IPv6 và VPN: vì sao IPv6 có thể làm rò rỉ kết nối

Khi nói về VPN, người ta hay nhắc tới DNS rò rỉ hay kill switch, nhưng ít ai để ý tới IPv6. Thực tế, IPv6 là một trong những đường rò rỉ phổ biến nhất: VPN tưởng đã bảo vệ hết, trong khi một nửa lưu lượng lặng lẽ đi đường khác. Bài này giải thích IPv6 là gì, vì sao nó quan trọng với VPN, GreenTunnel xử lý ra sao, và cách bạn tự kiểm tra.

IPv6 là gì

Mỗi thiết bị trên Internet cần một địa chỉ. Chuẩn cũ IPv4 dùng địa chỉ 32 bit, viết dạng 203.0.113.10, tổng cộng khoảng 4 tỷ địa chỉ, và đã cạn từ lâu. Nhà mạng phải cho nhiều khách hàng dùng chung một địa chỉ qua NAT.

IPv6 dùng địa chỉ 128 bit, viết bằng số thập lục phân và dấu hai chấm, ví dụ 2001:db8::1. Số địa chỉ lớn tới mức mỗi thiết bị có thể có địa chỉ riêng. Ngày nay nhiều nhà mạng cấp cả hai loại cùng lúc, gọi là dual-stack.

Khi một trang có cả hai loại địa chỉ, trình duyệt và ứng dụng thường thử IPv6 trước, rồi mới dùng IPv4 nếu IPv6 chậm hoặc lỗi. Cơ chế này có tên Happy Eyeballs. Vì vậy, trên mạng có IPv6, một phần lớn lưu lượng của bạn có thể đang đi bằng IPv6 mà bạn không hề biết.

Vì sao IPv6 quan trọng với VPN

Một VPN trên điện thoại hoạt động bằng cách khai báo với hệ điều hành: “hãy gửi lưu lượng tới tôi”. Nó phải khai báo riêng cho IPv4 và cho IPv6. Nếu VPN chỉ khai báo IPv4, mọi kết nối IPv6 vẫn đi thẳng ra mạng thật như khi chưa bật VPN.

Hậu quả tuỳ loại VPN:

• VPN từ xa hứa đổi IP của bạn. Rò rỉ IPv6 làm trang web vẫn thấy địa chỉ IPv6 thật của bạn.
• VPN cục bộ như GreenTunnel không đổi IP khi đi thẳng, nhưng vẫn cần thấy mọi kết nối để áp dụng DNS mã hoá, vượt chặn DPI, danh sách chặn và quy tắc định tuyến. Một kết nối IPv6 đi vòng sẽ không được vượt chặn, không bị danh sách chặn bắt, và không hiện trong Requester.
• Khi dùng proxy hoặc tunnel, rò rỉ IPv6 nghĩa là một phần lưu lượng không đi qua máy chủ bạn chọn. Đây chính là điều bài không rò rỉ khi proxy lỗi muốn tránh.

Ngược lại cũng có vấn đề. Nếu VPN khai báo nhận IPv6 trên một mạng không có IPv6, ứng dụng sẽ thử IPv6 trước, VPN không gửi đi được, và người dùng thấy trang tải chậm hoặc báo lỗi kết nối thay vì quay về IPv4 ngay.

GreenTunnel xử lý IPv6 thế nào

Chỉ nhận IPv6 khi mạng thật có IPv6

Mỗi lần bật, GreenTunnel trên Android và iOS kiểm tra mạng đang dùng. Trên Android, mạng phải có một địa chỉ IPv6 toàn cầu và một tuyến IPv6 mặc định. Trên iOS, hệ thống phải báo mạng hỗ trợ IPv6.

• Mạng có IPv6: GreenTunnel nhận toàn bộ lưu lượng IPv6, cùng với toàn bộ IPv4. Không có kết nối nào đi vòng.
• Mạng chỉ có IPv4: GreenTunnel không khai báo IPv6. Ứng dụng thấy máy không có IPv6 và dùng IPv4 ngay, không phải chờ thử và lỗi.

Theo kịp khi bạn đổi mạng

Bạn ra khỏi nhà, điện thoại chuyển từ Wi-Fi sang 4G. Mạng mới có thể có IPv6 trong khi mạng cũ không có, hoặc ngược lại. GreenTunnel theo dõi mạng đang dùng. Khi IPv6 xuất hiện hoặc biến mất, nó tự dựng lại đường hầm trên Android, hoặc áp lại cấu hình mạng trên iOS, để khớp với mạng mới. Bạn không cần tắt bật lại.

Proxy Route và Tunnel Link

• Proxy Route: khi biết tên trang, GreenTunnel gửi tên miền cho proxy và để proxy tự phân giải. Proxy sẽ dùng IPv4 hay IPv6 tuỳ mạng của nó. Nếu proxy không mang được UDP, GreenTunnel chặn mọi UDP trừ DNS, để ứng dụng chuyển sang TCP và đi qua proxy. Xem Proxy Route.
• Tunnel Link (WireGuard): cấu hình WireGuard có mục Địa chỉ, ví dụ 10.8.0.2/32 và fd00::2/128. Nếu cấu hình có địa chỉ IPv6, kết nối IPv6 đi qua đường hầm. Nếu chỉ có IPv4, kết nối IPv6 được định tuyến tới tunnel đó sẽ bị từ chối ngay, không lén đi thẳng ra ngoài. Phần lớn ứng dụng sau đó thử lại bằng IPv4. Xem Tunnel Link.

Cách kiểm tra kết nối của bạn

1. Mạng có IPv6 không? Tắt GreenTunnel, mở một trang kiểm tra IPv6 như test-ipv6.com. Trang sẽ cho biết bạn có địa chỉ IPv4, IPv6, hay cả hai.
2. Bật GreenTunnel và kiểm tra lại. Ở chế độ đi thẳng, kết quả nên giống hệt lúc tắt, vì GreenTunnel không đổi IP của bạn. Điều quan trọng là IPv6 vẫn chạy nếu mạng có IPv6.
3. Xem trong Requester. Mở Requester, chạm vào một kết nối. Dòng Địa chỉ hiện IPv6 trong ngoặc vuông, ví dụ [2001:db8::1]:443. Thấy kết nối IPv6 ở đây nghĩa là nó đã đi qua GreenTunnel.
4. Khi dùng proxy hoặc tunnel: kiểm tra lại trang IP. Địa chỉ hiện ra phải là của máy chủ bạn chọn, cho cả IPv4 lẫn IPv6 nếu có. Nếu thấy địa chỉ IPv6 của nhà mạng mình, hãy xem lại quy tắc định tuyến và cấu hình tunnel.

Mẹo nhỏ

• Đừng tắt IPv6 trên router chỉ vì sợ rò rỉ. IPv6 giúp kết nối trực tiếp và nhiều mạng di động chạy tốt hơn với nó. Một VPN xử lý đúng IPv6 mới là cách giải quyết.
• Kiểm tra lại sau khi đổi mạng lớn, ví dụ đổi nhà mạng hay đổi router.
• Trang chỉ chậm trên một mạng? Hãy chạy Kiểm tra URL trên từng mạng để so sánh.
• Trên Android, hãy giữ GreenTunnel chạy ổn định khi đổi mạng. Xem cách giữ VPN luôn chạy trên Android.

Câu hỏi thường gặp

GreenTunnel có giấu địa chỉ IPv6 của tôi không?

Ở chế độ đi thẳng thì không. GreenTunnel là VPN cục bộ, không có máy chủ trung gian, nên trang web vẫn thấy IP thật của bạn, cả IPv4 lẫn IPv6. Muốn đổi IP, bạn cần Proxy Route hoặc Tunnel Link qua máy chủ bạn chọn. Xem VPN cục bộ và VPN từ xa.

Vì sao trang kiểm tra báo tôi không có IPv6 dù nhà mạng có hỗ trợ?

Có thể router ở nhà chưa bật IPv6, hoặc gói cước của bạn chưa được cấp. Đây là cài đặt của mạng, không phải của GreenTunnel. GreenTunnel chỉ phản ánh những gì mạng thật có.

Đổi từ Wi-Fi sang 4G có làm rơi kết nối không?

Các kết nối đang mở có thể bị ngắt và mở lại, giống như khi không dùng VPN. Đây là hành vi bình thường khi đổi mạng. GreenTunnel tự cập nhật cấu hình IPv6 theo mạng mới.

Ping tới địa chỉ IPv6 qua tunnel không chạy?

Tunnel Link hiện không chuyển gói ping (ICMP echo). Hãy dùng trang kiểm tra IP hoặc mở một trang web để kiểm tra tunnel.