Tại sao VPN không dùng được ở Nga?

VPN có thể ngừng hoạt động dù tài khoản còn hạn và máy chủ vẫn chạy. Nguyên nhân thường không nằm ở một nút “chặn VPN” duy nhất. Hệ thống mạng có thể tác động ở địa chỉ IP, DNS, trường bắt tay, loại giao vận, nhịp gói tin hoặc chính tuyến quốc tế.

Bài viết phân biệt kết quả nghiên cứu với suy luận vận hành. Một thí nghiệm ở thời điểm hoặc quốc gia khác không tự động chứng minh cách mọi nhà mạng Nga đang xử lý hôm nay. Nó chỉ cho biết bộ lọc hiện đại có thể nhận diện lưu lượng mã hóa bằng những kỹ thuật nào.

Luật Liên bang Nga số 276-FZ năm 2017 sửa luật về thông tin và đặt ra nghĩa vụ liên quan đến công cụ truy cập tài nguyên bị hạn chế. Luật số 90-FZ năm 2019 tạo cơ sở quản lý tập trung mạng công cộng khi xuất hiện “mối đe dọa” theo luật. Đây là bối cảnh của Sovereign RuNet.

Nghiên cứu TSPU tại ACM IMC 2022 dùng phép đo trong và ngoài Nga để quan sát thiết bị trên đường truyền. Nhóm tác giả thấy kích hoạt theo SNI, IP, QUIC và hành vi có trạng thái. Trong mẫu đo, hơn một triệu điểm cuối thuộc 650 hệ thống tự trị nằm sau TSPU; 70% cách điểm cuối không quá hai hop. Đây không phải bản đồ bất biến của Internet Nga.

Chính sách có thể được điều phối tập trung nhưng thiết bị nằm trong mạng của nhiều ISP. Vì thế kết quả vẫn khác theo nhà mạng, loại truy cập và tuyến.

DPI không nhất thiết đọc được nội dung đường hầm. Bộ phân loại vẫn thấy IP, cổng, TCP hay UDP, độ dài, thứ tự, nhịp gói và các trường bắt tay chưa được che.

Với HTTPS truyền thống, tên máy chủ có thể xuất hiện trong SNI. QUIC có đặc trưng giao vận và bắt tay. Chuỗi byte đầu, kích thước thông điệp hoặc phản ứng của máy chủ trước đầu vào lạ cũng có thể thành dấu vân tay. Mã hóa nội dung không làm lưu lượng giống mọi HTTPS bình thường.

Nghiên cứu TSPU còn quan sát hành vi có trạng thái theo cờ TCP và mảnh IP. Nếu quyết định nằm ở IP hoặc mẫu giao thức sau phân giải tên, đổi DNS không thay đổi tín hiệu chính.

Nghiên cứu OpenVPN tại USENIX Security 2022 lọc thụ động bằng mẫu byte và kích thước gói, rồi chủ động thăm dò máy chủ nghi vấn. Trong thử nghiệm với một ISP khoảng một triệu người dùng, phương pháp nhận diện hơn 85% luồng OpenVPN, có rất ít dương tính giả và phát hiện 34 trong 41 cấu hình làm rối. Đây không phải tỷ lệ OpenVPN bị chặn ở Nga.

WireGuard đóng gói IP qua UDP và dùng bắt tay ngắn để lập khóa phiên. Thiết kế này tốt cho bảo mật và hiệu năng, nhưng bản thuần không phải lớp ngụy trang. IP máy chủ, UDP và dạng thông điệp vẫn tạo tín hiệu. Bảo mật mật mã khác khả năng hòa vào lưu lượng phổ biến.

Shadowsocks mã hóa nội dung, nhưng bản cũ hoặc thiếu lớp vận chuyển phù hợp có thể tạo luồng ngẫu nhiên từ gói đầu. Entropy, độ dài gói và thăm dò có thể được kết hợp để xác minh nghi vấn. Phiên bản và cách triển khai quyết định dấu hiệu.

Ngày đầu, IP máy chủ có thể chưa nằm trong tập chặn. Khi nhiều kết nối cùng mẫu đổ về đó, hệ thống có thêm dữ liệu và IP có thể bị hạn chế. Đổi ứng dụng nhưng giữ máy chủ sẽ không giúp.

Bộ phân loại cũng được cập nhật. Giao thức mới có thể chỉ chưa có quy tắc ổn định. Khi dấu vân tay được hiểu rõ hơn, bắt tay vẫn thành công nhưng dữ liệu bị rơi hoặc chỉ lỗi trên vài ISP. Quy tắc có thể được bật theo đợt để giảm ảnh hưởng nhầm.

Nguyên nhân cũng có thể là quá tải, đổi tuyến, chứng chỉ, đồng hồ sai hoặc tài khoản hết kỳ. Triệu chứng giống nhau nên câu “Nga chặn VPN” chưa đủ. Cần so sánh mạng gốc và nhiều điểm đo.

Thay đổi giao vận. Dịch vụ chỉ có một giao thức thuần sẽ ít lựa chọn khi mạng đổi. Nhiều cấu hình chỉ hữu ích khi có hướng dẫn chuyển rõ ràng.

Hình dạng lưu lượng. Lớp vận chuyển giống lưu lượng phổ biến có thể giảm dấu hiệu, nhưng sai khác trong bắt tay, kích thước, thời gian hoặc phản hồi vẫn có thể lộ.

Vận hành IP và máy chủ. Cần đủ tải, giám sát lỗi và quy trình thay thế khi IP hoặc tuyến gặp vấn đề. Xoay IP mà không hiểu nguyên nhân chỉ kéo dài vòng lặp.

Quan sát theo nhà mạng. OONI cho thấy việc thực thi không giống hệt trên mọi mạng. Hỗ trợ cần phân biệt ISP, vùng, TCP hay UDP và thiết bị, thay vì hứa “không bao giờ bị chặn”.

VPN “chết” ở Nga thường là kết quả của cuộc tương tác giữa bộ lọc trong tuyến, dấu vân tay giao thức, IP máy chủ và vận hành dịch vụ. Mã hóa mạnh vẫn cần thiết, nhưng không tự làm lưu lượng vô hình. Không có giao thức hay nhà cung cấp nào được bảo đảm sống mãi trước một hệ thống liên tục thay đổi.

MosVPN hiện cung cấp các lựa chọn cấu hình dựa trên Xray-core và hướng dẫn kiểm tra bằng tiếng Việt. Nếu muốn thử, hãy bắt đầu từ hướng dẫn cài, đo trên mạng thật của bạn và xem thông tin MosVPN cho người Việt ở Nga. Kết quả vẫn phụ thuộc nhà mạng, vùng, thiết bị và thời điểm.