So sánh giao thức VPN: WireGuard, OpenVPN, AnyConnect, Hysteria2

• Có chạy được trên mạng bị hạn chế không. Nhiều mạng ở ký túc xá, văn phòng, khách sạn hạn chế UDP và chỉ cho qua TCP có TLS, giống như lưu lượng khi mở một trang web. Giao thức dựa trên UDP sẽ chậm hoặc rớt ở đó; giao thức dựa trên TLS thì vẫn chạy.
• Rớt gói thì nhanh đến đâu. 4G, mạng ở nhà cũ và đường truyền xuyên biên giới hay rớt gói, và cách giao thức xử lý chuyện đó quyết định tốc độ thật trên những đường như vậy.
• Tốn pin bao nhiêu. Giao thức càng nhẹ, càng ít gửi gói giữ kết nối thì càng ít tốn điện; kết nối lại liên tục là tốn nhất.
• Thiết bị nào chạy được. Có giao thức được tích hợp sẵn ứng dụng trên gần như mọi hệ điều hành, router và NAS; có giao thức chỉ có dạng app trên điện thoại và máy tính.
• Còn một điều quan trọng không kém bản thân giao thức: khi nó bị nhận diện thì có phương án khác không. Dịch vụ chỉ có một giao thức thì giao thức đó bị phá là không còn đường nào để đi.

• Là gì: giao thức VPN mã nguồn mở đã hơn hai mươi năm tuổi; một file .ovpn chứa đủ mọi thứ cần để kết nối.
• Điểm mạnh: được hỗ trợ rộng nhất, ứng dụng có sẵn trong phần lớn firmware router, hệ điều hành NAS và máy chủ Linux; chạy được trên UDP hoặc TCP.
• Điểm yếu: nặng hơn các giao thức mới và tốn pin điện thoại hơn; bước bắt tay có dấu hiệu cố định mà mạng kiểm soát gắt nhận ra được.
• Hợp với: router, NAS và máy chủ cần tự kết nối khi khởi động và chạy không cần người trông. Xem Cách dùng OpenVPN và khi nào nên chọn nó.

• Là gì: giao thức VPN mã nguồn mở thế hệ mới, mã nguồn gọn, đã có trong nhân Linux, có ứng dụng cho mọi hệ điều hành phổ biến.
• Điểm mạnh: kết nối nhanh, mã hóa ít tốn tài nguyên, nhẹ pin; chuyển từ Wi‑Fi sang 4G thì kết nối tự nối lại.
• Điểm yếu: chỉ chạy UDP, nên ở nơi hạn chế UDP thì không kết nối được hoặc chậm như rùa; định dạng gói cố định, dễ nhận ra.
• Xây trên nó: Tailscale thêm đăng nhập tài khoản và khả năng các thiết bị vào được lẫn nhau lên trên WireGuard, thành một mạng lưới đăng nhập một lần, bật thường trực; xem Mạng riêng (Tailscale) là gì.
• WireGuard hay OpenVPN: trên mạng sạch, WireGuard nhanh hơn và nhẹ hơn; OpenVPN hơn ở độ phủ thiết bị và việc chạy được trên TCP.

• Là gì: giao thức VPN doanh nghiệp của Cisco; ứng dụng nay mang tên Cisco Secure Client. Có các bản mã nguồn mở: OpenConnect cho phía ứng dụng và ocserv cho phía máy chủ.
• Điểm mạnh: lưu lượng chạy trên TLS chuẩn, nhìn từ ngoài giống như vào một trang HTTPS, nên vẫn chạy trên mạng ký túc xá, văn phòng hạn chế UDP; chỉ cần nhập địa chỉ, tên người dùng và mật khẩu, không phải nhập file gì; doanh nghiệp khắp thế giới dùng nó để làm việc từ xa nên nền tảng nào cũng có ứng dụng.
• Điểm yếu: kết nối xong là cả thiết bị đi đường truyền, muốn trang trong nước đi thẳng thì cần chia luồng riêng; trên đường hay rớt gói thì chậm hơn giao thức được thiết kế để chịu rớt gói.
• Hợp với: mạng ký túc xá, văn phòng, iPhone, thiết bị đời cũ. Xem thêm Cisco AnyConnect có dùng được ở Trung Quốc không?

• Là gì: giao thức proxy mã nguồn mở xây trên QUIC, lớp truyền tải dựa trên UDP mà HTTP/3 dùng.
• Điểm mạnh: được thiết kế để xử lý rớt gói, nhanh nhất nhóm này trên 4G, mạng nhà cũ và đường xuyên biên giới; lưu lượng trông giống HTTP/3 bình thường.
• Điểm yếu: dùng UDP, nên ở nơi hạn chế UDP thì chậm hoặc rớt; cần ứng dụng hỗ trợ nó, như Hiddify và họ sing-box.
• Hợp với: điện thoại và máy tính của riêng bạn, ưu tiên tốc độ, mạng hay rớt gói. Các bước nhập có trong bài hướng dẫn link subscription.

v2ray là một công cụ proxy, không phải một giao thức. Các giao thức mà nó và các công cụ tương tự hỗ trợ (VMess, VLESS, Trojan…) chung một ý tưởng với proxy HTTPS thường: bọc lưu lượng proxy trong TLS để trông như đang vào một trang HTTPS. Phần lớn node trong subscription của nhà cung cấp proxy thuộc loại này; xem VPN, nhà cung cấp proxy và app tăng tốc khác nhau thế nào.

• Điểm mạnh: TCP có TLS qua được mạng bị hạn chế; có thể chỉ cho một chương trình đi proxy mà không đụng tới phần còn lại của thiết bị.
• Điểm yếu: đây là proxy chứ không phải đường hầm, nên quy tắc trong ứng dụng quyết định cái gì đi proxy, quy tắc sai thì biểu hiện là vài trang không vào được; mỗi ứng dụng nhận định dạng khác nhau.
• Thành viên đơn giản nhất là proxy HTTPS trong trình duyệt: một tiện ích, không cài ứng dụng, không có trạng thái kết nối; xem Web Proxy là gì và khi nào nên dùng.

Một tài khoản LeoTun có sáu cách kết nối chạy trên các giao thức khác nhau. Cách này bị phá không kéo theo cách khác, nên cách nào gặp khó thì bạn chuyển sang cách khác trên cùng tài khoản.

• Cisco: Cisco AnyConnect, chạy trên TLS. Lựa chọn đầu tiên ở nơi hạn chế UDP. Xem mục Cisco.
• OpenVPN: ưu tiên UDP, tự chuyển sang TCP khi UDP bị hạn chế. Xem mục OpenVPN.
• Mạng riêng: Tailscale, dựa trên WireGuard. Đăng nhập một lần là luôn trực tuyến; các thiết bị cùng tài khoản vào được lẫn nhau. Xem mục Mạng riêng.
• Hiddify: ứng dụng Hiddify với giao thức hysteria2. Nhanh nhất trên đường hay rớt gói. Xem mục Hiddify.
• Web Proxy: proxy HTTPS mã hóa, chỉ phủ trình duyệt. Xem mục Web Proxy.
• Router: firmware tự chọn và tự cập nhật; bạn đăng nhập rồi dùng, không phải chọn giao thức. Xem mục Router.
• Chọn theo thiết bị, mạng và mục đích thì xem Mỗi cách kết nối hợp với tình huống nào; thứ tự chuyển đổi khi gặp lỗi thì xem danh sách kiểm tra lỗi.