Mạng riêng (Tailscale) là gì

• Luôn bật: đăng nhập rồi thì thiết bị ở lại trong mạng qua những lần khởi động lại, đổi Wi‑Fi hay chuyển từ Wi‑Fi sang 4G; kết nối tự hồi phục. VPN truyền thống phải bấm mới kết nối, rớt lần nào phải nối lại lần đó.
• Cổng ra là tùy chọn: không chọn cổng ra thì lưu lượng Internet đi bằng mạng tại chỗ, chỉ lưu lượng tới các thiết bị khác trong Mạng riêng được mã hóa; chọn cổng ra của một khu vực thì mọi thứ đi ra từ khu vực đó, giống VPN. Đổi cổng ra chỉ là một cú bấm trong menu, không cần địa chỉ mới, không phải đăng nhập lại.
• Các thiết bị vào được lẫn nhau: điện thoại, laptop và NAS ở nhà cùng tài khoản đều có địa chỉ riêng và nối thẳng được với nhau, không phải mở cổng (port forwarding) trên router, không cần IP công khai.

• Có nhiều thiết bị và muốn cấu hình một lần rồi luôn trực tuyến: đăng nhập trên điện thoại và laptop một lần, sau đó thỉnh thoảng đổi khu vực cổng ra là xong.
• Có NAS, máy tính hay camera ở nhà cần vào từ bên ngoài: cho cả hai đầu đăng nhập Mạng riêng rồi kết nối bằng tên thiết bị hoặc địa chỉ riêng, như khi ở nhà.
• Thiết bị cần chạy liên tục thời gian dài: không có chuyện phiên kết nối hết hạn.
• Chỉ dùng một lần, hoặc thiết bị đang chạy VPN công ty: cách khác sẽ hợp hơn; xem phần cuối.

Chọn hệ điều hành của bạn rồi làm theo ảnh. Nút bên phải để xem video, bấm vào ảnh nào cũng phóng to được.

• iPhone và iPad chưa có video: cài ứng dụng Tailscale chính hãng từ App Store (cần Apple ID khu vực ngoài Trung Quốc), ở màn hình chưa đăng nhập chạm “⋯” → Use custom server (dùng máy chủ tùy chỉnh) rồi nhập địa chỉ ghi trên trang Mạng riêng; khi trình duyệt mở trang đăng nhập của chúng tôi, xác nhận bằng tài khoản trang này.
• Nếu bạn từng đăng nhập tài khoản Tailscale chính hãng, hãy đăng xuất trước: trên điện thoại chạm ảnh đại diện → Log Out (đăng xuất), trên máy tính chạy tailscale logout. Không đăng xuất sạch thì tùy chọn máy chủ tùy chỉnh sẽ không hiện ra.
• Không muốn dùng cổng ra thì chọn None (không chọn) trong mục Exit Node.
• Cổng ra cũng đặt được bằng dòng lệnh: tailscale set --exit-node=<region>

Hiệu lực đăng nhập của thiết bị đi theo hạn tài khoản: tài khoản hết hạn thì vài phút sau thiết bị rớt mạng; gia hạn xong, đăng nhập lại một lần (trên máy tính thì chạy lại lệnh up), không phải cài lại.

Một tài khoản cho phép 2, 4 hoặc 8 thiết bị trực tuyến cùng lúc tùy gói (Cá nhân, Gia đình, Doanh nghiệp), dùng chung hạn mức với AnyConnect, Hiddify và các cách khác. Nếu cần nhiều thiết bị trực tuyến hơn gói cho phép, hãy tạm nâng loại tài khoản (thời gian còn lại quy đổi ngang giá) rồi đổi về sau.

Router tính là một thiết bị; các thiết bị phía sau nó không tính.

Exit node chính là các máy chủ khu vực mà những cách khác cũng dùng, nên tốc độ tùy đường từ bạn tới khu vực đó và giờ trong ngày. Đèn đỏ/vàng/xanh trong danh sách khu vực vẫn áp dụng, và cùng loại đèn đó hiện cạnh tên từng cổng ra trong ứng dụng.

Lưu lượng giữa các thiết bị là WireGuard và đi điểm-điểm khi dựng được đường thẳng; không thì tự động đi qua relay ở khu vực gần nhất và vẫn chạy bình thường.

Người dùng ở trong Trung Quốc: trang bị chặn chỉ vào được khi có cổng ra ở nước ngoài. Nếu bạn cần “trang Trung Quốc đi thẳng, còn lại đi cổng ra”, thì router chia luồng kiểu đó dễ hơn nhiều.

• Trên cùng thiết bị đang chạy một VPN khác (AnyConnect của công ty, một công cụ mesh khác): chúng tranh nhau DNS và định tuyến; triệu chứng điển hình là trang video Trung Quốc báo lỗi khu vực hoặc không mở được mạng nội bộ công ty. Tắt cái kia đi, hoặc dùng Web Proxy, chỉ ảnh hưởng tới trình duyệt.
• Mạng ký túc xá hay văn phòng bóp UDP: WireGuard chạy trên UDP; trên những mạng này AnyConnect chạy trên TLS nhanh hơn.
• Chỉ dùng một lần: cho một phiên đơn lẻ thì AnyConnect hay Hiddify nhanh hơn, quét mã hoặc nhập địa chỉ là kết nối; còn đăng nhập Mạng riêng được thiết kế để trực tuyến lâu dài.