22 thuật ngữ ngành VPN — giải thích đơn giản, không sáo rỗng.
Hoặc nhấn ⌘F để tìm thuật ngữ.
Giao thức VPN hiện đại, đã qua kiểm toán, kết nối trong vài mili giây.
WireGuard là giao thức VPN được thiết kế vào cuối thập niên 2010 như một lựa chọn nhẹ hơn, nhanh hơn thay cho OpenVPN và IPsec. Mã nguồn của nó rất gọn (vài nghìn dòng so với hàng trăm nghìn), nên dễ kiểm toán hơn. Trên mạng di động, nó kết nối lại gần như tức thì khi bạn chuyển giữa Wi-Fi và mạng di động — đây là điều bạn thực sự cảm nhận được khi dùng.
Liên quan: OpenVPN, IKEv2 / IPsec
Giao thức VPN mã nguồn mở kinh điển, vẫn được dùng rộng rãi.
OpenVPN là chuẩn VPN mặc định từ thập niên 2000. Nó giàu tính năng, được kiểm toán kỹ và chạy trên hầu hết mọi nền tảng — nhưng nặng hơn WireGuard và kết nối chậm hơn. Đa số ứng dụng VPN cung cấp nó như một giao thức thay thế.
Liên quan: WireGuard, IKEv2 / IPsec
Giao thức nhanh, thân thiện với di động, tích hợp sẵn trong iOS và macOS.
IKEv2 (Internet Key Exchange phiên bản 2) là giao thức VPN được tích hợp vào các nền tảng của Apple. Nó chịu được thay đổi mạng rất tốt, nên lý tưởng cho điện thoại di chuyển giữa Wi-Fi và mạng di động. Đây là giao thức mà nhiều ứng dụng VPN trên iOS sử dụng bên dưới.
Lớp mã hóa đứng sau HTTPS.
TLS 1.3 là chuẩn hiện hành để mã hóa lưu lượng giữa trình duyệt và máy chủ. VPN nằm bên dưới TLS — nó mã hóa mọi thứ, kể cả siêu dữ liệu (bạn truy cập trang nào), thứ mà chỉ riêng TLS vẫn để lộ cho nhà mạng của bạn.
Mã hóa đối xứng chuẩn ngân hàng, được các VPN lớn sử dụng.
AES-256 là thuật toán mã hóa đối xứng với khóa 256-bit, được các chính phủ, ngân hàng và trình quản lý mật khẩu sử dụng. Đây là thuật toán mã hóa dữ liệu tiêu chuẩn trong các VPN hiện đại (bao gồm FREE VPN FAST). Tính đến thời điểm viết bài, chưa có cuộc tấn công thực tế nào phá được AES-256.
Thuật toán mã hóa nhanh, dùng trên thiết bị không có tăng tốc phần cứng AES.
ChaCha20-Poly1305 là thuật toán mã hóa dòng được WireGuard sử dụng. Trên các điện thoại đời cũ không có phần cứng AES chuyên dụng, ChaCha20 có thể nhanh hơn AES đáng kể mà vẫn bảo mật tương đương.
Các thuật toán được thiết kế để chống lại tấn công từ máy tính lượng tử tương lai.
Trong giai đoạn 2024–2025, NIST đã hoàn thiện các chuẩn mật mã hậu lượng tử đầu tiên (ML-KEM, ML-DSA, SLH-DSA). Các nhà cung cấp VPN đang dần triển khai trao đổi khóa hậu lượng tử để phòng rủi ro 'thu thập trước, giải mã sau'. FREE VPN FAST theo dõi sát mức hỗ trợ của nền tảng và sẽ triển khai trao đổi khóa an toàn hậu lượng tử ngay khi iOS, WireGuard và OpenVPN thượng nguồn cho phép.
Liên quan: AES-256
Các phiên trước vẫn an toàn kể cả khi khóa bị lộ về sau.
Forward secrecy (hay "perfect forward secrecy") nghĩa là mỗi phiên dùng một khóa tạm thời mới. Nếu khóa dài hạn bị rò rỉ nhiều năm sau, các phiên cũ vẫn không thể đọc được. Cả WireGuard lẫn TLS hiện đại đều cung cấp forward secrecy.
Chặn truy cập internet nếu kết nối VPN bị rớt.
Kill switch theo dõi đường hầm VPN của bạn và lập tức cắt toàn bộ internet nếu đường hầm bị đứt — nhờ đó IP thật và lưu lượng của bạn không bao giờ bị lộ trong khoảng trống trước khi VPN kết nối lại. Cực kỳ cần thiết trên di động, nơi mạng thay đổi liên tục.
Cho một số ứng dụng đi qua VPN, số khác đi thẳng.
Split tunneling cho phép bạn quyết định theo từng ứng dụng: lưu lượng nào đi qua VPN và lưu lượng nào đi qua kết nối thông thường. Hữu ích khi bạn muốn ứng dụng streaming dùng VPN nhưng ứng dụng ngân hàng kết nối thẳng đến IP của ngân hàng.
Ngụy trang lưu lượng VPN thành HTTPS thông thường.
Obfuscation khiến lưu lượng VPN đã mã hóa trông giống lưu lượng web bình thường, giúp vượt qua tường lửa và các hệ thống kiểm tra gói tin sâu vốn chặn những giao thức VPN tiêu chuẩn. Đôi khi được gọi là 'stealth' hay 'XOR' tùy cách triển khai.
Nhà cung cấp không ghi lại người dùng làm gì.
Chính sách không nhật ký nghĩa là dịch vụ VPN không lưu lại trang web bạn truy cập, truy vấn DNS, dấu thời gian kết nối gắn với danh tính người dùng, hay địa chỉ IP gốc trong khi VPN đang hoạt động. Những triển khai mạnh nhất được các hãng độc lập kiểm toán và công bố dưới dạng báo cáo minh bạch.
Liên quan: Báo cáo minh bạch
Nhật ký công khai về các yêu cầu của chính quyền và những gì nhà cung cấp đã giao nộp.
Báo cáo minh bạch cho người dùng biết nhà cung cấp đã nhận bao nhiêu trát hầu tòa, lệnh của tòa án và yêu cầu từ cơ quan thực thi pháp luật trong một giai đoạn nhất định — và dữ liệu nào đã được giao nộp. Với chính sách không nhật ký thì thường chẳng có gì nhiều để giao. Xem báo cáo của chúng tôi tại /transparency/.
Liên quan: Chính sách không nhật ký, Warrant canary
Một tuyên bố được cập nhật đều đặn — sự biến mất của nó chính là tín hiệu.
Warrant canary là một tuyên bố công khai kiểu 'chúng tôi chưa từng nhận thư an ninh quốc gia nào', được đăng kèm ngày cập nhật gần nhất. Vì một số thủ tục pháp lý cấm bên nhận tiết lộ chúng, việc canary bị gỡ xuống trở thành một tín hiệu. Kết hợp với báo cáo minh bạch, nó cho người dùng cách phát hiện sự im lặng bị ép buộc.
Liên quan: Báo cáo minh bạch
Thiết bị của bạn vẫn hỏi DNS của nhà mạng dù đã bật VPN.
Rò rỉ DNS xảy ra khi các truy vấn DNS đi vòng qua đường hầm VPN và đến máy phân giải của nhà mạng, làm lộ tên miền bạn truy cập. Ứng dụng VPN được xây dựng đúng cách sẽ định tuyến DNS qua đường hầm; bạn có thể kiểm tra bằng công cụ /tools/dns-leak/ của chúng tôi hoặc các trang kiểm tra bên ngoài.
Trình duyệt của bạn để lộ IP thật qua WebRTC.
WebRTC là API trình duyệt cho âm thanh/video ngang hàng. Theo mặc định, nó để lộ địa chỉ IP cục bộ và IP công khai của bạn cho JavaScript trên trang, có thể vô hiệu hóa khả năng ẩn IP của VPN. Các trình duyệt như Brave và Safari giảm thiểu rủi ro này theo mặc định; Chrome và Firefox cần tiện ích mở rộng hoặc thay đổi cấu hình.
Con số định danh thiết bị của bạn trên internet.
Mọi thiết bị trên internet đều có địa chỉ IP. Các trang web có thể dùng nó để định vị địa lý đại khái, giới hạn tần suất truy cập và ghép nối danh tính giữa các lần ghé thăm. VPN thay IP của bạn bằng IP của máy chủ VPN — các trang web khi đó thấy bạn đến từ vị trí của VPN.
Không gian địa chỉ internet mới hơn, lớn hơn.
IPv6 là thế hệ kế nhiệm của IPv4, dùng địa chỉ 128-bit thay vì 32-bit. Nhiều mạng gia đình vẫn chỉ dùng IPv4. Nếu VPN của bạn không xử lý IPv6 đúng cách, lưu lượng IPv6 thật của bạn có thể rò rỉ ra ngoài đường hầm — các ứng dụng VPN hiện đại định tuyến hoặc chặn IPv6 một cách rõ ràng.
Nhà mạng cố ý làm chậm một số loại lưu lượng.
Bóp băng thông là khi nhà cung cấp internet cố ý giảm tốc độ của một số loại lưu lượng nhất định (streaming, BitTorrent, chơi game) để giảm nghẽn mạng hoặc đẩy khách hàng lên gói cao hơn. Vì VPN mã hóa những gì bạn làm, nhà mạng không thể biết nên bóp lưu lượng nào.
Mạng dùng chung, nơi các thiết bị khác có thể thấy siêu dữ liệu.
Wi-Fi công cộng ở quán cà phê, sân bay và khách sạn rất tiện nhưng để lộ siêu dữ liệu (bạn truy cập trang nào) cho người vận hành mạng và trong một số trường hợp cho cả các thiết bị khác trên cùng mạng. HTTPS bảo vệ nội dung; VPN bảo vệ luôn cả siêu dữ liệu.
Nhận diện bạn không cần cookie, qua các tín hiệu thiết bị.
Dấu vân tay trình duyệt kết hợp các tín hiệu như kích thước màn hình, phông chữ đã cài, mẫu GPU, múi giờ và thói quen sử dụng thành một mã định danh gần như duy nhất — không cần cookie. VPN che giấu IP của bạn (một tín hiệu lớn); để chặn phần còn lại cần trình duyệt chú trọng quyền riêng tư như Safari hay Brave, hoặc tiện ích chống dấu vân tay.
Kiểm tra giấy tờ tùy thân bắt buộc để truy cập một số nội dung.
Bắt đầu từ Đạo luật An toàn Trực tuyến của Anh năm 2025 và các luật tương tự ở Úc cùng nhiều bang của Mỹ, ngày càng nhiều trang web bị buộc phải xác minh tuổi của khách truy cập trước khi hiển thị nội dung. Việc kiểm tra thường yêu cầu tải giấy tờ tùy thân lên một công ty 'xác thực độ tuổi' bên thứ ba. VPN cho phép bạn kết nối từ quốc gia không áp dụng các luật này, khôi phục quyền truy cập mở.
