ì ạch, bóp băng thông là nghi phạm hàng đầu — và cũng là thứ VPN thường đánh bại được.

Gọi thoại và video qua internet thay vì mạng điện thoại, như WhatsApp, FaceTime và Zoom. Một số quốc gia hạn chế việc này: đáng chú ý là UAE chặn nhiều ứng dụng gọi điện để bảo vệ các dịch vụ viễn thông được cấp phép. Chúng tôi không khẳng định gì về việc gọi qua VPN trên những mạng như vậy, và quy định địa phương vẫn áp dụng. Điều này quan trọng nhất với du khách và người sống ở nước ngoài dựa vào các cuộc gọi miễn phí về nhà.