Về trang blog
1.1.1.1 vs 1.1.1.2 vs 1.1.1.3
Ba DNS của Cloudflare khác nhau chỗ nào?

Cloudflare ra mắt 1.1.1.1 năm 2018 và nhanh chóng trở thành DNS resolver nhanh nhất thế giới. Nhưng ít người biết họ có thêm hai biến thể: 1.1.1.21.1.1.3 — cùng tốc độ, khác cấp độ lọc nội dung. Bài này giải thích sự khác nhau và giúp bạn chọn đúng cái cho từng nhu cầu.

Ba địa chỉ, ba cấp độ lọc

Standard
1.1.1.1
Phụ: 1.0.0.1
Không lọc
Tốc độ tối đa
Chặn malware
Chặn nội dung 18+
Malware Blocking
1.1.1.2
Phụ: 1.0.0.2
Chặn Malware
Tốc độ cao
Chặn malware
Chặn nội dung 18+
Family
1.1.1.3
Phụ: 1.0.0.3
Malware + Adult
Tốc độ cao
Chặn malware
Chặn nội dung 18+
Ghi nhớ nhanh
1 số = không lọc  |  2 số = chặn malware  |  3 số = chặn malware + adult content

Chúng lọc cái gì?

Cloudflare duy trì một danh sách domain độc hại được cập nhật liên tục. Khi bạn dùng 1.1.1.2 hoặc 1.1.1.3, bất kỳ DNS query nào trỏ đến domain trong danh sách đen sẽ bị trả về NXDOMAIN (domain không tồn tại) thay vì IP thật — trình duyệt sẽ hiện lỗi không thể kết nối.

1.1.1.2 — Malware blocking chặn gì?

  • Domain phát tán malware, ransomware, spyware
  • Domain dùng trong phishing (giả mạo ngân hàng, email, login page)
  • Domain của botnet C2 (command & control servers)
  • Domain dùng để exfiltrate data ra ngoài

1.1.1.3 — Family chặn thêm gì?

  • Tất cả những gì 1.1.1.2 chặn
  • Toàn bộ nội dung người lớn (phân loại dựa trên category database của Cloudflare)
  • Một số nền tảng hẹn hò, gambling tùy region
Giới hạn cần biết
Lọc DNS chỉ chặn ở tầng domain. Nếu ai đó truy cập IP trực tiếp (không qua domain) hoặc dùng VPN, filter sẽ bị bypass. Đây không phải giải pháp parental control toàn diện — chỉ là lớp bảo vệ đầu tiên.

Trực quan hóa cấp độ lọc của từng server:

1.1.1.1
Tốc độ tối đa
No filter
No filter
Dev / Pro user
1.1.1.2
Tốc độ cao
Malware ✓
No filter
Văn phòng / Gia đình
1.1.1.3
Tốc độ cao
Malware ✓
Adult ✓
Gia đình có trẻ em

DNS mã hóa: DoH và DoT

Cả ba DNS đều hỗ trợ hai giao thức mã hóa. DNS thông thường (UDP port 53) gửi query dưới dạng plaintext — ISP có thể thấy bạn đang query domain nào. DoH và DoT giải quyết vấn đề này.

DNS over HTTPS · DoH
Chạy qua HTTPS (port 443)
Query DNS đi qua kết nối HTTPS giống như web traffic thông thường. ISP không phân biệt được DNS query với các request HTTPS khác — tốt cho môi trường corporate firewall cần bypass.
https://cloudflare-dns.com/dns-query
DNS over TLS · DoT
Chạy qua TLS (port 853)
Query DNS được mã hóa bằng TLS riêng trên port 853. Dễ bị firewall chặn hơn DoH nhưng tách biệt rõ ràng với HTTP — phù hợp cho router/resolver tự quản lý.
tls://1dot1dot1dot1.cloudflare-dns.com
Tip
Nếu bạn dùng Pi-hole hoặc AdGuard Home tự host, configure upstream resolver là 1.1.1.2#853 (DoT) để có cả filter + mã hóa. Pi-hole hỗ trợ từ v5.x trở lên.

So với Google 8.8.8.8 và Quad9 9.9.9.9

DNS Provider Tốc độ Malware filter Privacy Log policy
1.1.1.1 Cloudflare Nhanh nhất Không Rất tốt Xóa sau 24h, không bán
1.1.1.2 Cloudflare Rất nhanh Rất tốt Xóa sau 24h, không bán
1.1.1.3 Cloudflare Rất nhanh Có + Adult Rất tốt Xóa sau 24h, không bán
8.8.8.8 Google Nhanh Không Trung bình Lưu 24–48h, phân tích aggregate
9.9.9.9 Quad9 Nhanh Tốt (nonprofit) Không log IP
208.67.222.222 OpenDNS Nhanh Có (tùy plan) Trung bình Log query, Cisco sở hữu

Cloudflare dẫn đầu về tốc độ (median 11ms theo DNSPerf) và privacy policy là minh bạch nhất trong nhóm. Quad9 là lựa chọn thay thế tốt nếu bạn muốn malware blocking nhưng không muốn phụ thuộc vào Cloudflare.

Cấu hình trên từng thiết bị

Thay DNS chỉ mất 2-3 bước. Chọn primary và secondary tương ứng với cấp độ bạn muốn:

Windows 10 / 11
  1. Settings → Network & Internet → Adapter options
  2. Chuột phải vào adapter → Properties
  3. Chọn Internet Protocol Version 4 (TCP/IPv4) → Properties
  4. Nhập Preferred DNS: 1.1.1.2
  5. Alternate DNS: 1.0.0.2
macOS
  1. System Settings → Network → chọn adapter
  2. Click Details → tab DNS
  3. Click + thêm 1.1.1.2
  4. Thêm tiếp 1.0.0.2
  5. Click OK → Apply
Android (Private DNS)
  1. Settings → Network → Advanced → Private DNS
  2. Chọn Private DNS provider hostname
  3. Nhập: family.cloudflare-dns.com
  4. Save — Android sẽ dùng DoT tự động
iOS / iPadOS
  1. Settings → Wi-Fi → chọn mạng → i
  2. Kéo xuống → Configure DNS → Manual
  3. Xóa DNS cũ, thêm 1.1.1.2
  4. Thêm 1.0.0.2 → Save
Router (khuyến nghị)
  1. Truy cập admin router (thường 192.168.1.1)
  2. Tìm mục DNS / DHCP settings
  3. Primary DNS: 1.1.1.2
  4. Secondary DNS: 1.0.0.2
  5. Save & reboot — áp dụng cho toàn bộ thiết bị
Linux (systemd-resolved)
  1. Mở /etc/systemd/resolved.conf
  2. Thêm: DNS=1.1.1.2 1.0.0.2
  3. Thêm: FallbackDNS=1.1.1.1
  4. Restart: systemctl restart systemd-resolved
Hostname cho DoT (thân thiện hơn IP)
Android Private DNS và các resolver hỗ trợ hostname:
  • one.one.one.one — 1.1.1.1 standard
  • security.cloudflare-dns.com — 1.1.1.2 malware blocking
  • family.cloudflare-dns.com — 1.1.1.3 family

Dùng cái nào?

  • 🖥️
    Máy dev / server cá nhân Cần truy cập mọi domain không bị chặn, test security tools, không muốn false positive
    1.1.1.1
  • 🏢
    Router văn phòng / công ty Muốn lớp bảo vệ tự động không cần cài agent, giảm rủi ro malware từ click nhầm
    1.1.1.2
  • 🏠
    Router gia đình có trẻ em Chặn malware + nội dung người lớn cho toàn bộ thiết bị trong nhà không cần app
    1.1.1.3
  • 📱
    Điện thoại cá nhân đi ra ngoài Dùng Private DNS với security.cloudflare-dns.com — bảo vệ trên mọi mạng Wi-Fi công cộng
    1.1.1.2
  • 🔬
    Security research / Pentest lab Luôn dùng 1.1.1.1 — malware filter sẽ chặn domain C2 bạn đang phân tích
    1.1.1.1
Kiểm tra DNS đang dùng
Truy cập 1.1.1.1/help — Cloudflare sẽ hiển thị bạn đang dùng DNS nào và có dùng DoH/DoT không. Hoặc dùng terminal:

nslookup whoami.cloudflare-dns.com resolver1.cloudflare.com
dig @1.1.1.1 cloudflare.com +short