开启dns安全解析

上个月帮朋友看他的开启小网站，发现后台日志里有一堆奇怪的全解解析请求——域名指向的IP被换成了一个从没见过的地址。他以为是开启服务器被入侵，查了半天，全解最后发现是开启路由器默认用了运营商DNS，而那条链路被人做了劫持。全解这种事不罕见，开启只是全解多数人从来没注意过。

DNS这东西，开启说白了就是全解互联网的电话簿。你敲一个域名，开启它负责翻译成机器能懂的全解IP地址。问题在于，开启这本电话簿从设计之初就没考虑过安全性——明文传输、全解无验证机制、开启谁先应答就信谁。1993年出生的协议，放到今天用，跟拿一张明信片寄银行卡密码差不多。

劫持是怎么发生的

最常见的场景：你连上某个公共Wi-Fi，输入银行域名，结果解析到了一个长得一模一样的钓鱼站。中间人只需要在你和DNS服务器之间插一脚，抢在真正的响应到达之前伪造一个回复，你的浏览器就会乖乖听话。这种攻击叫DNS缓存投毒，2008年Dan Kaminsky公开的那个漏洞让整个行业紧急打补丁，但根本问题没解决——协议本身不验证来源。

另一个高频场景是广告注入。某些地区的运营商会在DNS层面动手脚，你访问任何网页，都会多出一块不属于原站的广告。这不是浏览器插件干的，是解析结果被篡改了。你甚至看不到任何异常提示。

DoH和DoT在做什么

加密是直接的解法。DNS over HTTPS（DoH）把你的解析请求塞进HTTPS隧道里，外面看起来就是普通的网页流量，中间人既看不到你查了什么域名，也没法伪造响应——证书验证会直接拦下来。DNS over TLS（DoT）思路类似，只是走独立的853端口，不跟网页流量混在一起。

两者各有取舍。DoH更难被封锁，因为它和正常HTTPS流量无法区分；DoT更纯粹，网络管理员容易识别和管理。Firefox和Chrome都已经内置了DoH支持，Cloudflare的1.1.1.1和Google的8.8.8.8是最常用的公共解析服务。

开启之后会怎样

我自己在路由器上配了DoT，指向Cloudflare。变化不是立竿见影的那种——网页不会突然变快，但有几件事确实不同了。运营商再也无法通过DNS给我推广告；访问某些被污染的域名时，解析结果终于正常了；查询日志里能看到请求被加密后发往853端口，本地网络里谁也看不到我查了什么。

代价也有。解析延迟可能略微增加，因为加密握手需要时间。某些依赖DNS做家长控制或企业策略的场景会失效——加密之后，网关没法检查你访问了哪些域名。还有就是，如果DoT服务器本身被墙，你得换一个能用的。

普通用户怎么上手

最省事的办法是换浏览器设置。Firefox在“隐私与安全”里有一个“启用基于HTTPS的DNS”选项，勾上，选一个服务商，完事。Chrome在“隐私和安全”→“安全”里也有类似开关。手机端，Android 9以上系统自带Private DNS功能，填一个DoT地址就行；iOS需要装描述文件或者用第三方App。

如果你想覆盖整个家庭网络，那就在路由器上配。OpenWrt、Padavan这些固件都支持DoT/DoH转发，把上游DNS改成加密地址，所有连到这个路由器的设备自动受益。我朋友那台路由器刷了OpenWrt之后，DNS劫持的问题再没出现过。

DNS安全解析不是万能药。它解决的是解析环节的隐私和完整性问题，管不了HTTPS站点的证书伪造，也挡不住恶意软件直接连IP。但它是成本最低、效果最明显的一层防护。花五分钟改一个设置，总比哪天被钓鱼站骗走密码再后悔强。

很赞哦!（2）