DNS污染了怎么解决,什么是DNS污染

题图来自Unsplash，基于CC0协议

导读

首先，什么是DNS污染？我们上网都是要找个路的，这个“找路”过程就是DNS过程。简单来说，我们就是在找域名（比如www.example.com）对应哪个服务器IP地址。通常，我们电脑内置的DNS服务，或者路由器、运营商会给到正确的这个对应关系。DNS污染就像是在你试图去学校的时候，有人把学校的方向指给你错误的地点，比如把你指向了马路对面的垃圾场。当你到达那里，或许根本不是你要去的学校。DNS服务器被篡改了，将返回一个错误的IP地址，导致你访问不到真实网址，或者跳转到恶意页面、钓鱼网站。

DNS污染如何导致网站无法访问？在上面解释的DNS污染中，你的设备被指向错误的服务器。你请求访问一个存在的网站，返回的是一片“空地”，或者是一个完全不相关的网站。这就好比导航软件告诉你交通堵塞，建议走错路，最终你迷失在了错误的街道上，无法到达目的地。

DNS污染与DNS劫持的区别？混淆这两个概念的不少。DNS劫持（DNS Hijacking）通常指攻击者通过某种手段（比较常见的是通过感染、控制路由器或光猫等网络设备）篡改了你自己的设备、甚至你的家庭路由器上的DNS设置，主动帮你指向错误的解析结果。举个例子，劫持是你家路由器被安装了“木马”，每次你发起DNS查询，路由器就帮你转发到错误的地方。DNS污染则更像是一种中间人攻击，攻击者UDP数据包拦截你发送到DNS服务器的查询请求，将其篡改，再伪装成合法的DNS服务器给你回应这个错误的信息。区别在于，劫持通常需要控制DNS客户端本身，而污染则是在于服务器一侧的响应被拦截和篡改。

如何检测DNS是否被污染？发现网站无法访问、莫名重定向或者访问速度非常奇怪时，就需要检查了。最简单的方式：尝试访问几个常用的网站，比如搜索一个笔误的大网站名看看，或者专门找一些网站访问测试工具（虽然常见，但需选择可信来源）。更专业一点：在命令行里打开网络连接：打开“cmd”，输入“nslookup www.baidu.com”或“ping www.baidu.com”。看看返回的IP地址是不是百度真实的IP（也可以去查新确认）。如果得到的IP地址不对，基本可以判断是你本地DNS没得到正确回应，或者是在DNS解析链路上出了问题。专业的练习在浏览器开发者工具里看网络请求，DNS Sec？你可以看看你的DNS查询记录是否有514K，那是DNS Sec查询标识。有很多在线的小工具（比如RailDNS）可以一键测试国内各DNS。

很多人误以为修改host就可以解决，或者至少能检测？完全不是这么回事。你的“hosts”文件主要是用来手动映射域名和IP用的，比如可以让某个垃圾网站直接指向错误的8888的电脑进程端口，污染是服务器端篡改了所有查询。修改自己电脑里的hosts文件，只能在你查询那些域名的时候，本地也有个错误的指示，但并不能解决大部分国内DNS污染问题，而且修改的是本地文件，并不是从根本上解决问题。

更换公共DNS服务器或许是解决DNS污染最实际也最有效的办法。DNS污染发生在你查询的DNS服务器那里，更换一个你信任的、不被污染的，它自然给你正确的指示。全球有几家比较有名的公共DNS服务提供商做得不错，比如Cloudflare的1.1.1.1、Google的8.8.8.8等，它们速度快，隐私保护也做得比较好，而且不容易被攻击方篡改。 另外，114DNS也是国内常见的。更换方式也很方便，可以在你的操作系统网络设置里更改DNS地址，或者在你的路由器后台统一设置，让所有连接它的设备都用上好的DNS服务。

使用VPN或代理绕过DNS污染？VPN可以看做一种比较高级的解决办法。VPN服务不只是提供加密传输，它会在你的设备上建立一个虚拟专有网络，通常你的所有网络通讯都会先经过VPN服务器，再去它的出口去访问目标网站。这样，你的DNS查询也被VPN服务器那边代劳了，它自然会帮你查到正确的Qdisc状态，而且你自己的设备，它根据你的设置通常都不会直接暴露公网信息。代理服务器和翻墙有点关系，有点类似VPN，不过VPN通常是一个全面加密通道，代理则是只是帮你访问特定的网站或服务。

总的来说，DNS污染是个迷惑人心的网络安全问题，确实会干扰我们正常的网络访问。要想解决它，思路很简单，但方法要够大。检测是第一步，发现可能受到DNS污染？至少心理有底了。想解决，更换一个可靠的公共DNS（特别是你多个设备的路由器设置才行），可能是最经济也最直接有效的手段。如果是因为访问境外网站不够取，还被DNS污染到底了，VPN或者代理服务器也是不错的，当然对本地墙比较稳定，但这不是说国内DNS污染没安全风险。DNS污染本身是作为一种劫持手段，指的是攻击者通过篡改DNS响应来播放器用户流量流向恶意服务器，这谁都可以干，网络运营商有时也会插手，其实DNS污染系统会影响网络安全。因为它可能导致你访问到黑客控制的网站，或者被重定向到潜在的广告或钓鱼站点，甚至拦截你重要的网络请求，对个人隐私和安全构成威胁。遇到异常访问状况，及时排查和防范DNS污染很重要。

解决DNS污染绝不仅仅只是点点hosts文件，希望本文能让大家更好理解这个过程和应对策略。方法有多种，选择一个适合自己的才是根本的解决之道。如果连让你的网络畅通无阻都非常困难，要知道，那种看不见的污染依旧存在。