VPN (Virtual Private Network, mạng riêng ảo) là công nghệ tạo một đường hầm mã hoá giữa thiết bị của bạn và một máy chủ VPN qua Internet. Dữ liệu đi trong đường hầm được mã hoá, nên mạng trung gian như Wi-Fi công cộng hay nhà mạng không đọc được nội dung. Website bạn truy cập thấy địa chỉ IP của máy chủ VPN thay vì IP thật của bạn.
Ban đầu, VPN được doanh nghiệp, cơ quan và trường học dùng để nhân viên ở xa truy cập an toàn vào mạng nội bộ. Ngày nay, người dùng cá nhân cũng dùng VPN khi ở Wi-Fi công cộng hoặc khi muốn che IP thật. Bài này giải thích VPN hoạt động như thế nào, các giao thức phổ biến, VPN khác Proxy ra sao, có nên dùng VPN miễn phí, và cách tự dựng VPN riêng trên VPS.
- VPN làm được: mã hoá dữ liệu trên đoạn từ thiết bị tới máy chủ VPN, che IP thật với website, cho phép truy cập mạng nội bộ công ty từ xa.
- VPN không làm được: không làm bạn ẩn danh hoàn toàn, không chặn virus hay lừa đảo, không bảo vệ dữ liệu sau khi rời máy chủ VPN nếu website không dùng HTTPS.
- Điều cần nhớ: khi dùng VPN, nhà cung cấp VPN nhìn thấy lưu lượng của bạn thay cho nhà mạng. Chọn VPN là chọn người mình tin.
VPN hoạt động như thế nào?
VPN hoạt động bằng cách đóng gói và mã hoá từng gói tin trên thiết bị, gửi chúng qua Internet tới máy chủ VPN, tại đó gói tin được giải mã rồi chuyển tiếp tới đích. Cơ chế này gọi là đường hầm (tunneling). Mạng trung gian chỉ thấy một kết nối mã hoá tới máy chủ VPN, không thấy bạn truy cập trang nào.
Một kết nối VPN diễn ra theo 5 bước
- Xác thực: ứng dụng VPN trên máy bạn (client) kết nối tới máy chủ VPN và hai bên xác thực nhau bằng khoá, chứng chỉ hoặc tài khoản.
- Thoả thuận khoá: hai bên thống nhất thuật toán và tạo khoá mã hoá cho phiên làm việc.
- Đóng gói và mã hoá: mỗi gói tin gốc (kèm địa chỉ đích) được mã hoá rồi bọc trong một gói tin mới gửi tới máy chủ VPN.
- Giải mã và chuyển tiếp: máy chủ VPN mở gói, gửi yêu cầu tới website bằng IP của máy chủ VPN.
- Trả kết quả: phản hồi từ website quay về máy chủ VPN, được mã hoá lại và gửi về thiết bị của bạn qua đường hầm.
Vì mọi lưu lượng đi vòng qua máy chủ VPN, tốc độ phụ thuộc vào khoảng cách và tải của máy chủ đó. Đây là lý do VPN thường làm mạng chậm hơn một chút, chứ không “tăng tốc” như một số quảng cáo. Tìm hiểu thêm về mã hoá dữ liệu và mô hình TCP/IP.
Các giao thức VPN phổ biến
Giao thức VPN quyết định cách mã hoá và đóng gói dữ liệu. Ba giao thức phổ biến hiện nay là WireGuard, OpenVPN và IPsec; phần lớn ứng dụng VPN thương mại cho chọn giữa các giao thức này. PPTP là giao thức cũ, không còn được xem là an toàn.
Giao thức Đặc điểm chính Thường dùng khi WireGuard Mã nguồn mở, cấu hình gọn; dùng mật mã hiện đại (Noise, Curve25519, ChaCha20, Poly1305); đóng gói gói tin IP qua UDP; có sẵn trong kernel Linux Tự dựng VPN trên VPS, kết nối thiết bị cá nhân, mạng mesh như Tailscale OpenVPN Mã nguồn mở (Community Edition), lâu đời, chạy được qua UDP hoặc TCP, nhiều tuỳ chọn cấu hình Mạng cần tương thích rộng, cần chạy qua cổng TCP khi UDP bị chặn IPsec (thường đi kèm IKEv2) Bộ giao thức chuẩn IETF bảo mật ở tầng IP; có chế độ transport và tunnel Nối mạng giữa các chi nhánh (site-to-site), thiết bị mạng doanh nghiệp, VPN có sẵn trên điện thoại
Mạng VPN dùng để làm gì?
Mạng VPN có hai nhóm dùng chính. Doanh nghiệp dùng VPN để nhân viên làm việc từ xa và nối các chi nhánh thành một mạng nội bộ. Cá nhân dùng VPN để bảo vệ dữ liệu khi ở Wi-Fi công cộng, che IP thật, hoặc kết nối về mạng gia đình khi đi xa.
Loại VPN Kết nối giữa Ví dụ Remote access VPN Một thiết bị và mạng nội bộ Nhân viên đi công tác truy cập file server, phần mềm kế toán của công ty Site-to-site VPN Hai hay nhiều mạng với nhau Văn phòng Hà Nội và TP.HCM dùng chung mạng nội bộ qua Internet VPN cá nhân (dịch vụ VPN) Thiết bị và máy chủ của nhà cung cấp VPN Dùng Wi-Fi quán cà phê, sân bay mà không lộ nội dung truy cập
Ví dụ thực tế từ bài cũ vẫn đúng: một trang tin chỉ cho phép đăng nhập trang quản trị từ một số địa chỉ IP cố định. Biên tập viên ở nhà kết nối VPN tới máy chủ có IP được cấp quyền, từ đó truy cập trang quản trị mà không cần mở trang này cho cả Internet.
- Ưu điểm: mã hoá dữ liệu trên mạng không tin cậy; truy cập tài nguyên nội bộ mà không mở chúng ra Internet; nối nhiều chi nhánh với chi phí thấp hơn đường truyền riêng.
- Hạn chế: tốc độ giảm do đi vòng qua máy chủ VPN; máy chủ VPN quá tải thì kết nối chập chờn; nhà cung cấp VPN thấy lưu lượng của bạn; một số dịch vụ chặn IP của VPN.
VPN và Proxy khác nhau thế nào?
VPN và Proxy đều đứng giữa bạn và website, nên website thấy IP của máy trung gian thay vì IP thật. Khác biệt là VPN mã hoá toàn bộ lưu lượng của thiết bị ở tầng mạng, còn Proxy thường chỉ chuyển tiếp lưu lượng của một ứng dụng và không tự mã hoá đoạn từ máy bạn tới Proxy.
Tiêu chí VPN Proxy Phạm vi Toàn bộ lưu lượng của thiết bị (trừ khi cấu hình chia đường) Thường từng ứng dụng, ví dụ trình duyệt Mã hoá Có, giữa thiết bị và máy chủ VPN Proxy HTTP/SOCKS thông thường không tự mã hoá; nội dung chỉ được bảo vệ nếu website dùng HTTPS Tầng hoạt động Tầng mạng (gói tin IP) Tầng ứng dụng (HTTP) hoặc tầng phiên (SOCKS) Cần cài Ứng dụng VPN hoặc cấu hình hệ điều hành Khai báo địa chỉ Proxy trong ứng dụng hoặc trình duyệt Dùng khi Wi-Fi công cộng, truy cập mạng nội bộ từ xa Lọc truy cập trong công ty, cache, đổi IP cho một ứng dụng cụ thể
Chi tiết về Proxy có tại bài Proxy Server là gì. Nếu chỉ lo lộ nội dung khi duyệt web, HTTPS đã mã hoá đoạn giữa trình duyệt và website; xem so sánh HTTP và HTTPS.
Có nên dùng VPN miễn phí không?
Chỉ nên dùng VPN miễn phí cho nhu cầu ngắn hạn, ít nhạy cảm, và sau khi đã kiểm tra nhà phát triển. Dịch vụ VPN tốn tiền máy chủ và băng thông; theo FTC, nhiều ứng dụng VPN miễn phí vì bán quảng cáo hoặc chia sẻ thông tin của bạn với bên thứ ba. Không nên dùng VPN không rõ nguồn gốc cho ngân hàng, email công việc.
Ủy ban Thương mại Liên bang Mỹ (FTC) đưa ra bốn điểm cần kiểm tra trước khi cài ứng dụng VPN (2018):
- Tìm hiểu ứng dụng trước khi cài: ai phát triển, có đánh giá độc lập không, đã hoạt động bao lâu.
- Xem quyền ứng dụng xin: ứng dụng VPN không cần quyền đọc tin nhắn, danh bạ.
- Kiểm tra có mã hoá thật không: theo FTC, một số ứng dụng VPN không mã hoá, hoặc chỉ mã hoá một phần lưu lượng.
- Đọc chính sách quyền riêng tư: xem ứng dụng có chia sẻ dữ liệu với bên thứ ba cho quảng cáo, phân tích hay không.
Nếu cần VPN thường xuyên cho công việc, có hai hướng: dùng dịch vụ VPN trả phí có chính sách rõ ràng, hoặc tự dựng VPN riêng trên VPS để chính bạn kiểm soát máy chủ.
Tự tạo VPN riêng trên VPS
Tự tạo VPN trên VPS nghĩa là bạn cài phần mềm máy chủ VPN như WireGuard lên một VPS Linux, rồi kết nối điện thoại, máy tính vào đó. Bạn tự giữ khoá và log, không phải tin bên thứ ba. Cách này hợp cho nhóm nhỏ cần truy cập máy chủ nội bộ an toàn.
Nếu chưa có máy chủ, đọc VPS là gì để hiểu VPS và cách chọn cấu hình. VPN cá nhân dùng rất ít tài nguyên, nên một VPS nhỏ thường đủ cho vài thiết bị. Khi đã có VPS, xem cách kết nối VPS để đăng nhập SSH.
Các bước chính với WireGuard trên Ubuntu 24.04
- Bảo mật VPS trước: đăng nhập bằng SSH key ed25519, cập nhật hệ thống. Xem bảo mật VPS.
- Cài WireGuard:
sudo apt update && sudo apt install wireguard. - Tạo cặp khoá cho máy chủ và cho từng thiết bị (lệnh bên dưới). Private key không bao giờ gửi đi.
- Viết file cấu hình
/etc/wireguard/wg0.conf: địa chỉ IP trong đường hầm, cổng lắng nghe, public key và dải IP được phép của từng thiết bị. - Mở cổng UDP của WireGuard trên tường lửa, sau khi đã mở SSH, rồi bật dịch vụ.
- Nếu muốn mọi lưu lượng Internet của thiết bị đi qua VPS, bật chuyển tiếp IP (
net.ipv4.ip_forward=1) và NAT; nếu chỉ cần vào mạng nội bộ thì không cần.
# Tạo khoá (umask 077 để chỉ chủ sở hữu đọc được file khoá)
umask 077
wg genkey | tee privatekey | wg pubkey > publickey
# Tường lửa: mở SSH trước, rồi cổng WireGuard (51820 là cổng dùng trong ví dụ chính thức)
sudo ufw allow OpenSSH
sudo ufw allow 51820/udp
sudo ufw enable
# Bật đường hầm và tự chạy khi khởi động lại
sudo systemctl enable --now wg-quick@wg0
sudo wg showCú pháp tạo khoá và cổng ví dụ theo WireGuard Quick Start. Nếu bạn cần kết nối nhiều máy chủ và thiết bị mà không muốn tự quản lý khoá, Tailscale (dựa trên WireGuard) là lựa chọn đơn giản hơn; xem bảo mật VPS bằng Tailscale.
Tại Tino, các gói VPS NVMe có Full Root Access và hệ điều hành Linux, đủ để cài WireGuard hoặc OpenVPN theo các bước trên (thông tin trang sản phẩm, kiểm tra 20/10/2026).
Lưu ý pháp lý và điều khoản khi dùng VPN
VPN là công cụ kỹ thuật được doanh nghiệp dùng rộng rãi để làm việc từ xa và bảo mật mạng. Tuy vậy, dùng VPN không thay đổi trách nhiệm pháp lý của người dùng: hành vi bị pháp luật Việt Nam cấm thì vẫn bị cấm khi đi qua VPN. Ngoài ra, nhiều dịch vụ trực tuyến có điều khoản riêng về VPN.
- Điều khoản dịch vụ: một số nền tảng xem phim, trò chơi, ngân hàng hạn chế hoặc cấm dùng VPN để vượt giới hạn theo quốc gia. Vi phạm có thể dẫn tới khoá tài khoản, dù việc dùng VPN tự thân không bị cấm.
- Doanh nghiệp: nên có chính sách nội bộ về VPN (ai được dùng, giữ log bao lâu), đặc biệt khi VPN cho phép truy cập dữ liệu khách hàng.
- Cung cấp VPN cho người khác: nếu bạn định bán hoặc cung cấp dịch vụ VPN, hãy hỏi ý kiến luật sư về điều kiện kinh doanh và nghĩa vụ lưu trữ dữ liệu theo quy định hiện hành.
Phần này là thông tin tham khảo, không phải tư vấn pháp lý.
Câu hỏi thường gặp về VPN
VPN có giúp ẩn danh hoàn toàn không?
Không. VPN che IP thật với website và che nội dung với mạng trung gian, nhưng website vẫn nhận ra bạn qua tài khoản đăng nhập, cookie và dấu vết trình duyệt. Nhà cung cấp VPN cũng thấy lưu lượng của bạn. FTC lưu ý rằng ứng dụng VPN nhìn chung không làm bạn ẩn danh hoàn toàn.
Dùng VPN có làm mạng nhanh hơn không?
Thường là không. Dữ liệu phải đi vòng qua máy chủ VPN và tốn thêm thời gian mã hoá, nên tốc độ thường giảm nhẹ. Trường hợp ngoại lệ là khi tuyến mạng tới máy chủ VPN tốt hơn tuyến trực tiếp, hoặc nhà mạng giới hạn riêng một loại lưu lượng.
VPN có cần thiết khi đã dùng HTTPS không?
HTTPS đã mã hoá nội dung giữa trình duyệt và website. FTC cũng nhận định Wi-Fi công cộng thường an toàn nhờ mã hoá đã phổ biến, nên với đa số nhu cầu duyệt web, VPN không bắt buộc. VPN vẫn hữu ích khi bạn dùng Wi-Fi không tin cậy, muốn che tên miền đang truy cập với mạng trung gian, hoặc cần vào mạng nội bộ công ty.
Nên chọn giao thức VPN nào?
Với VPN tự dựng trên VPS, WireGuard dễ cấu hình và gọn nhẹ. OpenVPN hợp khi mạng chặn UDP và cần chạy qua TCP. IPsec/IKEv2 phổ biến trên thiết bị mạng doanh nghiệp và có sẵn trong cài đặt VPN của điện thoại. Tránh PPTP vì đã lỗi thời.
Có thể dùng VPN trên điện thoại không?
Có. Android và iOS đều hỗ trợ VPN, qua ứng dụng của nhà cung cấp hoặc ứng dụng WireGuard, OpenVPN chính thức khi bạn tự dựng máy chủ. Khi cài, kiểm tra quyền ứng dụng xin và chính sách quyền riêng tư như hướng dẫn của FTC.
Nguồn tham khảo
- WireGuard: fast, modern, secure VPN tunnel (truy cập 20/10/2026)
- WireGuard: Quick Start (truy cập 20/10/2026)
- OpenVPN: Community Edition (truy cập 20/10/2026)
- IETF RFC 4301: Security Architecture for the Internet Protocol (truy cập 20/10/2026)
- FTC: FTC Provides Tips for Using VPN Apps (02/2018) (truy cập 20/10/2026)
- FTC: In the market for a VPN app? (02/2018) (truy cập 20/10/2026)
- FTC Consumer Advice: Are Public Wi-Fi Networks Safe? (truy cập 20/10/2026)
