DNS dịch các tên miền thân thiện với người dùng thành địa chỉ IP thân thiện với máy tính. DNS riêng tư mã hóa các truy vấn DNS từ thiết bị đến máy chủ DNS. Khi được sử dụng với dịch vụ DNS của bên thứ ba tôn trọng quyền riêng tư, DNS riêng tư có thể cải thiện quyền riêng tư trực tuyến. Tuy nhiên, DNS riêng tư không cần thiết khi sử dụng VPN và thực tế có thể làm cho kết nối VPN kém an toàn hơn.

Trong bài viết này, trọng tâm sẽ là tìm hiểu DNS riêng tư là gì, cách dịch vụ này giúp bảo vệ quyền riêng tư và cách kích hoạt trên thiết bị, cũng như lý do không nên sử dụng cùng với VPN.

DNS là gì?

Hệ thống phân giải tên miền (DNS) ánh xạ các tên miền thân thiện với người dùng thành các địa chỉ IP dạng số thân thiện với máy tính tương ứng.

Ví dụ: trang web Proton VPN sử dụng tên miền protonvpn.com, tương ứng với địa chỉ IP 185.159.159.140. Khi nhập www.protonvpn.com vào thanh URL của trình duyệt, tên miền phải được chuyển đổi thành địa chỉ IP tương ứng để máy tính có thể hiểu được.

Quá trình chuyển đổi này thường được thực hiện bởi các máy chủ DNS đặc biệt do nhà cung cấp dịch vụ internet (ISP) vận hành.

Tìm hiểu thêm về DNS

Tại sao DNS lại gây ra vấn đề về quyền riêng tư và kiểm duyệt

Bất kỳ bên nào phân giải truy vấn DNS đều có thể biết được những trang web được truy cập (nhưng không biết được hoạt động trên đó). Trừ khi sử dụng VPN hoặc chủ động thay đổi cài đặt DNS, ISP sẽ là bên phân giải các truy vấn DNS đó.

Cần lưu ý rằng, theo mặc định, ISP có thể giám sát hoạt động trực tuyến, ngay cả khi không phân giải truy vấn DNS. Tuy nhiên, đây là cách dễ nhất (và do đó ít tốn kém nhất) để họ ghi nhật ký lịch sử duyệt web.

Do đó, hầu hết các ISP có ghi nhật ký lịch sử duyệt web của khách hàng (hầu hết các ISP đều làm vậy) thường chọn phương án dễ dàng nhất, đó là chỉ ghi lại các bản ghi DNS của khách hàng. Ở hầu hết các khu vực pháp lý, mức độ ghi nhật ký tối thiểu này cho phép các ISP đáp ứng mọi nghĩa vụ pháp lý về việc ghi nhật ký lịch sử duyệt web của người dùng.

Tương tự, khi chính phủ muốn kiểm duyệt nội dung internet vì lý do xã hội, tôn giáo, chính trị hoặc “đạo đức”, họ sẽ yêu cầu các ISP trong nước thực hiện các biện pháp chặn này. Và cách dễ nhất để làm việc này là chặn các truy vấn DNS đến các trang web và ứng dụng cụ thể. Việc sử dụng trình phân giải DNS của bên thứ ba quốc tế có thể vượt qua các biện pháp chặn kiểm duyệt đơn giản (nhưng hiệu quả) này.

DNS can be used to defeat censorship

Hình vẽ graffiti ở Istanbul, khuyến khích mọi người sử dụng máy chủ DNS của Google để vượt qua đợt đàn áp kiểm duyệt của chính phủ vào năm 2014(cửa sổ mới)

Chế độ DNS riêng tư là gì?

Không giống như hầu hết các kết nối đến trang web được bảo vệ bởi HTTPS(cửa sổ mới), các truy vấn DNS thường được gửi dưới dạng văn bản thuần túy không được mã hóa. Điều này có nghĩa là bất kỳ ai có quyền truy cập vào các truy vấn DNS (chẳng hạn như ISP) đều có thể đọc được chúng, ngay cả khi chúng được phân giải bởi bên thứ ba.

Nếu một ISP nỗ lực hơn để theo dõi khách hàng của mình (như có thể được yêu cầu bởi một chính phủ hạn chế hơn), họ chỉ cần giám sát và ghi nhật ký các truy vấn DNS đến các trình phân giải của bên thứ ba. Bằng cách sử dụng công nghệ tinh vi hơn, họ cũng có thể thực hiện kiểm duyệt bằng cách lọc các truy vấn này.

DNS riêng tư ngăn chặn điều này bằng cách mã hóa các truy vấn DNS khi chúng truyền giữa thiết bị và máy chủ DNS của bên thứ ba. Điều này đảm bảo rằng ISP (hoặc bất kỳ ai khác đang giám sát kết nối internet) không thể xem các truy vấn DNS.

Do đó, DNS riêng tư đại diện cho một cải tiến đáng kể về quyền riêng tư và bảo mật DNS so với các truy vấn DNS không được mã hóa truyền thống. Tuy nhiên, dịch vụ này cũng có một số hạn chế sẽ được thảo luận ở phần sau.

Các giao thức DNS riêng tư

DNS riêng tư hoạt động nhờ sử dụng một trong ba giao thức bảo mật: DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) và DNSCrypt.

DNS-over-TLS

DoT mã hóa các truy vấn DNS bằng giao thức Transport Layer Security(cửa sổ mới) (TLS), đảm bảo dữ liệu không dễ dàng bị chặn hoặc thay đổi. DoT chạy trên cổng 853, giúp các mạng dễ dàng chặn hoặc giám sát riêng lưu lượng DoT vì lưu lượng này không trộn lẫn với các loại lưu lượng khác.

Điều này khiến DoT trở thành lựa chọn ưu tiên trên các mạng muốn có quyền kiểm soát nhất định đối với lưu lượng truyền qua. DoT cũng ít phức tạp hơn để triển khai ở cấp độ máy chủ so với DoH.

DNS-over-HTTPS

DoH sử dụng HTTPS, giao thức bảo mật mọi thông tin nhạy cảm trên internet, để mã hóa các truy vấn DNS. Giống như DoT, DoH sử dụng TLS để mã hóa các truy vấn DNS, nhưng các kết nối DoH được chạy qua cổng 443 để trộn lẫn với lưu lượng web HTTPS thông thường. Điều này khiến những người quan sát khó phân biệt lưu lượng DNS với các loại lưu lượng web khác, giúp DoH riêng tư hơn và có khả năng chống kiểm duyệt tốt hơn DoT.

Tìm hiểu thêm về HTTPS(cửa sổ mới)

DNSCrypt

Giao thức DNS riêng tư lâu đời nhất, DNSCrypt, rất giống với DoH, nhưng có thêm một số tính năng cải tiến so với DoH. Tuy nhiên, DNSCrypt không được hỗ trợ rộng rãi bởi các hệ điều hành và trình duyệt, do đó yêu cầu phải chạy phần mềm của bên thứ ba(cửa sổ mới).

Vậy giao thức nào tốt nhất? Tất cả các giao thức DNS riêng tư này đều mang lại những cải tiến lớn về quyền riêng tư và bảo mật so với việc không sử dụng DNS riêng tư và có tác động không đáng kể đến tốc độ duyệt web. Có những lý do chính đáng để một số mạng ưu tiên DoT, nhưng đối với hầu hết người dùng cuối, quyền riêng tư cao hơn mà DoH mang lại khiến giao thức này trở thành lựa chọn tốt hơn trong cả hai.

Về nhiều mặt, và mặc dù là tùy chọn lâu đời nhất, DNSCrypt vẫn là tùy chọn tốt nhất về quyền riêng tư. Tuy nhiên, việc thiếu sự hỗ trợ trong toàn bộ hệ sinh thái DNS đã làm hạn chế sức hút của giao thức này. Trong phần còn lại của bài viết, trọng tâm sẽ là DoT và DoH, vì các giao thức này không yêu cầu tải xuống phần mềm bổ sung.

DNS riêng tư không riêng tư bằng VPN

DNS riêng tư mang lại một số lợi thế về quyền riêng tư, nhưng những lợi thế này chỉ có tác dụng khi các ISP (thường là theo lệnh của chính phủ) nhắm vào các mục tiêu dễ dàng và không thực sự nỗ lực kiểm duyệt nội dung hoặc theo dõi người dùng. Mặc dù cần thêm nỗ lực, ISP vẫn có thể truy vết các kết nối để xác định lịch sử duyệt web và có thể trực tiếp chặn lưu lượng truy cập đến các địa chỉ IP cụ thể.

Để ngăn ISP xem hoạt động trực tuyến (và do đó có khả năng kiểm duyệt hoạt động đó), nên sử dụng VPN. Việc này sẽ mã hóa kết nối giữa thiết bị và máy chủ VPN, để ISP không thể xem nội dung dữ liệu. Các truy vấn DNS được định tuyến qua kết nối được mã hóa (còn gọi là đường hầm VPN) để được phân giải bởi nhà cung cấp VPN, vì vậy ISP không thể biết trang web hoặc tài nguyên nào khác được truy cập trên internet.

How a VPN works on your iPhone

Tương tự, các trang web được truy cập không thể thấy địa chỉ IP thực. Tất cả những gì chúng có thể thấy là địa chỉ IP của máy chủ VPN.

ISP và các trang web được truy cập sẽ thấy địa chỉ IP của máy chủ VPN

Do đó, VPN cung cấp quyền riêng tư cao hơn nhiều so với dịch vụ DNS riêng tư.

Tải Proton VPN

Không sử dụng đồng thời DNS riêng tư và VPN

Tất cả các nhà cung cấp VPN tốt đều vận hành các máy chủ DNS riêng của họ. Khi sử dụng VPN, các yêu cầu DNS được định tuyến qua đường hầm VPN và được phân giải bởi dịch vụ VPN. Vì đường hầm VPN đã được mã hóa, các yêu cầu DNS sẽ được mã hóa mà không cần đến giao thức DNS riêng tư.

Hơn nữa, việc cấu hình bất kỳ dịch vụ DNS của bên thứ ba nào trên hệ thống sẽ làm tăng khả năng các yêu cầu DNS bị định tuyến ra ngoài đường hầm VPN. DNS riêng tư làm tăng khả năng xảy ra điều này, bởi vì việc mã hóa các truy vấn DNS khiến các biện pháp bảo vệ DNS do phần mềm VPN sử dụng khó đảm bảo chúng được định tuyến chính xác qua đường hầm VPN.

Vì vậy, không chỉ không cần thiết sử dụng DNS riêng tư khi dùng VPN, điều này còn có thể gây ra rò rỉ DNS.

Cách sử dụng DNS riêng tư

Để sử dụng DNS riêng tư, trước tiên phải chọn một trình phân giải DNS hỗ trợ DoT hoặc DoH (cũng có thể tự lưu trữ máy chủ DNS, nhưng việc này đòi hỏi kiến thức kỹ thuật chuyên sâu). Các dịch vụ DNS phổ biến hỗ trợ DNS riêng tư và ít nhiều có cam kết bảo vệ quyền riêng tư bao gồm:

  • Cloudflare 1.1.1.1 — Dịch vụ DNS thương mại lớn này chỉ thu thập “dữ liệu truy vấn DNS ẩn danh được gửi đến Cloudflare Resolver”. Cloudflare hỗ trợ DoT và DoH. 
  • Quad9 — Dịch vụ DNS phi lợi nhuận không thu thập bất kỳ thông tin nhận dạng cá nhân nào của người dùng. Quan trọng là địa chỉ IP của người dùng không được lưu trữ khi thực hiện truy vấn. Quad9 hỗ trợ DoH.
  • OpenNIC — Tự nhận là nhà cung cấp DNS phi tập trung, mở, không bị kiểm duyệt và dân chủ, OpenNIC là một tập hợp các máy chủ DNS do tình nguyện viên vận hành trên khắp thế giới. Khác với hầu hết các dịch vụ DNS, nơi một địa chỉ DNS duy nhất (như 1.1.1.1) sẽ kết nối với mạng lưới máy chủ DNS, với OpenNIC, người dùng chọn một máy chủ DNS riêng lẻ để kết nối. Chính sách lưu nhật ký và việc có hỗ trợ DNS riêng tư hay không (thường dưới dạng giao thức DNSCrypt cũ hơn) hoàn toàn phụ thuộc vào người vận hành máy chủ DNS được chọn. 

Sau khi chọn nhà cung cấp DNS, có hai tùy chọn. Có thể cấu hình hệ điều hành (HĐH) để định tuyến tất cả truy vấn DNS đến nhà cung cấp đã chọn, hoặc chỉ cấu hình trình duyệt để sử dụng dịch vụ DNS riêng tư.

Tất cả các hệ điều hành hiện đại đều hỗ trợ DoT hoặc DoH (hoặc cả hai), tương tự với tất cả các trình duyệt hiện đại. Theo mặc định, Firefox tự động kết nối với máy chủ Cloudflare 1.1.1.1 bằng DoH.

Chế độ DNS riêng tư được kích hoạt theo mặc định trong trình duyệt Firefox

Nhận định cuối cùng về DNS riêng tư

DNS riêng tư bảo mật, riêng tư và chống kiểm duyệt tốt hơn nhiều so với DNS không được mã hóa thông thường, và ít nhất một số nhà cung cấp DNS quan tâm đến quyền riêng tư nhiều hơn so với ISP. Vì vậy, nếu không sử dụng VPN, nên cấu hình hệ thống hoặc trình duyệt để sử dụng dịch vụ DNS đáng tin cậy có hỗ trợ DNS riêng tư.

Tuy nhiên, VPN cung cấp quyền riêng tư cao hơn nhiều và hiệu quả hơn nhiều trong việc vượt qua kiểm duyệt so với việc sử dụng DNS riêng tư. Chỉ cần lưu ý rằng không nên (và không cần thiết) sử dụng DNS riêng tư khi dùng VPN.