- DoH bổ sung mã hóa cho các truy vấn DNS bằng HTTPS, cải thiện quyền riêng tư và bảo mật chống lại việc nghe lén và thao túng.
- Nó không tương đương với VPN: nó bảo vệ các tìm kiếm tên miền, nhưng không bảo vệ tất cả lưu lượng truy cập hoặc địa chỉ IP của bạn.
- Việc triển khai nó mang lại những lợi thế về hiệu suất, nhưng cũng gây ra những căng thẳng với việc kiểm soát của phụ huynh, giám sát và kiểm duyệt.
Khi bạn nhập địa chỉ web, có một thành phần hoạt động ngầm để đảm bảo bạn truy cập đúng trang web: Hệ thống Tên miền (DNS). DNS dịch các tên dễ nhớ thành địa chỉ IP mà máy tính có thể hiểu được. Điều này rất tiện lợi, nhưng trong nhiều năm, nó hoạt động với một lỗ hổng đáng kể: các truy vấn này được truyền đi mà không được mã hóa. Đó là lý do tại sao DNS qua HTTPS, hay còn gọi là DoH, trở nên phổ biến – một lớp bảo vệ bổ sung giúp nhà cung cấp dịch vụ internet của bạn khó theo dõi các tên miền bạn truy cập hơn.
Điều quan trọng cần làm rõ ngay từ đầu: DoH cải thiện tính bảo mật của các truy vấn DNS, nhưng nó không phải là VPN, cũng không biến toàn bộ kết nối của bạn thành một đường hầm bí mật . Trong bài viết này, chúng ta sẽ tìm hiểu chính xác DoH là gì, tại sao nó trở nên phổ biến, cách kích hoạt nó trong Chrome, Edge và Firefox, những ưu điểm và nhược điểm của nó, sự khác biệt giữa nó với DNS qua TLS và VPN, cũng như phạm vi giới hạn về mặt kỹ thuật và thực tiễn của nó.
DNS là gì và tại sao hệ thống truyền thống lại có những nhược điểm?
Máy chủ DNS là một trong những thành phần mà hầu như không ai để ý đến, nhưng chúng lại là nền tảng của phần lớn hoạt động duyệt web trực tuyến. Nhiệm vụ của chúng là liên kết tên miền với địa chỉ IP của máy chủ tương ứng . Khi bạn truy cập một trang web, máy tính của bạn không hiểu các chữ cái: nó cần một địa chỉ IP để biết cần kết nối với máy nào. Nhiều bộ định tuyến được tích hợp sẵn máy chủ DNS do nhà cung cấp dịch vụ internet cấu hình, điều này giúp quá trình trở nên thuận tiện, mặc dù nó cũng để lại dấu vết rõ ràng cho bất kỳ ai kiểm soát cơ sở hạ tầng đó.
Vấn đề cốt lõi là các truy vấn DNS truyền thống được thực hiện dưới dạng văn bản thuần túy và không có lớp bảo vệ . Điều này mở ra kẽ hở cho việc nghe lén, tấn công trung gian và thao túng phản hồi. Nhà cung cấp dịch vụ internet có thể biết bạn truy vấn những tên miền nào và khi nào; kẻ tấn công trên mạng chia sẻ có thể cố gắng chặn yêu cầu và trả về phản hồi gian lận. Kỹ thuật này được gọi là chiếm quyền điều khiển DNS và cuối cùng có thể dẫn bạn đến một trang giả mạo, quảng cáo không mong muốn hoặc một trang web được thiết kế để đánh cắp dữ liệu. Chính phủ và các nhà cung cấp dịch vụ internet cũng đã từng khai thác những điểm yếu này để thực hiện kiểm duyệt, chặn tên miền hoặc hiển thị thêm quảng cáo.
- Nghe thụ động: Ai đó sẽ quan sát các truy vấn của bạn và suy luận xem bạn thường xuyên sử dụng những dịch vụ hoặc trang web nào.
- Người trung gian: Quá trình liên lạc bị chặn lại và phản hồi được sửa đổi để giả mạo máy chủ.
- Chặn và lọc: Nó ngăn chặn việc phân giải một số tên miền nhất định nhằm mục đích kiểm soát quyền truy cập nội dung.
DNS qua HTTPS: Mã hóa truy vấn để nó không hiển thị cho tất cả mọi người.
DNS qua HTTPS, hay DoH, là một giải pháp tận dụng giao thức HTTPS để truyền các truy vấn và phản hồi DNS dưới dạng mã hóa . Thay vì gửi yêu cầu DNS rõ ràng, thiết bị sẽ đóng gói nó trong một kết nối an toàn, thường sử dụng cổng 443, cùng cổng được sử dụng bởi các trang web bảo mật. Điều này bảo vệ cả truy vấn và phản hồi, ngăn chặn người quan sát bên ngoài dễ dàng đọc được chúng.
Để điều này hoạt động, máy chủ DNS được truy vấn cũng phải hỗ trợ DNS dựa trên tên miền (Domain-based DNS - DoH ). Chỉ bật một tùy chọn trong trình duyệt là chưa đủ: trình phân giải được chọn phải tuân thủ tiêu chuẩn này. Đặc tả này đã và đang được phát triển và vẫn được coi là một công nghệ đang phát triển, mặc dù từ năm 2018, các công ty như Google và Mozilla Foundation đã thử nghiệm và tích hợp nó. Ngoài việc cải thiện quyền riêng tư, các thử nghiệm cho thấy DoH có thể giảm độ trễ và làm cho các truy vấn nhanh hơn, bởi vì không phải lúc nào cũng cần phải phân giải toàn bộ tên miền, mà chỉ cần phần tối thiểu cần thiết.
Ưu điểm của DoH: bảo mật cao hơn, ít bị can thiệp hơn và hiệu suất tốt hơn.
Ưu điểm rõ ràng nhất là bảo mật. Vì các truy vấn DNS được mã hóa nên việc theo dõi hoặc sửa đổi chúng trở nên khó khăn hơn nhiều . Điều này làm phức tạp các cuộc tấn công trung gian (man-in-the-middle), giảm nguy cơ bị lộ trên các mạng Wi-Fi công cộng và ngăn chặn nhà mạng địa phương nhìn thấy rõ ràng bạn đang yêu cầu những tên miền nào. Vì lưu lượng DoH sử dụng cổng 443, nó hòa lẫn với các kết nối HTTPS khác và khó phân biệt với một lượt truy cập web thông thường.
Ngoài ra còn có những lý do về hiệu năng. DoH có thể giảm độ trễ và tăng tốc độ truyền thông DNS nhờ những thay đổi trong cách phân giải tên miền và sử dụng bộ nhớ đệm hiệu quả hơn. Ví dụ, phương thức GET của một số API được thiết kế để được lưu vào bộ nhớ đệm hiệu quả hơn. Trên thực tế, điều này có thể giúp duyệt web nhanh hơn một chút, mặc dù nó không phải là giải pháp thần kỳ và sự khác biệt không phải lúc nào cũng dễ nhận thấy. Hơn nữa, vì nó được triển khai trong trình duyệt, người dùng không cần phải chờ nhà cung cấp dịch vụ internet kích hoạt nó.
Nhược điểm và tranh luận: khi mã hóa làm phức tạp cuộc sống
Không phải ai cũng có cái nhìn tích cực về mã hóa dựa trên tên miền (Domain-based encryption - DoH). Chính mã hóa này vừa bảo vệ người dùng, vừa khiến việc giám sát mạng trở nên khó khăn hơn . Nhiều chương trình kiểm soát của phụ huynh dựa vào việc kiểm tra các truy vấn DNS để xác định những trang web mà trẻ em đang cố gắng truy cập; với DoH, nhiệm vụ này trở nên phức tạp hơn nhiều và thậm chí có thể không thực hiện được. Tình huống tương tự cũng xảy ra với các quản trị viên mạng doanh nghiệp, những người mất khả năng giám sát các tên miền đang được truy vấn và không thể dễ dàng thực thi một số quy tắc nhất định.
Các nhà cung cấp dịch vụ Internet cũng mất khả năng giám sát quyền truy cập và chặn các tên miền cụ thể theo yêu cầu của một tổ chức. Điều này tạo ra một cuộc tranh luận chính đáng: một số người coi đó là chiến thắng cho quyền riêng tư, trong khi những người khác coi đó là một vấn đề về kiểm soát và quản lý . Trong trường hợp của DoT, nó cũng bị chỉ trích vì sử dụng cổng riêng dễ nhận biết, cho phép xác định các truy vấn DNS ngay cả khi không biết chính xác điều gì đang được yêu cầu. DoH tránh được tín hiệu rõ ràng này bằng cách ngụy trang trong lưu lượng HTTPS, nhưng đổi lại, các quản trị viên mạng sẽ có ít công cụ hơn để quản lý thông tin liên lạc của họ.
Cách bật DoH trong Chrome, Edge và Firefox
Việc bật Hệ thống Tên miền (DNS) trong trình duyệt hiện đại thường khá đơn giản, đặc biệt nếu trình duyệt đó dựa trên Chromium hoặc Firefox. Tùy chọn này có sẵn, mặc dù trong một số trường hợp nó bị ẩn trong menu cài đặt nâng cao . Trước khi thay đổi bất cứ điều gì, điều quan trọng là phải hiểu rằng trình duyệt chỉ bảo vệ các truy vấn của riêng nó: các ứng dụng khác trên thiết bị có thể tiếp tục sử dụng hệ thống DNS khác nếu nó không được cấu hình ở cấp độ hệ thống.
Google Chrome
Trong Chrome, cách nhanh nhất là gõ chrome://flags/#dns-over-https trong thanh địa chỉ. Thao tác đó sẽ đưa bạn trực tiếp đến mục Flags hoặc các tính năng thử nghiệm của Chrome.Bạn sẽ thấy tùy chọn "Tra cứu DNS an toàn" được chọn; hãy nhấp vào menu thả xuống có chữ "Mặc định" và chọn "Đã bật". Sau đó, bạn cần khởi động lại trình duyệt để thay đổi có hiệu lực.
Microsoft cạnh
Trong trình duyệt Edge dựa trên Chromium, quy trình này hầu như giống hệt nhau. Mở trình duyệt và nhập edge://flags/#dns-over-https trong thanh tìm kiếmBạn sẽ vào phần Cài đặt (Flags) của Edge và tùy chọn Tra cứu DNS an toàn (Secure DNS lookups) sẽ xuất hiện. Thay đổi Mặc định (Default) thành Đã bật (Enabled) và khởi động lại trình duyệt khi được yêu cầu.
Mozilla Firefox
Trong Firefox, bạn không cần vào mục Flags. Nhấp vào nút menu ở góc trên bên phải và chọn Options . Trong mục General, cuộn xuống cuối trang và nhấp vào Network Settings. Trong cửa sổ hiện ra, đánh dấu vào ô bên cạnh Enable DNS over HTTPS. Sau đó, bạn có thể chọn từ các nhà cung cấp như Cloudflare và NextDNS để thực hiện mã hóa qua HTTPS.
DNS qua TLS (DoT): đường dẫn mã hóa khác
DNS qua TLS, hay DoT, là một cách khác để bảo vệ các truy vấn DNS. Thay vì sử dụng HTTPS, nó sử dụng TLS qua kết nối TCP và cổng chuẩn 853. TLS có cùng nền tảng bảo mật với HTTPS, vì vậy ý tưởng tương tự: tạo một đường hầm mã hóa mà chỉ hai bên tham gia mới có thể giải mã và xử lý thông tin. Điều này làm cho các cuộc tấn công trung gian (man-in-the-middle) trở nên khó khăn hơn và ngăn chặn bên thứ ba đọc hoặc thao túng truy vấn.
DotT có những ưu điểm riêng, đặc biệt là so với DNS truyền thống, vốn không cung cấp bất kỳ biện pháp bảo mật nào. Mã hóa ngăn chặn tội phạm mạng chặn các yêu cầu và cũng cản trở một số biện pháp kiểm duyệt . Tuy nhiên, nó đòi hỏi sự tương thích từ cả máy khách và máy chủ. Một số nhà cung cấp cung cấp máy chủ tương thích, nhưng việc sử dụng nó trên máy tính để bàn hoặc máy tính xách tay thường yêu cầu cài đặt phần mềm bổ sung; trên các hệ điều hành Android hiện đại, ít nhất là từ Android 9 trở lên, nó đã được tích hợp sẵn. Các giải pháp dành cho Windows và Linux cũng tồn tại, mặc dù chúng không phải lúc nào cũng minh bạch như người dùng mong muốn.
Trong số những nhược điểm, nhiều chuyên gia bảo vệ dữ liệu chỉ trích DoT vì sử dụng một cổng duy nhất, dễ nhận biết. Mặc dù không thể biết trang web nào đang được truy cập, nhưng vẫn có thể phát hiện lưu lượng DNS . Đối với một số quản trị viên mạng, điều này hữu ích vì nó cho phép họ nắm được tổng quan về những gì đang xảy ra; đối với những người khác, đó là một tín hiệu mà họ muốn che giấu. Hơn nữa, DoT chưa phổ biến rộng rãi như DNS truyền thống và việc áp dụng phía máy chủ của nó còn hạn chế. Có những lo ngại rằng một vài công ty sẽ ngày càng tập trung các truy vấn DNS, có khả năng tạo ra một loại độc quyền quốc tế.
Bộ Y tế (DoH) và Bộ Giao thông vận tải (DoT): Hai cách để bảo vệ cùng một vấn đề.
Sự khác biệt chính giữa DoH và DoT nằm ở cổng và cách ngụy trang lưu lượng truy cập. DoT sử dụng cổng riêng của nó, 853, trong khi DoH sử dụng cổng 443 và hòa lẫn với các kết nối HTTPS thông thường . Sự khác biệt tưởng chừng nhỏ này đã gây ra nhiều tranh luận. Từ góc độ bảo mật, việc không thể phân biệt các truy vấn DNS với các lưu lượng truy cập khác là một lợi thế: nếu chúng không được nhận dạng, chúng sẽ khó bị thao túng hơn. Tuy nhiên, từ góc độ quản lý mạng, việc kiểm soát bị mất đi, và việc triển khai các chính sách bảo mật hoặc lọc trở nên khó khăn hơn.
Về bản chất, có hai tầm nhìn khác nhau. IETF, liên minh phát triển nhiều tiêu chuẩn internet, ủng hộ DoT , trong khi Google và Quỹ Mozilla lại mạnh mẽ thúc đẩy DoH. Đây không phải là những công nghệ đối lập, nhưng chúng thể hiện những cách hiểu khác nhau về quyền riêng tư, khả năng hiển thị mạng và vai trò của các bên trung gian. Việc lựa chọn giữa hai công nghệ này phụ thuộc vào những gì cần được bảo vệ và ai cần quản lý mạng.
DoH so với VPN: Nó bảo vệ câu hỏi, chứ không phải toàn bộ hành trình.
DoH (DoH) và VPN thường được nhắc đến trong cùng một cuộc thảo luận về quyền riêng tư, nhưng chúng không làm cùng một việc. DoH bảo vệ truy vấn tên miền; VPN bảo vệ đường đi của dữ liệu . Cách đơn giản nhất để hiểu điều này là hãy tưởng tượng DoH đặt một câu hỏi nhạy cảm vào một phong bì kín, trong khi VPN cho phép toàn bộ quá trình đi qua một đường hầm riêng tư trước khi trở lại đường công cộng. Cả hai đều có thể cải thiện quyền riêng tư, nhưng chỉ có một được thiết kế để bao quát toàn diện lưu lượng truy cập của điện thoại, máy tính bảng và máy tính.
DNS thực hiện những chức năng gì trước khi một trang web được tải?
Trước khi trình duyệt của bạn có thể tải một trang web, thiết bị của bạn cần biết vị trí của nó. DNS hoạt động giống như một cuốn danh bạ điện thoại, dịch tên trang web thành địa chỉ IP . Điều này diễn ra liên tục: khi bạn mở một trang, khởi chạy một ứng dụng, cập nhật email hoặc phát video. Hầu hết thời gian nó diễn ra âm thầm và bạn không nhận thấy, điều này rất tiện lợi, nhưng cũng dễ khiến người ta bỏ qua vấn đề bảo mật. Các truy vấn DNS truyền thống không được mã hóa, vì vậy nhà cung cấp dịch vụ internet, công ty, trường học, Wi-Fi của quán cà phê hoặc mạng khách sạn có thể thấy thiết bị của bạn đang cố gắng truy cập những tên miền nào. Họ không thấy toàn bộ nội dung của một trang HTTPS, nhưng họ có được một cái nhìn khá rõ ràng về hoạt động của bạn.
Một truy vấn DNS không tiết lộ mọi trang bạn đã xem hoặc mọi thứ bạn nhập vào biểu mẫu, nhưng danh sách các tên miền có thể tiết lộ thói quen, sở thích, công cụ làm việc, nghiên cứu sức khỏe hoặc dịch vụ tài chính . Đó là lý do tại sao DNS được mã hóa đã trở thành một tính năng bảo mật hữu ích. Nó không tiết lộ mọi thứ, nhưng nó tiết lộ nhiều hơn nhiều người nhận ra.
Bộ Y tế đang che giấu điều gì và tiết lộ điều gì?
DoH gửi các truy vấn DNS qua HTTPS, cùng một giao thức mã hóa được sử dụng bởi các trang web bảo mật. Yêu cầu rời khỏi thiết bị của bạn dưới dạng mã hóa và đến một máy chủ phân giải hỗ trợ chuẩn HTTPS . Trên mạng Wi-Fi công cộng, điều này có thể khiến nhà điều hành mạng khó vô tình đọc được các truy vấn của bạn. Nếu nhà cung cấp dịch vụ internet của bạn quản lý DNS, việc chuyển sang máy chủ phân giải DoH có thể ngăn họ xem các truy vấn này theo cách thông thường. Hơn nữa, nếu một mạng thao túng kết quả phân giải tên miền, DNS được mã hóa có thể giảm thiểu một số hình thức thao túng.
Hiện tại, DoH chỉ ẩn truy vấn, chứ không phải toàn bộ cuộc hội thoại. Nó có thể ngăn một số người quan sát nhìn thấy rõ ràng quá trình tra cứu tên miền, nhưng nó không biến toàn bộ kết nối internet của bạn thành một đường hầm mã hóa . Sau khi thiết bị biết địa chỉ IP, phần còn lại của kết nối sẽ tiếp tục theo đường dẫn bình thường, trừ khi một công cụ bảo mật khác thay đổi đường dẫn đó. DoH không ẩn địa chỉ IP thực của bạn khỏi các trang web, ứng dụng hoặc dịch vụ mà bạn kết nối, cũng như không làm cho bạn có vẻ như đang ở một thành phố hoặc quốc gia khác. Nếu bạn đăng nhập vào một tài khoản, dịch vụ đó sẽ biết đó là bạn. Nếu trình duyệt có cookie, phiên đã lưu, mã định danh quảng cáo hoặc dấu vân tay có thể nhận dạng được, DoH không xóa những tín hiệu đó.
Nó cũng không bảo vệ mọi ứng dụng trừ khi được cấu hình ở cấp hệ thống và ứng dụng đó tuân thủ cài đặt đó. Một trình duyệt có thể sử dụng DNS an toàn trong khi một ứng dụng khác trên cùng thiết bị lại sử dụng đường dẫn DNS khác . Một số ứng dụng tự quản lý mạng của chúng và không phải lúc nào cũng phù hợp với cài đặt hệ thống hoặc trình duyệt. Do đó, DoH có thể tạo ra cảm giác bảo vệ hoàn toàn giả tạo: nó cải thiện quyền riêng tư của các truy vấn DNS, nhưng nó không bảo vệ việc truyền tệp, lưu lượng tin nhắn, cuộc gọi video, kết nối trò chơi, đồng bộ hóa nền hoặc các ứng dụng phát trực tuyến theo cách mà VPN làm được.
VPN bảo vệ những gì và không thể che giấu những gì?
VPN bảo vệ một phần khác trong hành trình của bạn. Nó tạo ra một đường hầm mã hóa giữa thiết bị của bạn và máy chủ VPN, định tuyến lưu lượng truy cập internet của bạn thông qua máy chủ đó . Nhà cung cấp dịch vụ internet hoặc mạng Wi-Fi cục bộ của bạn chỉ thấy một kết nối được mã hóa đến máy chủ VPN, chứ không phải là toàn bộ thông tin về các trang web và dịch vụ bạn kết nối. Ngoài ra, VPN thay đổi địa chỉ IP công cộng mà các trang web và ứng dụng nhìn thấy: thay vì địa chỉ IP nhà bạn hoặc nhà mạng di động, đích đến sẽ thấy địa chỉ IP của máy chủ VPN. Điều này có thể giảm thiểu việc theo dõi dựa trên vị trí, giúp bạn vượt qua một số cấu hình của nhà cung cấp dịch vụ internet và giúp việc sử dụng Wi-Fi công cộng an toàn hơn.
Một VPN toàn diện có thể bảo vệ trình duyệt, ứng dụng phát trực tuyến, ứng dụng email, công cụ sao lưu đám mây, ứng dụng nhắn tin, trò chơi và các dịch vụ chạy ngầm. Nó cũng có thể định tuyến các yêu cầu DNS thông qua đường hầm mã hóa khi được cấu hình đúng cách , đó là lý do tại sao nên chạy thử nghiệm rò rỉ DNS. Tuy nhiên, VPN không phải là phép màu. Nếu bạn đăng nhập vào mạng xã hội, tài khoản email, dịch vụ phát trực tuyến hoặc cửa hàng trực tuyến, dịch vụ đó vẫn biết bạn là ai. Nó có thể che giấu địa chỉ IP gốc của bạn, nhưng nó không ẩn danh thông tin đăng nhập của bạn. Điều tương tự cũng áp dụng cho bất cứ thứ gì bạn gửi trực tiếp: tên, địa chỉ email, chi tiết thanh toán, địa chỉ giao hàng, ảnh hoặc tin nhắn.
Cookie và dấu vân tay trình duyệt vẫn là những vấn đề quan trọng. Các ứng dụng có thể tạo ra những vấn đề tương tự thông qua các mã định danh quảng cáo, quyền truy cập, vị trí, quét Bluetooth, tên mạng Wi-Fi lân cận và các công cụ quét. Phần mềm độc hại là một trở ngại khó khăn khác vì nó có thể thu thập dữ liệu trước khi dữ liệu đến được đường hầm VPN . Tóm lại, VPN che giấu và mã hóa rất nhiều hoạt động, nhưng nó không che giấu được mọi dấu vân tay kỹ thuật số.
DoH và VPN có thể được sử dụng đồng thời.
Vâng, chúng có thể được kết hợp, nhưng cấu hình lý tưởng phụ thuộc vào cách thiết bị, trình duyệt và ứng dụng VPN xử lý DNS. Trong nhiều trường hợp, giải pháp đơn giản nhất là để VPN xử lý DNS . Một ứng dụng tốt sẽ gửi các truy vấn DNS thông qua đường hầm mã hóa để nhà cung cấp dịch vụ Internet (ISP) của bạn không nhận được chúng trực tiếp. Bằng cách này, bạn có được quyền riêng tư DNS như một phần của kết nối VPN mà không cần phải điều chỉnh cài đặt trình duyệt riêng biệt.
Vấn đề phát sinh khi trình duyệt sử dụng cấu hình Domain Authority (DoH) riêng của nó trong khi VPN cố gắng quản lý DNS ở cấp độ hệ thống. Có thể không có gì bị lỗi, nhưng sự nhầm lẫn sẽ xảy ra : bạn có thể nghĩ rằng tất cả các truy vấn đều đi qua VPN, nhưng trên thực tế, trình duyệt đang tự gửi một số truy vấn đến một máy chủ phân giải khác. Đây là lúc kiểm tra rò rỉ DNS trở nên hữu ích. Nếu sau khi kết nối với VPN, bạn thấy các máy chủ DNS của nhà cung cấp dịch vụ Internet (ISP) của mình, thì có điều gì đó không hoạt động như mong đợi; nếu bạn thấy các máy chủ được liên kết với VPN, thì cấu hình có nhiều khả năng đang hoạt động chính xác.
Khi nào thì DoH là đủ và khi nào thì nên sử dụng VPN?
DoH (DoH) có thể đáp ứng đủ nhu cầu khi mối quan tâm chính của bạn là quyền riêng tư cơ bản của các truy vấn DNS trong trình duyệt. Trên mạng gia đình đáng tin cậy, việc bật Secure DNS giúp giảm thiểu việc lộ dữ liệu dạng văn bản thuần mà không yêu cầu bạn phải thay đổi vị trí hoặc bảo mật tất cả các ứng dụng của mình . Nó cũng hữu ích trên các mạng mà việc lọc hoặc thao tác DNS là một vấn đề đáng lo ngại, vì việc truyền tải qua HTTPS khiến việc kiểm tra hoặc sửa đổi dễ dàng hơn. Điều này không có nghĩa là nó bỏ qua tất cả các hạn chế hoặc chống kiểm duyệt, nhưng nó là một cải tiến đáng kể so với DNS không được mã hóa. Hơn nữa, nó rất nhẹ: bạn không cần phải chọn máy chủ VPN hoặc thay đổi đáng kể định tuyến của mình, và thông thường bạn sẽ không nhận thấy tác động đáng kể đến tốc độ.
VPN phát huy tác dụng tốt nhất khi bạn muốn bảo vệ toàn bộ thiết bị, chứ không chỉ riêng việc tra cứu DNS. Điều này bao gồm các sân bay, khách sạn, trường học, không gian làm việc chung, quán cà phê và nhà cho thuê . Trên các mạng dùng chung, bạn không biết ai điều khiển bộ định tuyến, ai khác đang kết nối hoặc liệu có ai đó đang cố gắng chặn lưu lượng truy cập hay không. VPN cũng hữu ích khi bạn không muốn nhà cung cấp dịch vụ internet (ISP) xây dựng hồ sơ về thói quen duyệt web của bạn: mặc dù HTTPS bảo vệ nội dung trang, siêu dữ liệu mạng vẫn có thể tiết lộ các mẫu hữu ích. Du lịch là một ví dụ rõ ràng khác: VPN có thể làm cho kết nối của bạn ổn định hơn, bảo vệ bạn trên các mạng không quen thuộc và cho phép các trang web nhìn thấy vị trí của máy chủ VPN thay vì kết nối cục bộ tạm thời của bạn.
Thông tin kỹ thuật chi tiết về API DoH của Google Public DNS
Dịch vụ DNS công cộng của Google cung cấp hai API DoH riêng biệt. Một API được thiết kế cho RFC 8484 và chấp nhận các yêu cầu GET và POST tại https://dns.google/dns-query; API còn lại là API JSON chỉ hỗ trợ các yêu cầu GET tại https://dns.google/resolve . Ngoài ra còn có giao diện web tại https://dns.google/ hiển thị kết quả JSON trong trình duyệt, nhưng giao diện này không triển khai đầy đủ API. Giao diện này không nên bị nhầm lẫn với các URL API hoặc với https://dns.google/query. Dịch vụ không hỗ trợ các URL HTTP không bảo mật, và DoH cũng được hỗ trợ bởi dịch vụ DNS64 công cộng của Google, mặc dù trong trường hợp đó, chỉ hỗ trợ IPv6. Tài liệu về vận chuyển an toàn của Google bao gồm các ví dụ curl và chi tiết về TLS, DoT và DoH.
Các phương thức HTTP khả dụng
Phương thức GET có thể giảm độ trễ vì nó lưu vào bộ nhớ đệm hiệu quả hơn. Các yêu cầu GET theo RFC 8484 phải bao gồm tham số `?dns=` với thông báo DNS được mã hóa Base64Url , và đây là phương thức duy nhất được API JSON hỗ trợ. Phương thức POST cũng chỉ khả dụng trong RFC 8484 và sử dụng thông báo DNS nhị phân với `application/dns-message` trong cả phần thân yêu cầu và phản hồi. Phương thức HEAD hiện không được hỗ trợ và trả về lỗi 400 Bad Request. Các phương thức khác trả về lỗi 501 Not Implemented.
Mã trạng thái và lỗi
API trả về một số mã HTTP đáng chú ý. Mã 200 OK cho biết quá trình phân tích cú pháp HTTP và giao tiếp với trình phân giải DNS đã thành công ; phần thân phản hồi có thể là phản hồi DNS nhị phân hoặc JSON tùy thuộc vào điểm cuối, tiêu đề Accept và các tham số GET. Lưu ý: lỗi HTTP cũng có thể là lỗi DNS, vì vậy nên kiểm tra mã phản hồi DNS, ví dụ: trường "Status" của JSON, để tìm các lỗi như SERVFAIL, FORMERR, REFUSED hoặc NOTIMP.
- 301 Đã chuyển đi vĩnh viễn: Máy khách phải thử lại yêu cầu tại URL được chỉ định trong Location. Nếu yêu cầu ban đầu là POST, nó chỉ nên thử lại bằng GET nếu URL mới chỉ định tham số DNS; nếu không, nó phải lặp lại bằng POST. Mã trạng thái 302, 307 và 308 cũng có thể xuất hiện, và máy khách DoH phải xử lý cả bốn mã này. Mã trạng thái 301 và 308 có thể được lưu vào bộ nhớ cache vô thời hạn. Các yêu cầu POST nhận được mã trạng thái 307 hoặc 308 phải luôn được thử lại bằng POST.
- Yêu cầu xấu 400: Sự cố khi phân tích các tham số GET hoặc thông báo yêu cầu DNS không hợp lệ. Hầu hết các thông báo DNS không hợp lệ đều nhận được mã trạng thái 200 OK kèm theo FORMERR, nhưng lỗi HTTP xảy ra đối với các thông báo không thể đọc được, không có phần Câu hỏi, có mã QR biểu thị phản hồi hoặc có sự kết hợp mã không hợp lý.
- 413 Tải trọng quá lớn: Phần thân của yêu cầu POST RFC 8484 vượt quá kích thước thông báo tối đa là 512 byte.
- Lỗi 414: URI quá dài: Tiêu đề truy vấn GET quá lớn hoặc tham số DNS vượt quá 512 byte.
- 415 Loại phương tiện không được hỗ trợ: Phần thân yêu cầu POST không có tiêu đề kiểu nội dung application/dns-message.
- 429 Quá nhiều yêu cầu: Đã có quá nhiều yêu cầu được gửi trong một khoảng thời gian nhất định. Máy khách phải đợi đến thời gian được chỉ định trong tiêu đề Retry-After.
- Lỗi máy chủ nội bộ 500: Lỗi nội bộ trong dịch vụ của Bộ Y tế.
- 501 không được triển khai: Chỉ có phương thức GET và POST được hỗ trợ; các phương thức còn lại sẽ trả về lỗi này.
- Cổng xấu 502: Dịch vụ DoH không thể liên lạc với các máy chủ phân giải DNS công cộng của Google. Thử một địa chỉ khác có thể hiệu quả, nhưng phương án dự phòng hiệu quả hơn là thử một dịch vụ DoH khác hoặc chuyển sang DNS truyền thống sử dụng UDP hoặc TCP tại 8.8.8.8.
Các biện pháp tốt nhất về quyền riêng tư và hiệu suất
Các nhà phát triển ứng dụng DoH nên hạn chế các tiêu đề HTTP. Các tiêu đề như Cookie, User-Agent và Accept-Language có thể tiết lộ thông tin về cách triển khai phía máy khách và góp phần vào việc giải mã danh tính . Nên chỉ gửi các tiêu đề cần thiết cho DoH: Host, Content-Type (đối với các yêu cầu POST) và, nếu cần, Accept. Tiêu đề User-Agent nên được bao gồm trong các phiên bản phát triển hoặc thử nghiệm. Cũng nên sử dụng các tùy chọn đệm EDNS để rút ngắn các truy vấn về độ dài thông thường và làm cho việc phân tích lưu lượng truy cập khó khăn hơn. Đệm HTTP/2 là có thể, nhưng không giống như đệm EDNS, nó không tạo ra phần đệm trong phản hồi của máy chủ DoH.
Phương thức POST trong RFC 8484 chỉ nên được sử dụng trong các ứng dụng nhạy cảm về quyền riêng tư hoặc chế độ trình duyệt. Sử dụng POST làm giảm dung lượng bộ nhớ cache và có thể làm tăng độ trễ, vì vậy nhìn chung không được khuyến nghị . Tuy nhiên, việc giảm kích thước bộ nhớ cache có thể là cần thiết đối với các ứng dụng muốn ngăn chặn các cuộc tấn công đồng bộ hóa ứng dụng web nhằm mục đích phát hiện ra các miền mà người dùng đã truy cập gần đây. Phương pháp HTTPS cũng có những lợi thế thực tế: API HTTPS được phổ biến rộng rãi và hỗ trợ, đơn giản hóa việc triển khai; dịch vụ HTTPS cung cấp cho các ứng dụng web quyền truy cập vào tất cả các loại bản ghi DNS, tránh được những hạn chế của API trình duyệt hoặc hệ điều hành thường chỉ giới hạn ở việc tra cứu máy chủ thành địa chỉ; và các máy khách triển khai HTTPS qua UDP với QUIC có thể tránh được các sự cố như chặn đầu dòng xảy ra với TCP. Nếu bạn gặp lỗi hoặc muốn yêu cầu một tính năng mới, bạn nên báo cáo sự cố liên quan đến DoH thông qua các kênh thông thường.
Các câu hỏi thường gặp về DoH và VPN
Một trong những câu hỏi thường gặp nhất là liệu có nên sử dụng DoH khi đã dùng VPN hay không. Điều đó là có thể, nhưng cách tiếp cận thực tế nhất thường là để VPN xử lý DNS và xác minh bằng kiểm tra rò rỉ rằng các truy vấn đang đi qua các kênh chính xác. Nếu trình duyệt gửi các truy vấn của riêng nó theo một hướng và VPN gửi theo hướng khác, bạn có thể gặp phải những rắc rối không mong muốn.
Một câu hỏi phổ biến khác là liệu DoH có ngăn nhà cung cấp dịch vụ internet của bạn xem bạn truy cập những trang web nào hay không. DoH che giấu các truy vấn DNS khỏi nhiều người quan sát, nhưng nó không xóa tất cả siêu dữ liệu hoặc che giấu địa chỉ IP của bạn : nhà cung cấp dịch vụ internet của bạn vẫn có thể thấy bạn kết nối đến những địa chỉ IP nào và các thông tin mạng khác. Để được bảo vệ toàn diện hơn, bạn cần sử dụng VPN hoặc kết hợp nhiều lớp bảo mật.
Cũng cần xem xét liệu DomainHost (DoH) có đủ hiệu quả trên mạng Wi-Fi công cộng hay không. Nó có thể giúp ngăn chặn nhà mạng dễ dàng đọc các truy vấn DNS của bạn, nhưng không bảo vệ toàn bộ kết nối hoặc lưu lượng truy cập của tất cả các ứng dụng . Tại sân bay, khách sạn và quán cà phê, sử dụng VPN thường toàn diện hơn, đặc biệt nếu bạn không biết ai điều khiển bộ định tuyến hoặc liệu có người khác đang kết nối hay không.
Hệ thống tên miền (DoH) và VPN không phải là đối thủ trực tiếp, mà là những công cụ với khả năng khác nhau. DoH mã hóa quá trình tra cứu tên miền và giảm thiểu rủi ro trong giai đoạn này; VPN mã hóa đường dẫn giữa thiết bị của bạn và máy chủ, đồng thời thay đổi địa chỉ IP mà các điểm đến nhìn thấy . Cả hai đều không làm bạn trở nên vô hình: tài khoản, cookie, dấu vân tay trình duyệt, quyền truy cập ứng dụng, phần mềm độc hại và bất kỳ dữ liệu nào bạn chia sẻ trực tiếp vẫn có thể xác định danh tính của bạn. Nhưng điều đó không có nghĩa là chúng vô dụng. Điều đó chỉ đơn giản có nghĩa là mỗi công cụ đều có vai trò riêng. DoH bảo vệ quá trình tra cứu địa chỉ; VPN bảo vệ nhiều hơn nữa đường dẫn dữ liệu của bạn đi qua.