有没有办法，即能对抗 DNS 投毒，又能不掉响应速度？

[abcbuzhiming]

这两天反复的为住处的网络问题折腾，之前以为是 ipv6 线路问题，等把 ipv6 停掉了，才发现原来我们这本地运营商的 ipv4 DNS，也开始投毒，具体的讲就是某些域名它给你返回 127.0.0.1 。。。这还不是什么特殊网站，只是微软家的一个短地址解析服务，导致 VS 不能更新，给工作带来了极大困扰。

不得已我终于开始上诸如 simple-dnscrypt 这样的 DNS 解析软件，但是我发现上了这类软件后产生了新的问题，首先就是这类软件为了保证效果，是要求你的 DNS 解析都从它这里走，也就是说，适配器里自定义 DNS 必须是 127.0.0.1 。这确实有效的对抗了 DNS 干扰，但是带来一个副作用就是访问网站（尤其是国内网站）的响应和加载速度大大降低。因为以前这些国内网站走运营商 DNS 查询速度是很快的，而现在走 simple-dnscrypt 的话，查询 dns 的结果的延迟可以达到秒级别；还有一个完全没法忍的问题是，走 simple-dnscrypt 的话，国内很多网站的 CDN 加速，就工作不正常了，可以明显的看到浏览器不是访问的最快的 CDN 服务，就导致这类网站的静态资源加载速度比用运营商 DNS 时慢的不止一点。放狗查了一下发现还真有描述这个现象的文章：叫使用公共 DNS 必须付出的代价之一，就是这个 CDN 失效问题，因为公共 DNS 不一定能让 CDN 识别你的请求来源。

我该咋办了呢？是不是我的使用姿势不太对。感觉这年头上个网还真折腾。

[ericbize]

@cwbsw 一直都支持啊

在防火墙，直接 dnat udp 53， 然后规则加 7 层协议就可以了

[Alwaysonline]

国内 223.5.5.5
国外强制走 8.8.8.8

[txydhr]

@abcbuzhiming gfwlist 呀，没被封的域名走运营商 dns，被封的走特殊渠道

[justin2018]

NextDNS.io

[no1xsyzy]

“若投毒则返回 127.0.0.1”是稳定现象吗？是的话应该可以在本机上建一个 SNI proxy……
反正解析到 127.0.0.1 也可以被 SNI proxy 正确重定向 TCP 流量。

或者写个 DNS 服务器，遇到 127.0.0.1 的时候走其他路线重新来。

[openbsd]

最近投毒有点厉害，是某种攻击吗 ？
电信自家的 DNS，好几次连百度都打不开

[yyysuo]

分流+过期缓存

[systemcall]

@openbsd 以前在长城宽带上见过
是想跳转到别的网站，再给本来要访问的网站加上自己的返利链接。如果你的电脑上面很多广告软件，应该是可以成功跳转的。黑吃黑而已。普通用户，就要用到 OpenWRT+ChinaDNS

[z888888cn]

以前 GoAgent 里自带的 dns server 分流就很好用。

[z888888cn]

推荐
DNS2SOCKS 、pdnsd-TCP

[fengxing]

推荐使用 Pcap_DNSProxy，虽然作者删库跑路了，但是可以去下载别人 fork 的内容，我感觉这个是最好用的。
这个虽然能安装即用，但是有非常非常非常丰富的可设置内容，具体的可以看文档。

[onion83]

smatdns 或 dnsmaq 做黑名单分流

[brMu]

阿里云的 DoH+smartdns

[jiub]

本地 dns

[FlyingShark]

其实 360 的 DOH 服务还行，我知道你们看不上，真的还行
https://dns.360.cn/dnsPublic.html#course

[465456]

@IDAEngine 广州电信没有劫持 DNS 加速

[IDAEngine]

@465456 有劫持 53 端口到附近的电信 服务器，你 tracker 一下 53 端口的微博 udp 流量就知道了

[465456]

@IDAEngine https://i.loli.net/2020/12/21/mW82ptBsEkgYbXI.png
https://i.loli.net/2020/12/21/9c36YMzpB2H5RUi.png
https://i.loli.net/2020/12/21/Q32zlH4jn67vIJe.png
没看到微博有劫持，google 就有