我的 ISP 在劫持我的 DNS：一次排查引出的九条误解
来源：karthihegde.dev — 2026-11-03
📋 概述
作者在 homelab 排查一个容器访问不了外部站点时，用 dig 对比了多家 DNS，发现只有走 Cloudflare 的 DoH 才拿到「正确」IP，而普通查询返回的地址归属正是他自己的 ISP——供应商正在劫持并篡改 DNS 应答。文章借这条线索逐条拆解常见误解：自建 Unbound 若仍用明文上游解析，照样能被窥探篡改；DNSSEC 只做签名验证、不加密；DoH 与 DoT 只是把信任转移给解析器；TLS 握手里的 SNI 仍会泄露你访问的域名。作者最终给出自己的组合：AdGuard 本地解析、dnscrypt-proxy 加密上游、关键容器再挂 Cloudflare 兜底。
🔑 核心要点
- 普通 UDP/53 查询在链路上可被 ISP 窥探与篡改，换成 Google 或 Cloudflare 的明文 DNS 也无效。
- DNSSEC 只提供签名验证而非加密，据 2026 年 10 月 Defaults.Exposed 统计只有 7.03% 的域名具备完整验证链。
- DoH、DoT 加密的是到解析器这一段，解析器本身仍可能篡改结果，信任只是被转移。
- TLS 握手中的 SNI 仍会暴露目标域名，作者用 Mullvad 加 Tailscale 出口节点把流量整体加密。
💡 金句
我拿第一次解析得到的 IP 去查归属，结果那是我自己家 ISP 的地址。
👍 0
👎 0
← 返回 Lobsters 首页