Proxy để vượt qua sự chặn ở Iran: loại nào hoạt động chống lại DPI và kiểm duyệt

Iran là một trong số ít các quốc gia mà kiểm duyệt internet không chỉ hoạt động qua việc chặn địa chỉ IP, mà còn thông qua kiểm tra gói sâu (DPI). Điều này có nghĩa là VPN thông thường hoặc proxy giá rẻ từ trung tâm dữ liệu sẽ không giúp ích gì ở đây — hệ thống có thể nhìn thấy lưu lượng truy cập một cách rõ ràng. Trong bài viết này, chúng ta sẽ phân tích các loại proxy nào thực sự vượt qua việc lọc của Iran, tại sao một số giải pháp hoạt động, trong khi những giải pháp khác thì không, và cách cấu hình mọi thứ đúng cách.

Cách thức kiểm duyệt internet ở Iran: DPI và SIAM

Hệ thống lọc internet của Iran là một trong những hệ thống kỹ thuật phức tạp nhất trên thế giới. Nó được xây dựng dựa trên hai yếu tố chính: hệ thống SIAM (Hệ thống giám sát hoạt động tình báo) và việc áp dụng rộng rãi DPI — Kiểm tra gói sâu.

Việc chặn thông thường hoạt động rất đơn giản: nhà cung cấp nhận danh sách địa chỉ IP hoặc miền và cấm truy cập vào chúng. Đó là cách mà việc chặn của Roskomnadzor ở Nga hoạt động — thô bạo, nhưng có thể vượt qua một cách dễ dàng. Hệ thống của Iran thì hoàn toàn khác.

DPI cho phép phân tích không chỉ địa chỉ đích của gói mà còn cả nội dung và đặc điểm của lưu lượng. Hệ thống nhận diện:

• Chữ ký đặc trưng của các giao thức VPN (OpenVPN, WireGuard, L2TP)
• Các mẫu mã hóa không điển hình cho HTTPS thông thường
• Các cổng không chuẩn và hành vi bất thường của các kết nối
• Lưu lượng đến các địa chỉ IP của các trung tâm dữ liệu và nhà cung cấp VPN nổi tiếng
• Các mẫu thời gian — lưu lượng quá đều hoặc quá thường xuyên

Trong các cuộc biểu tình năm 2022 (sau cái chết của Mahsa Amini), chính quyền Iran đã thể hiện khả năng của hệ thống một cách đầy đủ: hàng trăm dịch vụ VPN đã bị chặn trong vài giờ, và tốc độ internet bị giảm cố ý để gây khó khăn cho việc truyền tải video. Điều này được gọi là "throttling" — làm chậm có mục đích các loại lưu lượng nhất định.

Ngoài DPI, hàng ngàn tài nguyên đã bị chặn ở mức DNS và IP. Trong số đó có Instagram, Facebook, Twitter/X, YouTube, hầu hết các trang tin tức phương Tây, các ứng dụng nhắn tin (WhatsApp hoạt động không ổn định), các dịch vụ của Google (một phần), Telegram (chính thức bị chặn, mặc dù vẫn được sử dụng qua các cách vượt qua). Đối với doanh nghiệp, điều này có nghĩa là: làm việc với các nền tảng phương Tây từ Iran mà không có công cụ được cấu hình đúng là không thể.

Tại sao proxy và VPN thông thường không hoạt động ở Iran

Nếu bạn đã từng cố gắng sử dụng proxy HTTP tiêu chuẩn hoặc VPN miễn phí để làm việc từ Iran — bạn biết kết quả. Kết nối hoặc không được thiết lập hoàn toàn, hoặc hoạt động trong vài phút rồi bị ngắt. Có một số lý do, và mỗi lý do đều rất quan trọng.

Vấn đề 1: Địa chỉ IP của các trung tâm dữ liệu nằm trong danh sách đen

Hầu hết các dịch vụ proxy giá rẻ hoạt động trên các máy chủ trong các trung tâm dữ liệu — Amazon AWS, DigitalOcean, Hetzner, OVH và các dịch vụ tương tự. Các nhà cung cấp Iran đã nhận được danh sách đầy đủ các dải IP của các nhà cung cấp này và chặn chúng ở mức định tuyến. Lưu lượng của bạn đơn giản là không đến được máy chủ.

Vấn đề 2: Các chữ ký giao thức có thể nhận diện

OpenVPN, WireGuard, SOCKS5 tiêu chuẩn không có che giấu — tất cả các giao thức này đều có "dấu vết" đặc trưng trong cấu trúc của các gói. Hệ thống DPI tự động nhận diện chúng và chặn kết nối. Điều này xảy ra ngay cả khi địa chỉ IP của máy chủ không nằm trong danh sách đen — hệ thống thấy chính việc sử dụng giao thức bị cấm.

Vấn đề 3: Throttling và sự không ổn định

Ngay cả khi kết nối được thiết lập, hệ thống có thể cố ý giảm tốc độ của nó xuống chỉ còn vài kilobit mỗi giây — đủ để kết nối "hoạt động" về mặt kỹ thuật, nhưng lại vô dụng. Phương pháp này được áp dụng mạnh mẽ đối với lưu lượng mà hệ thống nghi ngờ là đang vượt qua kiểm duyệt, nhưng không thể xác định rõ ràng.

Vấn đề 4: VPN miễn phí như một cái bẫy

Các dịch vụ VPN miễn phí là một câu chuyện riêng. Nhiều trong số chúng sử dụng các máy chủ mà địa chỉ IP của chúng đã được chính quyền Iran biết đến từ lâu. Hơn nữa, một số dịch vụ miễn phí hợp tác với các cơ quan quản lý địa phương hoặc đơn giản là không an toàn về mặt bảo mật dữ liệu. Điều này là không thể chấp nhận đối với doanh nghiệp.

Các loại proxy hoạt động chống lại DPI

Không phải tất cả các loại proxy đều hiệu quả như nhau trong điều kiện lọc nghiêm ngặt. Chúng ta sẽ phân tích từng lựa chọn từ góc độ khả năng áp dụng thực tiễn ở Iran.

Kết luận chính từ bảng: proxy trung tâm dữ liệu ở Iran hoạt động không đáng tin cậy, trong khi IP dân cư và di động cho thấy kết quả ổn định. Chúng ta sẽ phân tích từng lựa chọn khả thi hơn.

Proxy dân cư: công cụ chính để vượt qua

Proxy dân cư là các địa chỉ IP thuộc về những người dùng thực tế trên toàn thế giới. Chúng được cấp bởi các nhà cung cấp internet cho các cá nhân, không phải cho các trung tâm dữ liệu. Chính điều này làm cho chúng hoàn toàn khác biệt về mặt lọc DPI.

Khi hệ thống Iran phân tích một gói đi qua IP dân cư, nó thấy lưu lượng trông giống như một kết nối thông thường của người dùng gia đình từ, ví dụ, Đức hoặc Hà Lan. Không có dấu hiệu nào của trung tâm dữ liệu, không có dải VPN nổi tiếng nào. Lưu lượng đi qua.

Tại sao IP dân cư khó bị chặn

Chặn một IP dân cư có nghĩa là chặn một người dùng gia đình thực sự ở một quốc gia khác. Điều này về mặt kỹ thuật là khả thi, nhưng không hợp lý: IP dân cư liên tục thay đổi (xoay vòng), có hàng triệu cái, và chúng được trộn lẫn với lưu lượng hợp pháp thông thường. Hệ thống Iran đơn giản là không đủ tài nguyên để chặn hàng loạt mà không làm ngắt kết nối toàn bộ quốc gia khỏi internet.

Xoay vòng IP — chức năng cực kỳ quan trọng

Khi làm việc trong điều kiện DPI, không chỉ bản chất của địa chỉ IP mà còn cả việc xoay vòng của nó là quan trọng. Nếu bạn sử dụng cùng một IP trong nhiều giờ, hệ thống có thể bắt đầu phân tích mẫu lưu lượng của bạn và chặn địa chỉ cụ thể. Xoay vòng mỗi 5–30 phút giải quyết vấn đề này: mỗi lần là một IP mới, một "người dùng" mới từ góc độ của hệ thống.

Lựa chọn địa lý

Để vượt qua các chặn của Iran, địa lý của proxy có ý nghĩa. Các lựa chọn tối ưu:

• Các quốc gia châu Âu (Đức, Hà Lan, Pháp) — lưu lượng ổn định, tốc độ tốt
• Mỹ — cần thiết để làm việc với các dịch vụ và nền tảng quảng cáo của Mỹ
• UAE hoặc Thổ Nhĩ Kỳ — gần hơn về mặt địa lý, độ trễ (latency) thấp hơn

Quan trọng: không chọn các quốc gia có thỏa thuận trao đổi dữ liệu với Iran. Các nhà cung cấp phương Tây trong vấn đề này đáng tin cậy hơn.

Proxy di động: khi nào cần mức độ tin cậy tối đa

Proxy di động là các địa chỉ IP của các nhà mạng di động (4G/5G). Chúng được coi là "sạch" nhất về mặt bất kỳ hệ thống lọc nào, bao gồm cả DPI của Iran. Lý do rất đơn giản: qua một địa chỉ IP di động của nhà mạng, hàng ngàn người dùng thực tế hoạt động cùng một lúc. Chặn một IP như vậy có nghĩa là ngắt kết nối hàng ngàn người dùng hợp pháp.

Để làm việc với các mạng xã hội (Instagram, Facebook, TikTok), các bảng quảng cáo (Facebook Ads, TikTok Ads) và các ứng dụng nhắn tin, proxy di động cho thấy kết quả tốt nhất. Các thuật toán của nền tảng ban đầu mong đợi lưu lượng di động từ hầu hết người dùng, vì vậy IP di động ít gây nghi ngờ nhất.

Các kịch bản mà proxy di động là không thể thiếu

• Phân tích lưu lượng từ Iran — khởi động các chiến dịch quảng cáo trên Facebook Ads và TikTok Ads qua tài khoản Iran cần IP di động để giảm thiểu rủi ro bị chặn
• Công việc SMM với khán giả Iran — quản lý các tài khoản Instagram nhắm đến người dùng Iran
• Các ứng dụng nhắn tin — WhatsApp Business, các kênh Telegram với khán giả Iran
• Xác minh tài khoản — tạo và làm ấm các tài khoản liên kết với các số điện thoại Iran

Hạn chế của proxy di động

Proxy di động đắt hơn proxy dân cư và thường được bán với giới hạn về số lượng luồng đồng thời. Đối với việc phân tích hàng loạt hoặc các nhiệm vụ yêu cầu tốc độ cao và nhiều kết nối song song, chúng không phù hợp lắm. Ở đây tốt hơn là kết hợp: IP di động cho các hành động "sống" với tài khoản, proxy dân cư cho các nhiệm vụ nền.

Giao thức và che giấu lưu lượng: SOCKS5, Shadowsocks, V2Ray

Loại địa chỉ IP chỉ là một nửa giải pháp. Nửa còn lại là giao thức truyền dữ liệu và việc che giấu nó. Trong điều kiện DPI, giao thức có ý nghĩa không kém gì chính IP.

SOCKS5 — cơ bản, nhưng không phải lúc nào cũng đủ

SOCKS5 là một giao thức đa năng, được hỗ trợ bởi tất cả các trình duyệt chống phát hiện (Dolphin Anty, AdsPower, GoLogin, Multilogin) và hầu hết các ứng dụng. Nó không thêm các tiêu đề không cần thiết và hoạt động ở mức độ vận chuyển, điều này làm cho nó ít bị chú ý hơn so với proxy HTTP. Để làm việc qua các IP dân cư kết hợp với SOCKS5, hầu hết các nhiệm vụ được giải quyết mà không cần che giấu thêm.

Shadowsocks — được thiết kế đặc biệt để chống lại DPI

Shadowsocks ban đầu được phát triển bởi các nhà phát triển Trung Quốc để vượt qua "Tường lửa lớn của Trung Quốc" — một hệ thống có độ phức tạp tương đương với của Iran. Giao thức này che giấu lưu lượng dưới dạng HTTPS thông thường, mã hóa dữ liệu và sử dụng các phương pháp làm mờ không chuẩn. Các hệ thống DPI không thể xác định rõ ràng lưu lượng Shadowsocks là proxy hay VPN.

Để sử dụng Shadowsocks, cần có một máy chủ bên ngoài Iran với máy chủ Shadowsocks đã được cài đặt. Phần khách có sẵn cho Windows, macOS, Android và iOS. Sự kết hợp "IP dân cư + Shadowsocks" là một trong những giải pháp đáng tin cậy nhất cho công việc ổn định.

V2Ray / Xray — cấp độ che giấu tiếp theo

V2Ray và nhánh của nó Xray là những giải pháp tiên tiến hơn với hỗ trợ nhiều giao thức và chế độ che giấu. Chế độ VLESS + XTLS đặc biệt hiệu quả, làm cho lưu lượng gần như không thể phân biệt được với một kết nối TLS thông thường (ví dụ, như khi mở một trang web thông thường trên HTTPS). Đối với những người dùng có kiến thức kỹ thuật, đây là lựa chọn đáng tin cậy nhất.

Cái gì nên sử dụng cho các nhiệm vụ kinh doanh

Nếu bạn không muốn đi sâu vào các chi tiết kỹ thuật của việc cấu hình máy chủ, sơ đồ tối ưu cho hầu hết các nhiệm vụ kinh doanh sẽ như sau:

• Trình duyệt chống phát hiện (Dolphin Anty, AdsPower hoặc GoLogin)
• Proxy dân cư hoặc di động với SOCKS5
• Profile trình duyệt riêng cho mỗi tài khoản hoặc nhiệm vụ

Sơ đồ này đủ cho việc làm việc với Facebook Ads, Instagram, TikTok và hầu hết các dịch vụ phương Tây. Việc che giấu thêm (Shadowsocks, V2Ray) chỉ cần thiết nếu sơ đồ cơ bản không ổn định ở khu vực cụ thể hoặc với nhà cung cấp Iran cụ thể.

Kịch bản thực tiễn: kinh doanh, SMM, phân tích từ Iran

Chúng ta sẽ phân tích các nhiệm vụ cụ thể mà các chuyên gia gặp phải khi làm việc với thị trường Iran hoặc từ Iran, và các giải pháp tối ưu cho mỗi nhiệm vụ.

Kịch bản 1: Người phân tích khởi động quảng cáo trên Facebook Ads từ các tài khoản Iran

Thị trường Iran hấp dẫn các nhà phân tích do sự cạnh tranh tương đối thấp trong một số lĩnh vực. Để làm việc với các tài khoản Facebook Iran, cần có các địa chỉ IP mà Facebook liên kết với người dùng Iran hoặc ít nhất không gây nghi ngờ.

Sơ đồ tối ưu: proxy di động với địa lý Iran hoặc Trung Đông + Dolphin Anty hoặc AdsPower với profile riêng cho mỗi tài khoản. IP di động giảm thiểu rủi ro bị chặn khi đăng ký và làm ấm các tài khoản. Quan trọng: Facebook không chỉ thấy IP mà còn cả fingerprint của trình duyệt — vì vậy trình duyệt chống phát hiện là bắt buộc.

Kịch bản 2: Chuyên gia SMM quản lý các tài khoản Instagram với khán giả Iran

Việc quản lý 10–30 tài khoản Instagram nhắm đến người dùng Iran yêu cầu truy cập ổn định vào nền tảng bị chặn. Ở đây không chỉ tính khả dụng của proxy mà còn cả sự ổn định của nó — việc thay đổi IP thường xuyên hoặc ngắt kết nối có thể dẫn đến việc tài khoản bị chặn bởi chính Instagram.

Khuyến nghị: proxy dân cư với chế độ IP dính (sticky) — khi một IP được giữ cho một tài khoản trong suốt phiên. Chỉ cần thay đổi IP khi chuyển đổi tài khoản hoặc thiết bị, nhưng không trong giữa phiên hoạt động.

Kịch bản 3: Giám sát các chợ Iran

Các chợ Iran (Digikala, Snapp, Torob) hấp dẫn cho việc phân tích giá cả và tình báo cạnh tranh. Những nền tảng này thường hạn chế truy cập cho các IP nước ngoài. Để phân tích các trang web Iran, cần có proxy với địa lý Iran — IP dân cư của các nhà cung cấp Iran.

Ở đây cần lưu ý đến đặc thù: các trang web Iran thường hoạt động chậm và không ổn định, vì vậy tốc độ của proxy không phải là tiêu chí chính. Quan trọng hơn là sự ổn định của kết nối và sự hiện diện của các IP Iran trong pool của nhà cung cấp.

Kịch bản 4: Truy cập các dịch vụ phương Tây cho doanh nghiệp từ Iran

Các công ty và freelancer Iran cần truy cập vào Google Workspace, Zoom, Slack, GitHub, các hệ thống thanh toán. Đối với những nhiệm vụ này, proxy dân cư với địa lý châu Âu hoặc Mỹ là phù hợp. Quan trọng là cấu hình proxy ở mức hệ thống hoặc ứng dụng cụ thể, không chỉ trong trình duyệt.

Hướng dẫn cấu hình từng bước cho proxy hoạt động trong điều kiện DPI

Hướng dẫn này được thiết kế cho người dùng doanh nghiệp, những người làm việc qua trình duyệt chống phát hiện hoặc các ứng dụng tiêu chuẩn. Không cần mã — chỉ cần cấu hình qua giao diện.

Bước 1: Chọn loại proxy phù hợp với nhiệm vụ của bạn

• Làm việc với mạng xã hội và quảng cáo → proxy di động hoặc dân cư
• Phân tích các trang web Iran → proxy dân cư với địa lý Iran
• Truy cập các dịch vụ phương Tây từ Iran → proxy dân cư với IP châu Âu/Mỹ
• Các nhiệm vụ kỹ thuật hàng loạt → proxy trung tâm dữ liệu (nếu trang web không ở Iran)

Bước 2: Nhận dữ liệu proxy

Sau khi mua proxy, bạn sẽ nhận được dữ liệu dưới dạng:

host: proxy.example.com
port: 12345
login: your_username
password: your_password
protocol: SOCKS5
  

Lưu giữ những dữ liệu này — chúng sẽ cần thiết cho việc cấu hình trong bất kỳ công cụ nào.

Bước 3: Cấu hình trong Dolphin Anty

1. Mở Dolphin Anty → nhấn "Tạo profile"
2. Trong phần "Proxy", chọn loại: SOCKS5
3. Nhập host, port, login và password
4. Nhấn "Kiểm tra proxy" — địa lý và trạng thái "OK" sẽ xuất hiện
5. Lưu profile và khởi động trình duyệt qua profile này

Bước 4: Cấu hình trong AdsPower

1. Mở AdsPower → "Profile mới" → tab "Proxy"
2. Chọn "Proxy tùy chỉnh" → loại SOCKS5
3. Điền các trường: IP/host, port, tên người dùng, password
4. Nhấn "Kiểm tra mạng" → đảm bảo rằng IP hiển thị chính xác
5. Tạo profile và mở trình duyệt

Bước 5: Cấu hình trong GoLogin

1. GoLogin → "Profile mới" → phần "Kết nối"
2. Loại kết nối: "Proxy" → giao thức SOCKS5
3. Nhập địa chỉ, port, login, password
4. Nút "Kiểm tra proxy" → kiểm tra IP và quốc gia
5. Khởi động profile

Bước 6: Kiểm tra tính khả thi

Sau khi khởi động profile với proxy, mở trong trình duyệt:

• whoer.net — hiển thị IP của bạn, địa lý, mức độ ẩn danh
• browserleaks.com — kiểm tra rò rỉ WebRTC, DNS và fingerprint
• ipinfo.io — hiển thị nhà cung cấp IP (nên là dân cư, không phải trung tâm dữ liệu)

Nếu trong trường "Tổ chức" trên ipinfo.io có tên của một nhà cung cấp internet thực sự (ví dụ, "Deutsche Telekom" hoặc "Comcast"), chứ không phải "Amazon" hoặc "DigitalOcean" — proxy là dân cư và hoạt động chính xác.

Danh sách kiểm tra: cách kiểm tra xem proxy có hoạt động ở Iran không

Trước khi khởi động các nhiệm vụ quan trọng qua proxy trong điều kiện lọc của Iran, hãy thực hiện danh sách kiểm tra này:

Các lỗi thường gặp khi cấu hình

Kết luận

Hệ thống lọc internet của Iran là một trong những hệ thống kỹ thuật phức tạp nhất trên thế giới, và không thể vượt qua nó bằng các phương pháp tiêu chuẩn. Các proxy trung tâm dữ liệu thông thường và hầu hết các dịch vụ VPN đều bị chặn ở mức DPI. Giải pháp khả thi được xây dựng trên ba thành phần: địa chỉ IP dân cư hoặc di động, giao thức đúng (SOCKS5 ít nhất, Shadowsocks cho các trường hợp phức tạp) và trình duyệt chống phát hiện để làm việc với các tài khoản.

Đối với hầu hết các nhiệm vụ kinh doanh — phân tích trên Facebook Ads và TikTok Ads, quản lý các tài khoản Instagram, truy cập vào các dịch vụ phương Tây — sơ đồ "trình duyệt chống phát hiện + proxy dân cư SOCKS5" đáp ứng 90% nhu cầu. Để làm việc trực tiếp với các tài khoản Iran và đạt được mức độ tin cậy tối đa từ các nền tảng, hãy thêm các proxy di động.

Nếu bạn cần truy cập ổn định vào các dịch vụ bị chặn hoặc làm việc với thị trường Iran, chúng tôi khuyên bạn nên bắt đầu với proxy dân cư — chúng cung cấp các địa chỉ IP gia đình thực tế, không bị các hệ thống DPI nhận diện là lưu lượng proxy, và hỗ trợ việc xoay vòng để đạt được sự ổn định tối đa.