S
nguyenson.dev
← Bài viết • Bảo mật •

Xây dựng hệ thống Private DNS không ghi log với máy chủ tại Việt Nam & Singapore

Tại sao bạn nên tự kiểm soát hệ thống phân giải tên miền? Cách tạo hồ sơ mã hóa DNS (DoT/DoH) trên điện thoại cá nhân, chặn đứng theo dõi lịch sử duyệt web và lọc quảng cáo rác.

#Bảo mật #DNS #Quyền riêng tư #Mạng

Lời mở đầu

Mặc định khi sử dụng mạng WiFi gia đình hoặc dữ liệu di động 4G/5G, toàn bộ truy vấn tên miền của bạn (bạn vào trang web nào, dùng ứng dụng gì) đều được gửi dưới dạng văn bản không mã hóa về máy chủ DNS của nhà cung cấp dịch vụ mạng (ISP).

Điều này tiềm ẩn hai vấn đề lớn:

  1. Mất quyền riêng tư: Nhà mạng hoặc bất kỳ ai trên đường truyền đều có thể thu thập danh sách trang web bạn truy cập để phân tích hành vi hoặc bán dữ liệu quảng cáo.
  2. Không có cơ chế lọc độc hại: Các máy chủ DNS công cộng thông thường không chặn các tên miền chứa mã độc, máy chủ quảng cáo pop-up hay các trang web giả mạo ngân hàng.

1. Kiến trúc cụm máy chủ phân tán

Để đảm bảo vừa nhanh vừa an toàn, hệ thống được thiết lập theo mô hình ba lớp:

  • Tầng 1: Máy chủ nội địa (Việt Nam): Đặt tại các trung tâm dữ liệu trong nước, xử lý phần lớn lưu lượng truy cập hàng ngày với độ trễ siêu thấp (ping < 5ms).
  • Tầng 2: Máy chủ trung chuyển (Singapore): Đóng vai trò làm tuyến dự phòng tự động khi có sự cố nghẽn mạng quốc tế hoặc bảo trì cáp quang biển.
  • Tầng 3: Anycast Cloudflare: Phân luồng thông minh đảm bảo hệ thống luôn sẵn sàng 99.99%.

2. Cam kết No-Log (Zero-Log Policy)

Khác với các dịch vụ thương mại, một hệ thống DNS riêng tư thực thụ phải tuân thủ nghiêm ngặt nguyên tắc: Không lưu lại dấu vết.

  • Toàn bộ tiến trình phân giải chạy trên bộ nhớ tạm (RAM).
  • Không có tệp tin log nào ghi lại mối liên hệ giữa địa chỉ IP của người dùng và tên miền được truy vấn.
  • Định kỳ xóa bộ đệm cache bộ nhớ để đảm bảo tính bất biến.

3. Cách kích hoạt mã hóa trên thiết bị của bạn

Thay vì kết nối DNS qua cổng 53 truyền thống vốn không an toàn, chúng ta sử dụng hai giao thức mã hóa hiện đại:

  1. DNS qua TLS (DoT - Port 853): Sử dụng chứng chỉ SSL/TLS để bọc kín truy vấn tên miền, chống bị nghe lén trên đường truyền. Đây là giao thức mặc định trên Android (Private DNS).
  2. DNS qua HTTPS (DoH - Port 443): Giấu truy vấn DNS vào lưu lượng web thông thường, giúp vượt qua các tường lửa chặn cổng nghiêm ngặt.

Bằng cách cài đặt file Profile cho iPhone hoặc cấu hình Private DNS trên Android, mọi thiết bị của bạn đều được bảo vệ toàn diện mà không tốn pin hay làm nóng máy.