- Hệ thống DNS truyền thống gửi yêu cầu dưới dạng văn bản thuần, làm lộ thông tin về các tên miền bạn truy cập cho nhà cung cấp dịch vụ và bên thứ ba.
- DNS qua HTTPS (DoH) mã hóa các truy vấn DNS trong HTTPS, khiến việc theo dõi và thao túng lưu lượng truy cập trở nên khó khăn hơn.
- Windows 11 cho phép bạn dễ dàng bật DoH từ cài đặt mạng bằng cách sử dụng các máy chủ tương thích như Cloudflare, Google hoặc Quad9.
- Windows Server 2022 cũng hỗ trợ DoH và việc sử dụng nó có thể được quản lý thông qua PowerShell và chính sách nhóm trong môi trường doanh nghiệp.
Nếu bạn ngày càng lo ngại về việc người khác có thể xem được hoạt động trực tuyến của mình , Windows 11 có một thiết lập mạnh mẽ mà hầu như không ai sử dụng nhưng có thể tạo ra sự khác biệt lớn đối với quyền riêng tư của bạn: mã hóa DNS bằng DNS qua HTTPS (DoH). Chỉ với một vài thay đổi cấu hình, các yêu cầu DNS của bạn sẽ không còn được truyền tải dưới dạng văn bản thuần mà sẽ được bảo vệ trong một kết nối an toàn.
Kích hoạt DoH trong Windows 11 không yêu cầu cài đặt bất kỳ chương trình lạ nào hoặc phải là chuyên gia mạng; bạn có thể cấu hình nó chỉ trong vài phút thông qua cài đặt hệ thống. Đổi lại, bạn sẽ khiến nhà cung cấp dịch vụ internet, quản trị viên mạng công cộng, hoặc thậm chí cả những kẻ tấn công tiềm năng khó theo dõi các trang web bạn truy cập, ghi lại thói quen duyệt web của bạn hoặc thao túng kết nối của bạn hơn. Hãy cùng tìm hiểu kỹ hơn về DoH là gì, tại sao nó lại hữu ích, cách kích hoạt từng bước và các tùy chọn nâng cao nào có sẵn trong hệ sinh thái Windows.
DNS là gì và tại sao nó lại ảnh hưởng đến quyền riêng tư của bạn nhiều đến vậy?
Khi bạn nhập địa chỉ như adslzone.com hoặc bất kỳ trang web nào khác vào trình duyệt , máy tính của bạn không kết nối trực tiếp bằng văn bản đó. Trên thực tế, mạng hiểu đó là các địa chỉ IP dạng số, vì vậy trước khi tải trang web, nó phải truy vấn máy chủ DNS để tìm ra nơi lưu trữ tên miền đó.
Hệ thống DNS hoạt động giống như một cuốn danh bạ điện thoại trên internet : bạn nhập tên và nó sẽ trả về số tương ứng (địa chỉ IP). Vấn đề là, trong cấu hình mặc định, truy vấn này được truyền đi mà không mã hóa, dưới dạng văn bản thuần. Điều này có nghĩa là bất kỳ thiết bị nào nằm giữa máy tính của bạn và internet—nhà cung cấp dịch vụ internet, điểm truy cập Wi-Fi công cộng, bộ định tuyến bị xâm nhập, kẻ tấn công trên cùng mạng—đều có thể nhìn thấy các địa chỉ mà bạn đang phân giải.
Hơn nữa, nhiều nhà cung cấp lợi dụng tình huống này để tạo ra lịch sử chi tiết về tất cả các trang web bạn truy cập . Đây là thông tin cực kỳ nhạy cảm vì nó cho phép họ lập hồ sơ người dùng: bạn sử dụng dịch vụ nào, sở thích của bạn là gì, lịch trình của bạn ra sao, v.v. Dữ liệu này có thể được sử dụng cho quảng cáo, bán cho bên thứ ba, hoặc trong trường hợp xấu nhất, rơi vào tay những kẻ xấu.
Điều quan trọng cần lưu ý là, nếu không có mã hóa, một số thực thể có thể chặn các trang web ở cấp độ DNS , chuyển hướng tên miền đến các trang web quảng cáo, hoặc thậm chí thao túng phản hồi để thực hiện các cuộc tấn công. Tất cả điều này được thực hiện bằng cách lợi dụng thực tế là lưu lượng DNS truyền thống được truyền dưới dạng văn bản thuần và không đảm bảo tính toàn vẹn.
DNS qua HTTPS (DoH) là gì và nó có những ưu điểm gì?
DNS qua HTTPS, hay DoH, là một hệ thống nhận các yêu cầu DNS truyền thống và đóng gói chúng trong một kết nối HTTPS được mã hóa . Đó là cùng một loại mã hóa được sử dụng khi bạn truy cập một trang web an toàn có biểu tượng ổ khóa trong trình duyệt của mình, nhưng được áp dụng cho kênh mà máy tính của bạn sử dụng để phân giải tên miền.
Khi DoH được bật, các truy vấn DNS sẽ không còn dễ dàng bị bất kỳ ai nhìn thấy nữa. Tất cả những gì họ thấy chỉ là lưu lượng HTTPS được mã hóa đến máy chủ của nhà cung cấp DNS . Họ sẽ không thể đọc được các tên miền nào đang được truy vấn, cũng như không thể sửa đổi phản hồi mà không làm ảnh hưởng đến tính bảo mật của kết nối.
Trong số những ưu điểm chính của việc bật DNS qua HTTPS trên Windows 11, có một vài điểm nổi bật: thứ nhất, nhà cung cấp dịch vụ internet của bạn không còn dễ dàng xem hoặc ghi lại toàn bộ lịch sử tên miền của bạn; thứ hai, nó làm phức tạp đáng kể việc chặn hoặc thao túng các yêu cầu bởi bên thứ ba . Hơn nữa, trong một số trường hợp, nó có thể giúp bạn vượt qua một số rào cản cơ bản ở cấp độ DNS do một số nhà cung cấp triển khai.
Cần lưu ý rằng mã hóa sẽ thêm một bước nhỏ vào mỗi yêu cầu, nhưng trên thực tế, tổn thất hiệu năng thường là tối thiểu hoặc hầu như không thể nhận thấy đối với hầu hết người dùng. Bù lại, sự cải thiện về quyền riêng tư và bảo mật là đáng kể, vì vậy lợi ích tổng thể thường nghiêng về việc bật tính năng này.
Hướng dẫn cách bật DNS qua HTTPS (DoH) trên Windows 11 từng bước một
Windows 11 hỗ trợ sẵn DNS qua HTTPS, vì vậy bạn không cần chương trình bên ngoài. Quá trình này gồm hai bước: cấu hình thủ công các máy chủ DNS tương thích với DoH và sau đó chọn loại mã hóa bạn muốn sử dụng cho các máy chủ đó.
1. Truy cập cài đặt mạng của Windows 11
Bước đầu tiên là mở ứng dụng Cài đặt Hệ thống. Cách nhanh nhất là nhấn đồng thời phím Windows + I. Bạn cũng có thể thực hiện thao tác này từ menu Bắt đầu, nhưng phím tắt sẽ tiện lợi hơn nếu bạn định lặp lại nhiều lần.
Trong Cài đặt, hãy vào mục "Mạng & Internet" . Ở đó, bạn sẽ thấy các tùy chọn cho cả kết nối Wi-Fi và Ethernet (có dây). Chọn kết nối bạn đang sử dụng: nếu bạn đang duyệt web qua Wi-Fi, hãy nhấn "Wi-Fi"; nếu bạn đang sử dụng kết nối có dây, hãy nhấn "Ethernet".
Sau khi vào phần liên quan, hãy tìm kết nối đang hoạt động của bạn và nhấp vào "Thuộc tính phần cứng" hoặc mục hiển thị chi tiết mạng. Từ đó, bạn có thể sửa đổi cài đặt IP và DNS cho giao diện cụ thể đó.
2. Thay đổi thiết lập DNS thành thủ công.
Trong thuộc tính kết nối, bạn sẽ thấy một mục có tên "Phân bổ máy chủ DNS" . Mục này thường được đặt thành "Tự động (DHCP)", có nghĩa là bộ định tuyến hoặc nhà cung cấp dịch vụ internet của bạn sẽ quyết định máy chủ DNS nào bạn sử dụng và cách xử lý các yêu cầu đó.
Nhấp vào nút "Chỉnh sửa" trong phần đó. Một cửa sổ bật lên sẽ hiện ra, trong đó bạn nên chọn tùy chọn "Thủ công" từ menu thả xuống cài đặt. Thay đổi này cho phép bạn chỉ định máy chủ DNS mà bạn muốn sử dụng thay vì chấp nhận các máy chủ được mạng gán.
Trong cấu hình thủ công, hãy bật công tắc IPv4 và, nếu mạng của bạn hỗ trợ, hãy bật cả công tắc IPv6 . Hầu hết các kết nối tại nhà hoạt động hoàn hảo với IPv4, nhưng IPv6 đang ngày càng phổ biến, vì vậy nên bật nó nếu có sẵn để có thể thực hiện các truy vấn bằng giao thức đó.
3. Chọn máy chủ DNS tương thích với DoH
Sau khi bật chế độ thủ công, bạn sẽ thấy các trường để nhập địa chỉ IP của máy chủ DNS. Đây là nơi bạn cần nhập thông tin chi tiết của nhà cung cấp hỗ trợ chính thức DNS qua HTTPS , vì Windows 11 bao gồm danh sách nội bộ các máy chủ DoH đã biết.
Một số thuật toán mã hóa được sử dụng phổ biến nhất, đã có sẵn trong danh sách cấu hình mã hóa tự động nội bộ của Windows, bao gồm:
- CloudFlare1.1.1.1 được sử dụng làm DNS ưu tiên và 1.0.0.1 làm DNS thay thế. Chúng cũng có địa chỉ IPv6 là 2606:4700:4700::1111 và 2606:4700:4700::1001.
- DNS của Google Public8.8.8.8 được chọn làm máy chủ ưu tiên và 8.8.4.4 là máy chủ thay thế. Trong IPv6, chúng sử dụng 2001:4860:4860::8888 và 2001:4860:4860::8844.
- Quad99.9.9.9 là địa chỉ ưu tiên và 149.112.112.112 là địa chỉ thay thế. Trong IPv6, chúng có, trong số những địa chỉ khác, 2620:fe::fe và 2620:fe::fe:9.
Ví dụ, hãy nhập địa chỉ Google hoặc Cloudflare vào các trường DNS ưu tiên và DNS thay thế cho IPv4. Nếu bạn cũng đã bật IPv6, hãy điền vào các trường tương ứng với địa chỉ IPv6 của nhà cung cấp bạn đã chọn. Từ đó, Windows 11 sẽ biết rằng các máy chủ này hỗ trợ DoH và sẽ có thể cung cấp cho bạn các tùy chọn mã hóa khác nhau.
4. Cấu hình mã hóa DNS (DoH) trong Windows 11
Ngay bên dưới địa chỉ DNS cho mỗi giao thức, bạn sẽ tìm thấy một hoặc nhiều tùy chọn liên quan đến mã hóa, tùy thuộc vào phiên bản Windows 11 và loại máy chủ bạn đã cấu hình. Đây là nơi bạn có thể bật DNS qua HTTPS và cấu hình cách máy tính của bạn sẽ xử lý các truy vấn này.
Trong nhiều cấu hình, Windows hiển thị menu " Mã hóa DNS " hoặc "DNS qua HTTPS" cho các máy chủ DNS ưu tiên và thay thế. Tại đây, bạn có thể tìm thấy, trong số các tùy chọn khác, những mục sau:
- Chỉ mã hóa (DNS qua HTTPS)Ứng dụng khách sẽ luôn cố gắng sử dụng DoH với máy chủ đó. Nếu máy chủ hoặc kết nối bảo mật gặp sự cố, truy vấn văn bản thuần sẽ không được thực thi.
- Nên sử dụng mã hóa, không cho phép mã hóa. (hoặc văn bản tương tự): Đầu tiên, hệ thống sẽ thử DoH và nếu không thành công, các truy vấn cổ điển không mã hóa sẽ được khôi phục.
- Chỉ không được mã hóa: Vô hiệu hóa DoH cho máy chủ cụ thể đó, chỉ sử dụng DNS dạng văn bản thuần truyền thống.
Nếu quyền riêng tư là ưu tiên hàng đầu của bạn và bạn muốn đảm bảo tuyệt đối, hãy chọn "Chỉ mã hóa (DNS qua HTTPS)" cho cả máy chủ ưu tiên và máy chủ thay thế . Bằng cách này, tất cả lưu lượng DNS đến các máy chủ đó sẽ luôn được truyền qua HTTPS và không bao giờ ở dạng văn bản thuần.
Trong một số văn bản giao diện, bạn cũng có thể thấy tùy chọn "Đã bật (mẫu tự động) ". Điều này cho biết Windows 11 nhận ra máy chủ là một phần trong danh sách các máy chủ phân giải DoH đã biết và tự động sử dụng mẫu HTTPS thích hợp để gửi các yêu cầu được mã hóa, mà không cần bạn phải chỉ định thủ công.
5. Sử dụng các mẫu DoH thủ công với các nhà cung cấp cụ thể
Đối với một số máy chủ, hoặc nếu bạn muốn kiểm soát chi tiết hơn nữa, bạn có thể sử dụng mẫu DNS thủ công qua HTTPS . Điều này cho phép bạn chỉ định trực tiếp URL mà nhà cung cấp của bạn sử dụng cho dịch vụ DoH của họ.
Ví dụ, trường hợp này xảy ra với một số cấu hình Quad9 nâng cao, nơi bạn có thể chỉ định một mẫu cụ thể bao gồm các tùy chọn như ECS (EDNS Client Subnet) để việc phân giải được xử lý từ trung tâm dữ liệu gần vị trí của bạn nhất . Trong trường mẫu đó, bạn nhập một cái gì đó như URL mà nhà cung cấp ghi lại cho điểm cuối DoH của họ.
Nếu bạn chọn tùy chọn mẫu thủ công, hãy chắc chắn sao chép địa chỉ chính xác như được cung cấp bởi dịch vụ DNS trong tài liệu chính thức của họ. Một lỗi chính tả có thể khiến quá trình mã hóa thất bại hoặc ngăn không cho tên miền được phân giải.
Làm thế nào để kiểm tra xem DNS qua HTTPS có hoạt động hay không?
Sau khi bạn đã lưu các thay đổi vào cài đặt kết nối, các yêu cầu DNS thường sẽ được mã hóa. Tuy nhiên, bạn vẫn nên kiểm tra lại một vài lần để đảm bảo mọi thứ đã được áp dụng chính xác và bạn không vẫn đang duyệt web bằng văn bản thuần mà không nhận ra.
Xác minh từ bên trong cài đặt Windows
Quay lại Cài đặt > Mạng & Internet > Wi-Fi hoặc Ethernet (tùy thuộc vào loại kết nối bạn đang sử dụng) và truy cập lại thuộc tính phần cứng của kết nối. Cuộn xuống phần hiển thị địa chỉ máy chủ DNS mà bạn vừa cấu hình.
Nếu mọi thứ đều ổn, bên cạnh mỗi địa chỉ IP của máy chủ DNS, bạn sẽ thấy một nhãn như "(Đã mã hóa)" hoặc văn bản tương tự . Nhãn này là cách nhanh nhất để xác nhận rằng Windows đã nhận ra máy chủ đó tuân thủ DoH và đang mã hóa các truy vấn.
Kiểm tra DoH bằng PowerShell
Một cách rất đáng tin cậy khác để kiểm tra trạng thái DNS qua HTTPS là sử dụng PowerShell , bảng điều khiển nâng cao của Windows. Để làm điều này, hãy mở menu Bắt đầu, tìm kiếm "PowerShell ", nhấp chuột phải và chọn "Chạy với quyền quản trị viên" để có được các quyền cần thiết.
Trong cửa sổ hiện ra, nhập lệnh sau và nhấn Enter :
Get-DnsClientDohServerAddress
Kết quả của lệnh này sẽ hiển thị danh sách các máy chủ DoH mà trình khách DNS của Windows biết , bao gồm cả những máy chủ bạn đã cấu hình. Bạn sẽ thấy địa chỉ IP của chúng và chỉ báo trạng thái. Nếu "Enabled" xuất hiện cho các máy chủ DNS đã cấu hình của bạn, điều đó có nghĩa là máy tính của bạn đang sử dụng DoH với chúng.
Sử dụng các bài kiểm tra trực tuyến để xác nhận mã hóa.
Để kiểm tra thêm, bạn có thể sử dụng các trang kiểm tra do một số nhà cung cấp DNS cung cấp. Ví dụ, Cloudflare có các công cụ trực tuyến cho phép bạn kiểm tra xem trình duyệt của mình có đang sử dụng DNS qua HTTPS hay DNS qua TLS hay không . Chỉ cần truy cập một trong những trang này từ trình duyệt thông thường của bạn và làm theo hướng dẫn.
Mặc dù các bài kiểm tra này tập trung vào trình duyệt, nhưng chúng là tài liệu tham khảo tốt để bổ sung cho những gì bạn đã thấy trong cài đặt Windows và PowerShell, xác nhận rằng các truy vấn được mã hóa từ hệ thống của bạn.
DNS qua HTTPS trong Windows Server 2022 và Chính sách nhóm
Ngoài Windows 11, Microsoft đã tích hợp hỗ trợ DNS qua HTTPS vào Windows Server bắt đầu từ phiên bản 2022. Trên các hệ thống này, máy khách DNS có thể thiết lập các kết nối được mã hóa bằng HTTPS đến các máy chủ nằm trong danh sách các máy chủ phân giải DoH đã biết, tương tự như cách hoạt động trong môi trường máy tính để bàn.
Trong Windows Server với giao diện máy tính để bàn, cấu hình cơ bản được thực hiện từ cùng một mục Cài đặt > Mạng & Internet > Ethernet . Bạn chọn giao diện mạng cần cấu hình, vào màn hình mạng của nó, cuộn xuống "Cài đặt DNS" và nhấp vào "Chỉnh sửa" để thay đổi chế độ từ tự động sang thủ công, giống như trong Windows 11.
Từ đó, bạn nhập các máy chủ DNS có trong danh sách các máy chủ DoH đã biết . Nếu chúng có trong danh sách, menu thả xuống "Mã hóa DNS ưu tiên" sẽ được kích hoạt, từ đó bạn có thể chọn giữa một số tùy chọn:
- Chỉ mã hóa (DNS qua HTTPS)Tất cả các truy vấn DNS đều được thực hiện bằng DoH. Nếu máy chủ không hỗ trợ DoH hoặc kết nối HTTPS thất bại, quá trình phân giải cũng sẽ thất bại.
- Hỗ trợ cả thuật toán mã hóa ưu tiên và không mã hóa.DoH được ưu tiên, nhưng nếu vì lý do nào đó không thể thực hiện được, hệ thống sẽ chuyển sang sử dụng các truy vấn DNS dạng văn bản thuần không mã hóa.
- Chỉ không được mã hóaDoH đã bị vô hiệu hóa cho máy chủ đó và chỉ sử dụng DNS truyền thống.
Khi bạn cấu hình địa chỉ DNS của Windows Server bằng PowerShell và lệnh cmdlet Set-DnsClientServerAddressHành vi của Bộ Y tế phụ thuộc vào việc liệu những địa chỉ đó có được đề cập hay không. Chúng xuất hiện hoặc không xuất hiện trong bảng nội bộ của các máy chủ DoH đã biết.Hiện tại, cấu hình DoH cụ thể đó vẫn chưa thể điều chỉnh được. Trung tâm quản trị Windows cũng không phải với các công cụ như sconfig.cmd trên máy chủ 2022.
Cấu hình DoH bằng chính sách nhóm
Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS
Bằng cách kích hoạt chính sách này , bạn có thể lựa chọn giữa ba chế độ hoạt động chính cho máy khách DNS:
- Cho phép DoHCác truy vấn sẽ được thực hiện bằng DNS qua HTTPS khi các máy chủ DNS được cấu hình hỗ trợ giao thức này. Nếu chúng không hỗ trợ, các truy vấn không được mã hóa sẽ được sử dụng.
- Cấm DoH: Ngăn chặn việc sử dụng DNS qua HTTPS, luôn buộc phải sử dụng DNS truyền thống dạng văn bản thuần.
- Yêu cầu DoH: Buộc tất cả các truy vấn phải được thực hiện với DoH; nếu máy chủ không chấp nhận, quá trình phân giải tên sẽ thất bại.
Cần thận trọng khi sử dụng tùy chọn "Yêu cầu DoH" trên các máy tính đã tham gia miền vì các dịch vụ Active Directory phụ thuộc rất nhiều vào DNS truyền thống, và vai trò Máy chủ DNS của Windows không hỗ trợ các truy vấn DoH một cách tự nhiên. Trong các loại mạng này, nếu bạn muốn bảo vệ lưu lượng DNS nội bộ, thường tốt hơn là sử dụng các giải pháp như quy tắc bảo mật kết nối dựa trên IPsec để mã hóa lưu lượng giữa máy khách và máy chủ.
Danh sách các máy chủ DoH đã biết trên Windows
Cả Windows 11 và Windows Server đều bao gồm một danh sách các máy chủ DNS được tích hợp sẵn, trong đó có các máy chủ hỗ trợ DoH. Danh sách này cho phép hệ thống tự động kích hoạt các tùy chọn mã hóa và mẫu tự động cho các máy chủ cụ thể đó.
Để xem những máy chủ nào có trong danh sách đó, bạn có thể sử dụng lệnh cmdlet. Get-DnsClientDohServerAddress Trong PowerShell, các nhà cung cấp phổ biến nhất thường xuất hiện là Cloudflare, Google và Quad9, cùng với các địa chỉ IPv4 và IPv6 nổi tiếng của họ, chẳng hạn như 1.1.1.1, 8.8.8.8 hoặc 9.9.9.9 đã được đề cập, cùng với các địa chỉ thay thế khác.
Nếu bạn muốn thêm một máy chủ mới vào bảng máy chủ đã biết, ví dụ như trình phân giải của riêng bạn hoặc của bên thứ ba chuyên dụng, bạn có thể sử dụng lệnh sau: Add-DnsClientDohServerAddress Chỉ định địa chỉ IP của máy chủ, mẫu DoH và cho phép hoặc không cho phép chuyển về UDP trong trường hợp xảy ra lỗi:
Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True
Bằng cách này, Windows sẽ biết rằng máy chủ hỗ trợ DoH, sẽ luôn cố gắng sử dụng nó một cách an toàn và, tùy thuộc vào tùy chọn đã chọn, sẽ tránh quay lại các truy vấn không được mã hóa càng nhiều càng tốt.
Sử dụng NRPT (Bảng chính sách phân giải tên) với DoH
Trong các trường hợp nâng cao, chẳng hạn như mạng doanh nghiệp phức tạp hoặc cấu hình lai, bạn có thể sử dụng Bảng Chính sách Phân giải Tên (NRPT) để chuyển tiếp các truy vấn cho các miền cụ thể đến các máy chủ DNS được chỉ định. Nếu các máy chủ đó hỗ trợ DNS dựa trên miền (DoH) và được đăng ký như vậy, các truy vấn cho các không gian tên đó sẽ được thực hiện bằng DNS qua HTTPS.
Điều này cho phép, ví dụ, một số tên miền quan trọng hoặc đặc biệt nhạy cảm luôn được phân giải thông qua một máy chủ phân giải đáng tin cậy có bật DoH, trong khi phần còn lại của lưu lượng DNS có thể tuân theo chính sách khác hoặc sử dụng các máy chủ khác.
Việc kích hoạt và tận dụng DNS qua HTTPS trong Windows 11—và, nếu có thể, trong Windows Server 2022—là một cách khá đơn giản để tăng cường quyền riêng tư và bảo mật cho việc duyệt web hàng ngày của bạn mà không cần thay đổi đáng kể cách bạn sử dụng máy tính. Chỉ với một vài bước cấu hình và một số kiểm tra bổ sung, các truy vấn DNS của bạn sẽ không còn là điểm yếu mà bất kỳ ai cũng có thể nhìn thấy dưới dạng văn bản thuần, mà thay vào đó sẽ được bảo vệ trong một kết nối được mã hóa, phù hợp hơn nhiều với những gì được mong đợi từ một kết nối an toàn hiện nay.
