Chọn DNS trong một đoạn
Trung Quốc đại lục: Ưu tiên 223.5.5.5 (AliDNS) hoặc 119.29.29.29 (DNSPod) để truy cập các trang trong nước nhanh và ổn định nhất. Cho quyền riêng tư: Chọn 1.1.1.1 (Cloudflare) hoặc 9.9.9.9 (Quad9) — cả hai đều có kiểm toán của bên thứ ba xác nhận cam kết không lưu log. Lọc cho gia đình: Chọn 1.1.1.3 (Cloudflare Family) hoặc 185.228.168.168 (CleanBrowsing Family) để chặn nội dung người lớn và độc hại. Chặn quảng cáo: Chọn 94.140.14.14 (AdGuard DNS). Nhanh nhất toàn cầu: Cloudflare 1.1.1.1 (330 PoP) và Quad9 (245 PoP) có phạm vi phủ rộng nhất.
1. DNS công cộng là gì? Khác gì DNS của ISP?
DNS (Domain Name System) chuyển tên miền thành địa chỉ IP. Khi bạn truy cập google.com, hệ điều hành sẽ hỏi một recursive resolver (trình phân giải đệ quy): "IP của google.com là gì?" — resolver đó chính là máy chủ DNS.
Mặc định, bạn đang dùng DNS của ISP (do nhà cung cấp băng thông rộng gia đình cấp). Vấn đề ở chỗ:
- Chèn quảng cáo — nhiều ISP chiếm quyền phản hồi NXDOMAIN (không tìm thấy tên miền) và chuyển hướng sang trang quảng cáo
- Kiếm tiền từ log — mọi tên miền bạn tra cứu đều bị ISP ghi lại, có thể được dùng để lập hồ sơ quảng cáo hoặc bị bán
- Tốc độ chậm — các nhà mạng nhỏ có tỷ lệ trúng bộ nhớ đệm DNS thấp, thời gian phân giải lên tới hàng trăm mili giây
- Đầu độc DNS — một số ISP ở Trung Quốc đại lục đầu độc phản hồi DNS cho các tên miền nước ngoài
DNS công cộng là resolver miễn phí hoặc trả phí do bên thứ ba vận hành, giải quyết các vấn đề trên — chỉ cần trỏ thiết bị của bạn tới một địa chỉ IP (ví dụ: 1.1.1.1) thay cho DNS của ISP.
2. Bảng so sánh: hơn 15 dịch vụ DNS công cộng phổ biến
Sắp xếp từ "quốc tế" đến "Trung Quốc đại lục / Hồng Kông - Đài Loan". Số PoP Anycast lấy theo số liệu chính thức gần đây của từng nhà cung cấp.
| Thương hiệu / sản phẩm | IPv4 chính/phụ | IPv6 | Chính sách lọc | DoH / DoT | PoP | Khả năng truy cập từ Trung Quốc |
|---|---|---|---|---|---|---|
| Cloudflare 1.1.1.1 | 1.1.1.1 / 1.0.0.1 | 2606:4700:4700::1111 / 2606:4700:4700::1001 | Không lọc Unfiltered, raw resolution | DoHDoT | 330 | Chập chờn |
| Cloudflare 1.1.1.2 / 1.1.1.3 (Family) | 1.1.1.2 / 1.0.0.2 / 1.1.1.3 / 1.0.0.3 | 2606:4700:4700::1112 / 2606:4700:4700::1002 | Gia đình 1.1.1.2 blocks malware domains; 1.1.1.3 also blocks adult content | DoHDoT | 330 | Chập chờn |
| Google Public DNS | 8.8.8.8 / 8.8.4.4 | 2001:4860:4860::8888 / 2001:4860:4860::8844 | Không lọc Unfiltered | DoHDoT | 200 | Không truy cập được |
| Quad9 9.9.9.9 | 9.9.9.9 / 149.112.112.112 | 2620:fe::fe / 2620:fe::9 | Mã độc Blocks known malicious domains by default (based on multi-source threat feeds including IBM X-Force) | DoHDoT | 245 | Chập chờn |
| Cisco OpenDNS OpenDNS Home | 208.67.222.222 / 208.67.220.220 | 2620:119:35::35 / 2620:119:53::53 | Mã độc Blocks phishing sites and malware domains; add parental controls after signing up | DoHDoT | 35 | Chập chờn |
| Control D Public DNS | 76.76.2.0 / 76.76.10.0 | 2606:1a40:: / 2606:1a40:1:: | Không lọc Unfiltered by default; sign up for an account to choose from 40+ filtering profiles | DoHDoT | 270 | Chập chờn |
| AdGuard AdGuard DNS | 94.140.14.14 / 94.140.15.15 | 2a10:50c0::ad1:ff / 2a10:50c0::ad2:ff | Quảng cáo Blocks ads, trackers, and malware domains | DoHDoT | 60 | Chập chờn |
| CleanBrowsing Family Filter | 185.228.168.168 / 185.228.169.168 | 2a0d:2a00:1:: / 2a0d:2a00:2:: | Gia đình Blocks adult content and malware domains; enforces Google/Bing SafeSearch | DoHDoT | 12 | Chập chờn |
| Verisign Public DNS | 64.6.64.6 / 64.6.65.6 | 2620:74:1b::1:1 / 2620:74:1c::2:2 | Không lọc Unfiltered, emphasizes stability | DoHDoT | 26 | Chập chờn |
| Lumen / CenturyLink Level3 DNS | 4.2.2.1 / 4.2.2.2 | — | Không lọc Unfiltered, a long-standing Tier-1 ISP DNS service | DoHDoT | 10 | Chập chờn |
| Alibaba Cloud (AliDNS) AliDNS | 223.5.5.5 / 223.6.6.6 | 2400:3200::1 / 2400:3200:baba::1 | Không lọc Unfiltered, stable nationwide across mainland China | DoHDoT | 50 | Ổn định |
| Tencent (DNSPod) DNSPod Public DNS+ | 119.29.29.29 / 182.254.116.116 | 2402:4e00:: / 2402:4e00:1:: | Không lọc Unfiltered, operated by Tencent | DoHDoT | 40 | Ổn định |
| 114DNS 114DNS | 114.114.114.114 / 114.114.115.115 | — | Không lọc Unfiltered by default (the 114DNS Secure edition at 114.114.114.119 blocks phishing) | DoHDoT | 8 | Ổn định |
| 360 360 Secure DNS | 101.226.4.6 / 218.30.118.6 | — | Mã độc Blocks phishing, trojan, and malware-injected sites | DoHDoT | 6 | Ổn định |
| Chunghwa Telecom (HiNet) HiNet DNS | 168.95.1.1 / 168.95.192.1 | 2001:b000:168::1 / 2001:b000:168::2 | Không lọc Unfiltered, Taiwan ISP DNS | DoHDoT | 4 | Chập chờn |
Nhấp vào bất kỳ IP nào trong bảng để chuyển tới trang thông tin tình báo IP của CleanIP: 1.1.1.1, 8.8.8.8, 9.9.9.9, 223.5.5.5, 119.29.29.29.
3. Chọn DNS theo nhu cầu — 5 tình huống
3.1 Ưu tiên tốc độ / phủ sóng toàn cầu
Cloudflare 1.1.1.1 được công nhận rộng rãi là nhanh nhất, với 330 PoP có mặt gần như ở mọi thành phố lớn. Quad9 (245 PoP) theo sát phía sau. Để xem xếp hạng thực tế theo khu vực, hãy xem dnsperf.com để biết kết quả trực tiếp tại khu vực của bạn.
3.2 Ưu tiên quyền riêng tư / không lưu log
Cloudflare 1.1.1.1 có thỏa thuận kiểm toán độc lập với KPMG và cam kết xóa toàn bộ log truy vấn trong vòng 24 giờ. Quad9 là tổ chức phi lợi nhuận của Thụy Sĩ, chịu quy định về quyền riêng tư nghiêm ngặt hơn. Lưu ý: Google 8.8.8.8 lưu giữ log hiệu năng; chính sách của AdGuard, AliDNS và DNSPod xem trên trang chính thức của từng bên.
3.3 Chặn mã độc / lừa đảo
Quad9 (9.9.9.9) mặc định tự động chặn tên miền độc hại dựa trên 16 nguồn threat feed, trong đó có IBM X-Force, nên thân thiện với người lớn tuổi và trẻ em. OpenDNS và CleanBrowsing cũng có khả năng tương tự.
3.4 Kiểm soát của phụ huynh / chặn nội dung người lớn
Cloudflare 1.1.1.3 + 1.0.0.3 (Family) hoặc CleanBrowsing 185.228.168.168 (Family) — không chỉ chặn tên miền độc hại mà còn bắt buộc bật SafeSearch của Google/Bing. Rất phù hợp cho trường học và router gia đình.
3.5 Chặn quảng cáo / trình theo dõi
AdGuard DNS (94.140.14.14) — chặn quảng cáo ở tầng mạng, không cần cài tiện ích trình duyệt, có hiệu lực trên mọi thiết bị trong mạng của bạn.
3.6 Ưu tiên ổn định ở Trung Quốc đại lục
AliDNS (223.5.5.5) là lựa chọn hàng đầu trong nước, do Alibaba Cloud vận hành, định tuyến rất tốt với các ISP trong nước. DNSPod (119.29.29.29) do Tencent vận hành, có định vị tương tự. 114DNS (114.114.114.114) là dịch vụ lâu đời, nổi tiếng nhưng không hỗ trợ IPv6.
4. Cách cấu hình DNS công cộng
4.1 Cấp router (khuyến nghị) — áp dụng cho mọi thiết bị
- Đăng nhập trang quản trị router (thường là 192.168.1.1 / 192.168.0.1)
- Tìm "Cài đặt DHCP" / "Cài đặt LAN" / "Máy chủ DNS"
- Đổi DNS chính/phụ thành các IP bạn đã chọn (ví dụ: chính 1.1.1.1, phụ 1.0.0.1)
- Lưu và khởi động lại router — mọi thiết bị trong mạng sẽ tự động dùng DNS mới
4.2 Cấp hệ thống — chỉ thiết bị hiện tại
- Windows: Settings → Network & Internet → mạng hiện tại → DNS server assignment → Edit (đổi cả IPv4 và IPv6)
- macOS: Cài đặt hệ thống → Mạng → Chi tiết → DNS → Thêm máy chủ DNS
- iOS: Cài đặt → Wi-Fi → Wi-Fi hiện tại → Định cấu hình DNS → Thủ công
- Android: Cài đặt → Mạng → DNS riêng tư → nhập tên máy chủ (ví dụ:
dns.alidns.com)
4.3 DoH trên trình duyệt (DNS-over-HTTPS)
Trình duyệt tự mã hóa DNS, bỏ qua thiết lập DNS của hệ điều hành. Cách này bảo vệ quyền riêng tư tốt nhất, nhưng chỉ áp dụng cho lưu lượng bên trong trình duyệt.
- Chrome: Cài đặt → Quyền riêng tư và bảo mật → Bảo mật → Dùng DNS an toàn → chọn Cloudflare / Google / Tùy chỉnh
- Firefox: Cài đặt → Quyền riêng tư → Bật DNS-over-HTTPS → mặc định là Cloudflare
- Edge: Cài đặt → Quyền riêng tư → Dùng DNS an toàn
5. DoH và DoT khác nhau thế nào? Vì sao điều đó quan trọng?
DNS truyền thống gửi truy vấn dạng văn bản thô qua cổng UDP 53 — ISP, hacker và WiFi công cộng đều có thể thấy bạn đang tra những tên miền nào. DoH (DNS-over-HTTPS) đóng gói truy vấn bên trong HTTPS (cổng 443), hòa lẫn với lưu lượng web thông thường nên khó bị kiểm duyệt hoặc chặn. DoT (DNS-over-TLS) cũng mã hóa truy vấn, nhưng dùng cổng riêng 853 — nên tường lửa dễ nhận diện và chặn hơn.
Với các DNS trong bảng trên có hỗ trợ DoH, chúng tôi khuyên bạn ưu tiên kết nối bằng DoH.
Muốn tự kiểm chứng DoH có thực sự hoạt động không? Hãy dùng công cụ Kiểm tra rò rỉ DNS: trình duyệt truy vấn thẳng tới các nameserver có thẩm quyền do chúng tôi tự vận hành, cho thấy lối ra thực sự của resolver mà bạn đang dùng.
6. Những hiểu lầm phổ biến
- "Đổi DNS là vượt được kiểm duyệt" — Sai. DNS chỉ phân giải tên miền, không thay đổi định tuyến. Truy cập Google chậm từ Trung Quốc đại lục chủ yếu là do băng thông quốc tế, không phải do DNS.
- "DNS nước ngoài luôn nhanh hơn DNS trong nước" — Sai. Ở Trung Quốc mà dùng DNS nước ngoài để truy cập các trang trong nước thì có khi còn chậm hơn, vì hệ thống điều phối CDN có thể chọn sai node dựa trên IP của resolver.
- "Đổi DNS sẽ ẩn được IP thật" — Sai. DNS chỉ ảnh hưởng đến quá trình truy vấn, không thay đổi IP lối ra bị lộ khi bạn truy cập website. Muốn ẩn IP, hãy dùng VPN hoặc proxy.
- "114DNS là tốt nhất" — Điều đó đúng vào 10 năm trước. Ngày nay AliDNS và DNSPod đã tiên tiến hơn cả về độ phủ node lẫn hỗ trợ DoH.