Truy vết VPN là gì? Làm sao để tránh bị theo dõi?

Mở đầu: vì sao VPN không phải "kim bài miễn tử"

Suy nghĩ thường gặp là: cài NordVPN / Surfshark / WireGuard tự dựng, đổi IP lối ra là "không ai biết bạn là ai nữa". Đó là lối nghĩ của thập niên 2010. Công nghệ truy vết từ lâu đã vượt khỏi "tầng IP":

• Phát hiện "bạn đang dùng VPN" là năng lực kiểm soát rủi ro cơ bản (kiểm tra xem IP có thuộc ASN của nhà cung cấp VPN không — gần như mọi dải datacenter của VPN thương mại đều đã bị gắn cờ)
• Xác định "IP thật trước đây của bạn" chỉ cần tầng IP — rò rỉ WebRTC / IPv6 / rò rỉ DNS / vòng qua CDN tới máy chủ gốc — và chỉ một lần sơ suất là bạn bị cookie gắn nhãn vĩnh viễn
• Xác định "chính xác bạn là ai" hoàn toàn không dựa vào IP — mà dựa vào vân tay trình duyệt, mẫu hành vi và liên kết giữa các tài khoản
• Trong trường hợp cực đoan, tương trợ tư pháp (trát hầu tòa / điều tra xuyên biên giới) có thể buộc nhà cung cấp VPN giao nộp log

Nói cách khác, thứ truy vết bạn không phải một lỗ hổng đơn lẻ — mà là giao điểm của N góc độ — bạn phải phòng thủ từng góc độ một, còn bên truy vết chỉ cần thành công ở bất kỳ góc độ nào. Vì vậy "ẩn danh hoàn toàn" gần như bất khả thi về mặt kỹ thuật, nhưng "giảm đáng kể khả năng bị liên kết" thì làm được — bài viết này chỉ cho bạn cách làm.

① Rò rỉ ở tầng IP — IP thật của bạn bị lộ trực tiếp

Trường hợp kinh điển và phổ biến nhất. VPN chỉ tiếp quản lưu lượng HTTP / TCP của trình duyệt, nhưng các kênh sau có thể đi vòng hoàn toàn qua VPN và đưa thẳng IP công khai của mạng nhà bạn cho phía bên kia:

1.1 Rò rỉ WebRTC

WebRTC tích hợp sẵn trong trình duyệt (dùng cho gọi video) chủ động dùng giao thức STUN để phát hiện IP công khai mà nó thấy, và JavaScript có thể đọc trực tiếp giá trị này. Proxy HTTP / SOCKS chỉ chặn bắt TCP, trong khi STUN chạy trên UDP, đi vòng hoàn toàn qua proxy bằng card mạng nhà bạn và làm lộ IP thật của bạn.

Phòng tránh: Dùng VPN chế độ TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale), tiếp quản toàn bộ lưu lượng TCP+UDP trên card mạng ảo. Nếu chỉ dùng proxy cho trình duyệt, hãy hạn chế WebRTC bằng chính sách thay vì gỡ bỏ nó: chính sách doanh nghiệp của Chrome / Edge WebRtcIPHandling = disable_non_proxied_udp; Brave: bật "Disable Non-Proxied UDP"; Firefox: about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Tự kiểm tra: Dùng công cụ kiểm tra rò rỉ /leak của chúng tôi để xem IP công khai mà WebRTC STUN trả về có khớp với lối ra HTTP của bạn không.

1.2 Rò rỉ dual-stack IPv6

VPN của bạn chỉ proxy IPv4, nhưng băng thông rộng nhà bạn còn có IPv6 — trình duyệt ưu tiên đi ra bằng IPv6, đi vòng hoàn toàn qua VPN. Đây là lỗ hổng cực kỳ phổ biến với người dùng băng thông rộng gia đình của China Telecom.

Phòng tránh: Hoặc dùng VPN proxy cả IPv4 lẫn IPv6, hoặc tắt IPv6 ở cấp hệ thống / trình duyệt. Trên Windows, sửa registry; trên macOS, dùng networksetup.

1.3 Rò rỉ DNS (trình bày riêng, xem ② Tầng DNS)

1.4 Vòng qua CDN tới máy chủ gốc

Nếu trang web dùng CDN như Cloudflare, thực ra bạn đang truy cập IP của node biên CDN — nhưng nếu kẻ tấn công lấy được IP thật của máy chủ gốc, họ có thể vòng qua CDN để truy cập trực tiếp trang đó. Điều ngược lại cũng đúng với bên truy vết: nếu node CDN bạn truy cập ở Trung Quốc, nhưng trong cùng phiên có tài nguyên tĩnh nào đó được tải thẳng từ máy chủ gốc (không qua CDN), IP thật của bạn sẽ nằm trong log truy cập của máy chủ gốc.

Phòng tránh: Trường hợp biên này chủ yếu phụ thuộc vào việc cấu hình của chính trang đích có chặt chẽ hay không — phía người dùng làm được rất ít.

② Rò rỉ ở tầng DNS — tên miền bạn truy vấn làm lộ danh tính

Lưu lượng IP của bạn đi qua VPN, nhưng truy vấn DNS vẫn có thể đi qua ISP địa phương. Có hai cách rò rỉ:

2.1 Resolver khác quốc gia

Lối ra VPN của bạn ở Hà Lan, nhưng khi hệ thống truy vấn DNS, stub resolver lại dùng DNS do nhà cung cấp băng thông rộng gia đình (China Telecom) cấu hình. Khi nameserver có thẩm quyền nhận truy vấn, nó thấy IP nguồn thuộc China Telecom — làm lộ vị trí thật của bạn cho bên vận hành mọi tên miền bạn truy cập.

2.2 Rò rỉ subnet qua ECS

Các recursive resolver công cộng (8.8.8.8 của Google bật EDNS Client Subnet theo mặc định) chuyển tiếp subnet /24 thật của bạn tới máy chủ có thẩm quyền đích để "định tuyến CDN theo vị trí". Nhưng ngay lúc đó, subnet của bạn đã bị tiết lộ cho máy chủ có thẩm quyền phía xa — chính xác hơn IP lối ra của resolver, khoanh vùng tới subnet khu dân cư của bạn.

Phòng tránh:

• Buộc client VPN dùng DNS tùy chỉnh — dùng DNS riêng của nhà cung cấp VPN (NordVPN / Mullvad / ProtonVPN đều có)
• Đừng để truy vấn DNS rò rỉ ra ngoài đường hầm — khi đó resolver sẽ thấy IP thật của bạn, không khớp với lưu lượng web và làm lộ bạn ngay lập tức. Lưu ý 1.1.1.1 / 8.8.8.8 là anycast: chỉ cần truy vấn đi qua đường hầm thì nó sẽ tới điểm gần lối ra VPN và không làm lộ gì. Vấn đề thực sự là hệ thống đi vòng qua đường hầm để truy cập trực tiếp chúng
• Nếu bạn vẫn chọn recursive resolver công cộng, ít nhất hãy đảm bảo nó cùng quốc gia với lối ra VPN
• Dùng DoH (DNS-over-HTTPS) để bắt buộc mã hóa truy vấn DNS, ngăn ISP kiểm tra kiểu man-in-the-middle

Tự kiểm tra: Công cụ kiểm tra rò rỉ DNS /leak của chúng tôi tự vận hành nameserver có thẩm quyền, thực sự định tuyến truy vấn của trình duyệt bạn tới máy chủ của chúng tôi để bạn thấy IP resolver + subnet ECS. Cơ chế đầy đủ xem tại hướng dẫn đầy đủ về DNS resolver công cộng.

③ Vân tay TLS (ja3 / ja4) — client của bạn là gì

Trong quá trình bắt tay HTTPS, client gửi một gói ClientHello tới máy chủ, liệt kê các phiên bản TLS, bộ mã hóa, phần mở rộng, đường cong elliptic và nhiều thứ khác mà nó hỗ trợ. Thứ tự và nội dung chính xác của các trường này khác nhau ở mỗi client (Chrome 124 vs Firefox 123 vs curl vs Python requests), và vân tay tổng hợp từ đó chính là thứ mà cả ngành gọi là ja3 / ja4.

Trang web có thể ghi lại vân tay ja3 / ja4 của mọi khách truy cập và đối chiếu với User-Agent — nếu UA của bạn tự nhận là Chrome 124 nhưng vân tay ja3 lại khớp với Python requests, đó là lưu lượng bot hoặc script. Đây cũng là một trong những tín hiệu cốt lõi của các dịch vụ chống bot như Cloudflare và Akamai.

Phòng tránh:

• Dùng trình duyệt phổ biến chính hãng (Chrome / Firefox / Edge) — đừng chạy Selenium / Puppeteer trần, vân tay ja3 của chúng cực kỳ dễ nhận ra
• Khi cần tự động hóa, hãy dùng undetected-chromedriver / Playwright + curl-impersonate
• Đừng cài tiện ích trình duyệt "chống vân tay" — nó thực ra khiến ja3 của bạn dễ nhận ra hơn một Chrome bình thường, chẳng khác nào tự đánh dấu mình là người đang chạy công cụ chống truy vết

④ Vân tay HTTP / trình duyệt — Canvas / WebGL / phông chữ / múi giờ

Vân tay lộ ra ở tầng ứng dụng phong phú hơn và khó phòng tránh hơn:

Cạm bẫy chính: Múi giờ / ngôn ngữ / phông chữ không khớp với quốc gia lối ra VPN là tín hiệu "đang dùng VPN" cực kỳ mạnh. VPN của bạn nhảy sang Mỹ, nhưng múi giờ trình duyệt vẫn là Asia/Shanghai và ngôn ngữ là zh-CN — nhìn là biết ngay.

Phòng tránh:

• "Trông bình thường" — đừng cài tiện ích chống vân tay vào trình duyệt, bản thân việc đó đã bất thường. Vân tay Chrome nguyên bản của một người dùng bình thường là cách ngụy trang tốt nhất.
• Tách bạch mục đích sử dụng: dùng trình duyệt chính cho danh tính thật, và một hồ sơ trình duyệt / máy ảo / Tails / Whonix riêng cho các hoạt động nhạy cảm về quyền riêng tư
• Giữ quốc gia lối ra VPN, múi giờ hệ thống và ngôn ngữ trình duyệt nhất quán — ít nhất đừng để rò rỉ tín hiệu tố cáo "tôi là người dùng Trung Quốc đi qua VPN Mỹ"
• Tor Browser được thiết kế chính cho việc này — mọi người dùng trông giống hệt nhau, đổi lại là hiệu năng

Tự kiểm tra: Dùng công cụ kiểm tra vân tay trình duyệt /fingerprint của chúng tôi để xem độ duy nhất của 14 góc độ vân tay của chính bạn.

⑤ Vân tay tầng TCP/IP — Initial Window / TTL / MTU

Ngay cả trước khi tới tầng ứng dụng, vân tay đã tồn tại ở tầng mạng. Cách triển khai stack TCP/IP của mỗi hệ điều hành đều hơi khác nhau:

• TTL ban đầu: Windows mặc định 128, Linux 64, macOS 64, iOS 64
• Cửa sổ ban đầu của TCP: Windows 64KB, Linux 14600, macOS 65535
• Thứ tự tùy chọn TCP: mỗi hệ điều hành gửi các tùy chọn MSS / SACK / Timestamp theo thứ tự khác nhau
• MTU: băng thông rộng gia đình thông thường là 1500, PPPoE 1492, đường hầm VPN thường 1380-1450

Công cụ p0f (nhận dạng vân tay hệ điều hành thụ động) khai thác chính các trường này, xác định hệ điều hành của phía bên kia mà không cần gửi gói thăm dò nào. Trang web có thể thu thập thông tin này và đối chiếu với UA bạn khai báo — nếu UA nói là Safari trên Mac, nhưng TTL là 128 và Initial Window khớp với giá trị của Windows, thì thực ra bạn đang chạy Windows với UA Mac giả mạo.

MTU cũng có thể làm rò rỉ việc "bạn đang dùng VPN" — vì đường hầm VPN thường có MTU dưới 1500, lưu lượng khác biệt rõ rệt so với băng thông rộng gốc.

Phòng tránh:

• Dùng VPN chế độ TUN: stack của máy chủ VPN tiếp quản, nên vân tay TCP/IP mà trang web thấy thuộc về máy chủ VPN chứ không phải client của bạn
• OpenVPN / WireGuard mặc định dùng chế độ TUN; proxy HTTP/SOCKS thì không — đây là điểm khác biệt then chốt
• Đừng ép MTU của đường hầm lên 1500 chỉ để "trông ít giống VPN hơn" — bản thân việc đóng gói đường hầm đã chiếm vài chục byte, đặt vượt quá sẽ gây phân mảnh hoặc hố đen PMTUD (gói lớn bị treo, trang chỉ tải được một nửa). Hãy giữ giá trị mặc định của ứng dụng (WireGuard 1420, OpenVPN tự động)

⑥ Phân tích hành vi — thời điểm truy cập + thói quen nhập liệu

Đây là góc độ khó phòng tránh nhất, vì nó hoàn toàn không dựa vào bất kỳ vân tay kỹ thuật nào, mà hoàn toàn dựa vào học máy:

• Phân bố thời gian truy cập: nếu khung giờ online hằng ngày của nhiều tài khoản trùng nhau, đó là cùng một người
• Quỹ đạo chuột / tốc độ cuộn / nhịp gõ phím: mỗi người một khác, và được ngân hàng / hệ thống chống gian lận thu thập
• Thời lượng phiên / kiểu điều hướng: thói quen duyệt web của bạn là duy nhất
• Đặc điểm nhập văn bản: tỷ lệ gõ sai, thói quen chọn từ và ngữ pháp của bạn

Phòng tránh:

• Tách biệt nghiêm ngặt khung giờ sử dụng giữa các tài khoản — đừng đăng nhập "tài khoản A + tài khoản B" cùng lúc; hãy lệch nhau vài giờ
• Khi thật sự cần ẩn danh, hãy đổi thiết bị (từ laptop sang điện thoại / máy tính bảng)
• Không thể phòng tránh hoàn toàn, nhưng bạn có thể khiến việc liên kết khó hơn đáng kể

⑦ Nhật ký của nhà cung cấp VPN + quyền tài phán pháp lý

Với VPN, đây là tội tổ tông. Bạn tin rằng nhà cung cấp VPN không lưu nhật ký, nhưng thực tế:

• Nhà cung cấp VPN thương mại có thể bị thâu tóm (Avast bị NortonLifeLock mua lại → chính sách quyền riêng tư thay đổi)
• Nhà cung cấp có thể lén thu thập nhật ký (năm 2017, PureVPN đã giao nhật ký người dùng cho FBI, dù trước đó tuyên bố "không lưu nhật ký")
• Trát đòi hầu tòa có thể buộc họ hợp tác — Mỹ / Anh / Canada / Úc / New Zealand (Five Eyes) đều chấp nhận điều tra xuyên biên giới
• Nine Eyes = Five Eyes + Đan Mạch / Pháp / Hà Lan / Na Uy
• Fourteen Eyes = Nine Eyes + Đức / Bỉ / Ý / Tây Ban Nha / Thụy Điển

Tiêu chí lựa chọn:

VPN tự dựng cho bạn nhiều quyền kiểm soát hơn — nhưng nhà cung cấp VPS (Vultr / Hetzner / DigitalOcean) cũng lưu nhật ký riêng và có thể hợp tác điều tra. Ẩn danh thật sự đòi hỏi mua VPS bằng tiền mặt / tiền mã hóa và đăng ký bằng danh tính giả, đây là một khối lượng công việc kỹ thuật không nhỏ.

⑧ Liên kết chéo tài khoản — nhiều tài khoản dùng chung cookie / vân tay

Sau khi đăng nhập tài khoản A, trình duyệt lưu cookie / localStorage / bộ nhớ đệm. Nếu bạn chuyển sang tài khoản B trên cùng trình duyệt, trang web có thể nhận ra ngay bạn là cùng một người.

• Cùng vân tay + đăng nhập nhiều tài khoản trong khoảng thời gian ngắn = liên kết chéo tài khoản
• Theo dõi cookie liên trang (dù trình duyệt hiện đại đã bắt đầu hạn chế)
• Script theo dõi bên thứ ba (Google Analytics / Facebook Pixel) liên kết hoạt động giữa các trang

Phòng tránh:

• Tiện ích Firefox Multi-Account Containers: mỗi tài khoản có cookie / bộ nhớ riêng biệt
• Dùng nhiều hồ sơ trong Chrome (ảnh đại diện góc trên bên phải → thêm người dùng)
• Biện pháp cực đoan: chạy các tài khoản trong những máy ảo riêng biệt, mỗi VM dùng một lối ra VPN khác nhau

Bảng tổng hợp chiến lược phòng tránh

Lời khuyên thực tế: bạn thực sự cần ẩn danh đến mức nào?

Trước khi quyết định cần phòng tránh sâu đến đâu, hãy xác định ai đang thực sự theo dõi bạn:

• Nhà quảng cáo + công ty môi giới dữ liệu (cường độ thấp): uBlock Origin + chặn cookie bên thứ ba + một VPN thông thường là đủ cho phần lớn tình huống hằng ngày
• Kiểm soát rủi ro chống gian lận (cường độ trung bình): như trên + DNS của VPN nhất quán + múi giờ/ngôn ngữ khớp + hồ sơ trình duyệt tách biệt
• Đối thủ kinh doanh / bot thu thập dữ liệu (cường độ trung bình-cao): như trên + chế độ TUN + trình duyệt thật (không có dấu vết Selenium) + xóa cookie còn sót
• Chính phủ / điều tra xuyên biên giới (cường độ cực cao): mọi thứ ở trên chỉ là mức cơ bản. Bạn cần Tor / Whonix / Tails / VPS mua bằng tiền mặt + XMR + thiết bị cách ly hoàn toàn

Đa số người dùng chỉ cần cấp 1-2; từ cấp 3 trở lên là lĩnh vực chuyên sâu. Đừng để mức ẩn danh không thực sự cần thiết làm nặng nề việc sử dụng hằng ngày.