防劫持dns解析

昨天半夜，防劫我路由器日志里跳出一串陌生IP，解析持续向我的防劫DNS服务器发送查询请求。查了一下，解析那是防劫个已知的恶意解析节点。这事让我想起上个月邻居家智能电视被劫持到钓鱼网站的解析事——电视上明明播着“系统更新”，点进去却是防劫赌博广告。DNS劫持就是解析这样，它不偷你密码，防劫它直接篡改你访问世界的解析“地图”。

大多数人家里的防劫路由器，DNS设置那栏永远填着“自动获取”。解析运营商给什么就用什么，防劫这等于把家门钥匙交给快递员。解析稍微懂行的防劫人会改成114.114.114.114或者8.8.8.8，但这两组数字早就是公开的秘密——公共DNS被污染、被中间人攻击的案例每年都在涨。我见过最离谱的案例，是某公司财务部集体中招，就因为内网DNS被植入了恶意记录，所有访问银行官网的流量都被导向克隆页面，账号密码在半小时内被洗劫一空。

防劫持的核心逻辑很简单：别让你设备上的DNS查询请求裸奔在网络上。具体怎么做？第一层，路由器上把DNS固定成加密DNS，比如腾讯的DNSPod或阿里的223.5.5.5，同时关闭“自动获取”选项。第二层，在电脑和手机里单独设置DoH（DNS over HTTPS），这相当于给查询请求套了个加密隧道，运营商和攻击者都看不见你问了什么。Windows系统在“网络设置”里找“DNS分配”，选择“手动”，填入https://dns.alidns.com/dns-query；iPhone则要在“无线局域网”里点开“配置DNS”，选“手动”，添加服务器时选“HTTPS”。

光设好还不够。我习惯每季度检查一次路由器日志，重点看有没有陌生IP在凌晨三点发起批量查询——那是扫描机器人的典型行为。上周我就在日志里抓到个可疑域名，解析到俄罗斯的IP段，顺手在防火墙里封了它。另外，家里智能设备多的，最好单独给它们划个访客网络，因为智能插座、摄像头这类东西固件漏洞多，被劫持了也影响不到主网络。

有人嫌麻烦，觉得“我又不是什么大人物，谁劫持我干嘛”。真不是这样。去年有个案例，黑客就是劫持了一户普通家庭的DNS，把亚马逊购物链接重定向到仿冒站，骗走了几千块。劫持不挑人，它只挑“容易得手的”和“没防备的”。你路由器管理密码是不是还留着出厂默认的admin？DNS设置是不是从来没动过？如果是，那你就是那块最容易咬的饵。

最后说个反常识的：别迷信“加密DNS”四个字。DoH虽好，但如果你用的是公司配发的电脑，IT部门可能已经设置了强制策略，你手动改反而会被覆盖。家用场景下，最稳妥的组合是“路由器固定加密DNS + 终端备用明文DNS”，这样即使某条链路被切断，设备还能自动切换到备用通道。我自己的网络就是双通道配置，主用DoH，备用走普通DNS，延迟只差十几毫秒，但安全感翻倍。

设置完这些，你可以在命令行里输入“nslookup example.com”，看看返回的服务器IP是否和你设定的一致。不一致？那说明还有别的劫持层在作祟——检查一下是不是中了ARP欺骗，或者某个浏览器插件在偷偷改代理。DNS安全是个持续对抗的过程，不是设一次就一劳永逸。但至少，把最基础的解析路径守住了，你就已经甩开90%的互联网用户了。