Mạng này đang chặn lưu lượng DNS được mã hóa là gì? Cách khắc phục

"Mạng này đang chặn lưu lượng DNS được mã hóa" có nghĩa là gì?

“Mạng này đang chặn lưu lượng DNS được mã hóa” nghĩa là iPhone, iPad hoặc Mac của bạn đã cố tra cứu tên trang web qua một máy chủ DNS được mã hóa, nhưng mạng Wi-Fi đã chặn lại. Apple hiển thị nó dưới dạng “Cảnh báo về quyền riêng tư” bên dưới tên mạng trong Cài đặt > Wi-Fi, kèm dòng: “Tên của các trang web và máy chủ khác mà thiết bị của bạn truy cập trên mạng này có thể được các thiết bị khác trên mạng này giám sát và ghi lại.”

Apple đã giải thích điều này khi thêm DNS mã hóa vào iOS 14 và macOS Big Sur (WWDC 2020): một số mạng chặn máy chủ DNS mã hóa theo chính sách vì họ lọc lưu lượng bằng cách xem các truy vấn DNS, và khi đó mạng Wi-Fi sẽ bị gắn cảnh báo quyền riêng tư.

Thiết bị chỉ thử DNS mã hóa khi có thứ gì đó bật nó: một ứng dụng DNS (như 1.1.1.1 của Cloudflare, NextDNS hoặc AdGuard), một cấu hình DNS, quản lý thiết bị của công ty bạn, hoặc từ iOS 16, một máy chủ DNS tự cung cấp mã hóa. Chuyển tiếp bảo mật iCloud (iCloud Private Relay) cũng có thể kích hoạt nó: cài đặt Wi-Fi của Apple cho biết tính năng này tự định tuyến các yêu cầu DNS. Tìm ra nguồn đó là bạn đã tìm ra cách sửa.

Lưu lượng DNS được mã hóa là gì?

Mỗi khi bạn truy cập một trang web, thiết bị gửi truy vấn DNS để dịch tên miền (như dnsrobot.net) thành địa chỉ IP. DNS truyền thống gửi các truy vấn này dưới dạng văn bản thuần qua cổng 53 — hoàn toàn không mã hóa. Điều này có nghĩa là ISP, quản trị viên mạng, hoặc bất kỳ ai trên cùng Wi-Fi đều có thể thấy mọi tên miền bạn tra cứu.

DNS mã hóa bọc các truy vấn này trong lớp mã hóa, giống như HTTPS bảo vệ lưu lượng web. Thay vì gửi dns-query: dnsrobot.net dưới dạng văn bản thuần, thiết bị mã hóa truy vấn để chỉ máy chủ DNS có thể đọc được.

Có hai giao thức DNS mã hóa chính mà thiết bị Apple hỗ trợ:

• DNS-over-HTTPS (DoH) — Gửi truy vấn DNS qua HTTPS trên cổng 443, nên chúng hòa lẫn với lưu lượng web thông thường
• DNS-over-TLS (DoT) — Gửi truy vấn DNS qua kết nối TLS trên cổng chuyên dụng 853, cung cấp mã hóa với ranh giới giao thức rõ ràng

Thiết bị Apple hỗ trợ cả hai từ iOS 14 và macOS Big Sur nhưng không dùng chúng theo mặc định. Từ iOS 16 và macOS Ventura, thiết bị còn tự chuyển sang DNS mã hóa khi máy chủ DNS của mạng thông báo hỗ trợ qua Discovery of Designated Resolvers (DDR). Hướng dẫn DNS riêng tư của chúng tôi trình bày các giao thức này trên Android.

DoH vs DoT: khác nhau như thế nào

Cả hai giao thức đều mã hóa truy vấn DNS, nhưng hoạt động khác nhau. Hiểu sự khác biệt giúp bạn chọn giải pháp phù hợp khi khắc phục sự cố chặn.

Khi một mạng chặn DNS mã hóa, mục tiêu dễ nhất là DoT trên cổng 853. DoH dùng chung cổng 443 với mọi trang HTTPS, nên mạng chặn nó bằng cách chặn địa chỉ và tên của các máy chủ DoH đã biết, hoặc trả lời các tên đó bằng lỗi.

Tại sao mạng chặn DNS mã hóa?

Không phải tất cả việc chặn DNS mã hóa đều có ý đồ xấu. Có nhiều lý do chính đáng khiến mạng có thể chặn hoặc can thiệp vào lưu lượng DNS mã hóa:

• Mạng doanh nghiệp — Bộ phận IT chặn DNS mã hóa để thực thi chính sách bảo mật, lọc nội dung và phát hiện mối đe dọa. Họ cần khả năng nhìn thấy truy vấn DNS để chặn tên miền malware và ngăn rò rỉ dữ liệu
• Router có kiểm soát của phụ huynh — Router có tính năng kiểm soát của phụ huynh tích hợp (như Netgear Smart Parental Controls hoặc ASUS AiProtection) chặn bắt truy vấn DNS để lọc danh mục nội dung. DNS mã hóa bỏ qua các bộ lọc này
• Lọc nội dung của ISP — Một số ISP sử dụng lọc dựa trên DNS để tuân thủ quy định của chính phủ hoặc chặn các trang web độc hại đã biết. DNS mã hóa ngăn việc lọc này hoạt động
• Captive portal Wi-Fi công cộng — Khách sạn, sân bay và quán cà phê sử dụng chặn DNS để chuyển hướng bạn đến trang đăng nhập. DNS mã hóa phá vỡ cơ chế chuyển hướng này
• Pi-hole và AdGuard Home — Trình chặn quảng cáo dựa trên DNS cần thấy các lượt tra cứu của bạn. Ví dụ, Pi-hole theo mặc định trả lời các tên mà thiết bị dùng để phát hiện DNS mã hóa (DDR) và Chuyển tiếp bảo mật iCloud để thiết bị tiếp tục dùng Pi-hole, và một số thiết lập còn thêm danh sách chặn máy chủ DoH

Trên mạng gia đình, trước tiên hãy tìm tính năng đang lọc DNS: kiểm soát của phụ huynh, trình chặn quảng cáo như Pi-hole hoặc AdGuard Home, bộ bảo mật của router, hoặc quy tắc tường lửa trên cổng 853.

Cách khắc phục trên iPhone & iPad (iOS/iPadOS)

Bắt đầu với Cách 1: nó tìm ra cài đặt đang thử dùng DNS mã hóa. Cách 2 đến 6 giúp xử lý kết nối bị kẹt.

Cách 1: tìm thứ đã bật DNS mã hóa

Kiểm tra theo thứ tự sau. Mỗi mục đều có thể khiến thiết bị thử dùng DNS mã hóa trên mọi mạng:

• Chuyển tiếp bảo mật iCloud — tính năng này tự định tuyến và mã hóa các lượt tra cứu DNS; cài đặt Wi-Fi của Apple hiển thị: "Các yêu cầu DNS đang được định tuyến bởi Chuyển tiếp bảo mật iCloud cho mạng Wi-Fi này". Để tắt nó chỉ trên mạng này, vào Cài đặt > Wi-Fi, chạm (i) bên cạnh mạng và tắt Giới hạn theo dõi địa chỉ IP (cách Apple hướng dẫn để tắt Chuyển tiếp bảo mật cho một mạng). Mạng chặn chính Chuyển tiếp bảo mật sẽ hiện một thông báo khác, cho biết mạng không tương thích với Chuyển tiếp bảo mật
• Ứng dụng hoặc cấu hình DNS — mở Cài đặt > Cài đặt chung > Quản lý VPN & thiết bị và tìm mục VPN hoặc DNS từ một ứng dụng (ứng dụng 1.1.1.1 của Cloudflare cài một cấu hình VPN; NextDNS và AdGuard dùng cài đặt DNS) hoặc một cấu hình. Tắt ứng dụng trên mạng này, hoặc xóa cấu hình bạn không cần
• Máy chủ DNS đặt thủ công — trong Cài đặt > Wi-Fi > (i) > Định cấu hình DNS, các máy chủ như 1.1.1.1, 8.8.8.8 và 9.9.9.9 cho iOS 16 trở lên biết chúng hỗ trợ DNS mã hóa, nên iPhone tự động chuyển sang. Đặt Định cấu hình DNS về Tự động để kiểm tra
• Cấu hình công việc — nếu công ty quản lý thiết bị của bạn, cài đặt DNS là chính sách: hãy hỏi bộ phận IT thay vì tự thay đổi

Cách 2: khởi động lại thiết bị và router

Khởi động lại sẽ xóa trạng thái mạng đã lưu trên cả thiết bị và router.

• iPhone/iPad: Giữ nút bên + nút âm lượng > trượt để tắt > đợi 30 giây > bật lại
• Router: Rút cáp nguồn > đợi 30 giây > cắm lại > đợi 2 phút để khởi động hoàn toàn

Sau khi cả hai thiết bị khởi động lại, vào Cài đặt > Wi-Fi và chạm vào tên mạng. Kiểm tra xem “Cảnh báo về quyền riêng tư” có còn hiện không.

Cách 3: quên và kết nối lại mạng Wi-Fi

Quên mạng sẽ xóa các cài đặt đã lưu của mạng đó, kể cả DNS tùy chỉnh, và buộc thiết bị kết nối lại từ đầu: Cài đặt > Wi-Fi > (i) > Quên mạng này. Bạn sẽ cần mật khẩu Wi-Fi để kết nối lại, nên hãy kiểm tra trước (mật khẩu thường in trên nhãn dán ở router).

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

Cách 4: cập nhật iOS hoặc iPadOS

Vào Cài đặt > Cài đặt chung > Cập nhật phần mềm và cài mọi bản cập nhật có sẵn. Cảnh báo bất thường từng được báo cáo trên iOS 14 và 15 tại diễn đàn nhà phát triển của Apple, nên hãy cập nhật trước khi thay đổi bất cứ điều gì khác.

Cách 5: kiểm tra máy chủ DNS đặt thủ công

Riêng Định cấu hình DNS > Thủ công không mã hóa gì cả: nó chỉ đổi máy chủ mà iPhone hỏi. Nhưng từ iOS 16, một máy chủ hỗ trợ Discovery of Designated Resolvers sẽ khiến iPhone tự động nâng cấp lên DNS mã hóa. Chúng tôi đã kiểm tra ngày 26 tháng 10 năm 2026: 1.1.1.1, 8.8.8.8 và 9.9.9.9 đều thông báo DoH và DoT theo cách này (Quad9 còn có DNS over QUIC).

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

Vì vậy, một máy chủ DNS công cộng đặt thủ công có thể gây ra cảnh báo trên mạng chặn DNS mã hóa: để xóa cảnh báo, hãy chuyển Định cấu hình DNS về Tự động (Cài đặt > Wi-Fi > (i) > Định cấu hình DNS). Chỉ thêm máy chủ công cộng thủ công trên những mạng cho phép DNS mã hóa. Cài đặt này áp dụng theo từng mạng.

Cách 6: đặt lại cài đặt mạng

Nếu không có cách sửa nào ở trên hoạt động, đặt lại cài đặt mạng xóa tất cả mạng Wi-Fi đã lưu, cấu hình VPN và cài đặt di động, cho thiết bị trạng thái mạng hoàn toàn sạch.

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

Sau khi đặt lại, thiết bị khởi động lại. Bạn sẽ cần kết nối lại tất cả mạng Wi-Fi và nhập lại mật khẩu. Cấu hình VPN cũng cần được thiết lập lại.

Cách khắc phục trên Mac (macOS)

Cảnh báo tương tự có thể xuất hiện trong cài đặt Wi-Fi của Mac, và cũng chính những nguồn đó bật DNS mã hóa trên Mac.

Kiểm tra chuyển tiếp bảo mật, cấu hình và DNS trên Mac

Trên macOS Ventura trở lên, vào Cài đặt hệ thống > Mạng > Wi-Fi và bấm Chi tiết bên cạnh mạng: tắt Giới hạn theo dõi địa chỉ IP để dừng Chuyển tiếp bảo mật trên mạng đó, và kiểm tra tab DNS xem có máy chủ đặt thủ công không (xóa chúng để hết cảnh báo, vì 1.1.1.1, 8.8.8.8 và 9.9.9.9 nâng cấp lên DNS mã hóa qua DDR). Ứng dụng và cấu hình DNS nằm trong Cài đặt hệ thống → Cài đặt chung → Quản lý Thiết bị. Để đặt máy chủ DNS bằng Terminal:

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

Xóa cache DNS trên Mac

Sau khi thay đổi cài đặt DNS, hãy xóa cache DNS cục bộ để Mac dùng cài đặt mới ngay. Hướng dẫn cách xóa cache DNS của chúng tôi có cả Windows, Linux và trình duyệt.

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

Cách khắc phục trên router

Nếu đó là mạng của bạn, sửa trên router sẽ giúp mọi thiết bị cùng lúc. Hãy bắt đầu với thứ đang lọc DNS.

Kiểm tra bộ lọc router, rồi cập nhật firmware

Kiểm soát của phụ huynh, chặn quảng cáo và các tính năng bảo mật trên router và modem của nhà mạng thường hoạt động bằng cách chặn bắt DNS, và một số còn chặn DNS mã hóa để thiết bị không vượt qua bộ lọc. Tắt tính năng đó trong bảng quản trị router (hoặc cho phép DoH và DoT trong đó) rồi kiểm tra xem cảnh báo còn không. Sau đó cài bản cập nhật firmware (tên menu khác nhau tùy model):

• ASUS: Bảng quản trị router (192.168.1.1) > Administration > Firmware Upgrade > Check for update
• TP-Link: tplinkwifi.net > System Tools > Firmware Upgrade (hoặc dùng ứng dụng Tether)
• Netgear: routerlogin.net > Administration > Firmware Update > Check Online
• Linksys: 192.168.1.1 > Connectivity > Router Firmware Update

Thay đổi máy chủ DNS trên router

Nếu DNS của nhà mạng là thứ đang lọc, trỏ router sang một resolver công cộng sẽ chấm dứt việc đó. Bản thân router vẫn hỏi resolver đó bằng DNS thường, trừ khi router hỗ trợ DoT hoặc DoH.

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

Thiết bị nhận máy chủ DNS mới khi kết nối lại. Nếu router cấp trực tiếp địa chỉ của máy chủ công cộng (như 1.1.1.1) thay vì địa chỉ của chính nó (192.168.x.x), iOS 16 và macOS Ventura trở lên sẽ tự động chuyển sang DNS mã hóa qua DDR.

Máy chủ DNS tốt nhất hỗ trợ mã hóa

Các resolver công cộng này hỗ trợ cả DoH lẫn DoT, nên ứng dụng hoặc cấu hình DNS của bất kỳ nhà cung cấp nào trong số đó đều cho bạn DNS mã hóa khi mạng cho phép.

Cloudflare, Google và Quad9 cũng thông báo các điểm truy cập mã hóa của họ qua DDR, và iOS 16, macOS Ventura trở lên tự động dùng chúng khi một trong các máy chủ này là DNS của bạn. Không chắc máy chủ nào nhanh nhất với kết nối của bạn? Kiểm tra tốc độ DNS đo chúng ngay trong trình duyệt. Hướng dẫn cài đặt đầy đủ: máy chủ DNS Cloudflare và máy chủ DNS Google.

Cách xác minh DNS mã hóa đang hoạt động

Sau khi áp dụng các bản sửa, xác minh rằng truy vấn DNS thực sự đang được mã hóa. Đây là các phương pháp cho từng nền tảng.

Xác minh trên iPhone/iPad

Kiểm tra ngay trên thiết bị:

• Chạy DNS Leak Test của DNS Robot trong Safari: khi DNS mã hóa hoạt động, bạn sẽ thấy máy chủ của nhà cung cấp bạn chọn, không phải của nhà mạng
• Nếu bạn dùng Cloudflare, mở 1.1.1.1/help: trang này cho biết lượt tra cứu của bạn dùng DoH, DoT hay DNS thường
• Vào Cài đặt > Wi-Fi, chạm (i) bên cạnh mạng: “Cảnh báo về quyền riêng tư” biến mất khi DNS mã hóa hoạt động trên mạng đó, hoặc khi không còn gì trên thiết bị thử dùng nó

Xác minh trên Mac

Trên macOS, bạn có thể sử dụng Terminal để xác minh phân giải DNS và kiểm tra xem mã hóa có đang hoạt động không.

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

Khi nào cảnh báo này là bình thường (và an toàn để bỏ qua)

Cảnh báo DNS mã hóa không phải lúc nào cũng là vấn đề cần khắc phục. Trong một số tình huống, mạng cố ý chặn DNS mã hóa vì lý do bảo mật hợp lệ.

• Mạng doanh nghiệp/văn phòng — Đội IT công ty chặn DNS mã hóa để giám sát malware và thực thi chính sách bảo mật. Đây là thực hành tiêu chuẩn, và lưu lượng HTTPS của bạn vẫn được mã hóa
• Mạng trường học — Ở Mỹ, các trường K-12 và thư viện nhận ưu đãi E-rate bắt buộc phải lọc nội dung theo CIPA (Children's Internet Protection Act), và nhiều nơi lọc bằng DNS; các trường đại học lọc theo chính sách riêng
• Người dùng Pi-hole hoặc AdGuard Home — Trình chặn quảng cáo DNS cục bộ có thể ngăn thiết bị chuyển sang DNS mã hóa để tiếp tục lọc. Đây là theo thiết kế
• Wi-Fi khách sạn, sân bay và quán cà phê — Mạng công cộng thường lọc DNS. Đây là nơi cảnh báo quan trọng nhất: bất kỳ ai vận hành mạng đều thấy được các lượt tra cứu của bạn, nên hãy dùng VPN trên Wi-Fi bạn không tin cậy

Trên các mạng có quản lý, bạn có thể tiếp tục sử dụng: chủ mạng thấy được các lượt tra cứu, nhưng trang HTTPS của bạn vẫn được mã hóa. Rủi ro thực sự của DNS không mã hóa là trên mạng công cộng không tin cậy, nơi ai đó có thể theo dõi hoặc giả mạo các lượt tra cứu của bạn.

Câu hỏi thường gặp