Cách cài NextDNS: giới hạn miễn phí và mọi thiết bị

NextDNS là gì?

NextDNS là trình phân giải DNS hoạt động như một bức tường lửa do bạn tự cấu hình. Bạn tạo một cấu hình tại my.nextdns.io, chọn thứ cần chặn (quảng cáo và trình theo dõi, mã độc và lừa đảo, trang người lớn, ứng dụng như TikTok hay Fortnite), rồi trỏ từng thiết bị tới nó bằng ID cấu hình của bạn. Dịch vụ miễn phí cho 300.000 truy vấn mỗi tháng; gói Pro không giới hạn giá 1,99 USD mỗi tháng tại Mỹ.

Vì hoạt động ở tầng DNS, việc chặn áp dụng cho mọi ứng dụng chứ không chỉ trình duyệt, và chạy trên máy chủ của NextDNS chứ không phải thiết bị của bạn: một tên bị chặn nhận về 0.0.0.0 (hoặc một trang chặn tùy chọn) thay vì địa chỉ thật. NextDNS Inc. được Romain Cointepas và Olivier Poitrey thành lập vào tháng 5 năm 2019 tại Delaware và vận hành mạng anycast riêng, với máy chủ của hai nhà cung cấp khác nhau tại mỗi địa điểm.

NextDNS có miễn phí không? Giới hạn 300.000 truy vấn và bảng giá

Có, nhưng có trần hằng tháng. Gói miễn phí gồm 300.000 truy vấn mỗi tháng, số thiết bị không giới hạn, số cấu hình không giới hạn và mọi tính năng. NextDNS gửi email khi đạt 250.000 truy vấn và lần nữa ở 300.000. Qua trần, bạn không bị ngắt: theo chính lời của NextDNS, dịch vụ "trở thành một trình phân giải DNS tiêu chuẩn, không lọc, không ghi nhật ký" cho đến tháng sau.

Con số đó khoảng 10.000 truy vấn mỗi ngày. Đủ hay không còn tùy số thiết bị dùng chung tài khoản, nên hãy theo dõi bộ đếm ở tab Analytics trong một tuần trước khi trả tiền.

ID cấu hình NextDNS hoạt động thế nào

Mỗi cấu hình có một ID ngắn, hiển thị ở tab Setup trên my.nextdns.io (API, CLI và ứng dụng Mac của NextDNS gọi nó là profile ID). NextDNS cần ID đó trong mọi truy vấn để biết áp dụng thiết lập nào, và mỗi giao thức mang nó theo một cách khác nhau:

IP liên kết là điểm yếu. DNS IPv4 thường không có chỗ cho ID, nên NextDNS nhận diện truy vấn theo IP công khai của bạn, và liên kết này hỏng mỗi khi IP đổi, điều thường xảy ra trên đường truyền gia đình động và phía sau carrier-grade NAT. Một tên máy chủ DDNS hoặc URL cập nhật sẽ giúp ích; DNS mã hóa tránh được hẳn vấn đề này.

Để đặt tên cho thiết bị trong nhật ký, đặt tên trước ID với DoT, dùng -- thay cho dấu cách (John--Router-abc123.dns.nextdns.io), hoặc sau ID với DoH (https://dns.nextdns.io/abc123/Office%20PC).

Cách cài NextDNS trên mọi thiết bị

Đăng ký tại my.nextdns.io, mở tab Setup và sao chép ID của bạn: tab này hiển thị đúng các endpoint của bạn và nhận ra thiết bị bạn đang dùng. Dưới đây là các cách nó liệt kê cho từng nền tảng (kiểm tra ngày 26 tháng 10 năm 2026). Thay abc123 bằng ID của bạn.

Android: DNS riêng

Android 9 trở lên có sẵn DNS riêng (DNS qua TLS), và đó là cách duy nhất cho Android mà NextDNS liệt kê. Nó áp dụng cho cả Wi-Fi và dữ liệu di động, với mọi ứng dụng dùng DNS của hệ thống.

1. Mở Cài đặt > Mạng và InternetTrên điện thoại Samsung là Cài đặt > "Connections".
2. Nhấn DNS riêngMột số điện thoại đặt nó trong mục Nâng cao hoặc Cài đặt kết nối khác.
3. Chọn Tên máy chủ của nhà cung cấp DNS riêng
4. Nhập abc123.dns.nextdns.io và nhấn LưuDùng ID của bạn, rồi mở một trang web: nếu trang không tải nữa thì tên máy chủ sai hoặc mạng đang chặn cổng 853.

iPhone, iPad và Mac: ứng dụng hoặc apple.nextdns.io

Trên iPhone và iPad, NextDNS khuyên dùng ứng dụng trên App Store. Cách thay thế là hồ sơ cấu hình, dùng DNS mã hóa có sẵn của Apple (iOS 14 và macOS 11 trở lên) mà không cần ứng dụng chạy nền:

1. Mở apple.nextdns.io trên thiết bịNhập ID cấu hình của bạn. Có thể thêm tên thiết bị, các mạng Wi-Fi cần tắt NextDNS và các tên miền cần bỏ qua nó.
2. Nhấn Download
3. Cài hồ sơiPhone và iPad: Cài đặt > Đã tải về hồ sơ > Cài đặt. Mac: mở tệp .mobileconfig, rồi vào Cài đặt hệ thống > Cài đặt chung > Quản lý thiết bị, bấm đúp hồ sơ NextDNS và bấm Cài đặt.

Trên Mac, bạn cũng có thể cài ứng dụng của NextDNS từ nextdns.io/download/macos/stable, cách được khuyên dùng cho Mac, và nhập ID hồ sơ khi nó hỏi.

Windows 11: DNS qua HTTPS hoặc ứng dụng

Windows 11 có thể gửi DNS qua HTTPS ngay từ hệ thống, và NextDNS liệt kê đây là một cách được khuyên dùng:

1. Mở Cài đặt > Mạng & internet > Wi-Fi (hoặc Ethernet)Với Wi-Fi, bấm "Hardware properties".
2. Bấm "Chỉnh sửa" cạnh "DNS server assignment" rồi chọn "Thủ công"
3. Bật IPv4 và đặt máy chủ ưu tiên"DNS ưa thích": 45.90.28.0. "DNS qua HTTPS": "Bật (mẫu thủ công)", với mẫu https://dns.nextdns.io/abc123.
4. Đặt máy chủ thay thế rồi lưu"DNS thay thế": 45.90.30.0, với cùng mẫu. Bấm "Lưu".

Windows 10 không có thiết lập DNS qua HTTPS, vì vậy hãy dùng ứng dụng tại nextdns.io/download/windows/stable: bấm chuột phải vào biểu tượng khay hệ thống, mở Settings…, dán Configuration ID của bạn, rồi chọn Enable trong cùng menu.

Chrome, Edge, Brave và Firefox

Để chỉ áp dụng cho một trình duyệt, đặt DNS bảo mật của nó thành nhà cung cấp tùy chỉnh: https://dns.nextdns.io/abc123. Trong Chrome, đường dẫn là "Cài đặt > Quyền riêng tư và bảo mật > Bảo mật > Sử dụng DNS bảo mật > Thêm nhà cung cấp dịch vụ DNS tuỳ chỉnh".

Trong Firefox, chọn Bảo vệ tối đa ở mục DNS qua HTTPS. NextDNS yêu cầu chế độ nghiêm ngặt này vì các chế độ khác của Firefox quay về DNS hệ thống khi một truy vấn thất bại, khiến tên miền bị chặn lọt qua.

Router, Linux và NextDNS CLI

Với router, NextDNS khuyên dùng CLI mã nguồn mở của mình: một proxy nhỏ biến DNS thường của mọi thiết bị thành DNS qua HTTPS và có thể gửi tên cùng kiểu máy của từng thiết bị vào nhật ký của bạn. Nó chạy trên OpenWrt, AsusWRT-Merlin, pfSense, OPNsense, UniFi, EdgeOS, Firewalla, Synology, DD-WRT và hầu hết các bản phân phối Linux. Hãy chuẩn bị sẵn ID cấu hình, rồi chạy:

sh -c 'sh -c "$(curl -sL https://nextdns.io/install)"'

# Afterwards
nextdns restart   # restart the service
nextdns log       # show its log

# Run the install command again to upgrade or uninstall

Nếu router không chạy được nó, hãy nhập hai địa chỉ IPv6 trong tab Setup làm máy chủ DNS của router, hoặc cặp IPv4 cùng IP liên kết. Với dnsmasq, add-cpe-id=abc123 gắn ID của bạn vào mỗi truy vấn nên không cần liên kết IP.

Những thiết lập NextDNS tốt nhất nên đổi

Cấu hình đầu tiên của tài khoản mới không hề trống. Mã của chính bảng điều khiển (đọc ngày 26 tháng 10 năm 2026) bật các nguồn tình báo mối đe dọa, Google Safe Browsing, bảo vệ chống cryptojacking, đồng dạng IDN, typosquatting, DGA và CSAM, một danh sách chặn quảng cáo và trình theo dõi, chặn trình theo dõi ngụy trang, ghi nhật ký và Anonymized EDNS Client Subnet. Những mục đang tắt, cùng nhiều mục khác, gồm DNS Rebinding Protection, mà NextDNS khuyên bật trừ khi bạn dựa vào các tên miền phân giải về IP riêng, và các mục chặn tên miền mới đăng ký và tên miền đỗ. Từ đó, các thiết lập sau là quan trọng nhất.

Danh sách chặn: thêm một, đừng thêm năm

Danh mục danh sách chặn của NextDNS, nguồn cấp cho tab Privacy, có 83 danh sách vào ngày 26 tháng 10 năm 2026. Nhiều hơn không có nghĩa là tốt hơn: mỗi danh sách thêm vào làm tăng chặn nhầm, và một số danh sách trong danh mục đã nhiều năm không được cập nhật.

Một khởi đầu hợp lý là danh sách mặc định cộng một danh sách được duy trì tốt như HaGeZi Multi PRO hoặc OISD. Khi có gì đó hỏng, mỗi mục bị chặn trong tab Logs ghi "Blocked by" kèm tên danh sách, và bạn có thể cho phép tên miền ngay từ đó.

Native Tracking Protection

Tính năng này chặn dữ liệu đo từ xa mà hệ điều hành và thiết bị tự gửi về nhà sản xuất. Ngày 26 tháng 10 năm 2026 nó bao gồm tám nhà cung cấp: Windows, Apple, Samsung, Xiaomi, Huawei, Alexa, Roku và Sonos. Chỉ thêm những nhà cung cấp có thiết bị bạn sở hữu, từng cái một, và xem nhật ký nếu một tính năng trên thiết bị đó ngừng hoạt động.

Kiểm soát của phụ huynh

Chặn cả danh mục (khiêu dâm, cờ bạc, hẹn hò, vi phạm bản quyền, trò chơi, mạng xã hội, phát video) hoặc bất kỳ dịch vụ nào trong 43 dịch vụ có tên, từ TikTok và Roblox đến Discord và ChatGPT. Bạn cũng có thể bắt buộc SafeSearch và Chế độ hạn chế của YouTube, và dùng Recreation Time để chỉ cho phép một số trang, ứng dụng hoặc trò chơi vào những giờ nhất định mỗi ngày.

Nhật ký, thời gian lưu và nơi lưu trữ

Nhật ký được bật trong cấu hình mới. Trong Settings, bạn có thể tắt chúng hoặc giữ trong 1 giờ, 6 giờ, 1 ngày, 1 tuần, 1, 3 hoặc 6 tháng, 1 năm hoặc 2 năm, lưu tại Hoa Kỳ, Liên minh châu Âu hoặc Thụy Sĩ (trang chủ NextDNS còn liệt kê cả Vương quốc Anh). Khi tắt nhật ký, chính sách quyền riêng tư của NextDNS nói rằng mỗi truy vấn và câu trả lời bị hủy ngay sau khi phản hồi được gửi đi, và họ không bao giờ bán hay chia sẻ dữ liệu người dùng.

Tốc độ và quyền riêng tư của NextDNS: bài kiểm tra của DNS Robot

Chúng tôi đo các endpoint công khai của NextDNS khi chưa có tài khoản, từ một kết nối gia đình ở Ấn Độ ngày 26 tháng 10 năm 2026: một truy vấn khởi động, rồi trung vị của 5 lần tra cứu example.com, chạy hai lần cách nhau một phút. test.nextdns.io cho biết máy chủ NextDNS nào đã trả lời.

Thứ nhất, tên máy chủ mã hóa là đường nhanh. dns.nextdns.io dùng cơ chế điều hướng DNS "ultralow" của NextDNS để chọn máy chủ gần, còn các địa chỉ anycast đi theo hướng định tuyến đưa tới: từ mạng của chúng tôi, cặp thứ hai (45.90.30.0, 2a07:a8c1::) rơi vào châu Âu với độ trễ gấp khoảng năm lần. Hãy ưu tiên DoH hoặc DoT; với IP thường, hãy thử cả hai, hoặc đo ngay từ trình duyệt của bạn bằng DNS Speed Test của chúng tôi.

Thứ hai, NextDNS xác thực DNSSEC: nó trả về SERVFAIL cho dnssec-failed.org. Khi không có ID, nó cũng không chuyển subnet của máy khách tới tên kiểm tra của Google là o-o.myaddr.l.google.com, nơi chỉ thấy máy chủ NextDNS ở Mumbai; Google Public DNS chuyển subnet /24 thật của chúng tôi, AdGuard một /24 khác, Cloudflare thì không chuyển gì. Một cấu hình thì khác: thiết lập Anonymized EDNS Client Subnet, bật theo mặc định, gửi một subnet mà NextDNS thiết kế để giữ tốc độ CDN mà không lộ địa chỉ của bạn. Bạn có thể tắt nó trong Settings.

Cách kiểm tra NextDNS đã hoạt động (test.nextdns.io)

Mở test.nextdns.io trong trình duyệt trên thiết bị. Trang trả về vài dòng JSON về trình phân giải đã tra cứu trang. Đây là những gì nó hiển thị trên Mac của chúng tôi với DNS của nhà mạng, rồi qua NextDNS bằng DoH (đã xóa địa chỉ):

Not using NextDNS:
{
  "status": "unconfigured",
  "resolver": "<your ISP's resolver>",
  "srcIP": "<your public IP>",
  "server": "vultr-blr-1"
}

Using NextDNS (DoH, no configuration ID):
{
  "status": "ok",
  "protocol": "DOH",
  "client": "<your public IP>",
  "srcIP": "<your public IP>",
  "anycast": false,
  "server": "ls-bom-1",
  "clientName": "unknown-doh"
}

• unconfigured: thiết bị này không dùng NextDNS. resolver là bên đã hỏi thay thế; bảng điều khiển gọi tên nó (với chúng tôi là nhà mạng, Reliance Jio).
• ok: NextDNS đã trả lời. protocol cho biết truy vấn đến bằng cách nào (DOH, DOT, UDP, v.v.), và server cho biết vị trí NextDNS (bom là Mumbai).
• mismatch: do tab Setup hiển thị, tab này chạy bài kiểm tra bằng ID của bạn: NextDNS đã trả lời nhưng không theo cấu hình đó (địa chỉ IPv4 chưa liên kết, endpoint không có ID của bạn, hoặc một ID khác).

Nếu một trang không tải được, hãy so sánh câu trả lời công khai thật của nó trong DNS Lookup với những gì thiết bị của bạn nhận được: 0.0.0.0 nghĩa là NextDNS đã chặn nó, và tab Logs cho biết danh sách nào làm vậy. DNS Leak Test hiển thị mọi trình phân giải mà thiết bị của bạn thực sự dùng, nên nó phát hiện được VPN hoặc trình duyệt bỏ qua NextDNS.

NextDNS vs AdGuard DNS vs Cloudflare cho gia đình

Cả ba đều lọc ở tầng DNS, nhưng phù hợp với những người khác nhau. Chúng tôi gửi cùng các tên tới từng endpoint công khai vào ngày 26 tháng 10 năm 2026:

Chọn NextDNS nếu bạn muốn tự quyết định thứ bị chặn cho từng người hoặc thiết bị và xem nhật ký. Chọn máy chủ công khai miễn phí của AdGuard DNS (94.140.14.14) nếu bạn muốn chặn quảng cáo mà hoàn toàn không cần tài khoản. Chọn Cloudflare for Families nếu bạn chỉ cần lọc mã độc và trang người lớn: 1.1.1.3 miễn phí, không cần tài khoản và không chặn quảng cáo. Hướng dẫn Cloudflare DNS của chúng tôi liệt kê mọi địa chỉ Families.

NextDNS không hoạt động? Các nguyên nhân thường gặp

• VPN đang kết nối: trên iPhone và Mac, DNS của VPN thay thế hồ sơ NextDNS.
• Bạn đã vượt 300.000 truy vấn: tài khoản miễn phí ngừng lọc cho đến khi sang tháng mới.
• IP công khai của bạn đã đổi: cách cài bằng IP liên kết không còn khớp. Hãy liên kết lại, dùng DDNS hoặc chuyển sang DoH hay DoT.
• Mạng chặn cổng 853: DoT (DNS riêng của Android) dùng cổng này và tường lửa dễ chặn nó; DoH dùng cổng 443, giống lưu lượng web.
• Safari không làm gì với liên kết bị chặn: NextDNS cho biết Safari trên iOS âm thầm bỏ qua các liên kết tới tên miền bị chặn bằng 0.0.0.0. Hãy bật Block Page.
• Quảng cáo YouTube vẫn phát: NextDNS nói DNS không thể chặn chúng. Hãy dùng trình chặn quảng cáo trong trình duyệt.
• Firefox bỏ qua nó: khi DNS qua HTTPS riêng của Firefox bật, nó bỏ qua DNS hệ thống. Hãy trỏ nó tới URL NextDNS của bạn với "Bảo vệ tối đa".