iCloud Private Relay chia lưu lượng qua hai chặng để không bên nào thấy cả bạn lẫn trang bạn truy cập. Nó che những gì và website vẫn thấy gì.
iCloud Private Relay (tên tiếng Việt trong cài đặt Apple: «Chuyển tiếp bảo mật iCloud») là tính năng quyền riêng tư của Apple dành cho người đăng ký iCloud+, đưa lưu lượng Safari của bạn qua hai chặng riêng biệt để cả Apple lẫn bên vận hành chặng thứ hai đều không thể thấy đồng thời danh tính của bạn và các trang bạn truy cập. Nó không phải VPN: chỉ phủ một phần lưu lượng, cố ý giữ lại vị trí gần đúng của bạn và không thay đổi dấu vân tay trình duyệt. Bài viết giải thích nó che những gì, vì sao website có thể hiển thị bạn sai thành phố và cách website nhận ra nó.
Điểm chính
- Private Relay dùng hai chặng: relay đầu vào của Apple thấy IP thật của bạn nhưng không thấy đích đến, còn relay đầu ra của đối tác thấy đích đến nhưng không thấy IP thật của bạn.
- Nó phủ duyệt web trên Safari, truy vấn DNS và một phần lưu lượng ứng dụng không mã hóa — không phủ toàn bộ thiết bị như VPN, và không phủ các trình duyệt khác như Chrome hay Firefox.
- Website thấy IP đầu ra thuộc dải relay đã công bố: nhận ra được đó là relay nhưng không truy ngược được về bạn. Vị trí cố ý thô, nên bạn có thể bị hiển thị sai thành phố.
- Nó không thay đổi dấu vân tay trình duyệt và có thể bị gắn cờ bởi những bộ kiểm tra VPN/proxy có đưa dải relay vào danh sách.
- Để xem website thấy gì, hãy kiểm tra IP đầu ra, ASN và vị trí bằng công cụ IP intelligence, rồi thử xem nó có bị coi là proxy không bằng kiểm tra VPN/proxy.
Hai chặng phân tách niềm tin thế nào
Với kết nối thông thường, website thấy IP của bạn còn nhà mạng thấy trang bạn yêu cầu. VPN một bên vận hành chỉ dồn toàn bộ hiểu biết đó vào một công ty. Private Relay thì tách nó ra:
- Chặng đầu vào (Apple). Thiết bị gửi yêu cầu đến relay do Apple vận hành. Apple biết IP thật của bạn nhưng chỉ thấy một yêu cầu đã mã hóa không đọc được, nên không biết bạn muốn vào trang nào.
- Chặng đầu ra (đối tác). Relay thứ hai, do đối tác như Cloudflare vận hành, giải mã đích đến và chuyển tiếp yêu cầu. Nó cấp IP đi ra, nên biết yêu cầu đi đâu nhưng chỉ thấy relay của Apple là bên gửi.
Thiết kế phân tách niềm tin này đã được tóm tắt trong so sánh công cụ bảo mật, còn bài viết của chính Cloudflare, iCloud Private Relay: What Cloudflare Customers Need to Know, mô tả phía đầu ra từ góc nhìn của đối tác. Chrome từng thử thiết kế hai chặng tương tự; xem Chrome IP Protection để biết so sánh và lý do nó bị khai tử.
Tầng giao thức: MASQUE
Dành cho ai muốn tìm hiểu phần kỹ thuật: các đường hầm của Private Relay dùng cách tiếp cận do nhóm công tác MASQUE của IETF chuẩn hóa, tức là chở lưu lượng khác bên trong các kết nối proxy HTTP. RFC 9298 định nghĩa việc proxy UDP qua HTTP, còn RFC 9484 cùng họ mở rộng ý tưởng đó sang toàn bộ gói IP. Điều quan trọng với người dùng là các chặng relay chạy trên kết nối HTTP/3 (QUIC) thông thường, nên với mạng ở giữa chúng trông như lưu lượng web bình thường. Bạn không cần biết những điều này để dùng tính năng, nhưng chúng giải thích vì sao Private Relay dựa trên chuẩn mở chứ không phải một giao thức VPN độc quyền.
Private Relay phủ gì và không phủ gì
| Lưu lượng | Private Relay có bảo vệ? |
|---|---|
| Duyệt web Safari (HTTP và HTTPS) | Có |
| Truy vấn DNS qua trình phân giải của hệ thống | Có |
| Một phần lưu lượng ứng dụng không mã hóa | Có |
| Chrome, Firefox và trình duyệt khác | Không |
| Hầu hết ứng dụng và dịch vụ hệ thống khác | Không |
| Dấu vân tay trình duyệt | Không thay đổi |
| Thời điểm và khối lượng lưu lượng | Không bị che |
Từ đó có hai hệ quả. Thứ nhất, website trong Chrome vẫn thấy IP thật của bạn ngay cả khi Safari đang đi qua relay. Thứ hai, mọi thứ nhận ra bạn mà không cần IP — cookie, đăng nhập, dấu vân tay canvas hay phông chữ — vẫn hoạt động như cũ. Nếu bạn quan tâm đến DNS, hướng dẫn chống rò rỉ DNS giải thích các truy vấn bị rò rỉ ra sao ở những công cụ khác.
Vì sao website hiển thị sai vị trí
Private Relay có cài đặt vị trí: giữ vị trí chung (khu vực gần đúng của bạn, để nội dung địa phương vẫn dùng được) hoặc chỉ dùng quốc gia và múi giờ (rộng hơn, riêng tư hơn). Trong cả hai trường hợp, IP đầu ra lấy từ một nhóm gán cho khu vực chứ không phải địa chỉ thật của bạn, nên cơ sở dữ liệu định vị đặt bạn ở trung tâm khu vực đó — thường là một thành phố gần đó, đôi khi không đúng.
Đó không phải lỗi của website hay thiết bị mà là tính năng đang hoạt động đúng. Cách cơ sở dữ liệu biến IP thành thành phố và vì sao các suy đoán ấy lệch được trình bày trong độ chính xác của định vị IP, nên chúng tôi không lặp lại ở đây. Nếu cửa hàng hiển thị giá của khu vực khác hoặc widget thời tiết nêu sai thị trấn, hãy kiểm tra xem Private Relay có đang bật trong cài đặt Apple ID không trước khi nghi ngờ có lỗi.
Website nhận ra Private Relay thế nào
Apple công bố danh sách dải IP đầu ra mà nó dùng, nên website nào cũng có thể đối chiếu địa chỉ của khách truy cập với danh sách đó. Kết quả là một kết nối nhận ra được là relay nhưng không truy ngược được về bạn: website biết "khách này đang dùng iCloud Private Relay", chứ không biết họ là ai. Nhiều website coi điều đó vô hại, một số xử lý nó như mọi proxy khác.
Vì dải đầu ra đã được biết, các tín hiệu thường trông như sau:
- Uy tín IP và ASN. Địa chỉ thuộc mạng của đối tác chứ không phải ISP gia đình. Công cụ IP intelligence cho thấy ASN và loại mà website sẽ thấy.
- Kiểm tra tính nhất quán. Nếu múi giờ và ngôn ngữ chỉ về một quốc gia còn IP đầu ra ở quốc gia khác, hệ thống chống gian lận có thể tăng điểm rủi ro. Private Relay được thiết kế để tránh điều này: với cả hai tùy chọn vị trí, IP đầu ra vẫn nằm trong quốc gia và múi giờ thật của bạn — đây là khác biệt then chốt so với VPN có điểm thoát ở nước khác.
- Cờ proxy. Một số bộ phát hiện VPN và proxy đưa dải relay vào danh sách rồi yêu cầu xác minh hoặc chặn, dù người dùng không làm gì sai. Xem vì sao người dùng bình thường bị gắn cờ là dùng VPN để biết các cảnh báo sai này xuất hiện thế nào và cách xử lý.
Private Relay không làm gì
Cái tên rất dễ khiến người ta kỳ vọng quá mức. Private Relay không làm những việc sau:
- Không thay đổi dấu vân tay trình duyệt. User-Agent, màn hình, phông chữ, đầu ra canvas và WebGL vẫn được gửi đi. Dấu vân tay nhận ra bạn giữa các website bất kể bạn xuất hiện từ IP nào; phần so sánh VPN và dấu vân tay của chúng tôi giải thích vì sao che IP và chống theo dõi là hai việc khác nhau.
- Không phủ trình duyệt khác hay toàn bộ thiết bị. Chỉ lưu lượng mà tính năng xử lý mới đi qua relay.
- Không cho bạn chọn quốc gia đầu ra. Bạn không chọn được mình xuất hiện ở đâu, nên nó không phải công cụ để xem kho phim streaming hay vượt chặn theo vùng.
- Không giấu việc đang dùng relay. Các dải địa chỉ là công khai, đó là một phần của thiết kế.
Khi Private Relay âm thầm không hoạt động
Nếu bạn mong thấy IP của relay nhưng lại thấy IP nhà mạng của mình, thường là tính năng không chạy trên kết nối đó. Các nguyên nhân thường gặp:
- Không đăng ký iCloud+. Private Relay thuộc gói iCloud+ trả phí, không có trong iCloud miễn phí.
- Không được cung cấp ở khu vực của bạn. Apple không cung cấp Private Relay ở một số quốc gia và khu vực, trong đó có Trung Quốc đại lục.
- Bị tắt cho mạng hiện tại. Trên iPhone và iPad, bạn có thể tắt nó cho từng mạng Wi-Fi hoặc mạng di động, và một số mạng trường học, công ty hay mạng công cộng cũng chặn nó; khi đó thiết bị kết nối trực tiếp và thường hiện thông báo trong cài đặt mạng.
- Không dùng Safari. Kiểm tra trên Chrome hay Firefox sẽ luôn hiện IP thật của bạn.
Cách xác nhận nhanh nhất: mở công cụ IP intelligence trong Safari, ghi lại IP và ASN, rồi tắt Private Relay và kiểm tra lại.
Private Relay, VPN và cách của Chrome
VPN đưa cả kết nối qua một bên vận hành mà bạn phải tin, cho phép chọn vị trí, nhưng cũng dễ rơi vào danh sách chặn IP datacenter. Private Relay đánh đổi sự linh hoạt đó lấy việc phân tách niềm tin và không cần cấu hình. IP Protection của Chrome đã bị khai tử còn hẹp hơn: chỉ một danh sách tên miền theo dõi, và chỉ trong chế độ ẩn danh. Để chọn giữa tất cả những phương án này, xem so sánh công cụ bảo mật.
Câu hỏi thường gặp
iCloud Private Relay có che địa chỉ IP của tôi không?
Với các website bạn truy cập trong Safari thì có: chúng thấy IP đầu ra của relay thay vì IP của bạn. Nhà mạng vẫn thấy bạn đang kết nối đến relay của Apple, và lưu lượng ngoài Safari không được phủ.
iCloud Private Relay có giống VPN không?
Không. VPN gửi toàn bộ lưu lượng thiết bị qua một nhà cung cấp và cho bạn chọn vị trí. Private Relay phân tách niềm tin giữa hai bên vận hành, chủ yếu phủ Safari và DNS, và không cho chọn quốc gia.
Vì sao iCloud Private Relay hiển thị sai vị trí?
Nó cố ý cấp IP đầu ra từ một nhóm theo khu vực, hoặc chỉ giữ quốc gia và múi giờ của bạn. Cơ sở dữ liệu định vị sau đó đặt bạn ở khu vực ấy, có thể là thành phố khác với nơi bạn thực sự ở.
Website có phát hiện được iCloud Private Relay không?
Có, vì các dải địa chỉ đầu ra được công bố. Website biết khách đang dùng relay nhưng không thể biết khách là ai chỉ từ IP.
Private Relay có thay đổi dấu vân tay trình duyệt của tôi không?
Không. Tín hiệu dấu vân tay đến từ trình duyệt và thiết bị chứ không phải IP. Bạn có thể xem trình duyệt đang để lộ gì bằng kiểm tra dấu vân tay.
Kết luận
iCloud Private Relay là cách được thiết kế tốt, ít công sức để website và mạng không ghép được IP của bạn với hoạt động duyệt trên Safari. Nó không phải VPN đầy đủ, không phải lớp phòng thủ chống dấu vân tay và cũng không vô hình với website. Hãy chạy công cụ IP intelligence và kiểm tra VPN/proxy khi bật và khi tắt để thấy chính xác điều gì thay đổi.
Đọc thêm:
