VPN (Virtual Private Network, mạng riêng ảo) là một đường hầm được mã hoá, nối máy tính của nhân viên đang ở nhà hay ở quán cà phê vào mạng nội bộ công ty qua Internet, để họ dùng máy chủ tệp, phần mềm kế toán hay máy chấm công như đang ngồi ở văn phòng. Nhận định của bài: VPN công ty là một cánh cửa mở từ Internet vào bên trong, nên thứ doanh nghiệp thật sự mua là cách quản lý cánh cửa đó (ai có chìa, khi nào thu chìa, ai vá khoá), còn phần mềm VPN chỉ là ổ khoá.
Bài viết cho người đọc báo giá và hợp đồng: chủ doanh nghiệp, kế toán trưởng kiêm phụ trách IT, giám đốc vận hành. Không có dòng lệnh, chỉ có những gì ảnh hưởng tới tiền và rủi ro.
Nghĩa bằng lời thường: một hành lang kín giữa nhà nhân viên và văn phòng
Hình dung văn phòng là một toà nhà có bảo vệ ở cổng. Bên trong có phòng hồ sơ (máy chủ tệp), phòng kế toán (phần mềm kế toán cài trên máy nội bộ), và camera. Khi nhân viên ở văn phòng, họ đi lại trong toà nhà thoải mái. Khi họ ở nhà, Internet là con phố đông người: đi qua phố thì ai cũng nhìn thấy. VPN dựng một hành lang kín từ nhà nhân viên tới cổng văn phòng. Người ngoài vẫn thấy có hành lang, nhưng không thấy ai đi bên trong và mang theo giấy tờ gì.
Có hai loại VPN hay bị gọi chung một tên, và nhầm hai loại này là nguồn gốc của nhiều báo giá khó hiểu:
- VPN truy cập nội bộ (remote access VPN): nối nhân viên vào mạng công ty. Đây là loại bài này nói tới. Nó cần một thiết bị hoặc máy chủ đứng ở phía công ty để nhận kết nối, thường là tường lửa (firewall) có sẵn tính năng VPN, hoặc một máy chủ cài phần mềm VPN.
- VPN nối văn phòng (site-to-site VPN): nối mạng của hai chi nhánh với nhau, để chi nhánh B dùng máy chủ đặt ở chi nhánh A. Người dùng không phải bật gì, hai thiết bị ở hai đầu tự giữ đường hầm.
- Dịch vụ VPN cá nhân (loại quảng cáo trên YouTube): đổi địa chỉ IP khi lướt web, xem nội dung khoá theo vùng. Loại này không đưa ai vào mạng công ty cả, và thường không có chỗ trong báo giá doanh nghiệp.
Một điểm hay bị hiểu sai: VPN mã hoá đoạn đường giữa máy nhân viên và cổng công ty. Nó không làm máy của nhân viên sạch hơn. Nếu máy ở nhà đã nhiễm mã độc, VPN sẽ đưa mã độc đó vào tận trong mạng nội bộ, qua đúng hành lang kín mà công ty đã trả tiền dựng.
VPN trong báo giá và hợp đồng: phần mềm rẻ, phần vận hành mới là tiền
Trong báo giá của đơn vị lắp mạng hay đơn vị IT thuê ngoài, VPN thường hiện ra dưới một trong mấy dòng sau: thiết bị tường lửa có "license VPN" hoặc "số user SSL VPN"; phí cấu hình VPN một lần; phí thuê bao theo số người dùng mỗi tháng nếu dùng dịch vụ đám mây; và một dòng hay bị bỏ trống là cập nhật firmware, vá lỗi thiết bị.
Dòng bị bỏ trống đó mới là rủi ro lớn nhất. Báo cáo Verizon Data Breach Investigations Report 2025 (bản tóm tắt, tra ngày 26/09/2026) ghi nhận: trong các vụ kẻ tấn công khai thác lỗ hổng phần mềm, tỷ lệ nhắm vào thiết bị biên và VPN là 22%, tăng gần tám lần so với 3% của báo cáo năm trước. Cùng báo cáo, chỉ khoảng 54% lỗ hổng thiết bị biên được vá xong trong năm, và thời gian trung vị để vá là 32 ngày. Khai thác lỗ hổng chiếm 20% cách kẻ tấn công lọt vào ban đầu.
Đọc con số đó theo góc người mua: thiết bị VPN đứng ở rìa mạng, mở ra Internet cả ngày, nên nó là thứ bị dò đầu tiên. Một thiết bị mua xong rồi để nguyên firmware ba năm là một cánh cửa có ổ khoá đã bị công bố cách phá. Vì vậy trong hợp đồng, phần đáng đọc kỹ là ai chịu trách nhiệm theo dõi thông báo lỗ hổng của hãng, vá trong bao lâu kể từ khi hãng phát hành bản vá, và vá có tính thêm tiền không.
Dòng thứ hai hay gây tranh cãi là số người dùng. Nhiều thiết bị tường lửa bán kèm một số lượng người dùng VPN nhất định, vượt thì phải mua thêm license. Dịch vụ VPN đám mây thì tính theo người mỗi tháng. Công ty 15 người hôm nay có thể là 40 người sau hai năm, nên hỏi luôn giá khi tăng người, đừng chỉ nhìn giá năm đầu.
| Dòng trong báo giá | Nghĩa thật | Điều cần đọc kỹ |
|---|---|---|
| Thiết bị tường lửa có VPN | Ổ khoá đặt ở cổng văn phòng | Hãng còn phát hành bản vá cho mẫu này tới năm nào |
| License / số user VPN | Số chìa khoá được phát cùng lúc | Giá mỗi chìa khi công ty tăng người |
| Phí cấu hình một lần | Công lắp và thiết lập ban đầu | Bàn giao tài liệu cấu hình và tài khoản quản trị cho ai |
| Thuê bao VPN đám mây theo tháng | Thuê cổng do nhà cung cấp vận hành | Dữ liệu đi qua máy chủ ở nước nào, hết hợp đồng thì chuyển đi thế nào |
| Bảo trì, cập nhật firmware | Thay khoá khi khoá cũ bị lộ cách phá | Cam kết thời gian vá, có tính tiền riêng không |
Rủi ro lớn nhất không nằm ở mã hoá mà ở chìa khoá không được thu hồi
Mã hoá của các giao thức VPN phổ biến hiện nay đủ mạnh với nhu cầu doanh nghiệp. Chỗ hỏng thường gặp là tài khoản: nhân viên nghỉ việc ba tháng mà tài khoản VPN vẫn còn, cả phòng dùng chung một tài khoản cho tiện, mật khẩu VPN trùng mật khẩu email cá nhân. Mỗi trường hợp là một chìa khoá cửa chính nằm ngoài tầm kiểm soát.
Ba thói quen giảm phần lớn rủi ro này, và đều ghi được thành điều khoản hoặc quy trình: mỗi người một tài khoản riêng; bật xác thực hai lớp (mật khẩu cộng mã trên điện thoại) cho VPN; và quy trình nghỉ việc có một dòng khoá tài khoản VPN trong ngày cuối. Mật khẩu VPN nên đủ dài; công cụ kiểm tra mật khẩu của ALODEV chạy ngay trong trình duyệt, không gửi mật khẩu đi đâu, có thể dùng để thử độ mạnh của quy tắc đặt mật khẩu công ty trước khi áp dụng.
Một cách nhìn mới hơn là không tin mặc định bất kỳ ai đã vào được bên trong mạng, gọi là Zero Trust (NIST mô tả trong tài liệu SP 800-207). Thay vì một hành lang mở vào cả toà nhà, mỗi người chỉ được mở đúng cánh cửa phòng mình cần, và mỗi lần mở đều bị kiểm tra lại. Nhiều dịch vụ truy cập từ xa thế hệ mới bán theo hướng này. Với doanh nghiệp nhỏ, ý tưởng đó dịch ra rất đơn giản: nhân viên kinh doanh làm từ xa chỉ cần vào phần mềm bán hàng, không cần thấy máy chủ kế toán.
Pháp luật: kiểm văn bản còn hiệu lực, và hỏi người có chuyên môn
Từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 (Quốc hội thông qua ngày 10/12/2025) có hiệu lực, thay cho Luật An ninh mạng số 24/2018/QH14 và Luật An toàn thông tin mạng số 86/2015/QH13. Nhiều bài viết cũ về VPN và an ninh mạng trên Internet vẫn trích dẫn hai luật đã hết hiệu lực đó. Khi đọc tài liệu của nhà cung cấp hay một bài tư vấn, kiểm xem văn bản được viện dẫn có còn hiệu lực tại ngày đọc không.
Bài này không tư vấn pháp lý. Việc dùng VPN cho nhân viên truy cập hệ thống nội bộ là thực hành kỹ thuật phổ biến; còn nghĩa vụ cụ thể của công ty (lưu nhật ký truy cập bao lâu, xử lý dữ liệu cá nhân của khách qua kết nối từ xa ra sao) phụ thuộc ngành nghề và loại dữ liệu, nên hỏi luật sư hoặc bộ phận pháp chế với văn bản hiện hành.
Những câu nên hỏi nhà cung cấp trước khi ký
- Thiết bị hoặc dịch vụ VPN này là của hãng nào, mẫu nào, và hãng cam kết phát hành bản vá tới năm nào.
- Khi hãng công bố lỗ hổng nghiêm trọng, bên anh chị vá trong bao nhiêu giờ hoặc ngày, và việc đó nằm trong phí bảo trì hay tính riêng.
- Mỗi nhân viên có tài khoản riêng không, có bật xác thực hai lớp không, và ai trong công ty tôi có quyền khoá một tài khoản ngay lập tức.
- Nhật ký ai kết nối lúc nào được giữ bao lâu, và tôi xem được ở đâu.
- Sau VPN, nhân viên thấy được những máy nào trong mạng; có chia vùng để nhân viên kinh doanh không chạm tới máy chủ kế toán không.
- Giá khi tăng từ số người hiện tại lên gấp đôi là bao nhiêu, và hết hợp đồng thì tài khoản quản trị thiết bị được bàn giao cho ai.
Khi nào công ty không cần VPN
VPN chỉ có ý nghĩa khi có thứ gì đó nằm trong mạng nội bộ cần với tới. Nếu email chạy trên Google Workspace hay Microsoft 365, tài liệu nằm trên Drive hay SharePoint, phần mềm bán hàng và kế toán là dịch vụ đám mây đăng nhập qua trình duyệt, thì nhân viên làm từ xa đã dùng được mọi thứ mà không cần hành lang nào vào văn phòng. Tiền nên dồn vào xác thực hai lớp cho từng tài khoản đó và quy trình khoá tài khoản khi nghỉ việc.
- Công ty không có máy chủ, ổ chia sẻ hay phần mềm nào chỉ chạy trong mạng văn phòng.
- Chỉ một hai người cần vào một máy cụ thể, thỉnh thoảng: phần mềm điều khiển từ xa có xác thực hai lớp có khi gọn hơn dựng cả hạ tầng VPN.
- Mục đích thật là che địa chỉ IP khi lướt web: đó là dịch vụ VPN cá nhân, không phải hạng mục đầu tư của công ty.
Ngược lại, nên có VPN (hoặc giải pháp truy cập từ xa tương đương) khi công ty có phần mềm cài trên máy chủ đặt tại văn phòng, camera, máy chấm công, ổ lưu trữ chung, hoặc có chi nhánh cần dùng chung dữ liệu. Với trường hợp nhóm làm việc từ xa chọn công cụ quản lý công việc, bài về phần mềm quản lý dự án cho team làm việc từ xa đi sâu hơn phần tiêu chí chọn.
Câu hỏi thường gặp
VPN là gì, nói ngắn gọn?
VPN là đường hầm mã hoá qua Internet, cho phép máy ở xa dùng tài nguyên trong mạng nội bộ công ty như đang ngồi ở văn phòng.
Dùng VPN có làm máy nhân viên an toàn hơn không?
Không. VPN bảo vệ đoạn đường truyền, không diệt mã độc trên máy; máy nhiễm độc còn có thể đưa mã độc vào mạng công ty qua chính VPN, nên máy làm việc từ xa vẫn cần cập nhật hệ điều hành và phần mềm diệt mã độc.
VPN miễn phí có dùng cho công ty được không?
Không nên dùng dịch vụ VPN cá nhân miễn phí cho việc công ty, vì dữ liệu đi qua máy chủ của một bên không có hợp đồng với bạn. VPN nội bộ dựng trên thiết bị của chính công ty thì phần mềm có thể không tốn tiền, nhưng công vận hành và vá lỗi vẫn là chi phí thật.
Tường lửa văn phòng đã có sẵn VPN thì có cần mua thêm gì?
Thường không cần mua thêm phần mềm, nhưng cần kiểm ba việc: firmware thiết bị còn được hãng vá không, số người dùng VPN có vượt giới hạn license không, và đã bật xác thực hai lớp chưa.
Nhân viên nghỉ việc thì phải làm gì với VPN?
Khoá tài khoản VPN của người đó ngay trong ngày cuối, cùng lúc với email và các phần mềm khác. Nếu cả phòng dùng chung một tài khoản thì phải đổi mật khẩu chung, và đó là lý do nên chuyển sang mỗi người một tài khoản.
