Cách mở chặn một website: cái gì hiệu quả
Vì sao trang không vào được: chặn DNS, lọc SNI/DPI, chặn IP hay giao thức. Cách tự kiểm tra, bật DNS mã hoá và giới hạn của công cụ cục bộ.
“Làm sao để mở chặn một website?” là câu hỏi rất hay gặp, và phần lớn câu trả lời nhảy ngay sang “cài VPN đi”. Đó thường là bước đầu tiên sai. Trang không tải được chỉ là triệu chứng, và cùng một triệu chứng có thể đến từ gõ nhầm địa chỉ, router lỗi, máy chủ quá tải hoặc một bộ lọc cố ý. Bài này giải thích các kiểu chặn phổ biến bằng ngôn ngữ dễ hiểu, kiểu nào công cụ cục bộ xử lý được, và một quy trình từng bước bạn làm được ngay trên điện thoại.
Nói rõ từ đầu: GreenTunnel là một VPN cục bộ. Nó chạy trên thiết bị của bạn, không có máy chủ trung gian do chúng tôi vận hành, và không giấu địa chỉ IP của bạn. Nó không hứa mở được một trang cụ thể nào, cũng không hứa vượt tường lửa của bất kỳ quốc gia nào. Nó xử lý một nhóm vấn đề nhất định, và bài này nói thẳng nhóm nào.
Vì sao một website không mở được
Trước khi nghi ngờ bị chặn, hãy loại trừ những nguyên nhân bình thường: trang đang sập, mạng của bạn rớt, địa chỉ gõ sai, hoặc ngày giờ trên máy bị sai (làm hỏng chứng chỉ HTTPS). Nếu cùng trang đó mở được trên mạng khác, ví dụ dữ liệu di động thay vì Wi-Fi, thì có điều gì đó trên mạng đầu tiên đang can thiệp. Lúc đó mới đáng hỏi đó là kiểu chặn nào.
1. Chặn DNS
Thiết bị của bạn trước tiên hỏi một máy phân giải DNS (thường do ISP hoặc router quản lý) để lấy địa chỉ IP của trang. Mạng chặn bằng DNS chỉ cần trả lời sai: không trả lời, trả về địa chỉ dẫn tới trang thông báo chặn, hoặc một địa chỉ không liên quan chưa bao giờ phục vụ trang đó. Bản thân trang vẫn bình thường và địa chỉ thật của nó vẫn truy cập được. Đây là kiểu chặn rẻ nhất để triển khai, nên rất phổ biến ở router gia đình, mạng trường học và một số ISP.
Cái giúp được: hỏi một máy phân giải khác, tốt nhất qua kênh mã hoá (DoH hoặc DoT) để câu trả lời không bị sửa giữa đường.
2. Lọc SNI và DPI
Khi bạn kết nối HTTPS, thông điệp đầu tiên của bắt tay TLS thường chứa tên trang ở dạng chữ rõ. Trường này gọi là SNI. Bộ lọc dùng kiểm tra gói tin sâu (DPI) đọc nó và ngắt hoặc reset kết nối nếu tên nằm trong danh sách. Nội dung trang vẫn được mã hoá, nhưng tên thì lộ ra. Chi tiết xem DPI là gì.
Cái giúp được: gửi thông điệp đầu tiên đó theo một hình dạng khác, ví dụ chia nhỏ để bộ lọc đơn giản không nhận ra tên. Các kỹ thuật của GreenTunnel làm đúng việc này. Nó chỉ hiệu quả với bộ lọc so khớp tên trong gói đầu tiên, và bộ lọc thay đổi theo thời gian.
3. Chặn IP
Một số mạng chặn theo địa chỉ đích. Gói tin tới IP đó bị loại bỏ bất kể bạn dùng tên nào, nên kết nối chỉ chờ rồi hết thời gian. DNS mã hoá không giúp vì bạn đã biết địa chỉ đúng. Chia nhỏ gói tin cũng không giúp vì gói tin không bao giờ rời khỏi mạng.
Cái giúp được: chỉ có cách đưa lưu lượng qua một máy chủ khác, do bạn chọn và tin tưởng. Tức là proxy hoặc tunnel, một nhóm sản phẩm khác với công cụ DPI cục bộ. GreenTunnel có Proxy Route và Tunnel Link cho máy chủ bạn tự dựng hoặc tự thuê.
4. Chặn giao thức, cổng và cả dịch vụ
Một mạng có thể chặn một giao thức (ví dụ QUIC trên UDP cổng 443, khiến trang quay về TCP), một cổng, hoặc cả một loại lưu lượng. Cắt mạng hoặc mạng “chỉ cho phép danh sách trắng” là trường hợp cực đoan. Công cụ cục bộ không giúp được ở đây, vì nó vẫn cần mạng chuyển lưu lượng đi.
| Kiểu chặn | Thường thấy gì | Công cụ cục bộ giúp được không? |
|---|---|---|
| DNS | “Không tìm thấy máy chủ”, trang thông báo chặn hoặc sai trang | Có, bằng DNS mã hoá |
| SNI / DPI | Kết nối bị reset hoặc hết thời gian, chỉ với HTTPS | Thường được, bằng cách định hình gói đầu |
| Địa chỉ IP | Lần nào cũng hết thời gian, dù DNS đúng | Không. Cần máy chủ khác |
| Giao thức, cổng, cắt mạng | Nhiều trang hoặc ứng dụng lỗi cùng lúc | Không |
Từng bước: nên thử gì, theo thứ tự
- Thử lại trên mạng khác. Chuyển giữa Wi-Fi và dữ liệu di động. Nếu mở được ở một bên, vấn đề nằm ở mạng còn lại. Xem vì sao trang mở được bằng 4G/5G nhưng không mở được bằng Wi-Fi.
- Chạy Inspect URL. Mở tab Inspect URL trong GreenTunnel, nhập tên miền và chạm Inspect. Nó so sánh DNS của ISP với DNS mã hoá, thử tới IP thật, và kiểm tra HTTPS có và không vượt chặn. Kết quả nêu nguyên nhân khả dĩ bằng lời dễ hiểu. Cách đọc: Trang web có bị chặn không?
- Chuyển sang DNS mã hoá. Trong Cài đặt → DNS chọn nhà cung cấp DoH hoặc DoT. Khi GreenTunnel đang bật, mọi truy vấn DNS trên máy đi tới máy chủ bạn đã chọn. Chỉ riêng bước này đã giải quyết được chặn DNS.
- Bật bảo vệ. Khởi động VPN từ màn hình Trang chủ. Nếu Inspect URL tìm được một kỹ thuật chạy được, chạm Dùng kỹ thuật này. Bạn có thể xem lại sau trong Cài đặt → Kỹ thuật.
- Dùng Luôn đi thẳng cho trang bị lỗi. Một số dịch vụ, như vài ngân hàng, không ưa lưu lượng bị chỉnh sửa. Thêm tên miền của họ vào Luôn đi thẳng. Các kết nối đó bỏ qua proxy và việc định hình gói tin. Xem quy tắc định tuyến.
- Xem Requester. Mở trang, rồi xem Requester. Nó cho biết mỗi kết nối được xử lý ra sao: Bypass, Direct hay Error. Nhiều lỗi dồn vào một tên miền gợi ý chặn IP hoặc giao thức.
Nếu vẫn không được, làm theo Bật GreenTunnel mà trang vẫn không vào được?
Đừng kỳ vọng những điều này
- Không hứa cho quốc gia hay trang nào. Cách chặn khác nhau giữa các ISP và thay đổi liên tục. Một kỹ thuật chạy hôm nay có thể ngừng chạy tháng sau.
- Không giấu IP. Trang web vẫn thấy IP thật của bạn, trừ khi bạn chủ động đi qua proxy hoặc tunnel do bạn chọn.
- Không giúp được với cắt mạng, chặn IP hay mạng danh sách trắng. Công cụ cục bộ không tạo ra kết nối mà mạng từ chối chuyển.
- Không ẩn danh. Đây là công cụ về kết nối và DNS, không phải công cụ ẩn danh.
Vậy VPN từ xa có phải đáp án không?
Đôi khi. Nếu bị chặn theo địa chỉ IP, hoặc bạn cần xuất hiện ở quốc gia khác, VPN từ xa hoặc máy chủ riêng là lựa chọn thực tế. Nếu bị chặn theo DNS hoặc SNI, công cụ cục bộ nhẹ hơn: lưu lượng không đi đường vòng nên tốc độ gần như bình thường. Chúng tôi so sánh hai mô hình trong VPN cục bộ và VPN từ xa và Bạn có cần VPN không?
GreenTunnel miễn phí trên Android và iPhone, có Premium tuỳ chọn cho các tính năng định tuyến nâng cao. Xem thêm ở trang chủ.
Câu hỏi thường gặp
Làm sao biết mình bị loại chặn nào?
So sánh kết quả. Nếu một máy phân giải DNS khác trả về địa chỉ khác và truy cập được, đó là chặn DNS. Nếu địa chỉ đúng nhưng chỉ HTTPS lỗi do bị reset, đó là dấu hiệu lọc SNI. Nếu kết nối tới địa chỉ đúng lần nào cũng hết thời gian, nhiều khả năng là chặn IP. Inspect URL chạy các bước kiểm tra này giúp bạn.
Đổi DNS sang 1.1.1.1 hoặc 8.8.8.8 có đủ không?
Với chặn DNS thì thường là đủ, miễn là mạng cho truy vấn DNS đi ra ngoài. Một số mạng chuyển hướng DNS thường ở cổng 53 sang máy chủ của họ, vì vậy DNS mã hoá đáng tin cậy hơn. Nó không giúp gì với chặn SNI hay IP.
Mở chặn một trang có giấu danh tính của tôi không?
Không. Sửa DNS hay định hình gói tin chỉ thay đổi cách kết nối bắt đầu, không thay đổi bạn là ai. Trang web và ISP vẫn thấy địa chỉ IP của bạn và đích bạn kết nối tới.
Có hợp pháp không?
Điều đó phụ thuộc vào nơi bạn sống và mạng bạn đang dùng. Hãy kiểm tra pháp luật địa phương và quy định của mạng trước khi vượt qua bất kỳ bộ lọc nào.
Nguồn
- IETF, RFC 8484: DNS Queries over HTTPS (DoH).
- IETF, RFC 8446: TLS 1.3 (ClientHello và phần mở rộng server_name).
- IETF, RFC 9000: QUIC (QUIC chạy trên UDP, nên khi UDP bị chặn trang có thể quay về TCP).
