Bật DNS over HTTPS (DoH) trên Windows 10

Hỗ trợ DNS over HTTPS (DoH) xuất hiện từ Windows 10 bản 2004 (Cập nhật tháng 5/2020). Kể từ đó, Windows 10 có thể phân giải tên miền qua giao thức HTTPS bằng client DoH tích hợp. Bài viết này giải thích DoH là gì, cách bật và sử dụng trên các bản Windows 10 mới.

Khi máy tính kết nối đến DNS server để phân giải tên, các yêu cầu/phản hồi DNS được gửi qua Internet dưới dạng văn bản rõ ràng. Kẻ tấn công có thể chặn lưu lượng, xem bạn truy cập trang gì hoặc thao túng DNS qua tấn công man-in-the-middle. DNS over HTTPS bảo vệ quyền riêng tư bằng cách mã hóa tất cả truy vấn DNS. Giao thức DoH gói gọn truy vấn DNS vào lưu lượng HTTPS và gửi đến DNS server hỗ trợ DoH.

Windows 10 2004 chưa có chính sách GPO hay tùy chọn giao diện để bật DoH. Hiện tại chỉ có thể bật qua Registry:

1. Chạy regedit.exe;
2. Đến khóa HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
3. Tạo giá trị DWORD mới tên EnableAutoDoh giá trị 2;
   
   Hoặc dùng PowerShell:
   $EnableDNSoverHTTPSKey = 'HKLM:\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters'
$EnableDNSoverHTTPSParameter = 'EnableAutoDoh'
New-ItemProperty -Path $EnableDNSoverHTTPSKey -Name $EnableDNSoverHTTPSParameter -Value 2 -PropertyType DWord –Force
4. Khởi động lại dịch vụ DNS Client. Cách dễ nhất là khởi động lại máy, vì không thể restart dịch vụ dnscache bình thường (lệnh Restart-Service -Name Dnscache –force báo lỗi).

Sau đó, thay đổi DNS server của kết nối mạng sang các server hỗ trợ DoH. Không phải DNS server nào cũng hỗ trợ DoH. Bảng dưới liệt kê các DNS công cộng hỗ trợ DoH:

Mở cửa sổ kết nối mạng (Control Panel → Network and Internet → Network and Sharing Center hoặc ncpa.cpl). Thay đổi địa chỉ DNS server trong thuộc tính card mạng.

Có thể đổi DNS qua PowerShell:

$PhysAdapter = Get-NetAdapter -Physical
$PhysAdapter | Get-DnsClientServerAddress -AddressFamily IPv4 | Set-DnsClientServerAddress -ServerAddresses '8.8.8.8', '1.1.1.1'

Sau đó DNS client sẽ dùng HTTPS (cổng 443) thay vì UDP/TCP cổng 53 thông thường.

Dùng PktMon.exe (công cụ bắt gói tin) để kiểm tra không còn truy vấn DNS trên cổng 53:

• Xóa bộ lọc cũ: pktmon filter remove
• Tạo bộ lọc cổng 53: pktmon filter add -p 53
• Bắt đầu giám sát real-time: pktmon start --etw -p 0 -l real-time

Nếu cấu hình đúng, sẽ không thấy lưu lượng trên cổng 53.

Cũng có thể kiểm tra DoH hoạt động qua dịch vụ online: https://www.cloudflare.com/ssl/encrypted-sni/

Gần đây, DoH đã được tích hợp vào các trình duyệt phổ biến (Chrome, Firefox, Edge, Opera). Bạn có thể bật DoH trong từng trình duyệt để mã hóa truy vấn DNS từ trình duyệt (các ứng dụng khác vẫn dùng DNS thường).

DoH và DNS over TLS sẽ tạo thách thức cho quản trị mạng doanh nghiệp vì khó hơn chặn truy cập tài nguyên bên ngoài từ mạng nội bộ.