VPN nào dùng được ở Trung Quốc năm 2026? So sánh theo giao thức
Câu hỏi "VPN nào tốt nhất cho Trung Quốc" gần như luôn được trả lời sai, vì nó hỏi sai đối tượng. Ở Trung Quốc, thứ quyết định việc bạn có vào được mạng hay không không phải thương hiệu, không phải giá, mà là giao thức mà dịch vụ đó dùng.
Một dịch vụ nổi tiếng chạy OpenVPN sẽ chết nhanh hơn một dịch vụ vô danh chạy giao thức ngụy trang tốt. Bài này giải thích vì sao, và đưa ra tiêu chí để bạn tự đánh giá bất kỳ nhà cung cấp nào.
Vì sao giao thức mới là yếu tố quyết định
Great Firewall không cố giải mã dữ liệu của bạn. Việc đó tốn kém và gần như bất khả thi. Thay vào đó, nó làm một việc rẻ hơn nhiều: nhận dạng hình dạng của luồng dữ liệu.
Mỗi giao thức VPN có một nghi thức bắt tay riêng — thứ tự gói tin, độ dài trường dữ liệu, các byte cố định ở đầu phiên. Đó là dấu vân tay. Hệ thống phân tích gói sâu chỉ cần so khớp dấu vân tay đó là biết bạn đang chạy VPN, rồi cắt kết nối, bất kể nội dung bên trong được mã hóa chặt đến đâu.
So sánh từng giao thức
OpenVPN — không còn dùng được
Giao thức lâu đời nhất và phổ biến nhất. Bắt tay của OpenVPN có cấu trúc cố định đến mức có thể nhận ra trong vài gói tin đầu tiên. Chế độ TCP 443 giả dạng HTTPS từng hiệu quả khoảng năm 2015, nhưng đã bị nhận diện từ lâu.
WireGuard — nhanh, nhưng dễ lộ
WireGuard nhanh và gọn, rất tốt cho việc kết nối văn phòng từ xa. Nhưng nó được thiết kế cho tốc độ chứ không phải để né kiểm duyệt: mọi phiên đều bắt đầu bằng một gói handshake có kích thước và định dạng cố định. Nhận dạng cực kỳ dễ.
IKEv2 / L2TP / PPTP — lỗi thời
Đây là các giao thức VPN tích hợp sẵn trong iOS, Android và Windows. Chúng dùng cổng cố định, dễ chặn ở tầng mạng mà không cần phân tích gì. PPTP ngoài ra còn có lỗ hổng bảo mật nghiêm trọng, không nên dùng ở bất cứ đâu.
Shadowsocks và V2Ray / VMess — chập chờn
Shadowsocks được tạo ra chính để vượt tường lửa và từng rất hiệu quả. Vấn đề là nó tạo ra luồng dữ liệu "không giống gì cả" — toàn byte ngẫu nhiên, không khớp với bất kỳ giao thức hợp lệ nào. Hệ thống kiểm duyệt phát hiện điều này bằng phân tích thống kê, rồi dò chủ động để xác nhận.
VMess của V2Ray gặp vấn đề tương tự, cộng thêm việc phụ thuộc vào đồng bộ thời gian giữa máy khách và máy chủ, gây lỗi kết nối khó hiểu.
Trojan — khá hơn, nhưng vẫn lộ ở chứng chỉ
Trojan giả dạng HTTPS thật bằng cách dùng chứng chỉ TLS hợp lệ trên tên miền riêng của bạn. Tốt hơn hẳn Shadowsocks. Nhưng vì tên miền và chứng chỉ là của riêng bạn, nó không có lịch sử truy cập, không có tiếng tăm, và một tên miền lạ nhận lưu lượng lớn liên tục là dấu hiệu đáng ngờ.
VLESS + Reality — tiêu chuẩn hiện tại
Reality giải quyết đúng điểm yếu của Trojan. Thay vì dùng chứng chỉ của riêng bạn, nó mượn thông tin bắt tay của một website lớn có thật — ví dụ máy chủ của Apple, Microsoft hay Amazon. Với hệ thống kiểm duyệt, phiên của bạn trông như một kết nối HTTPS bình thường tới một tên miền có hàng tỷ lượt truy cập mỗi ngày.
Khi bị dò chủ động, máy chủ Reality chuyển tiếp gói tin thử tới website thật và trả về phản hồi thật. Không có cách nào phân biệt từ bên ngoài. Đây là lý do VLESS + Reality vẫn hoạt động trong khi các giao thức khác lần lượt chết.
| Giao thức | Dấu vân tay | Chống dò chủ động | Khuyến nghị |
|---|---|---|---|
| PPTP | Rõ ràng | Không | Không dùng |
| L2TP / IKEv2 | Rõ ràng | Không | Không dùng |
| OpenVPN | Rõ ràng | Không | Không dùng |
| WireGuard | Rõ ràng | Không | Không dùng cho Trung Quốc |
| Shadowsocks | Ngẫu nhiên, bị phát hiện | Yếu | Dự phòng |
| Trojan | Giống HTTPS | Một phần | Chấp nhận được |
| VLESS + Reality | Giống hệt site thật | Có | Nên dùng |
Tiêu chí chọn nhà cung cấp
Khi đã biết cần giao thức nào, dùng danh sách sau để đánh giá bất kỳ dịch vụ nào:
- Có nêu rõ giao thức không. Nhà cung cấp nghiêm túc sẽ nói thẳng họ chạy VLESS + Reality. Trang nào chỉ quảng cáo "mã hóa quân sự AES-256" mà không nói giao thức thì nhiều khả năng đang chạy OpenVPN.
- Vị trí máy chủ. Máy chủ ở Hồng Kông, Nhật Bản, Singapore, Hàn Quốc có độ trễ thấp nhất từ Trung Quốc đại lục. Máy chủ ở Mỹ hoặc châu Âu luôn chậm hơn đáng kể.
- Có cho dùng thử không. Giao thức tốt đến đâu cũng cần kiểm tra thực tế trên đường truyền của chính bạn. Dịch vụ tự tin sẽ cho dùng thử.
- Số thiết bị đồng thời. Tối thiểu nên 3 thiết bị: điện thoại, laptop, máy tính bảng.
- Kênh hỗ trợ dùng được tại chỗ. Telegram bị chặn ở Trung Quốc. Nếu nhà cung cấp chỉ hỗ trợ qua Telegram, bạn sẽ không liên hệ được đúng lúc cần nhất. WeChat hoặc email là bắt buộc.
- Chính sách băng thông rõ ràng. "Không giới hạn" luôn có điều kiện kèm theo. Xem họ ghi rõ ở đâu, ví dụ chính sách sử dụng hợp lý.
Còn tốc độ thì sao
Giao thức ngụy trang tốt không làm chậm đường truyền. Yếu tố quyết định tốc độ là khoảng cách địa lý tới máy chủ và chất lượng tuyến quốc tế của nhà mạng bạn đang dùng.
Khung 19:00–24:00 giờ Bắc Kinh là giờ cao điểm, cổng quốc tế của China Telecom, China Unicom và China Mobile đều nghẽn. Hiện tượng chậm vào buổi tối rồi tự khỏi vào sáng hôm sau là đặc điểm của hạ tầng mạng, không phải lỗi của VPN.
Câu hỏi thường gặp
Thêm câu trả lời chi tiết tại trang hỏi đáp.
Câu hỏi thường gặp
VPN miễn phí có dùng được ở Trung Quốc không?
Gần như không. VPN miễn phí hầu hết chạy OpenVPN hoặc IKEv2, là những giao thức đã bị nhận dạng và chặn. Ngoài ra chúng thường kiếm tiền bằng cách thu thập dữ liệu duyệt web của người dùng.
Nên chọn máy chủ ở đâu để nhanh nhất?
Hồng Kông, Nhật Bản, Singapore và Hàn Quốc cho độ trễ thấp nhất từ Trung Quốc đại lục. Máy chủ Mỹ hoặc châu Âu có độ trễ cao hơn nhiều và không phù hợp cho gọi video.
VLESS Reality có bị chặn trong tương lai không?
Không ai đảm bảo được điều đó. Reality hiện là kỹ thuật ngụy trang mạnh nhất đang được triển khai rộng, nhưng đây là cuộc đua liên tục. Hãy chọn nhà cung cấp theo kịp công nghệ, và luôn giữ một phương án dự phòng.
Một tài khoản dùng được mấy thiết bị?
Tùy nhà cung cấp. Mức hợp lý cho người dùng cá nhân là 3 thiết bị đồng thời, đủ cho điện thoại, laptop và máy tính bảng.