Cách cấu hình DNS mã hóa (DoH/DoT) để tránh bị theo dõi

Để cấu hình DNS mã hóa, bạn chỉ cần chọn một nhà cung cấp hỗ trợ DNS over HTTPS (DoH) hoặc DNS over TLS (DoT), rồi bật tính năng tương ứng trong trình duyệt, hệ điều hành hoặc router. Sau khi bật, các truy vấn tên miền của bạn không còn đi dưới dạng văn bản rõ, nên nhà mạng, quản trị Wi-Fi công cộng hay kẻ nghe lén trên đường truyền khó biết bạn đang truy cập trang nào. Bài này giải thích khác biệt giữa hai giao thức và hướng dẫn cấu hình trên từng nền tảng phổ biến.

Vì sao DNS truyền thống dễ bị theo dõi

Mỗi lần bạn gõ một địa chỉ web hay ứng dụng kết nối tới máy chủ, thiết bị phải hỏi DNS để đổi tên miền thành địa chỉ IP. DNS truyền thống gửi câu hỏi này qua cổng 53 bằng UDP, không mã hóa. Hệ quả:

• Bất kỳ ai nằm giữa đường truyền, như nhà mạng, chủ quán cà phê cung cấp Wi-Fi hay kẻ tấn công trong cùng mạng, đều đọc được danh sách tên miền bạn truy cập.
• Câu trả lời có thể bị giả mạo để chuyển hướng bạn tới trang lừa đảo.
• Dữ liệu truy vấn có thể bị ghi lại, phân tích hoặc dùng để chèn quảng cáo.

Ngay cả khi trang web dùng HTTPS, truy vấn DNS trước đó vẫn tiết lộ tên miền. Đó là lý do mã hóa DNS được xem là mảnh ghép còn thiếu của quyền riêng tư cơ bản.

DoH và DoT khác nhau ở điểm nào

Về độ an toàn của mã hóa, cả hai đều dựa trên TLS nên ngang nhau. Khác biệt chủ yếu nằm ở khả năng ẩn mình và cách triển khai. Muốn hiểu thêm về lớp TLS bên dưới, xem bài chứng chỉ SSL/TLS hoạt động trên website.

Chọn nhà cung cấp DNS mã hóa

Mã hóa chỉ giấu truy vấn khỏi người ở giữa; nhà cung cấp DNS vẫn thấy toàn bộ. Vì vậy, chọn ai là quyết định về niềm tin. Một số tiêu chí:

• Chính sách lưu nhật ký: nhà cung cấp có công bố rõ dữ liệu nào được lưu, lưu bao lâu, có bán hay chia sẻ không.
• Kiểm toán độc lập: một số dịch vụ đã công khai kết quả đánh giá của bên thứ ba.
• Tính năng lọc: có tùy chọn chặn mã độc, lừa đảo, quảng cáo hay nội dung người lớn nếu bạn cần.
• Hỗ trợ DNSSEC: giúp xác thực câu trả lời DNS không bị sửa đổi.
• Vị trí máy chủ: máy chủ gần bạn giúp độ trễ thấp.

Hướng dẫn cấu hình trên từng nền tảng

Trình duyệt Chrome, Edge, Firefox

Trong phần Cài đặt > Quyền riêng tư và bảo mật, tìm mục "Sử dụng DNS bảo mật" (Chrome, Edge) hoặc "DNS qua HTTPS" (Firefox). Chọn nhà cung cấp có sẵn trong danh sách hoặc nhập địa chỉ DoH tùy chỉnh dạng https://.../dns-query. Cách này chỉ bảo vệ truy vấn của trình duyệt đó, không áp dụng cho ứng dụng khác.

Windows 11

Vào Cài đặt > Mạng và Internet > chọn kết nối Wi-Fi hoặc Ethernet > Gán máy chủ DNS > Chỉnh sửa. Đặt chế độ thủ công, nhập địa chỉ IP DNS của nhà cung cấp, sau đó chọn "Chỉ mã hóa (DNS qua HTTPS)". Windows sẽ tự nhận mẫu DoH với các nhà cung cấp phổ biến; với nhà cung cấp khác bạn có thể cần nhập mẫu thủ công.

Android

Từ Android 9, vào Cài đặt > Mạng và Internet > DNS riêng tư (Private DNS), chọn "Tên máy chủ của nhà cung cấp DNS riêng tư" và nhập tên máy chủ DoT. Thiết lập này áp dụng cho toàn bộ hệ thống, cả Wi-Fi lẫn dữ liệu di động. Đây cũng là bước quan trọng trong việc chặn theo dõi quảng cáo trên smartphone.

iPhone, iPad và macOS

Apple hỗ trợ DoH và DoT thông qua hồ sơ cấu hình. Tải hồ sơ từ trang chính thức của nhà cung cấp DNS, mở Cài đặt để cài và kích hoạt. Kiểm tra trong Cài đặt > Chung > VPN & Quản lý thiết bị > DNS. Chỉ cài hồ sơ từ nguồn bạn tin cậy, vì hồ sơ cấu hình có quyền thay đổi cách thiết bị kết nối mạng.

Router gia đình

Một số router và firmware mã nguồn mở hỗ trợ DoT hoặc DoH, giúp mọi thiết bị trong nhà, kể cả TV thông minh và thiết bị IoT không tự cấu hình được, đều được bảo vệ. Nếu router không hỗ trợ, có thể dùng một máy chủ nhỏ trong nhà chạy dịch vụ chuyển tiếp DNS mã hóa.

Kiểm tra xem DNS mã hóa đã hoạt động chưa

1. Nhiều nhà cung cấp có trang kiểm tra riêng, cho biết bạn đang dùng dịch vụ của họ qua giao thức nào.
2. Dùng các công cụ kiểm tra rò rỉ DNS trực tuyến để xem truy vấn đang được trả lời bởi máy chủ nào.
3. Trên Firefox, trang about:networking có mục DNS cho biết truy vấn có đi qua TRR (DoH) hay không.

Nếu kết quả vẫn hiển thị máy chủ của nhà mạng, có thể một cấu hình khác đang ghi đè, chẳng hạn VPN, phần mềm diệt virus hoặc chính sách doanh nghiệp.

DNS mã hóa không làm được gì

Cần đặt kỳ vọng đúng để không chủ quan:

• Địa chỉ IP đích vẫn hiển thị với nhà mạng. Nhiều trang chia sẻ IP, nhưng các dịch vụ lớn vẫn có thể bị suy ra.
• Tên miền có thể lộ qua trường SNI trong bắt tay TLS, trừ khi trang web và trình duyệt hỗ trợ Encrypted Client Hello (ECH).
• Nó không ẩn danh tính của bạn với trang web, không thay thế VPN hay Tor. Nếu cần che cả địa chỉ IP, xem bài so sánh VPN và Proxy.
• Trong mạng công ty hoặc trường học, việc vượt qua DNS nội bộ có thể vi phạm quy định; hãy tuân thủ chính sách của tổ chức.

Để đọc thêm góc nhìn tổng quan về giao thức, bạn có thể tham khảo bài phân tích cách DNS over HTTPS bảo vệ truy vấn tên miền.

Gợi ý cấu hình theo nhu cầu

• Người dùng cá nhân, một vài thiết bị: bật Private DNS trên điện thoại và DNS bảo mật trong trình duyệt máy tính.
• Gia đình có trẻ nhỏ: cấu hình ở router với dịch vụ có bộ lọc nội dung.
• Người hay dùng Wi-Fi công cộng: bật DoH/DoT trên mọi thiết bị, cân nhắc thêm VPN.
• Quản trị viên doanh nghiệp: triển khai DNS resolver nội bộ hỗ trợ DoT, đồng thời quản lý chính sách trình duyệt để tránh DoH vượt qua hệ thống giám sát.

Chỉ mất vài phút cấu hình, DNS mã hóa loại bỏ một kênh rò rỉ thông tin âm thầm mà hầu hết người dùng không nhận ra.