Tailscale có phải là VPN không? Giải mã cơ chế hoạt động

Tailscale có phải là VPN không? Câu trả lời ngắn gọn

Tailscale có phải là VPN không? Về mặt kỹ thuật là có. Tailscale thiết lập các đường hầm WireGuard giữa các thiết bị của bạn, và mọi gói tin đi qua các đường hầm đó đều được mã hóa end-to-end. Theo cách hiểu thông thường của đa số người dùng khi đặt câu hỏi này, thì không. Mặc định, Tailscale không ẩn địa chỉ IP công cộng của bạn khỏi các trang web, và nó không định tuyến lưu lượng duyệt web của bạn qua máy chủ của bên thứ ba. Wi-Fi khách sạn vẫn thấy được các trang web bạn truy cập. Tailscale chỉ truyền tải lưu lượng giữa các thiết bị của chính bạn. Để có được tính năng như một VPN thương mại phục vụ quyền riêng tư, bạn cần thêm một exit node, và điều đó sẽ thay đổi những gì được ẩn đi và ẩn khỏi ai.

Phần còn lại của hướng dẫn này sẽ phân biệt hai ý nghĩa của thuật ngữ "VPN", sau đó nêu rõ với từng cấu hình, ai có thể thấy những gì. Nếu câu hỏi thực sự của bạn là "liệu cái này có giúp tôi ẩn danh không", câu trả lời phụ thuộc vào việc bạn đang muốn ẩn danh trước ai, vì vậy mỗi cấu hình dưới đây sẽ liệt kê các bên mà nó bảo vệ bạn và các bên mà nó không thể bảo vệ.

Hai ý nghĩa của "VPN"

Thuật ngữ này có hai ý nghĩa, và câu trả lời cho tiêu đề phụ thuộc vào việc bạn đang hiểu theo nghĩa nào.

Ý nghĩa gốc là mạng riêng ảo (virtual private network): một mạng riêng được xây dựng trên nền tảng mạng công cộng. Văn phòng công ty và laptop của nhân viên làm việc từ xa hoạt động như thể họ dùng chung một sợi cáp, mặc dù các gói tin truyền qua Internet. Mục đích là khả năng kết nối và mã hóa giữa các thành viên. Trong mô hình này, không ai cố gắng ẩn danh với các trang web mà họ truy cập.

Ý nghĩa dành cho người dùng phổ thông là một sản phẩm bảo mật. Bạn cài đặt một ứng dụng và chọn một quốc gia. Toàn bộ lưu lượng Internet của bạn sau đó sẽ đi ra từ máy chủ của nhà cung cấp. Các trang web chỉ thấy địa chỉ của nhà cung cấp, và ISP (nhà cung cấp dịch vụ Internet) của bạn chỉ thấy một luồng dữ liệu đã mã hóa gửi đến máy chủ đó. Mục đích là ẩn địa chỉ IP của bạn khỏi các trang web và ẩn đích đến của bạn khỏi các bên trên đường truyền cục bộ. ISP vẫn biết địa chỉ của bạn, vì chính họ là bên đã cấp địa chỉ đó cho bạn.

Tailscale thuộc loại thứ nhất. Đây là một mesh VPN: mọi thiết bị trong tailnet của bạn (mạng riêng mà Tailscale xây dựng cho bạn) đều nhận được một địa chỉ riêng ổn định trong dải 100.64.0.0/10, và nó giao tiếp với mọi thiết bị khác thông qua tunnel WireGuard, kết nối trực tiếp khi mạng cho phép và thông qua relay đã mã hóa khi không thể kết nối trực tiếp. Tailscale là gì, và cách coordination server cùng các relay phối hợp với nhau đã đề cập đến kiến trúc đó, vì vậy hướng dẫn này sẽ không nhắc lại. Một sự thật quan trọng ở đây là: theo mặc định, lưu lượng truy cập Internet công cộng không bao giờ đi vào tunnel. Chỉ lưu lượng gửi đến một thiết bị khác trong tailnet của bạn mới đi qua đó.

Tailscale ẩn những gì và với ai

Câu trả lời trung thực là một danh sách các bên thay vì chỉ có hoặc không. Mỗi mục dưới đây nêu hành vi mặc định trước, sau đó là những thay đổi khi sử dụng exit node.

Lưu lượng giữa các thiết bị của bạn

Được ẩn khỏi tất cả mọi người trên đường truyền. Khi laptop của bạn kết nối với VPS qua địa chỉ tailnet, các gói tin được mã hóa bằng WireGuard từ thiết bị này sang thiết bị kia. Wifi khách sạn và ISP của bạn chỉ thấy một luồng UDP giữa hai địa chỉ và không gì khác. Các máy chủ của Tailscale không giữ khóa để giải mã lưu lượng này. Mỗi khóa riêng (private key) được tạo trên thiết bị và không bao giờ rời khỏi đó, đó là lý do tại sao đánh giá bảo mật về Tailscale coi máy chủ điều phối (coordination server) là một danh bạ thay vì trung gian. Sự bảo vệ này được bật ngay từ khi bạn cài đặt Tailscale. Bạn không cần cấu hình gì thêm.

IP công cộng của bạn, theo cách nhìn của các trang web

Không được ẩn theo mặc định. Mở trình duyệt và truy cập bất kỳ trang web nào. Yêu cầu rời khỏi laptop của bạn qua giao diện mạng thông thường, vì vậy trang web thấy IP công cộng của mạng bạn đang dùng. Tailscale hoàn toàn không nằm trong đường truyền đó vì đích đến không phải là địa chỉ tailnet. Khi bật exit node, trang web sẽ thấy IP công cộng của exit node thay vì IP của bạn. ISP của bạn vẫn biết địa chỉ của bạn trong cả hai trường hợp vì họ là bên cấp phát; điều mà exit node ẩn khỏi ISP là nơi lưu lượng của bạn đi đến, chứ không phải bạn là ai.

Các đích đến của bạn, theo cách nhìn của ISP hoặc wifi nội bộ

Không được ẩn theo mặc định. ISP hoặc nhà điều hành mạng quán cà phê thấy địa chỉ IP của mọi trang web bạn kết nối, và thường thấy cả hostname vì quá trình bắt tay TLS (transport layer security) gửi thông tin này ở dạng rõ (cleartext). Tailscale không can thiệp vào lưu lượng này vì nó không đi vào tunnel. Với exit node, mạng nội bộ chỉ thấy một luồng UDP đã mã hóa gửi đến exit node và không gì khác. Khả năng nhìn thấy các đích đến của bạn chuyển từ mạng nội bộ sang bên lưu trữ exit node.

Vượt chặn địa lý (Geo-unblocking)

Không có theo mặc định, và chỉ một phần khi dùng exit node. Các dịch vụ streaming kiểm tra quốc gia của IP công cộng. Một exit node trên VPS cung cấp cho bạn quốc gia của VPS đó, điều này có ích, nhưng nó cũng cung cấp một IP trung tâm dữ liệu (datacenter IP). Các dịch vụ streaming mua danh sách các dải địa chỉ trung tâm dữ liệu và thường chặn thẳng tay, vì hầu như không ai xem truyền hình từ bên trong trung tâm dữ liệu. Một exit node tại nhà riêng, trên kết nối dân dụng, là thiết lập thường vượt qua được các kiểm tra đó, và nó cũng phù hợp với mô hình kết nối mà Tailscale được xây dựng.

Những gì bản thân Tailscale có thể thấy

Metadata, và không bao giờ là lưu lượng. Máy chủ điều phối biết những thiết bị nào nằm trong tailnet của bạn, khóa công khai (public key) của chúng, các endpoint hiện tại và thời điểm chúng online lần cuối. Nó không thấy nội dung bên trong tunnel và không thấy các trang web bạn truy cập. Khi hai thiết bị không thể kết nối trực tiếp, một relay đã mã hóa sẽ chuyển các byte dữ liệu, nhưng relay không thể giải mã chúng. Đó là một phần trong thiết kế giúp gói dịch vụ miễn phí trở nên khả thi, điều này sẽ được nhắc lại bên dưới.

Cách thức hoạt động của đường truyền exit node

Exit node là một thiết bị trong tailnet của bạn, đóng vai trò chuyển tiếp lưu lượng truy cập ra internet công cộng thay cho các thiết bị khác. Khi bạn chọn exit node trên laptop, Tailscale sẽ cài đặt một default route thông qua tunnel. Mọi gói tin không gửi đến LAN (mạng nội bộ) của bạn sẽ được chuyển đến exit node trước, sau đó exit node mới gửi chúng ra internet bằng địa chỉ IP của chính nó. Tại thời điểm đó, Tailscale hoạt động giống như một dịch vụ VPN thương mại, với một điểm khác biệt: máy chủ ở đầu kia là của bạn.

Việc thiết lập exit node trên một VPS Linux chỉ cần hai bước. Trên VPS, hãy bật IP forwarding, sau đó quảng bá (advertise) node đó. Tài liệu về exit node của Tailscale hướng dẫn chạy tailscale up sau khi truyền --advertise-exit-node vào tailscale set:

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up

Sau đó, hãy phê duyệt exit node trong bảng điều khiển quản trị Tailscale, vì một route được quảng bá sẽ không được sử dụng cho đến khi quản trị viên chấp nhận nó. Trên laptop, hãy liệt kê các exit node mà tailnet của bạn cung cấp và chọn một node. Sau đó, kiểm tra xem node nào đang hoạt động:

tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status

Để xác nhận route đã được thiết lập, hãy truy cập một trang web kiểm tra IP trên trình duyệt và so sánh địa chỉ mà trang web đó hiển thị với IP công cộng của VPS. Để ngừng sử dụng exit node, hãy truyền một giá trị trống: sudo tailscale set --exit-node=. Nếu bạn vẫn cần truy cập máy in hoặc NAS trên mạng nội bộ trong khi exit node đang hoạt động, hãy thêm --exit-node-allow-lan-access=true, vì nếu không, default route sẽ gửi cả các gói tin đó đến exit node.

Đó là toàn bộ cơ chế hoạt động. Hướng dẫn về cách chạy Tailscale exit node trên VPS sẽ bao gồm các nội dung về firewall, hạn mức băng thông của nhà cung cấp, hành vi của DNS và các lý do khiến lưu lượng truy cập có thể bị giảm, vì vậy hãy bắt đầu từ đó khi bạn xây dựng một exit node thực tế.

Tại sao Tailscale miễn phí và điều đó nói lên điều gì

Gói cá nhân của Tailscale là miễn phí và các giới hạn là thực tế chứ không phải bản dùng thử: gói miễn phí hỗ trợ một số lượng người dùng nhất định và nhiều thiết bị hơn mức một hộ gia đình cần. Lý do nó có thể miễn phí cũng chính là lý do nó không phải là một dịch vụ bảo mật quyền riêng tư. Một VPN thương mại trả phí cho các máy chủ truyền tải toàn bộ lưu lượng của bạn, vì vậy mỗi người dùng đều tiêu tốn băng thông của nhà cung cấp mỗi ngày. Tailscale hầu như không truyền tải lưu lượng của bạn. Các kết nối trực tiếp diễn ra giữa thiết bị với thiết bị, và các relay chỉ truyền các gói tin đã mã hóa khi đường truyền trực tiếp thất bại. Chi phí trên mỗi người dùng cá nhân của Tailscale gần bằng không, và doanh thu của họ đến từ các nhóm trả phí cho các tính năng kiểm soát truy cập và kiểm toán.

Điều đó dẫn đến một hệ quả cho bạn. Không có đám đông người dùng khác chia sẻ địa chỉ exit với bạn, và không có công ty nào hứa hẹn không ghi lại lịch sử duyệt web của bạn, vì Tailscale không bao giờ nhìn thấy hoạt động duyệt web của bạn. Nếu bạn muốn lưu lượng truy cập đi ra từ một nơi nào đó ngoài các máy của chính bạn, Tailscale bán quyền truy cập vào các máy chủ của Mullvad dưới dạng tiện ích bổ sung trả phí (tính đến tháng 10 năm 2026), biến sản phẩm này thành một mô hình lai: Tailscale cho mesh và Mullvad cho exit. Đó là cấu hình duy nhất mà Tailscale giống với một VPN tiêu dùng mà không cần bạn phải tự vận hành exit.

Mô hình đe dọa: mỗi cấu hình bảo vệ bạn trước điều gì

Mô hình đe dọa là một tuyên bố rõ ràng về việc bạn đang ẩn mình trước ai và họ có thể thấy những gì. Mỗi cấu hình dưới đây bảo vệ bạn trước một số đối tượng nhất định. Hãy chọn cấu hình phù hợp với mối quan tâm thực tế của bạn thay vì chọn cấu hình nghe có vẻ riêng tư nhất.

Tailnet thuần túy, không dùng exit node

Bảo vệ trước: bất kỳ ai trên đường truyền mạng giữa các thiết bị của bạn đang cố đọc hoặc thay đổi lưu lượng giữa các thiết bị đó. Khi dùng wifi khách sạn, việc SSH vào VPS qua địa chỉ tailnet của nó sẽ an toàn trước người ngồi bàn bên cạnh ngay cả khi wifi không có mật khẩu, và bạn có thể đóng hoàn toàn cổng 22 trên firewall công cộng của VPS.

Không bảo vệ trước: bất kỳ điều gì liên quan đến việc duyệt web thông thường của bạn. Các trang web vẫn thấy IP thực của bạn, còn wifi khách sạn và ISP của bạn đều thấy các đích đến mà bạn truy cập. Cấu hình này không đảm bảo quyền riêng tư trên internet công cộng, và bạn không nên coi nó là một giải pháp bảo mật.

Exit node trên VPS của riêng bạn

Bảo vệ trước: mạng nội bộ và ISP của bạn biết được các đích đến của bạn. Họ chỉ thấy một luồng WireGuard duy nhất đến một địa chỉ VPS. Các trang web thấy IP của VPS thay vì IP của khách sạn.

Không bảo vệ trước: nhà cung cấp VPS. Lưu lượng rời khỏi exit node ở dạng nguyên bản như khi nó đi vào, vì vậy nhà cung cấp có thể thấy mọi địa chỉ đích và hostname, đồng thời có thể đọc bất kỳ dữ liệu nào gửi đi mà không có TLS. VPS cũng được liên kết với bạn qua hồ sơ thanh toán, nên nó không mang lại sự ẩn danh: một IP exit node được một người sử dụng sẽ định danh người đó. Địa chỉ datacenter rất dễ bị phân loại, vì vậy các dịch vụ streaming và một số ngân hàng sẽ coi nó là đáng ngờ. Băng thông bị giới hạn bởi gói cước của VPS và việc tunnel đi trực tiếp hay qua relay, đây là điều mà sự khác biệt giữa kết nối Tailscale trực tiếp và qua relay giải thích.

Exit node tại nhà

Bảo vệ trước: sự phơi bày mạng nội bộ và ISP tương tự như trường hợp VPS, với một IP dân cư vượt qua được các bài kiểm tra mà dải IP datacenter thường thất bại. Hữu ích khi bạn đi du lịch và muốn lưu lượng của mình đi ra từ nhà.

Không bảo vệ trước: ISP tại nhà của bạn, vì giờ đây họ thấy toàn bộ lưu lượng khi bạn đi du lịch. Tốc độ upload tại nhà thường là nút thắt cổ chai, vì mỗi byte bạn tải xuống ở nước ngoài đều phải được upload bởi kết nối tại nhà của bạn.

Exit node qua Mullvad hoặc VPN thương mại

Bảo vệ trước: sự phơi bày mạng nội bộ và ISP tương tự như trường hợp VPS, cộng thêm việc xóa bỏ liên kết giữa IP exit node và tên của bạn, vì hàng ngàn khách hàng khác dùng chung một địa chỉ exit node. Đây là mô hình đe dọa mà một VPN thương mại tập trung vào quyền riêng tư được xây dựng để giải quyết.

Không bảo vệ trước: nhà cung cấp VPN, họ ở vị trí tương tự như nhà cung cấp VPS của bạn. Bạn đang tin tưởng vào chính sách lưu log của họ thay vì máy chủ của chính mình. Nó cũng không bảo vệ bạn trước chính trang web đó, nơi vẫn có thể định danh bạn thông qua cookie và thông tin đăng nhập.

Khi không cấu hình nào trong số này là đủ

Nếu đối tượng bạn đang ẩn mình là chính trang web đó, hoặc một bên có thể ép buộc nhà vận hành exit node giao nộp hồ sơ, thì không cấu hình VPN nào giúp ích được. Đó là mô hình đe dọa mà Tor được xây dựng để giải quyết, nơi không một relay đơn lẻ nào biết được cả bạn là ai và bạn đang đi đâu. So sánh giữa Tor và VPN vạch ra ranh giới đó, và đó là bài đọc tiếp theo phù hợp nếu "ẩn IP" của bạn thực chất là "giữ ẩn danh".

Khi nào Tailscale là công cụ phù hợp?

Hãy sử dụng Tailscale khi bạn cần truy cập vào các máy chủ của chính mình: một thiết bị NAS nằm sau router gia đình, một VPS mà bạn không muốn public ra internet, một Raspberry Pi đặt tại nhà người thân, hoặc một máy dev mà bạn cần SSH vào từ bất cứ đâu. Đối với các tác vụ này, nó vượt trội hơn một VPN server truyền thống vì bạn không cần mở cổng, không cần vận hành server trung tâm, và các đánh đổi so với WireGuard thuần túy chủ yếu nằm ở việc bạn có muốn tự quản lý key thủ công hay không. Hãy thêm một exit node trên VPS khi bạn cần một IP exit cố định hoặc cần vượt qua một mạng nội bộ bị chặn. Hãy mua một dịch vụ VPN thương mại hoặc sử dụng Tor khi mối quan tâm của bạn là ẩn danh, vì Tailscale không được thiết kế để giải quyết vấn đề đó.

FAQ

Tailscale có ẩn địa chỉ IP của tôi không?

Mặc định là không. Tailscale chỉ truyền tải lưu lượng giữa các thiết bị trong tailnet của bạn. Một trang web bạn truy cập trên trình duyệt vẫn thấy địa chỉ IP công cộng của mạng bạn đang dùng, giống hệt như khi không có Tailscale. Để thay đổi điều này, hãy bật exit node. Khi đó, các trang web sẽ thấy địa chỉ IP công cộng của exit node, chính là địa chỉ của VPS hoặc kết nối tại nhà của bạn, tùy thuộc vào nơi exit node đang chạy. ISP của bạn vẫn biết IP của bạn vì họ là đơn vị cấp phát; exit node chỉ giúp ẩn các trang web bạn truy cập khỏi ISP.

Tôi có thể dùng Tailscale thay cho VPN khi dùng wifi khách sạn không?

Để truy cập các máy chủ của riêng bạn thì có. Đường hầm giữa laptop và VPS hoặc máy chủ tại nhà của bạn được mã hóa end-to-end, nên mạng khách sạn không thể đọc được nội dung. Để duyệt web thông thường, bạn chỉ làm được nếu bật exit node. Nếu không có exit node, mạng khách sạn vẫn thấy mọi trang web bạn truy cập, giống như khi chưa cài Tailscale.

Tailscale có dùng để xem Netflix từ quốc gia khác được không?

Thường là không nếu dùng exit node trên VPS. Exit node cung cấp cho bạn địa chỉ IP tại quốc gia của VPS, nhưng địa chỉ này thuộc dải IP của datacenter, và các dịch vụ streaming chủ động chặn các dải IP này. Một exit node chạy trên kết nối mạng gia đình tại quốc gia mục tiêu sẽ có IP dân cư (residential IP) và thường sẽ hoạt động. Tailscale không tự vận hành các exit server cho mục đích này; danh sách quốc gia duy nhất trong client là tập hợp các exit node của Mullvad đi kèm với gói add-on trả phí.

Tailscale có xem được lưu lượng của tôi không?

Không. Các key dùng để mã hóa lưu lượng được tạo trên từng thiết bị và không bao giờ rời khỏi thiết bị đó. Coordination server của Tailscale chỉ phân phối public key và endpoint, còn các relay chỉ chuyển tiếp các gói tin đã mã hóa khi kết nối trực tiếp thất bại, nhưng cả hai đều không thể giải mã dữ liệu truyền qua. Những gì Tailscale lưu giữ là metadata: thiết bị nào nằm trong tailnet của bạn và thời điểm chúng online.

Tailscale có thay thế được NordVPN hoặc Mullvad không?

Không. Một dịch vụ VPN thương mại tập trung vào quyền riêng tư sẽ định tuyến toàn bộ lưu lượng của bạn qua các máy chủ dùng chung với hàng ngàn khách hàng khác, nên địa chỉ IP thoát ra không gắn liền với danh tính của bạn. Tailscale định tuyến lưu lượng giữa các thiết bị của chính bạn, và ngay cả khi dùng exit node, thì điểm thoát ra vẫn là một máy chủ do bạn trả phí và gắn liền với bạn. Hai sản phẩm này giải quyết các vấn đề khác nhau. Tailscale có bán các exit node của Mullvad dưới dạng add-on cho những người muốn sử dụng cả hai dịch vụ trên cùng một client.