Kiểm Tra Rò Rỉ DNS (DNS Leak Test)

Rò Rỉ DNS Là Gì?

Mỗi lần bạn mở một website, thiết bị trước tiên phải hỏi một máy chủ DNS để chuyển tên miền (example.com) thành địa chỉ IP. Bên vận hành máy chủ đó có thể thấy mọi tên miền bạn tra cứu.

VPN lẽ ra phải gửi các truy vấn đó qua đường hầm mã hóa đến những máy chủ DNS do nó kiểm soát. Rò rỉ DNS xảy ra khi chúng đi đến nơi khác, thường là thẳng đến nhà cung cấp dịch vụ internet của bạn. Lưu lượng của bạn vẫn được ẩn, nhưng ISP vẫn có danh sách mọi trang bạn truy cập, và lời hứa về quyền riêng tư của VPN âm thầm bị phá vỡ.

Cách Bài Kiểm Tra Rò Rỉ DNS Này Hoạt Động

Ý Nghĩa Kết Quả Của Bạn

Kiểm Tra Rò Rỉ DNS Tiêu Chuẩn Hay Mở Rộng?

Bài kiểm tra tiêu chuẩn gửi 6 truy vấn và chỉ mất vài giây. Như vậy là đủ để biết nhà cung cấp nào đang xử lý DNS của bạn.

Bài kiểm tra mở rộng gửi 36 truy vấn trong sáu lượt. Các nhà cung cấp lớn trả lời từ những cụm gồm nhiều máy chủ, và một số rò rỉ chỉ thỉnh thoảng mới xuất hiện, ví dụ khi Windows gửi cùng một truy vấn đến mọi card mạng cùng lúc. Hãy chạy bài kiểm tra mở rộng trước khi giao phó bất cứ điều gì nhạy cảm cho một VPN.

Nguyên Nhân Gây Rò Rỉ DNS

• VPN không xử lý DNS. Một số ứng dụng VPN, và nhiều cấu hình OpenVPN hoặc WireGuard thủ công, kết nối đường hầm nhưng vẫn để cài đặt DNS của hệ thống trỏ đến router hoặc ISP của bạn.

• Windows hỏi mọi card mạng. Từ Windows 8, tính năng smart multi-homed name resolution gửi mỗi truy vấn đến máy chủ DNS của tất cả card mạng cùng lúc và lấy câu trả lời nhanh nhất, mà câu trả lời đó có thể đến từ ISP của bạn.

• IPv6 nằm ngoài đường hầm. Nếu VPN chỉ đưa IPv4 qua đường hầm, các truy vấn gửi qua IPv6 có thể đến thẳng resolver của ISP. Hãy kiểm tra bằng công cụ kiểm tra IPv6 của chúng tôi khi VPN đang kết nối.

• DNS bảo mật của trình duyệt. Chrome, Edge và Firefox có thể gửi truy vấn qua DNS over HTTPS đến Cloudflare, Google hoặc một nhà cung cấp khác, bỏ qua các máy chủ DNS của VPN.

• DNS đặt trên router hoặc đặt thủ công. Một máy chủ DNS cố định trong router hoặc trong cài đặt mạng có thể ghi đè VPN, tùy vào cách ứng dụng VPN hoạt động.

• Proxy DNS trong suốt. Một số ISP chặn bắt mọi yêu cầu DNS trên cổng 53 và tự trả lời, ngay cả khi bạn đã chọn một máy chủ DNS khác.

Cách Khắc Phục Rò Rỉ DNS

• Bật tính năng chống rò rỉ DNS của VPN cùng kill switch. Hầu hết ứng dụng VPN tốt đều có cả hai; hãy đảm bảo ứng dụng dùng máy chủ DNS riêng của nó, rồi chạy lại bài kiểm tra.

• Windows Pro và Enterprise: mở gpedit.msc → Computer Configuration → Administrative Templates → Network → DNS Client, rồi bật Turn off smart multi-homed name resolution. Trên Windows Home, đặt giá trị DWORD DisableSmartNameResolution thành 1 trong HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient.

• Tắt Teredo nếu bạn không cần đến nó: chạy netsh interface teredo set state disabled trong Command Prompt với quyền quản trị viên.

• Khắc phục IPv6: dùng VPN có đưa cả IPv6 qua đường hầm, hoặc tắt IPv6 trên card mạng trong lúc kết nối VPN.

• Kiểm tra DNS bảo mật của trình duyệt: trong Chrome, vào Cài đặt → Quyền riêng tư và bảo mật → Bảo mật → Sử dụng DNS bảo mật; trong Firefox, vào Cài đặt → Riêng tư & Bảo mật → DNS qua HTTPS (DNS over HTTPS). Hãy tắt tính năng này, hoặc trỏ nó đến resolver của VPN, nếu bạn muốn VPN xử lý DNS.

• Xóa bộ nhớ đệm DNS sau mỗi thay đổi để các câu trả lời cũ không còn sót lại: xem cách xóa bộ nhớ đệm DNS trên Windows, macOS, Linux và trình duyệt.

Kiểm Tra Máy Chủ DNS Bằng Dòng Lệnh

Bạn cũng có thể kiểm tra máy tính đang dùng máy chủ DNS nào mà không cần trình duyệt. Nameserver của chúng tôi trả lời tên đặc biệt whoami.leak.dnsrobot.net bằng địa chỉ IP của máy chủ đã hỏi tên đó:

Tại Sao Tôi Thấy Những Máy Chủ Lạ?

Chúng tôi chỉ thấy máy chủ đã liên hệ với nameserver của chúng tôi, tức máy chủ cuối cùng trong chuỗi. Nếu router hoặc một resolver nội bộ chuyển tiếp truy vấn lên tuyến trên, kết quả sẽ hiển thị nhà cung cấp tuyến trên đó chứ không phải router của bạn.

Các resolver công cộng lớn dùng anycast: Cloudflare, Google và Quad9 trả lời từ các trung tâm dữ liệu gần bạn, và một truy vấn có thể được xử lý bởi một máy ở nước láng giềng. Bản thân một máy chủ ở quốc gia không ngờ tới không phải là rò rỉ. Điều quan trọng là ai vận hành nó.

Rò Rỉ DNS, Rò Rỉ WebRTC và Rò Rỉ IPv6

VPN có thể làm lộ danh tính của bạn theo ba cách chính, và mỗi cách cần một bài kiểm tra riêng:

Thêm Công Cụ Quyền Riêng Tư và DNS

Các công cụ miễn phí khác để xem kết nối của bạn tiết lộ những gì và DNS của bạn hoạt động ra sao: