DNS CleanBrowsing: IP bộ lọc Gia đình và cách cài đặt

CleanBrowsing DNS là gì?

CleanBrowsing DNS là dịch vụ DNS lọc nội dung miễn phí: trỏ router hoặc thiết bị của bạn tới 185.228.168.168 và 185.228.169.168, bộ lọc Gia đình sẽ chặn nội dung người lớn, buộc bật SafeSearch và ngăn trẻ vào các trang VPN và proxy. Không cần tài khoản hay ứng dụng. Có ba bộ lọc miễn phí là Gia đình, Người lớn và Bảo mật, mỗi bộ có địa chỉ riêng, cùng các gói trả phí với danh mục tùy chỉnh.

Việc lọc diễn ra ngay lúc tra cứu. Với tên miền bị chặn, CleanBrowsing trả lời NXDOMAIN ("không có tên miền này"), nên trang không bao giờ tải: Chrome hiện DNS_PROBE_FINISHED_NXDOMAIN, các trình duyệt khác hiện lỗi "không tìm thấy máy chủ" tương tự.

Dịch vụ miễn phí có những giới hạn mà CleanBrowsing tự nêu trên trang bộ lọc: nó bị giới hạn tốc độ, không có hỗ trợ và không tùy chỉnh được. Gói trả phí bắt đầu từ 75 USD một năm (miễn phí và trả phí) và thêm hơn 26 danh mục, danh sách cho phép và chặn, cùng báo cáo. Theo CleanBrowsing, các bộ lọc miễn phí xử lý hơn 355 tỷ truy vấn mỗi tháng tại hơn 70 trung tâm dữ liệu.

Địa chỉ máy chủ DNS CleanBrowsing (IPv4, IPv6, DoH, DoT)

Đây là địa chỉ các bộ lọc miễn phí lấy từ trang bộ lọc của CleanBrowsing, đã kiểm tra ngày 26 tháng 10 năm 2026. Hãy dùng cả hai địa chỉ của cùng một bộ lọc, và cả cặp IPv6 nếu mạng của bạn có IPv6.

Bộ lọc Người lớn có hai địa chỉ phụ được công bố. Trang bộ lọc ghi 185.228.169.11; hướng dẫn cài đặt của CleanBrowsing ghi 185.228.169.10. Cả hai đều hoạt động như bộ lọc Người lớn trong thử nghiệm của chúng tôi, nhưng .10 trả lời tên bị chặn bằng NXDOMAIN như địa chỉ chính, còn .11 trả về 185.228.168.254, một máy chủ hiển thị trang "Website Blocked" của CleanBrowsing.

Cả sáu địa chỉ IPv6 đều phản hồi từ kết nối của chúng tôi và lọc y hệt các địa chỉ IPv4 tương ứng.

Gia đình, Người lớn, Bảo mật: mỗi bộ lọc chặn gì

Gia đình chặn trang người lớn, nội dung hỗn hợp, trang VPN và proxy cùng mã độc và lừa đảo, và buộc bật SafeSearch. Người lớn chặn trang người lớn và mối đe dọa nhưng không đụng tới Reddit, VPN và YouTube. Bảo mật chỉ chặn mối đe dọa.

Ngày 26 tháng 10 năm 2026, chúng tôi hỏi từng bộ lọc về cùng các tên miền, từ Ấn Độ. Dấu tích nghĩa là bộ lọc đã chặn tên đó (NXDOMAIN) hoặc chuyển sang phiên bản an toàn của công cụ tìm kiếm.

Ba kết quả vượt ra ngoài mô tả của chính CleanBrowsing:

• Bộ lọc Người lớn có buộc bật SafeSearch. Trang miễn phí và trả phí của CleanBrowsing nói là không; trang bộ lọc nói là có. Nó chuyển Google, Bing và DuckDuckGo sang phiên bản an toàn, giống Gia đình.
• Cài đặt YouTube của Gia đình là Vừa phải, không phải Nghiêm ngặt (xem phần tiếp theo).
• Các ứng dụng mạng xã hội vẫn mở trên mọi bộ lọc miễn phí. TikTok, Instagram và Discord phân giải bình thường; muốn chặn mạng xã hội hoặc trò chơi cần gói trả phí hoặc kiểm soát trên thiết bị.

SafeSearch và YouTube: bộ lọc Gia đình thực sự làm gì

CleanBrowsing buộc bật SafeSearch qua DNS: truy vấn một công cụ tìm kiếm nhận được địa chỉ của phiên bản khóa an toàn. Với Google đó là forcesafesearch.google.com (216.239.38.120), trả kết quả với SafeSearch bị khóa ở trạng thái bật bất kể cài đặt trình duyệt.

Bộ lọc Gia đình và Người lớn trả lời 216.239.38.120 cho www.google.com và các trang theo quốc gia như www.google.co.in, đồng thời chuyển Bing sang strict.bing.com và DuckDuckGo sang safe.duckduckgo.com. Bộ lọc Bảo mật để nguyên.

YouTube là chỗ lời tuyên bố và số đo khác nhau. Hướng dẫn SafeSearch của CleanBrowsing nói bộ lọc Gia đình miễn phí dùng Chế độ hạn chế Nghiêm ngặt. Cách dùng DNS của Google có hai đích: restrict.youtube.com cho Nghiêm ngặt (216.239.38.120) và restrictmoderate.youtube.com cho Vừa phải (216.239.38.119). Bộ lọc Gia đình trả lời 216.239.38.119, tức Vừa phải, cho cả năm tên máy chủ YouTube mà Google liệt kê, kể cả youtubei.googleapis.com của ứng dụng. Bộ lọc Người lớn không hạn chế YouTube.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

Thử nghiệm tốc độ CleanBrowsing: kết quả của chúng tôi từ Ấn Độ

Chúng tôi đo từng địa chỉ ngày 26 tháng 10 năm 2026 từ kết nối gia đình Jio ở Ấn Độ: trung vị của năm truy vấn một tên miền phổ biến (có trong bộ nhớ đệm) và năm tên miền hoàn toàn mới (không có trong bộ nhớ đệm), cộng 20 truy vấn để đếm số lần máy chủ không phản hồi trong 2 giây. Bộ lọc gia đình của Cloudflare và OpenDNS được đo cùng lúc.

Hai địa chỉ của một bộ lọc không như nhau. CleanBrowsing cho biết tên máy chủ phản hồi (dig @185.228.168.168 id.server CH TXT): từ kết nối của chúng tôi, mọi địa chỉ 185.228.168.x được trả lời ở Singapore và mọi địa chỉ 185.228.169.x ở London, khiến thời gian khi có trong bộ nhớ đệm tăng gần gấp đôi (63–79 ms so với 152–166 ms) và rớt nhiều truy vấn hơn. Các địa chỉ IPv6 chuyển qua lại giữa hai thành phố từ truy vấn này sang truy vấn khác.

Cloudflare và OpenDNS trả lời tên miền có trong bộ nhớ đệm nhanh gần gấp đôi ở đây vì cả hai phản hồi từ Ấn Độ; với tên miền hoàn toàn mới, khoảng cách nhỏ (52–68 ms so với 66–75 ms). Ở châu Âu hoặc Bắc Mỹ, thứ tự có thể đổi, nên hãy đo từ đường truyền của chính bạn.

CleanBrowsing qua DNS over HTTPS và DNS over TLS

Cả ba bộ lọc miễn phí đều phản hồi DNS mã hóa. Điều đó ngăn nhà mạng hoặc chủ Wi-Fi đọc hay viết lại truy vấn, và trên điện thoại bộ lọc vẫn bật khi dùng dữ liệu di động.

• DNS over TLS (DoT): tên máy chủ của bộ lọc trên cổng 853, chẳng hạn family-filter-dns.cleanbrowsing.org; DNS riêng tư của Android dùng cách này. Cả ba tên máy chủ đều hoàn tất bắt tay TLS 1.3 với chứng chỉ *.cleanbrowsing.org hợp lệ và lọc như DNS thường; trên một kết nối mở, trung vị của Gia đình là 78 đến 89 ms qua ba lần chạy.
• DNS over HTTPS (DoH): https://doh.cleanbrowsing.org/doh/family-filter/ (hoặc adult-filter, security-filter). Nó trả lời các truy vấn RFC 8484 chuẩn, trung vị 83 ms cho Gia đình. Dùng nó trong Windows 11, trình duyệt và hồ sơ Apple.
• Gói trả phí có tên máy chủ DoT và đường dẫn DoH riêng kèm mã tài khoản, hiển thị trong bảng điều khiển của CleanBrowsing.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

CleanBrowsing có an toàn không? Quyền riêng tư, nhật ký và DNSSEC

Với bộ lọc miễn phí, chính sách quyền riêng tư của CleanBrowsing nói rằng họ không ghi hay lưu thông tin nhận dạng cá nhân như địa chỉ IP của bạn, và không bán, cho thuê hay chia sẻ dữ liệu cá nhân. Tuy nhiên họ giữ dữ liệu truy vấn đã ẩn danh (các tên miền được yêu cầu), có thể giữ vô thời hạn, và chia sẻ dưới dạng ẩn danh với các thương hiệu chị em NOC, DNSArchive và Trunc.

Họ cũng không chuyển thông tin mạng của bạn cho các máy chủ DNS khác: phép thử o-o.myaddr.l.google.com của Google chỉ thấy máy chủ của CleanBrowsing và không có EDNS Client Subnet, giống Cloudflare. OpenDNS FamilyShield đã chuyển mạng con /24 của chúng tôi trong một trên hai lần thử.

DNSSEC là điểm yếu. Trình phân giải có xác thực phải từ chối tên miền có chữ ký hỏng (các tên miền thử như dnssec-failed.org phải nhận SERVFAIL). Phản hồi của CleanBrowsing phụ thuộc vào máy chủ: các nút báo phiên bản phần mềm v1.6a trả về địa chỉ cho tên miền hỏng trong 27 trên 27 truy vấn, còn các nút v1.7a, gồm mọi phản hồi từ London, thì từ chối. Cloudflare 1.1.1.3 và OpenDNS FamilyShield từ chối cả 20 truy vấn. Cho tới khi các nút cũ được cập nhật, CleanBrowsing không bảo vệ bạn đáng tin cậy trước các phản hồi giả mạo.

Cách cài đặt CleanBrowsing DNS

Để kiểm soát của phụ huynh, hãy bắt đầu từ router: mọi thiết bị trong Wi-Fi của bạn đều được lọc, kể cả máy chơi game và TV thông minh, và không có gì trên thiết bị của trẻ để tắt đi. Sau đó cài trên từng điện thoại hoặc laptop mang ra khỏi nhà, vì cài đặt của router không áp dụng khi dùng dữ liệu di động hay Wi-Fi khác.

Trên router (tốt nhất để kiểm soát của phụ huynh)

• Mở trang quản trị của router, thường ở 192.168.1.1 hoặc 192.168.0.1. Hướng dẫn đăng nhập router của chúng tôi liệt kê địa chỉ và mật khẩu mặc định cho từng hãng và nhà mạng.
• Tìm các ô DNS trong mục Internet, WAN hoặc DHCP. CleanBrowsing khuyên đặt trong cài đặt WAN để áp dụng cho toàn bộ mạng của bạn.
• Thay các máy chủ hiện có bằng 185.228.168.168 và 185.228.169.168. Trong phần IPv6, nhập 2a0d:2a00:1:: và 2a0d:2a00:2::, hoặc tắt DNS IPv6 nếu router không nhận máy chủ IPv6 tùy chỉnh.
• Lưu, khởi động lại router và kết nối lại các thiết bị để chúng nhận thay đổi.

Android: DNS riêng tư (Wi-Fi và dữ liệu di động)

Android 9 trở lên có thể gửi mọi truy vấn tới CleanBrowsing qua DoT bằng DNS riêng tư, trên mọi mạng:

• Vào Cài đặt → Mạng và Internet → DNS riêng (nằm trong Nâng cao trên một số điện thoại; trên Samsung là Kết nối → Cài đặt kết nối khác → DNS riêng tư).
• Chọn Tên máy chủ của nhà cung cấp DNS riêng và nhập family-filter-dns.cleanbrowsing.org (hoặc adult-filter-dns.cleanbrowsing.org / security-filter-dns.cleanbrowsing.org).
• Chạm Lưu. Nếu hiện "Không thể kết nối", hãy kiểm tra chính tả; một số mạng trường học và văn phòng chặn cổng 853.

iPhone và iPad

• Tốt nhất: hồ sơ DNS mã hóa. Trên iPhone, mở trang hồ sơ Apple của CleanBrowsing, chọn bộ lọc Gia đình và tải hồ sơ xuống (iOS 14 trở lên). Sau đó mở Cài đặt → Đã tải về hồ sơ → Cài đặt. Nó dùng DoH trên mọi mạng, cả Wi-Fi lẫn di động.
• Chỉ một mạng Wi-Fi: vào Cài đặt → Wi-Fi, chạm (i) bên cạnh mạng, rồi Định cấu hình DNS → Thủ công. Xóa các máy chủ hiện có và thêm 185.228.168.168 và 185.228.169.168.
• Hồ sơ có thể bị xóa trong Cài đặt, và ứng dụng VPN bỏ qua mọi bộ lọc DNS. Dùng Thời gian sử dụng → Giới hạn nội dung & quyền riêng tư để chặn cài ứng dụng mới, với mật mã Thời gian sử dụng chỉ mình bạn biết.

Windows 11 và 10

• Mở Cài đặt → Mạng & Internet, chọn Wi-Fi (rồi Thuộc tính phần cứng) hoặc Ethernet.
• Bên cạnh Gán máy chủ DNS, nhấp Chỉnh sửa, chọn Thủ công và bật IPv4.
• Nhập 185.228.168.168 làm DNS ưu tiên và 185.228.169.168 làm DNS thay thế. Trên Windows 11, đặt DNS qua HTTPS thành Bật (mẫu thủ công) và nhập https://doh.cleanbrowsing.org/doh/family-filter/ cho cả hai.
• Bật IPv6, thêm 2a0d:2a00:1:: và 2a0d:2a00:2::, rồi nhấp Lưu. Trên Windows 10, dùng Panel Điều khiển → Trung tâm Mạng và Chia sẻ → Thay đổi cài đặt bộ điều hợp, hoặc dòng PowerShell bên dưới.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

macOS

• Mở Cài đặt hệ thống → Mạng, chọn Wi-Fi (hoặc Ethernet) và nhấp Chi tiết.
• Trong tab DNS, xóa các máy chủ cũ, nhấp + và thêm 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: và 2a0d:2a00:2::, rồi nhấp OK.
• Để DNS mã hóa đi theo MacBook sang các mạng khác, hãy cài chính hồ sơ Apple đó thay thế (macOS 11 Big Sur trở lên).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Trẻ lách bộ lọc DNS thế nào (và cách ngăn)

Bộ lọc DNS chỉ hoạt động khi thiết bị còn hỏi nó. Đây là những cách thường dùng để lách CleanBrowsing và cách chặn từng cách:

• Gõ một máy chủ DNS khác như 8.8.8.8. Cách xử lý: trên router, chỉ cho phép cổng 53 tới dải của CleanBrowsing, 185.228.168.0/23, và chuyển hướng hoặc chặn mọi thứ còn lại (quy tắc bên dưới).
• DNS over HTTPS trong trình duyệt. Gia đình trả lời NXDOMAIN cho dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io và các tên máy chủ DoH khác, cũng như cho use-application-dns.net, tên miền báo hiệu ngăn Firefox tự bật DoH. Máy chủ DoH nhập bằng địa chỉ IP vẫn lọt qua, vì trình duyệt không cần tra cứu để tới nó, nên trên các máy tính bạn quản lý, hãy tắt DNS bảo mật bằng chính sách.
• DNS riêng tư của Android đặt thành dns.google: Gia đình không phân giải tên máy chủ đó trên Wi-Fi của bạn, nhưng trên dữ liệu di động thì chạy được. Chặn cổng TCP 853 đi ra trừ tới CleanBrowsing, và đặt DNS riêng tư của chính điện thoại thành CleanBrowsing.
• Ứng dụng VPN và proxy web. Gia đình đã chặn mọi trang VPN và proxy chúng tôi thử, nên chặn được proxy web. Ứng dụng VPN từ kho ứng dụng vẫn có thể kết nối, khi đó DNS chạy trong đường hầm nơi không bộ lọc DNS nào thấy được, vì vậy hãy kiểm soát việc cài ứng dụng bằng Google Family Link hoặc Thời gian sử dụng.
• IPv6 và các mạng khác. DNS IPv6 của nhà mạng, Wi-Fi của hàng xóm hay dữ liệu di động đều bỏ qua cài đặt của router: hãy đặt máy chủ IPv6 và cài DNS riêng tư hoặc hồ sơ Apple lên điện thoại của trẻ.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Sau đó kiểm tra từng thiết bị bằng DNS Leak Test của DNS Robot: mọi trình phân giải được liệt kê phải thuộc về CleanBrowsing. Nếu Google, Cloudflare hay nhà mạng của bạn xuất hiện trong danh sách, có thứ gì đó trên thiết bị đang đi vòng qua bộ lọc. Khi DNS mã hóa bị chặn, một số iPhone cảnh báo rằng mạng đang chặn DNS mã hóa; đây là ý nghĩa của cảnh báo đó.

CleanBrowsing so với Cloudflare 1.1.1.3 và OpenDNS FamilyShield

Cloudflare 1.1.1.3 và OpenDNS FamilyShield là hai bộ lọc gia đình miễn phí lớn còn lại. Chúng tôi chạy cùng các phép thử trên từng dịch vụ ngày 26 tháng 10 năm 2026; địa chỉ lấy từ tài liệu của Cloudflare và trang FamilyShield của OpenDNS.

Chọn CleanBrowsing Gia đình cho trẻ nhỏ: đây là dịch vụ duy nhất trong ba dịch vụ chặn nội dung hỗn hợp kiểu Reddit và hạn chế YouTube, đồng thời chặn các trang VPN và máy chủ DoH mà trẻ dùng để lách bộ lọc. Chọn Cloudflare 1.1.1.3 để chặn trang người lớn và mã độc kèm SafeSearch và phản hồi nhanh khi Reddit và YouTube có thể để mở; xem hướng dẫn DNS Cloudflare của chúng tôi. OpenDNS FamilyShield chặn trang người lớn, VPN và proxy, nhưng không buộc bật SafeSearch và để lọt trang thử nghiệm mã độc.

Cách kiểm tra CleanBrowsing có hoạt động không

Tên miền thử của chính CleanBrowsing, badexample.com, bị cả ba bộ lọc chặn nhưng phân giải bình thường qua các trình phân giải khác. Hãy tra cứu qua DNS thông thường của bạn, không chỉ định máy chủ: NXDOMAIN nghĩa là truy vấn của bạn tới được CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Nếu badexample.com trả về một địa chỉ, thiết bị của bạn không dùng CleanBrowsing: hãy tìm VPN, cài đặt DNS bảo mật của trình duyệt hoặc máy chủ DNS thứ hai. Để xem một tên miền bị chặn thực sự trỏ tới đâu, hãy tra bằng DNS Lookup của DNS Robot, công cụ hỏi các trình phân giải công khai không lọc.