内容摘要：上个月我家里那台老路由器又闹脾气了。刷个网页，右下角先弹出一堆菠菜广告，点关闭还跳转。我第一反应是路由器被黑了，重置完依然如此。后来抓包一看，DNS请求全被指向了某个陌生IP。运营商干的？还是哪个环节

上个月我家里那台老路由器又闹脾气了。可能开启刷个网页，被劫右下角先弹出一堆菠菜广告，持否点关闭还跳转。可能开启我第一反应是被劫路由器被黑了，重置完依然如此。持否后来抓包一看，可能开启DNS请求全被指向了某个陌生IP。被劫运营商干的持否？还是哪个环节出了鬼？说不清。但这事让我意识到，可能开启DNS这玩意儿平时没人注意，被劫一旦被动手脚，持否你连自己怎么中招的可能开启都不知道。

DNS说白了就是被劫互联网的电话簿。你输入zhihu.com，持否它负责翻译成IP地址。问题是这个翻译过程默认是明文的，UDP协议，端口53。谁都能在半路偷看，甚至篡改。你以为是去知乎，结果被领到了某个钓鱼站。更恶心的是，有些劫持不给你跳转，只是插入广告，你根本察觉不到。

哪些情况容易被劫持？公共WiFi是重灾区。咖啡厅、机场、酒店，那些不需要密码的开放网络，攻击者架个伪基站就能截胡。还有运营商层面的劫持，这个普通人无能为力。前几年某些宽带运营商强行推送广告，就是拿DNS做的文章。另外，路由器固件漏洞、电脑里的恶意软件，都能改你的DNS设置。

那要不要开DNS防护？我的答案是：看场景，但多数人应该开。

如果你经常连公共WiFi，开。如果你用运营商默认DNS，开。如果你家里有智能设备，开。DNS防护的本质是加密查询过程。比如DNS over HTTPS，把你的DNS请求打包进HTTPS流量里，中间人看不到也改不了。Cloudflare的1.1.1.1、Google的8.8.8.8都支持。国内阿里、腾讯也有DoH服务。设置起来不复杂，路由器里改一下，或者电脑手机装个客户端。

但别指望它万能。DNS防护只解决传输过程中的劫持。如果攻击者已经控制了你的路由器，或者你电脑中了木马，那加密也没用——木马直接改你本地hosts文件，或者在你系统里装个假证书，照样劫持。所以DNS防护是必要不充分条件。

我自己的做法：家里路由器刷了OpenWrt，强制所有设备走DoH。手机在外面用运营商网络时开系统级私人DNS。公司电脑？没办法，IT部门锁死了，只能忍着。有次我在某酒店连WiFi，特意对比了一下，开DoH之前，访问某些网站会跳转到酒店登录页，开了之后直接通。这就是差别。

还有一点，很多人不知道。DNS防护有时候会带来副作用。比如某些企业内网、校园网，需要靠DNS解析内部域名。你开了加密DNS，反而访问不了内部系统。还有家长控制功能，很多是靠DNS过滤实现的，加密之后可能失效。所以开之前，先想清楚自己的网络环境。

至于选哪个服务商，别迷信大厂。Cloudflare快，但国内访问偶尔抽风。阿里DNS国内稳，但隐私政策你得自己掂量。我目前用NextDNS，可以自定义过滤规则，还能看查询日志。免费额度够个人用。当然，你要是懒得折腾，直接路由器里填个1.1.1.1也行，比默认的强。

最后说个真事。我朋友做外贸，有次客户说打不开他网站。他查了半天，发现是客户那边运营商DNS污染，把域名解析到了一个黑洞IP。他让客户换了个DNS，立马正常。你看，DNS劫持不一定是恶意攻击，有时候就是运营商偷懒或者配置错误。但后果一样：你访问不了该访问的东西。

所以回到标题那个问题。DNS有可能被劫持吗？太可能了。要不要开防护？开比不开强。但别以为开了就进了保险箱。网络这摊水，深着呢。自己多留个心眼，比啥都强。