VPN là gì? Mạng riêng ảo, giao thức và bảo mật doanh nghiệp

Mục lục

1. VPN là gì?
2. VPN hoạt động như thế nào?
3. Giao thức VPN là gì?
4. Các giao thức VPN phổ biến hiện nay
5. Mã hoá VPN là gì và hoạt động ra sao?
6. VPN site-to-site và VPN truy cập từ xa khác nhau thế nào?
7. VPN doanh nghiệp khác VPN tiêu dùng ra sao?
8. VPN có an toàn không?
9. Lỗ hổng thiết bị VPN: vì sao cổng VPN thành mục tiêu số một?
10. Checklist gia cố VPN doanh nghiệp
11. VPN và zero trust: ZTNA có thay thế VPN không?
12. Chọn giải pháp VPN doanh nghiệp theo tiêu chí nào?
13. Dùng VPN tại Việt Nam cần lưu ý gì về pháp lý?
14. Câu hỏi thường gặp

VPN là gì?

VPN là viết tắt của Virtual Private Network, tiếng Việt là mạng riêng ảo. “Riêng” vì chỉ bên được cấp quyền mới tham gia được. “Ảo” vì không cần cáp riêng: dữ liệu vẫn chạy trên Internet công cộng, nhưng được bọc và mã hoá để tách khỏi lưu lượng khác.

Hãy hình dung Internet là con đường chung: có VPN, hàng của bạn nằm trong thùng kín có khoá, người ven đường chỉ biết có một chiếc xe đi từ A tới B.

Trong đời sống, từ “VPN” được dùng với ba nghĩa, và lẫn lộn chúng là nguồn gốc nhiều hiểu lầm:

• Công nghệ: các giao thức như IPsec, WireGuard, OpenVPN để tạo đường hầm mã hoá.
• VPN doanh nghiệp: hệ thống công ty tự vận hành (cổng VPN, phần mềm client, chính sách truy cập) để nhân viên vào mạng nội bộ hoặc nối các văn phòng.
• Dịch vụ VPN tiêu dùng: ứng dụng thương mại cá nhân cài trên điện thoại, máy tính; lưu lượng đi qua máy chủ của nhà cung cấp rồi mới ra Internet.

Bài viết đi theo góc nhìn doanh nghiệp, phòng thủ và tuân thủ; không hướng dẫn vượt các biện pháp chặn theo quy định.

VPN hoạt động như thế nào?

Dù dùng giao thức nào, một kết nối VPN đều làm bốn việc: xác thực, thoả thuận khoá, đóng gói (tunneling) và mã hoá. Hình dưới minh hoạ mô hình phổ biến nhất: nhân viên ngồi ở quán cà phê kết nối về công ty.

1. Xác thực: client liên hệ cổng VPN (VPN gateway) của công ty. Cổng chứng minh danh tính bằng chứng chỉ số để client không nối nhầm máy chủ giả. Người dùng chứng minh bằng tài khoản kèm xác thực đa yếu tố, hoặc chứng chỉ trên thiết bị do công ty quản lý.
2. Thoả thuận khoá: hai bên cùng tạo khoá phiên mà không gửi khoá qua mạng. IPsec dùng IKEv2, VPN dựa trên TLS dùng bắt tay TLS, WireGuard dùng khung Noise. Khoá được làm mới định kỳ để giới hạn thiệt hại nếu một khoá bị lộ.
3. Đóng gói và mã hoá: gói tin gốc được mã hoá rồi bọc trong một gói tin mới gửi tới cổng VPN. Người nghe lén trên Wi-Fi công cộng chỉ thấy “máy này đang nói chuyện với cổng VPN của công ty X”, không thấy nội dung hay máy chủ nội bộ nào được truy cập.
4. Giải mã và kiểm soát: cổng VPN kiểm tra toàn vẹn, giải mã, đối chiếu chính sách rồi chuyển gói tin vào mạng nội bộ. Với máy chủ nội bộ, máy nhân viên lúc này giống một máy trong văn phòng.

Full tunnel hay split tunnel?

Với full tunnel, mọi lưu lượng, kể cả lướt web, đều đi qua công ty: dễ giám sát nhưng tốn băng thông và làm chậm họp trực tuyến. Với split tunneling (đường hầm phân tách), chỉ truy cập vào dải mạng công ty đi qua đường hầm, phần còn lại ra Internet trực tiếp: nhanh hơn, nhưng thiết bị đồng thời “đứng” ở hai mạng nên cần bảo vệ tốt trên chính thiết bị. Có thể kết hợp: full tunnel cho nhóm xử lý dữ liệu nhạy cảm.

Split tunneling cấu hình thế nào và rủi ro ở đâu?

Có hai cách khai báo. Kiểu “chỉ đưa vào đường hầm” liệt kê các dải địa chỉ nội bộ cần đi qua VPN, phần còn lại ra thẳng. Kiểu “loại trừ” mặc định đưa mọi thứ vào đường hầm rồi liệt kê ngoại lệ, thường là các dịch vụ họp trực tuyến hoặc SaaS có địa chỉ công bố sẵn. Một số nhà cung cấp phần mềm văn phòng đám mây cũng công bố hướng dẫn loại trừ riêng cho lưu lượng của họ khỏi VPN để giảm tải cổng.

Ba điểm hay bị bỏ sót khi bật split tunneling:

• DNS: nếu tên miền nội bộ vẫn được hỏi qua DNS công cộng, tên máy chủ nội bộ bị lộ ra ngoài và truy cập có thể thất bại. Cần cấu hình split DNS: chỉ tên miền nội bộ hỏi qua DNS của công ty.
• Thiết bị làm cầu nối: máy vừa nối đường hầm vừa nối Internet trực tiếp. Nếu nó nhiễm phần mềm độc hại từ trang web ngoài, kẻ tấn công có thể mượn chính đường hầm để vào mạng công ty. Vì vậy cần phần mềm bảo vệ đầu cuối và kiểm tra trạng thái thiết bị trước khi cho kết nối.
• Mất khả năng kiểm soát: lưu lượng đi thẳng không qua tường lửa hay bộ lọc web của công ty, nên không ghi nhật ký được.

Ví dụ minh hoạ: công ty có 200 nhân viên họp video suốt ngày. Nếu full tunnel, toàn bộ luồng video dồn về cổng VPN của văn phòng và nghẽn băng thông đường truyền. Công ty có thể loại trừ riêng lưu lượng họp trực tuyến khỏi đường hầm, nhưng vẫn giữ mọi truy cập vào ERP và máy chủ tệp đi qua VPN.

Giao thức VPN là gì?

Giao thức VPN (VPN protocol) là bộ quy tắc thống nhất giữa hai đầu đường hầm về bốn việc: xác thực nhau thế nào, thoả thuận khoá ra sao, đóng gói gói tin theo định dạng nào và dùng thuật toán mã hoá nào. Hai đầu phải nói cùng giao thức thì mới dựng được đường hầm; đó là lý do cổng VPN của hãng này thường không nối trực tiếp được với client của hãng khác nếu dùng giao thức độc quyền.

Cần phân biệt ba khái niệm hay bị gộp làm một. Giao thức quy định quy trình tổng thể (IPsec, WireGuard, OpenVPN). Thuật toán mã hoá (AES, ChaCha20) là phần “khoá thùng” bên trong giao thức. Cổng và loại truyền tải (UDP 500, UDP 4500, TCP 443) quyết định gói tin có qua được tường lửa giữa đường đi hay không. Hai VPN cùng dùng AES vẫn có thể an toàn rất khác nhau vì khác cách xác thực và trao đổi khoá.

Các giao thức VPN phổ biến hiện nay

IPsec và IKEv2

IPsec (Internet Protocol Security) là bộ tiêu chuẩn mở của IETF, hoạt động ở tầng mạng. Kiến trúc hiện hành nằm trong RFC 4301 (12/2005), gồm hai giao thức AH (Authentication Header) và ESP (Encapsulating Security Payload); ESP được dùng phổ biến vì vừa mã hoá vừa kiểm tra toàn vẹn. Phần trao đổi khoá IKEv2 được chuẩn hoá trong RFC 7296 (10/2014), đạt mức Internet Standard; IKE thường chạy trên cổng UDP 500 và chuyển sang UDP 4500 khi đi qua NAT. NIST có hướng dẫn riêng là SP 800-77 Rev. 1 “Guide to IPsec VPNs” (06/2020).

IPsec là lựa chọn mặc định cho site-to-site giữa tường lửa, router và nhà cung cấp đám mây. IKEv2 có sẵn trong nhiều hệ điều hành và kết nối lại nhanh khi điện thoại chuyển từ Wi-Fi sang 4G/5G.

IPsec VPN hoạt động ra sao bên trong?

Một đường hầm IPsec được dựng qua hai giai đoạn. Ở giai đoạn đầu, hai bên trao đổi hai cặp thông điệp đầu tiên của IKEv2 (IKE_SA_INIT và IKE_AUTH): thương lượng bộ thuật toán, trao đổi khoá Diffie-Hellman, rồi xác thực nhau bằng khoá chia sẻ trước hoặc chứng chỉ số. Kết quả là một liên kết bảo mật điều khiển (IKE SA). Sau đó hai bên tạo liên kết bảo mật con (CHILD SA) để thực sự mã hoá dữ liệu bằng ESP. Khi khoá hết hạn, CHILD SA được tạo lại mà không cần xác thực từ đầu.

IPsec có hai chế độ đóng gói:

• Chế độ đường hầm (tunnel mode): toàn bộ gói tin gốc, kể cả IP header, được mã hoá rồi bọc trong một gói IP mới. Đây là chế độ của site-to-site và phần lớn VPN truy cập từ xa.
• Chế độ truyền tải (transport mode): chỉ phần dữ liệu được bảo vệ, IP header gốc giữ nguyên. Thường dùng giữa hai máy chủ nói chuyện trực tiếp với nhau, hoặc đi kèm L2TP.

Khi cấu hình site-to-site, bạn cũng sẽ gặp hai kiểu: VPN dựa trên chính sách (policy-based) khai báo từng cặp dải mạng được phép đi qua đường hầm, và VPN dựa trên định tuyến (route-based) coi đường hầm như một giao diện mạng ảo rồi dùng bảng định tuyến. Kiểu thứ hai dễ mở rộng hơn khi nối nhiều chi nhánh và đám mây. Lỗi thường gặp nhất là hai đầu không khớp tham số: sai thuật toán, sai nhóm Diffie-Hellman, lệch thời gian sống của khoá, hoặc NAT chặn UDP 4500.

Thành phần IPsec	Vai trò	Điểm cần kiểm tra
IKEv2	Xác thực, thoả thuận khoá	Dùng chứng chỉ thay vì khoá chia sẻ trước
ESP	Mã hoá và toàn vẹn dữ liệu	Chọn chế độ mã hoá có xác thực (AES-GCM)
AH	Chỉ xác thực, không mã hoá	Ít dùng, không đi qua NAT tốt
NAT traversal	Bọc ESP trong UDP 4500	Cho phép UDP 500 và 4500 ở tường lửa

WireGuard

WireGuard do Jason A. Donenfeld phát triển, chỉ dùng một bộ thuật toán cố định, hiện đại: khung Noise, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24 và HKDF. Không có danh sách thuật toán để thương lượng, nên không có cấu hình yếu để chọn nhầm. WireGuard được đưa vào nhân Linux từ phiên bản 5.6, phát hành ngày 29/03/2020. Lưu ý cho doanh nghiệp: giao thức chỉ xác thực bằng cặp khoá; đăng nhập tài khoản, MFA, cấp phát khoá phải đến từ phần mềm quản lý bên trên.

OpenVPN

OpenVPN do James Yonan viết, phát hành lần đầu ngày 13/05/2001, mã nguồn mở theo GPLv2. Nó dùng OpenSSL (hoặc mbed TLS), chạy trên UDP hoặc TCP, cổng đăng ký chính thức là 1194. Nó linh hoạt, đa nền tảng, nhưng cấu hình cũ thiếu cập nhật dễ yếu.

SSL VPN (VPN dựa trên TLS)

“SSL VPN” là tên gọi chung cho VPN dùng TLS (tên cũ là SSL) qua cổng HTTPS, gồm kiểu cổng web không cần cài đặt (clientless) và kiểu đường hầm cần client. Ưu điểm là dễ đi qua tường lửa. Nhược điểm là nhiều sản phẩm dùng giao thức độc quyền, chạy một máy chủ web phức tạp ngay trên thiết bị biên, nơi nhiều lỗ hổng nghiêm trọng xuất hiện. Tài liệu chính thức của Fortinet ghi rằng từ FortiOS 7.6.3, chế độ đường hầm SSL VPN được thay bằng IPsec VPN, còn chế độ web đổi tên thành Agentless VPN. Ngoài ra, TLS 1.0 và 1.1 đã bị loại bỏ theo RFC 8996; SSL VPN còn chấp nhận hai phiên bản này là dấu hiệu cần nâng cấp.

L2TP/IPsec và PPTP

L2TP tự nó không mã hoá nên luôn đi kèm IPsec; đây là lựa chọn cũ, ít dùng cho triển khai mới. PPTP có cơ chế xác thực đã bị phá từ lâu; nếu hệ thống còn PPTP, hãy thay ngay.

Giao thức	Điểm mạnh	Điểm cần lưu ý	Dùng nhiều cho
IPsec/IKEv2	Chuẩn mở, hỗ trợ rộng, có tăng tốc phần cứng	Cấu hình phức tạp, dễ giữ bộ thuật toán cũ	Site-to-site, kết nối đám mây, di động
WireGuard	Gọn, nhanh, thuật toán hiện đại cố định	Cần lớp quản lý tài khoản, MFA, khoá	Truy cập từ xa, nối máy chủ
OpenVPN	Linh hoạt, mã nguồn mở, đa nền tảng	Nhiều tuỳ chọn, cấu hình cũ dễ yếu	Doanh nghiệp nhỏ, dịch vụ tiêu dùng
SSL/TLS VPN của hãng	Dễ qua tường lửa, có cổng web	Thường độc quyền, nhiều lỗ hổng trên thiết bị	Truy cập từ xa
L2TP/IPsec, PPTP	Có sẵn trên hệ thống cũ	Lạc hậu; PPTP không còn an toàn	Nên thay thế

Mã hoá VPN là gì và hoạt động ra sao?

Mã hoá VPN không phải một thuật toán duy nhất mà là ba lớp việc phối hợp: trao đổi khoá, mã hoá dữ liệu và kiểm tra toàn vẹn. Tách rõ ba lớp giúp bạn đọc được bảng cấu hình trên cổng VPN.

1. Trao đổi khoá: hai đầu dùng thuật toán bất đối xứng, như Diffie-Hellman trên đường cong elliptic (ECDH, ví dụ Curve25519), để cùng tính ra một khoá phiên mà không gửi khoá qua mạng. Nếu mỗi phiên dùng khoá tạm thời riêng (tính chất perfect forward secrecy), việc lộ khoá dài hạn sau này không giải mã được lưu lượng đã ghi lại.
2. Mã hoá dữ liệu: khoá phiên được dùng cho thuật toán đối xứng như AES (khoá 128 hoặc 256 bit) hoặc ChaCha20. Đối xứng nhanh hơn nhiều so với bất đối xứng nên đảm nhiệm khối lượng dữ liệu lớn.
3. Toàn vẹn và xác thực gói tin: chế độ mã hoá có xác thực như AES-GCM hoặc ChaCha20-Poly1305 vừa mã hoá vừa phát hiện gói bị sửa. Cấu hình cũ tách riêng bằng hàm băm HMAC.

Bảng sau giúp rà soát cấu hình. Đây là nhận định chung, hãy đối chiếu thêm hướng dẫn của hãng thiết bị và NIST SP 800-77 Rev. 1.

Hạng mục	Nên dùng	Nên loại bỏ
Mã hoá dữ liệu	AES-GCM, ChaCha20-Poly1305	DES, 3DES, RC4 (MPPE của PPTP)
Hàm băm toàn vẹn	SHA-256 trở lên	MD5, SHA-1
Trao đổi khoá	ECDH (Curve25519, nhóm P-256 trở lên)	Nhóm Diffie-Hellman 768, 1024 bit
Xác thực site-to-site	Chứng chỉ số	Khoá chia sẻ trước yếu, dùng nhiều năm
Phiên bản TLS (SSL VPN)	TLS 1.2, TLS 1.3	TLS 1.0, 1.1 (RFC 8996)

Hai điểm hay bị hiểu nhầm. Thứ nhất, khoá dài hơn không bù được cho xác thực yếu: AES-256 vẫn vô nghĩa nếu kẻ tấn công có tài khoản VPN hợp lệ. Thứ hai, mã hoá VPN chỉ bảo vệ đoạn từ client đến cổng VPN. Sau cổng, gói tin được giải mã và đi trong mạng nội bộ ở dạng gốc, nên ứng dụng nhạy cảm vẫn nên dùng HTTPS riêng. Giải pháp lưu giữ dữ liệu mã hoá (như chữ ký số dùng chứng chỉ) cũng dựa trên cùng nền tảng mật mã khoá công khai nhưng phục vụ mục đích khác.

Về dài hạn, trao đổi khoá dựa trên đường cong elliptic là phần chịu ảnh hưởng nếu máy tính lượng tử đủ mạnh xuất hiện, trong khi AES-256 chịu ảnh hưởng ít hơn. Vì kẻ tấn công có thể ghi lại lưu lượng hôm nay để giải mã sau này, giới chuẩn hoá đã bắt đầu làm việc: NIST công bố chuẩn trao đổi khoá hậu lượng tử ML-KEM (FIPS 203) vào tháng 8/2024, và IETF có RFC 9370 cho phép IKEv2 kết hợp nhiều lần trao đổi khoá. Bạn có thể xem thêm bối cảnh ở bài ứng dụng điện toán lượng tử. Với đa số doanh nghiệp, việc cần làm trước mắt là ghi nhận danh sách thiết bị VPN và hỏi hãng về lộ trình hỗ trợ.

VPN site-to-site và VPN truy cập từ xa khác nhau thế nào?

Hai mô hình VPN doanh nghiệp này giải quyết hai bài toán khác nhau.

VPN truy cập từ xa (remote access)

Mỗi người dùng mở đường hầm từ thiết bị của mình về cổng VPN, phục vụ làm việc tại nhà, đi công tác, đối tác cần vào một hệ thống cụ thể. Rủi ro chính nằm ở con người và thiết bị: mật khẩu bị lộ, laptop cá nhân nhiễm mã độc, nhân viên nghỉ việc nhưng tài khoản chưa khoá.

VPN site-to-site

Đường hầm dựng giữa hai thiết bị cổng ở hai địa điểm và chạy liên tục; người dùng ở chi nhánh không cần cài gì. Biến thể ngày càng phổ biến là nối văn phòng với mạng riêng trên đám mây (VPC); bài điện toán đám mây là gì giải thích thêm các mô hình này. Rủi ro chính là cấu hình: định tuyến quá rộng, khoá chia sẻ trước (pre-shared key) yếu dùng nhiều năm, hoặc quên đường hầm của đối tác đã ngừng hợp tác.

Lưu ý: VPN của nhà mạng như MPLS VPN là dịch vụ kênh riêng tách lưu lượng ở hạ tầng nhà mạng, khác VPN mã hoá chạy trên Internet dù cùng tên.

VPN doanh nghiệp khác VPN tiêu dùng ra sao?

Khác biệt quan trọng nhất là ai nhìn thấy lưu lượng của bạn sau khi giải mã.

Tiêu chí	VPN doanh nghiệp	Dịch vụ VPN tiêu dùng
Mục đích	Vào tài nguyên nội bộ, nối các địa điểm	Bảo vệ kết nối trên mạng lạ, đổi IP hiển thị
Điểm cuối đường hầm	Cổng VPN công ty kiểm soát	Máy chủ nhà cung cấp
Ai thấy lưu lượng sau giải mã	Bộ phận CNTT, theo chính sách nội bộ	Nhà cung cấp VPN
Xác thực	Tài khoản công ty, MFA, chứng chỉ, kiểm tra thiết bị	Tài khoản dịch vụ, thường chỉ mật khẩu
Rủi ro điển hình	Lỗ hổng thiết bị biên, tài khoản bị chiếm	Nhà cung cấp thu thập dữ liệu, ứng dụng giả chứa mã độc

Dùng VPN tiêu dùng không làm dữ liệu biến mất; nó chỉ chuyển quyền nhìn thấy từ nhà mạng sang nhà cung cấp VPN. Doanh nghiệp không nên để nhân viên cài ứng dụng VPN cá nhân trên máy làm việc, vì đó là kênh dữ liệu ra ngoài mà bộ phận CNTT không kiểm soát được.

VPN có an toàn không?

VPN an toàn cho đúng việc nó được thiết kế: bảo vệ dữ liệu trên đường truyền không tin cậy. Nó chống nghe lén trên Wi-Fi công cộng, chống sửa dữ liệu trên đường đi, và giấu máy chủ nội bộ phía sau một cổng duy nhất. Nhưng VPN không bảo vệ được:

• Thiết bị đã nhiễm mã độc: VPN chỉ giúp mã độc vào mạng công ty kín hơn. Nhiều vụ tấn công mã độc tống tiền bắt đầu từ một tài khoản VPN bị chiếm.
• Lừa đảo đánh cắp mật khẩu: VPN không nhận ra trang đăng nhập giả.
• Ẩn danh: trang web vẫn nhận ra bạn qua tài khoản, cookie, dấu vân tay trình duyệt.
• Di chuyển ngang: VPN truyền thống cho người dùng vào cả dải mạng; nếu không phân quyền thêm, kẻ tấn công có thể lan sang hệ thống khác.

Lỗ hổng thiết bị VPN: vì sao cổng VPN thành mục tiêu số một?

Cổng VPN luôn có địa chỉ công khai, nằm ngay ranh giới mạng nội bộ và thường là “hộp đen” khó cài phần mềm giám sát. Chiếm được nó, kẻ tấn công có vị trí như một nhân viên đã đăng nhập, thậm chí thu được mật khẩu người dùng hợp lệ.

• Báo cáo DBIR 2025 của Verizon: tỷ lệ khai thác lỗ hổng nhắm vào thiết bị biên và VPN tăng từ 3% lên 22%, gần gấp 8 lần năm trước.
• DBIR 2026 (công bố 20/05/2026): khai thác lỗ hổng chiếm 31% con đường xâm nhập ban đầu, vượt phishing (16%) và lạm dụng thông tin đăng nhập (13%). Tỷ lệ lỗ hổng thuộc danh mục bị khai thác thực tế (KEV) được khắc phục hoàn toàn giảm từ 38% xuống 26%; thời gian trung vị để vá tăng từ 32 lên 43 ngày.

Một số sự cố tiêu biểu 2024–2025

Thời điểm	Sản phẩm	Chuyện gì đã xảy ra	Bài học
01/2024	Ivanti Connect Secure, Policy Secure	CISA ban hành Chỉ thị khẩn cấp ED 24-01 vì CVE-2023-46805 và CVE-2024-21887 bị khai thác rộng rãi: thả webshell, đánh cắp thông tin đăng nhập, di chuyển ngang, xoá dấu vết. Cơ quan liên bang Mỹ phải ngắt kết nối thiết bị trước 02/02/2024.	Vá xong chưa đủ; phải giả định đã bị xâm nhập, đổi mật khẩu, thu hồi phiên.
04/2024	Palo Alto Networks PAN-OS (GlobalProtect)	CVE-2024-3400, điểm CVSS 10,0: kẻ tấn công không cần đăng nhập chạy mã với quyền root trên tường lửa bật GlobalProtect; hãng xác nhận bị khai thác thực tế.	Tính năng VPN trên tường lửa cũng là bề mặt tấn công.
09/2025	Cisco ASA, Firepower	Chỉ thị khẩn cấp ED 25-03 (25/09/2025) về CVE-2025-20333 và CVE-2025-20362; chiến dịch được Cisco liên hệ với ArcaneDoor, sửa ROM để tồn tại qua khởi động lại. Thiết bị hết hỗ trợ trước hoặc vào 30/09/2025 phải ngắt kết nối vĩnh viễn.	Thiết bị hết vòng đời là rủi ro không vá được.

Không hãng nào miễn nhiễm; khác biệt nằm ở tốc độ phát hiện và vá.

Quy trình vá lỗi cho thiết bị VPN

1. Kiểm kê mọi thiết bị có chức năng VPN (kể cả trên tường lửa, router chi nhánh), phiên bản phần mềm và ngày hết hỗ trợ.
2. Theo dõi cảnh báo từ bản tin bảo mật của hãng, danh mục KEV của CISA và cảnh báo của cơ quan chức năng Việt Nam.
3. Xử lý trong vài ngày với lỗ hổng thiết bị biên đã bị khai thác, không chờ chu kỳ vá hằng tháng; khi chưa có bản vá, áp dụng biện pháp giảm thiểu của hãng hoặc tắt tính năng bị ảnh hưởng.
4. Kiểm tra dấu hiệu xâm nhập sau khi vá: rà nhật ký, tài khoản quản trị mới, tệp lạ; nếu nghi ngờ, đổi mật khẩu người dùng và khoá, chứng chỉ thiết bị.
5. Lên kế hoạch thay thiết bị ít nhất một năm trước ngày hết hỗ trợ.

Checklist gia cố VPN doanh nghiệp

Ngày 28/09/2021, NSA và CISA (Mỹ) cùng phát hành hướng dẫn chọn và gia cố VPN truy cập từ xa, với bốn khuyến nghị cốt lõi: chọn sản phẩm đã được kiểm thử, đánh giá theo chuẩn; dùng xác thực mạnh như đa yếu tố; vá lỗi nhanh; tắt các tính năng không liên quan đến VPN để giảm bề mặt tấn công. Kết hợp với kinh nghiệm vận hành, bạn có thể tự rà soát theo danh sách sau:

1. Bắt buộc xác thực đa yếu tố cho mọi tài khoản VPN; ưu tiên loại chống phishing (khoá bảo mật, passkey) cho quản trị viên.
2. Nối VPN với hệ thống danh tính tập trung để tài khoản bị khoá ngay khi nhân viên nghỉ việc.
3. Phân nhóm người dùng; mỗi nhóm chỉ vào đúng dải mạng, ứng dụng cần cho công việc. Không dùng tài khoản chung; tài khoản đối tác có thời hạn.
4. Đưa giao diện quản trị thiết bị ra khỏi Internet, chỉ quản trị từ mạng quản lý riêng.
5. Tắt tính năng không dùng: cổng web, PPTP, TLS 1.0/1.1, bộ thuật toán cũ. Với site-to-site, ưu tiên chứng chỉ thay vì khoá chia sẻ trước.
6. Kiểm tra trạng thái thiết bị (đã cập nhật, có phần mềm bảo vệ, do công ty quản lý) trước khi cho kết nối, nếu giải pháp hỗ trợ.
7. Nếu bật split tunneling, giới hạn danh sách ngoại lệ ở dịch vụ đã biết và cấu hình split DNS cho tên miền nội bộ.
8. Đặt tường lửa và phân đoạn mạng phía sau cổng VPN để người dùng không mặc nhiên vào mọi máy chủ.
9. Gửi nhật ký VPN về hệ thống tập trung; cảnh báo khi đăng nhập từ quốc gia lạ, sai mật khẩu nhiều lần, một tài khoản đăng nhập hai nơi cùng lúc.
10. Viết sẵn kịch bản khi cổng VPN có lỗ hổng khẩn cấp: ai quyết định tắt, báo nhân viên thế nào, phương án truy cập thay thế.

Nếu doanh nghiệp đang xây hệ thống quản lý an toàn thông tin, các mục trên ánh xạ khá trực tiếp vào nhóm biện pháp kiểm soát truy cập và an toàn truyền thông của ISO 27001.

VPN và zero trust: ZTNA có thay thế VPN không?

VPN truyền thống dựa trên tư duy vành đai: vào được trong mạng là được tin tương đối. Mô hình zero trust làm ngược lại: không tin mặc định theo vị trí mạng, kiểm tra người dùng và thiết bị cho từng yêu cầu, chỉ cấp quyền tối thiểu. ZTNA (Zero Trust Network Access) áp dụng ý tưởng này cho truy cập từ xa: thay vì đưa cả máy vào mạng nội bộ, nó chỉ nối người dùng tới đúng ứng dụng được phép, và ứng dụng không lộ ra Internet.

Phần lớn doanh nghiệp sẽ chạy song song hai mô hình trong nhiều năm. VPN site-to-site vẫn cần cho kết nối giữa địa điểm và đám mây; VPN truy cập từ xa vẫn hữu ích cho hệ thống cũ chưa hỗ trợ truy cập theo ứng dụng. Lộ trình hợp lý:

1. Gia cố VPN đang có theo checklist ở trên.
2. Thí điểm truy cập theo ứng dụng với một nhóm ứng dụng web ít rủi ro.
3. Chuyển dần ứng dụng còn lại, thu hẹp nhóm người dùng còn cần VPN đầy đủ.
4. Giữ VPN cho site-to-site và trường hợp đặc thù, với quyền hẹp nhất có thể.

Mua sản phẩm ZTNA không tự động có zero trust. Nếu vẫn mật khẩu yếu, không quản lý thiết bị, không ai đọc nhật ký, bạn chỉ thay cổng vào này bằng cổng vào khác.

Chọn giải pháp VPN doanh nghiệp theo tiêu chí nào?

Lựa chọn trải từ tính năng VPN có sẵn trên tường lửa, phần mềm mã nguồn mở tự vận hành, đến dịch vụ VPN hoặc ZTNA dạng đám mây. Thay vì bắt đầu từ thương hiệu, hãy trả lời các câu hỏi sau:

Câu hỏi	Vì sao quan trọng
Bài toán là truy cập từ xa, nối chi nhánh hay cả hai?	Quyết định cần thiết bị cổng, client hay dịch vụ đám mây.
Bao nhiêu người dùng đồng thời, dùng thiết bị gì?	Quyết định dung lượng, giấy phép, hỗ trợ di động.
Có tích hợp hệ thống danh tính và MFA sẵn có không?	Tránh thêm một kho tài khoản riêng khó quản lý.
Hỗ trợ giao thức và bộ thuật toán nào, có cấu hình split tunneling theo ứng dụng không?	Quyết định tương thích với thiết bị đối tác, đám mây và khả năng giảm tải cổng.
Lịch sử lỗ hổng, tốc độ ra bản vá và ngày hết hỗ trợ?	Thiết bị biên phải vá trong vài ngày và không được hết vòng đời giữa chừng.
Đội CNTT có đủ người vận hành không?	Tự vận hành rẻ giấy phép nhưng tốn công; dịch vụ quản lý tốn phí định kỳ nhưng giảm tải.

Hãy so sánh tổng chi phí ba đến năm năm (cấu hình, vá lỗi, giám sát, chuyển đổi), không chỉ giá mua.

Dùng VPN tại Việt Nam cần lưu ý gì về pháp lý?

Phần này chỉ mang tính tham khảo chung, không phải tư vấn pháp lý.

• Kinh doanh dịch vụ VPN là hoạt động viễn thông. Nghị định 163/2024/NĐ-CP ngày 24/12/2024 quy định chi tiết Luật Viễn thông 2023 xếp “dịch vụ mạng riêng ảo” vào nhóm dịch vụ viễn thông cơ bản (điểm i khoản 1 Điều 5). Cung cấp dịch vụ này cho người khác chịu sự quản lý của pháp luật viễn thông; khi thuê VPN hay kênh riêng của nhà mạng, hãy kiểm tra đơn vị cung cấp có giấy phép phù hợp. Doanh nghiệp tự dựng VPN cho nhân viên của mình là biện pháp bảo mật nội bộ, một bài toán khác.
• Nghĩa vụ an ninh mạng. Luật An ninh mạng số 116/2025/QH15 (thông qua 10/12/2025, hiệu lực 01/07/2026) thay Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018, chia hệ thống thông tin thành 5 cấp độ; hệ thống đã xác định cấp độ theo luật cũ có 12 tháng để đáp ứng điều kiện mới. Nghị định 331/2026/NĐ-CP ngày 19/08/2026 quy định chi tiết việc bảo vệ hệ thống thông tin. Cổng VPN nằm ở ranh giới hệ thống nên cấu hình, vá lỗi và nhật ký của nó cần có trong hồ sơ cấp độ. Xem tổng quan ở bài an ninh mạng là gì.
• Dữ liệu cá nhân trong nhật ký VPN. Tên đăng nhập, địa chỉ IP, thời gian, vị trí của nhân viên là dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026). Hãy thông báo mục đích ghi nhật ký, giới hạn người xem, đặt thời hạn lưu trữ. Nếu cổng VPN bị xâm nhập và có dấu hiệu lộ dữ liệu cá nhân, Điều 23 yêu cầu thông báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện.
• Không dùng VPN để lẩn tránh nghĩa vụ pháp lý. VPN là công cụ bảo mật hợp pháp, nhưng dùng bất kỳ công nghệ nào để thực hiện hành vi bị cấm vẫn là vi phạm. Quy chế nội bộ nên ghi rõ VPN công ty chỉ dùng cho công việc và cấm cài ứng dụng VPN chưa được phê duyệt.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có cần VPN không?

Có, nếu nhân viên cần vào hệ thống nội bộ (máy chủ tệp, phần mềm kế toán cài tại chỗ, camera) từ bên ngoài. Nếu mọi thứ đã chạy trên SaaS có đăng nhập tập trung và MFA, nhu cầu có thể rất nhỏ. Đừng mở thẳng dịch vụ nội bộ như máy tính từ xa ra Internet thay cho VPN.

Giao thức VPN nào an toàn nhất?

Không có giao thức an toàn nhất cho mọi hoàn cảnh. IPsec/IKEv2, WireGuard và OpenVPN đều an toàn khi cấu hình đúng và cập nhật. Rủi ro lớn hơn thường nằm ở phần mềm thiết bị, cấu hình và tài khoản. Nên loại bỏ PPTP và TLS cũ.

IPsec VPN khác SSL VPN ở điểm nào?

IPsec hoạt động ở tầng mạng, thường cần client hoặc cấu hình hệ điều hành và rất phổ biến cho site-to-site. SSL VPN dùng TLS qua cổng HTTPS nên dễ đi qua tường lửa và có thể truy cập qua trình duyệt, nhưng thường là giao thức riêng của từng hãng. Một số hãng đã chuyển chế độ đường hầm sang IPsec.

Mã hoá VPN có bị bẻ khoá được không?

Với AES và trao đổi khoá hiện đại, việc bẻ trực tiếp thuật toán không phải hướng tấn công thực tế. Kẻ tấn công thường nhắm vào mật khẩu yếu, khoá chia sẻ trước bị lộ, lỗ hổng phần mềm cổng VPN hoặc thiết bị người dùng. Bộ thuật toán cũ như 3DES, MD5, SHA-1 nên được loại bỏ.

Split tunneling có nên bật không?

Nên cân nhắc khi băng thông cổng VPN bị nghẽn bởi họp trực tuyến hoặc SaaS, và thiết bị đã có bảo vệ đầu cuối, được quản lý tập trung. Với nhóm xử lý dữ liệu nhạy cảm hoặc thiết bị cá nhân, full tunnel an toàn hơn vì lưu lượng qua tường lửa của công ty.

Dùng VPN miễn phí có an toàn không?

Rủi ro cao hơn. Nhà cung cấp thấy lưu lượng sau giải mã, và với dịch vụ miễn phí bạn khó biết họ kiếm tiền từ đâu; còn có ứng dụng giả mạo VPN chứa mã độc. Không nên cho phép trên thiết bị làm việc.