DNS over HTTPS là gì? Bật DoH trên Windows, Chrome, Firefox

DNS over HTTPS, gọi tắt là DoH, là cách gửi truy vấn DNS bên trong kết nối HTTPS được mã hoá, thay vì gửi dạng rõ như DNS truyền thống. Nhờ vậy, nhà mạng hay người dùng chung Wi-Fi không đọc được danh sách tên miền anh em truy cập, và khó giả mạo kết quả DNS. Bài này ProxyVN giải thích cách DoH hoạt động, so sánh với DoT và DNS thường, hướng dẫn bật trên Windows 11, Chrome, Firefox, Android, và phân tích DoH có tác dụng gì khi đang dùng proxy. Tham khảo dịch vụ tại ProxyVN.

Tổng quan về DNS over HTTPS

Muốn hiểu vì sao cần DoH, anh em cần biết DNS thường hoạt động thế nào và hở ở chỗ nào. Phần này đi qua ba ý: vấn đề của DNS thường, DoH giải quyết ra sao, và DoH không giải quyết được gì.

DNS thường hở ở đâu

Mỗi lần mở một trang web, máy tính hỏi máy chủ DNS địa chỉ IP của tên miền đó. Với DNS truyền thống, câu hỏi và câu trả lời đi dạng rõ qua UDP hoặc TCP cổng 53. Bất kỳ ai đứng trên đường truyền, như nhà mạng, quản trị mạng Wi-Fi công cộng, hay phần mềm độc hại trên modem, đều đọc được anh em đang hỏi tên miền nào. Họ còn có thể sửa câu trả lời để chuyển anh em sang IP khác.

Nhiều lỗi kiểu DNS_PROBE_FINISHED_NXDOMAIN cũng bắt nguồn từ DNS của nhà mạng hoặc modem trả kết quả sai. Cách sửa loại lỗi này có trong bài lỗi DNS_PROBE_FINISHED_NXDOMAIN.

DoH giải quyết thế nào

DoH được chuẩn hoá trong RFC 8484. Truy vấn DNS được đóng gói thành yêu cầu HTTP, gửi qua kết nối HTTPS tới máy chủ DoH ở cổng 443. Với người đứng giữa đường truyền, lưu lượng DoH trông giống mọi lưu lượng HTTPS khác: họ biết máy tính đang nói chuyện với máy chủ DoH, nhưng không đọc được câu hỏi hay câu trả lời bên trong.

Hai lợi ích chính của DoH:

• Riêng tư: người trên đường truyền không thấy danh sách tên miền được truy vấn.
• Toàn vẹn: kết quả DNS không bị sửa trên đường đi, vì đã được bảo vệ bởi TLS.

DoH không giải quyết được gì

DoH chỉ bảo vệ đoạn đường từ máy tới máy chủ DoH. Máy chủ DoH vẫn thấy mọi truy vấn, nên anh em đang chuyển quyền thấy dữ liệu từ nhà mạng sang nhà cung cấp DoH. Ngoài ra, sau khi có IP, trình duyệt kết nối tới website và gửi tên miền trong trường SNI dạng rõ, trừ khi có ECH. Nhà mạng vẫn thấy IP đích. Điểm cần nhớ: DoH che câu hỏi DNS, không che việc anh em đang kết nối tới đâu.

So sánh DNS over HTTPS, DNS over TLS và DNS thường

DNS thường và DNS mã hoá

Ngoài DoH, còn có DNS over TLS, gọi tắt là DoT. Hai giao thức cùng mã hoá DNS nhưng khác cách vận chuyển. Bảng dưới đây so sánh ba lựa chọn.

DoT dùng cổng riêng 853, nên mạng công ty dễ nhận ra và chặn. DoH đi chung cổng 443 với web, khó tách hơn. Đây vừa là ưu điểm với người dùng muốn riêng tư, vừa là mối lo của quản trị viên mạng muốn kiểm soát DNS trong công ty.

Hai dạng API của DoH

Theo tài liệu DoH của Google Public DNS, Google cung cấp hai điểm truy cập. Điểm https://dns.google/dns-query theo đúng RFC 8484, nhận yêu cầu GET với tham số dns chứa thông điệp DNS mã hoá Base64Url, hoặc POST với kiểu nội dung application/dns-message. Điểm https://dns.google/resolve trả kết quả dạng JSON, chỉ nhận GET. Google không chấp nhận địa chỉ http không mã hoá.

Thử DoH bằng curl

curl hỗ trợ DoH từ bản 7.62 qua tham số --doh-url. Anh em có thể thử nhanh mà không cần đổi cấu hình máy:

# Dùng DoH của Cloudflare để phân giải tên miền khi gọi trang
curl -v --doh-url https://cloudflare-dns.com/dns-query https://example.com/
 
# Hỏi trực tiếp API JSON của Google
curl -s "https://dns.google/resolve?name=example.com&type=A"
 
# Hỏi API JSON của Cloudflare
curl -s -H "accept: application/dns-json" "https://cloudflare-dns.com/dns-query?name=example.com&type=A"

Kết quả JSON có trường Status bằng 0 nghĩa là thành công, mảng Answer chứa các bản ghi trả về. Nếu Status khác 0, đó là mã lỗi DNS như SERVFAIL hay NXDOMAIN.

Bật DNS over HTTPS trên Windows 11

Bật DNS mã hoá trên Windows 11

Windows 11 hỗ trợ DoH ở cấp hệ điều hành, áp dụng cho mọi ứng dụng dùng bộ phân giải DNS của Windows. Đây là cách bật đơn giản nhất cho cả máy.

Các bước bật trong Settings

Microsoft mô tả các bước trong tài liệu hỗ trợ DoH cho DNS client. Trên Windows 11, anh em làm như sau:

• Mở Settings, chọn Network & internet.
• Chọn Wi-Fi hoặc Ethernet tuỳ kết nối đang dùng, rồi chọn Hardware properties hoặc chọn mạng đang kết nối.
• Ở dòng DNS server assignment, bấm Edit.
• Đổi từ Automatic (DHCP) sang Manual, bật IPv4.
• Nhập Preferred DNS, ví dụ 1.1.1.1 hoặc 8.8.8.8, và Alternate DNS, ví dụ 1.0.0.1 hoặc 8.8.4.4.
• Ở mục DNS over HTTPS hoặc Preferred DNS encryption, chọn chế độ mã hoá.
• Bấm Save.

Mục mã hoá chỉ hiện ra khi địa chỉ DNS anh em nhập nằm trong danh sách máy chủ DoH mà Windows biết. Làm tương tự cho IPv6 nếu mạng có IPv6.

Ba chế độ mã hoá

Tài liệu Microsoft liệt kê ba lựa chọn, mỗi lựa chọn có đánh đổi riêng:

• Encrypted only (DNS over HTTPS): mọi truy vấn đi qua HTTPS, bảo vệ tốt nhất. Nếu máy chủ không hỗ trợ DoH, phân giải tên sẽ thất bại.
• Encrypted preferred, unencrypted allowed: thử DoH trước, không được thì quay về DNS thường. Tương thích tốt nhất, nhưng anh em không được báo khi bị chuyển về dạng rõ.
• Unencrypted only: chỉ dùng DNS thường.

Với máy cá nhân, chế độ Encrypted only cho bảo vệ rõ ràng nhất. Với máy hay đổi mạng, như laptop đi công tác, chế độ thứ hai ít gặp lỗi hơn.

Danh sách máy chủ DoH Windows biết sẵn

Windows có sẵn danh sách máy chủ hỗ trợ DoH. Anh em xem và thêm máy chủ bằng PowerShell:

# Xem danh sách máy chủ DoH Windows đã biết
Get-DnsClientDohServerAddress
 
# Thêm một máy chủ DoH mới vào danh sách (chạy PowerShell quyền quản trị)
Add-DnsClientDohServerAddress -ServerAddress '9.9.9.9' -DohTemplate 'https://dns.quad9.net/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True
 
# Kiểm tra cấu hình DNS hiện tại của các card mạng
Get-DnsClientServerAddress

Danh sách mặc định gồm Cloudflare (1.1.1.1, 1.0.0.1), Google (8.8.8.8, 8.8.4.4) và Quad9 (9.9.9.9, 149.112.112.112), kèm địa chỉ IPv6 tương ứng.

Windows 10 và Group Policy

Windows 10 không có giao diện bật DoH cho hệ thống như Windows 11. Trên Windows 10, cách thực tế là bật DoH trong trình duyệt. Với doanh nghiệp, Windows có chính sách Configure DNS over HTTPS (DoH) name resolution trong Computer Configuration, Policies, Administrative Templates, Network, DNS Client, cho chọn Allow DoH, Prohibit DoH hoặc Require DoH. Microsoft khuyên không bật Require DoH cho máy trong domain, vì Active Directory phụ thuộc nhiều vào DNS mà dịch vụ DNS Server của Windows chưa hỗ trợ truy vấn DoH.

Bật DNS over HTTPS trong Chrome và Firefox

DNS bảo mật trong trình duyệt

Trình duyệt có thể dùng DoH riêng, độc lập với cấu hình của hệ điều hành. Đây là cách nhanh nhất trên Windows 10, macOS hay Linux.

Chrome: Use secure DNS

Chrome gọi tính năng này là Use secure DNS. Các bước bật:

• Mở Chrome, bấm biểu tượng ba chấm, chọn Settings.
• Chọn Privacy and security, chọn Security.
• Kéo xuống phần Advanced, bật Use secure DNS.
• Ở mục Select DNS provider, chọn With your current service provider hoặc chọn một nhà cung cấp như Cloudflare (1.1.1.1), Google (Public DNS), hoặc Custom để nhập địa chỉ DoH riêng.

Chế độ With your current service provider chỉ dùng DoH khi DNS hiện tại của máy hỗ trợ, không thì dùng DNS thường. Chọn nhà cung cấp cụ thể buộc Chrome dùng DoH với nhà cung cấp đó. Trên máy do công ty quản lý, mục này có thể bị khoá bởi chính sách.

Firefox: DNS over HTTPS

Firefox là trình duyệt đầu tiên bật DoH mặc định ở một số quốc gia. Trang hỗ trợ DNS over HTTPS trong Firefox của Mozilla mô tả các mức bảo vệ. Các bước bật:

• Mở Firefox, bấm biểu tượng ba gạch, chọn Settings.
• Chọn Privacy & Security ở thanh bên.
• Kéo xuống phần DNS over HTTPS.
• Chọn một mức: Default Protection, Increased Protection, Max Protection hoặc Off.
• Với Increased hoặc Max Protection, chọn nhà cung cấp như Cloudflare, NextDNS hoặc Custom.

Default Protection để Firefox tự quyết định có dùng DoH hay không. Increased Protection luôn dùng DoH nhưng quay về DNS thường khi có lỗi. Max Protection chỉ dùng DoH, không quay về dạng rõ, và báo lỗi nếu DoH không hoạt động.

Khi trình duyệt tự tắt DoH

Firefox tự tắt DoH ở chế độ mặc định khi phát hiện chính sách doanh nghiệp, công cụ kiểm soát của phụ huynh, hoặc khi mạng trả lời tên miền canary use-application-dns.net bằng kết quả rỗng. Đây là cách các mạng công ty, trường học báo cho trình duyệt rằng họ muốn dùng DNS nội bộ. Chrome cũng không bật DoH khi phát hiện máy được quản lý hoặc có phần mềm kiểm soát của phụ huynh.

Kiểm tra DoH đã hoạt động chưa

Cách đơn giản nhất là mở trang kiểm tra của nhà cung cấp DoH. Cloudflare có trang 1.1.1.1/help cho biết anh em có đang dùng DoH hay DoT qua Cloudflare không. Ngoài ra, trong Chrome, trang chrome://net-internals/#dns hiện thông tin bộ phân giải đang dùng. Với Firefox, trang about:networking#dns hiện cột TRR, giá trị true nghĩa là truy vấn đi qua DoH.

DNS over HTTPS trên Android và iPhone

Trên điện thoại, cách mã hoá DNS khác nhau giữa hai hệ điều hành, và nhiều người nhầm tính năng Private DNS của Android là DoH.

Android: Private DNS là DoT

Từ Android 9, Android có tính năng DNS riêng tư (Private DNS), nhưng tính năng này dùng DNS over TLS, không phải DoH. Các bước bật:

• Mở Cài đặt, chọn Mạng và Internet hoặc Kết nối.
• Chọn DNS riêng tư (Private DNS), có thể nằm trong mục Cài đặt kết nối khác.
• Chọn Tên máy chủ của nhà cung cấp DNS riêng tư.
• Nhập dns.google, one.one.one.one hoặc dns.quad9.net.
• Bấm Lưu.

Tên nhập vào phải là tên máy chủ, không phải địa chỉ IP. Chrome trên Android vẫn có tuỳ chọn Use secure DNS riêng dùng DoH. Vì DoT dùng cổng 853, một số mạng Wi-Fi công cộng chặn cổng này khiến Android báo không thể truy cập máy chủ DNS riêng tư. Khi đó chuyển về Tự động.

iPhone và Mac

iOS 14 và macOS Big Sur trở lên hỗ trợ cả DoH và DoT, nhưng không có công tắc bật trong Cài đặt. Cách bật là cài một hồ sơ cấu hình DNS do nhà cung cấp phát hành, hoặc dùng ứng dụng của nhà cung cấp như ứng dụng 1.1.1.1. Sau khi cài, hồ sơ nằm trong Cài đặt chung, VPN & Quản lý thiết bị, mục DNS. Với người dùng iCloud+, iCloud Private Relay cũng mã hoá truy vấn DNS của Safari.

DNS over HTTPS khi đang dùng proxy

DoH khi dùng proxy

Đây là phần nhiều anh em làm MMO, quản lý tài khoản hay thu thập dữ liệu quan tâm nhất. DoH có tác dụng gì khi đã đi qua proxy, và có khi nào DoH làm hỏng mục đích dùng proxy không.

Ai phân giải tên miền khi dùng proxy

Câu trả lời phụ thuộc vào loại proxy và cách cấu hình:

Với proxy HTTP, trình duyệt gửi CONNECT kèm tên miền cho proxy, proxy tự phân giải. Với SOCKS5, tuỳ client gửi tên miền hay IP. curl phân biệt rõ socks5:// là phân giải tại máy, socks5h:// là để proxy phân giải.

Khi DoH làm lộ vị trí khác IP proxy

Có một trường hợp đáng chú ý. Nếu máy tự phân giải tên miền rồi mới kết nối qua proxy, như SOCKS5 phân giải tại máy, máy chủ DNS sẽ trả IP của máy chủ CDN gần vị trí thật của anh em. Kết nối sau đó đi qua proxy ở nơi khác tới máy chủ CDN đó. Website thấy IP proxy ở một nơi nhưng kết nối lại tới máy chủ CDN phục vụ khu vực khác, một dấu hiệu bất thường mà hệ thống chống gian lận có thể dùng.

Nhiều máy chủ DoH công cộng hỗ trợ gửi một phần IP của người hỏi cho máy chủ DNS gốc để chọn CDN gần, gọi là EDNS Client Subnet. Nếu DoH đi thẳng từ máy chứ không qua proxy, thông tin này phản ánh vị trí thật. Cách an toàn là để proxy phân giải tên miền: dùng proxy HTTP, hoặc SOCKS5 với phân giải từ xa.

Firefox và tuỳ chọn Proxy DNS when using SOCKS v5

Trong Firefox, phần cài đặt proxy có ô Proxy DNS when using SOCKS v5. Khi bật, Firefox gửi tên miền cho proxy SOCKS5 phân giải. Khi tắt, Firefox tự phân giải, có thể qua DoH. Với người dùng proxy cho công việc, nên bật ô này. Hướng dẫn cài proxy Firefox đầy đủ có trong bài cách cài proxy trên Firefox.

# Phân giải tại máy (có thể dùng DoH của máy), rồi đi qua SOCKS5
curl -x socks5://user:pass@203.0.113.10:1080 https://example.com/
 
# Để proxy SOCKS5 phân giải tên miền, an toàn hơn khi cần nhất quán vị trí
curl -x socks5h://user:pass@203.0.113.10:1080 https://example.com/

Proxy hệ thống và DoH của Windows

Khi đặt proxy hệ thống trên Windows 11 theo bài cách cài proxy trên Windows 11, trình duyệt dùng proxy cho trang web, nhưng nhiều ứng dụng khác vẫn tự phân giải DNS qua Windows. Bật DoH của Windows giúp các truy vấn này được mã hoá. Đây là lợi ích thật của DoH khi dùng proxy: bảo vệ những ứng dụng không đi qua proxy.

DoH và WebRTC

DoH không giải quyết rò rỉ IP qua WebRTC. WebRTC có thể làm lộ IP thật trong trình duyệt dù đã dùng proxy và DoH. Chủ đề này có bài riêng là WebRTC proxy là gì. Khi cần IP Việt Nam ổn định, phân giải DNS tại proxy, anh em có thể mua proxy tốc độ cao tại ProxyVN hỗ trợ HTTP và SOCKS5.

DoH khoá chặt câu hỏi DNS, nhưng câu hỏi được gửi từ đâu và ai trả lời vẫn là thứ anh em cần tự quyết định khi dùng proxy.

ProxyVN đảm bảo mạng kết nối luôn ổn định, proxy chất lượng không bị mất kết nối, và hỗ trợ 24/24 khi anh em cấu hình DNS cùng proxy.

Chọn máy chủ DNS over HTTPS phù hợp

Bật DoH xong, câu hỏi tiếp theo là gửi truy vấn tới ai. Vì máy chủ DoH thấy mọi tên miền anh em hỏi, chọn nhà cung cấp là một quyết định về niềm tin, không chỉ về tốc độ.

Các nhà cung cấp DoH công cộng phổ biến

Bảng dưới gom các máy chủ DoH công cộng hay được dùng. Địa chỉ mẫu DoH là chuỗi anh em nhập vào ô Custom trong trình duyệt hoặc vào lệnh PowerShell ở trên.

Trước khi chọn, anh em nên đọc chính sách quyền riêng tư của nhà cung cấp: họ lưu nhật ký bao lâu, có gửi một phần IP cho máy chủ gốc không, có bán dữ liệu không. Nhà cung cấp lọc quảng cáo tiện cho gia đình nhưng có thể chặn nhầm tên miền cần cho công việc.

Chạy bộ phân giải DoH cục bộ

Một số ứng dụng cũ chỉ hiểu DNS thường ở cổng 53. Để chúng cũng được mã hoá, anh em có thể chạy một bộ chuyển đổi trên máy hoặc trên router: nhận truy vấn DNS thường ở 127.0.0.1, rồi chuyển tiếp qua DoH. Ví dụ với cloudflared, đây là cách triển khai chung:

# Chạy bộ chuyển DNS thường sang DoH ở cổng 5053 trên máy
cloudflared proxy-dns --port 5053 --upstream https://1.1.1.1/dns-query --upstream https://1.0.0.1/dns-query
 
# Thử hỏi qua bộ chuyển đổi cục bộ
nslookup -port=5053 example.com 127.0.0.1

Sau khi chạy ổn định, anh em trỏ DNS của máy hoặc của router về địa chỉ đó. Cách này bảo vệ cả những thiết bị không tự hỗ trợ DoH như TV thông minh, máy chơi game, khi đặt trên router.

DoH trên router gia đình

Một số firmware router như OpenWrt có gói hỗ trợ DoH, giúp mọi thiết bị trong nhà được mã hoá DNS mà không cần cấu hình từng máy. Router của nhà mạng thường không có tính năng này. Nếu anh em muốn làm ở cấp router, cần router hỗ trợ firmware tuỳ biến, hoặc đặt một máy nhỏ chạy bộ phân giải cục bộ rồi trỏ DHCP của router về đó.

Đo tốc độ trước khi chọn

Máy chủ DoH ở xa làm mỗi lần mở trang mới chậm thêm vài chục mili giây. Anh em có thể so sánh bằng cách đo thời gian phản hồi của từng máy chủ vài lần ở các thời điểm khác nhau trong ngày, rồi chọn máy chủ nhanh và ổn định nhất từ mạng của mình.

DNS over HTTPS và 1.1.1.1

Nhiều anh em biết tới DoH qua ứng dụng 1.1.1.1 của Cloudflare. Phần này làm rõ quan hệ giữa ba khái niệm hay bị trộn lẫn: DoH, DNS công cộng và ứng dụng 1.1.1.1.

DNS công cộng không đồng nghĩa với DoH

Đổi DNS sang 1.1.1.1 hay 8.8.8.8 trong cài đặt mạng mà không bật mã hoá thì truy vấn vẫn đi dạng rõ. Anh em chỉ đổi người trả lời, không đổi cách gửi câu hỏi. Muốn mã hoá, cần bật DoH hoặc DoT như các bước ở trên.

Ứng dụng 1.1.1.1 và WARP

Ứng dụng 1.1.1.1 có chế độ chỉ mã hoá DNS, và chế độ WARP mã hoá cả lưu lượng giống VPN. Khác biệt giữa ứng dụng này và proxy được phân tích trong bài so sánh 1.1.1.1 và proxy. Tóm lại, 1.1.1.1 và DoH phục vụ quyền riêng tư DNS, còn proxy phục vụ việc chọn IP cụ thể.

Khi DNS over HTTPS gây lỗi và cách khắc phục

DoH đôi khi gây ra lỗi khó hiểu, nhất là trên mạng công ty hoặc khi dùng nhiều công cụ mạng cùng lúc. Phần này liệt kê các tình huống thường gặp.

Không vào được website nội bộ

Mạng công ty thường có tên miền nội bộ như intranet.congty.local chỉ DNS nội bộ biết. Khi trình duyệt dùng DoH với máy chủ công cộng, tên miền này không phân giải được và trang báo lỗi. Cách sửa là dùng chế độ quay về DNS thường, thêm ngoại lệ cho tên miền nội bộ, hoặc tắt DoH trên mạng công ty.

Bộ lọc nội dung và kiểm soát phụ huynh không hoạt động

Nhiều bộ lọc nội dung gia đình và công ty hoạt động bằng cách chặn ở DNS. Khi máy dùng DoH đi thẳng tới máy chủ công cộng, bộ lọc bị vượt qua. Đây là lý do trình duyệt tự tắt DoH khi phát hiện công cụ kiểm soát của phụ huynh. Nếu anh em là người quản lý mạng gia đình, nên dùng DoH của dịch vụ lọc nội dung thay vì máy chủ DoH thông thường.

Chế độ chỉ mã hoá làm mất mạng

Với chế độ Encrypted only trên Windows hoặc Max Protection trên Firefox, nếu mạng chặn máy chủ DoH, mọi trang đều báo không phân giải được tên. Wi-Fi khách sạn, sân bay thường có trang đăng nhập cổng chờ cần DNS thường để hiện ra. Khi gặp tình huống này, tạm chuyển về chế độ cho phép quay về DNS thường, đăng nhập Wi-Fi xong rồi bật lại.

Kết luận

DNS over HTTPS mã hoá truy vấn DNS bên trong HTTPS, giúp nhà mạng và người cùng mạng không đọc hay sửa được câu hỏi DNS. Anh em có thể bật trên Windows 11, Chrome, Firefox, còn Android dùng Private DNS là DoT. Khi dùng proxy, nên để proxy phân giải tên miền. Cần proxy ổn định cho công việc, hãy liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để dùng cùng DNS over HTTPS.