Windows 11 có một cài đặt bảo mật DNS mà tôi ước gì mình đã kiểm tra sớm hơn

Một trong những cách tăng cường quyền riêng tư và bảo mật dễ dàng nhất mà bạn có thể thực hiện là bật DNS được mã hóa trên hệ điều hành của bạn. Điều này có nghĩa là các yêu cầu DNS bạn thực hiện sẽ được bảo vệ và không còn bị gửi dưới dạng văn bản thuần túy để bất kỳ ai cũng có thể đọc; đây là một nâng cấp ngay lập tức và dễ dàng mà hầu như ai cũng có thể thực hiện.

Nhưng hóa ra mà hầu hết mọi người không biết, Windows 11 thực ra không phải lúc nào cũng tuân theo hoàn toàn các quy tắc mà bạn đã đặt ra.

Thay vào đó, đôi khi, Windows 11 sẽ quay lại kết nối văn bản thuần túy, làm suy yếu quyền riêng tư của bạn, và tất cả mà không bao giờ cảnh báo bạn.

Mặc dù nghe có vẻ tệ, và quả thật là tệ, tin tốt là có một cách khắc phục khả dụng, và chỉ mất vài phút để thực hiện.

Cách DNS-over-HTTPS hoạt động trên Windows 11

Và tại sao nó đôi khi không làm những gì bạn nghĩ

Trên Windows 11, khi bạn nhập một URL, máy của bạn sẽ khởi chạy cơ sở dữ liệu DNS và nối tên miền với một địa chỉ IP. Hầu hết thời gian, yêu cầu DNS đó được gửi dưới dạng văn bản thuần, có nghĩa là bất kỳ ai theo dõi mạng của bạn đều có thể lén xem bạn đang kết nối với những gì.

Tuy nhiên, điều đó không nhất thiết phải như vậy, vì chúng ta có thể mã hóa các yêu cầu DNS, khiến cho không ai có thể nhìn thấy chúng. Các nhà cung cấp DNS mã hóa thực hiện đúng như tên gọi: bọc các yêu cầu DNS của bạn trong một kết nối được mã hóa, điều này mang lại cho bạn sự bảo mật tức thì.

Tốt hơn nữa, bạn có thể bật DNS-over-HTTPS (DoH) trong hệ điều hành của mình, có nghĩa là bạn không phải cấu hình mọi ứng dụng và dịch vụ trên hệ thống của mình.

Vấn đề là, đôi khi, việc triển khai DoH của Windows 11 không thực hiện công việc một cách đúng đắn. Nó có thể thất bại vì nhiều lý do khác nhau, như hết thời gian chờ, cấu hình sai, mạng không tương thích, và vân vân, nhưng Windows 11 thường không cảnh báo bạn khi điều đó xảy ra.

Thay vào đó, Windows 11 sẽ chuyển sang yêu cầu văn bản thuần để có thể hoàn tất kết nối. Vì vậy, kết nối của bạn có thể hoạt động và cảm giác hoàn toàn bình thường, nhưng bạn sẽ không nhận ra rằng các yêu cầu của mình không được bảo vệ.

Nhưng tôi đã bật DoH trong Windows 11 rồi

Hóa ra điều đó không quan trọng

Vì vậy, khi tôi lần đầu tiên đọc về điều này, tôi đã nghĩ, "Mình ổn mà, mình đã thiết lập DNS được mã hóa cho cả hai nhà cung cấp." Nhưng hóa ra ngay cả khi đã thiết lập nhà cung cấp DoH cho DNS bộ điều hợp mạng của bạn cũng không ngăn được điều này xảy ra.

Ý tôi là trên laptop của tôi, tôi đã cấu hình bộ điều hợp mạng của mình để sử dụng hoặc DNS Quad9 (9.9.9.9) hoặc Cloudflare (1.1.1.1). Cả hai nhà cung cấp DNS đều hỗ trợ DNS-over-HTTPS và bảo vệ kết nối của tôi cho hầu hết các yêu cầu.

Nhưng đôi khi, Windows 11 làm theo cách của riêng nó và đẩy các yêu cầu của tôi trực tiếp dưới dạng văn bản thuần, bất kể hai nhà cung cấp DNS được mã hóa đó.

Những lý do tại sao nó làm điều này là khác nhau. Như đã đề cập ở trên, có thể cả hai nhà cung cấp DNS ưa thích của bạn đều không thể truy cập được. Với sự sẵn có toàn cầu của DNS, điều này là hiếm, nhưng nó vẫn xảy ra.

Một lý do khác, thường gặp hơn là khi bạn kết nối với một mạng mới. Windows về cơ bản được lập trình để tin tưởng các mạng, và đôi khi, điều đó có nghĩa là nó sẽ chấp nhận bất kỳ cấu hình mạng nào được đưa ra, ngay cả khi điều đó đồng nghĩa với việc bỏ qua các cài đặt DNS của bộ điều hợp mạng của bạn.

Về cơ bản, trong một thời gian dài, việc Windows chỉ làm việc với các cài đặt từ mạng là khá đúng đắn. Các cuộc tấn công mạng và các vấn đề tương tự là một vấn đề, nhưng hầu hết thời gian, bất cứ điều gì mạng nói đều đủ tốt. Điều này xảy ra trước khi hầu hết chúng ta xem xét rằng một mạng mà chúng ta tham gia có thể không an toàn hoặc ai đó có thể muốn chú ý rất cụ thể đến các yêu cầu DNS của chúng ta, nhưng vấn đề này vẫn còn tồn tại.

Vấn đề này cũng là lý do tại sao việc thay đổi cài đặt DNS của bộ điều hợp mạng của bạn không đủ chỉ riêng nó — bạn phải làm tất cả các bước và thực hiện một số thay đổi bổ sung trên Windows nữa.

Cách ngăn Windows 11 phát sóng DNS của bạn dưới dạng văn bản thuần

Tất cả phụ thuộc vào phiên bản Windows mà bạn đang sử dụng

Sửa lỗi DNS trên Windows 11 không quá khó, nhưng cách khắc phục phụ thuộc vào phiên bản Windows mà bạn đang sử dụng. Điều này là vì Windows 11 Home và Windows 11 Pro/Enterprise hiển thị các cài đặt khác nhau, cụ thể là Trình chỉnh sửa Nhóm Windows.

Windows 11 (bất kỳ phiên bản nào) — ứng dụng Cloudflare

Cách sửa dễ nhất áp dụng cho tất cả các phiên bản Windows là cài đặt một ứng dụng DNS được mã hóa chuyên dụng. Chuyển sang DNS được mã hóa trong Windows rất đơn giản, nhưng như chúng ta đã thấy, nó không phải lúc nào cũng hiệu quả.

Nhưng Cloudflare có một ứng dụng dành cho máy tính để bàn riêng với nhiều cài đặt hơn — cụ thể là WARP, đảm bảo mọi phần của mạng của bạn đều có một mức độ bảo vệ nhất định. Nó không phải là VPN theo nghĩa bạn truy cập Internet thông qua một nút xuất ở một quốc gia khác. Tuy nhiên, nó mã hóa lưu lượng truy cập và DNS của bạn và ngăn chặn mọi sự giám sát ở mức địa phương, bao gồm cả fallback văn bản thuần trên Windows 11.

Windows 11 Pro/Enterprise — Chính sách Nhóm Windows

Chính sách Nhóm Windows điều chỉnh cài đặt trên toàn hệ thống, nhưng không có sẵn cho các hệ thống chạy Windows Home, ít nhất là không có một số chỉnh sửa. Nhưng những người sở hữu Pro/Enterprise có thể sử dụng Chính sách Nhóm để điều chỉnh một Mẫu Quản trị cụ thể áp dụng DoH, và không cho phép sử dụng phương thức fallback dưới dạng văn bản thuần.

1. Nhấn Win + R, nhập gpedit.msc, và nhấn Enter
2. Đi tới Cấu hình Máy tính > Mẫu Quản trị > Mạng > Khách hàng DNS
3. Tìm và mở Cấu hình DNS qua HTTPS (DoH), sau đó đặt nó thành Đã bật
4. Trong Tùy chọn, chọn menu thả xuống và chọn Yêu cầu DNS qua HTTPS
5. Bây giờ, chọn Áp dụng > OK

Khởi động lại máy tính của bạn, và Chính sách Nhóm mới sẽ được áp dụng.

Điều duy nhất bất lợi về việc này, thật kỳ lạ, là nếu thực sự có vấn đề với DNS của bạn, bạn sẽ không biết và sẽ không thể kết nối với bất cứ thứ gì. Trong trường hợp đó, nếu bạn chọn tùy chọn này, hãy chắc chắn rằng bạn nhớ chính sách này khi Internet của bạn ngừng hoạt động!

Windows 11 (bất kỳ phiên bản nào) — cấu hình chỉ trình duyệt

Trình duyệt cấu hình DoH độc lập với Windows, điều này có nghĩa là một khi được thiết lập, chúng cũng tránh được vấn đề dự phòng bằng văn bản thuần. Mặt trái là DoH trong trình duyệt của bạn chỉ bảo vệ các yêu cầu DNS thực hiện ở đó, thay vì trên toàn bộ hệ thống của bạn.

Bạn có thể bật DNS-over-HTTPS trong tất cả các trình duyệt lớn, và điều đó chỉ mất một hoặc hai phút.

DNS được mã hóa chỉ mạnh như cách bạn làm cho nó

Và điều đó có nghĩa là kiểm tra tất cả các cánh cửa hậu

Mặc dù những gì được viết ở đây, tôi vẫn mạnh mẽ khuyên mọi người bật DoH trên Windows 11, ngay cả khi bạn không thực hiện các bước bổ sung để bảo vệ chế độ dự phòng DNS plaintext của Windows 11.

Chỉ cần bật DoH có nghĩa là bạn đã tự đưa mình đi rất xa về mặt quyền riêng tư, và các truy vấn DNS của bạn an toàn hơn hầu hết mọi người khác trên toàn thế giới.

Nhưng cách sửa đúng thực sự phụ thuộc vào cài đặt của bạn và phiên bản Windows 11. Tùy chọn Cloudflare là tùy chọn dễ nhất cho đến nay, và không có nhược điểm là vô tình làm bạn bị ngắt kết nối internet, vì vậy tôi khuyên hầu hết mọi người nên chọn tùy chọn đó.