什么是DNS污染？
DNS污染，更技术一点的名字，可能叫域名系统投毒或者DNS缓存投毒。它不是让你电脑中毒，而是让你在寻找目标网站的路上，被人故意指向了一个错误的方向。
这种行为是一种网络中间人攻击。攻击者，或者执行审查的设备，会持续地监控着流经它的网络数据包。当它嗅探到某个特定域名的DNS查询请求时，它会在合法的DNS服务器还没反应过来之前，立即伪造一个包含错误IP地址的响应包，直接发送给你的设备。
因为DNS协议在设计之初，为了追求速度和效率，默认使用的是无连接的UDP协议。这个协议的特点就是“发了就不管了”，不去严格验证对方的身份。只要响应的格式正确、来源端口和IP地址看起来没问题，你的设备就会接收最先到达的那个包，并把里面的假IP地址当作真的记录下来。整个过程极其隐蔽，普通用户根本无法察觉，只会觉得“网怎么又坏了”。
DNS污染的工作原理
当你打开浏览器输入一个网址，电脑首先会去看自己的本地hosts文件，如果没有记录，它就会向你网络设置里指定的DNS服务器发出一条查询请求。这个服务器可能是你家路由器，也可能是运营商的机房。
如果这个DNS服务器自己也不知道这个域名的IP，它就会像一个新入职的员工一样，一级一级地向上级求助，从根域名服务器，到顶级域名服务器，再到管理该域名的权威DNS服务器，一层一层地问下来，最终拿到那个正确的IP地址，然后返回给你的电脑。
而DNS污染的刀，就切在了这其中的某一个环节上。最常见的情况是，在国际网络出口的骨干路由上，部署着特定的监控设备。这些设备像一个严苛的边检人员，它会实时检查所有通过的DNS请求包的内容。一旦发现某个“特殊名单”里的域名，它根本不给请求到达目标DNS服务器的机会，或者抢在真实响应返回之前，直接伪造一个假的DNS应答包丢回来。
UDP协议的特点是你的电脑只会采纳第一个收到的应答。这个假的应答因为是直接从离你很近的网络节点发出，它必然会比远在海外的真实DNS服务器的应答要快得多。你的电脑就这样被“截胡”了。
更麻烦的是，这种拦截不仅可以发生在你查询的时候，有时候连上游的递归DNS服务器的缓存，也会被这种手段污染，从而影响到成千上万的用户。
DNS污染的常见表现
最直观的表现，就是当你尝试访问某个特定的海外网站时，浏览器长时间显示“正在连接”或“无法访问此网站”。如果你是个跨境电商卖家，正准备登录亚马逊后台处理订单，页面却死活打不开，带来的损失可想而知。这时候，有经验的操作者会打开命令提示符，去ping一下这个域名，或者用nslookup查询一下，就会惊奇地发现，返回的IP地址居然指向了Facebook、Twitter这类完全没有关系的，自己的网站又打不开的公司IP。
还有一种很典型的特征，就是解析结果的规律性异常。在一些网络环境里，所有被污染的域名都会被整齐划一地解析到少数几个固定的、无意义的IP地址上。这几个IP地址就好像是网络世界里的“挡箭牌”，把所有你不该去的地方的“指示牌”都替换掉了。
另外，间歇性地污染也很让人头大，有时候是中午过后，有时候是晚上，某个网站突然就打不开了。这种时好时坏的情况，常常让很多工程师一开始怀疑是自己服务器宕机或者网络设备出问题了，折腾半天才发现是上游DNS在作祟。
如何检测DNS污染？
如果你发现网络访问有问题，可以按照下面的方法来测试DNS是否被污染了。
方法一：使用nslookup命令检测DNS污染
nslookup 是打从有Windows系统起就内置的一个经典网络诊断小工具，用它来快速判断DNS污染。
它的好处是无需安装。它的检测原理很朴素，就是“对比法”。我们先让电脑用现在配置的本地DNS去查一遍，再让它越过本地，直接去问一个绝对安全可信的公共DNS服务器。两边的结果一对比，问题就一目了然了。
1. 我们打开命令提示符窗口。先输入 nslookup doumain.com 并回车，这条命令什么额外参数都没加，就表示用你当前的网络默认配置的DNS服务器去查询。
2. 先把返回的IP地址，也就是那个“Address”后面的数字，牢牢记下来。
3. 我们在同一个窗口里再输入 nslookup domain.com 8.8.8.8。
4. 这个命令里的 8.8.8.8 是Google公司提供的公共DNS服务器，它解释出的结果，通常被认为是干净、没被修改过的。我们同样记下它返回的IP地址。
如果两次查询得到的结果完全不同，而且用默认服务器查出的那个IP地址，经过去IP归属地网站查询，发现它不属于目标域名的公司，甚至指向了一个毫不相干的社交媒体公司，那么，十个里有九个半可以肯定，你当前的网络环境，对这个域名的解析，是受到了污染。
为了确保检测的准确性，在进行这一步之前，可以先执行 ipconfig /flushdns 命令清空一下本机的DNS缓存，避免旧的错误记录干扰判断。
方法二：使用dig命令检测DNS污染
如果你用的是Linux或者macOS系统，dig这个命令也挺好用的。
dig是"Domain Information Groper"的缩写，它能提供的细节远非nslookup可比。除了简单的查询，它还能模拟完整的域名解析追踪过程，让我们看到污染到底发生在哪一层。
用dig来检测污染，同样遵循对比的思路。但它的手法可以更细腻。
1. 我们先在终端里输入 dig vmrack.net。
2. 回车后，我们需要重点关注输出里的"ANSWER SECTION"这一区域，它会列出域名对应的IP。如果这个区域是空的，或者列出了明显不属于该域名的奇怪地址，就先留意下。
3. 我们输入 dig domain.com @8.8.8.8，这个@8.8.8.8的作用就是强制dig不走本地DNS，直接去问远在谷歌的纯净服务器。
把这次获得的结果和上一步的答案进行比对，如果差异悬殊，污染的事实就基本成型了。
方法三：使用在线DNS检测工具检测DNS污染
这类工具的思路很巧妙，它们利用自己在全球各地部署的众多网络探针，从不同国家、不同运营商的视角，同时去查询你指定的那个域名，然后把所有结果汇总给你。一个域名如果真的被污染了，污染通常只是局部的，比如只出现在中国电信的网络，或者只限于某个地区，而全球其他地方的解析，必定还是正常的。
在线工具就是抓住了这个特性。
我们以 whatsmydns.net 这个网站为例，你只需要在唯一的那个搜索框里，输入你怀疑有问题的域名，比如 domain.com，然后点击“Search”按钮。
网站就会在几秒钟之内，标记着全球数十个不同地点的解析结果。
接下来就是观察。如果这张列表里，绝大多数地点，比如美国、日本、欧洲的节点，都齐刷刷地显示着同一个IP地址，或者几个属于同一家公司的、非常规律的IP，唯独来自中国的几个节点、或者标记着“China Telecom”的节点，返回了一个截然不同的、孤立的IP地址，那么我们的DNS就是被污染了。
如何解决DNS污染问题？
如果你已经确认自己的DNS被污染了，可以用下面的方法来解决。
方法一：修改DNS服务器为公共DNS
在应对轻度DNS污染时，把自己网络设置里的DNS服务器，从默认的运营商提供的换成全球通用的公共DNS。成本为零，效果明显。
因为绝大多数的DNS污染，都发生在运营商的机房或者网络出口。你用了运营商的DNS，就相当于一直走在他们设定的、布满“路障”的路上。而你一旦把DNS改成8.8.8.8这样的服务，你的查询请求就会远远地发到境外，从根本上绕开了本地的干扰源。
当然，这个方法对付不了那种最高级别的、在骨干网国际出口处搞无差别UDP 53端口投毒的“大招”，但对付日常使用中遇到的大部分问题，它已经绰绰有余了。
操作方式非常非常简单。我们以Windows系统为例，
1. 打开控制面板，找到网络和共享中心，点击你正在使用的那个网络连接，在弹出的状态窗口里点属性”，找到并双击Internet协议版本4。
2.下面单选框默认是自动获得DNS服务器地址，我们把它改选成使用下面的DNS服务器地址，然后在首选DNS服务器那栏，填进8.8.8.8，在备用DNS服务器那栏，填进8.8.4.4，然后确定保存。
之后，前面的 ipconfig /flushdns 命令清理一下缓存。
手机、macOS甚至家用的路由器后台，都能找到修改DNS的地方。
方法二：使用DNS over HTTP
既然传统的DNS查询是明文传输，像一封内容完全公开的明信片，一眼就能被看见和篡改。那么解决问题可以把明信片装进一个保险箱里，再进行传输。
DNS over HTTPS，也就是我们常说的DoH，就是这个保险箱。
它的原理就是将你的DNS查询请求，悄悄地塞进标准的HTTPS加密流量里。对于任何监控设备而言，你的DNS请求就隐藏在了海量的、与普通网页浏览完全无异的443端口加密数据当中，无从辨别，也就更谈不上篡改了。
目前，主流的浏览器如Firefox和Chrome都可以轻松开启这个功能。
我们以Firefox浏览器为例，
1. 打开Firefox的菜单，进入“设置”页面，在左侧找到隐私与安全，或者在常规设置里往下方拉。
2.在网络设置，点击设置。在弹出的对话框中，一路滚动到最底部，找到通过HTTPS启用DNS。
3. 把它勾上，Firefox默认就会使用Cloudflare提供的DoH服务，你也可以通过旁边的下拉菜单，选择NextDNS等其他服务商，
4. 点击确定就立刻生效了。
这样做之后，在浏览器里访问的所有网站，它的域名解析过程都会被加密保护，也不会被污染了。
但是，这种设置只对浏览器这一个软件有效，你电脑上的其他应用，比如邮件客户端或者命令行里的ping，它们发起的DNS查询仍然走的是系统默认的、可能被污染的通道。
想要实现全局保护，在比较新版本的Windows 11系统里，你可以在“网络和Internet”设置的DNS服务器分配中，手动填入支持DoH的服务器IP，比如Cloudflare的1.1.1.1，并在“首选DNS加密”选项里选择“仅加密(通过HTTPS的DNS)”，这样整个系统的所有流量就都被保护起来了。
方法3：通过VPN解决DNS污染
一个优秀的商业VPN，如NordVPN、ExpressVPN，远不止是给你换个IP地址那么简单。它在你的设备和外部世界之间，挖了一条全封闭的、加密的隧道，你所有的网络请求，不管是浏览网页的数据，还是最底层的DNS查询，全部都会被塞进这个隧道里，通过一个在物理上完全避开污染地区的海外服务器来代为处理。
因此，只要你成功连上了一个合格的VPN，你电脑上所有程序看到的，都是VPN服务器为你展现的那个干净的网络世界。DNS污染这个问题，就从根上被解决了。
这类成熟的付费服务，它们自己的客户端里就内置了极为强大的DNS防护机制，默认就会接管你系统的所有DNS请求，并通过加密隧道发往它们自己的私有DNS服务器，这也就避免了你在修改MDNS时，可能遇到的操作苦恼。
操作的流程是相当标准化的。你只需要去服务商的官网下载对应你设备的客户端，安装并登录自己的账号。
在使用中，如果发现仍有极个别的域名打不开，可以进入VPN客户端的“设置”或“高级”菜单，找到并确认“安全DNS”或“防泄露”之类的功能是开启状态，确保万无一失。
方法4：修改hosts文件
最硬核，也最不依赖任何外界服务的方法，就是直接修改我们电脑里的hosts文件。
hosts文件是一本存放在你自己电脑硬盘上的、最权威的私家通讯录。
操作系统在进行任何一次网络查询时，都会优先来翻一翻这本通讯录。只要在这里找到了对应域名的记录，它就不再出门去问外边的任何DNS服务器，直接就按照通讯录里写的门牌号去访问了。
只要你能通过某种可靠的途径，比如在另一个未被污染的网络环境里查到，或者请海外的朋友帮你查出目标域名的真实IP地址，然后把它写进hosts文件里，那么，外界的任何污染，都对你失效了。
这个方法尤其适合保护那些IP地址固定不变的网站或服务器后台。
修改的步骤也非常简单：
1. 你需要用一个具有管理员权限的身份打开一个纯文本编辑器，比如Windows的记事本。
2. 在记事本的文件菜单里，选择打开，然后在底部的文件过滤器里选择所有文件，定位到 C:\Windows\System32\drivers\etc 这个路径，找到那个没有后缀名的 hosts 文件并打开它。
3. 在文件的最末尾，另起新的一行，输入目标域名的真实IP，按一下空格，再输入域名本身，格式就像 142.250.80.46 www.google.com 这个样子。
4. 保存文件之后，它几乎是立刻就会生效的。
这时候你再试着去访问 www.google.com，你的电脑就会坚定地直奔你指定的那个IP，不再理会外部网络上的任何风风雨雨了。
要留心的是，如果目标网站使用了大型的CDN网络，它的IP可能会经常变化，过一段时间你可能需要重复这个过程，来更新一次这个本地通讯录的住址。
方法5：通过代理软件解决DNS污染
对很多拥有自己服务器的技术爱好者或者运维人员来说，使用Shadowsocks、V2Ray这类新一代的代理软件，其实是一种比前面提到的公共DoH和商业VPN都更为灵活和强大的选择。
这些代理软件的核心能力是通过加密信道转发你的网络请求，但它们也可以对DNS流量的灵活处理。
它们的工作原理是在你的电脑本地起一个“影子DNS服务器”，比如监听在127.0.0.1的某个端口上。
然后，你需要把它设为系统的主DNS。之后，所有从你电脑发出的DNS查询，都会被这个影子的服务器截获，并同样经由那条加密的Socks或HTTP隧道，发送到一个在远端的、网络环境纯净的服务器去代为查询。
这样一来，不仅你的DNS请求从明信片变成了密码信，连递交的路径都换了。
DNS污染与DNS劫持的区别
它们是两种性质完全不同的网络干扰行为。
DNS污染，核心在于“投毒”。这是一种欺骗行为，攻击者并不去修改你的任何设置，而是通过发送伪造的、比真实响应更快的假消息，来达到让你“信以为真”的目的。
你电脑上的DNS服务器设置可能指向的是8.8.8.8，完全正确，但你查出的结果依然是错的，这是因为这条干净询问的消息在回来的路上，被“截胡”了。
而DNS劫持，它的核心在于“挟持”。这是一种更具侵略性的控制行为，攻击者会通过某种方式，主动夺走你对DNS的控制权。
比如，一个精心设计过的路由器固件，会把你发出的所有DNS请求，都悄悄重定向到黑客自己搭建的恶意DNS服务器上。
或者部分地区的运营商，为了某些目的，也会把用户的DNS请求强制转到自己的服务器上，然后对某些域名不返回正确的答案，甚至往你浏览的网页里插广告。
另一个很明显的区别，在于它们的动机和波及范围。
DNS污染的动机相对单一，大多是为了阻止你访问特定的、被标记的内容，是一种信息封锁的管理手段，其目标通常限定在一个不断更新的域名库之内。
那些不在名单上的普通网站，解析是完全正常的。
而DNS劫持的动机就更复杂多变了，可能是为了推送广告盈利，可能是为了网络钓鱼窃取你的密码，也可能是用更为粗暴的方式，将所有出方向的53端口流量不分青红皂白地导向一台固定的解析服务器。
所以，当你发现自己所有网站都没问题，唯独那几个特定的网站解析出错时，你面对的很可能是DNS污染。
而当你无论打开什么网站都先弹出个广告，或者访问任何域名都不太正常时，恐怕就得关心一下自己的路由器，还有运营商在搞什么了。
常见问题
Q1 频繁开关DoH或VPN来解除和恢复DNS污染，会对本地缓存造成混乱导致别的网站也上不去吗？
一般不会，本地缓存会随TTL过期或被手动清空，不影响其他网站解析。
Q2 开启了全局DoH或代理之后，为什么我访问某些国内的银行网站反而变慢甚至打不开了？
这多是因为这些网站使用了CDN的智能DNS解析，加密后它看不到你真实的国内IP，因此将你导向了海外的节点。
Q3 公司内网的打印机、共享文件夹的域名解析会不会因为用了DoH或公共DNS就失效了？
会的，因为这些内网域名在公网上查不到，需要你在DoH设置里配置针对内部域查询的例外规则，让它仍然走公司内网默认的DNS。
总结
DNS污染是互联网开放架构下，信息流通限制与反限制的一个技术缩影。
对跨境电商和普通网民来说，它造成的访问中断是直接且频繁的。
掌握了多种检测和应对方法，从基础的公共DNS到进阶的加密查询与VPN代理，你就能在遇到问题时快速诊断并找出最适合自己的恢复路径。
文章评论