Kill Switch VPN Là Gì?
Kill switch VPN là tính năng chặn lưu lượng mạng nếu đường hầm VPN bị ngắt kết nối đột ngột. Bài viết này giải thích kill switch thực sự làm gì, cách triển khai ở cấp hệ điều hành và cách xác minh tính năng đang hoạt động đúng.
Định nghĩa
Kill switch là một điều khiển ở cấp mạng, ngăn lưu lượng rời khỏi thiết bị qua giao diện không được bảo vệ trong khi VPN đang hoạt động. Nếu đường hầm VPN bị ngắt — dù do thay đổi mạng, lỗi máy chủ hay bất kỳ lý do nào khác — kill switch đảm bảo lưu lượng không âm thầm chuyển về giao diện mạng mặc định.
Tính năng này đôi khi còn được gọi là "network lock," "always-on protection," hay "internet kill switch." Hành vi là như nhau dù tên gọi khác nhau.
Lý do cần Kill Switch
Đường hầm VPN không phải lúc nào cũng ổn định hoàn toàn. Các thay đổi mạng — chuyển từ Wi-Fi sang mạng di động, di chuyển giữa các điểm truy cập, đi qua hầm — có thể làm gián đoạn kết nối trong thời gian ngắn. Bảo trì máy chủ, sự cố kết nối gián đoạn hay lỗi giao thức hiếm gặp cũng có thể gây ngắt kết nối.
Nếu không có kill switch, hệ điều hành sẽ định tuyến lưu lượng qua bất kỳ giao diện nào còn khả dụng. Từ góc nhìn người dùng, thiết bị có vẻ tiếp tục hoạt động bình thường — trang web vẫn tải, ứng dụng vẫn kết nối — nhưng lưu lượng lúc này đang đi qua mạng cục bộ và ISP thay vì VPN.
Với người dùng phụ thuộc vào VPN để bảo mật quyền riêng tư hoặc truy cập dịch vụ theo vị trí địa lý, việc âm thầm chuyển hướng này làm mất đi mục đích sử dụng VPN. Kill switch đảm bảo kết nối bị tạm ngưng thay vì bị chuyển hướng một cách lặng lẽ.
Cách triển khai
Cách triển khai kill switch khác nhau tùy nền tảng. Có hai hướng tiếp cận chính.
Triển khai ở cấp hệ thống
Trên các nền tảng có hỗ trợ VPN tích hợp, kill switch được thực thi bởi hệ điều hành. Trên iOS, framework Network Extension cung cấp tùy chọn "includeAllNetworks" — khi kết hợp với các quy tắc định tuyến phù hợp — ngăn lưu lượng rời thiết bị qua bất kỳ giao diện nào khác ngoài đường hầm. Điều này được thực thi ở cấp kernel và áp dụng cho tất cả ứng dụng, kể cả những ứng dụng chạy nền.
Trên Linux, kill switch thường được triển khai bằng quy tắc tường lửa — iptables hoặc nftables — chặn tất cả lưu lượng ngoại trừ các gói tin đến địa chỉ máy chủ VPN. Các quy tắc được thêm khi đường hầm được thiết lập và xóa khi ngắt kết nối có chủ ý.
Triển khai ở cấp ứng dụng
Một số ứng dụng VPN triển khai kill switch ngay trong ứng dụng, theo dõi đường hầm và điều chỉnh định tuyến hay quy tắc tường lửa khi phát hiện ngắt kết nối. Triển khai ở cấp ứng dụng linh hoạt hơn nhưng phụ thuộc vào việc ứng dụng phải luôn hoạt động để thực thi chính sách.
Triển khai ở cấp hệ thống thường đáng tin cậy hơn vì nó tiếp tục hoạt động ngay cả khi ứng dụng VPN bị treo hoặc bị tắt.
Các loại Kill Switch
Kill switch có thể được cấu hình theo nhiều chế độ khác nhau về mức độ chặn lưu lượng.
- Kill switch vĩnh viễn. Lưu lượng bị chặn bất cứ khi nào VPN không ở trạng thái kết nối, kể cả khi ứng dụng chưa được khởi chạy. Chế độ này cung cấp đảm bảo mạnh nhất nhưng yêu cầu thao tác rõ ràng để tắt.
- Kill switch theo phiên. Lưu lượng chỉ bị chặn trong phiên VPN đang hoạt động. Nếu người dùng ngắt kết nối thủ công, kill switch tắt và lưu lượng bình thường tiếp tục.
- Kill switch theo ứng dụng cụ thể. Có trên một số nền tảng máy tính, chế độ này chặn các ứng dụng cụ thể khi VPN bị ngắt trong khi vẫn cho phép các ứng dụng khác hoạt động bình thường. Cấu hình này hữu ích cho các công cụ xử lý dữ liệu nhạy cảm, nhưng độ chi tiết cao hơn lại tăng thêm độ phức tạp.
Khi nào Kill Switch kích hoạt
Kill switch được thiết kế để xử lý các điều kiện mà hệ điều hành thông thường không coi là lỗi. Các tình huống kích hoạt phổ biến bao gồm:
- Máy chủ VPN không thể kết nối do sự cố mạng hoặc bảo trì phía máy chủ.
- Giao diện mạng của thiết bị thay đổi — ví dụ chuyển từ Wi-Fi sang mạng di động — và đường hầm không được thiết lập lại kịp thời.
- Lỗi ở cấp giao thức khiến đường hầm bị ngắt.
- Mạng cục bộ bị mất gói tin đến hoặc từ máy chủ VPN, kể cả trong một số tình huống captive portal.
Trong mỗi điều kiện này, kill switch tạm ngưng lưu lượng cho đến khi đường hầm được thiết lập lại hoặc người dùng tắt kill switch một cách có chủ ý.
Hạn chế
Kill switch là tính năng phòng thủ, không phải giải pháp hoàn chỉnh. Có hai hạn chế đáng lưu ý.
Quá trình chuyển đổi không phải lúc nào cũng tức thì. Giữa thời điểm đường hầm thất bại và thời điểm kill switch hoạt động đầy đủ, có thể tồn tại một khoảng thời gian nhỏ mà lưu lượng về lý thuyết có thể bị rò rỉ. Trên các hệ thống được thiết kế tốt, khoảng thời gian này đủ ngắn để có thể bỏ qua về mặt thực tế — thường chỉ vài mili giây — nhưng không phải lúc nào cũng bằng không. Các triển khai ở cấp hệ thống thu hẹp khoảng thời gian này đáng tin cậy hơn so với triển khai ở cấp ứng dụng.
Rò rỉ DNS là một vấn đề riêng biệt. Kill switch ngăn lưu lượng IP rời khỏi qua các giao diện không được bảo vệ, nhưng các yêu cầu DNS đôi khi có thể đi vòng qua đường hầm thông qua các cài đặt mặc định của hệ thống. Cấu hình hoàn chỉnh sử dụng cả kill switch lẫn định tuyến DNS qua đường hầm. Snap VPN cấu hình cả hai theo mặc định.
Kiểm tra
Kill switch có thể được kiểm tra bằng cách mô phỏng lỗi đường hầm và xác nhận rằng lưu lượng bị chặn.
- Kết nối VPN và xác nhận rằng dịch vụ báo cáo IP hiển thị địa chỉ của máy chủ.
- Không ngắt kết nối qua ứng dụng, hãy tắt giao diện mạng mà VPN đang sử dụng — ví dụ bằng cách tắt Wi-Fi trong khi đường hầm đang hoạt động.
- Thử tải một trang web. Với kill switch hoạt động đúng, trang sẽ không tải được cho đến khi đường hầm được thiết lập lại hoặc kill switch bị tắt có chủ ý.
Trên iOS, kill switch được thực thi ở cấp hệ thống khi cấu hình VPN được thiết lập với các tùy chọn phù hợp. Snap VPN bật kill switch theo mặc định và không đưa ra như một cài đặt tùy chọn — tính năng này là một phần của cấu hình tiêu chuẩn thay vì một cài đặt có thể vô tình bị tắt.
Để biết thêm về cấu hình VPN và những gì VPN có thể làm, xem giới thiệu về VPN của chúng tôi và hướng dẫn cài đặt trên iPhone.