我的 ISP 在劫持 DNS：一次排查和几个常见误解

📋 概述

作者在修家庭实验室时发现某个外部站点连不上，报错几乎立刻返回，于是怀疑 DNS。他用多个公共解析器查同一个域名，几乎都返回同一个 IP；改用 Cloudflare 的 DoH 端点后，拿到的地址完全不同。查那个 IP 的归属，结果是自己的运营商——DNS 查询被劫持并返回了篡改后的地址。文章接着清理了讨论里最常见的三个误解。第一，「我自建 Unbound 所以安全」不成立：解析过程要依次问多台域名服务器，这些查询默认走明文 UDP，运营商照样能看能改，除非给 Unbound 配 forward-zone 转发到支持 DoT 的上游。第二，「有 DNSSEC 就够了」也不对，DNSSEC 提供的是验证而非加密，它不隐藏你查了什么。第三，DoH/DoT 只保护最后一跳的传输，前提是你信任那个加密上游。