VPN(cửa sổ mới) passthrough là một tính năng của bộ định tuyến cho phép lưu lượng VPN đi qua tường lửa và Biên dịch địa chỉ mạng (NAT)(cửa sổ mới). Tính năng này không tự tạo kết nối VPN, mà đảm bảo bộ định tuyến không chặn thiết bị trong mạng kết nối với VPN bên ngoài.
Đối với hầu hết các doanh nghiệp, đây không phải là điều cần phải cấu hình hay bận tâm. Các VPN tin cậy như Proton VPN được xây dựng để hoạt động mặc định với NAT, vì vậy các bộ định tuyến sẽ tự động xử lý lưu lượng mà không cần bất kỳ quy tắc đặc biệt nào.
Tại sao VPN passthrough lại tồn tại?
VPN passthrough giải quyết các sự cố tương thích giữa các giao thức VPN cũ hơn và cơ sở hạ tầng mạng mới hơn. Hầu hết các mạng sử dụng NAT để cho phép nhiều thiết bị chia sẻ một địa chỉ IP công cộng. Mặc dù điều này hoạt động đối với lưu lượng thông thường, một số VPN cũ hơn không được thiết kế để tương thích với NAT.
Vì các giao thức VPN cũ hơn không phải lúc nào cũng sử dụng các cổng hoặc cấu trúc tiêu chuẩn mà NAT có thể diễn giải, bộ định tuyến không thể theo dõi dữ liệu thuộc về đâu và kết nối sẽ thất bại. VPN passthrough hoạt động như một giải pháp thay thế giúp bộ định tuyến nhận diện và định tuyến chính xác loại lưu lượng này.
VPN passthrough hoạt động như thế nào?
VPN passthrough là một tập hợp các cơ chế được tích hợp vào bộ định tuyến để hỗ trợ các giao thức VPN cụ thể. Khi được kích hoạt, bộ định tuyến sẽ:
- Nhận diện lưu lượng VPN sử dụng các giao thức hoặc cổng cụ thể
- Áp dụng các quy tắc xử lý đặc biệt để các gói tin đã mã hóa không bị loại bỏ
- Cho phép kết nối đi qua NAT một cách chính xác
Nếu không có VPN passthrough, bộ định tuyến có thể chặn hoặc định tuyến sai lưu lượng, ngăn VPN kết nối.
Các loại VPN passthrough
Các VPN khác nhau xử lý dữ liệu khác nhau, vì vậy không chỉ có một loại passthrough duy nhất. Khi làm việc với các hệ thống cũ hơn, có thể thấy các loại VPN passthrough khác nhau tùy thuộc vào giao thức được sử dụng.
Chuyển tiếp PPTP
Giao thức đường hầm điểm-nối-điểm (PPTP) là một trong những loại VPN lâu đời nhất. Giao thức này sử dụng một giao thức gọi là Generic Routing Encapsulation (GRE) để gửi và nhận dữ liệu. Tuy nhiên, NAT yêu cầu một số cổng để điều hướng lưu lượng, và GRE không sử dụng cổng, điều này tạo ra xung đột khiến kết nối bị ngắt.
PPTP passthrough giải quyết vấn đề này bằng cách thêm Call ID vào dữ liệu. Bộ định tuyến xử lý ID này như một số cổng, cho phép lưu lượng đi qua tường lửa một cách chính xác.
Chuyển tiếp L2TP
Giao thức đường hầm lớp 2 (L2TP) hoạt động tương tự như PPTP. Để vượt qua rào cản NAT, L2TP passthrough gán một Session ID cho các gói dữ liệu. ID này hoạt động thay thế cho số cổng, cho phép bộ định tuyến nhận diện và định tuyến lưu lượng đến đúng thiết bị.
Chuyển tiếp IPSec
IPSec (Internet Protocol Security) sử dụng một công nghệ gọi là NAT Traversal (NAT-T) để điều hướng qua các bộ định tuyến. Công nghệ này gói dữ liệu IPSec đã mã hóa bên trong một gói UDP tiêu chuẩn.
Vì các bộ định tuyến đã biết cách xử lý các gói UDP, IPSec passthrough có thể thiết lập kết nối bằng cách sử dụng một cổng cụ thể (UDP 4500). Điều này cho phép bộ định tuyến ánh xạ và định tuyến chính xác kết nối trong khi vẫn giữ cho dữ liệu đã mã hóa được an toàn và nguyên vẹn.
Sự khác biệt giữa VPN và VPN passthrough là gì?
VPN là dịch vụ bảo vệ dữ liệu. Dịch vụ này mã hóa lưu lượng internet và tạo mặt nạ cho địa chỉ IP bằng cách định tuyến kết nối qua một máy chủ từ xa an toàn.
VPN passthrough là một tính năng trên bộ định tuyến. Tính năng này không mã hóa dữ liệu, ẩn địa chỉ IP(cửa sổ mới), hoặc tự cung cấp bất kỳ tính năng bảo mật nào. Nhiệm vụ duy nhất của tính năng này là nhận diện lưu lượng VPN và cho phép đi qua tường lửa của bộ định tuyến.
Nếu sử dụng một VPN tốt, nhìn chung hoàn toàn không cần lo lắng về các cài đặt passthrough, vì bộ định tuyến sẽ tự động xử lý.
VPN passthrough so với bộ định tuyến VPN
Hai khái niệm này thường bị nhầm lẫn, nhưng chúng phục vụ các mục đích rất khác nhau:
- Bộ định tuyến VPN chủ động mã hóa và định tuyến lưu lượng cho mọi thiết bị kết nối với thiết bị này.
- VPN passthrough cho phép một thiết bị riêng lẻ trên mạng kết nối với một VPN bên ngoài.
VPN có cần passthrough không?
Trong hầu hết các trường hợp, câu trả lời là không. Các giao thức VPN được xây dựng để tự động xử lý NAT. Các giao thức như WireGuard(cửa sổ mới), OpenVPN(cửa sổ mới), và IKEv2(cửa sổ mới) được thiết kế để cho phép bộ định tuyến theo dõi các kết nối và gửi dữ liệu đến đúng thiết bị mà không cần bất kỳ thiết lập thủ công hay quy tắc đặc biệt nào.
Proton VPN chỉ dựa trên các giao thức bảo mật, vì vậy nó tương thích mặc định với các cấu hình bộ định tuyến tiêu chuẩn.
- Không cần cấu hình thủ công: Không cần thay đổi bất kỳ cài đặt nâng cao nào trong phần sụn của bộ định tuyến để kết nối.
- Khả năng tương thích tự động: Proton VPN hoạt động với hầu hết tất cả các thiết bị mạng gia đình và văn phòng ngay khi xuất xưởng.
- Bảo mật tốt hơn: Bằng cách tránh các cơ chế passthrough cũ hơn, cũng tránh được các lỗ hổng bảo mật liên quan đến các giao thức cũ như PPTP.
Trừ khi sử dụng phần cứng cực kỳ cũ hoặc tường lửa doanh nghiệp bị hạn chế cao, có thể kết nối với Proton VPN mà không cần điều chỉnh các cài đặt passthrough.
Có cần VPN passthrough không?
Có thể chỉ cần bận tâm về VPN passthrough nếu:
- Sử dụng các giao thức VPN cũ như PPTP hoặc L2TP
- Phụ thuộc vào thiết bị mạng cũ hơn
- Quản lý các hệ thống chuyên dụng hoặc công nghiệp có phần mềm lỗi thời
Nếu không, các ứng dụng khách VPN như Proton VPN sẽ tự động xử lý khả năng tương thích này theo mặc định.
Có rủi ro bảo mật nào với VPN passthrough không?
Hầu hết các lo ngại về bảo mật bắt nguồn từ thực tế là VPN passthrough được thiết kế để giúp các giao thức cũ hơn, kém an toàn hơn vượt qua các lớp bảo vệ tiêu chuẩn của bộ định tuyến.
- Phụ thuộc vào các giao thức yếu: VPN passthrough thường được sử dụng phổ biến nhất cho các giao thức cũ như PPTP, vốn không còn được coi là an toàn và có thể dễ dàng bị khai thác bởi các cuộc tấn công mạng.
- Điểm mù của tường lửa: Tường lửa có thể không kiểm tra dữ liệu di chuyển vào và ra khỏi kết nối. Nếu bản thân giao thức VPN yếu, điều này sẽ tạo ra một đường dẫn cho lưu lượng độc hại nhập vào mạng mà không bị phát hiện.
- Tăng bề mặt tấn công: Việc kích hoạt VPN passthrough thường yêu cầu mở các cổng giao tiếp cụ thể trên bộ định tuyến. Mỗi cổng mở là một điểm xâm nhập tiềm năng mà những kẻ tấn công có thể quét và cố gắng khai thác.
Các phương pháp hay nhất để thiết lập VPN passthrough an toàn
Đối với hầu hết các doanh nghiệp và cá nhân, chiến lược bảo mật tốt nhất là tránh hoàn toàn việc cần đến VPN passthrough. Nếu bắt buộc phải sử dụng, hãy làm theo các bước sau để giữ cho mạng được an toàn:
- Ưu tiên các giao thức cập nhật: Sử dụng các VPN hỗ trợ WireGuard hoặc OpenVPN, vốn là tiêu chuẩn của Proton VPN. Các giao thức này được thiết kế để hoạt động với các bộ định tuyến và NAT mà không cần VPN passthrough.
- Vô hiệu hóa những gì không sử dụng: Nếu bộ định tuyến đã kích hoạt VPN passthrough theo mặc định nhưng đang sử dụng một dịch vụ như Proton VPN, nên tắt tính năng này đi. Việc giảm số lượng các tính năng hoạt động trên bộ định tuyến sẽ làm thu hẹp bề mặt tấn công.
- Kiểm tra định kỳ các cài đặt bộ định tuyến: Rất dễ kích hoạt một cài đặt để khắc phục một lần rồi quên mất. Hãy thường xuyên kiểm tra phần sụn của bộ định tuyến để đảm bảo không để lại các lối vào không an toàn cho các giao thức cũ không còn sử dụng nữa.
- Luôn cập nhật phần cứng: Đảm bảo phần sụn của bộ định tuyến hiện đã cập nhật. Các nhà sản xuất thường phát hành các bản cập nhật để vá các lỗ hổng liên quan đến cách bộ định tuyến xử lý lưu lượng đã mã hóa và quản lý cổng.
Cuối cùng, nên coi VPN passthrough là giải pháp cuối cùng cho các hệ thống cũ. Nếu cơ sở hạ tầng cho phép, việc chuyển sang thiết lập VPN hiện đại là cách hiệu quả nhất để loại bỏ các rủi ro này.
Điểm mấu chốt
VPN passthrough là giải pháp cho vấn đề tương thích giữa các giao thức VPN cũ hơn và các mạng mới hơn. Ngày nay, điều này phần lớn là không cần thiết.
Hầu hết các giao thức VPN, chẳng hạn như các giao thức được Proton VPN sử dụng, đều được xây dựng để hoạt động liền mạch với NAT. Điều này giúp cho VPN passthrough trở thành thứ mà hầu hết các doanh nghiệp sẽ không bao giờ cần phải cấu hình. Nếu vẫn thấy mình đang phụ thuộc vào passthrough, đó có thể là dấu hiệu cho thấy thiết lập VPN hoặc cơ sở hạ tầng mạng cần được cập nhật.
