DNS leak là gì và cách kiểm tra trong 2 phút

Nếu bạn đã đọc về WebRTC leak thì DNS leak là anh em họ hàng của nó. Cùng một kiểu vấn đề: bạn nghĩ mình đang đi qua proxy, nhưng có một phần lưu lượng lẻn ra ngoài bằng đường khác.

Khác biệt là DNS leak phổ biến hơn, và nhiều người dính mà không hề biết.

DNS làm gì

Máy tính không hiểu tên miền. Nó chỉ hiểu địa chỉ số.

Nên mỗi lần bạn mở một trang web, thiết bị phải hỏi trước: “tên miền này ứng với địa chỉ số nào?” Câu hỏi đó gửi tới một máy chủ DNS, và máy chủ trả lời. Sau đó thiết bị mới bắt đầu kết nối thật.

Việc này xảy ra liên tục, hàng trăm lần mỗi ngày, hoàn toàn tự động. Bạn không thấy gì cả.

Mặc định, máy chủ DNS mà thiết bị dùng là máy chủ của nhà mạng bạn đang kết nối.

Rò rỉ xảy ra thế nào

Đây là chỗ nhiều người hiểu nhầm.

Khi bạn cài proxy, phần lớn lưu lượng web sẽ đi qua proxy. Nhưng truy vấn DNS thì không nhất thiết. Tùy cấu hình, nó có thể vẫn đi thẳng ra máy chủ DNS của nhà mạng theo đường mạng thật.

Nghĩa là: trang web bạn truy cập nhìn thấy IP của proxy. Nhưng nhà mạng của bạn vẫn biết chính xác bạn vừa hỏi về tên miền nào, vào lúc mấy giờ. Và máy chủ DNS đó biết tất cả những gì bạn định truy cập.

Với người dùng thường, đây là vấn đề riêng tư. Với người nuôi nhiều tài khoản, nó là vấn đề khác và nghiêm trọng hơn.

Vì sao nó gây khóa tài khoản

Giả sử bạn có 30 thiết bị, mỗi cái một proxy riêng, IP hoàn toàn khác nhau.

Nhưng nếu cả 30 đều tra DNS qua cùng một máy chủ của nhà mạng ở Việt Nam, thì có một điểm chung rõ ràng giữa chúng.

Điều này tạo ra một mâu thuẫn dễ nhận ra. Tài khoản của bạn có IP ở Mỹ nhưng truy vấn DNS lại đi qua máy chủ của một nhà mạng Việt Nam. Đó không phải hành vi của người dùng bình thường ở Mỹ.

Các hệ thống chống gian lận để ý đúng những mâu thuẫn kiểu này. Chúng không cần bằng chứng tuyệt đối — chúng cộng dồn tín hiệu, và khi đủ nhiều thì hành động.

Kiểm tra trong 2 phút

Cách làm:

Bật proxy như bình thường. Trên đúng thiết bị và đúng hồ sơ bạn muốn kiểm tra.

Vào dnsleaktest.com.

Trang sẽ hiện IP mà nó nhìn thấy — cái này phải là IP của proxy. Nếu không phải thì proxy của bạn chưa chạy, xử lý chuyện đó trước.

Bấm nút chạy bài kiểm tra mở rộng. Chờ khoảng 30 giây.

Kết quả là một danh sách các máy chủ DNS mà thiết bị bạn đang dùng, kèm tên nhà cung cấp và quốc gia.

Đọc kết quả thế nào

Nếu danh sách hiện tên nhà mạng Việt Nam — Viettel, VNPT, FPT — trong khi proxy của bạn ở nước ngoài, thì bạn đang rò rỉ. Rõ ràng và không có gì phải bàn.

Nếu hiện tên nhà cung cấp trùng hoặc gần với nhà cung cấp proxy, và quốc gia khớp với quốc gia của proxy, thì bạn ổn.

Nếu hiện các máy chủ DNS công cộng như của Google hoặc Cloudflare, thì tùy. Nó không tiết lộ nhà mạng của bạn, nên đỡ hơn trường hợp đầu. Nhưng nếu cả 30 thiết bị của bạn đều dùng chung một máy chủ công cộng, đó vẫn là điểm chung giữa chúng.

Nếu danh sách hiện nhiều máy chủ ở nhiều nước khác nhau, thường là bình thường — hệ thống DNS phân tán và một truy vấn có thể qua nhiều nơi. Điều cần nhìn là có máy chủ nào ở Việt Nam hay không.

Nên kiểm tra trên vài thiết bị chứ đừng chỉ một. Rất hay gặp trường hợp máy này sạch, máy kia không, do có người từng đặt DNS thủ công rồi quên.

Ba cách chặn

Đặt DNS thủ công trên từng thiết bị

Bạn vào cài đặt mạng của máy, đổi máy chủ DNS sang một máy chủ khác thay vì để mặc định.

Ưu: miễn phí, làm được ngay, không cần thiết bị gì.

Nhược: phải làm trên từng máy. Với cụm 30 máy thì đó là 30 lần vào cài đặt. Và mỗi khi thêm máy mới, hoặc mỗi khi máy được khôi phục cài đặt gốc, bạn phải nhớ làm lại.

Ngoài ra cách này chỉ đổi máy chủ chứ không làm truy vấn đi qua proxy. Bạn vẫn để lộ danh sách tên miền, chỉ là để lộ cho bên khác thay vì nhà mạng.

Dùng cài đặt của trình duyệt antidetect

Nhiều trình duyệt antidetect có tùy chọn buộc truy vấn DNS đi qua proxy.

Ưu: đúng cách về mặt kỹ thuật, và làm được từ giao diện.

Nhược: chỉ có tác dụng bên trong trình duyệt đó. Ứng dụng gốc trên điện thoại — TikTok, Facebook, ví coin, phần mềm tự động hóa — không đi qua trình duyệt antidetect nên không được bảo vệ.

Với dân phone farm, đây là hạn chế lớn. Phần lớn hoạt động của bạn nằm trong ứng dụng chứ không nằm trong trình duyệt.

Chặn ở tầng router

Router buộc mọi truy vấn DNS đi qua proxy tương ứng của từng wifi, và chặn mọi truy vấn cố đi ra ngoài bằng đường khác.

Ưu: áp dụng cho mọi thiết bị, mọi ứng dụng, không cần cài gì trên máy. Máy mới cắm vào là đã được bảo vệ.

Nhược: cần router hỗ trợ. Router thường không làm được.

Với cụm nhiều thiết bị, cách này vừa gọn vừa chắc chắn hơn hai cách trên.

Lỗi hay gặp khi xử lý

Đã bật chặn trên router mà vẫn rò rỉ. Nguyên nhân thường gặp nhất: trên thiết bị có DNS đặt thủ công từ trước. Cài đặt trên máy sẽ đè lên cài đặt của router. Vào phần cài đặt mạng của máy, chuyển DNS về chế độ tự động.

Một máy trong cụm sạch, máy khác thì không. Kiểm tra xem chúng có đang kết nối vào đúng wifi không. Một máy vô tình nối vào wifi nhà thay vì wifi trong cụm là chuyện xảy ra thường xuyên hơn bạn nghĩ.

Kết quả kiểm tra thay đổi mỗi lần chạy. Bình thường, vì hệ thống DNS có nhiều máy chủ dự phòng. Điều cần nhìn là có máy chủ nào ở Việt Nam xuất hiện không, chứ không phải danh sách có giống hệt nhau giữa các lần.

Chặn DNS xong thì mạng chậm hẳn. Có thể do máy chủ DNS mới ở xa. Thử đổi sang máy chủ khác gần hơn.

DNS leak và WebRTC leak — nên xử cả hai

Hai lỗ hổng này thường đi cùng nhau. Cấu hình nào để lọt cái này thì thường cũng để lọt cái kia, vì gốc rễ giống nhau: có loại lưu lượng không đi theo đường proxy.

Nếu bạn đang kiểm tra một cái thì kiểm tra luôn cái còn lại. Mất thêm 2 phút.

Và nếu bạn đang tìm cách xử lý, hãy chọn cách xử được cả hai cùng lúc thay vì vá từng chỗ. Vá từng chỗ thì luôn còn khả năng bỏ sót chỗ thứ ba.

Việc nên làm hôm nay

Không cần mua gì, không cần cài gì: mở dnsleaktest.com trên hai ba máy trong cụm và chạy bài kiểm tra mở rộng. Năm phút.

Nếu kết quả hiện tên nhà mạng Việt Nam trong khi proxy ở nước ngoài, bạn biết mình cần xử lý. Nếu sạch, bạn yên tâm và không mất gì.

Với cụm thiết bị vật lý nhiều máy, chặn ở tầng router là cách gọn nhất — cấu hình một lần, mọi máy được bảo vệ, kể cả máy mới thêm vào sau này. One Router chặn cả DNS leak lẫn WebRTC leak ngay tại thiết bị, bản trọn gói 2.900.000 đồng gồm router và phần mềm, hoặc 2.000.000 đồng nếu bạn đã có router tương thích.

Nhưng bước đầu tiên vẫn là đi kiểm tra. Biết mình có vấn đề gì rồi hãy tính chuyện giải quyết.

Mua One Router ở đâu

One Router AX3000 do Phonefarm.vn phân phối. Bản trọn gói gồm router và phần mềm 2.900.000 đồng, bản quyền phần mềm riêng cho router bạn đã có 2.000.000 đồng. Bảo hành 6 tháng đổi 1-1.

Hotline / Zalo: 0862 425 345 — Email: contact@phonefarm.vn

Showroom, đến xem máy chạy thật rồi mua cũng được:

Chi nhánh	Địa chỉ
TP.HCM	24 Đường Số 1, KDC Hồng Long, P. Hiệp Bình, Thủ Đức
Hà Nội	298 Kim Giang, P. Đại Kim, Q. Hoàng Mai
Đà Nẵng	41 Nguyễn Như Hạnh, Q. Liên Chiểu

Giao hàng toàn quốc, hỗ trợ ship COD. Chưa chắc cụm máy của mình cần gì, cứ nhắn Zalo — kỹ thuật tư vấn theo đúng số máy bạn đang có, không mua cũng không sao.

Câu hỏi thường gặp

DNS leak là gì nói ngắn gọn?

Là việc thiết bị tra tên miền qua máy chủ DNS của nhà mạng thay vì qua proxy. Kết quả là bạn để lộ nhà mạng thật và danh sách những nơi mình định truy cập, dù IP hiển thị vẫn là IP proxy.

DNS leak có nguy hiểm bằng WebRTC leak không?

Ở góc độ nuôi tài khoản thì gần tương đương. Cả hai đều tạo ra điểm chung giữa các tài khoản lẽ ra phải độc lập.

Đổi DNS sang máy chủ công cộng có đủ chưa?

Đỡ hơn để mặc định, nhưng chưa đủ. Nếu cả 30 thiết bị cùng dùng một máy chủ công cộng thì đó vẫn là điểm chung. Cách đúng là buộc truy vấn DNS đi qua proxy tương ứng của từng máy.

Đã bật chặn trên router mà vẫn rò rỉ thì sao?

Kiểm tra xem trên thiết bị có DNS đặt thủ công từ trước không. Cài đặt trên máy đè lên cài đặt của router. Chuyển về chế độ tự động là xong.