iCloud Private Relay là gì? So với proxy và VPN

iCloud Private Relay là dịch vụ của Apple đi kèm gói iCloud+, gửi lưu lượng duyệt web trong Safari qua hai lớp chuyển tiếp để không bên nào thấy đủ cả danh tính lẫn nơi anh em truy cập. Dịch vụ còn bảo vệ truy vấn DNS và lưu lượng HTTP không mã hoá của ứng dụng. Nhưng Private Relay không phải VPN, cũng không thay được proxy khi cần IP cụ thể. Bài này ProxyVN giải thích cách hoạt động, phạm vi, cách bật tắt cho từng mạng và so sánh với proxy, VPN. Tham khảo dịch vụ tại ProxyVN.

Tổng quan về iCloud Private Relay

Phần này giúp anh em nắm nhanh ba câu hỏi cơ bản: dịch vụ là gì, ai dùng được, và bảo vệ những gì. Các thông tin đều dựa trên tài liệu chính thức của Apple.

Định nghĩa ngắn gọn

Theo trang giới thiệu iCloud Private Relay của Apple, dịch vụ là một phần của gói iCloud+, giúp bảo vệ quyền riêng tư khi duyệt web trong Safari. Yêu cầu web được gửi qua hai lớp chuyển tiếp riêng biệt, nên không một bên nào thấy được cả danh tính người dùng lẫn website họ truy cập.

Trong cài đặt tiếng Việt, tính năng có tên Chuyển tiếp bảo mật iCloud. Ở các phiên bản hệ điều hành mới, công tắc cho từng mạng được gọi là Giới hạn theo dõi địa chỉ IP, trước đây chính là công tắc iCloud Private Relay.

Ai dùng được

Để dùng được, anh em cần thoả các điều kiện sau:

• Có gói iCloud+, tức gói dung lượng iCloud trả phí bất kỳ.
• Thiết bị chạy iOS 15, iPadOS 15, macOS Monterey trở lên.
• Đang ở quốc gia hoặc khu vực mà Apple cung cấp dịch vụ.

Apple ghi rõ Private Relay không có ở mọi quốc gia, và dịch vụ tự tắt khi người dùng tới nơi không hỗ trợ, rồi tự bật lại khi quay về khu vực được hỗ trợ. Danh sách quốc gia cụ thể nằm trong trang tính năng iCloud+ theo khu vực của Apple. Cách kiểm tra nhanh nhất là mở Cài đặt, chạm vào tên tài khoản, chạm iCloud. Nếu thấy mục Chuyển tiếp bảo mật và bật được, dịch vụ đang khả dụng với anh em.

Bảo vệ những gì

Tài liệu chuẩn bị mạng cho iCloud Private Relay dành cho quản trị viên mạng ghi rõ dịch vụ bảo vệ ba loại lưu lượng: duyệt web trong Safari, truy vấn phân giải DNS, và lưu lượng HTTP không mã hoá của ứng dụng.

Điều này có nghĩa là trình duyệt khác như Chrome, Firefox trên iPhone hay Mac không được bảo vệ phần duyệt web. Ứng dụng dùng HTTPS cũng không đi qua Private Relay, chỉ truy vấn DNS của chúng được bảo vệ. Điểm cần nhớ: Private Relay là lớp bảo vệ cho Safari, không phải cho toàn bộ thiết bị.

Cách iCloud Private Relay hoạt động

Hai lớp chuyển tiếp, mỗi lớp thấy một nửa

Thiết kế của Private Relay dựa trên nguyên tắc tách thông tin giữa hai bên vận hành độc lập. Hiểu được thiết kế này giúp anh em biết dịch vụ bảo vệ được gì và không bảo vệ được gì.

Lớp chuyển tiếp đầu vào và đầu ra

Lưu lượng đi qua hai lớp:

• Lớp đầu vào do Apple vận hành. Lớp này thấy IP thật của người dùng, nhưng tên website đích được mã hoá nên Apple không đọc được.
• Lớp đầu ra do các nhà cung cấp hạ tầng nội dung bên thứ ba vận hành. Lớp này giải mã tên website và kết nối tới đó, nhưng không biết IP thật của người dùng, chỉ thấy IP của lớp đầu vào.

Website đích chỉ thấy IP của lớp đầu ra. Muốn biết ai truy cập trang nào, cần cả Apple lẫn bên vận hành lớp đầu ra cùng chia sẻ dữ liệu. Cách tiếp cận này giống hệ thống chuyển tiếp nhiều lớp mà proxy chaining sử dụng, chỉ khác là do các công ty lớn vận hành.

Giao thức và cổng kết nối

Tài liệu cho quản trị viên mạng cho biết Private Relay dùng QUIC, giao thức truyền tải chuẩn mới chạy trên UDP. Kết nối được lập qua cổng 443 với TLS 1.3. Khi mạng chặn UDP, dịch vụ có cơ chế dự phòng qua kết nối TCP. Hai tên máy chủ mà thiết bị dùng để kết nối là mask.icloud.com và mask-h2.icloud.com.

DNS cũng được bảo vệ

Bình thường, mỗi lần mở trang, thiết bị gửi truy vấn DNS tới máy chủ của nhà mạng, và nhà mạng thấy được tên miền anh em hỏi. Với Private Relay, truy vấn DNS được gửi theo cơ chế mã hoá, tách người hỏi khỏi nội dung câu hỏi. Nhà mạng không còn thấy danh sách tên miền anh em truy cập qua Safari.

IP ổn định trong một phiên

IP mà website nhìn thấy được giữ ổn định trong suốt một phiên duyệt web. Điều này giúp các website không bị xáo trộn đăng nhập. Tuy nhiên, IP đó có thể được dùng chung cho nhiều người ở cùng khu vực. Apple khuyên quản trị viên website coi các IP này như IP của CGNAT nhà mạng hoặc IP doanh nghiệp lớn, tức là nhiều người dùng sau một địa chỉ.

Vị trí IP trong iCloud Private Relay

Giữ vị trí chung hay chỉ quốc gia

Một trong những câu hỏi hay gặp là website sẽ thấy anh em ở đâu. Câu trả lời phụ thuộc vào tuỳ chọn vị trí trong cài đặt.

Hai tuỳ chọn vị trí

Trong cài đặt Private Relay có mục Vị trí địa chỉ IP với hai lựa chọn:

• Giữ vị trí chung (Maintain General Location): website nhận IP gắn với khu vực gần anh em, đủ để hiển thị nội dung địa phương như thời tiết, tin tức khu vực.
• Dùng quốc gia và múi giờ (Use Country and Time Zone): website chỉ biết anh em ở quốc gia nào và múi giờ nào, vị trí rộng hơn nhiều.

Theo tài liệu cho quản trị viên, mặc định IP đại diện chính xác cho vị trí cấp thành phố ở mức thô, và kết nối được gắn với thành phố gần người dùng nhất. Private Relay luôn giữ đúng khu vực của người dùng, nên website có thể tin vùng địa lý gắn với IP.

Không thể đổi sang quốc gia khác

Đây là khác biệt quan trọng với VPN và proxy. Private Relay không cho chọn quốc gia. Người ở Việt Nam dùng Private Relay vẫn hiện là ở Việt Nam hoặc khu vực gần đó. Anh em không thể dùng dịch vụ này để xem nội dung chỉ dành cho quốc gia khác.

Các khái niệm nhắm mục tiêu theo quốc gia, thành phố, mã bưu chính hay nhà mạng được giải thích trong bài geo targeting proxy là gì. Với Private Relay, độ chi tiết thấp nhất là thành phố gần đúng, và không chọn được nhà mạng.

Danh sách IP công khai

Apple công bố danh sách dải IP lớp đầu ra kèm vị trí tại địa chỉ mask-api.icloud.com/egress-ip-ranges.csv. Các nhà cung cấp dữ liệu IP thường gắn nhãn tổ chức là iCloud Private Relay cho những dải này, kèm các trường như is_relay hay privacy_proxy. Vì vậy website nào muốn biết khách có dùng Private Relay hay không đều có thể nhận ra.

Cách bật, tắt iCloud Private Relay

Tắt chuyển tiếp cho từng mạng Wi-Fi

Phần này hướng dẫn từng thao tác trên iPhone, iPad và Mac, theo tài liệu hỗ trợ của Apple. Anh em có thể tắt cho toàn thiết bị, cho từng mạng, hoặc tạm thời cho từng website.

Bật hoặc tắt cho toàn tài khoản

Trên iPhone và iPad:

• Mở Cài đặt, chạm vào tên tài khoản ở đầu trang.
• Chạm iCloud, chạm Chuyển tiếp bảo mật (Private Relay).
• Gạt công tắc để bật hoặc tắt.
• Chạm Vị trí địa chỉ IP để chọn giữa Giữ vị trí chung và Dùng quốc gia và múi giờ.

Trên Mac, mở menu Apple, chọn Cài đặt hệ thống, bấm vào tên tài khoản, chọn iCloud, chọn Chuyển tiếp bảo mật. Khi tắt, iPhone sẽ hỏi muốn tắt tới ngày mai hay tắt hẳn.

Tắt cho riêng một mạng Wi-Fi

Theo hướng dẫn quản lý Private Relay của Apple, anh em có thể tắt dịch vụ cho riêng một mạng mà vẫn giữ bật ở mạng khác. Trên iPhone và iPad:

• Mở Cài đặt, chạm Wi-Fi.
• Chạm nút thông tin bên cạnh tên mạng.
• Kéo xuống, chạm Giới hạn theo dõi địa chỉ IP (Limit IP Address Tracking) để tắt.

Với mạng di động, vào Cài đặt, chạm Di động, chọn số điện thoại chính trong mục SIM, rồi chạm Giới hạn theo dõi địa chỉ IP. Trên iOS 18 trở về trước, mục này nằm trong Tuỳ chọn dữ liệu di động.

Trên Mac, mở Cài đặt hệ thống, chọn Mạng, chọn dịch vụ mạng như Wi-Fi, bấm Chi tiết cạnh tên mạng, tắt Giới hạn theo dõi địa chỉ IP. Apple lưu ý cài đặt cho một mạng áp dụng cho mọi thiết bị đang bật Private Relay. Nếu chuyển giữa nhiều cách kết nối như hai SIM hay Wi-Fi và Ethernet, cần cài riêng cho từng cái.

Tạm hiện IP thật cho một website

Có những website dùng IP để lọc, giám sát hoặc giới hạn tốc độ, và không hoạt động đúng khi thấy IP của Private Relay. Apple cho phép tạm hiện IP thật cho riêng website đó:

• Trên iPhone, iPad: chạm nút Menu trang trên thanh địa chỉ Safari, chạm Hiện địa chỉ IP (Show IP Address).
• Trên Mac: trong Safari, mở menu Xem (View), chọn Tải lại và hiện địa chỉ IP (Reload and Show IP Address).

Nếu không thấy tuỳ chọn này, Apple khuyên cập nhật lên bản iOS, iPadOS hoặc macOS mới nhất.

Khi nào nên tắt iCloud Private Relay

Private Relay hữu ích cho quyền riêng tư, nhưng có những tình huống anh em nên tắt, ít nhất cho một mạng hoặc một website cụ thể.

Mạng công ty, trường học chặn dịch vụ

Tài liệu Apple cho quản trị viên mạng nói rõ một số mạng doanh nghiệp, trường học bắt buộc phải kiểm tra toàn bộ lưu lượng theo chính sách, nên có thể chặn Private Relay. Cách chặn được khuyến nghị là cho DNS của mạng trả về lỗi NXDOMAIN với hai tên mask.icloud.com và mask-h2.icloud.com. Khi đó thiết bị hiện thông báo, yêu cầu người dùng tắt Private Relay cho mạng đó hoặc chọn mạng khác.

Nếu thấy thông báo mạng không tương thích với Private Relay, cách đúng là tắt cho riêng mạng đó, không cần tắt cho cả tài khoản.

Kiểm soát của phụ huynh và gói cước miễn phí dữ liệu

Apple lưu ý các công cụ kiểm soát của phụ huynh và một số dịch vụ miễn phí dữ liệu của nhà mạng cần thấy hoạt động duyệt web để hoạt động. Với Private Relay bật, những dịch vụ này có thể không chạy đúng. Ví dụ gói cước miễn phí dữ liệu cho một ứng dụng cụ thể có thể vẫn trừ dung lượng.

Website giới hạn theo IP

Website ngân hàng, cổng thanh toán, hệ thống nội bộ chỉ cho phép một số IP nhất định, hay website giới hạn số lượt truy cập theo IP có thể chặn hoặc bắt xác minh thêm khi thấy IP của Private Relay. Lúc này dùng tính năng tạm hiện IP cho website đó là đủ.

Khi đang dùng proxy hoặc VPN

Với anh em cần IP cụ thể cho công việc, Private Relay có thể xung đột với proxy hoặc VPN. Phần dưới đây phân tích kỹ hơn.

iCloud Private Relay và proxy, VPN

So với proxy và VPN

Đây là phần quan trọng nhất với anh em dùng proxy trên iPhone và Mac. Ba công cụ có mục đích khác nhau, và dùng cùng lúc có thể gây kết quả không như mong đợi.

Bảng so sánh

Khác biệt giữa proxy và VPN nói chung được giải thích trong bài proxy và VPN khác gì nhau.

Xung đột với VPN và ứng dụng lọc nội dung

Trên Mac, nếu Cài đặt hệ thống báo một ứng dụng bên thứ ba như VPN hay bộ lọc nội dung đang ngăn Private Relay hoạt động, Apple khuyên tắt hoặc gỡ ứng dụng đó. Nếu không thể, Private Relay có thể không hoạt động trên máy. Nói cách khác, khi VPN đang chạy, anh em nên coi như Private Relay không có tác dụng với lưu lượng đi qua VPN.

Xung đột với proxy Wi-Fi

Khi anh em cài proxy thủ công cho một mạng Wi-Fi trên iPhone, mục đích thường là để website thấy IP của proxy. Nếu Private Relay vẫn bật cho mạng đó, lưu lượng Safari có thể đi qua lớp chuyển tiếp của Apple, và website sẽ thấy IP của Private Relay thay vì IP proxy. Kết quả là anh em tưởng proxy không hoạt động.

Cách xử lý đơn giản là tắt Giới hạn theo dõi địa chỉ IP cho mạng Wi-Fi đang dùng proxy, rồi kiểm tra lại IP trên một trang kiểm tra IP. Cách cài proxy trên iPhone đúng chuẩn có trong bài cách cài proxy trên iPhone qua Wi-Fi, còn trên Mac có bài proxy cho Safari trên Mac.

Khi nào dùng proxy thay cho Private Relay

Private Relay phù hợp với nhu cầu riêng tư cá nhân: không muốn nhà mạng thấy trang mình xem, không muốn website quảng cáo theo dõi IP. Proxy phù hợp khi cần IP cụ thể: quản lý tài khoản thương hiệu, kiểm tra quảng cáo hiển thị tại Việt Nam, kiểm thử ứng dụng theo nhà mạng. Với nhu cầu này, anh em có thể mua proxy giá rẻ tại ProxyVN với IP Việt Nam Viettel, VNPT, FPT, hỗ trợ HTTP và SOCKS5.

Private Relay giúp anh em giấu mình khỏi những người không nên biết. Proxy giúp anh em hiện ra đúng nơi mình cần xuất hiện.

ProxyVN đảm bảo mạng kết nối luôn ổn định, proxy chất lượng không bị mất kết nối, và hỗ trợ 24/24 khi anh em cấu hình proxy trên iPhone, iPad hay Mac.

Lỗi thường gặp khi dùng iCloud Private Relay

Phần lớn thời gian, Private Relay chạy ngầm mà người dùng không để ý. Nhưng có vài tình huống gây khó chịu mà anh em nên biết cách xử lý.

Thông báo dịch vụ tạm thời không khả dụng

Đôi khi thiết bị báo Private Relay tạm thời không khả dụng, hoặc biểu tượng cảnh báo hiện trong cài đặt Wi-Fi. Nguyên nhân thường là máy chủ chuyển tiếp đang gặp sự cố, mạng chặn kết nối tới máy chủ của Apple, hoặc anh em vừa di chuyển tới khu vực không hỗ trợ. Trong lúc đó, Safari vẫn duyệt web bình thường nhưng không qua lớp chuyển tiếp. Anh em có thể chờ vài phút, đổi mạng, hoặc tắt rồi bật lại Private Relay.

Kiểm tra tốc độ mạng cho kết quả thấp

Apple ghi chú rằng các bài kiểm tra tốc độ mạng có thể cho kết quả thấp hơn khi bật Private Relay, dù duyệt web vẫn nhanh. Lý do là công cụ đo tốc độ có thể đi qua lớp chuyển tiếp, không đo trực tiếp đường truyền của nhà mạng. Muốn đo đúng tốc độ gói cước, anh em tạm tắt Private Relay cho mạng đó hoặc dùng ứng dụng đo tốc độ riêng thay vì đo trong Safari.

Website hiển thị sai ngôn ngữ hoặc khu vực

Khi chọn tuỳ chọn Dùng quốc gia và múi giờ, website chỉ biết quốc gia, nên có thể hiển thị nội dung của thành phố lớn nhất thay vì nơi anh em ở. Một số website còn xác định sai quốc gia nếu cơ sở dữ liệu vị trí IP của họ chưa cập nhật dải IP mới của Apple. Chuyển sang Giữ vị trí chung, hoặc tạm hiện IP thật cho website đó, thường khắc phục được.

Gặp CAPTCHA nhiều hơn

Vì IP của lớp đầu ra được nhiều người dùng chung, một số website hiện CAPTCHA hoặc bắt xác minh thêm thường xuyên hơn. Đây là cùng hiện tượng với mạng văn phòng hay mạng di động dùng CGNAT. Nếu một website cụ thể làm phiền quá nhiều, tạm hiện IP thật cho website đó.

Ứng dụng email và ứng dụng khác không được bảo vệ

Nhiều anh em nghĩ bật Private Relay là mọi ứng dụng trên iPhone đều được giấu IP. Thực tế chỉ Safari, DNS và lưu lượng HTTP không mã hoá được bảo vệ. Ứng dụng mạng xã hội, ứng dụng ngân hàng, ứng dụng email dùng HTTPS vẫn kết nối trực tiếp và thấy IP thật. Riêng ứng dụng Mail của Apple có tính năng Bảo vệ quyền riêng tư trong Mail, hoạt động riêng biệt với Private Relay.

Các tính năng khác của iCloud+ liên quan

Private Relay nằm trong bộ tính năng quyền riêng tư của iCloud+. Biết thêm các tính năng liên quan giúp anh em chọn đúng công cụ.

Ẩn địa chỉ email

Tính năng Ẩn địa chỉ email tạo địa chỉ email ngẫu nhiên chuyển tiếp về hộp thư thật. Anh em dùng địa chỉ này khi đăng ký dịch vụ không tin tưởng, và có thể xoá bất cứ lúc nào nếu bị spam. Tính năng này bảo vệ danh tính email, còn Private Relay bảo vệ IP và hoạt động duyệt web.

Bảo vệ quyền riêng tư trong Mail

Tính năng này của ứng dụng Mail tải trước nội dung email qua máy chủ chuyển tiếp, khiến người gửi không biết anh em mở thư lúc nào và từ IP nào. Đây là lý do một số công cụ đo tỷ lệ mở email báo số liệu không chính xác với người dùng thiết bị Apple.

Giới hạn theo dõi địa chỉ IP với Mail và Safari

Ngay cả khi không có iCloud+, Safari vẫn có tuỳ chọn ẩn IP với các trình theo dõi đã biết. Tính năng này hẹp hơn Private Relay, chỉ áp dụng với danh sách trình theo dõi, không giấu IP với website chính.

iCloud Private Relay và Chrome IP Protection

Google từng thử nghiệm một tính năng có thiết kế rất giống Private Relay cho Chrome. So sánh hai dịch vụ giúp hiểu rõ hơn hướng đi của các trình duyệt.

Thiết kế giống nhau

Cả hai đều dùng hai lớp chuyển tiếp, lớp đầu thấy người dùng, lớp sau thấy đích đến. Cả hai đều dùng QUIC và gán IP theo vùng gần đúng, không cho chọn quốc gia.

Phạm vi khác nhau

Private Relay áp dụng cho mọi trang mở trong Safari. Chrome IP Protection chỉ áp dụng trong chế độ ẩn danh, cho các tên miền theo dõi bên thứ ba nằm trong một danh sách. Ngoài ra, Google đã đưa IP Protection vào danh sách công nghệ ngừng phát triển từ tháng 10/2025, trong khi Private Relay vẫn là tính năng đang hoạt động của iCloud+. Chi tiết có trong bài Chrome IP Protection là gì.

Ảnh hưởng của iCloud Private Relay tới chủ website

Với chủ website, người làm quảng cáo hay đội chống gian lận, Private Relay ảnh hưởng tới cách đọc dữ liệu IP của khách truy cập.

Coi IP Private Relay như IP dùng chung

Apple khuyên coi IP của Private Relay như IP của CGNAT nhà mạng, tức nhiều người dùng sau một địa chỉ. Chặn hay giới hạn tốc độ quá chặt theo IP sẽ ảnh hưởng tới nhiều khách thật. Thay vào đó, nên kết hợp thêm các tín hiệu khác như phiên đăng nhập, hành vi, thiết bị.

Không chặn hàng loạt

Vì website có thể nhận ra IP của Private Relay qua danh sách công khai, một số website chọn chặn hẳn. Cách làm này đẩy khách dùng iPhone ra ngoài, trong khi phần lớn họ là người dùng bình thường quan tâm tới quyền riêng tư. Nếu có rủi ro gian lận, nên yêu cầu xác minh thêm thay vì chặn.

Đo lường theo vùng

Vì IP vẫn giữ đúng khu vực và thành phố gần đúng, báo cáo theo quốc gia và thành phố lớn vẫn khá chính xác. Báo cáo chi tiết theo nhà mạng hay khu vực nhỏ sẽ kém chính xác hơn với nhóm khách dùng Safari bật Private Relay.

Kết luận

iCloud Private Relay gửi lưu lượng Safari, DNS và HTTP không mã hoá qua hai lớp chuyển tiếp, giúp giấu IP và trang truy cập khỏi nhà mạng, website. Dịch vụ không chọn được quốc gia và có thể xung đột với proxy, VPN, nên cần tắt cho từng mạng khi cần IP cụ thể. Cần proxy Việt Nam ổn định cho iPhone, Mac, hãy liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để dùng cùng iCloud Private Relay.