Proxy và TLS 1.3: Tính tương thích, cấu hình và giải quyết vấn đề trong việc phân tích và tự động hóa

```html

Bạn đã cấu hình proxy, khởi động trình duyệt chống phát hiện hoặc công cụ phân tích — và đột nhiên trang web không phản hồi, phiên bị ngắt hoặc tài khoản bị cấm. Một trong những nguyên nhân ẩn giấu, mà ít ai nói đến, là xung đột giữa proxy của bạn và giao thức TLS 1.3. Chúng ta sẽ tìm hiểu chính xác điều gì đang xảy ra, cách nó ảnh hưởng đến công việc của các nhà môi giới, chuyên gia SMM và người bán trên các thị trường, và cách khắc phục điều này.

TLS 1.3 là gì và tại sao điều này quan trọng khi làm việc với proxy

TLS (Transport Layer Security) là một giao thức mã hóa, bảo vệ kết nối giữa trình duyệt hoặc công cụ tự động hóa của bạn và máy chủ trang web. Phiên bản 1.3 đã được thông qua vào năm 2018 và hiện nay được sử dụng trên hầu hết các nền tảng lớn: Facebook, Instagram, TikTok, Google, Wildberries, Ozon và hàng trăm nền tảng khác.

So với phiên bản trước là TLS 1.2, giao thức mới hoạt động nhanh hơn và an toàn hơn. Nhưng chính những cải tiến này lại gây ra đau đầu cho những ai sử dụng proxy cho mục đích công việc. Dưới đây là những thay đổi chính ảnh hưởng đến công việc của bạn:

• Giảm thiểu quá trình bắt tay (1-RTT và 0-RTT). TLS 1.3 thiết lập kết nối nhanh hơn — chỉ với một vòng trao đổi dữ liệu thay vì hai. Một số máy chủ proxy cũ không kịp xử lý chính xác quá trình này.
• Mã hóa phần lớn quá trình bắt tay. Trong TLS 1.3, ngay cả dữ liệu về chứng chỉ máy chủ cũng được mã hóa, điều này trước đây được truyền tải công khai. Điều này làm phức tạp công việc của các proxy đang cố gắng kiểm tra lưu lượng.
• Loại bỏ các thuật toán lỗi thời. TLS 1.3 không hỗ trợ một số thuật toán mã hóa đã được sử dụng trong TLS 1.2. Nếu proxy hoặc phần mềm khách của bạn cố gắng sử dụng chúng khi kết nối — kết nối sẽ bị ngắt.
• Mở rộng ESNI/ECH. Mã hóa SNI (Server Name Indication) ẩn đi tên miền mà bạn đang kết nối. Điều này tốt cho sự riêng tư, nhưng một số máy chủ proxy không biết cách xử lý điều này.

Đối với người dùng thông thường, tất cả điều này diễn ra một cách âm thầm. Nhưng nếu bạn sử dụng proxy để làm việc với các tài khoản quảng cáo, quản lý nhiều tài khoản hoặc phân tích dữ liệu — sự không tương thích với TLS 1.3 có thể trở thành nguyên nhân gây ra sự cố khó chẩn đoán.

Cách proxy tương tác với TLS 1.3: bản chất của vấn đề

Để hiểu vấn đề, bạn không cần phải là lập trình viên. Hãy tưởng tượng: bạn gửi một bức thư qua một người trung gian (proxy). Trước đây, người trung gian có thể mở phong bì, đọc địa chỉ và chuyển tiếp. Với TLS 1.3, phong bì được niêm phong đến mức người trung gian không thể mở nó — họ phải chuyển tiếp nó "mù quáng".

Chính tại đây xuất hiện ba kịch bản vấn đề chính:

Kịch bản 1: Proxy ngắt kết nối

Một số máy chủ proxy (đặc biệt là rẻ tiền hoặc lỗi thời) cố gắng thực hiện kiểm tra SSL — tức là giải mã và mã hóa lại lưu lượng. Trong TLS 1.3, điều này khó thực hiện về mặt kỹ thuật. Nếu proxy không hỗ trợ giao thức mới, nó sẽ đơn giản là ngắt kết nối. Thực tế, điều này thể hiện như: trang không tải được, yêu cầu bị treo, hoặc bạn thấy lỗi SSL/TLS trong trình duyệt chống phát hiện.

Kịch bản 2: Giảm cấp xuống TLS 1.2

Một số proxy khi không tương thích tự động "giảm cấp" giao thức xuống TLS 1.2. Về mặt kỹ thuật, kết nối vẫn hoạt động, nhưng xuất hiện một vấn đề khác: các hệ thống chống gian lận hiện đại của Facebook, TikTok và Google có thể phát hiện sự "giảm cấp" này. Trình duyệt Chrome năm 2024 theo mặc định sử dụng TLS 1.3 — nếu máy chủ thấy TLS 1.2 thay vì 1.3 như mong đợi, điều này trở thành tín hiệu bất thường và lý do để kiểm tra tài khoản thêm.

Kịch bản 3: Không khớp dấu vân tay TLS

Đây là vấn đề khó chịu nhất, mà chúng ta sẽ nói chi tiết hơn trong phần tiếp theo. Mỗi trình duyệt khi thiết lập kết nối TLS để lại một "dấu vân tay" duy nhất — tập hợp các cipher, mở rộng và tham số được hỗ trợ. Nếu proxy hoặc công cụ tự động hóa của bạn thay đổi dấu vân tay này, hệ thống chống gian lận sẽ thấy sự không khớp giữa trình duyệt được khai báo và hành vi thực tế của kết nối.

Ai bị ảnh hưởng bởi vấn đề: môi giới, SMM, phân tích

Các vấn đề với TLS 1.3 ảnh hưởng đến các chuyên gia khác nhau theo những cách khác nhau. Hãy cùng phân tích từng trường hợp cụ thể.

Các nhà môi giới và Facebook/TikTok Ads

Đối với những người làm việc với các tài khoản quảng cáo Facebook Ads và TikTok Ads, sự không tương thích của proxy với TLS 1.3 có thể dẫn đến một chuỗi các lệnh cấm. Facebook đặc biệt kiểm tra dấu vân tay TLS một cách quyết liệt khi đăng nhập vào tài khoản quảng cáo. Nếu dấu vân tay của trình duyệt trong Dolphin Anty hoặc AdsPower không khớp với những gì Facebook "mong đợi" từ Chrome phiên bản cần thiết — tài khoản sẽ bị kiểm tra hoặc bị chặn.

Điều này đặc biệt nghiêm trọng khi tạo tài khoản: bạn tạo một hồ sơ, làm nóng nó, và sau đó nhận lệnh cấm không phải vì nội dung quảng cáo, mà vì sự không khớp kỹ thuật ở cấp độ giao thức. Tiền và thời gian đã bị lãng phí.

Các chuyên gia SMM và quản lý nhiều tài khoản

Nếu bạn quản lý từ 20–50 tài khoản Instagram hoặc TikTok thông qua Multilogin, GoLogin hoặc Octo Browser, các vấn đề với TLS có thể biểu hiện khác: tài khoản hoạt động, nhưng thỉnh thoảng yêu cầu xác minh qua điện thoại, hoặc Stories không được xuất bản qua tự động hóa. Instagram tích cực phân tích các tham số TLS của kết nối như một phần của hồ sơ hành vi của thiết bị.

Người bán trên các thị trường và phân tích

Wildberries, Ozon và Yandex.Market sử dụng TLS 1.3 và tích cực phát hiện các yêu cầu tự động hóa thông qua việc phân tích dấu vân tay TLS. Nếu công cụ phân tích của bạn gửi yêu cầu với tập hợp các tham số TLS không chuẩn, hệ thống sẽ tự động chặn IP — ngay cả khi đó là proxy cư trú. Điều này giải thích tại sao đôi khi các proxy "tốt" vẫn không giúp ích trong việc phân tích: vấn đề không phải ở IP, mà là cách công cụ của bạn thiết lập kết nối.

Dấu vân tay TLS (JA3/JA4): tại sao các trang web "thấy" bạn

Dấu vân tay TLS là dấu vết số mà trình duyệt hoặc công cụ của bạn để lại khi thiết lập kết nối mã hóa. Các phương pháp phổ biến nhất để tính toán nó là JA3 và JA4 mới hơn. Hiểu cơ chế này là điều cực kỳ quan trọng đối với tất cả những ai làm việc với proxy một cách chuyên nghiệp.

Khi trình duyệt kết nối với trang web qua HTTPS, nó gửi thông điệp "ClientHello", trong đó liệt kê:

• Các phiên bản TLS được hỗ trợ
• Danh sách các thuật toán mã hóa được hỗ trợ (cipher suites)
• Danh sách các mở rộng TLS và thứ tự của chúng
• Các đường cong elip được hỗ trợ

Từ những dữ liệu này, một hàm băm được tính toán — và đó chính là dấu vân tay JA3. Chrome 120 có một dấu vân tay, Firefox 121 có một dấu vân tay khác, thư viện Python requests có một dấu vân tay thứ ba. Các hệ thống chống gian lận của các nền tảng lớn lưu trữ cơ sở dữ liệu "dấu vân tay bình thường" cho mỗi trình duyệt và phiên bản.

Đây là nơi xảy ra xung đột với proxy: một số loại proxy (đặc biệt là proxy HTTP với kiểm tra SSL) thay đổi các tham số của kết nối TLS. Kết quả là hồ sơ của bạn trong Dolphin Anty tuyên bố "Tôi là Chrome 120", nhưng dấu vân tay TLS lại đưa ra một mẫu hoàn toàn khác. Facebook hoặc TikTok nhận thấy sự không khớp này ngay lập tức.

Với việc chuyển sang TLS 1.3, tình hình đã trở nên phức tạp hơn: giao thức mới có một tập hợp các cipher suites và mở rộng được phép khác. Nếu proxy hoặc thư viện không được cập nhật cho TLS 1.3, sự không khớp sẽ trở nên rõ ràng hơn đối với các hệ thống chống gian lận.

Cấu hình trình duyệt chống phát hiện khi làm việc với TLS 1.3

Tin tốt: các trình duyệt chống phát hiện hiện đại đã biết cách hoạt động đúng với TLS 1.3 — nhưng chỉ khi được cấu hình đúng. Dưới đây là hướng dẫn cụ thể cho những công cụ phổ biến nhất.

Dolphin Anty

Dolphin Anty sử dụng động cơ Chromium thực, có nghĩa là hỗ trợ gốc cho TLS 1.3. Để đảm bảo rằng proxy không làm hỏng dấu vân tay TLS:

1. Khi thêm proxy, hãy chọn loại SOCKS5, không phải HTTP. SOCKS5 không thực hiện kiểm tra SSL và truyền tải lưu lượng TLS "như nó có", không thay đổi dấu vân tay.
2. Trong cài đặt hồ sơ, hãy đảm bảo rằng phiên bản trình duyệt là mới nhất (Chrome 118+). Các phiên bản cũ có dấu vân tay TLS khác.
3. Sau khi cấu hình, hãy mở browserleaks.com/tls trực tiếp từ hồ sơ và đảm bảo rằng TLS 1.3 được hiển thị.
4. Nếu thấy TLS 1.2 — hãy thay đổi proxy hoặc kiểm tra tính tương thích của nó với TLS 1.3.

AdsPower

AdsPower cung cấp hai động cơ: SunBrowser (dựa trên Chromium) và FlowerBrowser (dựa trên Firefox). Cả hai đều hỗ trợ TLS 1.3, nhưng cài đặt proxy ảnh hưởng đến dấu vân tay cuối cùng:

1. Đi đến phần Hồ sơ → Tạo hồ sơ → Proxy.
2. Chọn giao thức SOCKS5 và nhập thông tin proxy.
3. Trong phần "Trình duyệt", chọn phiên bản Chrome hoặc Firefox hiện tại — điều này ảnh hưởng đến dấu vân tay TLS được tạo ra.
4. Sử dụng kiểm tra proxy tích hợp trong AdsPower trước khi khởi động hồ sơ.

GoLogin và Multilogin

GoLogin và Multilogin có tính năng bảo vệ dấu vân tay TLS tích hợp — chúng tạo ra các tham số ClientHello theo đúng trình duyệt được khai báo. Tuy nhiên, ở đây cũng có những điểm cần lưu ý:

1. Luôn sử dụng proxy SOCKS5 — đây là quy tắc chính để giữ nguyên dấu vân tay TLS.
2. Trong GoLogin, thường xuyên cập nhật hồ sơ trình duyệt — hồ sơ Chrome cũ 100 khi sử dụng thực tế Chrome 120 tạo ra sự không khớp có thể phát hiện được.
3. Trong Multilogin, hãy sử dụng chức năng Stealthfox hoặc Mimic — chúng được tối ưu hóa đặc biệt để hoạt động chính xác với TLS 1.3.

Loại proxy nào tương thích tốt nhất với TLS 1.3

Không phải tất cả các loại proxy đều hoạt động tốt với TLS 1.3. Hãy cùng phân tích các tùy chọn chính và tính tương thích của chúng cho các nhiệm vụ khác nhau.

Proxy cư trú

Proxy cư trú là các địa chỉ IP của các thiết bị gia đình thực. Khi sử dụng qua giao thức SOCKS5, chúng không can thiệp vào kết nối TLS: trình duyệt thiết lập TLS 1.3 trực tiếp với máy chủ mục tiêu, và proxy chỉ truyền tải các gói mã hóa. Điều này có nghĩa là dấu vân tay TLS vẫn nguyên vẹn — chính xác như nó được tạo ra bởi trình duyệt chống phát hiện của bạn.

Đối với các nhà môi giới và chuyên gia SMM, proxy cư trú với SOCKS5 là lựa chọn tối ưu khi làm việc với Facebook, Instagram và TikTok. Các IP thực kết hợp với dấu vân tay TLS chính xác làm cho hồ sơ giống như một người dùng bình thường nhất có thể.

Proxy di động

Proxy di động hoạt động qua IP của các nhà mạng (4G/5G). Chúng cũng hoàn toàn tương thích với TLS 1.3 khi sử dụng SOCKS5. Lợi thế bổ sung: các địa chỉ IP di động được hàng ngàn người dùng thực sử dụng đồng thời, vì vậy các hệ thống chống gian lận có xu hướng tin tưởng chúng hơn. Điều này đặc biệt quan trọng đối với TikTok Ads, nơi lưu lượng di động được coi là "tự nhiên" hơn.

Proxy data center

Đối với các nhiệm vụ phân tích Wildberries, Ozon hoặc giám sát giá, proxy data center qua SOCKS5 cung cấp tốc độ cao và tính tương thích tốt với TLS 1.3. Điều quan trọng là đảm bảo rằng công cụ phân tích hoặc giám sát của bạn sử dụng thư viện hiện đại cho các yêu cầu HTTP hỗ trợ TLS 1.3.

Danh sách kiểm tra: cách kiểm tra và khắc phục các vấn đề với TLS

Sử dụng danh sách kiểm tra này nếu bạn nghi ngờ rằng các vấn đề với lệnh cấm hoặc sự cố liên quan đến TLS 1.3.

Bước 1: Kiểm tra phiên bản TLS

Mở hồ sơ trong trình duyệt chống phát hiện của bạn với proxy đã kết nối. Truy cập trang web tls.browserleaks.com. Trong phần "TLS Version", phải hiển thị TLS 1.3. Nếu bạn thấy TLS 1.2 — proxy của bạn không hỗ trợ TLS 1.3 hoặc buộc phải giảm cấp phiên bản.

Bước 2: Kiểm tra dấu vân tay JA3

Trên cùng một trang hoặc trên ja3er.com, hãy xem hash JA3 của bạn. Ghi lại nó. Sau đó, mở cùng một trang trong Chrome thông thường (không có proxy) và so sánh các hash. Chúng phải khớp hoặc rất giống nhau. Sự khác biệt đáng kể có nghĩa là proxy đang thay đổi các tham số TLS.

Bước 3: Thay đổi giao thức proxy thành SOCKS5

Nếu bạn đã sử dụng proxy HTTP/HTTPS — hãy chuyển sang SOCKS5. Trong cài đặt trình duyệt chống phát hiện, tìm trường "Loại proxy" và chọn SOCKS5. Lặp lại kiểm tra dấu vân tay TLS.

Bước 4: Cập nhật hồ sơ trình duyệt

Nếu trong trình duyệt chống phát hiện của bạn đã cấu hình hồ sơ Chrome phiên bản 90–105 — hãy cập nhật nó lên phiên bản mới nhất (118+). Hồ sơ cũ tạo ra dấu vân tay TLS của Chrome cũ, điều này bị phát hiện như một bất thường trên các trang web hiện đại.

Bước 5: Kiểm tra nhà cung cấp proxy

Không phải tất cả các nhà cung cấp proxy đã cập nhật cơ sở hạ tầng của họ cho TLS 1.3. Dấu hiệu của cơ sở hạ tầng lỗi thời:

• Kết nối chỉ được thiết lập qua TLS 1.2
• Khi kiểm tra trên browserleaks, hiển thị một tập hợp cipher suites không chuẩn
• Tỷ lệ lệnh cấm cao trên Facebook/TikTok khi sử dụng các tài khoản "sạch"
• Ngắt kết nối định kỳ trên các trang web HTTPS

Bước 6: Đối với phân tích — cập nhật thư viện

Nếu bạn sử dụng các công cụ phân tích hoặc dịch vụ giám sát giá đã sẵn sàng, hãy đảm bảo rằng chúng đã được cập nhật lên phiên bản mới nhất. Hầu hết các công cụ phân tích hiện đại đã hỗ trợ TLS 1.3, nhưng các phiên bản cũ có thể gửi yêu cầu với các tham số lỗi thời, dễ dàng bị phát hiện bởi các hệ thống bảo vệ của Wildberries và Ozon.

Những lỗi thường gặp khi làm việc với proxy và TLS 1.3

Trong nhiều năm làm việc với các công cụ proxy, đã tích lũy được một danh sách các lỗi điển hình mà ngay cả những chuyên gia có kinh nghiệm cũng mắc phải. Hãy cùng phân tích những lỗi phổ biến nhất.

Lỗi 1: Sử dụng một proxy trong nhiều hồ sơ cùng một lúc

Ngay cả khi mỗi hồ sơ có dấu vân tay TLS chính xác, việc sử dụng một địa chỉ IP trong nhiều tài khoản cùng một lúc là một tín hiệu đỏ cho các hệ thống chống gian lận. Facebook và Instagram theo dõi không chỉ các tham số TLS mà còn cả các mẫu sử dụng IP. Quy tắc đơn giản: một proxy — một hồ sơ.

Lỗi 2: Bỏ qua địa lý của proxy

TLS 1.3 tự nó không tiết lộ vị trí địa lý của bạn, nhưng các hệ thống chống gian lận kết hợp nhiều tín hiệu. Nếu hồ sơ của bạn trong Dolphin Anty được cấu hình như một người dùng từ Moscow, trong khi proxy cung cấp IP từ Đức — sự không khớp này sẽ bị phát hiện bất kể phiên bản TLS. Luôn chọn proxy cùng quốc gia và khu vực với thông tin trong hồ sơ trình duyệt.

Lỗi 3: Trộn lẫn các giao thức trong cùng một phiên

Một số chuyên gia cấu hình SOCKS5 cho lưu lượng chính, nhưng để lại proxy hệ thống HTTP cho một số yêu cầu. Điều này tạo ra tình huống mà các yêu cầu khác nhau trong cùng một phiên có dấu vân tay TLS khác nhau. Các hệ thống chống gian lận hiện đại có thể nhận ra điều này. Sử dụng một giao thức duy nhất cho toàn bộ lưu lượng của hồ sơ.

Lỗi 4: Mua proxy rẻ tiền mà không kiểm tra tính tương thích với TLS

Trên thị trường có những nhà cung cấp proxy sử dụng thiết bị hoặc phần mềm lỗi thời, không được cập nhật cho TLS 1.3. Proxy hoạt động về mặt kỹ thuật — các trang mở ra — nhưng dấu vân tay TLS bị hỏng. Trước khi mua proxy, luôn kiểm tra nó qua browserleaks.com trong hồ sơ thử nghiệm của trình duyệt chống phát hiện.

Lỗi 5: Không cập nhật trình duyệt chống phát hiện

Các nhà phát triển Dolphin Anty, AdsPower, GoLogin và Multilogin thường xuyên cập nhật động cơ trình duyệt và thuật toán tạo dấu vân tay TLS. Việc sử dụng phiên bản cũ của trình duyệt chống phát hiện có nghĩa là hồ sơ của bạn tạo ra các dấu vân tay không còn phù hợp với các phiên bản hiện tại của Chrome hoặc Firefox. Hãy cập nhật trình duyệt chống phát hiện ít nhất một lần mỗi tháng.

Điều gì tiếp theo: ECH và tương lai của TLS cho người dùng proxy

TLS tiếp tục phát triển, và bước quan trọng tiếp theo là ECH (Encrypted Client Hello). Mở rộng này mã hóa hoàn toàn ClientHello, tức là ẩn đi cả tên miền mà bạn đang kết nối. Google Chrome đã bắt đầu hỗ trợ ECH ở chế độ thử nghiệm.

Đối với người dùng proxy, điều này có nghĩa là:

• Ưu điểm: ECH sẽ làm phức tạp việc phát hiện ở cấp độ dấu vân tay TLS, vì một phần dữ liệu sẽ bị ẩn.
• Nhược điểm: Các hệ thống chống gian lận sẽ chuyển sang các phương pháp phát hiện khác — các mẫu hành vi, tốc độ yêu cầu, mẫu chuột và bàn phím.
• Đối với proxy: Cần cập nhật cơ sở hạ tầng của các nhà cung cấp để hỗ trợ ECH. Các nhà cung cấp chất lượng đã chuẩn bị cho sự chuyển đổi này.

Kết luận chính: công nghệ bảo vệ đang ngày càng phức tạp, và cuộc đua giữa các hệ thống chống gian lận và các công cụ ẩn danh vẫn tiếp tục. Đối với công việc thực tế, điều này có nghĩa là: hãy chọn các công cụ (proxy, trình duyệt chống phát hiện) đang phát triển và được cập nhật, thay vì đứng yên.

Kết luận

TLS 1.3 không chỉ là một bản cập nhật kỹ thuật của giao thức. Đối với các nhà môi giới, chuyên gia SMM và người bán trên các thị trường, điều này ảnh hưởng trực tiếp đến sự sống còn của tài khoản và hiệu quả phân tích. Những kết luận chính từ bài viết này:

• Sử dụng proxy SOCKS5 thay vì HTTP — điều này giữ nguyên dấu vân tay TLS của trình duyệt.
• Thường xuyên kiểm tra phiên bản TLS và dấu vân tay JA3 qua browserleaks.com.
• Cập nhật hồ sơ trong các trình duyệt chống phát hiện lên các phiên bản hiện tại của Chrome/Firefox.
• Một IP — một hồ sơ, không có ngoại lệ.
• Chọn các nhà cung cấp proxy có cơ sở hạ tầng hỗ trợ TLS 1.3.

Nếu bạn làm việc với Facebook Ads, Instagram hoặc TikTok và muốn giảm thiểu rủi ro bị cấm liên quan đến phát hiện TLS, chúng tôi khuyên bạn nên sử dụng proxy cư trú qua giao thức SOCKS5 — chúng đảm bảo tính tương thích hoàn toàn với TLS 1.3 và không làm hỏng dấu vân tay của trình duyệt. Đối với các nhiệm vụ với TikTok Ads và tài khoản di động, lựa chọn tối ưu sẽ là proxy di động — các địa chỉ IP của chúng được các hệ thống chống gian lận coi là đáng tin cậy nhất.