Trước khi điện thoại mở được một trang web hay một app kết nối được tới máy chủ của nó, thiết bị phải hỏi một câu đơn giản: "Tên này có địa chỉ IP là gì?" Câu hỏi đó được gửi tới Hệ thống Tên miền, tức DNS. Việc này diễn ra nhiều lần mỗi phút, gần như vô hình, và nói lên khá nhiều điều về những gì bạn làm trên mạng.

Bài viết này giải thích DNS tiết lộ những gì, DNS được dùng để chặn ra sao, DNS mã hoá (DoH và DoT) thay đổi điều gì, DNS phối hợp với VPN thế nào, cũng như "rò rỉ DNS" là gì và cách kiểm tra.

DNS là gì và tiết lộ những gì

Hãy hình dung DNS như danh bạ điện thoại của Internet. Bạn gõ một cái tên như example.com; một máy chủ phân giải DNS (resolver), thường do nhà mạng cố định hoặc di động vận hành, tra ra con số (địa chỉ IP) rồi gửi lại. Sau đó thiết bị của bạn kết nối tới địa chỉ này.

DNS truyền thống được thiết kế từ hàng chục năm trước và gửi các câu hỏi này không mã hoá. Nghĩa là bất kỳ ai nằm trên đường truyền, kể cả bên vận hành mạng Wi-Fi và nhà mạng của bạn, đều có thể thấy:

  • Bạn tra những tên miền nào, và vào lúc nào.
  • App nào đang hoạt động, vì nhiều app liên lạc với máy chủ riêng của chúng ở chế độ nền.
  • Thói quen theo thời gian, chẳng hạn bạn thức dậy lúc nào hay dùng dịch vụ gì mỗi ngày.

HTTPS mã hoá nội dung trang web, nhưng không mã hoá bước tra cứu này. Vì vậy, dù trình duyệt hiện biểu tượng ổ khoá, DNS thông thường vẫn có thể để lộ tên những trang bạn truy cập.

Chặn ở tầng DNS hoạt động thế nào

Vì mọi kết nối thường bắt đầu bằng một lượt tra DNS, DNS là chỗ dễ để hạn chế truy cập. Máy chủ phân giải có thể trả về địa chỉ sai, báo lỗi hoặc không trả lời gì, và app đơn giản là không kết nối được.

Một ví dụ gần đây: ngày 12/2/2026, Reuters đưa tin một số tên miền gắn với WhatsApp biến mất khỏi sổ đăng ký tên miền quốc gia của Nga, và các thiết bị ở Nga không còn nhận được địa chỉ IP của app này. Không có địa chỉ, app không thể kết nối tới máy chủ.

DNS chỉ là một trong nhiều lớp được dùng để hạn chế. Bên quản lý mạng còn có thể lọc theo địa chỉ IP hoặc soi lưu lượng, nên riêng việc đổi cài đặt DNS thường không thay đổi được bao nhiêu. Bài viết này giải thích cách công nghệ vận hành; hãy tìm hiểu luật địa phương trước khi thay đổi cách bạn kết nối.

DNS mã hoá: DoH và DoT

Có hai tiêu chuẩn mã hoá câu hỏi và câu trả lời DNS giữa thiết bị của bạn và máy chủ phân giải.

DNS over TLS (DoT)

RFC 7858, được IETF công bố vào tháng 5/2016, định nghĩa DNS over TLS. Chuẩn này bọc DNS trong lớp mã hoá TLS giống HTTPS, trên một cổng riêng là 853. Vì dùng cổng riêng, bên vận hành mạng có thể biết bạn đang dùng DNS mã hoá, dù không đọc được các lượt tra cứu.

DNS over HTTPS (DoH)

RFC 8484, công bố vào tháng 10/2018, quy định việc gửi truy vấn và câu trả lời DNS qua HTTPS, mỗi cặp truy vấn – trả lời được xử lý như một lượt trao đổi HTTP bình thường. Nhìn từ phía mạng, DoH trông rất giống lưu lượng web thông thường.

Mã hoá thay đổi gì và không thay đổi gì

  • Che giấu các lượt tra cứu trước mạng Wi-Fi và những bên khác trên đường truyền.
  • Máy chủ phân giải vẫn thấy chúng. Bạn chỉ chuyển niềm tin từ máy chủ phân giải của nhà mạng sang máy chủ do bạn chọn, nên hãy chọn nhà cung cấp có chính sách quyền riêng tư mà bạn thấy yên tâm.
  • Kết nối sau bước tra cứu vẫn lộ ra. Thiết bị của bạn vẫn kết nối tới địa chỉ IP của trang web, và điều đó có thể tiết lộ khá nhiều.

DNS mã hoá trên thiết bị của bạn

Android. Ngày 17/4/2018, Google công bố hỗ trợ DNS over TLS, gọi là Private DNS (DNS riêng tư), cho Android P (Android 9). Bạn có thể tìm tuỳ chọn này trong phần cài đặt mạng, thường ở mục Private DNS, nơi bạn có thể để chế độ tự động, tắt đi hoặc nhập tên máy chủ của một nhà cung cấp. Tên menu khác nhau tuỳ hãng điện thoại.

Chrome. Theo trang Trợ giúp Google Chrome, tuỳ chọn "Sử dụng DNS bảo mật" của Chrome mặc định bật ở chế độ tự động. Nếu Chrome gặp trục trặc khi tra một trang ở chế độ này, trình duyệt sẽ quay về cách tra cứu thông thường, không được bảo vệ. Nếu bạn chọn một nhà cung cấp tuỳ chỉnh, Chrome sẽ không quay về như vậy. Tính năng này không có trên thiết bị được quản lý hoặc khi đang bật kiểm soát của cha mẹ.

Điểm quan trọng: cài đặt trong trình duyệt chỉ bảo vệ trình duyệt đó, còn cài đặt hệ thống như Private DNS có tác dụng rộng hơn trên thiết bị.

DNS phối hợp với VPN thế nào, và rò rỉ DNS là gì

Khi VPN đã kết nối, thiết bị của bạn nên gửi các lượt tra DNS qua đường hầm được mã hoá tới máy chủ phân giải do VPN chọn, chứ không phải tới máy chủ phân giải của mạng nội bộ. Khi đó, nhà mạng chỉ thấy bạn đang kết nối tới một máy chủ VPN.

Rò rỉ DNS xảy ra khi một số lượt tra cứu thoát ra khỏi đường hầm và vẫn đi tới máy chủ phân giải của nhà mạng. VPN vẫn chuyển lưu lượng của bạn, nhưng danh sách các trang bạn truy cập lại bị lộ. Nguyên nhân thường gặp:

  • Thiết bị hoặc app được cấu hình dùng một máy chủ DNS cụ thể, bỏ qua VPN.
  • Những khoảnh khắc ngắn khi đường hầm kết nối lại, chẳng hạn lúc chuyển từ Wi-Fi sang dữ liệu di động, nếu không có gì chặn lưu lượng ở giữa. Kill switch (tính năng tự ngắt Internet khi VPN rớt) xử lý chuyện này; xem kill switch của VPN làm gì.
  • Chia đường hầm (split tunneling), khi một số app được cố ý cho đi qua kết nối thông thường.

Private DNS trên Android và VPN có thể cùng bật. Máy chủ phân giải nào thực sự trả lời phụ thuộc vào hệ thống và app VPN của bạn, nên muốn biết chắc thì hãy kiểm tra.

VPNRice còn dùng DNS theo một cách khác: tính năng chặn quảng cáo và trình theo dõi, nếu gói của bạn có, là một bộ lọc DNS chặn các tên miền quảng cáo, theo dõi và mã độc đã biết cho các app trên thiết bị.

Cách kiểm tra rò rỉ

  1. Kết nối VPN rồi mở một trang kiểm tra rò rỉ DNS trên trình duyệt. Trang này hiện các máy chủ phân giải đã trả lời lượt tra cứu của bạn.
  2. Tra các địa chỉ máy chủ phân giải bằng công cụ Tra cứu IP của chúng tôi. Nếu chúng thuộc về nhà cung cấp Internet gia đình hoặc nhà mạng di động của bạn trong khi VPN đang bật, các lượt tra cứu đang bị rò rỉ.
  3. Kiểm tra phần còn lại của trình duyệt bằng công cụ Kiểm tra rò rỉ WebRTC, vốn xem xét một kiểu rò rỉ khác: địa chỉ bị lộ qua WebRTC. Bài kiểm tra IP và rò rỉ WebRTC giải thích cách đọc kết quả.
  4. Lặp lại sau khi đổi mạng, chẳng hạn từ Wi-Fi sang dữ liệu di động.

Nếu thấy rò rỉ, hãy kiểm tra các cài đặt DNS tuỳ chỉnh trong trình duyệt hoặc app, cập nhật app VPN rồi kiểm tra lại.

Những điểm chính

  • Các lượt tra DNS tiết lộ bạn dùng trang và dịch vụ nào; DNS thông thường không được mã hoá.
  • DNS là chỗ hay được dùng để chặn, nhưng hiếm khi là chỗ duy nhất.
  • DoT (RFC 7858) và DoH (RFC 8484) che các lượt tra cứu trước mạng, nhưng máy chủ phân giải vẫn thấy chúng.
  • Khi dùng VPN, các lượt tra cứu nên đi qua đường hầm; hãy kiểm tra sau khi kết nối và sau khi đổi mạng.
  • Để hiểu các giao thức VPN bảo vệ phần còn lại của lưu lượng ra sao, xem bài WireGuard và các giao thức VPN hiện đại.