Vấn đề của DNS thông thường
Mỗi lần bạn mở một trang web, thiết bị hỏi máy chủ DNS để đổi tên miền thành địa chỉ IP. DNS truyền thống gửi câu hỏi và câu trả lời không mã hóa qua cổng UDP 53.
Bất kỳ ai trên đường đi, như Wi-Fi quán cà phê, nhà mạng hay mã độc trên modem, đều thấy bạn đang tra những tên miền nào. Họ còn có thể trả về một địa chỉ khác, gọi là chiếm quyền DNS (DNS hijacking), dùng để lọc nội dung, chèn quảng cáo hoặc lừa đảo.
Nhiều mạng chặn website ngay ở tầng DNS bằng cách trả về câu trả lời sai hoặc trang cảnh báo. Cách này rẻ cho nhà vận hành và hầu hết người dùng không nhận ra.
DoH và DoT hoạt động thế nào
DNS over TLS (DoT) bọc truy vấn DNS trong mã hóa TLS trên một cổng riêng là 853. DNS over HTTPS (DoH) gửi truy vấn bên trong lưu lượng HTTPS bình thường ở cổng 443, trông giống mọi yêu cầu web khác.
Cả hai đều chống đọc trộm và sửa đổi truy vấn giữa thiết bị và máy chủ DNS. DoT dễ được quản trị mạng nhận diện và quản lý hơn; DoH khó chặn hơn và là cách mà hầu hết trình duyệt dùng.
Cả hai đều không giấu trang web khỏi chính máy chủ DNS, và địa chỉ IP đích cùng tên trang trong bước bắt tay TLS thường vẫn lộ với mạng trung gian.
- DoT: DNS mã hóa qua cổng 853, dùng trong DNS riêng tư của Android.
- DoH: DNS mã hóa bên trong HTTPS, dùng trong Chrome, Edge, Firefox và Windows 11.
- Cả hai: chống nghe lén và sửa đổi trên đường truyền.
- Không cái nào: giấu được lịch sử truy vấn khỏi nhà cung cấp DNS.
Cách bật DNS mã hóa
Trên Chrome hoặc Edge, vào Cài đặt, Quyền riêng tư và bảo mật, Bảo mật, bật Sử dụng DNS an toàn rồi chọn nhà cung cấp như Cloudflare hoặc Google. Trên Firefox, tìm DNS over HTTPS trong cài đặt và chọn mức bảo vệ tăng cường hoặc tối đa.
Trên Android 9 trở lên, vào Cài đặt, Kết nối, Cài đặt kết nối khác, DNS riêng tư (tên mục có thể khác tùy hãng), nhập tên máy chủ như one.one.one.one hoặc dns.google. Trên iPhone, DNS mã hóa được thêm bằng hồ sơ cấu hình hoặc ứng dụng của nhà cung cấp DNS. Trên Windows 11, đặt DNS thủ công rồi chuyển DNS over HTTPS sang Bật cho địa chỉ đó.
Router hỗ trợ DoH hoặc DoT sẽ bảo vệ mọi thiết bị cùng lúc, nhưng nhiều modem nhà mạng chưa có tính năng này.
DNS riêng tư Android: one.one.one.one hoặc dns.google
DoH (Cloudflare): https://cloudflare-dns.com/dns-query
DoH (Google): https://dns.google/dns-query
DoT (Quad9): dns.quad9.netCách kiểm tra đã hoạt động chưa
Chạy công cụ kiểm tra rò rỉ DNS. Khi đã bật DNS mã hóa trong trình duyệt, máy chủ DNS hiển thị phải thuộc nhà cung cấp bạn chọn, không phải nhà mạng.
Bạn cũng có thể so sánh bằng công cụ tra cứu DNS. Nếu một tên miền trên mạng thường trả về trang cảnh báo nhưng qua DNS mã hóa lại ra địa chỉ thật, mạng của bạn đang sửa câu trả lời DNS.
Lưu ý rằng ứng dụng ngoài trình duyệt vẫn có thể dùng DNS của hệ thống, trừ khi bạn bật DNS mã hóa ở cấp hệ điều hành.
Đánh đổi về quyền riêng tư và giới hạn
DNS mã hóa chuyển niềm tin từ mạng của bạn sang nhà cung cấp DNS. Hãy chọn nhà cung cấp có chính sách quyền riêng tư rõ ràng, và nhớ rằng họ vẫn thấy mọi tên miền bạn tra.
DNS mã hóa có thể vượt qua chặn bằng DNS, nhưng nhiều biện pháp chặn còn hoạt động ở tầng IP hoặc SNI, nên một số trang vẫn không vào được. Việc truy cập nội dung bị hạn chế cũng có thể chịu quy định pháp luật, bạn nên tìm hiểu quy định áp dụng với mình.
Tính năng quản lý trẻ em và bộ lọc bảo mật công ty dựa vào DNS có thể mất tác dụng khi thiết bị chuyển sang DNS mã hóa, vì vậy gia đình và doanh nghiệp nên dùng DNS lọc nội dung có hỗ trợ DoH hoặc DoT.
Câu hỏi thường gặp
DNS mã hóa có giống VPN không? Không. Nó chỉ bảo vệ truy vấn DNS; VPN mã hóa toàn bộ lưu lượng và đổi IP mà website nhìn thấy.
Có làm lướt web nhanh hơn không? Đôi khi nhanh hơn chút, đôi khi không. Lợi ích chính là quyền riêng tư và tính toàn vẹn chứ không phải tốc độ.
Có nên bật khi dùng Wi-Fi công cộng không? Nên. Đây là một trong những cách rẻ nhất để điểm phát Wi-Fi không đọc hay chuyển hướng truy vấn của bạn.