DNS là gì?

Mục lục

1. DNS là gì?
2. DNS hoạt động thế nào khi bạn gõ một tên miền?
3. DNS server là gì và có những loại nào?
4. Các bản ghi DNS quan trọng với doanh nghiệp
5. Đổi DNS là đổi cái gì? Hai việc hay bị nhầm
6. Khi nào nên đổi DNS resolver?
7. Cách đổi DNS trên máy tính, điện thoại và router
8. Những lỗi thường gặp sau khi đổi DNS
9. Bảo mật DNS: DNSSEC, DoT và DoH khác nhau thế nào?
10. DNS liên quan thế nào đến website nhanh và ổn định?
11. Ưu điểm, hạn chế và so sánh với khái niệm gần
12. Khi nào doanh nghiệp nên tự vận hành DNS server?
13. Câu hỏi thường gặp

DNS là gì?

DNS là viết tắt của Domain Name System, tiếng Việt gọi là hệ thống phân giải tên miền. Đây là dịch vụ đặt tên phân cấp và phân tán, dùng để đổi tên miền dễ đọc thành địa chỉ IP mà máy đọc được. Paul Mockapetris giới thiệu DNS năm 1983, và nó dựa trên tệp HOSTS.TXT trước đó. Chuẩn nền tảng là RFC 1034 và RFC 1035.

Lý do DNS ra đời nằm ở chính tệp HOSTS.TXT. Đó là một danh bạ tĩnh, được duy trì tập trung và chép về từng máy. Khi số máy tăng, cách này không cập nhật kịp. DNS thay thế bằng cơ sở dữ liệu chia nhỏ, mỗi tổ chức tự quản lý phần tên miền của mình.

Với doanh nghiệp, DNS không chỉ để mở website. Email gửi đến đâu, chứng chỉ SSL được cấp cho ai, dịch vụ đám mây nào trỏ vào tên miền của bạn, tất cả đều khai báo trong DNS. Khi DNS lỗi, website, email và phần mềm SaaS có thể cùng ngừng hoạt động dù máy chủ vẫn chạy bình thường. Về bối cảnh hạ tầng rộng hơn, bạn có thể xem bài cloud computing và các mô hình dịch vụ.

DNS hoạt động thế nào khi bạn gõ một tên miền?

Quá trình tra cứu thường gồm một chuỗi truy vấn, chạy qua cổng 53 (UDP, và TCP khi cần). Thiết bị của bạn không tự đi hỏi từng máy chủ. Nó nhờ một recursive resolver làm việc đó.

1. Kiểm tra cache cục bộ. Trình duyệt và hệ điều hành xem đã có kết quả gần đây chưa. Có thì dùng ngay.
2. Hỏi recursive resolver. Đây là DNS server mà máy được cấu hình, thường của nhà mạng hoặc dịch vụ công cộng. Nếu resolver đã có kết quả trong cache, nó trả về ngay.
3. Hỏi root server. Root chỉ cho biết máy chủ nào quản lý đuôi tên miền (TLD) như .vn hoặc .com.
4. Hỏi TLD server. Máy chủ của .vn chỉ ra name server của tên miền bạn cần.
5. Hỏi authoritative server. Đây là nơi lưu bản ghi chính thức và trả về địa chỉ IP. Resolver lưu kết quả theo thời gian sống (TTL) rồi trả lời cho máy bạn.

Nhờ cache, phần lớn truy vấn không phải đi hết chuỗi trên. Đây cũng là lý do khi bạn sửa bản ghi, người dùng khác có thể vẫn thấy IP cũ cho đến khi TTL hết hạn.

DNS server là gì và có những loại nào?

“DNS server” là cách gọi chung cho nhiều vai trò khác nhau. Nhầm lẫn giữa các vai trò này là nguyên nhân của nhiều sự cố, ví dụ người quản trị đổi DNS trên máy tính nhưng lại tưởng website sẽ trỏ sang IP mới.

Loại	Vai trò	Ai vận hành	Bạn cấu hình ở đâu
Recursive resolver	Nhận câu hỏi từ thiết bị, đi tra cứu và lưu cache	Nhà mạng, dịch vụ DNS công cộng, hoặc máy chủ nội bộ	Cài đặt mạng của máy, router hoặc DHCP
Root server	Chỉ đường tới máy chủ của từng TLD	Các tổ chức vận hành root, điều phối bởi cộng đồng Internet	Không cấu hình
TLD server	Biết name server của từng tên miền trong .vn, .com…	Đơn vị quản lý đuôi tên miền	Gián tiếp, qua nhà đăng ký tên miền
Authoritative server	Giữ bản ghi chính thức của tên miền	Nhà đăng ký tên miền, nhà cung cấp hosting hoặc dịch vụ DNS đám mây	Trang quản lý DNS của tên miền
Forwarder / DNS nội bộ	Phân giải tên máy trong mạng công ty rồi chuyển phần còn lại ra ngoài	IT doanh nghiệp	Máy chủ Windows Server, BIND hoặc thiết bị mạng

Về root server, con số “13” hay gây hiểu nhầm. Năm 1997, tổng số định danh root server (root server identifier) đạt 13. Nguyên nhân là giới hạn 512 byte của gói UDP trong RFC 1035. Hiện vẫn có 13 định danh, nhưng thực tế có hơn 1500 instance anycast hoạt động trên toàn thế giới, theo giải đáp của ICANN RSSAC. Vì vậy không có chuyện chỉ 13 máy đứng sau cả Internet.

Các bản ghi DNS quan trọng với doanh nghiệp

Authoritative server lưu dữ liệu dưới dạng bản ghi (resource record). Bạn thao tác với chúng hằng ngày khi chuyển hosting, gắn email doanh nghiệp hay xác minh dịch vụ.

Bản ghi	Chức năng	Tình huống thường gặp
A	Trỏ tên miền tới địa chỉ IPv4	Trỏ website về máy chủ mới
AAAA	Trỏ tới địa chỉ IPv6	Website hỗ trợ IPv6
CNAME	Đặt bí danh trỏ sang tên miền khác	Trỏ shop.congty.com.vn sang nền tảng thương mại điện tử
MX	Chỉ máy chủ nhận email của tên miền	Chuyển email sang dịch vụ mới
TXT	Chứa chuỗi văn bản tự do	Khai báo SPF, DKIM, DMARC, xác minh quyền sở hữu tên miền
NS	Khai báo name server có thẩm quyền	Giao quản lý DNS cho nhà cung cấp khác

Hai bản ghi A và AAAA do RFC 1035 và RFC 3596 định nghĩa, lần lượt trả về địa chỉ 32 bit (IPv4) và 128 bit (IPv6). Bản ghi TXT đáng chú ý vì cấu hình SPF, DKIM, DMARC sai là nguyên nhân hàng đầu khiến email doanh nghiệp rơi vào thư rác, một chủ đề liên quan trực tiếp tới phòng chống phishing.

Đổi DNS là đổi cái gì? Hai việc hay bị nhầm

Cụm “đổi DNS” được dùng cho hai thao tác khác hẳn nhau.

• Đổi DNS resolver trên thiết bị hoặc router. Bạn chọn máy chủ nào sẽ trả lời truy vấn cho mình. Chỉ người dùng mạng đó bị ảnh hưởng. Đây là nội dung phần hướng dẫn bên dưới.
• Đổi name server của tên miền. Bạn chọn nơi lưu bản ghi chính thức của tên miền công ty. Mọi người trên Internet đều bị ảnh hưởng, và thay đổi có thể mất một khoảng thời gian để lan truyền do cache.

Người tìm “cách đổi DNS” thường muốn việc thứ nhất. Người vừa mua hosting mới thường cần việc thứ hai.

Khi nào nên đổi DNS resolver?

DNS mặc định của nhà mạng thường đủ dùng. Bạn nên cân nhắc đổi khi gặp một trong các tình huống sau:

• Website mở chậm ở khâu “đang phân giải máy chủ” dù đường truyền vẫn tải file tốt.
• Một số tên miền báo lỗi không tìm thấy trên mạng này nhưng mở được qua 4G.
• Bạn muốn lọc tên miền độc hại hoặc nội dung theo chính sách công ty.
• Bạn cần DNS có hỗ trợ mã hoá (DoT, DoH) hoặc kiểm tra chữ ký DNSSEC.

Các dịch vụ công cộng phổ biến gồm Google Public DNS (8.8.8.8 và 8.8.4.4), Cloudflare (1.1.1.1 và 1.0.0.1) và Quad9 (9.9.9.9). Hãy đọc chính sách ghi nhật ký truy vấn của từng nhà cung cấp trước khi chọn, vì resolver nhìn thấy toàn bộ tên miền mà mạng của bạn tra cứu.

Cách đổi DNS trên máy tính, điện thoại và router

Windows 10 và 11

1. Mở Settings, chọn Network & internet, rồi chọn Wi-Fi hoặc Ethernet và vào thuộc tính của kết nối đang dùng.
2. Ở mục DNS server assignment, bấm Edit và chuyển từ Automatic (DHCP) sang Manual.
3. Bật IPv4, nhập DNS ưu tiên và DNS dự phòng (ví dụ 1.1.1.1 và 8.8.8.8), rồi lưu.
4. Mở Command Prompt và chạy ipconfig /flushdns để xoá cache DNS cũ.
5. Chạy nslookup tên-miền để xem máy chủ nào đang trả lời.

macOS

Vào System Settings, chọn Network, chọn kết nối đang dùng, bấm Details rồi mở tab DNS. Thêm địa chỉ máy chủ bằng nút dấu cộng và lưu lại. Nếu muốn dùng riêng DNS mới, hãy xoá các địa chỉ cũ trong danh sách.

Android và iPhone

Android 9 trở lên có mục Private DNS, nằm trong cài đặt kết nối hoặc mạng. Mục này dùng DNS over TLS và nhận tên máy chủ (hostname), không nhận địa chỉ IP. Trên iPhone, bạn vào cài đặt Wi-Fi, bấm biểu tượng thông tin cạnh mạng đang kết nối, chọn Configure DNS rồi chuyển sang Manual. Cách này chỉ áp dụng cho từng mạng Wi-Fi, không áp dụng cho 4G hoặc 5G.

Router Wi-Fi của văn phòng

Đổi tại router để mọi thiết bị trong mạng dùng chung cấu hình.

1. Đăng nhập trang quản trị router, thường qua địa chỉ in trên nhãn thiết bị.
2. Tìm mục WAN hoặc Internet, sau đó tìm DNS. Nhiều router để mặc định là lấy tự động từ nhà mạng.
3. Nhập DNS chính và DNS phụ, lưu và khởi động lại router.
4. Nếu router cấp địa chỉ qua DHCP, kiểm tra mục DHCP để chắc chắn máy con nhận DNS mới (hoặc nhận chính router làm DNS và router chuyển tiếp ra ngoài).

Những lỗi thường gặp sau khi đổi DNS

Hiện tượng	Nguyên nhân hay gặp	Cách xử lý
Vẫn thấy trang cũ sau khi đổi bản ghi	Cache của resolver hoặc của máy chưa hết TTL	Chờ hết TTL, xoá cache máy bằng ipconfig /flushdns, kiểm tra lại bằng nslookup
Không vào được tên miền nội bộ	Máy đang hỏi DNS công cộng, không biết tên nội bộ	Trả về DNS nội bộ hoặc cấu hình forwarder
Mở được trang bằng IP nhưng không mở bằng tên	Địa chỉ DNS nhập sai hoặc bị chặn cổng 53	Kiểm tra lại địa chỉ, thử DNS khác, xem quy tắc tường lửa
Một số dịch vụ vẫn dùng DNS cũ	Trình duyệt bật DoH riêng, bỏ qua cấu hình hệ điều hành	Kiểm tra cài đặt bảo mật của trình duyệt
Email lỗi sau khi chuyển name server	Quên sao chép bản ghi MX, TXT sang nơi quản lý mới	Xuất toàn bộ zone cũ trước khi đổi name server, đối chiếu từng bản ghi

Về DoH, tài liệu nghiên cứu đo lường của arXiv ghi nhận: trình duyệt có thể bỏ qua phân giải DNS của hệ điều hành, nên việc dùng DoH thường do ứng dụng quyết định, không phải hệ điều hành hay người dùng. Điều này quan trọng với quản trị mạng, vì chính sách lọc DNS của công ty có thể bị lách nếu không kiểm soát cài đặt trình duyệt.

Bảo mật DNS: DNSSEC, DoT và DoH khác nhau thế nào?

DNS gốc được thiết kế khi Internet còn nhỏ, truy vấn đi dạng văn bản thuần và không có cơ chế xác thực câu trả lời. Có ba lớp bổ sung bạn nên phân biệt:

• DNSSEC: ký số lên dữ liệu DNS để resolver kiểm tra bản ghi có bị giả mạo hay không. Vùng root đã được ICANN ký bằng DNSSEC. DNSSEC bảo vệ tính toàn vẹn, không mã hoá nội dung truy vấn.
• DNS over TLS (DoT): được quy định trong RFC 7858, dùng cổng 853/TCP theo mặc định. Vì có cổng riêng, quản trị mạng dễ nhận diện và quản lý.
• DNS over HTTPS (DoH): được chuẩn hoá bằng RFC 8484 vào tháng 10/2018, truyền qua HTTPS thông thường trên cổng 443, nên khó phân biệt với lưu lượng web.

DNSSEC và mã hoá truyền tải giải quyết hai vấn đề khác nhau. Một cấu hình đầy đủ có thể dùng cả hai. Tấn công giả mạo DNS (DNS spoofing, cache poisoning) nằm trong nhóm rủi ro an ninh mạng rộng hơn. Doanh nghiệp nên đặt DNS trong thiết kế phòng thủ cùng tường lửa và WAF, và cân nhắc dùng thêm VPN doanh nghiệp khi nhân viên làm việc từ xa, vì DNS của quán cà phê hay khách sạn không do bạn kiểm soát.

DNS liên quan thế nào đến website nhanh và ổn định?

Thời gian phân giải DNS nằm ở đầu chuỗi tải trang, nên nó cộng vào mọi lần truy cập đầu tiên tới một tên miền. Hai điểm bạn kiểm soát được: chọn nhà cung cấp authoritative DNS có nhiều điểm hiện diện, và đặt TTL hợp lý. TTL ngắn (ví dụ vài phút) hữu ích khi sắp chuyển máy chủ, vì thay đổi có hiệu lực nhanh. TTL dài giảm tải cho server DNS và ổn định hơn khi vận hành bình thường.

Nhiều dịch vụ phân phối nội dung dùng DNS để chỉ khách hàng tới điểm phục vụ gần nhất, chi tiết ở bài CDN là gì. Nếu hệ thống chạy trong trung tâm dữ liệu hoặc đám mây, nên đặt DNS ở nhà cung cấp tách biệt với nơi đặt máy chủ ứng dụng để sự cố hạ tầng không kéo theo mất luôn khả năng sửa bản ghi.

Ưu điểm, hạn chế và so sánh với khái niệm gần

Tiêu chí	DNS	Tệp hosts	DHCP
Việc làm chính	Đổi tên thành IP (và ngược lại) trên quy mô toàn cầu	Ánh xạ tên-IP thủ công trên một máy	Cấp địa chỉ IP và thông số mạng cho thiết bị
Quản lý	Tập trung theo vùng, phân tán toàn cầu	Sửa từng máy	Tự động trong mạng cục bộ
Quan hệ	Được DHCP chỉ định làm máy chủ tra cứu	Có thể ghi đè DNS trên máy đó	Thường gửi kèm địa chỉ DNS server cho máy

Ưu điểm: mở rộng được cho hàng tỷ tên, cache giảm tải, mỗi tổ chức tự quản lý phần của mình. Hạn chế: mặc định không xác thực và không mã hoá, phụ thuộc cache nên thay đổi không có hiệu lực tức thì, và là điểm lỗi tập trung nếu chỉ dùng một nhà cung cấp.

Khi nào doanh nghiệp nên tự vận hành DNS server?

Phần lớn doanh nghiệp nhỏ không cần tự dựng máy chủ DNS công khai. Dùng DNS do nhà đăng ký tên miền hoặc nhà cung cấp DNS đám mây sẽ có sẵn dự phòng. Tự vận hành hợp lý khi:

• Có mạng nội bộ cần phân giải tên máy chủ, máy in, ứng dụng nội bộ (thường dùng DNS tích hợp Active Directory hoặc BIND).
• Cần chính sách lọc tên miền riêng cho toàn bộ nhân viên.
• Có đội IT đủ năng lực vá lỗi và giám sát, vì DNS server mở nhầm cấu hình có thể bị lợi dụng để khuếch đại tấn công.

Nếu không có ba điều kiện đó, dùng DNS quản lý sẵn thường an toàn hơn. Khi thiết kế phòng vệ tổng thể, DNS nên được xem như một điểm kiểm soát trong mô hình zero trust, nơi mọi truy vấn và kết nối đều được ghi nhận và kiểm tra.

Câu hỏi thường gặp

DNS là gì và what is a DNS có phải cùng một khái niệm không?

Có. “What is a DNS” là cách hỏi bằng tiếng Anh về cùng khái niệm: Domain Name System, hệ thống đổi tên miền thành địa chỉ IP để thiết bị kết nối được với máy chủ.

DNS server là gì, khác gì máy chủ web?

DNS server chỉ trả lời câu hỏi “tên này ứng với IP nào”. Máy chủ web mới là nơi chứa nội dung website. Một website có thể đặt ở máy chủ web này nhưng bản ghi DNS lại do nhà cung cấp khác quản lý.

Đổi DNS có làm internet nhanh hơn không?

Chỉ cải thiện phần thời gian tra cứu tên miền, không tăng băng thông. Bạn thấy khác biệt rõ khi DNS cũ chậm hoặc hay lỗi. Nếu đường truyền chậm sẵn, đổi DNS không giải quyết được.

Đổi DNS có nguy hiểm không?

Bản thân việc đổi không làm hỏng thiết bị. Rủi ro nằm ở việc chọn nhà cung cấp mà bạn chưa rõ chính sách lưu truy vấn, hoặc làm mất khả năng phân giải tên nội bộ trong mạng công ty. Bạn luôn có thể trả lại chế độ tự động.

Đổi DNS rồi bao lâu thì có hiệu lực?

Đổi DNS resolver trên máy có hiệu lực gần như ngay sau khi lưu, nhất là khi đã xoá cache. Đổi bản ghi hoặc name server của tên miền phụ thuộc TTL và cache của các resolver, nên thời gian có thể từ vài phút đến lâu hơn.

Có cần đổi DNS khi mạng công ty bị chặn trang web?

Không nên tự ý. Nếu công ty chủ động lọc nội dung qua DNS, việc đổi DNS để lách có thể vi phạm chính sách an toàn thông tin nội bộ. Hãy trao đổi với bộ phận IT nếu một trang công việc bị chặn nhầm.