Website nào bị chặn trên Wi-Fi của tôi?

“Những website nào bị chặn trên Wi-Fi của tôi?” thật ra là hai câu hỏi khác nhau. Nếu bạn sở hữu mạng, bạn mở bộ lọc ra đọc được. Nếu bạn chỉ dùng mạng (trường học, văn phòng, khách sạn), bạn không thấy danh sách, nhưng có thể thử các trang bạn quan tâm và biết từng trang bị xử lý ra sao. Bài này nói cả hai, kèm các lệnh chung và an toàn.

Ai có thể chặn, và mỗi bên thấy gì

Tầng	Cách chặn	Bạn xem được danh sách không?
Router có kiểm soát của phụ huynh	Danh sách theo nhóm hoặc tên miền, thường qua DNS	Có, nếu bạn sở hữu router (trang quản trị)
Bộ lọc DNS (Pi-hole, AdGuard Home, DNS “gia đình”)	Không trả lời hoặc trả lời giả với tên miền trong danh sách	Có, nếu bạn tự chạy. Bộ lọc dùng dịch vụ có luật trong bảng điều khiển
Mạng trường học hoặc văn phòng	Tường lửa, proxy web hoặc chính sách DNS	Thường không. Hỏi quản trị viên mạng
ISP	Chặn DNS, SNI/DPI hoặc IP, thường theo yêu cầu pháp lý	Không. Không có danh sách công khai theo từng khách hàng
Thiết bị của bạn	Trình chặn nội dung, DNS riêng tư, ứng dụng VPN hoặc proxy	Có, trong cài đặt thiết bị

Hai điều đáng biết. Thứ nhất, bên vận hành mạng thường thấy các tên miền bạn kết nối tới (truy vấn DNS và trường SNI), nhưng không thấy nội dung trang HTTPS. Thứ hai, bộ lọc trả về trang thông báo chặn là sự lịch sự. Nhiều bộ lọc chỉ lặng lẽ thất bại, vì vậy việc thử nghiệm quan trọng.

Nếu bạn sở hữu mạng

Trang quản trị router. Tìm “parental controls”, “access control”, “website filter” hoặc “DNS”. Nhiều router cho đặt máy chủ DNS tuỳ chỉnh, việc này thay đổi ai là bên lọc.
Pi-hole hoặc AdGuard Home. Nhật ký truy vấn của chúng liệt kê mọi tên miền một thiết bị đã hỏi và có bị chặn không. Tìm một tên miền trong nhật ký là trả lời được câu hỏi cho tên miền đó.
DNS gia đình dùng dịch vụ. Nếu router của bạn trỏ tới một dịch vụ như vậy, bảng điều khiển hoặc tài liệu của nó liệt kê các nhóm nó chặn.

Hãy công bằng với những người dùng chung mạng: bộ lọc lặng lẽ chặn mọi thứ làm người dùng bất ngờ, nên hãy nói cho họ biết nó làm gì.

Nếu bạn chỉ dùng mạng: tự thử từng trang

Các lệnh dưới đây là chung và an toàn. Chúng chỉ đặt những câu hỏi bình thường mà trình duyệt nào cũng đặt. Thay example.com bằng trang bạn muốn thử. Trên Windows, nslookup và curl chạy trong cửa sổ dòng lệnh. Trên macOS và Linux, thường có sẵn cả dig.

1. Hỏi DNS của mạng

nslookup example.com
dig example.com +short

Lệnh này dùng máy phân giải mà kết nối của bạn được cấp (thường là router, chuyển tiếp lên ISP).

2. Hỏi một máy phân giải công cộng cùng tên đó

nslookup example.com 1.1.1.1
dig @1.1.1.1 example.com +short
dig @9.9.9.9 example.com +short

Các lệnh này hỏi thẳng Cloudflare và Quad9. Một số mạng chuyển hướng toàn bộ DNS sang máy chủ của họ, khi đó cả hai lệnh trả về cùng một kết quả. Nếu vậy, hãy dùng DNS mã hoá (DoH hoặc DoT) để so sánh thật sự, vì truy vấn mã hoá không bị chuyển hướng âm thầm.

3. Thử kết nối

curl -I https://example.com
curl -I --connect-timeout 10 https://example.com
curl -I -v http://example.com

-I chỉ lấy phần đầu phản hồi, -v hiện các bước kết nối, và --connect-timeout ngăn lệnh chờ mãi.

4. Tách DNS khỏi kết nối

Khi đã có một địa chỉ tốt từ máy phân giải công cộng, bảo curl dùng nó thay cho DNS của mạng:

curl -I --resolve example.com:443:203.0.113.10 https://example.com

Thay 203.0.113.10 bằng địa chỉ bạn nhận được từ máy phân giải công cộng. Cách này giữ đúng tên trang nhưng bỏ qua DNS của mạng.

Mỗi kết quả có nghĩa gì

Kết quả	Nhiều khả năng có nghĩa là
DNS của mạng lỗi hoặc trả địa chỉ khác, máy phân giải công cộng trả địa chỉ dùng được, và `curl` chạy với `--resolve`	Chặn DNS hoặc máy chủ DNS hỏng. DNS mã hoá nên sửa được
Hai câu trả lời DNS giống nhau, TCP kết nối được, nhưng HTTPS bị reset khi bắt tay	Nhiều khả năng là lọc theo tên (SNI/DPI)
Hai câu trả lời DNS giống nhau, kết nối lần nào cũng hết thời gian	Chặn IP hoặc tường lửa, hoặc máy chủ đang sập
Bạn nhận một trang HTTP báo truy cập bị hạn chế	Trang thông báo chặn hiển thị, từ proxy hoặc bộ lọc. Thông báo thường nêu ai vận hành
Mọi thứ đều chạy	Không bị chặn ở tầng này. Kiểm tra ứng dụng hoặc chính trang đó

Địa chỉ khác nhau tự nó chưa phải bằng chứng bị chặn, vì các trang lớn gửi máy chủ khác nhau cho các mạng khác nhau. Hãy xét xem địa chỉ đó có thật sự phục vụ trang không.

Làm tương tự trên điện thoại với GreenTunnel

Điện thoại không có dig. GreenTunnel đóng gói cùng logic đó vào hai tính năng:

Inspect URL so sánh DNS của ISP với DNS mã hoá, kiểm tra kết nối trực tiếp tới IP thật, và thử HTTPS có và không vượt chặn. Nó nêu nguyên nhân khả dĩ cho từng tên miền một. Xem Trang web có bị chặn không?
Requester liệt kê ứng dụng nào đã kết nối tới đâu và mỗi kết nối được xử lý ra sao: Bypass, Direct hay Error. Nó không cho biết mạng nói chung chặn gì, nhưng cho thấy trong các trang bạn thật sự dùng, trang nào đang lỗi. Xem Requester.

Hai tính năng cùng trả lời câu hỏi thực tế: “Với các trang tôi dùng, Wi-Fi này làm gì, và kỹ thuật cục bộ có giúp được không?” Chúng không tiết lộ danh sách lọc của mạng, và không công cụ nào mà một khách chạy được có thể làm vậy. Việc kiểm tra chạy trên thiết bị của bạn và chúng tôi không thu thập các tên miền bạn thử.

Những điều bạn không thể biết

Toàn bộ danh sách chặn của mạng, trừ khi bạn quản lý nó.
Ai đặt luật và vì sao.
Luật có thay đổi theo giờ không, ví dụ giờ học.

Bước tiếp theo: Cách kiểm tra website có bị chặn trên Wi-Fi của tôi không và Cách mở chặn một website. GreenTunnel miễn phí trên Android và iPhone, có Premium tuỳ chọn. Xem thêm ở trang chủ.

Câu hỏi thường gặp

Tôi có thể xem danh sách trang bị chặn trên Wi-Fi công cộng không?

Không. Bên vận hành không công bố và Wi-Fi không cho khách thấy. Bạn chỉ thử từng trang một.

Pi-hole chặn có giống ISP không?

Cả hai thường hoạt động ở tầng DNS, trả lời không có gì hoặc một địa chỉ giả. Pi-hole nằm dưới quyền bạn và ghi lại những gì nó chặn. ISP có thể thêm chặn SNI hoặc IP, thứ mà công cụ DNS không thấy.

Chạy nslookup hay dig trên mạng không phải của tôi có được không?

Các lệnh này gửi cùng loại yêu cầu DNS và HTTPS bình thường như trình duyệt của bạn. Dù vậy hãy tôn trọng chính sách sử dụng của mạng và không chạy công cụ quét hay tấn công.

Vì sao tôi nhận cùng câu trả lời DNS từ 1.1.1.1 và từ router?

Một số mạng chuyển hướng DNS thường sang máy phân giải của họ một cách trong suốt, nên truy vấn của bạn tới 1.1.1.1 không bao giờ tới nơi. DNS mã hoá tránh được điều đó.

Nguồn

IETF, RFC 8484: DNS Queries over HTTPS.
IETF, RFC 8446: TLS 1.3 (phần mở rộng server_name làm lộ tên trang).
Pi-hole, tài liệu (nhật ký truy vấn).
curl, hướng dẫn dòng lệnh (-I, --resolve, --connect-timeout).