Split Tunneling là gì?
Nói ngắn gọn: split tunneling (chia đường hầm) là một tính năng VPN chia lưu lượng internet của bạn thành hai lối đi. Một phần di chuyển qua đường hầm VPN được mã hóa, phần còn lại ra thẳng internet theo cách thông thường. Thay vì lựa chọn tất-cả-hoặc-không-gì — mọi thứ qua VPN hoặc chẳng có gì cả — split tunneling để bạn quyết định ứng dụng hay điểm đến nào được đi qua đường hầm.
Hãy hình dung một con đường có làn cao tốc. Đường hầm VPN là làn được bảo vệ; split tunneling là hệ thống biển báo quyết định xe nào vào làn đó và xe nào ở lại đường thường.
Split Tunneling hoạt động thế nào
Khi VPN đang bật trên thiết bị, hệ điều hành định tuyến lưu lượng mạng vào một giao diện mạng ảo — chính là đường hầm — nơi dữ liệu được mã hóa rồi gửi tới máy chủ VPN. Split tunneling chèn thêm một quyết định định tuyến ngay trước bước đó:
1. Một ứng dụng (hoặc trình duyệt của bạn) tạo một yêu cầu mạng.
2. Các quy tắc định tuyến kiểm tra xem ứng dụng hay điểm đến đó có nằm trong danh sách đi qua đường hầm hay không.
3. Lưu lượng đi qua đường hầm được mã hóa và gửi qua máy chủ VPN, máy chủ này chuyển tiếp nó tới đích. Điểm đến chỉ nhìn thấy địa chỉ IP của máy chủ VPN.
4. Lưu lượng được loại trừ rời thiết bị của bạn trực tiếp qua kết nối thông thường. Điểm đến nhìn thấy địa chỉ IP thật của bạn, và nhà cung cấp internet có thể thấy nó đi đâu.
Trên Android, cơ chế này được tích hợp sẵn trong nền tảng: khung VPN cho phép một ứng dụng VPN đưa vào hoặc loại trừ từng ứng dụng cụ thể khỏi đường hầm (split tunneling theo ứng dụng). Những cách triển khai khác lại chia theo điểm đến — định tuyến một số trang web hoặc dải IP ra ngoài đường hầm — hoặc làm ngược lại ("split tunneling đảo ngược"), khi chỉ những ứng dụng được chọn mới dùng VPN còn tất cả phần còn lại đi trực tiếp.
Vì sao bạn có thể cần đến nó?
1. Dịch vụ trong nước bị lỗi khi bật VPN
Một số dịch vụ từ chối kết nối đến từ địa chỉ máy chủ VPN, hoặc hoạt động bất thường khi vị trí biểu kiến của bạn thay đổi: ứng dụng ngân hàng có cơ chế phát hiện gian lận nghiêm ngặt, vài dịch vụ phát trực tuyến, hay ứng dụng giao hàng cần đúng khu vực thật của bạn. Chỉ cần loại trừ riêng ứng dụng đó là nó vẫn chạy được trong khi mọi thứ khác vẫn được bảo vệ.
2. Lưu lượng nhạy cảm với tốc độ
Việc mã hóa và chặng đi thêm tới máy chủ VPN làm phát sinh chút chi phí. Với những bản tải game dung lượng lớn hoặc cuộc gọi video mà từng mili giây độ trễ đều quan trọng, một số người dùng thích cho riêng phần lưu lượng đó đi thẳng, trong khi vẫn giữ việc duyệt web và nhắn tin bên trong đường hầm. (Về những đánh đổi khi chơi game đối kháng, xem hướng dẫn của chúng tôi về VPN cho game.)
3. Thiết bị trong mạng nội bộ
Máy in, bộ điều khiển nhà thông minh và thư mục chia sẻ đều nằm trong mạng nội bộ của bạn. Một đường hầm toàn phần có thể khiến chúng không còn truy cập được từ thiết bị của bạn. Split tunneling giữ cho lưu lượng nội bộ ở lại nội bộ sẽ xử lý được việc này mà không cần ngắt VPN.
4. Quản lý dung lượng
Nếu gói VPN tính theo dung lượng dữ liệu, việc loại trừ những luồng nặng nhưng không nhạy cảm sẽ kéo dài hạn mức. Điều này ít quan trọng hơn với các dịch vụ có băng thông không giới hạn, nhưng đó là một lý do lịch sử phổ biến khiến tính năng này ra đời.
Những đánh đổi về bảo mật — Hãy đọc phần này
Split tunneling là một lỗ hổng cố ý trong lớp bảo vệ của bạn, và cần nói thẳng điều đó:
- Lưu lượng bị loại trừ hoàn toàn phơi bày. Địa chỉ IP thật của bạn hiện rõ với mọi điểm đến bị loại trừ, và nhà cung cấp internet có thể nhìn thấy cũng như ghi lại lưu lượng đó y hệt như khi không có VPN nào đang chạy.
- Cấu hình sai diễn ra âm thầm. Nếu bạn loại trừ trình duyệt rồi quên mất, bạn có thể trải qua cả một phiên làm việc mà đinh ninh mình được bảo vệ trong khi thực ra thì không. Biểu tượng VPN trên thanh trạng thái vẫn sáng trong cả hai trường hợp.
- Danh tính lẫn lộn. Các trang web về nguyên tắc có thể liên kết danh tính qua VPN của bạn với danh tính thật, nếu những luồng lưu lượng liên quan chảy trên cả hai lối đi — ví dụ một ứng dụng bị loại trừ và một phiên trình duyệt trong đường hầm cùng đăng nhập vào một tài khoản.
- Trên mạng không đáng tin, split tunneling thường là lựa chọn sai. Ở Wi-Fi công cộng, toàn bộ mục đích là mọi gói tin đều rời thiết bị của bạn trong trạng thái mã hóa. Loại trừ bất cứ thứ gì cũng đồng nghĩa mở lại đúng bề mặt tấn công mà bạn đã bật VPN để đóng lại.
Một nguyên tắc thực dụng: dùng split tunneling để giải quyết một vấn đề cụ thể, gọi được tên ("ứng dụng ngân hàng của tôi từ chối kết nối VPN"), chứ không phải làm cấu hình mặc định. Khi còn phân vân, hãy cho mọi thứ đi qua đường hầm.
Split Tunneling và GLOBEX
Trọng tâm của GLOBEX là làm cho đường hầm toàn phần trở nên nhẹ nhàng: mở ứng dụng, chạm Connect, và lưu lượng của bạn được mã hóa mà không cần thiết lập gì — gói miễn phí đã bao gồm băng thông không giới hạn và đúng 8 giao thức kết nối như bản Premium, nên không có hạn mức dữ liệu nào đẩy bạn tới chỗ phải loại trừ lưu lượng. Nếu một ứng dụng cụ thể trục trặc với bất kỳ VPN nào (ứng dụng ngân hàng là trường hợp kinh điển), cách xử lý đơn giản và đáng tin cậy nhất với mọi nhà cung cấp là ngắt kết nối một lát, dùng ứng dụng, rồi kết nối lại. Bạn có thể xem mọi thứ ứng dụng mang lại ở trang tính năng của chúng tôi, và chi tiết gói miễn phí ở trang VPN miễn phí.
Câu hỏi thường gặp
Split tunneling có làm yếu mã hóa của lưu lượng trong đường hầm không? Không. Lưu lượng bên trong đường hầm được mã hóa đúng như với đường hầm toàn phần. Sự đánh đổi chỉ áp dụng cho phần bạn loại trừ.
Các trang web có biết tôi đang dùng split tunneling không? Không trực tiếp. Mỗi điểm đến chỉ nhìn thấy lối đi mà lưu lượng của nó đến từ đó — địa chỉ máy chủ VPN, hoặc địa chỉ thật của bạn.
Split tunneling đảo ngược có an toàn hơn không? Nó hỏng theo cách an toàn hơn ở một khía cạnh: với "chỉ những ứng dụng này dùng VPN", ứng dụng mới mặc định đi lối trực tiếp; với "tất cả trừ những ứng dụng này", ứng dụng mới mặc định được bảo vệ. Nếu mục tiêu là quyền riêng tư thì danh sách loại trừ (bảo vệ toàn phần theo mặc định) là thế đứng tốt hơn.
Kết luận
Split tunneling là một công cụ định tuyến, không phải một nâng cấp bảo mật: nó đánh đổi lớp bảo vệ trên phần lưu lượng được chọn để lấy khả năng tương thích, tốc độ hoặc quyền truy cập nội bộ. Dùng một cách có chủ đích — cho một ứng dụng rắc rối, trên mạng đáng tin — nó thực sự hữu ích. Dùng cẩu thả, nó lặng lẽ tước đi lớp bảo vệ mà bạn tưởng mình đang có. Hãy biết rõ lưu lượng nào của bạn nằm trong đường hầm, giữ danh sách ngoại lệ thật ngắn, và khi chính mạng đó không đáng tin, hãy cho mọi thứ đi qua đường hầm.
