Không rò rỉ: vì sao GreenTunnel không tự đi thẳng khi proxy lỗi

Bạn chọn đi qua proxy hay tunnel vì một lý do: proxy công ty bắt buộc, bạn không muốn nhà mạng thấy mình vào đâu, hay bạn cần trang web thấy IP của máy chủ ở nước khác. Nếu proxy gặp sự cố mà ứng dụng âm thầm cho kết nối đi thẳng, mọi lý do đó mất tác dụng, và bạn thậm chí không hay biết. GreenTunnel chọn cách ngược lại.

Không có đường lùi âm thầm

Một số ứng dụng có kiểu “fallback”: proxy không phản hồi thì tự chuyển sang kết nối trực tiếp cho “đỡ lỗi”. Nghe có vẻ tiện, nhưng hệ quả là:

• nhà mạng lại thấy bạn vào trang nào,
• trang web thấy IP thật của bạn, có khi ngay giữa một phiên đăng nhập,
• bạn vẫn tưởng mình đang đi qua proxy, vì chẳng có gì báo lại.

Với GreenTunnel, khi một kết nối đã được quyết định đi qua proxy hoặc tunnel (theo tuyến đang chọn hoặc theo quy tắc), những lỗi sau sẽ làm chính kết nối đó thất bại:

• không kết nối được tới proxy, hoặc proxy không trả lời kịp,
• sai tên đăng nhập hay mật khẩu,
• proxy HTTP/HTTPS trả về mã lỗi thay vì đồng ý mở đường hầm,
• lỗi chứng chỉ khi nói chuyện với HTTPS proxy,
• máy chủ WireGuard không trả lời bắt tay trong khoảng 15 giây.

Lỗi được ghi lại, và trang web sẽ báo không tải được. Phiền một chút, nhưng trung thực: bạn biết ngay có vấn đề và quyết định phải làm gì.

Riêng với WireGuard, tunnel tự thử bắt tay lại. Khi máy chủ phản hồi trở lại, các kết nối mới chạy bình thường mà bạn không phải làm gì.

Nhìn thấy điều gì đang xảy ra trong Requester

Requester là nơi tốt nhất để biết kết nối đi đường nào:

• Kết nối đi qua proxy hoặc tunnel có thêm nhãn nhỏ Proxy.
• Kết nối thất bại có nhãn Error. Lọc theo Error để chỉ xem chúng.
• Chạm vào một kết nối để mở chi tiết: mục Điều gì đã xảy ra và Lý do giải thích bằng lời dễ hiểu, như “Máy chủ không phản hồi kịp” hay “Máy chủ từ chối kết nối”.

Thông báo lỗi và nhật ký không bao giờ chứa địa chỉ proxy, mật khẩu hay khoá của bạn. Requester chỉ thấy tên miền và dung lượng, không thấy nội dung, và mọi thứ nằm trên máy bạn.

Kiểm tra profile trước khi dùng

Đừng đợi tới khi trang web không tải được mới biết proxy có vấn đề. Mỗi profile có nút Kiểm tra, trong trình chỉnh sửa và cạnh mỗi profile ở màn hình Nâng cao:

• Proxy (SOCKS5, HTTP, HTTPS, Shadowsocks): GreenTunnel kết nối qua proxy tới một trang HTTPS và hoàn tất bắt tay TLS. Thành công thì hiện thời gian tính bằng mili giây, thất bại thì hiện “Không kết nối được proxy”.
• WireGuard: GreenTunnel bắt tay với máy chủ và hiện thời gian khứ hồi. Không có phản hồi sau 10 giây thì báo hết thời gian chờ.

Hai trường hợp dễ gây bối rối: máy chủ Shadowsocks và WireGuard không bao giờ trả lời khi mật khẩu hay khoá sai. Vì vậy, sai mật khẩu Shadowsocks trông như một kết nối bị treo hoặc bị cắt, còn sai khoá WireGuard trông như hết thời gian chờ. Nếu máy chủ chạy bình thường mà kiểm tra vẫn thất bại, hãy xem lại mật khẩu, kiểu mã hoá hoặc khoá.

QUIC bị chặn khi tuyến không chở được UDP

Trình duyệt hiện đại thích dùng QUIC (HTTP/3), chạy trên UDP cổng 443. Proxy HTTP, HTTPS và SOCKS5 khi chưa bật UDP chỉ chở được TCP. Nếu cho QUIC đi thẳng, đó chính là một kiểu rò rỉ. Vì vậy, khi tuyến của một kết nối không chở được UDP, GreenTunnel từ chối QUIC, bất kể cài đặt chặn QUIC trong Cài đặt.

Đây không phải lỗi bạn cần sửa: mọi trình duyệt lớn đều được thiết kế để tự quay về HTTPS qua TCP khi QUIC không đi được, và kết nối TCP đó đi qua proxy như mọi kết nối khác. Bài chặn QUIC/HTTP3 giải thích kỹ hơn.

Còn lưu lượng UDP khác (một số game, cuộc gọi) thì sao? Nếu tuyến không chở được UDP, chúng cũng bị chặn giống như QUIC. Ứng dụng sẽ chuyển sang TCP qua proxy, và không có gì lọt ra ngoài. Ngoại lệ duy nhất là DNS, vì GreenTunnel luôn tự trả lời qua DNS mã hoá. Muốn cả UDP đi qua máy chủ của mình, hãy dùng Shadowsocks (UDP bật sẵn), SOCKS5 có bật Gửi cả UDP, hoặc Tunnel Link với WireGuard. Với những tuyến đó, nếu không mở được kênh UDP thì kết nối UDP cũng thất bại, không đi thẳng.

Khi proxy đang hỏng mà bạn cần vào mạng ngay

• Mở thẻ Nâng cao dưới nút nguồn và chọn Đi thẳng. Có hiệu lực ngay, không cần tắt VPN.
• Những trang quan trọng không nên phụ thuộc vào proxy, như ngân hàng, hãy thêm vào Luôn đi thẳng.
• Bảo vệ này chỉ có khi GreenTunnel đang chạy. Nếu bạn tắt GreenTunnel, các ứng dụng kết nối bình thường mà không qua nó.

Proxy Route, Tunnel Link và Requester nằm trong ứng dụng GreenTunnel VPN. Xem cách GreenTunnel bảo vệ quyền riêng tư ở trang chủ.

Câu hỏi thường gặp

Proxy chết thì GreenTunnel có tự chuyển sang profile khác không?

Không. GreenTunnel chỉ dùng đúng tuyến bạn chọn. Bạn tự quyết định chuyển sang profile khác hoặc về Đi thẳng.

Vì sao trang web tải được nhưng không có nhãn Proxy?

Có thể tên miền đó nằm trong “Luôn đi thẳng”, khớp một quy tắc có đích Đi thẳng, hoặc tuyến đang chọn là Đi thẳng. Mở chi tiết kết nối trong Requester để xem.

Nếu tôi xoá profile đang dùng thì sao?

Tuyến quay về Đi thẳng. Quy tắc nào còn trỏ tới profile đã xoá cũng được xử lý như Đi thẳng.

Chặn QUIC có làm chậm trang web không?

Trình duyệt chỉ mất một lần thử ngắn trước khi chuyển sang TCP, rồi thường nhớ lựa chọn đó cho trang ấy. Trong đa số trường hợp bạn khó nhận ra khác biệt.