Rò rỉ DNS là gì?

Vì sao bạn nên quan tâm

VPN chỉ hữu ích khi lưu lượng bạn quan tâm thực sự đi qua nó. Nếu yêu cầu DNS rời đường an toàn, người quan sát mạng — thường là ISP — vẫn thấy tên miền bạn tra, dù nội dung trang đã được mã hóa bằng HTTPS.

Điều đó tạo cảm giác an toàn giả: VPN có thể giấu IP công khai, trong khi thói quen duyệt web vẫn rò qua DNS.

DNS làm gì

DNS (Domain Name System) biến tên như skypath.cloud thành địa chỉ IP để router chuyển gói tin. Hầu như mọi lần vào trang web đều bắt đầu bằng một truy vấn DNS.

Hầu hết ISP gán cho khách một máy chủ DNS do họ kiểm soát. Máy chủ đó có thể ghi lại tên miền bạn hỏi — hữu ích cho nhà mạng, rủi ro cho quyền riêng tư.

Rò rỉ DNS xảy ra thế nào

Dù VPN đã kết nối, hệ điều hành vẫn có thể dùng máy chủ DNS mặc định thay vì DNS do VPN cung cấp. Split tunnel, cài đặt ứng dụng sai, hoặc IPv6 có thể đẩy DNS ra ngoài đường hầm trong khi lưu lượng khác vẫn ở trong.

Với bạn, VPN trông như “đang bật.” Với mạng, truy vấn tên miền vẫn tới ISP.

DNS bảo mật trên trình duyệt

Trình duyệt hiện nay thường hỗ trợ DNS mã hóa như DNS-over-HTTPS, đôi khi bật sẵn. Mã hóa ngăn người quan sát Wi‑Fi gần bạn đọc truy vấn trên đường đi — điều đó tốt.

Điều đó không có nghĩa “không ai thấy tên.” Nhà cung cấp DNS bảo mật bạn chọn (hoặc mặc định của trình duyệt) vẫn nhận truy vấn. Nếu nhà cung cấp đó không phải DNS của VPN, người dùng VPN có thể coi đó là một kiểu rò rỉ khác.

Proxy DNS trong suốt

Một số ISP chặn mọi yêu cầu DNS thường trên cổng 53 rồi tự trả lời — đó là proxy DNS trong suốt. Bạn tưởng đã đặt DNS Google hoặc Cloudflare, nhưng ISP vẫn xử lý truy vấn.

VPN đưa DNS vào đường hầm đúng cách (hoặc chặn DNS bên ngoài) là cách khắc phục thông thường. Chỉ đổi ô “máy chủ DNS” trên máy tính là chưa đủ trước việc bị chặn trên mạng mở.

Cách kiểm tra

Chạy kiểm tra rò rỉ DNS khi VPN đang kết nối. Bạn muốn thấy bộ phân giải thuộc về VPN (hoặc bộ bạn cố ý chọn), không phải tên ISP nhà.

Để thấy rõ trước và sau, chạy một lần khi VPN tắt, ghi tên nhà mạng, kết nối VPN, rồi chạy lại. Nếu ISP vẫn hiện, DNS chưa nằm trọn trong đường hầm.

Hãy nhớ

• HTTPS giấu nội dung trang; nó không giấu tên miền trong truy vấn DNS.
• DNS bảo mật trên trình duyệt và DNS hệ điều hành có thể không khớp — hãy kiểm tra cả hai nếu kết quả làm bạn ngạc nhiên.
• IPv6 và split tunnel là lý do thường gặp khiến VPN trông đã kết nối nhưng DNS vẫn rò.
• Hãy kiểm tra lại sau khi đổi cài đặt VPN, trình duyệt hoặc mạng.

Hướng dẫn liên quan