Quy tắc định tuyến: chọn đường theo tên miền và ứng dụng

Cho dịch vụ xem phim đi qua WireGuard, ngân hàng đi thẳng, một ứng dụng đi qua proxy công ty. Cách quy tắc hoạt động và thứ tự GreenTunnel quyết định.

Đăng ngày Cập nhật 5 phút đọcRead in English →

Với Proxy Route và Tunnel Link, bạn chọn một tuyến cho toàn bộ lưu lượng. Nhưng thực tế hiếm khi đơn giản vậy. Bạn muốn dịch vụ xem phim đi qua máy chủ ở nước ngoài, nhưng ứng dụng ngân hàng thì đi thẳng. Bạn muốn ứng dụng làm việc đi qua proxy công ty, còn mạng xã hội thì không. Đó là việc của quy tắc.

Mỗi kết nối đi đường nào?

Với mỗi kết nối mới, GreenTunnel đi qua một danh sách kiểm tra cố định và dừng ở bước đầu tiên khớp:

Sơ đồ thứ tự quyết định: 1 bị chặn thì chặn. 2 nằm trong Luôn đi thẳng thì đi thẳng không định hình. 3 khớp quy tắc thì đi theo đích của quy tắc. 4 đang chọn một profile thì đi qua profile đó. Còn lại đi thẳng kèm vượt chặn DPI
Thứ tự quyết định của GreenTunnel cho từng kết nối.
  1. Danh sách chặn và plugin. Quảng cáo, trang lừa đảo bị chặn ngay, không gửi gì đi.
  2. Luôn đi thẳng. Các tên miền trong danh sách này (trong Cài đặt) đi thẳng, không qua proxy, không bị định hình gói tin.
  3. Quy tắc, theo đúng thứ tự trong danh sách. Quy tắc đầu tiên khớp quyết định đích.
  4. Tuyến đang chọn trong thẻ Nâng cao, nếu đó là một profile proxy hoặc tunnel.
  5. Đi thẳng, có vượt chặn DPI: cách GreenTunnel vẫn làm khi bạn không cấu hình gì.

Lưu ý sự khác biệt nhỏ nhưng quan trọng: một quy tắc có đích Đi thẳng vẫn được vượt chặn DPI như bình thường. Chỉ danh sách “Luôn đi thẳng” mới bỏ qua cả định hình gói tin.

Tạo quy tắc

  1. Mở thẻ Nâng cao dưới nút nguồn, chạm Cấu hình, rồi chạm Quy tắc.
  2. Chạm Thêm quy tắc.
  3. Ở Đi qua, chọn đích: Đi thẳng hoặc một profile đã lưu (proxy hay WireGuard).
  4. Nhập Tên miền, mỗi dòng một tên, và/hoặc (trên Android) chạm Chọn ứng dụng.
  5. Lưu. GreenTunnel nạp lại cấu hình ngay, và kết nối mới đi theo quy tắc mới.
Màn hình Quy tắc với ba quy tắc mẫu, mỗi quy tắc ghi đích và số tên miền, số ứng dụng
Danh sách quy tắc, xét từ trên xuống.
Trình chỉnh sửa quy tắc với đích là một profile WireGuard mẫu và danh sách tên miền, mỗi dòng một tên
Quy tắc theo tên miền, mỗi dòng một tên.

Tên miền khớp thế nào

Một tên miền khớp với chính nó và mọi tên miền con. Viết example.org, .example.org hay *.example.org đều cho cùng kết quả: www.example.org và cdn.example.org đều khớp. Một dịch vụ lớn thường dùng nhiều tên miền khác nhau (trang chính, máy chủ video, máy chủ ảnh), nên bạn cần liệt kê đủ. Cách dễ nhất để tìm là mở dịch vụ đó rồi xem trong Requester nó kết nối tới những tên miền nào.

Quy tắc theo ứng dụng (Android)

Trên Android, bạn có thể chọn ứng dụng từ danh sách các ứng dụng đã cài. Mọi kết nối của ứng dụng đó sẽ đi theo quy tắc, bất kể nó kết nối tới tên miền nào. Một quy tắc có cả tên miền lẫn ứng dụng sẽ khớp khi một trong hai khớp.

Trình chỉnh sửa quy tắc trên Android với một ứng dụng đã chọn và đích là profile proxy công ty mẫu
Quy tắc theo ứng dụng, chỉ có trên Android.

Trên iOS và iPadOS, hệ điều hành không cho ứng dụng VPN biết kết nối đến từ ứng dụng nào, nên GreenTunnel chỉ hỗ trợ quy tắc theo tên miền ở đó.

Ba ví dụ thực tế

Dịch vụ xem phim đi qua WireGuard

Bạn có một máy chủ WireGuard ở nước ngoài và muốn chỉ dịch vụ xem phim đi qua đó. Giữ tuyến mặc định là Đi thẳng, rồi thêm quy tắc: đích là profile WireGuard, tên miền là các tên miền của dịch vụ (ví dụ netflix.com và nflxvideo.net). Mọi thứ khác vẫn đi thẳng, nhanh và có vượt chặn DPI. Vì WireGuard chở cả UDP, QUIC của dịch vụ đó cũng đi qua tunnel.

Ngân hàng đi thẳng khi đang dùng proxy

Nếu bạn để một proxy ở nước ngoài làm tuyến mặc định, ứng dụng ngân hàng có thể thấy bạn đăng nhập từ IP lạ. Có hai cách:

  • Thêm tên miền ngân hàng vào Luôn đi thẳng: không qua proxy, không định hình gói tin. Đây là lựa chọn an toàn nhất cho ngân hàng.
  • Hoặc tạo quy tắc đích Đi thẳng cho ứng dụng ngân hàng (Android). Kết nối đi thẳng nhưng vẫn được vượt chặn DPI.

Một ứng dụng đi qua proxy công ty

Ứng dụng làm việc nội bộ chỉ hoạt động qua proxy công ty, nhưng bạn không muốn mọi thứ khác đi qua đó. Trên Android, tạo quy tắc đích là profile “Proxy công ty” và chọn đúng ứng dụng đó. Trên iOS, dùng tên miền nội bộ của công ty thay cho ứng dụng.

Vài điều nên biết

  • Thứ tự quan trọng. Đặt quy tắc cụ thể lên trên quy tắc chung. Dùng nút chuyển lên, chuyển xuống (hoặc kéo thả) để sắp xếp.
  • Profile bị xoá: quy tắc trỏ tới một profile không còn tồn tại sẽ được xử lý như Đi thẳng.
  • QUIC theo từng quy tắc: nếu đích của quy tắc không chở được UDP (ví dụ HTTP proxy), QUIC bị chặn cho các kết nối đó và trình duyệt chuyển sang TCP. Chi tiết trong bài chặn QUIC/HTTP3.
  • Không có đường lùi: nếu proxy hay tunnel của quy tắc bị lỗi, kết nối thất bại chứ không tự đi thẳng. Xem không rò rỉ khi proxy lỗi.

Quy tắc định tuyến nằm trong ứng dụng GreenTunnel VPN. Tìm hiểu thêm các tính năng ở trang chủ.

Câu hỏi thường gặp

Hai quy tắc cùng khớp một trang thì sao?

Quy tắc nằm trên cùng thắng. GreenTunnel dừng ở quy tắc khớp đầu tiên và không xét tiếp.

Vì sao trên iPhone không có quy tắc theo ứng dụng?

iOS không cho ứng dụng VPN biết kết nối thuộc về ứng dụng nào. Vì vậy trên iOS, Requester nhóm kết nối theo tên miền và quy tắc chỉ dùng tên miền.

Tôi có thể trộn proxy và WireGuard trong cùng danh sách quy tắc không?

Có. Mỗi quy tắc có đích riêng: một quy tắc đi qua proxy, quy tắc khác qua tunnel, quy tắc khác đi thẳng.

Thêm “Luôn đi thẳng” khác gì quy tắc có đích Đi thẳng?

“Luôn đi thẳng” được xét trước mọi quy tắc và bỏ qua cả việc định hình gói tin. Quy tắc Đi thẳng vẫn được vượt chặn DPI.

← Tất cả bài viết