VPN IPsec là gì? Cách hoạt động, IPsec so với SSL VPN và khi nào nên sử dụng

IPsec là một trong những thuật ngữ thường xuyên xuất hiện trong tài liệu mạng và phần cài đặt bộ định tuyến, nhưng hiếm khi được giải thích bằng ngôn ngữ dễ hiểu. Nếu bạn từng tự hỏi VPN IPsec là gì khi thiết lập kết nối doanh nghiệp hoặc so sánh các giao thức VPN, câu trả lời ngắn gọn là: IPsec không phải là một dịch vụ VPN — đó là một bộ giao thức mà VPN sử dụng để mã hóa và xác thực lưu lượng ở cấp mạng, hoạt động bên dưới ứng dụng hoặc ứng dụng khách mà bạn đang dùng.

Sự khác biệt giữa IPsec và VPN quan trọng hơn bạn nghĩ. VPN là khái niệm rộng hơn về kết nối riêng tư, được mã hóa qua mạng công cộng. IPsec là một cách cụ thể, được sử dụng rộng rãi để tạo kết nối đó, bên cạnh các lựa chọn như VPN dựa trên SSL/TLS hoặc những giao thức mới hơn như WireGuard.

Các nhà cung cấp hiện đại như Guru VPN hỗ trợ kết nối dựa trên IPsec bên cạnh các giao thức hiện đại nhanh hơn, để bạn có thể chọn phương án phù hợp nhất với thiết bị và mạng của mình. Hướng dẫn này giải thích cách đường hầm VPN IPsec thực sự hoạt động, cách so sánh với SSL VPN và khi nào đây vẫn là công cụ phù hợp.

Những điểm chính cần nhớ

• Hiểu VPN IPsec thực chất là gì và IPsec liên quan thế nào đến VPN nói chung.
• Tìm hiểu cách tạo đường hầm VPN IPsec — bao gồm các giao thức AH, ESP và quá trình trao đổi khóa IKE.
• Nắm rõ khác biệt thực tế khi so sánh VPN IPsec với SSL VPN và khi nào mỗi loại phù hợp hơn.
• Tìm hiểu VPN IPsec cần những cổng nào và vì sao điều đó quan trọng với tường lửa và NAT.
• Hiểu rõ về ứng dụng khách VPN IPsec, cấu hình site-to-site và cách giám sát các kết nối này.

VPN IPsec xét về mặt kỹ thuật là gì?

VPN IPsec được tạo thành từ ba giao thức phối hợp với nhau, mỗi giao thức đảm nhiệm một phần công việc khác nhau:

Authentication Header (AH) xác minh rằng gói tin thực sự đến từ nguồn mà nó khai báo và không bị can thiệp khi truyền đi — nhưng không mã hóa dữ liệu.

Encapsulating Security Payload (ESP) thực hiện mã hóa, xáo trộn phần tải (và trong một số cấu hình, cả phần đầu) để người chặn bắt gói tin không thể đọc được. Trong hai giao thức, ESP được triển khai phổ biến hơn hẳn và thường đi kèm cơ chế xác thực riêng.

Internet Key Exchange (IKE) đảm nhiệm quá trình thương lượng: hai thiết bị dùng giao thức này để thống nhất thuật toán mã hóa, xác thực lẫn nhau và thiết lập an toàn các khóa dùng chung mà AH và ESP sẽ sử dụng. Hầu hết các triển khai VPN IPsec hiện đại dùng IKEv2, phiên bản cải tiến so với IKEv1 ban đầu với quá trình thương lượng nhanh hơn và khả năng xử lý tốt hơn khi thiết bị di động chuyển mạng.

Nói đơn giản, khi nhắc đến kết nối VPN IPsec, người ta mô tả một cấu hình trong đó IKE thương lượng kênh bảo mật, sau đó AH/ESP bảo vệ dữ liệu thực sự truyền qua kênh đó.

Đường hầm VPN IPsec hoạt động như thế nào?

Đường hầm VPN IPsec có thể hoạt động ở một trong hai chế độ; sự khác biệt giữa chúng quyết định mức độ lưu lượng của bạn được che giấu:

Chế độ đường hầm mã hóa toàn bộ gói IP ban đầu — bao gồm cả phần đầu — rồi bọc nó trong một gói mới có phần đầu mới để định tuyến. Đây là chế độ được dùng trong gần như mọi VPN site-to-site và VPN truy cập từ xa, vì nó cho phép cổng mạng hoặc ứng dụng khách mã hóa lưu lượng thay cho toàn bộ thiết bị hoặc mạng mà không cần từng ứng dụng biết việc đó đang diễn ra.

Chế độ truyền tải chỉ bảo vệ phần tải, còn thông tin địa chỉ ban đầu vẫn giữ nguyên và các thiết bị định tuyến gói tin trên đường đi vẫn đọc được. Chế độ này ít được dùng hơn nhiều trong các tình huống dành cho người tiêu dùng, chủ yếu phục vụ giao tiếp trực tiếp giữa các máy đầu cuối, khi cả hai đầu đã tin cậy và có thể nhận diện lẫn nhau.

Đường hầm được thiết lập qua hai giai đoạn. Giai đoạn 1 thiết lập kênh quản lý bảo mật: hai thiết bị thương lượng phương thức mã hóa và xác thực, thực hiện trao đổi khóa Diffie-Hellman rồi xác thực lẫn nhau bằng khóa chia sẻ trước hoặc chứng chỉ. Giai đoạn 2 sau đó thương lượng các tham số thực tế của đường hầm IPsec — giao thức nào (AH hay ESP), thuật toán mã hóa nào và kết nối còn hiệu lực trong bao lâu — tất cả đều được bảo vệ bên trong kênh mà Giai đoạn 1 vừa tạo.

IKEv1 so với IKEv2: Thực sự đã thay đổi những gì?

IKEv1 và IKEv2 không chỉ khác nhau ở số phiên bản — tiêu chuẩn mới hơn đã khắc phục một số vấn đề thực tế của phiên bản ban đầu. IKEv1 cần nhiều lượt trao đổi thông điệp qua lại hơn để hoàn tất thương lượng Giai đoạn 1 (tối đa chín thông điệp ở chế độ chính), trong khi IKEv2 rút gọn còn bốn, giúp thiết lập đường hầm nhanh hơn rõ rệt. IKEv2 cũng bổ sung hỗ trợ MOBIKE, cho phép đường hầm duy trì khi mạng thay đổi — chẳng hạn chuyển từ Wi-Fi sang mạng di động — mà không phải thương lượng lại từ đầu; IKEv1 xử lý việc này kém, nếu có thể xử lý. IKEv2 còn hỗ trợ EAP (Extensible Authentication Protocol), giúp tích hợp dễ dàng hơn với các hệ thống xác thực doanh nghiệp hiện có, đồng thời tích hợp sẵn khả năng phát hiện NAT traversal thay vì phải bổ sung riêng. IKEv1 vẫn xuất hiện trên phần cứng doanh nghiệp cũ chưa được nâng cấp, nhưng ngày nay gần như mọi triển khai VPN IPsec hiện đại — kể cả ứng dụng dành cho người tiêu dùng — đều mặc định dùng IKEv2.

IPsec từng bị xâm phạm chưa?

Lịch sử bảo mật của IPsec không hoàn toàn không có tì vết, dù các vấn đề thực tế phức tạp hơn nhiều so với nhận định “IPsec đã bị phá vỡ”. Tài liệu bị rò rỉ vào khoảng năm 2013 làm dấy lên lo ngại rằng các cơ quan tình báo đã tìm cách làm suy yếu một số triển khai IPsec hoặc nhắm vào cấu hình nhóm Diffie-Hellman yếu — không phải bằng cách phá vỡ bản thân mật mã nền tảng, mà bằng cách khai thác kích thước khóa nhỏ, lỗi thời hoặc cấu hình mặc định chưa từng được gia cố. Các cấu hình khóa chia sẻ trước cũ dùng khóa yếu hoặc bị tái sử dụng cũng được ghi nhận là điểm yếu, vì khóa chia sẻ trước bị lộ sẽ làm lộ bước xác thực ban đầu bất kể mã hóa sau đó mạnh đến đâu. Những điều này không có nghĩa là cấu hình IPsec hiện đại, được thiết lập đúng cách — IKEv2, nhóm Diffie-Hellman mạnh và xác thực bằng chứng chỉ thay vì khóa chia sẻ trước yếu — hiện nay không an toàn. Cũng như với hầu hết giao thức, rủi ro trong thực tế nằm ở lựa chọn cấu hình và việc quản lý khóa, chứ không nằm ở thiết kế cốt lõi của giao thức.

Các cổng VPN IPsec: Những điều bạn cần biết

Cấu hình cổng VPN IPsec là một trong những điều thiết thực hơn cần hiểu nếu bạn phải khắc phục sự cố kết nối hoặc cấu hình tường lửa. Quá trình thương lượng IKE diễn ra qua cổng UDP 500. Khi thiết bị phát hiện mình nằm sau NAT — tình huống rất phổ biến trên mạng gia đình và văn phòng — kết nối tự động chuyển sang cổng UDP 4500 thay thế, sử dụng NAT-T (NAT Traversal) để tiếp tục hoạt động dù IPsec ban đầu không được thiết kế để xử lý NAT. Ngoài hai cổng này, bản thân ESP sử dụng trực tiếp giao thức IP 50; vì vậy một số tường lửa nghiêm ngặt chỉ hiểu TCP và UDP có thể chặn hoàn toàn lưu lượng IPsec nếu NAT-T không được bật đúng cách.

Nếu bạn cần tìm nguyên nhân VPN IPsec không kết nối được trên một mạng cụ thể, kiểm tra xem UDP 500 và UDP 4500 có đang mở thường là bước đầu tiên và hữu ích nhất.

Còn một vấn đề kết nối ít hiển nhiên hơn mà bạn nên biết: việc bọc toàn bộ gói tin ban đầu bên trong một gói mới ở chế độ đường hầm làm tăng dữ liệu phụ, có thể khiến tổng kích thước gói vượt quá Đơn vị truyền dẫn tối đa (MTU) của mạng — thường là 1500 bytes trên hầu hết các mạng. Khi điều đó xảy ra, gói tin hoặc bị phân mảnh thành các phần nhỏ hơn, làm tăng độ trễ, hoặc bị loại bỏ hoàn toàn nếu bộ định tuyến trên đường đi đã tắt tính năng phân mảnh. Đây là một nguyên nhân phổ biến nhưng ít được chú ý khiến VPN IPsec kết nối thành công nhưng tải chậm hoặc mất kết nối, đặc biệt khi truyền dữ liệu lớn. Giảm MSS (Maximum Segment Size) trên cổng mạng — về cơ bản là yêu cầu các kết nối TCP thương lượng gói tin nhỏ hơn ngay từ đầu — là cách khắc phục tiêu chuẩn mà quản trị viên mạng thường áp dụng khi gặp tình trạng này.

VPN IPsec so với SSL VPN: Khác nhau ở điểm nào?

So sánh VPN IPsec với SSL VPN xoay quanh một điểm khác biệt cốt lõi: mỗi loại hoạt động ở tầng nào của mạng.

IPsec hoạt động ở tầng mạng (OSI Layer 3), nghĩa là nó bảo vệ toàn bộ lưu lượng rời khỏi thiết bị hoặc cổng mạng — mọi ứng dụng, mọi kết nối — mà không cần biết cụ thể những gì đang chạy. Ngược lại, SSL VPN hoạt động ở tầng ứng dụng (OSI Layer 7), thường bảo mật lưu lượng qua trình duyệt hoặc một ứng dụng khách cụ thể. Cách này giúp triển khai dễ dàng hơn mà không cần cài đặt phần mềm chuyên dụng, nhưng phạm vi bảo vệ hẹp hơn.

Một số tài liệu đặt câu hỏi theo chiều SSL VPN so với IPsec, nhưng những đánh đổi cơ bản vẫn như nhau dù thuật ngữ nào được nêu trước. Không có loại nào “tốt hơn” trong mọi trường hợp — quyết định giữa IPsec và SSL VPN thường phụ thuộc vào tình huống sử dụng. Kết nối site-to-site giữa các văn phòng hoặc truy cập từ xa cần bao phủ toàn bộ lưu lượng của thiết bị thường phù hợp với IPsec. Truy cập nhanh qua trình duyệt cho nhà thầu hoặc thiết bị cá nhân thường phù hợp với SSL VPN.

VPN IPsec so với OpenVPN

SSL VPN là một nhóm giải pháp, còn OpenVPN là một giao thức cụ thể, được sử dụng rộng rãi và đáng để so sánh trực tiếp. Khi so sánh VPN IPsec với OpenVPN, IPsec thường có lợi thế về hiệu năng vì vốn chạy qua UDP và thường được triển khai bằng phần cứng trên bộ định tuyến và tường lửa, nhờ đó rất hiệu quả với các kết nối site-to-site. OpenVPN được xây dựng trên TLS và thường được xem là dễ cấu hình hơn trên các mạng hạn chế (có thể chạy qua port 443, hòa lẫn với lưu lượng HTTPS thông thường); giao thức này cũng có lợi thế là mã nguồn mở và được kiểm tra rộng rãi. Với phần lớn nhu cầu dùng VPN cá nhân hằng ngày, khác biệt thực tế nhỏ hơn những gì các bảng so sánh gợi ý — cả hai đều được xem là an toàn khi triển khai đúng cách, và các ứng dụng hiện đại ngày càng mặc định chọn những phương án mới hơn như WireGuard thay cho cả hai.

VPN IPsec so với WireGuard

WireGuard là giao thức lớn mới nhất trong phép so sánh này và tiếp cận vấn đề rất khác IPsec. Trong khi IPsec là một bộ gồm nhiều giao thức (AH, ESP, IKE) cùng hàng chục năm tích lũy các tùy chọn cấu hình, WireGuard được xây dựng từ đầu với cơ sở mã được chủ đích giữ ở mức tối thiểu — thường được cho là dưới 4,000 dòng mã, so với hàng chục nghìn dòng trong một triển khai IPsec điển hình. Quy mô nhỏ hơn giúp kiểm tra WireGuard để tìm lỗ hổng bảo mật dễ hơn và trong hầu hết thử nghiệm thực tế, giao thức này nhanh hơn rõ rệt, đặc biệt trên thiết bị di động kết nối lại sau khi mạng thay đổi.

IPsec vẫn có lợi thế ở một khía cạnh: khả năng tương thích rộng với phần cứng doanh nghiệp hiện có, vì các bộ định tuyến, tường lửa và thiết bị tập trung VPN đã hỗ trợ sẵn giao thức này trong nhiều thập kỷ mà không cần phần mềm bổ sung. Ngược lại, WireGuard cần sự hỗ trợ rõ ràng hơn từ nhà cung cấp để chạy trên thiết bị mạng chuyên dụng, dù khoảng cách này đang nhanh chóng thu hẹp khi các nhà sản xuất phần cứng bổ sung hỗ trợ gốc. Khi chọn giao thức mặc định cho VPN cá nhân hiện đại, WireGuard ngày càng được ưu tiên nhờ tốc độ và sự đơn giản, còn IPsec vẫn là lựa chọn thận trọng hơn cho các triển khai site-to-site cũ vốn đã phụ thuộc vào nó.

Ứng dụng khách VPN IPsec: Site-to-site so với truy cập từ xa

Ứng dụng khách VPN IPsec thường được dùng theo một trong hai mô hình. Site-to-site kết nối hai mạng — chẳng hạn trụ sở chính và chi nhánh của một công ty — bằng IPsec chạy giữa các thiết bị cổng mạng, hoàn toàn không cần cài phần mềm ứng dụng khách trên máy của người dùng cuối. Truy cập từ xa là hình thức mà hầu hết người dùng cá nhân sử dụng: ứng dụng khách VPN IPsec chuyên dụng được cài trên máy tính xách tay hoặc điện thoại, xác thực thiết bị và thiết lập đường hầm riêng để kết nối về mạng trung tâm hoặc máy chủ VPN.

Ứng dụng khách VPN IPsec cũ có tiếng là khó thiết lập — phải nhập thủ công địa chỉ máy chủ, khóa chia sẻ trước và tham số IKE. Các giải pháp hiện đại, bao gồm ứng dụng dành cho người tiêu dùng như Guru VPN, tự động xử lý cấu hình này, nên việc chọn IPsec (hoặc IKEv2/IPsec, cách kết hợp phổ biến) thường chỉ cần chuyển giao thức thay vì phải thiết lập thủ công.

Trong môi trường doanh nghiệp, một số ứng dụng khách VPN IPsec được triển khai rộng rãi gồm strongSwan (mã nguồn mở, phổ biến trên Linux và ngày càng thường được tích hợp trực tiếp vào firmware bộ định tuyến), Cisco AnyConnect (hiện mặc định dùng SSL/TLS trong nhiều triển khai nhưng vẫn hỗ trợ IPsec/IKEv2) và các ứng dụng khách IPsec/IKEv2 gốc được tích hợp trực tiếp vào Windows, macOS, iOS và Android. Đặc biệt nên biết đến lựa chọn cuối cùng này — đây là lý do nhiều VPN IPsec doanh nghiệp không yêu cầu cài đặt gì ngoài việc nhập thông tin máy chủ vào phần cài đặt VPN có sẵn trong hệ điều hành.

Giám sát và quản lý VPN IPsec

Với mọi nhu cầu vượt quá một kết nối cá nhân đơn lẻ, việc giám sát VPN IPsec trở thành công việc vận hành thường xuyên thay vì bước thiết lập chỉ làm một lần. Các nhóm mạng thường theo dõi trạng thái đường hầm (hoạt động/ngừng hoạt động), sự kiện tái tạo khóa khi các liên kết bảo mật Giai đoạn 1 và Giai đoạn 2 hết hạn rồi được gia hạn, và lỗi Dead Peer Detection (DPD), vốn báo hiệu đường hầm vẫn được cấu hình về mặt kỹ thuật nhưng thực tế không còn truyền lưu lượng. Các bảng điều khiển tập trung — phổ biến trên nền tảng VPN IPsec hướng đến doanh nghiệp — bổ sung ghi nhật ký, cảnh báo và đôi khi cả xác thực đa yếu tố cùng lọc DNS bên trên giao thức cơ sở, vì bản thân IPsec không có lớp hiển thị tích hợp.

Vì sao chọn Guru VPN cho IPsec và hơn thế nữa

Không phải nhà cung cấp nào cũng cho bạn lựa chọn giao thức thực sự, nhưng Guru VPN hỗ trợ kết nối dựa trên IPsec (thông qua IKEv2/IPsec) cùng các lựa chọn hiện đại như WireGuard, để bạn không bị giới hạn ở một phương thức bất kể thiết bị hay mạng đang dùng.

Nếu bạn đang cân nhắc giữa các giao thức, hãy so sánh danh mục hiện tại của các gói Guru VPN và các vị trí máy chủ hiện có — giao thức phù hợp kết hợp với máy chủ gần bạn và được vận hành tốt có ý nghĩa lớn hơn đối với hiệu năng thực tế so với bất kỳ thông số đơn lẻ nào.

Câu hỏi thường gặp

Kết luận: Một giao thức đáng hiểu rõ, kể cả khi bạn không bao giờ tự cấu hình

Ngày nay, hầu hết mọi người không cần tự thiết lập VPN IPsec, nhưng hiểu được những gì diễn ra bên dưới — mã hóa AH/ESP, quá trình bắt tay IKE và sự khác biệt giữa chế độ đường hầm với chế độ truyền tải — sẽ giúp bạn dễ đánh giá hơn khi nào nên dùng giao thức này và khi nào một giao thức nhẹ hơn, nhanh hơn cũng có thể hoàn thành công việc tốt tương đương. Với kết nối site-to-site và truy cập từ xa toàn thiết bị, IPsec vẫn là một tiêu chuẩn cấp mạng đã được kiểm chứng. Với nhu cầu cá nhân hằng ngày, lựa chọn ngày càng phụ thuộc vào giao thức mặc định của ứng dụng VPN, miễn là giao thức đó được triển khai đúng cách.