我的ISP正在劫持DNS查询

So my ISP was hijacking my DNS

在一个普通的周六下午，我排查Podman容器连接外部站点失败的问题时，意外发现ISP正在劫持我的DNS查询。当我使用Google DNS或Cloudflare的普通DNS服务时，返回的IP地址竟然属于我的ISP，而通过Cloudflare的DoH端点查询却得到了正确的IP。这让我意识到，传统的明文DNS协议让ISP能够轻易窥探甚至篡改流量。很多人误以为自建Unbound或启用DNSSEC就能高枕无忧，但实际上，只要查询过程未加密，ISP依然可以动手脚。DoH和DoT虽然能加密传输，但前提是你要信任上游DNS解析器。最终，我采用了AdGuard配合dnscrypt-proxy的方案，并为关键容器配置了Cloudflare作为备用解析器，确保DNS查询既加密又可靠。