DNS劫持解決方法

2024年3月7日發(作者：合資協議)

說明

我們知道，某些網絡運營商為了某些目的，對 DNS 進行了某些操作，導致使用 ISP 的正常上網設置無法通過域名取得正確的 IP 地址。常用的手段有：DNS劫持 和 DNS污染。DNS劫持 和 DNS污染 在天朝是非常常見的現象。一般情況下輸入一個錯誤或不存在的

URL 后，本應該出現404頁面，而我們看到的卻都是電信、聯通等運營商的網址導航頁面，正常訪問網站時出現電信的小廣告，使用了代理卻依然無法正常訪問某些境外網站，以及最近Google 幾乎被徹底封殺、微軟 OneDrive 打不開，這些都和 DNS 有一定關系。

DNS劫持

DNS劫持 就是通過劫持了 DNS 服務器，通過某些手段取得某域名的解析記錄控制權，進而修改此域名的解析結果，導致對該域名的訪問由原 IP 地址轉入到修改后的指定 IP，其結果就是對特定的網址不能訪問或訪問的是假網址，從而實現竊取資料或者破壞原有正常服務的目的。DNS劫持 通過篡改 DNS 服務器上的數據返回給用戶一個錯誤的查詢結果來實現的。

DNS劫持 癥狀：某些地區的用戶在成功連接寬帶后，首次打開任何頁面都指向 ISP 提供的“電信互聯星空”、“網通黃頁廣告”等內容頁面。還有就是曾經出現過用戶訪問 Google 域名的時候出現了百度的網站。這些都屬于 DNS劫持。

DNS污染

DNS污染 是一種讓一般用戶由于得到虛假目標主機 IP 而不能與其通信的方法，是一種 DNS 緩存投毒攻擊（DNS cache poisoning）。其工作方式是：由于通常的 DNS 查詢沒有任何認證機制，而且 DNS 查詢通常基于的 UDP 是無連接不可靠的協議，因此 DNS

的查詢非常容易被篡改，通過對 UDP 端口 53 上的 DNS 查詢進行入侵檢測，一經發現與關鍵詞相匹配的請求則立即偽裝成目標域名的解析服務器（NS，Name Server）給查詢者返回虛假結果。

DNS污染 癥狀：目前一些在天朝被禁止訪問的網站基本都是通過 DNS污染 來實現的，例如 YouTube、Facebook 等網站。

解決方法

對于 DNS劫持，可以通過手動更換 DNS 服務器為 公共DNS 解決。

對于 DNS污染，可以說，個人用戶很難單單靠設置解決，通常可以使用 VPN 或者域名遠程解析的方法解決，但這大多需要購買付費的 VPN 或 SSH 等，也可以通過修改 Hosts

的方法，手動設置域名正確的 IP 地址。

公共DNS

公共DNS 是一種面向大眾的免費的 DNS 互聯網基礎服務。我們知道要上網，就必須要

DNS 解析服務，盡管大多數電腦用戶都很少會去手動設置 DNS 服務器地址，而是采用默認自動獲取網絡商 DNS 地址的方式，不過對于一些小型網絡服務商而言，可能全球或者全國 DNS 節點比較少，這樣就容易導致打開網頁偏慢等現象。

更換 DNS 服務器地址為 公共DNS 后，可以在一定程度上加快域名解析速度、防止 DNS劫持、加強上網安全，還可以屏蔽大部分運營商的廣告。下面列出幾個目前常用的 公共DNS

服務器地址：

名稱 DNS 服務器 IP 地址

OpenerDNS 42.120.21.30

阿里 AliDNS 223.5.5.5

V2EX DNS

114 DNS

OpenDNS

CNNIC SDNS 1.2.4.8

Google DNS 8.8.8.8

223.6.6.6

210.2.4.8

8.8.4.4

199.91.73.222 178.79.131.110

114.114.114.114 114.114.115.115

208.67.222.222 208.67.220.220

給出了這么多，說一下選擇吧，如果是國內用戶，沒有潔癖的，可以考慮 114DNS 和 阿里DNS，如果有潔癖，國內可以選擇 V2EX DNS 和OpenerDNS，國外的可以選擇很多，優選 Google 的，雖然有延遲，但還能接受，其他的看自己的網絡情況了。

手動更換DNS

1. 打開“網絡和共享中心”；

2. 點擊正在使用的網絡打開“狀態”；

3. 打開“屬性”；

4. 雙擊“Internet 協議版本 4（TCP/IPV4）”；

5. 點選“使用下面的 DNS 服務器地址”；

6. 輸入上面的 公共DNS 服務器地址，確定。