Proxy hay VPN? Khác biệt và khi nào nên dùng loại nào

Khác biệt giữa proxy và VPN nằm ở việc lưu lượng được chuyển hướng ở tầng nào và chuyển hướng bao nhiêu. Proxy chuyển tiếp request của một ứng dụng (trình duyệt, script, bot) qua IP đầu ra của nó và tự nó không thêm mã hóa. VPN dựng một tunnel mã hóa ở cấp hệ điều hành và đưa toàn bộ hoặc phần lớn lưu lượng của thiết bị ra ngoài qua một máy chủ duy nhất.

Công việc cụ thể sẽ quyết định nên chọn loại nào. Nếu một script cần gửi nhiều request cùng lúc từ nhiều quốc gia, với nhiều IP khác nhau, hãy dùng proxy. Nếu cần bảo vệ toàn bộ lưu lượng của laptop trên mạng Wi-Fi công cộng hoặc kết nối từ xa vào mạng công ty, hãy dùng VPN.

Proxy và VPN khác nhau cơ bản ở điểm nào?

Cả hai đều khiến trang đích thấy một IP khác thay cho IP của bạn. Khác biệt nằm ở cách chúng làm việc đó:

• Proxy được cấu hình theo từng ứng dụng. Nếu bạn đặt proxy trong trình duyệt, chỉ trình duyệt đó đi qua proxy; trình email hay game trên cùng máy tính vẫn dùng kết nối riêng của chúng.
• VPN hoạt động ở cấp hệ thống. VPN client tạo một giao diện mạng ảo và thay đổi bảng định tuyến. Từ đó, phần lớn ứng dụng trên thiết bị đi qua tunnel mà không cần cài đặt gì thêm.
• Bản thân proxy không mã hóa. Lưu lượng đến các trang HTTPS vốn đã được mã hóa đầu cuối bằng TLS nên proxy không đọc được nội dung trang, nhưng kết nối đến proxy không được mã hóa thêm. VPN mã hóa mọi gói tin giữa thiết bị và máy chủ VPN.
• Proxy cho phép chọn IP linh hoạt. Bạn có thể chọn quốc gia, thành phố, ASN và loại IP (residential, mobile, datacenter, ISP); IP có thể đổi theo từng request hoặc giữ cố định. VPN thường chỉ có một IP đầu ra cho mỗi máy chủ, và IP này phần lớn thuộc về một trung tâm dữ liệu.

Một ví dụ ngắn: một chuyên viên SEO muốn xem cùng lúc kết quả của cùng một truy vấn tìm kiếm tại Istanbul, Berlin và New York sẽ gửi ba request qua ba đầu ra proxy khác nhau. Với VPN, người đó phải ngắt kết nối và chuyển sang máy chủ khác ba lần.

Về mặt kỹ thuật, proxy và VPN hoạt động thế nào?

Với một request qua proxy, client kết nối tới máy chủ proxy trước. Với HTTP proxy, để truy cập một trang HTTPS, client gửi CONNECT example.com:443; proxy thiết lập kết nối với đích và mở một tunnel TCP giữa hai bên. Phương thức này được định nghĩa trong RFC 9110. SOCKS5 (RFC 1928) thì chuyển các kết nối TCP, và UDP trong một số cấu hình, mà không xét đến giao thức ứng dụng. Trong cả hai trường hợp, ứng dụng dùng proxy phải biết địa chỉ proxy:

curl -x "http://USER:[email protected]:8989" https://api.ipify.org

IP mà lệnh này trả về là IP đầu ra của proxy. Cùng lúc đó, một lệnh chạy không qua proxy ở terminal khác sẽ trả về IP thật của bạn. Proxy chỉ mang lưu lượng được gửi tới nó.

VPN thì khác. Một giao thức như WireGuard, IPsec hoặc OpenVPN mở một giao diện mạng ảo trên thiết bị. Hệ điều hành chuyển route mặc định sang giao diện này; các ứng dụng gửi gói tin mà không biết VPN đang chạy, gói tin được mã hóa và chuyển tới máy chủ VPN, rồi được giải mã ở đó và đi ra internet. WireGuard làm việc này qua UDP. IPsec hoạt động ở tầng mạng và phổ biến trong truy cập từ xa của doanh nghiệp.

Khác biệt này cũng quyết định cách cấu hình. Proxy phải cài riêng cho từng ứng dụng, nhưng hai profile trình duyệt trên cùng một máy có thể đi ra từ hai IP khác nhau. VPN bao phủ cả thiết bị chỉ với một cú nhấp, nhưng thiết bị chỉ gắn với một IP đầu ra tại một thời điểm. Tính năng split tunneling trong một số VPN client có thể để một số ứng dụng nằm ngoài tunnel; dù vậy, cài đặt này không cấp IP riêng cho từng ứng dụng.

Bảng so sánh proxy và VPN

Phân biệt trong bảng áp dụng cho các cấu hình thông thường. Một số sản phẩm làm mờ ranh giới này: vài “VPN” phát hành dưới dạng tiện ích trình duyệt thực chất là proxy chỉ mang lưu lượng của trình duyệt; một số proxy client cũng có thể định tuyến toàn bộ hệ thống. Để biết một dịch vụ thuộc loại nào, hãy xem phạm vi của nó: chỉ một ứng dụng được chuyển hướng, hay route của cả hệ thống bị thay đổi?

Proxy hay VPN an toàn hơn?

Câu hỏi về an toàn gồm hai vấn đề riêng: lưu lượng có bị đọc trên đường truyền hay không, và trang đích có nhận ra bạn hay không.

Về mã hóa trên đường truyền, VPN bảo vệ nhiều hơn. Khi VPN đang bật, người khác trên mạng quán cà phê hay khách sạn chỉ thấy các gói tin mã hóa gửi tới máy chủ VPN. Khi dùng proxy, nội dung các trang HTTPS vẫn được mã hóa, nhưng tên miền bạn kết nối tới (dòng CONNECT và trường TLS SNI) vẫn hiển thị với người quan sát trên mạng. Lưu lượng HTTP thường đi qua proxy cũng ở dạng văn bản rõ.

Đối với trang đích, cả hai có cùng giới hạn. Proxy và VPN đều chỉ thay đổi địa chỉ đầu ra ở tầng mạng. Cookie, thông tin đăng nhập tài khoản, dấu vân tay trình duyệt và ngôn ngữ hệ thống vẫn đến trang đích nguyên vẹn. Rò rỉ có thể xảy ra ở cả hai cấu hình: truy vấn DNS của hệ điều hành có thể đi ra ngoài tunnel, và tính năng WebRTC của trình duyệt có thể làm lộ IP thật. Cách kiểm tra và đóng các kênh này được trình bày trong hướng dẫn về rò rỉ DNS. Nếu bạn dùng SOCKS5, hãy chọn scheme socks5h:// để DNS được phân giải ở phía proxy.

Cuối cùng, ở cả hai mô hình, lưu lượng của bạn đều đi qua máy chủ của một nhà cung cấp. Nhà cung cấp VPN thấy metadata của toàn bộ lưu lượng trên thiết bị, còn nhà cung cấp proxy chỉ thấy metadata của các kết nối bạn gửi tới proxy. Dù chọn dịch vụ nào, bạn cũng cần đọc chính sách quyền riêng tư và cách lưu log của nhà cung cấp. Nếu công việc của bạn có xử lý dữ liệu cá nhân, việc dùng proxy hay VPN không làm mất đi nghĩa vụ theo GDPR và luật bảo vệ dữ liệu cá nhân hiện hành.

Proxy hay VPN nhanh hơn?

Với một kết nối đơn lẻ, tốc độ thường phụ thuộc vào vị trí và tải của máy chủ hơn là công nghệ. Với người dùng ở Istanbul, một máy chủ VPN ở Frankfurt cho độ trễ thấp hơn một proxy ở Singapore; điều ngược lại cũng đúng.

Về chi phí kỹ thuật, có vài khác biệt nhỏ. VPN mã hóa từng gói tin và thêm header bổ sung, tức là tốn thêm CPU và tăng kích thước gói tin. Với các giao thức hiện đại, chi phí này thấp, nhưng có thể nhận thấy trên thiết bị cấu hình yếu. Proxy không mã hóa lại lưu lượng HTTPS; nó chỉ mang tunnel TCP hoặc kết nối SOCKS. Đổi lại, với mỗi kết nối mới tới đích, proxy thêm một vòng trễ cho bước CONNECT hoặc bắt tay SOCKS.

Khác biệt thực sự xuất hiện ở các tác vụ song song. Một tunnel VPN gắn với một IP đầu ra, và trang đích thường áp giới hạn tốc độ theo từng IP. Một script cố tải 500 trang từ một IP sẽ sớm nhận 429 Too Many Requests. Với một pool proxy, cùng công việc đó có thể chia ra nhiều IP. Các gói WeProxy không giới hạn số kết nối đồng thời và số thread, nên giới hạn thường do trang đích đặt ra. Để phân biệt mã lỗi đến từ phía nào, bạn có thể xem hướng dẫn mã lỗi proxy.

Việc nào nên dùng proxy, việc nào nên dùng VPN?

Những việc phù hợp với proxy:

1. Web scraping và theo dõi giá. Cần chia nhiều trang cho nhiều IP và xem nội dung từ quốc gia đích. Với việc này, rotating residential proxy cung cấp pool hơn 100M IP cùng nhắm mục tiêu theo quốc gia và thành phố.
2. Xác minh SERP và quảng cáo. Cách hiển thị của cùng một truy vấn hoặc quảng cáo tại nhiều thành phố được kiểm tra song song.
3. Đa tài khoản và trình duyệt antidetect. Mỗi profile nên chạy với IP cố định của riêng nó. Với các tài khoản cần giữ cùng một IP trong thời gian dài, có thể dùng các lựa chọn tĩnh như ISP proxy.
4. Kiểm thử ứng dụng di động và nền tảng mạng xã hội. Khi cần IP nhà mạng, hãy chọn mobile proxy 4G/5G; sản phẩm này chỉ hoạt động với giao thức HTTP.
5. API yêu cầu IP allowlist. Nếu nhà cung cấp chỉ chấp nhận kết nối từ một số IP nhất định, proxy tĩnh cho bạn một địa chỉ cố định.

Những việc phù hợp với VPN:

1. Mã hóa toàn bộ lưu lượng của thiết bị trên mạng Wi-Fi công cộng.
2. Kết nối tới mạng công ty, máy chủ nội bộ hoặc văn phòng từ xa (VPN site-to-site và VPN truy cập từ xa).
3. Nhu cầu cá nhân khi mọi ứng dụng trên thiết bị cần cùng lúc đi ra từ một quốc gia khác.
4. Đưa vào tunnel những ứng dụng không hỗ trợ cài đặt proxy.

Để xem chi tiết hơn loại IP nào hợp với việc nào, hãy đọc bài so sánh residential, mobile, datacenter và ISP proxy. Trong mọi tình huống, tự động hóa cần tuân thủ điều khoản sử dụng của trang đích, quy tắc robots.txt và chính sách sử dụng được chấp nhận của WeProxy.

Có thể dùng proxy và VPN cùng lúc không?

Có. Cấu hình phổ biến nhất là đặt proxy trong một ứng dụng trong khi VPN đang bật trên thiết bị. Khi đó lưu lượng đi theo thứ tự: ứng dụng → tunnel VPN → máy chủ proxy → trang đích. Trang đích thấy IP đầu ra của proxy; còn nhà cung cấp proxy thấy kết nối đến từ IP của máy chủ VPN.

Có ba điểm cần lưu ý với cấu hình này:

• Nếu xác thực bằng IP whitelist, bạn phải thêm IP đầu ra của VPN vào bảng điều khiển, thay vì IP mạng nhà mình. Khi máy chủ VPN thay đổi, proxy sẽ trả về 407. Phương thức tên người dùng/mật khẩu không gặp vấn đề này.
• Độ trễ cộng dồn. Lưu lượng đi tới máy chủ VPN trước, rồi tới máy chủ proxy, rồi mới tới đích. Chọn đầu ra VPN và proxy ở các quốc gia gần nhau sẽ giảm chi phí này.
• Một số VPN doanh nghiệp chỉ đưa vào tunnel lưu lượng tới mạng công ty (split tunneling). Khi đó lưu lượng proxy có thể hoàn toàn không đi qua VPN; hãy kiểm tra định tuyến để xác nhận.

Thứ tự ngược lại (proxy trước, VPN sau) về kỹ thuật cũng làm được, nhưng phần lớn VPN client không hỗ trợ; một số client như OpenVPN có thể thiết lập kết nối của chính nó qua HTTP hoặc SOCKS proxy. Trong sử dụng hằng ngày, nếu công việc không thực sự cần cả hai lớp, chạy với một lớp sẽ nhanh hơn và dễ chẩn đoán lỗi hơn.

Làm sao kiểm tra proxy hoạt động và IP đã thay đổi?

Dù dùng công nghệ nào, đừng bắt đầu công việc trước khi xác nhận IP mà trang đích nhìn thấy. Trình tự dưới đây áp dụng cho cả proxy lẫn VPN:

1. Khi proxy và VPN đều tắt, dùng công cụ My IP để ghi lại IP thật và quốc gia của bạn.
2. Đặt proxy cho ứng dụng hoặc bật VPN, rồi mở lại cùng trang đó. IP và quốc gia hiển thị phải thay đổi.
3. Với proxy, xác nhận từ dòng lệnh:

curl -s -x "http://USER:[email protected]:8989" https://api.ipify.org
curl -s -x "socks5h://USER:[email protected]:8989" https://api.ipify.org

1. Kiểm tra danh sách proxy có hoạt động chung hay không bằng proxy checker.
2. Kiểm tra trình duyệt có bị rò rỉ DNS và WebRTC hay không. Kể cả khi IP hiển thị đúng, nếu máy chủ DNS vẫn cho thấy mạng cũ của bạn thì cấu hình chưa hoàn chỉnh.

Nếu bạn cài proxy lần đầu, bài HTTP vs SOCKS5 giúp chọn giao thức, còn trang proxy là gì giải thích nguyên lý hoạt động cơ bản của proxy. Khi đã sẵn sàng chọn gói, trang mua proxy so sánh các sản phẩm theo mục đích sử dụng. Nếu muốn dùng thử, sản phẩm Premium Rotating Residential có bản dùng thử miễn phí 1 GB.

Nếu một ứng dụng cần đi ra với quốc gia và loại IP bạn chọn, và khi cần thì từ nhiều IP cùng lúc, hãy dùng proxy; nếu toàn bộ lưu lượng của thiết bị cần đi qua một tunnel mã hóa duy nhất, hãy dùng VPN. Nếu cần dùng cả hai cùng lúc, hãy kiểm tra thứ tự và cài đặt whitelist.