IPdidi
Tiếng Việt

DNS leak là gì và khắc phục thế nào?

Kể cả khi bật VPN, thiết bị của bạn vẫn có thể hỏi nhà mạng về mọi trang web bạn truy cập. Đó là rò rỉ DNS. Dưới đây là cách phát hiện và chặn nó.

DNS trong 30 giây

Trước khi mở một trang web, thiết bị phải chuyển tên như example.com thành địa chỉ IP. Nó làm việc này bằng cách hỏi một DNS resolver (máy chủ phân giải DNS), thường do nhà mạng vận hành. Resolver thấy mọi tên miền bạn tra cứu, thời điểm tra cứu và địa chỉ IP của bạn.

DNS leak là gì?

Khi dùng VPN, các truy vấn đó phải đi qua đường hầm mã hóa tới resolver riêng của VPN. DNS leak (rò rỉ DNS) xảy ra khi chúng đi vòng ra ngoài đường hầm, thẳng tới nhà mạng hoặc một resolver bên ngoài khác.

Bản thân lưu lượng của bạn vẫn được mã hóa, nhưng resolver có thể thấy danh sách mọi trang bạn truy cập, và bất kỳ ai theo dõi kết nối của bạn cũng thấy. Ở một số quốc gia, nhà mạng dùng DNS để chặn web, nên rò rỉ còn có thể khiến trang bị chặn vẫn không vào được dù đã bật VPN.

DNS leak không làm thay đổi địa chỉ IP mà trang web nhìn thấy. Nó để lộ những trang bạn truy cập cho nhà mạng. Vì vậy chỉ kiểm tra IP thôi thì không phát hiện được.

Cách kiểm tra DNS leak

  1. Kết nối VPN.
  2. Mở công cụ kiểm tra DNS leak. Công cụ khiến trình duyệt tra cứu vài tên ngẫu nhiên mà chỉ máy chủ kiểm tra của chúng tôi trả lời được, rồi ghi lại resolver nào đã hỏi.
  3. Xem danh sách resolver hiển thị.

Không rò rỉ: mọi resolver đều thuộc nhà cung cấp VPN, hoặc nằm cùng quốc gia với máy chủ VPN bạn đang đi ra.

Bị rò rỉ: bạn thấy resolver của nhà mạng mình, hoặc ở chính quốc gia của bạn trong khi máy chủ VPN ở nơi khác.

Các resolver công cộng lớn như Google (8.8.8.8) và Cloudflare (1.1.1.1) có máy chủ khắp thế giới. Với những resolver này, công cụ còn hiển thị client subnet mà resolver chuyển tiếp, thứ có thể làm lộ mạng thật của bạn ngay cả khi resolver trông có vẻ trung lập.

Nguyên nhân gây DNS leak

Cách khắc phục DNS leak

Bắt đầu từ bước đầu tiên và kiểm tra lại sau mỗi bước.

  1. Bật chống rò rỉ DNS trong VPN. Phần lớn ứng dụng VPN tốt có tùy chọn DNS leak protection, "chỉ dùng DNS của VPN" hoặc tương tự. Bật luôn cả kill switch.
  2. Bật chống rò rỉ IPv6 hoặc chặn IPv6 trong ứng dụng VPN. Xem IPv4 và IPv6 để biết lý do.
  3. Đặt DNS trong cấu hình VPN. Với WireGuard, thêm dòng DNS = vào phần [Interface]. Với OpenVPN, dùng block-outside-dns trên Windows.
  4. Với công cụ proxy, bật chế độ TUN (Clash, sing-box và các công cụ khác gọi là TUN, enhanced mode hoặc VPN mode) và bật phần xử lý DNS của chúng, để mọi truy vấn đi qua proxy.
  5. Kiểm tra cài đặt DNS bảo mật của trình duyệt. Trong Chrome hoặc Edge, mục này nằm ở Cài đặt > Quyền riêng tư và bảo mật > Bảo mật > Sử dụng DNS an toàn. Tắt nó để dùng resolver của VPN, hoặc đặt sang resolver bạn tin tưởng.
  6. Đổi DNS hệ thống sang một resolver công cộng làm phương án dự phòng. Cách này không khắc phục rò rỉ tới resolver đó, nhưng ngăn nhà mạng thấy các truy vấn của bạn.

Sau đó chạy lại công cụ kiểm tra DNS leak. Để kiểm tra VPN toàn diện, gồm cả WebRTC và IPv6, xem cách kiểm tra VPN có hoạt động không.

Câu hỏi thường gặp

DNS leak có nguy hiểm không?

Nó làm lộ những trang bạn truy cập, không phải mật khẩu hay nội dung trang, vốn vẫn được HTTPS bảo vệ. Dù vậy, nếu bạn dùng VPN vì quyền riêng tư, rò rỉ DNS làm mất phần lớn ý nghĩa của nó.

DNS leak có làm lộ IP thật của tôi không?

Gián tiếp. Resolver của nhà mạng thấy IP thật của bạn, và các resolver chuyển tiếp client subnet cho máy chủ DNS của trang web biết đại khái bạn ở đâu. Bản thân trang web không thấy IP của bạn qua DNS.

Dùng 1.1.1.1 hoặc 8.8.8.8 có chống được DNS leak không?

Không. Nó chỉ thay đổi người thấy truy vấn của bạn, từ nhà mạng sang Cloudflare hoặc Google, nhưng các truy vấn đó vẫn có thể đi ra ngoài VPN. Chỉ có định tuyến DNS qua VPN mới chặn được rò rỉ.

Vì sao kết quả hiển thị máy chủ ở quốc gia khác?

Các resolver lớn gửi truy vấn từ trung tâm dữ liệu gần bạn hoặc gần máy chủ VPN nhất, có thể nằm ở nước láng giềng. Hãy xem tên mạng: nếu đó là nhà cung cấp VPN hoặc một resolver công cộng lớn gần máy chủ VPN thì không sao.