ISPがDNSを乗っ取り、偽のIPアドレスを返していた
So my ISP was hijacking my DNS
自宅ラボのコンテナから外部サイトに接続できない原因を調べたところ、平文DNSではISPのIPアドレスが返り、CloudflareのDoHでは正しいIPが返ることが判明。ISPによるDNS改ざんが明らかになった。Unboundの自己ホストやDNSSECでは防げない理由、DoH/DoTの限界、AdGuardとdnscrypt-proxyを組み合わせた実際の対策構成まで解説する。
最初のDNS解決で得たIPアドレスの所有者を調べたところ、なんとそれは自分のISPだった。そのとき、ISPがDNSクエリを乗っ取り、改ざんされたIPアドレスを返していることに気づいた。
HNでの議論
37- simonjgreen
この記事は、ISPがなぜこのようなことをするのか、あるいは（少なくとも法律の目から見れば）正当な理由がある可能性についての議論を飛ばしている点に留意してほしい。
多くの国々の多くのISPは、年齢制限、検閲、監視など、それぞれの国家から課される特定の執行措置のために、これを強いられている。国によって異なる。
そして明確にしておくが、これは決してこの慣行を支持するものではなく、ISPが進んでこれをやりたいと思っているわけではないと確信している。
私は英国のISPのオーナーとして話している（現在はこれをやっていない）。
- Terr_
ほとんどすべてのものがあなたをハッキングしようとしたり、敵対的な行為者の干渉と区別がつかないようなことをしたりする未来が怖い。
答えは技術ではなく政治だと思う。十分な人数を集めてそれに対するルールを作れば、少なくともニッチなものになるだろう。
- daitangio
Telecom Italiaは私のDNSサーバーをロックしている（変更できない）。
私はDHCPとしてPIHoleを使い、家庭内のデバイスをPIHoleに向けて、プライバシーをコントロールするに至った。
コツは簡単だ。ルーターのDHCPを無効にし、PIHoleで有効にする。
おまけに、私のRaspberryPI2上のPIHoleはプロバイダのルーターの小さなチップよりもずっと速く、unattended upgradesで自動的にパッチを当てられる。
- jwrallie
私の職場もDNSをいじっている。おそらく特定のウェブサイトをフィルタリングするためで、私の利用状況の文脈では完全に公正なので気にはしない。
しかし、彼らのDNS応答には数分ごとに1〜2秒のレイテンシスパイクがあり、それが私を狂わせていた。FirefoxでDNS over HTTPSを有効にしただけで、今はすべてがとてもスムーズに感じる。
同僚たちがなぜこれに鈍感なのか、私にはまったくわからない。
- jfyi
別に新しいことでもない。
あとちなみに、これは「DNSハイジャック」ではなく「ドメインヘルパー」だ。参照: https://feross.org/shame-on-you-comcast/