[!info] related notes

• 所属 MOC: DNS 知识地图
• 攻击技术: DNS 劫持攻防
• 地理调度: GeoDNS / Split DNS
• 加密防护: DoH / DoT
• 汇总: 为什么同一域名返回不同 IP

DNS 过滤/劫持/污染

一句话定义

「同一个域名返回不同 IP」不一定来自权威侧调度——也可能来自链路上的过滤、劫持或污染：中间设备改写了 DNS 答案，或把查询重定向到别处。

核心机制 / 工作原理

差异可能来自：

• ISP DNS 修改：合规/审查/广告拦截，返回拦截页 IP 或 NXDOMAIN
• 路由器安全过滤 / 家长控制：家庭路由把某些域名解析到黑洞
• 企业 DNS 策略：按安全策略重写或拦截
• 广告拦截 DNS（如 Pi-hole）：把广告域名解析到本地无效地址
• VPN / 代理软件内部规则：代理客户端按规则改写或直连
• 恶意或错误的中间设备：投毒、配置错误
• UDP 53 透明重定向：网络把所有 53 流量悄悄转到自己的解析器

最小例子 / 最小场景

nslookup example.com 8.8.8.8

你以为查的是 8.8.8.8，但若网络对 UDP 53 做了透明重定向，包根本没到 Google——返回的可能是运营商过滤结果。这正是「指定公共 DNS 仍得不到真答案」的常见原因。

边界与易混淆点

• 透明重定向让「指定 Server」失效：普通 UDP/TCP DNS 测试不能完全排除被处理；用经证书验证的 DoH/DoT 更能验证解析器身份（见 dns-over-https-doh、dns-over-tls-dot）。
• 与 GeoDNS 的区别：GeoDNS 是权威按规则主动返回不同答案；过滤/劫持是中间设备改写/替换了答案，来源常不可见。
• 浏览器自带 DoH、应用内置 DoT/DoQ、Android Private DNS 都可能绕过普通 53 重定向（见 browser-secure-dns、proxy-and-dns-separation）。
• 这是「为什么不同环境结果不同」的重要一类原因，汇总见 why-same-domain-different-ip。
• 攻击视角的 ARP/DNS 欺骗技术单独记在 DNS 劫持攻防。