Quad9 rút khỏi Pháp vào ngày 24 tháng 11: hãy cập nhật cấu hình DNS của bạn ngay

Quad9, bộ phân giải DNS tập trung vào quyền riêng tư, sẽ ngừng hoạt động cho người dùng tại Pháp vào thứ Ba, ngày 24 tháng 11 năm 2026. Quyết định này được đưa ra sau khi một lệnh của tòa án Pháp yêu cầu dịch vụ phải chặn các tên miền cụ thể liên quan đến vi phạm bản quyền thể thao, một yêu cầu mà Quad9 từ chối thực hiện. Các quản trị viên hệ thống và chủ sở hữu homelab tại Pháp phải lập tức kiểm tra cấu hình mạng của họ để thay thế các địa chỉ Quad9 trước khi dịch vụ bị gián đoạn.

Chuyện gì đã xảy ra

Vào ngày 21 tháng 10, một tòa án Pháp đã phán quyết có lợi cho beIN, một nhà phát sóng thể thao Qatar, ra lệnh cho Quad9 ngừng phân giải các tên miền lưu trữ luồng phát trực tuyến vi phạm bản quyền dành cho người dùng Pháp. Thay vì tuân thủ yêu cầu kiểm duyệt này, Quad9 thông báo rằng họ sẽ rút hoàn toàn khỏi thị trường Pháp. Mặc dù tòa án đã giảm mức phạt hàng ngày xuống còn €1.000, Quad9 trích dẫn khoảng 20 vụ kiện đang chờ xử lý là lý do chính cho việc rút lui, tuyên bố rằng họ không thể tồn tại trước sự tích tụ của các khoản tiền phạt tiềm năng.

Việc rút lui ảnh hưởng đến nhiều đối tượng, bao gồm các tổ chức lớn của Pháp như EDF, SNCF và DINUM. Nó cũng tác động đến những người dùng cá nhân gần đây đã chuyển sang Quad9 sau khi Mullvad công bố rằng họ sẽ đóng cửa dịch vụ DNS mã hóa công khai vào ngày 2 tháng 11 năm 2026. Những người dùng làm theo lời khuyên của Mullvad để chuyển sang Quad9 giờ đây phải đối mặt với một cuộc di cư thứ hai chỉ trong vài tuần. Quad9 cảnh báo rằng việc chặn theo vị trí địa lý dựa trên IP là không hiệu quả vì người dùng có thể vượt qua nó thông qua VPN, khiến việc tuân thủ trở nên rủi ro về mặt pháp lý nếu không có bộ lọc toàn diện.

Chi tiết chính

• Thời hạn: Quad9 ngừng phục vụ người dùng Pháp vào ngày 24 tháng 11 năm 2026.
• IP bị ảnh hưởng: 9.9.9.9, 149.112.112.112, 2620:fe::fe, 2620:fe::9 và 9.9.9.10 sẽ ngừng hoạt động đối với kết nối từ Pháp.
• Bối cảnh pháp lý: Quad9 phải đối mặt với khoảng 20 vụ kiện đang chờ xử lý liên quan đến các lệnh chặn tên miền tại Pháp.
• Tác động của Mullvad: Người dùng di cư từ Mullvad DNS (đóng cửa ngày 2 tháng 11) sang Quad9 sẽ phải di cư lại ngay sau đó.
• Các lựa chọn thay thế: Cloudflare và DNS4EU vẫn khả dụng nhưng tuân thủ các lệnh của tòa án Pháp; Unbound tự host mang lại sự độc lập nhưng thiếu các truy vấn upstream được mã hóa theo mặc định.
• Phạm vi cấu hình: Cần thực hiện thay đổi trên router, Pi-hole, Unbound, systemd-resolved, Docker và cài đặt DNS-over-HTTPS của trình duyệt.

Bối cảnh

DNS, hay Hệ thống Tên Miền, dịch các tên miền dễ đọc sang địa chỉ IP. Hầu hết người dùng phụ thuộc vào các bộ phân giải công khai như Quad9, Cloudflare hoặc Google thay vì chạy các bộ phân giải đệ quy riêng. Các bộ phân giải tập trung vào quyền riêng tư như Quad9 trở nên phổ biến nhờ hứa hẹn không ghi nhật ký dữ liệu người dùng và chống lại các yêu cầu kiểm duyệt. Tuy nhiên, khi một bộ phân giải hoạt động trong một khu vực tài phán, nó phải chịu sự ràng buộc của luật pháp địa phương. Tại Pháp, các tiền lệ pháp lý gần đây đã buộc các nhà cung cấp lớn phải chặn quyền truy cập vào các trang web bị cáo buộc lưu trữ nội dung vi phạm bản quyền.

Việc chạy một bộ phân giải đệ quy cục bộ, chẳng hạn như Unbound, cho phép một tổ chức truy vấn trực tiếp các máy chủ gốc. Cách tiếp cận này loại bỏ sự phụ thuộc vào các nhà cung cấp bên thứ ba, những người có thể bị buộc phải lọc kết quả. Tuy nhiên, các truy vấn đệ quy tiêu chuẩn không được mã hóa, nghĩa là Nhà cung cấp Dịch vụ Internet (ISP) vẫn có thể thấy những tên miền nào đang được yêu cầu. Sự đánh đổi giữa quyền riêng tư khỏi bộ phân giải và khả năng hiển thị đối với ISP là một cân nhắc quan trọng cho các đội ngũ khi quyết định chiến lược thay thế.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý cơ sở hạ tầng tự host, các phụ thuộc DNS ẩn là nguồn gốc phổ biến gây ra các sự cố gián đoạn đột ngột. Một tệp cấu hình được viết từ nhiều năm trước có thể vẫn trỏ tới 9.9.9.9, khiến các dịch vụ nội bộ hoặc các cuộc gọi API bên ngoài thất bại khi bộ phân giải ngừng phản hồi. Khác với sự sụp đổ của máy chủ web, lỗi DNS có thể tinh vi, dẫn đến thời gian chờ chậm thay vì lỗi ngay lập tức, gây khó khăn cho việc chẩn đoán trong quá trình xử lý sự cố.

Sự kiện này nhấn mạnh rủi ro khi phụ thuộc vào các điểm lỗi đơn lẻ cho các thành phần cơ sở hạ tầng quan trọng. Ngay cả các tổ chức phi lợi nhuận với lập trường mạnh mẽ về quyền riêng tư cũng dễ bị tổn thương trước áp lực pháp lý. Các đội ngũ từng cho rằng Quad9 là một lớp ổn định, trung lập giờ đây phải thừa nhận rằng các yếu tố địa chính trị và pháp lý có thể phá vỡ các dịch vụ này một cách bất ngờ. Việc kiểm tra chủ động các cài đặt DNS là rất cần thiết để duy trì tính liên tục trong vận hành.

Hơn nữa, thời điểm này trùng với việc Mullvad rút khỏi không gian DNS công khai, tạo ra một thách thức di cư kép. Các quản trị viên vừa mới cập nhật hệ thống của họ để tuân theo các thực tiễn tốt nhất về quyền riêng tư giờ đây thấy các cấu hình đó trở nên lỗi thời. Điều này nhấn mạnh nhu cầu về các cấu hình mạng linh hoạt, dễ dàng điều chỉnh thay vì các phụ thuộc cứng nhắc vào các nhà cung cấp bên thứ ba cụ thể.

Bạn có thể làm gì

• Kiểm tra cấu hình: Chạy các lệnh grep trên /etc, thư mục home và các tệp compose của Docker để tìm các trường hợp xuất hiện 9.9.9.9, 149.112.112.112 hoặc quad9.
• Kiểm tra bộ phân giải đang hoạt động: Sử dụng resolvectl status trên Linux hoặc kiểm tra cài đặt NetworkManager để xác định các máy chủ DNS đang hoạt động hiện tại.
• Cập nhật cài đặt router: Đăng nhập vào gateway hoặc thiết bị OpenWrt của bạn và thay thế các IP Quad9 bằng các lựa chọn thay thế như Cloudflare (1.1.1.1) hoặc DNS4EU trong cài đặt WAN hoặc DHCP.
• Cấu hình lại bộ phân giải cục bộ: Nếu sử dụng Pi-hole hoặc Unbound, hãy xóa các forward-zones trỏ tới Quad9 và thiết lập các máy chủ upstream mới hoặc bật phân giải đệ quy.
• Cập nhật DoH của trình duyệt: Kiểm tra cài đặt Firefox và Chrome cho các mẫu DNS-over-HTTPS và thay thế các URL Quad9 tùy chỉnh bằng các lựa chọn thay thế được hỗ trợ.
• Xác minh thay đổi: Sau khi cập nhật, hãy xóa cache DNS và thử nghiệm phân giải cho các tên miền quan trọng để đảm bảo kết nối đã được khôi phục.