DNS Quad9: Địa chỉ 9.9.9.9, IPv6 & cách cài đặt

DNS Quad9 là gì?

Quad9 DNS là trình phân giải DNS công cộng miễn phí tại 9.9.9.9 (phụ 149.112.112.112), từ chối phân giải các tên miền phát tán mã độc hoặc lừa đảo. Bạn trỏ router, máy tính hoặc điện thoại tới nó thay vì máy chủ DNS của nhà mạng, và mỗi lượt tra cứu được đối chiếu với danh sách mối đe dọa từ hơn 20 đối tác tình báo mối đe dọa trước khi bạn nhận câu trả lời. Không cần tài khoản, không cần cài ứng dụng và không mất phí.

Dịch vụ do Quad9 Foundation vận hành, một quỹ phi lợi nhuận tại Zürich, Thụy Sĩ, được Global Cyber Alliance, IBM và Packet Clearing House (PCH) thành lập. IBM đã trao địa chỉ 9.9.9.9 cho dự án. Quad9 chạy production từ tháng 8 năm 2016, và trang giới thiệu của họ (đọc ngày 26 tháng 10 năm 2026) nêu 230+ cụm trình phân giải tại hơn 110 quốc gia và trung bình 670M+ lượt tra cứu bị chặn mỗi ngày.

Địa chỉ máy chủ DNS Quad9 (IPv4 và IPv6)

Đây là địa chỉ của dịch vụ được Quad9 khuyến nghị, loại hầu hết mọi người cần: chặn mã độc cộng xác thực DNSSEC. Hãy nhập tất cả địa chỉ mà thiết bị của bạn còn chỗ.

Cả bốn địa chỉ đều tới cùng một dịch vụ qua anycast: truy vấn của bạn đến điểm Quad9 gần nhất. Mọi địa chỉ Quad9 chúng tôi hỏi đều được res700.bom2 trả lời, một trình phân giải ở Mumbai (BOM là mã sân bay của Mumbai). Quad9 yêu cầu bạn thêm cặp IPv6 ngay cả khi không có IPv6, vì hầu hết hệ thống bỏ qua địa chỉ mà chúng không dùng được. Tài liệu Windows của Microsoft liệt kê địa chỉ thứ hai là 2620:fe::fe:9; cả hai đều trả lời trong bài kiểm tra của chúng tôi.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Mọi dịch vụ của Quad9: 9.9.9.9 vs 9.9.9.10 vs 9.9.9.11

Quad9 chạy cùng một trình phân giải dưới bốn bộ địa chỉ. Chúng khác nhau ở hai công tắc: tên miền độc hại có bị chặn hay không, và một phần địa chỉ IP của bạn (EDNS Client Subnet, hay ECS) có được chuyển cho máy chủ DNS của các website hay không.

9.9.9.12 chỉ được liệt kê trên trang tài liệu của Quad9; cả bốn đều trả lời trong bài kiểm tra của chúng tôi. URL DoH là tên máy chủ cộng /dns-query.

ECS đánh đổi quyền riêng tư lấy tốc độ. CDN dùng subnet của bạn để chọn máy chủ gần bạn. Quad9 coi đó là rò rỉ quyền riêng tư nên 9.9.9.9 không bao giờ gửi nó; tài liệu của họ gợi ý dùng 9.9.9.11 nếu bạn không kết nối được điểm Quad9 gần hoặc một trang phục vụ nội dung của sai khu vực. Tên echo của Google cho thấy sự khác biệt:

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

Qua IPv6, 9.9.9.11 chuyển tiếp một /48. 9.9.9.9, 9.9.9.10 và 1.1.1.1 của Cloudflare không gửi subnet; 8.8.8.8 của Google cũng gửi một /24.

Quad9 chặn mã độc thế nào (và không chặn gì)

Quad9 không tự đi săn mối đe dọa. Họ lấy danh sách tên miền độc hại (mã độc, lừa đảo, ransomware, phần mềm gián điệp, bộ khai thác lỗ hổng) từ các đối tác tình báo mối đe dọa và cập nhật vài lần mỗi ngày hoặc gần như theo thời gian thực. Khi bạn tra cứu một tên miền trong danh sách, Quad9 trả lời như thể nó không tồn tại, nên thiết bị không bao giờ nhận được địa chỉ máy chủ.

Quad9 không chặn quảng cáo, trình theo dõi hay nội dung người lớn, không có kế hoạch lọc nội dung và không coi spam là mối đe dọa. Để lọc nội dung người lớn, hãy dùng ví dụ như 1.1.1.3 của Cloudflare.

Quad9 công bố một tên miền thử nghiệm, isitblocked.org, mà các dịch vụ chặn của họ từ chối. Trong bài kiểm tra của DNS Robot ngày 26 tháng 10 năm 2026:

Một lệnh chặn và một tên miền thực sự không tồn tại đều trả về NXDOMAIN. Số lượng authority giúp phân biệt: lệnh chặn có AUTHORITY: 0, tên miền không tồn tại có AUTHORITY: 1 (bản ghi SOA của vùng), như một tên .com tự bịa đã cho thấy trong bài kiểm tra của chúng tôi.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9 DNS over HTTPS, TLS và QUIC

DNS thường trên cổng 53 có thể bị bất kỳ ai trên đường truyền đọc được, kể cả nhà mạng của bạn. Mọi dịch vụ Quad9 cũng trả lời qua các giao thức mã hóa:

• DNS over TLS (DoT): dns.quad9.net trên cổng 853 (dns10, dns11 hoặc dns12.quad9.net cho các dịch vụ khác). Đây là tên máy chủ mà cài đặt DNS riêng của Android cần.
• DNS over HTTPS (DoH): https://dns.quad9.net/dns-query. Quad9 bắt đầu tắt HTTP/1.1 cho DoH từ ngày 15 tháng 12 năm 2025, nên cần HTTP/2 trở lên; Quad9 nêu MikroTik RouterOS là một client chưa có.
• DNS over QUIC (DoQ) và DoH qua HTTP/3: trên mọi dịch vụ Quad9 từ ngày 31 tháng 3 năm 2026. DoQ dùng cùng tên máy chủ trên cổng 853; các client như Chrome tự nâng lên HTTP/3. Quad9 cũng hỗ trợ DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

Trong bài kiểm tra của DNS Robot, DoT kết nối qua TLS 1.3 trên cổng 853 tới cả bốn dịch vụ và qua IPv6, với chứng chỉ cho dns.quad9.net, còn proto.on.quad9.net trả lời dot qua TLS và doh qua HTTPS. DoH qua HTTP/1.1 nhận HTTP 505 ("requires HTTP/2"), và định dạng JSON ?name= mà Cloudflare và Google cung cấp trả về HTTP 400: Quad9 chỉ dùng định dạng nhị phân của RFC 8484.

Mã hóa chủ yếu tốn thời gian ở lần tra cứu đầu. Một kết nối DoH mới tới Quad9 mất trung vị 260 ms tổng cộng (Cloudflare 87 ms, Google 150 ms); trên một kết nối DoT đang mở, truy vấn tới 9.9.9.9 mất trung vị 48 ms, gần bằng DNS thường.

Tốc độ và DNSSEC của Quad9: bài kiểm tra của DNS Robot

Chúng tôi đo từng địa chỉ Quad9 từ đường truyền Jio tại nhà ở Ấn Độ vào ngày 26 tháng 10 năm 2026, cùng với Cloudflare và Google: năm vòng xen kẽ cho mỗi máy chủ, mỗi vòng gồm một tên đã có trong bộ nhớ đệm (example.com) và một tên hoàn toàn mới trong vùng thử nghiệm riêng của chúng tôi. Bảng hiển thị trung vị của năm lần.

Cloudflare nhanh nhất ở cả hai phép đo, các lượt tra cứu đã cache đều trong khoảng 26–31 ms. Trung vị của Quad9 ổn nhưng độ phân tán rộng: từng lượt tra cứu đã cache tới 9.9.9.9 và 149.112.112.112 mất 316 ms và 563 ms, và một truy vấn IPv6 bị hết thời gian chờ. Google chậm nhất với tên mới. Số liệu của bạn sẽ khác, nên hãy chạy DNS Speed Test trên thiết bị của bạn trước khi chuyển.

DNSSEC: mọi địa chỉ Quad9 đều xác thực. Tất cả, kể cả 9.9.9.10 không lọc và 9.9.9.12, đều trả về SERVFAIL cho dnssec-failed.org và brokendnssec.net bị làm hỏng có chủ đích, và bật cờ ad trên một tên miền được ký đúng. Điều đó khớp với trang dịch vụ của Quad9; FAQ của họ ("two out of three" dịch vụ) và hồ sơ Apple ("No DNSSEC" cho 9.9.9.10) không khớp với những gì chúng tôi đo được.

Ai vận hành Quad9, và có riêng tư không?

Quad9 do Quad9 Foundation vận hành, một quỹ phi lợi nhuận vì lợi ích công cộng tại Zürich, được tài trợ bởi các nhà tài trợ và quyên góp. Chính sách quyền riêng tư của họ nêu:

• Địa chỉ IP được coi là dữ liệu cá nhân theo định nghĩa nghiêm ngặt nhất trong các định nghĩa của Thụy Sĩ (FADP), Mỹ và EU (GDPR), cho mọi người dùng, dù sống ở đâu.
• Địa chỉ IP của bạn không bao giờ được lưu. Nó chỉ nằm trong bộ nhớ vài micro giây đến mili giây cần để trả lời, và không bao giờ gắn với các tên bạn tra cứu.
• Thứ được giữ lại là các bộ đếm: điểm phục vụ, tiền tố mạng (không chi tiết hơn /24 với IPv4 hoặc /56 với IPv6) và số AS, khu vực, loại truy vấn, giao thức và số lượt theo từng tên miền. Chúng có thể được lưu trữ, nhưng chính sách nói không bộ đếm nào chứa thông tin cá nhân.
• Không có gì được bán hay chia sẻ cho nhà tiếp thị. Đối tác tình báo mối đe dọa nhận số đếm cho các tên miền họ cung cấp, không bao giờ nhận IP nguồn.
• Thẩm quyền Thụy Sĩ: Quad9 chỉ tuân theo các yêu cầu được cơ quan Thụy Sĩ phê duyệt, và cơ quan giám sát của Thụy Sĩ đã xác nhận luật giám sát (SPTA) không áp dụng cho trình phân giải, nên không có nghĩa vụ lưu siêu dữ liệu người dùng.

Tuy vậy không trình phân giải nào ẩn danh: Quad9 vẫn thấy từng truy vấn, và DNS thường vẫn đọc được trên đường truyền trừ khi bạn dùng DoT hoặc DoH.

Quad9 vs Cloudflare vs Google DNS

Cả ba đều miễn phí và xác thực DNSSEC. Khác biệt thực sự nằm ở việc chặn, quyền riêng tư và luật mà mỗi nhà vận hành phải tuân theo:

Chọn Quad9 nếu muốn bảo vệ khỏi mã độc trên mọi thiết bị và điều khoản quyền riêng tư mạnh nhất. Chọn Cloudflare nếu tốc độ quan trọng nhất (nó nhanh nhất trên đường truyền của chúng tôi) hoặc bạn cần bộ lọc người lớn. Chọn Google để có câu trả lời chính xác cho CDN, vì nó gửi ECS. Hướng dẫn DNS Cloudflare và Google DNS của chúng tôi trình bày cả hai chi tiết như vậy.

Cách cài đặt DNS Quad9

Đặt Quad9 trên router để bao phủ mọi thiết bị trong Wi-Fi của bạn cùng lúc, hoặc trên chính thiết bị cho điện thoại và laptop mang ra khỏi nhà.

Trên Android (DNS riêng)

• Mở Cài đặt và tìm DNS riêng (trên Pixel nằm trong Mạng và Internet; trên Samsung là "Connections" → "More connection settings").
• Chọn Tên máy chủ của nhà cung cấp DNS riêng.
• Nhập dns.quad9.net (hoặc dns10.quad9.net / dns11.quad9.net cho các dịch vụ khác) và nhấn Lưu.
• Mở on.quad9.net trong trình duyệt để xác nhận đã hoạt động.

DNS riêng mã hóa mọi lượt tra cứu bằng DoT, cả trên dữ liệu di động; hướng dẫn DNS riêng của chúng tôi giải thích nó che giấu những gì.

Trên iPhone và iPad

• Nhanh, một mạng Wi-Fi (không mã hóa): vào Cài đặt → Wi-Fi, nhấn (i) cạnh mạng của bạn, rồi Định cấu hình DNS → Thủ công. Xóa các máy chủ cũ, thêm 9.9.9.9, 149.112.112.112, 2620:fe::fe và 2620:fe::9, rồi nhấn Lưu.
• Có mã hóa, trên mọi mạng: mở hướng dẫn cài đặt iOS của Quad9 trong Safari (trình duyệt khác sẽ không được) và tải một hồ sơ (Quad9 khuyên dùng HTTPS). Sau đó vào Cài đặt, nhấn Đã tải về hồ sơ, rồi Cài đặt và nhập mật mã của bạn.
• Kiểm tra kết quả tại on.quad9.net.

Trên Windows 11 và 10

• Windows 11: mở Cài đặt → Mạng & Internet, chọn Wi-Fi hoặc Ethernet, nhấp Chỉnh sửa bên cạnh Gán máy chủ DNS rồi chọn Thủ công.
• Bật IPv4: ưu tiên 9.9.9.9, thay thế 149.112.112.112, mỗi cái với DNS qua HTTPS đặt thành Bật (mẫu tự động); Windows đã biết sẵn địa chỉ DoH của Quad9.
• Bật IPv6 nếu bạn có (2620:fe::fe và 2620:fe::9, bật DoH), rồi nhấp Lưu. Danh sách DoH tích hợp của Windows có 2620:fe::fe:9 thay vì 2620:fe::9, nên hãy dùng nó làm địa chỉ thay thế nếu Bật (mẫu tự động) không xuất hiện. Laptop di chuyển sang mạng chặn DoH có thể cần "Fallback to plaintext".
• Windows 10: nhấn Win + R, chạy ncpa.cpl, nhấp chuột phải vào card mạng và mở Thuộc tính → Giao thức Internet Phiên bản 4 (TCP/IPv4) → Thuộc tính → Sử dụng địa chỉ máy chủ DNS sau. Làm tương tự cho IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

Trên macOS

• Mở Cài đặt hệ thống → Mạng, chọn Wi-Fi (hoặc Ethernet) và nhấp Chi tiết.
• Mở DNS, nhấp + và thêm 9.9.9.9, 149.112.112.112, 2620:fe::fe và 2620:fe::9. Xóa các mục cũ bằng –, rồi nhấp OK.
• Với DNS mã hóa trên macOS Big Sur trở lên, hãy cài hồ sơ của Quad9: tải trong Safari rồi chấp thuận trong Cài đặt hệ thống.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Trên router của bạn

• Mở trang quản trị của router (thường là 192.168.0.1 hoặc 192.168.1.1) và đăng nhập.
• Tìm phần cài đặt DNS, thường trong mục Internet, WAN hoặc DHCP, rồi chuyển từ tự động sang thủ công.
• Nhập 9.9.9.9 và 149.112.112.112, cùng 2620:fe::fe và 2620:fe::9 trong phần IPv6 nếu có. Lưu lại, rồi kết nối lại các thiết bị của bạn.
• Nếu router hỗ trợ DNS upstream mã hóa (ví dụ pfSense và OPNsense), hãy trỏ nó tới dns.quad9.net; tài liệu của Quad9 có hướng dẫn cho chúng.

Cách kiểm tra bạn đang dùng Quad9

Mở on.quad9.net trong trình duyệt: nó trả lời đơn giản Yes hoặc No. Hai cách kiểm tra bằng terminal cho nhiều thông tin hơn:

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9 cho biết một số nhà mạng, thường ở châu Á, châu Phi và Trung Đông, âm thầm chuyển hướng truy vấn tới 9.9.9.9 sang máy chủ của họ. Tài liệu của Quad9 cho thấy các tên kết thúc bằng .rrdns.pch.net; tên của chúng tôi ngắn hơn, res700.bom2, và proto.on.quad9.net xác nhận Quad9 đã trả lời. Nếu kiểm tra 2 không trả về gì hoặc trả về tên không liên quan, hãy chuyển sang DoT hoặc DoH, những loại không thể bị chuyển hướng như vậy. Rồi chạy DNS Leak Test của chúng tôi: mọi trình phân giải nó tìm thấy phải thuộc một mạng mà Quad9 dùng, như PCH (WoodyNet), Equinix hoặc i3D, và không cái nào thuộc nhà mạng của bạn.

Quad9 không hoạt động? Nguyên nhân thường gặp

• Một trang bạn cần bị chặn. Tìm tên miền trên trang tên miền bị chặn của Quad9 và báo trường hợp chặn nhầm cho bộ phận hỗ trợ Quad9. Trong lúc đó, DNS Lookup cho bạn thấy các bản ghi thật của tên miền.
• VPN hoặc trình duyệt ghi đè. Ứng dụng VPN dùng DNS riêng của chúng, và Quad9 cảnh báo Firefox mặc định dùng DoH của Cloudflare ở một số khu vực. Hãy đặt Quad9 trong cài đặt DNS của chính VPN hoặc trình duyệt.
• Client DoH của bạn quá cũ. DoH của Quad9 hiện cần HTTP/2. Dùng DoT, hoặc một forwarder như dnscrypt-proxy, AdGuard Home hay Unbound.
• Nhà mạng chặn một cổng. Quad9 cũng trả lời DNS thường trên cổng 9953, cổng này hoạt động trên đường truyền của chúng tôi. Nếu cổng 853 của DoT cũng bị chặn, hãy dùng DoH, chạy trên cổng 443.
• Video hoặc tệp tải về đến từ máy chủ ở xa. Có thể do thiếu ECS: thử 9.9.9.11, hoặc 9.9.9.12 không chặn.
• Câu trả lời cũ sau khi thay đổi. Quad9 không có công cụ công khai để xóa cache của họ, nhưng bạn có thể xóa cache trên thiết bị: xem cách xóa cache DNS.