Proxy hoạt động ở tầng nào trong mô hình OSI và TCP/IP

Proxy hoạt động ở tầng nào là câu hỏi nghe có vẻ lý thuyết, nhưng nó quyết định phần mềm nào dùng được proxy, proxy nhìn thấy gì trong dữ liệu và vì sao HTTP proxy với SOCKS5 cho kết quả khác nhau. Bài này của ProxyVN giải thích bằng mô hình OSI, TCP/IP và ví dụ thực tế.

Mô hình OSI và TCP/IP trước khi xét proxy hoạt động ở tầng nào

Mô hình OSI chia quá trình truyền dữ liệu qua mạng thành bảy tầng, mỗi tầng một nhiệm vụ. Theo giải thích của Cloudflare về mô hình OSI, các tầng từ dưới lên gồm:

• Tầng 1, vật lý: tín hiệu điện, sóng, cáp.
• Tầng 2, liên kết dữ liệu: khung dữ liệu trong mạng nội bộ, địa chỉ MAC.
• Tầng 3, mạng: định tuyến gói tin, địa chỉ IP.
• Tầng 4, giao vận: kết nối đầu cuối, TCP và UDP, số cổng.
• Tầng 5, phiên: thiết lập, duy trì, kết thúc phiên giao tiếp.
• Tầng 6, trình bày: định dạng, mã hoá, nén dữ liệu.
• Tầng 7, ứng dụng: giao thức mà phần mềm dùng trực tiếp như HTTP, SMTP, DNS.

Trong thực tế, internet vận hành theo mô hình TCP/IP gọn hơn với bốn tầng: truy cập mạng, internet, giao vận và ứng dụng. Tầng ứng dụng của TCP/IP gộp ba tầng 5, 6, 7 của OSI. GoLogin cũng mô tả TCP/IP là bộ giao thức nền tảng mà mọi kết nối internet dựa vào.

Mô hình OSI 7 tầng

Câu trả lời ngắn cho proxy hoạt động ở tầng nào

Không có một tầng duy nhất cho mọi proxy; tuỳ loại proxy:

So sánh chi tiết HTTP và SOCKS5 về cách dùng thực tế có trong bài proxy HTTP và SOCKS5; bài này tập trung vào góc nhìn tầng mạng.

HTTP proxy ở tầng ứng dụng

HTTP proxy và câu hỏi proxy hoạt động ở tầng nào

HTTP proxy hiểu giao thức HTTP. Khi trình duyệt gửi yêu cầu qua HTTP proxy, yêu cầu chứa địa chỉ đầy đủ của trang, phương thức GET hay POST và các tiêu đề. Proxy đọc những thông tin này, tự kết nối tới máy chủ đích, rồi trả kết quả về. Vì phải hiểu nội dung giao thức ứng dụng, HTTP proxy được xếp ở tầng 7.

Theo tài liệu về máy chủ proxy và đường hầm của MDN, proxy HTTP có thể đọc và sửa yêu cầu, ví dụ thêm tiêu đề, lưu bộ nhớ đệm, lọc nội dung. Đây là lý do proxy công ty có thể chặn trang web theo địa chỉ hay từ khoá.

Với trang HTTPS thì sao

Với trang HTTPS, trình duyệt gửi lệnh CONNECT tới HTTP proxy, yêu cầu mở đường hầm tới tên miền và cổng 443. Sau khi proxy đồng ý, mọi dữ liệu mã hoá đi xuyên qua đường hầm; proxy chỉ chuyển tiếp các byte mà không đọc được nội dung. Như vậy, phần mở đầu diễn ra ở tầng 7, còn phần truyền dữ liệu giống một đường ống ở tầng thấp hơn. Khái niệm đường hầm được giải thích kỹ trong bài proxy tunnel là gì.

Hệ quả thực tế

• HTTP proxy hợp với trình duyệt và phần mềm nói giao thức HTTP, HTTPS.
• Phần mềm dùng giao thức khác HTTP thường không đi qua HTTP proxy được, trừ khi hỗ trợ CONNECT.
• Với trang HTTP không mã hoá, proxy có thể thấy và thêm tiêu đề, như tiêu đề cho biết IP gốc.

SOCKS5 ở tầng phiên

Tầng của SOCKS5 khi xét proxy hoạt động ở tầng nào

SOCKS5 được định nghĩa trong RFC 1928. Giao thức này không quan tâm dữ liệu bên trong là gì; nó chỉ nhận yêu cầu kết nối tới một địa chỉ và cổng, kiểm tra xác thực, rồi chuyển tiếp luồng dữ liệu hai chiều. Vì làm việc với phiên kết nối mà không hiểu giao thức ứng dụng, SOCKS5 thường được xếp ở tầng 5 của OSI, tức nằm giữa tầng giao vận và tầng ứng dụng.

Hệ quả của việc nằm ở tầng thấp hơn HTTP proxy:

• Dùng được cho nhiều loại phần mềm hơn: trình duyệt, ứng dụng chat, phần mềm tải, công cụ tự động.
• Không đọc, không sửa nội dung, nên không tự thêm tiêu đề vào yêu cầu.
• Có thể nhận tên miền thay vì IP, cho phép phân giải DNS phía máy chủ proxy.

Kiến thức đầy đủ về SOCKS5 có trong bài SOCKS5 proxy là gì.

HTTP proxy là người phiên dịch hiểu từng câu anh em nói; SOCKS5 là người đưa thư chỉ cần biết địa chỉ người nhận.

Reverse proxy khi xét proxy hoạt động ở tầng nào

Reverse proxy đứng trước máy chủ web, nhận yêu cầu từ người dùng rồi chuyển vào máy chủ phía sau. Theo Cloudflare, reverse proxy giúp cân bằng tải, bảo vệ máy chủ gốc và lưu bộ nhớ đệm. Phần lớn reverse proxy cho web hoạt động ở tầng 7 vì cần đọc địa chỉ, tiêu đề để định tuyến. Một số bộ cân bằng tải chỉ làm việc ở tầng 4, phân phối kết nối TCP mà không đọc nội dung HTTP.

Khác biệt giữa proxy phía người dùng và reverse proxy phía máy chủ có trong bài forward proxy và reverse proxy.

Proxy, VPN và NAT

So sánh proxy hoạt động ở tầng nào với VPN, NAT, tường lửa

• NAT: hoạt động ở tầng 3 và 4, đổi địa chỉ IP, cổng của gói tin khi đi qua router. Mọi thiết bị trong nhà dùng chung IP công khai nhờ NAT.
• VPN: phần lớn giao thức VPN phổ biến đóng gói gói tin IP ở tầng 3 vào đường hầm mã hoá, nên áp dụng cho mọi ứng dụng trên máy.
• Tường lửa: tường lửa truyền thống lọc ở tầng 3, 4 theo IP, cổng; tường lửa thế hệ mới và proxy firewall lọc tới tầng 7. Xem thêm bài proxy firewall là gì.
• Proxy: hoạt động từ tầng 5 trở lên, nên mặc định chỉ áp dụng cho ứng dụng được cấu hình dùng proxy.

Đây chính là lý do VPN bật lên là cả máy đổi IP, còn proxy phải cài cho từng ứng dụng hoặc dùng công cụ như Proxifier để ép ứng dụng đi qua.

Theo dấu yêu cầu web để thấy proxy hoạt động ở tầng nào

Để thấy rõ proxy đứng ở đâu, hãy theo dõi một yêu cầu mở trang HTTPS qua HTTP proxy:

• Tầng 7 trên máy: trình duyệt cần mở trang, thấy cấu hình proxy nên tạo lệnh CONNECT tới tên miền và cổng 443, gửi cho proxy thay vì máy chủ web.
• Tầng 4 trên máy: hệ điều hành mở kết nối TCP tới IP và cổng của máy chủ proxy.
• Tầng 3 trở xuống: gói tin mang IP nguồn của máy, IP đích là proxy, đi qua router, qua NAT đổi thành IP công khai của nhà mạng, rồi ra internet.
• Tại máy chủ proxy: proxy đọc lệnh CONNECT ở tầng 7, kiểm tra xác thực, rồi mở kết nối TCP mới tới máy chủ web bằng IP của chính proxy.
• Đường hầm: proxy báo thành công, từ đây trình duyệt và máy chủ web bắt tay TLS, trao đổi dữ liệu mã hoá xuyên qua proxy.
• Tại máy chủ web: kết nối đến từ IP của proxy, nên trang web chỉ thấy IP proxy.

Điểm mấu chốt: có hai kết nối TCP riêng biệt, một từ máy tới proxy, một từ proxy tới máy chủ web. Proxy là điểm cuối của kết nối thứ nhất và điểm đầu của kết nối thứ hai. Đó là khác biệt cơ bản giữa proxy và router: router chỉ chuyển tiếp gói tin, không kết thúc kết nối.

Proxy trong suốt và proxy hoạt động ở tầng nào

Proxy trong suốt là loại proxy mà người dùng không cần cấu hình; nhà mạng, công ty hoặc router tự chuyển hướng lưu lượng web vào proxy. Cơ chế gồm hai phần:

• Phần chặn lưu lượng diễn ra ở tầng 3, 4: router hoặc tường lửa nhận ra kết nối tới cổng web và chuyển hướng sang máy chủ proxy.
• Phần xử lý diễn ra ở tầng 7: proxy đọc yêu cầu HTTP để lọc, lưu bộ nhớ đệm hoặc ghi nhật ký.

Với HTTPS, proxy trong suốt không đọc được nội dung nếu không cài chứng chỉ riêng lên máy người dùng; đó là lý do một số công ty yêu cầu cài chứng chỉ nội bộ. Proxy trong suốt ít khi dùng để đổi IP cho mục đích cá nhân, mà chủ yếu để quản lý mạng.

TLS và proxy hoạt động ở tầng nào

Mã hoá TLS thường được xếp ở khoảng tầng 6 trong OSI, giữa ứng dụng và giao vận. Khi dùng proxy để vào trang HTTPS, phiên TLS được thiết lập trực tiếp giữa trình duyệt và máy chủ web, xuyên qua proxy. Proxy không giải mã được nội dung, và máy chủ web nhìn thấy dấu vân tay TLS của trình duyệt chứ không phải của proxy. Đây là lý do proxy không làm thay đổi dấu vân tay TLS; chi tiết trong bài TLS fingerprint JA3 và proxy.

Các loại proxy khác khi xét proxy hoạt động ở tầng nào

Ngoài HTTP proxy, còn nhiều loại proxy chuyên cho một giao thức ở tầng 7:

• DNS proxy: nhận truy vấn DNS rồi chuyển tiếp, thường có trong router gia đình.
• SMTP proxy: đứng giữa luồng thư điện tử để lọc thư rác, virus.
• FTP proxy: chuyển tiếp giao thức truyền tệp.
• Web proxy dạng trang web: người dùng nhập địa chỉ vào một trang, trang đó tải nội dung thay.

Mỗi loại chỉ hiểu đúng giao thức của mình. SOCKS5 thì khác: vì nằm thấp hơn, nó không gắn với một giao thức ứng dụng cụ thể nào.

Trên điện thoại, proxy hoạt động ở tầng nào cũng quan trọng

Trên Android và iPhone, mục proxy trong Wi-Fi là HTTP proxy tầng 7, chỉ áp dụng cho ứng dụng dùng thư viện mạng tôn trọng cài đặt này. Ứng dụng proxy dạng VPN cục bộ thì nhận gói tin ở tầng 3 qua giao diện VPN của hệ điều hành, rồi chuyển các kết nối lên proxy SOCKS5 hoặc HTTP. Vì vậy loại ứng dụng này bắt được nhiều ứng dụng hơn. Hiểu khác biệt này giúp anh em chọn cách cài phù hợp khi một ứng dụng di động không chịu đi qua proxy.

Ảnh hưởng của proxy hoạt động ở tầng nào tới phần mềm

Hiểu tầng hoạt động giúp giải thích nhiều tình huống thường gặp:

• Game không đi qua proxy Wi-Fi điện thoại: proxy Wi-Fi là HTTP proxy ở tầng 7, game dùng giao thức riêng nên bỏ qua.
• Telegram dùng được SOCKS5: ứng dụng có ô SOCKS5 riêng, chuyển tiếp kết nối của chính nó.
• Proxifier ép được mọi ứng dụng: nó chặn kết nối ở mức hệ điều hành rồi chuyển qua SOCKS5 hoặc HTTP CONNECT.
• Ứng dụng proxy Android dạng VPN cục bộ: nhận gói tin ở tầng 3 qua giao diện VPN rồi chuyển lên proxy, nên bắt được nhiều ứng dụng hơn proxy Wi-Fi.

Khi một phần mềm không chạy qua proxy, câu hỏi đầu tiên nên là: phần mềm nói giao thức gì, và proxy đang dùng ở tầng nào.

Proxy hoạt động ở tầng nào quyết định proxy nhìn thấy gì

• HTTP proxy với trang HTTP: thấy toàn bộ địa chỉ, tiêu đề và nội dung.
• HTTP proxy với trang HTTPS: thấy tên miền và cổng trong lệnh CONNECT, không thấy nội dung.
• SOCKS5: thấy địa chỉ hoặc tên miền đích và cổng, không thấy nội dung nếu dữ liệu đã mã hoá.

Vì vậy, khi dùng proxy, hãy ưu tiên trang và ứng dụng dùng HTTPS, và chọn nhà cung cấp đáng tin. Với web proxy dạng trang web trung gian, mọi nội dung đi qua trang đó; xem thêm bài web proxy là gì.

Ví dụ thực tế về proxy hoạt động ở tầng nào

Trình duyệt với HTTP proxy và SOCKS5

Cùng một trình duyệt, cùng một trang HTTPS, kết quả với trang web gần như như nhau: trang web thấy IP proxy. Khác biệt nằm ở chi tiết: với HTTP proxy, trình duyệt thường tự tra DNS trước rồi mới gửi CONNECT; với SOCKS5 có phân giải phía proxy, tên miền được gửi thẳng cho proxy tra. Kết quả là với SOCKS5, nhà mạng của anh em không thấy truy vấn DNS tới trang đó.

Ứng dụng chat trên máy tính

Một ứng dụng chat dùng giao thức riêng, không phải HTTP. Đặt HTTP proxy hệ thống không có tác dụng vì ứng dụng không đọc cài đặt này. Nếu ứng dụng có ô SOCKS5 riêng, nhập SOCKS5 là chạy. Nếu không có, dùng Proxifier để ép kết nối của ứng dụng qua SOCKS5.

Công cụ thu thập dữ liệu

Công cụ viết bằng Python hay Node.js gửi yêu cầu HTTP có thể dùng cả HTTP proxy lẫn SOCKS5 qua thư viện. HTTP proxy tiện vì hầu hết thư viện hỗ trợ sẵn; SOCKS5 cần cài thêm gói hỗ trợ nhưng giữ DNS phía proxy. Chọn theo nhu cầu nhất quán vị trí.

Proxy hoạt động ở tầng nào trong mạng doanh nghiệp

Trong doanh nghiệp, proxy thường đặt ở tầng 7 để quản lý truy cập web: chặn trang theo danh mục, ghi nhật ký, quét mã độc trong tệp tải về. Kết hợp với tường lửa tầng 3, 4 chặn mọi kết nối ra ngoài không đi qua proxy, doanh nghiệp kiểm soát được lưu lượng web của nhân viên. Đây cũng là lý do cài proxy cá nhân trên máy công ty thường không chạy: tường lửa chỉ cho phép kết nối tới proxy của công ty.

Hiểu lầm thường gặp về proxy hoạt động ở tầng nào

• Proxy đổi được mọi thứ như VPN: proxy chỉ áp dụng cho ứng dụng được cấu hình, vì nó không làm việc ở tầng 3 như VPN.
• HTTPS proxy là proxy mã hoá kết nối: thường chỉ là HTTP proxy hỗ trợ lệnh CONNECT cho trang HTTPS; mã hoá là giữa trình duyệt và trang web.
• SOCKS5 an toàn hơn vì mã hoá: SOCKS5 không mã hoá; nó chỉ chuyển tiếp dữ liệu.
• Proxy thay đổi dấu vân tay trình duyệt: proxy ở tầng 5 và 7 chỉ thay IP; dấu vân tay do trình duyệt tạo ra ở tầng ứng dụng trên máy.

Nắm rõ những điểm này giúp đặt kỳ vọng đúng khi dùng proxy và chọn thêm công cụ khác khi cần, như trình duyệt antidetect hay VPN.

Dùng kiến thức proxy hoạt động ở tầng nào để sửa lỗi

Khi proxy không chạy, đi từ tầng thấp lên tầng cao giúp khoanh vùng nhanh:

• Tầng 3: máy có ra internet không, có kết nối được tới IP của proxy không. Lệnh ping hoặc tracert tới IP proxy cho biết đường đi; một số máy chủ chặn ping nên không trả lời chưa chắc là lỗi.
• Tầng 4: cổng proxy có mở không. Trên Windows, lệnh Test-NetConnection với tham số -Port trong PowerShell kiểm tra được cổng TCP. Cổng đóng thường do proxy hết hạn, sai cổng hoặc tường lửa, nhà mạng chặn.
• Tầng 5: với SOCKS5, xác thực có thành công không; sai user, password hoặc IP chưa được cho phép sẽ bị từ chối ở bước này.
• Tầng 7: với HTTP proxy, lỗi 407 nghĩa là xác thực sai; lỗi 502, 504 thường do proxy không kết nối được tới máy chủ đích.

Test-NetConnection 103.x.x.x -Port 8080
tracert 103.x.x.x

Nếu tầng 4 đã thông mà vẫn lỗi, vấn đề nằm ở xác thực hoặc cấu hình ứng dụng; xem thêm bài sửa lỗi 407 proxy authentication required. Nếu tầng 4 không thông, kiểm tra hạn dùng proxy và khả năng nhà mạng chặn cổng.

Hiệu năng và bảo mật theo proxy hoạt động ở tầng nào

Hiệu năng

Proxy tầng 7 phải phân tích từng yêu cầu HTTP, nên tốn tài nguyên xử lý hơn, nhưng đổi lại có thể lưu bộ nhớ đệm, nén dữ liệu, giúp tải lại trang nhanh hơn trong mạng công ty. SOCKS5 chỉ chuyển tiếp dữ liệu nên nhẹ, độ trễ thêm vào rất nhỏ. Với người dùng cá nhân, khác biệt này thường không đáng kể bằng khoảng cách địa lý và chất lượng đường truyền của proxy.

Bảo mật

Proxy tầng 7 với trang HTTP không mã hoá có thể đọc, sửa nội dung; đây vừa là tính năng của proxy công ty vừa là rủi ro nếu proxy không đáng tin. SOCKS5 không tự sửa nội dung, nhưng cũng không mã hoá gì thêm. Trong mọi trường hợp, HTTPS là lớp bảo vệ nội dung quan trọng nhất; proxy, dù ở tầng nào, chỉ thấy được tên miền và cổng khi trang dùng HTTPS.

Chọn proxy dựa trên việc proxy hoạt động ở tầng nào

• Chỉ duyệt web: HTTP proxy là đủ, trình duyệt hỗ trợ sẵn.
• Ứng dụng đa dạng, công cụ tự động: SOCKS5 linh hoạt hơn.
• Cần DNS cùng vị trí với IP: SOCKS5 với phân giải tên miền phía proxy.
• Ép phần mềm không hỗ trợ proxy: SOCKS5 kèm Proxifier.

Thuê proxy hiểu rõ proxy hoạt động ở tầng nào tại ProxyVN

ProxyVN cung cấp proxy hỗ trợ cả HTTP và SOCKS5, xác thực user và password: dân cư tĩnh share, private với Viettel, VNPT, FPT; datacenter Việt Nam; datacenter US; proxy 4G và proxy xoay.

Anh em có thể mua proxy HTTP, SOCKS5 trên trang chủ ProxyVN, chọn giao thức theo phần mềm cần dùng, có hỗ trợ kỹ thuật 24/24.

Câu hỏi thường gặp về proxy hoạt động ở tầng nào

Proxy có hoạt động ở tầng 3 không

Proxy theo nghĩa thông thường thì không; thiết bị làm việc ở tầng 3 là router, NAT và VPN. Một số công cụ chuyển gói tin tầng 3 lên proxy, nhưng bản thân proxy vẫn làm việc ở tầng cao hơn.

SOCKS5 là tầng 4 hay tầng 5

Nhiều tài liệu xếp SOCKS5 ở tầng 5; một số gọi nó là proxy tầng 4 vì chuyển tiếp kết nối TCP. Hai cách gọi đều nhằm nói SOCKS5 nằm thấp hơn HTTP proxy và không hiểu giao thức ứng dụng.

Biết tầng của proxy có giúp gì khi mua không

Có. Nó giúp chọn đúng giao thức cho phần mềm, tránh mua HTTP proxy cho ứng dụng chỉ hỗ trợ SOCKS5 và ngược lại.

Proxy hệ thống Windows thuộc tầng nào

Proxy hệ thống của Windows là HTTP proxy tầng 7; các ứng dụng đọc cài đặt này sẽ gửi yêu cầu web qua proxy. Ứng dụng không đọc cài đặt hệ thống sẽ đi thẳng.

CDN có phải là proxy không

Mạng phân phối nội dung hoạt động như reverse proxy phân tán ở tầng 7: người dùng kết nối tới máy chủ gần nhất của CDN, CDN trả nội dung đã lưu hoặc lấy từ máy chủ gốc.

Proxy xoay và proxy tĩnh có khác nhau về tầng không

Không. Xoay hay tĩnh chỉ nói về việc IP đầu ra có thay đổi theo thời gian hay không; cả hai đều có thể là HTTP proxy hoặc SOCKS5 và hoạt động ở tầng tương ứng của giao thức đó. Với ProxyVN, proxy xoay lấy bằng key trả về cả địa chỉ HTTP và SOCKS5 để anh em chọn theo phần mềm.

Proxy có thay đổi địa chỉ MAC không

Không. Địa chỉ MAC thuộc tầng 2, chỉ có ý nghĩa trong mạng nội bộ và không đi ra internet. Proxy chỉ thay địa chỉ IP mà máy chủ đích nhìn thấy. Phần mềm cài trên máy vẫn đọc được MAC thật của card mạng, nên khi cần tách thiết bị ở mức phần cứng, proxy không giúp được. Đó là việc của máy ảo, thiết bị riêng hoặc công cụ chuyên dụng.

Kết luận về proxy hoạt động ở tầng nào

Trả lời câu hỏi proxy hoạt động ở tầng nào: HTTP proxy ở tầng 7, SOCKS5 ở tầng 5, khác với VPN, NAT ở tầng 3. Tầng quyết định phần mềm dùng được và proxy nhìn thấy gì. Liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn chọn giao thức phù hợp.