Tunneling (Đường hầm) là gì?
Tunneling là kỹ thuật gói gọn (encapsulate) một gói tin mạng bên trong gói tin của giao thức khác để truyền qua mạng trung gian (thường là internet công cộng). Gói tin bên trong bị "che giấu" – không bị thiết bị trung gian kiểm tra nội dung thực.
Từ đồng nghĩa phổ biến: Port forwarding (chuyển tiếp cổng), Encapsulation (đóng gói).
Tunneling khác VPN như thế nào?
| Tiêu chí | Tunneling | VPN (Virtual Private Network) |
|---|---|---|
| Định nghĩa | Kỹ thuật đóng gói gói tin | Dịch vụ/mạng ảo dùng tunneling + mã hóa + xác thực |
| Mục đích | Truyền gói tin qua mạng không tương thích | Tạo kết nối an toàn, riêng tư end-to-end |
| Mã hóa | Không bắt buộc | Bắt buộc (IPsec, SSL/TLS, WireGuard...) |
| Xác thực | Không bắt buộc | Bắt buộc (cert, PSK, 2FA...) |
→ VPN sử dụng tunneling, nhưng tunneling không nhất thiết là VPN.
4 Giao thức tunneling chính cho VPN
- PPTP (Point-to-Point Tunneling Protocol): Cũ, nhanh nhưng yếu (MS-CHAPv2), không khuyến khích.
- L2TP/IPsec: L2TP tạo tunnel, IPsec mã hóa. Chậm hơn do double encapsulation. NAT traversal khó.
- SSTP (Secure Socket Tunneling Protocol): Microsoft, dùng SSL/TLS trên cổng 443. Vượt firewall tốt, chỉ Windows hỗ trợ tốt.
- OpenVPN: Open source, SSL/TLS, linh hoạt, mạnh, chạy UDP/TCP, đa nền tảng. Tiêu chuẩn vàng.
- WireGuard (Modern): Kernel-level, 4000 dòng code, Noise Protocol, cực nhanh, hiện đại nhất.
Tunneling dùng làm gì?
- VPN truy cập remote an toàn cho nhân viên.
- Kết nối Site-to-Site giữa các chi nhánh.
- Bypass censorship/firewall (Great Firewall, corporate proxy).
- IPv6 over IPv4 (6to4, 6in4, DS-Lite).
- Overlay network: VXLAN, Geneve trong SDN/Data Center.
Vấn đề bảo mật của Tunneling
- Evasion: Malware dùng DNS tunneling, HTTP tunneling, ICMP tunneling để exfiltrate data bypass firewall.
- Inspection khó: Firewall/IPS phải deep packet inspection (DPI) mới thấy payload bên trong – tốn tài nguyên.
- Split Tunneling risk: Traffic không qua VPN leak ra internet cục bộ.
Các dạng tunneling khác
- IP Tunneling (IP-in-IP): RFC 2003, GRE (Generic Routing Encapsulation).
- TCP Tunneling: SSH Tunnel (
ssh -L/-R/-D), HTTPS Proxy (CONNECT method). - DNS Tunneling: Dữ liệu nhét vào query DNS – dùng cho C2 hoặc bypass captive portal.
- HTTP/HTTPS Tunneling: WebSocket, HTTP/2, QUIC tunnels.
Tóm tắt
Tunneling = kỹ thuật cốt lõi của VPN. Hiểu rõ giúp chọn giải pháp phù hợp: WireGuard/OpenVPN cho VPN hiện đại; chặn DNS/HTTP tunneling bằng NDR/NDR + DNS filtering để phòng dữ liệu rò rỉ.