An toàn trong Wi-Fi khách sạn — và vẫn kết nối với quê nhà

Nếu bạn ở trong nước dùng gói cước riêng và không bao giờ dùng Wi-Fi chung hay truy cập tài khoản nhạy cảm, VPN không quá cần thiết. Nhưng với hầu như mọi chuyến đi quốc tế có dùng Wi-Fi hoặc truy cập tài khoản từ xa, VPN nằm trong nhóm vật dụng thiết yếu ngang với bảo hiểm du lịch và bộ chuyển đổi ổ cắm.

• Bạn sẽ đăng nhập vào bất cứ tài khoản nào qua Wi-Fi khách sạn, sân bay hoặc quán cà phê: Mạng mở và mạng chung là lý do lớn nhất khiến người đi du lịch cần VPN. Bất cứ điều gì bạn nhập — mật khẩu, phiên đăng nhập ngân hàng, email — đều có thể bị người khác trên cùng mạng đó chặn lại nếu không có biện pháp phòng ngừa phù hợp. VPN mã hóa từng byte trước khi rời khỏi thiết bị, khiến việc chặn này trở nên vô nghĩa.
• Bạn muốn ngân hàng, thanh toán và ứng dụng trong nước tiếp tục hoạt động: Nhiều ngân hàng và cổng thanh toán phát hiện địa chỉ IP nước ngoài và khóa phiên đăng nhập vì nghi ngờ gian lận. VPN định tuyến kết nối qua máy chủ tại quê nhà để ngân hàng thấy một địa chỉ quen thuộc và cho phép bạn truy cập. Nếu không có VPN, bạn có thể không kiểm tra được số dư, xác nhận thanh toán bằng thẻ hoặc vượt qua yêu cầu xác thực hai lớp.
• Bạn quan tâm đến thư viện xem phim, tin tức hoặc thể thao quen thuộc: Các dịch vụ xem phim trực tuyến thay đổi nội dung theo khu vực vì lý do bản quyền. Trang tin tức và các đài thể thao cũng vậy. Kết nối VPN qua máy chủ ở quê nhà khôi phục lại thư viện mà bạn thực sự đã trả tiền, bao gồm cả những buổi phát trực tiếp bạn sẽ bỏ lỡ nếu không có nó.
• Điểm đến của bạn có môi trường mạng hạn chế: Một số mạng chặn các ứng dụng nhắn tin phổ biến, nền tảng mạng xã hội hoặc dịch vụ đám mây. VPN chất lượng có thể vượt qua chặn này vì mạng địa phương chỉ thấy lưu lượng đã mã hóa đến máy chủ VPN, không thấy bạn thực sự đang dùng dịch vụ nào.

VPN — Virtual Private Network, mạng riêng ảo — tạo ra một đường hầm mã hóa giữa thiết bị của bạn và máy chủ do nhà cung cấp VPN vận hành. Mọi thứ bạn gửi đi đều đi qua đường hầm đó trước khi đến với phần còn lại của internet. Với bất kỳ ai theo dõi mạng — hệ thống Wi-Fi khách sạn, khách khác trên cùng SSID, nhà cung cấp internet địa phương — lưu lượng của bạn trông như dữ liệu vô nghĩa đã mã hóa, chảy đến một máy chủ nào đó. Họ không thể đọc dữ liệu, không thấy bạn truy cập trang nào, không thể lấy được mật khẩu.

Máy chủ VPN đóng vai trò trung gian. Nó nhận yêu cầu đã mã hóa của bạn, giải mã, chuyển tiếp đến trang web hoặc ứng dụng bạn thực sự cần, nhận phản hồi, mã hóa lại và gửi trả về qua đường hầm đến thiết bị của bạn. Từ góc nhìn của trang web, yêu cầu đến từ vị trí của máy chủ VPN, không phải từ bạn. Đó là lý do VPN giúp bạn tiếp tục dùng ngân hàng và thư viện xem phim của mình: theo như các dịch vụ đó có thể nhận biết, bạn vẫn đang ở nhà.

Tất cả điều này diễn ra liên tục và không hiển thị. Sau khi kết nối VPN, bạn dùng điện thoại hoặc laptop y như mọi khi. Trang web tải, ứng dụng hoạt động, email gửi và nhận bình thường. Khác biệt duy nhất là mọi thứ được mã hóa trên đường truyền và vị trí thật của bạn được giấu đi.

Wi-Fi công cộng là lý do hàng đầu khiến người đi du lịch cần đến VPN, và rủi ro ở đây không phải chỉ trên lý thuyết. Sảnh khách sạn, nhà ga sân bay, sảnh ga tàu và quán cà phê đều dùng mạng mở hoặc mạng chung. Trên những mạng đó, kẻ tấn công với công cụ cơ bản có thể chen vào giữa bạn và bộ định tuyến — gọi là tấn công «người đứng giữa» — và âm thầm đọc dữ liệu đi qua. Biến thể phổ biến hơn là «song sinh giả mạo»: một điểm phát Wi-Fi giả với tên như Hotel_Guest_WiFi trông có vẻ hợp lệ nhưng thực chất do kẻ tấn công vận hành. Thiết bị của bạn tự kết nối vào tín hiệu mạnh nhất, và từ khoảnh khắc đó mọi thứ bạn gửi đi đều qua thiết bị mà bạn không kiểm soát.

Các trang web hiện đại phần lớn dùng HTTPS, mã hóa nội dung của một phiên trình duyệt. Nhưng HTTPS không bao phủ mọi thứ. Nó không bao phủ việc ứng dụng email kiểm tra thư mới chạy nền. Nó không bao phủ phần lớn siêu dữ liệu của ứng dụng nhắn tin. Nó không bao phủ các truy vấn DNS âm thầm tiết lộ mọi tên miền bạn truy cập. VPN mã hóa tất cả điều đó ở cấp thiết bị, trước khi mạng nhìn thấy. Ngay cả trong Wi-Fi bị xâm nhập, nhà mạng cũng không thu được gì có thể đọc được.

Nhóm còn lại là các dịch vụ nhạy cảm với vị trí địa lý. Trang web ngân hàng phát hiện địa chỉ IP nước ngoài và kích hoạt cơ chế chống gian lận, khóa tài khoản cho đến khi bạn gọi tổng đài hỗ trợ — điều bất tiện khi bạn đang cách xa sáu múi giờ. Các nền tảng xem phim hiển thị thư viện khác hoặc chặn hoàn toàn. Trang đặt vé máy bay và khách sạn đôi khi điều chỉnh giá dựa trên vị trí phát hiện được. Kết nối VPN qua máy chủ tại bất kỳ nước nào bạn chọn sẽ loại bỏ tất cả điều đó. Ngân hàng thấy bạn đang ở nhà. Dịch vụ xem phim trả về thư viện quen thuộc. Trang đặt vé không thể áp giá theo vị trí địa lý cho bạn.

Và trong các mạng lọc gắt gao — Wi-Fi công ty, một số mạng khách sạn, hệ thống lọc quốc gia nhất định — VPN chất lượng vượt qua trực tiếp, vì bộ lọc chỉ thấy lưu lượng đã mã hóa đến máy chủ VPN. Các dịch vụ bạn thực sự dùng vẫn ẩn khỏi bộ lọc.

• VPN không khiến bạn ẩn danh hoàn toàn: Nhà cung cấp VPN của bạn vẫn thấy địa chỉ IP thật và những trang bạn kết nối đến. Nhà cung cấp uy tín cam kết chính sách không lưu nhật ký, đã được kiểm toán bởi bên độc lập, nhưng đó vẫn là lời cam kết của họ — bạn đang tin tưởng họ. Nếu ẩn danh tuyệt đối là mục tiêu thực sự của bạn (không phổ biến với người đi du lịch thông thường), một mình VPN không đủ.
• VPN làm chậm kết nối một chút: Mã hóa tốn một phần sức xử lý, và định tuyến qua máy chủ ở xa thêm khoảng cách. Nhà cung cấp chất lượng thường «tốn» 10-30% tốc độ gốc — hầu như không nhận ra khi duyệt web và email, rõ hơn khi gọi video và tải tệp lớn. Chọn máy chủ gần vị trí thực tế của bạn để giảm thiểu ảnh hưởng.
• Một số mạng chủ động chặn VPN: Một số Wi-Fi công ty, cổng xác thực khách sạn và hệ thống lọc dùng phân tích gói sâu để nhận diện và loại bỏ lưu lượng VPN. Nhà cung cấp cao cấp đối phó bằng tính năng obfuscation, ngụy trang lưu lượng VPN thành duyệt web HTTPS bình thường. Khi kết nối thất bại, thường đổi giao thức hoặc bật obfuscation sẽ giải quyết được.
• Một số dịch vụ có thể nhận biết việc dùng VPN: Ngân hàng và dịch vụ xem phim duy trì danh sách dải IP thuộc các nhà cung cấp VPN đã biết. Một số chặn hoàn toàn các dải này; số khác vẫn cho vào nhưng đánh dấu phiên để xác minh thêm — một mã bổ sung, tạm khóa, thông báo theo dõi. Đây là cơ chế bảo mật hoạt động đúng thiết kế, không phải lỗi. Thông báo cho ngân hàng ngày đi trước khi khởi hành giúp giảm đáng kể phiền toái này.

• Cài đặt trên mọi thiết bị bạn mang theo: Điện thoại, laptop, máy tính bảng. Nhà cung cấp cao cấp cho phép năm đến mười kết nối đồng thời trên một tài khoản, nên bạn có thể bảo vệ mọi thiết bị mà không cần đổi qua đổi lại đăng nhập. Cài ứng dụng gốc thay vì tiện ích mở rộng trình duyệt — tiện ích chỉ mã hóa các thẻ trình duyệt, ứng dụng gốc mã hóa toàn bộ lưu lượng thiết bị.
• Kiểm tra với các nhu cầu thực tế: Kết nối đến máy chủ ở quê nhà và kiểm tra những gì bạn thực sự cần: ngân hàng đăng nhập được, mã xác thực hai lớp của ứng dụng ngân hàng đến đúng lúc, thư viện xem phim phát được, công cụ làm việc tải được. Sau đó thử máy chủ gần điểm đến và xác nhận tương tự. Nếu điều gì không hoạt động ở nhà, nó sẽ không hoạt động ở nước ngoài — hãy khắc phục ngay bây giờ.
• Bật kill switch: Kill switch là tính năng quan trọng nhất khi đi du lịch. Nó chặn toàn bộ lưu lượng internet nếu kết nối VPN bất ngờ ngắt — điều xảy ra khi laptop thoát chế độ ngủ, khi bạn chuyển giữa các mạng Wi-Fi, hoặc khi kết nối khách sạn không ổn định. Không có nó, thiết bị âm thầm chuyển về mạng không được bảo vệ, và ứng dụng ngân hàng có thể gửi yêu cầu với IP thật của bạn trước khi bạn kịp nhận ra.
• Xác nhận bảo vệ rò rỉ DNS: Truy vấn DNS chuyển tên miền trang web thành địa chỉ. Nếu những truy vấn đó rò rỉ ra ngoài đường hầm VPN, bất kỳ ai theo dõi mạng cũng thấy mọi tên miền bạn truy cập dù nội dung trang đã được mã hóa. Ứng dụng VPN chất lượng tự động định tuyến DNS qua đường hầm, nhưng đáng để xác nhận bằng trang kiểm tra rò rỉ DNS khi đang kết nối.
• Chuẩn bị sẵn giao thức dự phòng: Nếu giao thức mặc định không kết nối được ở điểm đến, việc biết cách chuyển đổi rất quan trọng. Phần lớn nhà cung cấp có nhiều lựa chọn — WireGuard, OpenVPN, đôi khi là chế độ obfuscation riêng. Chuyển từ WireGuard sang OpenVPN qua TCP 443 (trông giống lưu lượng web thông thường với hầu hết bộ lọc) là cách khắc phục tiêu chuẩn.

• Dùng VPN miễn phí: Nhà cung cấp VPN miễn phí cần nguồn thu, và nếu bạn không trả bằng tiền, bạn đang trả bằng dữ liệu. Nhà cung cấp miễn phí thường kiếm tiền bằng cách bán dữ liệu duyệt web cho nhà quảng cáo, chèn quảng cáo vào trang web hoặc chạy các tiến trình tốn tài nguyên trên thiết bị của bạn. Một số ứng dụng miễn phí nổi tiếng đã bị phát hiện làm cả ba việc đó. Công cụ bảo mật bạn cài để bảo vệ dữ liệu lại đang khai thác chính dữ liệu đó. Một VPN du lịch trả phí có chi phí mỗi tháng thấp hơn một ly cà phê ở sân bay.
• Không kiểm tra trước chuyến đi: Phát hiện trong chuyến đi rằng ứng dụng không cài được, gói cước đã hết hạn hoặc dịch vụ bị chặn tại điểm đến là lúc tệ nhất để nhận ra điều đó. Tải ứng dụng mới và xử lý kết nối trên mạng nước ngoài với rào cản ngôn ngữ và băng thông hạn chế khó hơn nhiều so với làm việc đó trên ghế sofa nhà bạn.
• Tắt VPN khi dùng Wi-Fi công cộng: VPN chỉ bảo vệ bạn khi thực sự được kết nối. Nhiều người bật VPN khi dùng ngân hàng nhưng duyệt web bình thường mà không bật, để lộ truy vấn DNS, lịch sử duyệt web và lưu lượng ứng dụng nền không được mã hóa riêng. Trong Wi-Fi công cộng, cách an toàn nhất là để VPN bật liên tục.
• Quên bật kill switch: VPN đang hoạt động, bạn duyệt web an toàn, rồi Wi-Fi khách sạn ngắt trong ba giây. Không có kill switch, thiết bị âm thầm kết nối lại mà không được bảo vệ, ứng dụng ngân hàng gửi yêu cầu với IP thật của bạn — và khoảng thời gian ngắn đó đủ để lộ dữ liệu. Kill switch được tạo ra chính cho tình huống này — hãy bật nó.
• Kỳ vọng ẩn danh tuyệt đối: VPN bảo vệ bạn khỏi các mối đe dọa từ mạng cục bộ và mở khóa dịch vụ bị giới hạn theo vị trí. Nó không khiến bạn tàng hình trên mạng. Nhà cung cấp VPN, các trang bạn đăng nhập (qua cookie và tài khoản) và chính thiết bị của bạn vẫn có thể nhận diện bạn. Với mục đích du lịch, mức bảo vệ đó là hơn đủ — nhưng đáng để hiểu giới hạn nằm ở đâu.

Khi bạn nhấn Kết nối, thiết bị và máy chủ VPN thực hiện một cuộc bắt tay mã hóa. Cả hai bên trao đổi khóa mã hóa bằng mật mã bất đối xứng — quá trình thiết lập một bí mật chung mà không bao giờ truyền bí mật đó qua mạng. Sau khi bắt tay hoàn tất, mọi lưu lượng sau đó được mã hóa bằng thuật toán đối xứng nhanh như AES-256 hoặc ChaCha20.

Hai giao thức bạn sẽ gặp thường xuyên nhất xử lý việc này khác nhau. WireGuard là tiêu chuẩn hiện đại: mã nguồn tối giản, dễ kiểm toán (khoảng 4.000 dòng mã, so với hàng trăm nghìn dòng ở các giao thức cũ hơn), chỉ dùng UDP và cực kỳ hiệu quả trên thiết bị di động, nơi thời lượng pin quan trọng. Hạn chế chính của nó chính là việc chỉ dùng UDP — quản trị viên mạng có thể chặn nó chỉ bằng cách loại bỏ lưu lượng không phải TCP trên các cổng bất thường.

OpenVPN là lựa chọn cũ hơn nhưng linh hoạt hơn. Nó có thể chạy qua UDP hoặc TCP, và khi cấu hình trên cổng TCP 443 — cùng cổng mà mọi trang web HTTPS sử dụng — nó trở nên rất khó để tường lửa cơ bản phân biệt với duyệt web thông thường. Điều đó khiến OpenVPN là lựa chọn tốt hơn trên mạng hạn chế, dù nó tốn một chút tốc độ so với WireGuard.

Phân tích gói sâu (DPI) là kỹ thuật mà các hệ thống lọc tiên tiến dùng để nhận diện lưu lượng VPN ngay cả trên cổng tiêu chuẩn. Mỗi giao thức có các mẫu byte đặc trưng trong tiêu đề gói tin — DPI kiểm tra những mẫu đó để nhận diện và chặn kết nối VPN. Tính năng obfuscation đối phó bằng cách ngẫu nhiên hóa tiêu đề gói tin và đệm thêm lưu lượng để khớp với hồ sơ thống kê của việc duyệt web HTTPS thông thường. Đây là một cuộc đua kỹ thuật không ngừng giữa nhà cung cấp VPN và các hệ thống cố gắng phát hiện họ.

Rò rỉ DNS xảy ra khi thiết bị gửi truy vấn tên miền ra ngoài đường hầm. Thông thường, khi bạn truy cập một trang web, thiết bị hỏi máy chủ DNS để chuyển tên miền thành địa chỉ IP. Nếu truy vấn đó đi đến máy chủ DNS của nhà cung cấp internet thay vì của VPN, nhà cung cấp — và bất kỳ ai theo dõi mạng — sẽ thấy mọi trang bạn truy cập, dù nội dung trang đã được mã hóa. Ứng dụng VPN chất lượng tự động định tuyến toàn bộ DNS qua đường hầm, nhưng trang kiểm tra rò rỉ là cách dễ dàng để xác minh.

• iPhone của tôi không phải đã làm việc này với iCloud Private Relay rồi sao?: Không hẳn. Private Relay là tính năng của Safari và Mail, không phải VPN cho toàn hệ thống — nó không mã hóa lưu lượng của ứng dụng ngân hàng, ứng dụng email nào khác ngoài Apple Mail, ứng dụng nhắn tin hay bất cứ gì ngoài Safari. Nó cũng không thay đổi quốc gia hiển thị đủ để thỏa mãn ngân hàng hay mở khóa thư viện xem phim trong nước. Private Relay là tiện ích bổ sung đáng giá; không thể thay thế VPN du lịch.
• Netflix và các dịch vụ xem phim khác có còn hoạt động không?: Phần lớn là có, đôi khi không ổn định. Dịch vụ xem phim duy trì danh sách chặn địa chỉ IP thuộc các nhà cung cấp VPN đã biết, nên một máy chủ cụ thể có thể bị chặn trong khi máy chủ khác cùng nước vẫn hoạt động tốt. Cách khắc phục tiêu chuẩn là đổi sang máy chủ khác ở quê nhà cho đến khi một máy chủ kết nối được. Nhà cung cấp cao cấp thường xuyên đổi IP — đó là một phần của những gì bạn đang trả tiền.
• Tôi có cần VPN nếu chỉ dùng dữ liệu di động của điện thoại không?: Dữ liệu di động an toàn hơn đáng kể so với Wi-Fi mở — kết nối giữa điện thoại và trạm phát sóng đã được mã hóa sẵn, nên các cuộc tấn công «người đứng giữa» và «song sinh giả mạo» không áp dụng được. Nhưng dữ liệu di động không giải quyết được vấn đề chặn theo vị trí (ngân hàng vẫn thấy IP nước ngoài, thư viện xem phim vẫn thay đổi) và không thay đổi việc nhà mạng chuyển vùng hoặc nhà mạng địa phương vẫn thấy bạn kết nối đến trang nào. Lý do dùng VPN yếu hơn với dữ liệu di động so với Wi-Fi khách sạn, nhưng không phải là không có.
• Có nên để VPN bật liên tục khi ở nước ngoài không?: Trong Wi-Fi công cộng hoặc chung, có — hãy giữ VPN chạy liên tục. Với gói cước di động riêng, điều này ít cấp thiết hơn nhưng vẫn tăng thêm quyền riêng tư và ngăn ngân hàng, dịch vụ xem phim «chuyển bạn ra ngoài». Đánh đổi là giảm nhẹ tốc độ và tốn thêm pin. Nhiều người đi du lịch dày dạn để VPN bật mặc định và chỉ ngắt kết nối cho những tác vụ cụ thể cần IP địa phương, như ứng dụng bản đồ không hoạt động qua VPN.
• VPN có làm hao pin điện thoại không?: Có phần nào. Mã hóa dùng sức xử lý, sức xử lý dùng pin. Trên điện thoại đời mới với giao thức hiệu quả như WireGuard, ảnh hưởng khoảng 5-15% tiêu hao thêm trong cả ngày — nhận thấy được nhưng không nghiêm trọng. Nếu pin quan trọng trong một ngày cụ thể, hãy bật VPN khi dùng Wi-Fi hoặc truy cập dịch vụ nhạy cảm và tắt khi dùng dữ liệu di động lúc bạn yên tâm về kết nối.