Cài đặt DNS của bạn quan trọng hơn trong 2026 vì những lý do vượt xa tốc độ

Trong nhiều năm, lời khuyên thông thường về việc đổi bộ phân giải Hệ thống Tên miền (DNS) là chuyển sang 1.1.1.1 của Cloudflare hoặc 8.8.8.8 của Google, để có thể có các truy vấn hơi nhanh hơn hoặc đáng tin cậy hơn. Các so sánh gần đây cho thấy khác biệt lớn hơn giữa Google DNS và Cloudflare DNS không phải là tốc độ thô, nhưng tốc độ thường là lý do dễ nhất để quan tâm.

Năm 2026, DNS nằm gần phía riêng tư của web hơn nhiều. Các công nghệ mới hơn có thể che giấu thông tin mà HTTPS từng để lộ, nhưng những bảo vệ đó hoạt động tốt nhất khi các truy vấn DNS của bạn cũng được bảo vệ. Cài đặt DNS của bạn giờ ảnh hưởng đến ai có thể thấy các miền bạn truy vấn, các tùy chọn DNS mã hóa nào bạn có thể dùng, thứ gì bị lọc, và bạn hưởng lợi bao nhiêu từ các tính năng riêng tư mới như Encrypted Client Hello.

HTTPS cuối cùng cũng che được một trong những lỗ hổng lâu đời nhất của nó

HTTPS đã bảo vệ nội dung lưu lượng web trong nhiều năm, nhưng về mặt lịch sử nó để lại một manh mối rõ ràng. Khi trình duyệt của bạn bắt đầu một kết nối bảo mật, Server Name Indication (SNI) bên trong TLS ClientHello có thể tiết lộ tên máy chủ (hostname) bạn đang cố kết nối tới.

Hãy nghĩ như gửi một bức thư đã khóa nhưng viết rõ địa chỉ đích ở bên ngoài. Nhà cung cấp dịch vụ Internet (ISP) của bạn không thể đọc thứ ở bên trong, nhưng thường có thể biết bạn đang kết nối đến trang web nào.

Đó là điều mà Encrypted Client Hello (ECH) được thiết kế để sửa. Được chuẩn hóa trong RFC 9849 vào tháng 3 năm 2026, ECH mã hóa phần nhạy cảm của TLS ClientHello, bao gồm tên máy chủ thực. Android 17 đã đẩy điều này xa hơn bằng cách đưa hỗ trợ ECH rộng rãi vào một hệ điều hành di động lớn, với ECH đã khả dụng trên hầu hết các trình duyệt desktop. Việc sử dụng thực tế vẫn phụ thuộc vào thư viện mạng của ứng dụng và máy chủ đích có hỗ trợ hay không, nhưng hướng đi rõ ràng: che giấu hostname đang trở thành một phần của bộ web chuẩn chứ không phải tính năng trình duyệt thử nghiệm.

DNS gắn chặt với quá trình đó. Một trang web hỗ trợ ECH sẽ công bố thông tin mà máy khách cần qua các bản ghi DNS HTTPS, có thể bao gồm một cấu hình ECH chứa khóa công khai và các tham số khác cần cho bắt tay mã hóa.

Trình tự thô trông như thế này:

Thiết bị của bạn → hỏi DNS một bản ghi HTTPS → nhận cấu hình ECH → kết nối đến trang web bằng ECH

Bạn không cần một bộ phân giải DNS đặc biệt nào đó "hiểu" ECH. Vấn đề quan trọng hơn là bản thân việc truy vấn DNS có bị phơi bày hay không.

Nếu thiết bị của bạn hỏi example.com bằng DNS văn bản thường (plaintext), ISP của bạn có thể đã thấy hostname đó trước khi ECH có cơ hội che nó trong kết nối HTTPS. Bạn đã sửa một lỗ hổng, nhưng cùng thông tin đó đã thoát ra một khoảnh khắc trước đó.

Đó là lý do DNS mã hóa và ECH phối hợp tốt với nhau đến vậy. ECH che tên trang web trong bắt tay TLS, trong khi DNS mã hóa che truy vấn diễn ra trước đó.

Mã hóa DNS đang trở thành hạ tầng internet bình thường

DNS truyền thống gửi các truy vấn không mã hóa (văn bản thường). Thiết bị của bạn hỏi bộ phân giải địa chỉ IP đứng sau một tên miền, và bất kỳ ai ở vị trí có thể theo dõi lưu lượng đó đều có thể thấy bạn đang hỏi gì.

Một số lựa chọn mã hóa đã xuất hiện trong những năm qua. DNS-over-TLS (DoT) bọc các truy vấn DNS trong một kết nối TLS và thường dùng cổng 853. DNS-over-HTTPS (DoH) gửi chúng qua HTTPS trên cổng 443, cho phép lưu lượng DNS đi cùng lưu lượng web thường. DoH hiện đại cũng có thể chạy trên HTTP/3 và QUIC thay vì phụ thuộc hoàn toàn vào TCP.

DNS-over-QUIC (DoQ) là một tùy chọn DNS mã hóa mới hơn ngoài DoH và DoT, mang DNS mã hóa trực tiếp trên QUIC. QUIC hỗ trợ các luồng độc lập, nên mất gói ảnh hưởng đến một yêu cầu DNS không nhất thiết phải làm tắc các yêu cầu không liên quan phía sau. Trên các mạng không ổn định hoặc ùn tắc, điều đó có thể cho DoQ một lợi thế so với các cách tiếp cận dựa trên TCP cũ hơn.

Bạn không cần phải nhớ hạ tầng. Đối với hầu hết mọi người, phần hữu ích là DoH, DoT và DoQ đều mã hóa lưu lượng DNS giữa thiết bị của bạn và bộ phân giải.

DoQ cũng đã tiến xa hơn nhiều so với giai đoạn thử nghiệm. Các nhà cung cấp DNS công cộng giờ chạy nó trên mạng sản xuất, dù việc bạn có thể dùng nó hay không vẫn phụ thuộc vào hỗ trợ từ hệ điều hành, router, trình duyệt hoặc ứng dụng DNS của bạn.

Một điều dễ bỏ lỡ là việc đổi nhà cung cấp DNS không tự động mã hóa bất cứ thứ gì. Bạn có thể trỏ thiết bị của bạn đến 1.1.1.1 và vẫn gửi các truy vấn DNS văn bản thường. Đổi bộ phân giải chỉ đổi người trả lời chúng, trong khi bảo vệ bản thân lưu lượng đòi hỏi một phương tiện truyền tải mã hóa như DoH, DoT hoặc DoQ.

Điều đó đặc biệt dễ bỏ qua khi trình duyệt và hệ điều hành giờ giấu các chi tiết kỹ thuật sau những cái tên như "Secure DNS" (DNS an toàn) và "Private DNS" (DNS riêng tư). Những cài đặt đó thường là phần thực sự quyết định xem lưu lượng DNS của bạn có được mã hóa hay không, và DNS over HTTPS có thể ngăn ISP của bạn thấy các truy vấn miền riêng lẻ chứ không chỉ đơn thuần đổi bộ phân giải nào trả lời.

Bộ phân giải của bạn giờ là một phần của chính sách riêng tư của bạn

DNS mã hóa ngăn những người ở giữa bạn và bộ phân giải đọc bừa các truy vấn DNS của bạn. Nó không làm cho chính bộ phân giải biến mất khỏi bức tranh. Bộ phân giải vẫn thấy các miền bạn hỏi nó truy vấn, nên việc chọn một bộ phân giải phần nào là một quyết định về riêng tư và chính sách.

Các nhà cung cấp khác nhau có các quy tắc khác nhau về ghi log, lưu trữ, chặn mã độc, lọc nội dung, DNSSEC và tài phán. Quad9, ví dụ, hoạt động từ Thụy Sĩ và tập trung mạnh vào riêng tư và chặn các miền độc hại. Cũng có các nhà cung cấp DNS miễn phí vượt Google và Cloudflare ở một số việc cụ thể, tùy thuộc vào việc ưu tiên của bạn là lọc, bảo mật, riêng tư hay thứ gì khác.

Ngay cả khi bám vào một trong các nhà cung cấp lớn, cũng không nhất thiết có nghĩa là bạn chỉ nhận được một bộ quy tắc. Các dịch vụ lớn thường phơi bày các chế độ DNS thay thế cho việc chặn mã độc và các bộ lọc khác, nên đổi địa chỉ bộ phân giải có thể đổi thứ bị chặn mà không cần đổi hẳn nhà cung cấp.

ISP của bạn có thể cung cấp một số thứ tương tự, nhưng dùng một bộ phân giải khác cho phép bạn chọn quy tắc và chính sách riêng tư của ai mà bạn thích. Không có một nhà cung cấp DNS tốt nhất duy nhất cho tất cả mọi người. Điều hữu ích cần nhớ là bộ phân giải mặc định của ISP bạn vẫn là một lựa chọn, ngay cả khi bạn chưa bao giờ tự đưa ra lựa chọn đó.

Đổi DNS vẫn không phải là VPN

Đổi cài đặt DNS của bạn có thể cải thiện riêng tư, nhưng nó không làm bạn vô hình trên mạng.

DNS mã hóa ngăn những người theo dõi kết nối giữa thiết bị của bạn và nhà cung cấp DNS của bạn đọc đơn giản các tên miền bạn truy vấn. ECH cũng có thể che tên trang web từng xuất hiện trong kết nối HTTPS ban đầu. Cùng nhau, chúng đóng hai "cửa sổ" hữu ích vào việc duyệt web của bạn.

Nhưng ISP của bạn vẫn có thể thấy các địa chỉ IP mà thiết bị của bạn kết nối tới, và các trang web bạn ghé thăm vẫn thấy địa chỉ IP của bạn. Trong một số trường hợp, các địa chỉ IP và manh mối khác đó có thể tiết lộ hoặc ít nhất thu hẹp phạm vi lưu lượng của bạn đi đâu. Vì vậy DNS mã hóa và ECH làm cho việc theo dõi khó hơn, nhưng chúng không cung cấp mức riêng tư như một VPN.

Nơi bạn bật DNS mã hóa cũng quan trọng. Nếu bạn chỉ bật "Secure DNS" trong Chrome, ví dụ, Chrome nhận được bảo vệ trong khi các ứng dụng khác có thể tiếp tục dùng cài đặt DNS thường của thiết bị. Private DNS của Android hoạt động rộng hơn vì nó áp dụng ở cấp hệ điều hành, dù các ứng dụng tự xử lý DNS vẫn có thể hành xử khác.

Vì vậy đừng đơn giản thay địa chỉ DNS của ISP và cho là xong. Hãy chọn một nhà cung cấp DNS bạn tin tưởng, rồi đảm bảo bạn thực sự đang dùng một tùy chọn mã hóa chứ không phải DNS văn bản thường.