Private DNS là gì? DNS riêng tư, tên máy chủ và cách bật

Private DNS là gì?

Private DNS (DNS riêng tư) là cài đặt DNS mã hóa của Android: nó gửi các tên trang web mà thiết bị tra cứu qua kết nối mã hóa, nên mạng Wi-Fi và nhà mạng (ISP) của bạn không thể đọc hay sửa chúng. Để bật, vào Cài đặt → Mạng và Internet → DNS riêng, chọn Tên máy chủ của nhà cung cấp DNS riêng và nhập tên máy chủ như dns.google hoặc one.one.one.one. Trên Samsung, đường dẫn là "Connections" → "More connection settings" → "Private DNS".

Android có tính năng này từ Android 9 (2018), dùng DNS over TLS. Từ bản cập nhật hệ thống Google Play năm 2022, Android 11 trở lên chuyển sang DNS over HTTP/3 với các nhà cung cấp mà Android nhận ra: dns.google của Google, và Cloudflare dưới tên cloudflare-dns.com (với one.one.one.one vẫn dùng DNS over TLS). iPhone, Windows, Mac và trình duyệt web cung cấp cùng mức bảo vệ dưới tên DNS mã hóa.

Trong mạng doanh nghiệp và đám mây, "private DNS" mang nghĩa khác: các vùng DNS nội bộ chỉ tồn tại bên trong mạng đó. Nghĩa này được giải thích bên dưới.

DNS thông thường hoạt động như thế nào (và tại sao nó là vấn đề)

DNS truyền thống gửi truy vấn dạng văn bản thuần từ những tiêu chuẩn đầu tiên năm 1983. Khi bạn gõ tên miền vào trình duyệt, thiết bị gửi một truy vấn DNS qua cổng UDP 53 tới một trình phân giải DNS (thường là máy chủ của ISP). Trình phân giải trả lời bằng địa chỉ IP, tất cả đều không mã hóa.

Điều này có nghĩa là bất kỳ ai trên đường truyền mạng đều thấy mọi tên miền bạn truy cập. ISP có thể lập hồ sơ duyệt web đầy đủ. Kẻ tấn công trên Wi-Fi công cộng có thể chặn truy vấn của bạn. Một số ISP thậm chí đã viết lại câu trả lời DNS để đưa địa chỉ gõ sai tới trang tìm kiếm và quảng cáo của họ.

DNS cũng dễ bị đầu độc bộ nhớ đệm và giả mạo, khi kẻ tấn công gửi phản hồi giả để chuyển hướng bạn tới trang web độc hại mà bạn không hay biết. DNS truyền thống không có cách tích hợp nào để xác minh phản hồi thực sự đến từ máy chủ DNS thật.

Private DNS hoạt động như thế nào

Private DNS bọc các truy vấn DNS của bạn trong một kết nối mã hóa. Thay vì gửi truy vấn dạng văn bản thuần qua cổng UDP 53, thiết bị trước hết thiết lập một phiên mã hóa với trình phân giải DNS, rồi mới gửi truy vấn qua đường hầm an toàn đó.

Trình phân giải giải mã truy vấn, phân giải tên miền thành địa chỉ IP, mã hóa phản hồi rồi gửi lại. Toàn bộ trao đổi vô hình với bất kỳ ai theo dõi mạng: họ thấy bạn đang liên lạc với một máy chủ DNS, nhưng không thấy bạn tra cứu những tên miền nào.

Hiện có ba giao thức DNS mã hóa theo chuẩn IETF đang được dùng: DNS over TLS (DoT), DNS over HTTPS (DoH) và DNS over QUIC (DoQ). Mỗi giao thức mã hóa cùng một truy vấn DNS theo cách khác nhau (Oblivious DoH và DNSCrypt cũng có, nhưng ít phổ biến hơn).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) chạy DNS bên trong TLS trên một cổng riêng, 853. Private DNS của Android dùng nó từ Android 9, và vì cổng này dành riêng nên mạng có thể chặn dễ dàng.

DoH (RFC 8484) gửi truy vấn DNS dưới dạng yêu cầu HTTPS qua cổng 443, nên trông giống lưu lượng web khác và chỉ chặn được bằng cách chặn các máy chủ DoH đã biết. Chrome, Firefox và Edge có sẵn tính năng này, và Windows 11 có thể dùng cho toàn hệ thống. Trên Android, từ Android 11 trở lên chuyển sang DNS over HTTP/3 với các nhà cung cấp mà Android nhận ra: dns.google của Google, và Cloudflare dưới tên cloudflare-dns.com (với one.one.one.one vẫn dùng DNS over TLS).

DoQ (RFC 9250, 2022) chạy DNS trực tiếp trên QUIC qua cổng UDP 853, tránh được tình trạng nghẽn đầu hàng và nối lại kết nối nhanh. Ít trình phân giải hỗ trợ: AdGuard DNS và Quad9 có (Quad9 liệt kê trong phản hồi DDR, kiểm tra ngày 26/10/2026), còn 1.1.1.1 của Cloudflare hỗ trợ DoT, DoH và Oblivious DoH nhưng không có DoQ, và Android không dùng DoQ.

Cách bật Private DNS trên Android

Android có Private DNS từ Android 9 (2018). Nó áp dụng cho mọi ứng dụng, trên Wi-Fi lẫn dữ liệu di động, và có ba chế độ: Tắt; Tự động, mặc định, mã hóa DNS khi máy chủ DNS của mạng hỗ trợ và nếu không thì dùng DNS thường; và Tên máy chủ của nhà cung cấp DNS riêng, luôn dùng nhà cung cấp bạn nhập.

• Bước 1: Mở Cài đặt > Mạng và Internet (hoặc "Connections" trên Samsung)
• Bước 2: Nhấn DNS riêng (đôi khi phải nhấn "Nâng cao" hoặc "More connection settings" trước)
• Bước 3: Chọn Tên máy chủ của nhà cung cấp DNS riêng
• Bước 4: Nhập tên máy chủ của nhà cung cấp. Ví dụ: 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Bước 5: Nhấn Lưu. Nếu Android không kết nối được nhà cung cấp, nó cảnh báo "Không thể truy cập máy chủ DNS riêng tư"

Cách bật Private DNS trên iPhone và iPad

iPhone và iPad (iOS 14 trở lên) hỗ trợ DNS over HTTPS và DNS over TLS, nhưng không có một công tắc duy nhất như Android: bạn thêm một ứng dụng DNS mã hóa hoặc một hồ sơ cấu hình.

• Cách 1: Ứng dụng DNS — Cài ứng dụng của nhà cung cấp (ví dụ 1.1.1.1 của Cloudflare, NextDNS hoặc AdGuard) từ App Store rồi bật lên. Cài đặt DNS của nó xuất hiện trong Cài đặt > Cài đặt chung > Quản lý VPN & thiết bị.
• Cách 2: Hồ sơ cấu hình — Tải tệp .mobileconfig từ nhà cung cấp DNS (hoặc từ bộ sưu tập đáng tin như kho GitHub paulmillr/encrypted-dns) bằng Safari, sau đó mở Cài đặt > Cài đặt chung > Quản lý VPN & thiết bị, chọn hồ sơ vừa tải và nhấn Cài đặt.
• Cách 3: DNS theo từng mạng — Vào Cài đặt > Wi-Fi, nhấn (i) cạnh mạng của bạn, nhấn "Định cấu hình DNS", chọn "Thủ công" rồi thêm IP máy chủ DNS (ví dụ 1.1.1.1, 1.0.0.1). Từ iOS 16 trở lên, máy chủ hỗ trợ Discovery of Designated Resolvers (1.1.1.1, 8.8.8.8 và 9.9.9.9 đều có) sẽ khiến iPhone tự chuyển sang DNS mã hóa; các máy chủ khác vẫn không mã hóa.

Cách bật DNS over HTTPS trên Windows 11

Windows 11 hỗ trợ DNS over HTTPS sẵn có. Hệ điều hành đi kèm danh sách nhà cung cấp DoH được nhận diện, gồm Cloudflare, Google và Quad9.

• Bước 1: Mở "Cài đặt > Mạng & Internet > Wi-Fi > Quản lý các mạng đã biết" và chọn mạng của bạn (với dây cáp: "Ethernet" → mạng của bạn)
• Bước 2: Tìm "Gán máy chủ DNS" trên trang đó
• Bước 3: Bấm "Chỉnh sửa" cạnh "Gán máy chủ DNS"
• Bước 4: Chọn "Thủ công" và bật "IPv4"
• Bước 5: Nhập máy chủ DNS chính (ví dụ 1.1.1.1) và đặt "DNS qua HTTPS" thành "Bật (mẫu tự động)"
• Bước 6: Nhập máy chủ DNS phụ (ví dụ 1.0.0.1) và cũng đặt DoH thành "Bật"
• Bước 7: Bấm "Lưu". Mục DNS lúc này sẽ hiện nhãn "Encrypted"

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Cách bật Private DNS trên macOS

macOS (Big Sur 11 trở lên) hỗ trợ DNS mã hóa qua hồ sơ cấu hình, giống iOS, hoặc qua ứng dụng DNS.

• Cách 1: Ứng dụng DNS — Cài ứng dụng Cloudflare 1.1.1.1 (hoặc tương tự) và bật lên. Ứng dụng cấu hình DoH hoặc DoT ở cấp hệ thống.
• Cách 2: Hồ sơ cấu hình — Tải tệp .mobileconfig, bấm đúp vào tệp, rồi phê duyệt trong Cài đặt hệ thống → Cài đặt chung → Quản lý thiết bị (macOS cũ hơn: tìm "Profiles" trong cài đặt hệ thống).
• Cách 3: Terminal (nâng cao) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 đổi máy chủ DNS. Từ macOS Ventura trở lên, máy chủ hỗ trợ DDR (1.1.1.1, 8.8.8.8, 9.9.9.9) được tự động nâng lên DNS mã hóa; các máy chủ khác vẫn không mã hóa.

Các nhà cung cấp Private DNS tốt nhất (2026)

Cloudflare 1.1.1.1 hỗ trợ DoT và DoH (cùng Oblivious DoH), với các biến thể lọc security.cloudflare-dns.com (phần mềm độc hại) và family.cloudflare-dns.com (phần mềm độc hại và nội dung người lớn). Họ không lưu địa chỉ IP nguồn trên ổ đĩa, xóa nhật ký trong vòng 25 giờ và có bên kiểm toán độc lập xác minh các cam kết này.

Google Public DNS hỗ trợ DoT và DoH. Nhật ký tạm thời chứa địa chỉ IP đầy đủ của bạn và bị xóa trong 24 đến 48 giờ; mẫu lưu lâu dài chỉ giữ vị trí ở cấp thành phố. Nếu ưu tiên của bạn là ghi nhật ký tối thiểu, Cloudflare hoặc Quad9 phù hợp hơn.

Quad9 do một tổ chức phi lợi nhuận của Thụy Sĩ điều hành, không lưu địa chỉ IP và chặn các tên miền độc hại đã biết dựa trên thông tin mối đe dọa từ các đối tác bảo mật: lựa chọn tốt cho người dùng chú trọng bảo mật.

AdGuard DNS chặn quảng cáo và trình theo dõi ở cấp DNS, nên quảng cáo biến mất trên toàn thiết bị mà không cần trình chặn quảng cáo riêng. Nó cũng có DNS over QUIC.

NextDNS cho bạn nhiều quyền kiểm soát nhất. Bạn có tên máy chủ riêng, danh sách chặn tùy chỉnh, thống kê theo từng thiết bị, kiểm soát của phụ huynh và bảng điều khiển cho thấy chính xác thứ gì đang bị chặn. Gói miễn phí gồm 300.000 truy vấn mỗi tháng.

Tốc độ thay đổi theo vị trí, nên đừng chọn mù quáng: hãy chạy Kiểm tra tốc độ DNS miễn phí để so sánh Cloudflare, Google và Quad9 qua DNS over HTTPS mã hóa từ chính mạng của bạn, rồi bật Private DNS với nhà cung cấp thực sự thắng ở chỗ bạn.

Mọi địa chỉ và bước thiết lập của hai nhà cung cấp lớn nhất có trong hướng dẫn máy chủ DNS Cloudflare và máy chủ DNS Google của chúng tôi.

Tên máy chủ Private DNS (mã): nhập gì vào ô trên Android

Tên máy chủ Private DNS, đôi khi gọi là mã Private DNS, là địa chỉ bạn nhập vào Cài đặt → Mạng và Internet → DNS riêng → "Tên máy chủ của nhà cung cấp DNS riêng" trên Android.

Hãy sao chép một trong các tên sau vào ô. Đây là tên máy chủ chính thức của các nhà cung cấp lớn:

Sau khi lưu, hãy kiểm tra xem đã có hiệu lực chưa: DNS Leak Test của DNS Robot phải hiện máy chủ của nhà cung cấp bạn chọn, không phải của ISP. Nếu cài đặt thất bại trên một mạng nào đó, phần về DNS mã hóa bị chặn bên dưới giải thích lý do.

DNS công khai và riêng tư: nghĩa trong doanh nghiệp

Gây nhầm lẫn là "private DNS" còn có nghĩa thứ hai trong môi trường doanh nghiệp và đám mây, và nó không liên quan gì đến cài đặt DNS mã hóa trên điện thoại của bạn.

Ở đó, private DNS nghĩa là vùng DNS riêng: các bản ghi tên nội bộ như intranet.corp.local hoặc db1.internal đặt trên máy chủ chỉ truy cập được bên trong mạng công ty hoặc VPC đám mây. AWS gọi chúng là private hosted zone của Route 53, Azure có Azure Private DNS, còn Oracle và Google Cloud có dịch vụ tương đương. Các bản ghi này không bao giờ được công bố ra internet công cộng: các trình phân giải công khai đơn giản là không thấy chúng.

Cách kiểm tra nhanh: nếu bạn nhập tên máy chủ vào cài đặt trên điện thoại hoặc laptop, đó là DNS mã hóa (bài viết này). Nếu bộ phận IT hoặc bảng điều khiển đám mây nhắc đến private DNS, họ nói về vùng nội bộ. Bạn có thể xem internet công cộng thấy gì ở một tên bất kỳ bằng tra cứu DNS: các bản ghi nằm trong vùng riêng sẽ không hiện ra.

Lợi ích của việc sử dụng Private DNS

Bật Private DNS trên thiết bị mang lại cải thiện ngay về bảo mật và quyền riêng tư.

• Chấm dứt việc ISP theo dõi — ISP không còn thấy bạn tra cứu tên miền nào và không thể lập hồ sơ duyệt web từ lưu lượng DNS của bạn
• Ngăn giả mạo DNS trên đường truyền — chứng chỉ TLS chứng minh bạn đang nói chuyện với đúng nhà cung cấp DNS, nên không ai ở giữa có thể làm giả câu trả lời
• Bảo vệ trên Wi-Fi công cộng — Những người khác trên cùng mạng không thể chặn truy vấn DNS của bạn
• Chặn chiếm quyền DNS — Truy vấn của bạn không thể bị router bị xâm nhập hoặc mạng độc hại âm thầm chuyển hướng
• Vượt qua proxy DNS trong suốt — Một số ISP chặn DNS ở cổng 53 ngay cả khi bạn dùng máy chủ của bên thứ ba. DNS mã hóa dùng cổng khác nên vượt qua các proxy này
• Tùy chọn chặn quảng cáo và phần mềm độc hại — Các nhà cung cấp như AdGuard, NextDNS và Quad9 có thể chặn quảng cáo, trình theo dõi và tên miền độc hại ở cấp DNS
• Hoạt động trên toàn hệ thống — Khi đã bật, Private DNS bảo vệ mọi ứng dụng trên thiết bị, không chỉ trình duyệt

Nhược điểm tiềm ẩn của Private DNS

Private DNS không hoàn hảo. Đây là những đánh đổi bạn nên biết.

• Lần tra cứu đầu chậm hơn — thiết lập kết nối mã hóa tốn thêm một hoặc hai vòng trao đổi trước truy vấn đầu tiên. Sau đó kết nối được tái sử dụng.
• Trang đăng nhập Wi-Fi có thể lỗi — Wi-Fi ở khách sạn, sân bay và quán cà phê yêu cầu trang đăng nhập thường cần DNS không mã hóa để chuyển hướng bạn. Private DNS có thể khiến các trang này không tải được.
• Mạng công ty có thể chặn — Bộ phận IT cần thấy DNS để giám sát bảo mật. Nhiều mạng doanh nghiệp cố ý chặn DNS mã hóa tới các trình phân giải bên ngoài.
• Lo ngại về tập trung hóa — DNS mã hóa khuyến khích dùng vài trình phân giải lớn (Cloudflare, Google), tập trung lưu lượng DNS vào ít công ty hơn.
• Không mã hóa mọi thứ — Private DNS mã hóa các lượt tra cứu, nhưng ISP vẫn thấy địa chỉ IP bạn kết nối và thường cả tên trang web trong bước bắt tay TLS (SNI), trừ khi trang dùng Encrypted Client Hello.
• Sự cố DNS phân tách (split-horizon) — Tổ chức dùng DNS nội bộ khác DNS bên ngoài có thể gặp vấn đề khi thiết bị bỏ qua trình phân giải nội bộ.

'Mạng này đang chặn lưu lượng DNS đã mã hóa': Ý nghĩa là gì

Trên iPhone, iPad và Mac, cài đặt Wi-Fi có thể hiện "Mạng này đang chặn lưu lượng DNS đã mã hóa" dưới tên mạng. Điều đó nghĩa là thiết bị đã cố dùng DNS mã hóa và mạng đã chặn lại, nên các tên bạn tra cứu ở đó mạng có thể thấy.

Tình trạng này thường gặp trên Wi-Fi công ty và trường học, mạng khách sạn và sân bay có trang đăng nhập, và một số router gia đình. Hướng dẫn đầy đủ của chúng tôi, Mạng này đang chặn lưu lượng DNS đã mã hóa, nêu từng nguyên nhân; các cách khắc phục nhanh:

• Tắt thứ đang bật DNS mã hóa trên mạng này — "Giới hạn theo dõi địa chỉ IP" (Chuyển tiếp bảo mật iCloud) cho mạng Wi-Fi này, ứng dụng hoặc hồ sơ DNS, hoặc máy chủ DNS thủ công (đặt "Định cấu hình DNS" về "Tự động")
• Quên mạng Wi-Fi rồi kết nối lại — Vào cài đặt Wi-Fi, quên mạng, rồi tham gia lại
• Dùng VPN — VPN mã hóa toàn bộ lưu lượng gồm cả DNS, vượt qua mọi việc chặn DNS ở cấp mạng
• Chấp nhận trên mạng được quản lý — Trên mạng công ty hoặc trường học, việc chặn DNS mã hóa thường là cố ý để giám sát bảo mật. Có thể bạn không vượt qua được

Cách kiểm tra Private DNS đang hoạt động

Sau khi bật Private DNS, hãy kiểm tra các lượt tra cứu có thực sự đi tới nhà cung cấp bạn chọn. Hãy kiểm tra chính thiết bị trong trình duyệt; các lệnh terminal bên dưới kiểm tra nhà cung cấp.

• Kiểm tra rò rỉ DNS của DNS Robot — chạy DNS Leak Test trên thiết bị: nó cho thấy trình phân giải nào thực sự trả lời truy vấn của bạn. Bạn phải thấy nhà cung cấp đã chọn, không phải ISP
• Trang kiểm tra của Cloudflare — nếu dùng Cloudflare, 1.1.1.1/help cho biết truy vấn của bạn dùng DoH, DoT hay DNS thường
• Android — khi đã đặt tên máy chủ, Android cảnh báo "Không thể truy cập máy chủ DNS riêng tư" nếu không kết nối được; không có cảnh báo nghĩa là đang hoạt động
• Windows 11 — thuộc tính kết nối liệt kê từng máy chủ DNS kèm "(Encrypted)" khi DoH đang bật

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'