Chặn DNS: phương pháp kiểm duyệt rẻ nhất trên Internet

Bạn mở trình duyệt web và gõ vào địa chỉ của một trang tin tức. Thay vì thấy nội dung, bạn nhận được một thông báo lỗi: "Không thể tìm thấy máy chủ" hoặc "Kết nối bị từ chối". Trang này không bị hạn chế bởi một bức tường lửa phức tạp hay một thuật toán kiểm duyệt thông minh. Thay vào đó, nó bị chặn bởi một phương pháp đơn giản, rẻ tiền, và được sử dụng rộng rãi trên toàn thế giới: chặn DNS.

Đây là một trong những cách kiểm duyệt Internet hiệu quả nhất mà bạn có thể không bao giờ nhận thấy nó đang hoạt động. Để hiểu nó, chúng ta cần bắt đầu bằng cách hiểu DNS là gì.

DNS là cuốn danh bạ điện thoại của Internet

Khi bạn gõ "example.com" vào trình duyệt, máy tính của bạn không biết trực tiếp nơi tìm trang web đó. Nó cần dịch tên miền "example.com" thành một địa chỉ IP — một loạt các số như 93.184.216.34 — mà máy chủ thực tế hiểu được. Công việc này được giao cho một máy chủ DNS.

Hãy tưởng tượng DNS như một cuốn danh bạ điện thoại trung ương. Thay vì "John" chỉ ra số điện thoại, "example.com" chỉ ra địa chỉ IP. Máy tính của bạn gửi một câu hỏi đơn giản: "example.com là gì?" Máy chủ DNS trả lời với một số địa chỉ IP. Máy tính của bạn sau đó sử dụng số đó để kết nối đến trang web.

Thường thì, máy chủ DNS này được do nhà cung cấp Internet của bạn (ISP) cung cấp. Mỗi khi bạn vào một trang web, máy tính của bạn sẽ liên hệ với máy chủ DNS này.

Làm thế nào để chặn DNS hoạt động

Chặn DNS hoạt động bằng cách can thiệp vào bước này. Thay vì trả lời một câu hỏi DNS một cách trung thực, máy chủ DNS được kiểm duyệt sẽ trả lại một câu trả lời sai — hoặc không trả lời cả.

Ví dụ, nếu trang web bị cấm, máy chủ DNS ISP của bạn có thể:

- Trả lại một địa chỉ IP khác (thường dẫn đến một trang lỗi hoặc trang cảnh báo)
- Trả về một địa chỉ IP không hợp lệ (0.0.0.0 hoặc 127.0.0.1)
- Hoàn toàn bỏ qua câu hỏi và không trả lời

Trình duyệt của bạn không thể kết nối đến trang web vì nó không bao giờ lấy được địa chỉ IP chính xác. Trang web không bị chặn ở mạng của bạn — nó chỉ là "biến mất" khỏi danh bạ điện thoại.

Tại sao chặn DNS lại phổ biến đến vậy

Chặn DNS thành công bởi vì nó rẻ, dễ triển khai, và dễ thay đổi.

Trước tiên, nó không đòi hỏi công nghệ phức tạp. Bất kỳ ISP nào cũng có thể tạo một danh sách các tên miền bị cấm và cho máy chủ DNS của họ biết để từ chối chúng. Nó không cần những máy chủ lớn, không cần một hệ thống kiểm duyệt thông minh, và không cần phải kiểm tra từng bit dữ liệu đi qua.

Thứ hai, nó dễ dàng thay đổi. Nếu chính phủ quyết định cấm một trang web mới hôm nay, ISP có thể thêm nó vào danh sách chặn trong vòng vài phút.

Thứ ba — và đây là điều quan trọng — nó rẻ. Không có máy chủ kỳ lạ, không có công nghệ mới, không có chi phí vận hành lớn. Vì lý do này, chặn DNS được sử dụng ở hầu hết các quốc gia có kiểm duyệt Internet, từ những nước có tập trung quyền lực cao đến những nước dân chủ hơn.

Tại sao chặn DNS lại yếu

Nhưng chặn DNS có một vấn đề nghiêm trọng: nó dễ dàng vượt qua. Bạn không bắt buộc phải sử dụng máy chủ DNS của ISP của bạn.

Bạn có thể thay đổi máy chủ DNS của mình thành một máy chủ công cộng — một máy chủ DNS được vận hành bởi một công ty khác, không liên quan đến kiểm duyệt địa phương. Hai máy chủ DNS công cộng nổi tiếng nhất là:

- 8.8.8.8 (do Google vận hành)
- 1.1.1.1 (do Cloudflare vận hành)

Nếu bạn bảo máy tính của bạn sử dụng máy chủ DNS này thay vì máy chủ của ISP, các trang web bị chặn sẽ trở lại. Máy chủ DNS công cộng không biết hoặc không quan tâm đến danh sách chặn địa phương — nó chỉ cung cấp câu trả lời thực.

Cách vượt qua chặn DNS như thay đổi cuốn danh bạ của bạn. Nếu cuốn danh bạ địa phương từ chối cung cấp cho bạn một số điện thoại, bạn chỉ cần hỏi một cuốn danh bạ khác.

Sự phát triển thêm: DNS over HTTPS và DNS over TLS

Thậm chí có những cách nâng cao hơn để vượt qua chặn DNS. Các giao thức như DNS over HTTPS (DoH) và DNS over TLS (DoT) mã hóa các câu hỏi DNS của bạn, khiến cho ISP khó hơn trong việc nhìn thấy bạn đang truy vấn những máy chủ DNS nào hoặc bạn đang yêu cầu thông tin gì.

Bất kỳ phương pháp nào để vượt qua chặn DNS đều hoạt động giống nhau về nguyên tắc: bạn bỏ qua máy chủ DNS bị kiểm duyệt và sử dụng một máy chủ khác.

Cách các nước đáp ứng: chặn DNS bên ngoài

Một số quốc gia nhận thức được sự yếu kém này. Một phản ứng được một số chính phủ sử dụng là cấm truy cập máy chủ DNS công cộng hoàn toàn. Ví dụ, họ có thể chặn tất cả các truy vấn DNS được gửi đến 8.8.8.8 hoặc 1.1.1.1, hoặc buộc tất cả các truy vấn DNS phải đi qua máy chủ của chính phủ.

Đây là bằng chứng cho thấy chặn DNS có những hạn chế. Nó chỉ hoạt động nếu bạn sử dụng máy chủ DNS được kiểm duyệt. Một khi bạn bỏ qua nó, chặn DNS trở nên vô dụng.

Lấy ý chính về nhà

Chặn DNS là một công cụ kiểm duyệt rẻ tiền, phổ biến, nhưng vốn có sơ hở. Nó hoạt động bằng cách câu trả lời sai cho các câu hỏi DNS, khiến bạn không bao giờ tìm được trang web bị cấm. Nhưng bất kỳ ai cũng có thể thay đổi máy chủ DNS của họ, và sau đó sơ hở này biến mất.

Nếu bạn muốn hiểu sâu hơn về vấn đề này, hãy khám phá các chủ đề liên quan: mã hóa DNS, cách hoạt động của tường lửa, và những cách nâng cao hơn để kiểm duyệt Internet.