Rò rỉ DNS và đầu độc DNS: cách kiểm tra và khắc phục

DNS là cách Internet hỏi đường. Bạn gõ một tên miền, thiết bị cần một địa chỉ IP, và bước ở giữa — tên này ứng với địa chỉ nào — là một câu hỏi gửi tới máy chủ DNS. Mặc định đó là máy chủ do nhà mạng hoặc router chọn, và truy vấn DNS kiểu cũ không được mã hóa: thiết bị dọc đường đọc được câu hỏi và có cơ hội trả lời trước cả máy chủ thật.

Đầu độc DNS là khi câu trả lời đó bị thay bằng câu trả lời giả: tên miền trỏ tới một địa chỉ chẳng liên quan hoặc không thể kết nối. Với người dùng, nó biểu hiện như sau.

• Một số trang cứ quay mãi, hết thời gian chờ hoặc báo kết nối bị đặt lại, trong khi cùng lúc đó các trang khác vẫn vào bình thường.
• Đổi sang máy chủ DNS công cộng cũng không ăn thua: câu trả lời giả được chèn vào giữa đường, nên dù bạn hỏi ai thì câu trả lời giả vẫn tới trước.
• Cùng một tên miền mà mỗi lần phân giải lại ra một địa chỉ khác, và các địa chỉ đó thuộc về những tổ chức chẳng dính dáng gì đến trang web.
• Trình duyệt báo lỗi chứng chỉ: tên miền đã bị trỏ sang máy chủ của người khác, máy chủ đó không thể đưa ra chứng chỉ của trang. Dừng lại ở đó, đừng bấm bỏ qua.
• Sang mạng khác (ví dụ 4G) hoặc bật VPN thì cùng trang đó mở ra ngay.

Nếu tình hình đã là “bật VPN thì vào được, tắt thì không” thì thế là đủ để kết luận. Muốn xác nhận một tên miền có được phân giải đúng không, làm theo bốn bước sau.

1. Tắt VPN, tra tên miền trên dòng lệnh của máy tính (thay example.com bằng tên miền cần kiểm tra) và ghi lại địa chỉ trả về: nslookup example.com
2. Bật VPN (một cách kết nối cho toàn thiết bị, chế độ toàn cục) rồi tra lại đúng tên miền đó. Kết quả khác nhau là chuyện thường, vì các trang lớn có máy chủ ở nhiều nơi; bước tiếp theo mới là bước quyết định.
3. Đem địa chỉ đầu tiên lên một trang tra IP như ipinfo.io và xem ai sở hữu nó. Nếu nó thuộc về chính trang web hoặc nhà cung cấp đám mây của họ thì phân giải bình thường. Nếu nó thuộc về một tổ chức không liên quan, hoặc không kết nối được, thì câu trả lời đã bị đầu độc.
4. Lặp lại vài lần. Kết quả thật chỉ nằm trong một nhóm nhỏ địa chỉ cố định; kết quả bị đầu độc thường đổi sau mỗi lần tra.

Có bốn cách, từ chữa một phần đến chữa tận gốc. Hai cách đầu chỉ đổi người được hỏi; cách thứ ba giải quyết cả việc hỏi đường lẫn việc đi đường.

• Đổi máy chủ DNS: có tác dụng khi chính DNS của nhà mạng bị sai hoặc lưu địa chỉ cũ. Không làm gì được với câu trả lời bị chèn vào giữa đường.
• DNS mã hóa (DoH, DoT): truy vấn không thể bị sửa dọc đường nên bạn nhận được địa chỉ thật. Nhưng địa chỉ thật vẫn có thể không vào được, nên đây mới là chữa được một nửa.
• Cho cả phân giải lẫn lưu lượng đi qua đường truyền: cách chữa tận gốc. Tên miền được phân giải ở đầu bên kia, câu trả lời là thật, và lượt truy cập cũng đi ra từ đầu bên kia.
• Sửa file hosts để ghim địa chỉ bằng tay: hỏng ngay khi địa chỉ thay đổi và không làm nổi cho quá vài trang. Chỉ hợp để chữa cháy.
• LeoTun dùng cách thứ ba: DNS do đường truyền cấp và được phân giải bên trong đường hầm, nên DNS gốc của thiết bị không được dùng. Với Web Proxy, máy chủ proxy phân giải tên miền thay cho trình duyệt. Router làm việc này cho mọi thiết bị trong nhà, và phân giải các trang Trung Quốc theo đường trong nước để chúng mở thẳng. Dùng đường truyền của chúng tôi, thông thường bạn không cần chỉnh bất kỳ cài đặt DNS nào.

• Đầu độc DNS: câu trả lời là giả. Trang không mở được hoặc bạn bị đưa đi chỗ khác. Xảy ra khi bạn không đi qua đường truyền, hoặc khi việc phân giải không đi qua đường truyền.
• Rò rỉ DNS: câu trả lời là thật, nhưng người được hỏi lại là nhà mạng nơi bạn ở. Nhà mạng biết bạn đang vào những tên miền nào, và trang video có thể dựa vào đó đoán ra vị trí thật của bạn. Xảy ra khi VPN đã kết nối nhưng truy vấn lại đi ngoài đường hầm.
• Nguyên nhân rò rỉ hay gặp: bật DNS an toàn trong trình duyệt hoặc hệ thống; đang chạy cùng lúc một VPN hay công cụ mạng nội bộ ảo khác; IPv6 của thiết bị không đi qua đường hầm.
• Khi bạn ở nước ngoài xem video Trung Quốc, dấu hiệu rò rỉ điển hình là “đã kết nối, IP đúng mà vẫn hiện thông báo giới hạn khu vực”. Các bước xử lý có trong bài Ở nước ngoài bị chặn Tencent Video hay iQIYI.

1. IP cổng ra: sau khi kết nối, mở một trang tra IP như ipinfo.io hoặc ip.sb. Địa chỉ và vị trí phải là cổng ra bạn đã chọn, không phải mạng cáp quang nhà bạn.
2. DNS: mở một trang kiểm tra rò rỉ DNS (dnsleaktest.com, hoặc trang DNS trên browserleaks.com). Trang sẽ liệt kê các máy chủ đang phân giải tên miền cho bạn. Ở chế độ toàn cục, nhà mạng nơi bạn ở không được xuất hiện trong danh sách.
3. IPv6: mở test-ipv6.com. Nếu IPv6 báo không khả dụng, hoặc hiện một địa chỉ không phải của mạng nơi bạn ở, thì mọi thứ ổn.
4. Ở chế độ chia luồng thì đọc kết quả khác đi: các trang Trung Quốc vốn được phân giải trong nước, nên thấy máy chủ trong nước trên trang kiểm tra chưa chắc đã là rò rỉ. Muốn chắc chắn, chuyển sang toàn cục rồi kiểm tra lại.
5. Ngắt kết nối và chạy lại tất cả một lần nữa, rồi so sánh. Nếu hai lần giống hệt nhau thì lưu lượng không đi qua đường truyền; hãy kiểm tra xem ứng dụng đã thật sự kết nối chưa.

Khi bật chia luồng, chuyện này là bình thường, thậm chí chính là chia luồng đang làm đúng việc. Ở trong Trung Quốc và chọn khu vực nước ngoài, trang tra IP của Trung Quốc được đi thẳng nên thấy địa chỉ mạng nhà bạn, còn trang tra IP nước ngoài đi qua đường truyền nên thấy địa chỉ cổng ra. Cả hai đều đúng: một bên trả lời “các trang Trung Quốc thấy tôi ở đâu”, bên kia trả lời “các trang nước ngoài thấy tôi ở đâu”.

Với cổng vào Trung Quốc cũng vậy: các trang Trung Quốc đi ra từ Trung Quốc, còn các trang nước ngoài đi qua một tuyến ở nước ngoài, nên trang tra IP nước ngoài sẽ hiện đầu bên nước ngoài.

Kiểu chênh lệch thứ ba đến từ cơ sở dữ liệu. Một IP thuộc nước nào, thành phố nào là tùy cơ sở dữ liệu định vị mà mỗi trang tra IP dùng, và chúng được cập nhật vào những thời điểm khác nhau. Một IP hiện hai thành phố khác nhau, thậm chí hai nước khác nhau, trên hai trang là chuyện không hiếm. Trang web hay ứng dụng thực tế dựa vào cơ sở dữ liệu của chính họ.

Muốn xem cổng ra khi mọi thứ đều đi qua đường truyền, chuyển ứng dụng sang toàn cục rồi xem lại. Hướng đi của chia luồng trên router và cách kiểm chứng có trong bài Chia luồng trên router VPN hoạt động thế nào.

Điểm sạch của IP, còn gọi là uy tín IP hay điểm gian lận (fraud score), là mức rủi ro mà một số trang kiểm tra gán cho một địa chỉ. Không có tiêu chuẩn chung; mỗi trang một công thức, và cùng một địa chỉ có thể bị chấm rất khác nhau ở mỗi trang. Nó đo xem trang web coi địa chỉ đó giống một người dùng gia đình bình thường đến mức nào. Nó không nói gì về việc dữ liệu của bạn có được bảo vệ hay không. Chủ yếu có bốn yếu tố quyết định.

• Loại địa chỉ: cáp quang gia đình, mạng di động hay trung tâm dữ liệu.
• Có bị đánh dấu là proxy hay VPN không: có những cơ sở dữ liệu chuyên thu thập đúng loại địa chỉ này.
• Lịch sử: địa chỉ đó đã từng gửi thư rác, gọi API dồn dập hay bị báo cáo chưa.
• Bao nhiêu người dùng cùng lúc: khi nhiều người chung một cổng ra, hành vi của tất cả đều được ghi vào cùng một địa chỉ.

Cổng ra dùng chung vốn dĩ bị chấm điểm thấp. Nhiều người dùng chung một địa chỉ cổng ra, chỉ cần một người từng chạm vào cơ chế kiểm soát rủi ro là bản ghi nằm lại trên địa chỉ đó. Địa chỉ ấy cũng thuộc dải của trung tâm dữ liệu, nên chỉ riêng về loại đã bị trừ điểm. Điều này đúng với cổng ra của VPN và proxy nói chung.

Trên thực tế, điểm thấp nghĩa là gặp CAPTCHA nhiều hơn, một số trang bắt xác minh thêm, và vài dịch vụ từ chối địa chỉ trung tâm dữ liệu. Hãy coi kết quả chỉ để tham khảo. Khi một trang cụ thể không cho bạn vào, hãy kết nối lại qua khu vực khác: mỗi khu vực có địa chỉ cổng ra khác nhau, và mỗi khu vực có nhiều máy đứng sau.

Router phải thấy thiết bị đang hỏi tên miền nào thì mới quyết định được lượt truy cập đó đi qua đường truyền hay đi thẳng. Thiết bị bật DNS mã hóa (DoH hoặc DoT) sẽ tự hỏi một máy chủ bên thứ ba qua kênh mã hóa riêng, router không bao giờ thấy truy vấn, và chia luồng cho thiết bị đó không còn khớp: thứ cần đi đường truyền thì không đi, hoặc các trang Trung Quốc lại đi vòng. Khi trong nhà chỉ có một thiết bị gặp trục trặc, hãy kiểm tra điều này trước.

• Android: Cài đặt → Mạng và Internet → DNS riêng tư (Private DNS), chọn “Tắt”. Tên menu khác nhau tùy hãng; gõ “DNS riêng tư” vào ô tìm kiếm trong Cài đặt là thấy.
• Chrome: Cài đặt → Quyền riêng tư và bảo mật → Bảo mật → Dùng DNS an toàn, tắt đi. Edge và Firefox có mục tương tự trong phần quyền riêng tư; Firefox gọi là “DNS qua HTTPS” (DNS over HTTPS).
• iPhone và Mac: không có một công tắc chung cho cả hệ thống. Nếu bạn đã cài ứng dụng DNS hoặc hồ sơ DNS, hãy tắt nó trong Cài đặt → Cài đặt chung → VPN & Quản lý thiết bị, và tắt Chuyển tiếp bảo mật iCloud (iCloud Private Relay) nếu đang bật.
• Sau đó cho thiết bị kết nối lại Wi‑Fi và kiểm chứng theo cách ở phần cuối bài hướng dẫn chia luồng trên router.