Cách ngăn nhà mạng thấy các trang web bạn truy cập

Nhà cung cấp dịch vụ internet (ISP) của bạn biết bạn truy cập những trang web nào. Không phải nội dung chính xác của trang (nếu trang sử dụng HTTPS), mà là tên miền: họ biết bạn đã truy cập trang sức khỏe nào, diễn đàn nào, dịch vụ streaming nào, vào lúc mấy giờ và trong bao lâu. Thông tin này đi qua máy chủ DNS của họ và qua metadata kết nối. Ở hầu hết các quốc gia, ISP có nghĩa vụ pháp lý lưu giữ dữ liệu này trong thời gian quy định. Tại Việt Nam, Nghị định 72/2013/NĐ-CP quy định ISP phải lưu trữ nhật ký truy cập tối thiểu 2 năm.

Đây không phải hoang tưởng, mà là cách mạng hoạt động bình thường. Khi bạn gõ địa chỉ vào trình duyệt, thiết bị gửi truy vấn DNS đến máy chủ của ISP để chuyển tên miền thành địa chỉ IP. Truy vấn này được gửi dạng văn bản thuần, không mã hóa, và ISP ghi lại. Dù nội dung trang được mã hóa qua HTTPS, ISP vẫn thấy tên trang bạn yêu cầu. Giống như gửi thư trong phong bì kín: bưu tá không đọc được nội dung, nhưng thấy địa chỉ người nhận.

ISP thấy chính xác những gì

Để tự bảo vệ tốt, trước hết cần hiểu ISP có thể và không thể thấy gì:

Những gì họ thấy: tên miền bạn truy cập (qua truy vấn DNS), địa chỉ IP của máy chủ bạn kết nối, dấu thời gian mỗi kết nối, lượng dữ liệu trao đổi, và trong một số trường hợp SNI (Server Name Indication), trường không mã hóa trong quá trình bắt tay TLS tiết lộ tên trang ngay cả khi không đi qua DNS của ISP.

Những gì họ không thấy (nếu trang dùng HTTPS): nội dung trang, thông tin đăng nhập bạn nhập, tin nhắn bạn gửi, tệp bạn tải. HTTPS mã hóa nội dung nhưng không mã hóa metadata kết nối.

Sự phân biệt này quan trọng. Biết rằng bạn truy cập trang tư vấn y tế lúc 3 giờ sáng đã là thông tin nhạy cảm, dù ISP không biết bạn xem trang cụ thể nào.

Đổi máy chủ DNS: bước đầu tiên

Cách đơn giản và nhanh nhất để ngăn ISP thấy truy vấn DNS là ngừng sử dụng máy chủ DNS của họ. Mặc định thiết bị dùng DNS của ISP. Mỗi lần truy cập trang, truy vấn đi qua máy chủ của họ và được ghi lại.

Khi đổi máy chủ DNS, bạn gửi truy vấn đến bên thứ ba (Cloudflare, Google, Quad9) thay vì ISP. Nhưng lưu ý: nếu chỉ đổi DNS mà không bật mã hóa, truy vấn vẫn đi dạng văn bản thuần. ISP không xử lý nữa nhưng vẫn có thể chặn bắt khi truyền.

Để thay đổi thực sự hiệu quả, cần dùng DNS mã hóa. Hai giao thức tồn tại:

DNS over TLS (DoT) mã hóa truy vấn DNS qua giao thức TLS trên cổng 853. Đây là giao thức được tính năng "DNS riêng" của Android 9+ sử dụng. Bạn nhập hostname như one.one.one.one (Cloudflare) hoặc dns.google và mọi truy vấn được mã hóa. ISP thấy bạn giao tiếp với máy chủ DNS bên ngoài trên cổng 853, nhưng không đọc được nội dung truy vấn.

DNS over HTTPS (DoH) mã hóa truy vấn DNS qua HTTPS trên cổng 443, cùng cổng với lưu lượng web thông thường. Ưu điểm: truy vấn DNS không phân biệt được với lưu lượng web bình thường. ISP thậm chí không thấy bạn đang thực hiện truy vấn DNS riêng. Firefox, Chrome, Edge và Brave đều hỗ trợ DoH trong cài đặt.

Các máy chủ DNS mã hóa chính:

Vấn đề SNI: DNS không phải lúc nào cũng đủ

Ngay cả với DNS mã hóa, ISP vẫn có thể thấy các trang bạn truy cập trong một số trường hợp. Khi trình duyệt kết nối với máy chủ HTTPS, nó gửi tên trang dạng văn bản thuần trong trường gọi là SNI (Server Name Indication) trong quá trình bắt tay TLS. Trường này cho phép máy chủ biết nên trình chứng chỉ SSL nào khi host nhiều trang trên cùng địa chỉ IP.

ISP kiểm tra metadata kết nối có thể đọc trường SNI này và thấy tên trang, ngay cả khi bạn dùng DNS mã hóa. Đây là lỗ hổng đã biết, và giải pháp gọi là ECH (Encrypted Client Hello), trước đây là ESNI. ECH mã hóa trường SNI, khiến ISP không thể thấy tên trang trong quá trình bắt tay TLS.

Việc triển khai ECH đang diễn ra. Cloudflare kích hoạt trên máy chủ, Firefox hỗ trợ khi kết hợp với DoH, Chrome đang phát triển. Nhưng ECH chỉ hoạt động nếu máy chủ của trang được truy cập cũng đã kích hoạt. Năm 2026, phạm vi bao phủ đang tăng nhưng chưa phổ biến.

Sử dụng VPN: giải pháp toàn diện nhất

VPN (Virtual Private Network) tạo đường hầm mã hóa giữa thiết bị và máy chủ của nhà cung cấp VPN. Toàn bộ lưu lượng internet đi qua đường hầm này, bao gồm truy vấn DNS, metadata kết nối và nội dung. ISP chỉ thấy một điều: bạn đang kết nối với máy chủ VPN. Không biết bạn truy cập trang nào, xem nội dung gì, hay dùng dịch vụ gì.

Đây là giải pháp hiệu quả nhất để ẩn hoạt động khỏi ISP, nhưng có ý nghĩa quan trọng:

Bạn di chuyển sự tin tưởng, không loại bỏ nó. ISP không thấy lưu lượng nữa, nhưng nhà cung cấp VPN thấy. Bạn thay thế một tổ chức giám sát bằng tổ chức khác. Việc chọn VPN rất quan trọng. Ưu tiên nhà cung cấp có chính sách không lưu log được kiểm toán bởi công ty độc lập (Mullvad, IVPN, ProtonVPN đã công bố kiểm toán). Tránh VPN miễn phí: nếu không tính phí, bạn là sản phẩm.

Ảnh hưởng hiệu suất. VPN thêm trung gian giữa bạn và máy chủ. Độ trễ tăng (thường 10-30 ms tùy khoảng cách), băng thông có thể giảm. Duyệt web thì hiếm khi nhận ra. Chơi game online hoặc họp video có thể cảm nhận được.

Giao thức VPN. WireGuard là giao thức hiện đại và nhanh nhất với code tối giản và hiệu suất xuất sắc. OpenVPN cũ hơn nhưng đã được chứng minh. Tránh PPTP, đã lỗi thời và không an toàn. Hầu hết nhà cung cấp VPN hiện đại dùng WireGuard mặc định.

Kill switch. Đảm bảo VPN client có kill switch (công tắc khẩn cấp). Tính năng này tự động cắt kết nối internet nếu VPN ngắt, ngăn lưu lượng bị lộ thoáng qua. Không có kill switch, việc VPN ngắt tạm thời (đổi mạng Wi-Fi, mất tín hiệu) có thể để lộ hoạt động cho ISP.

Tor: ẩn danh tối đa, với đánh đổi

Tor (The Onion Router) chuyển lưu lượng qua ba relay liên tiếp, mỗi relay mã hóa thêm một lớp. Relay đầu thấy IP của bạn nhưng không thấy đích. Relay cuối thấy đích nhưng không thấy IP. Không relay nào thấy cả hai thông tin cùng lúc. ISP chỉ thấy bạn kết nối mạng Tor, không biết bạn làm gì.

Tor cung cấp mức ẩn danh cao hơn VPN nhưng với đánh đổi đáng kể:

Chậm. Ba lần nhảy qua relay tình nguyện khiến duyệt web chậm hơn VPN rõ rệt. Streaming video gần như không thể, duyệt web cơ bản cũng có thể khó khăn.

Nghi ngờ. Chỉ kết nối Tor có thể thu hút sự chú ý trong một số bối cảnh. Một số ISP hoặc mạng doanh nghiệp chặn kết nối Tor, ở một số quốc gia việc dùng Tor bị giám sát chặt. Có Tor "bridge" để vượt qua nhưng cấu hình phức tạp hơn.

Rò rỉ tiềm ẩn. Nếu dùng Tor cho trang thường (không .onion), relay đầu ra có thể thấy lưu lượng không mã hóa. Đảm bảo chỉ truy cập trang HTTPS khi dùng Tor. Trình duyệt Tor có bảo vệ mặc định, nhưng cấu hình sai hoặc cài tiện ích mở rộng có thể ảnh hưởng ẩn danh.

HTTPS mọi nơi: cần thiết nhưng chưa đủ

HTTPS mã hóa nội dung trao đổi giữa trình duyệt và máy chủ trang web. Không có HTTPS, ISP (và bất kỳ ai trên mạng) thấy mọi thứ bạn làm. Với HTTPS, ISP chỉ thấy tên miền (qua DNS hoặc SNI), không thấy nội dung.

Năm 2026, hơn 95% trang tải trong Chrome dùng HTTPS. Trình duyệt hiện đại cảnh báo khi trang không dùng HTTPS. Nếu gặp trang HTTP, tránh nhập thông tin cá nhân.

HTTPS là lớp nền tảng không thể thiếu, nhưng không ẩn metadata khỏi ISP. Không ẩn tên trang, tần suất truy cập hay lượng dữ liệu. Cần kết hợp HTTPS với DNS mã hóa hoặc VPN.

Kết hợp các biện pháp bảo vệ

Không phương pháp đơn lẻ nào bao phủ mọi góc. Các tổ hợp theo mức bảo vệ:

Bảo vệ cơ bản: DNS mã hóa (DoH hoặc DoT) + HTTPS. ISP không thấy truy vấn DNS. Vẫn thấy IP máy chủ và có thể SNI, nhưng không đọc được nội dung. Cấu hình tối thiểu khuyến nghị cho mọi người, miễn phí.

Bảo vệ trung bình: VPN tin cậy + DNS của VPN. Toàn bộ lưu lượng mã hóa qua VPN. ISP chỉ thấy kết nối VPN. Lựa chọn thực tế nhất cho sử dụng hàng ngày.

Bảo vệ tối đa: Tor + DNS mã hóa + HTTPS. Ba relay Tor ẩn cả danh tính và đích đến. Chậm nên không phù hợp dùng hàng ngày, nhưng phù hợp cho nghiên cứu nhạy cảm.

Những gì các phương pháp này không bảo vệ

Ẩn lưu lượng khỏi ISP không khiến bạn vô hình trực tuyến. Trang web nhận diện bạn bằng cách khác: cookie, dấu vân tay trình duyệt (fingerprinting), tài khoản đã đăng nhập (nếu đăng nhập Google và truy cập trang dùng Google Analytics, Google biết đó là bạn). Mạng xã hội và mạng quảng cáo theo dõi bạn qua các trang bằng tracker và pixel theo dõi.

Để bảo vệ khỏi theo dõi quảng cáo, cần kết hợp mã hóa lưu lượng với trình chặn tracker (uBlock Origin trong trình duyệt, hoặc DNS lọc như NextDNS hay AdGuard DNS) và thói quen tốt: duyệt chế độ riêng tư cho tìm kiếm nhạy cảm, dùng container tab (Firefox Multi-Account Containers), hạn chế tiện ích mở rộng, đăng xuất tài khoản khi không cần.

ISP mặc định thấy mọi tên miền bạn truy vấn. DNS mã hóa (DoH hoặc DoT) là bước đầu tiên, miễn phí và đơn giản, để cắt đứt khả năng nhìn thấy này. VPN đi xa hơn bằng cách ẩn toàn bộ lưu lượng. Nhưng dù chọn phương pháp nào, hãy nhớ rằng bạn di chuyển sự tin tưởng, không loại bỏ nó: từ ISP sang nhà cung cấp DNS, hoặc từ ISP sang nhà cung cấp VPN. Hãy chọn trung gian cẩn thận.