上周三晚上十一点，被变我第三次把路由器的劫持DNS从运营商默认地址改成114.114.114.114。改完测速正常，改完网页秒开。后又第二天早上八点，被变电脑右下角又弹出“DNS服务器无响应”的劫持黄色三角。

这不是改完路由器固件的问题。我刷过OpenWrt，后又换过三个牌子的被变路由器，甚至把光猫桥接后直接用电脑拨号。劫持只要经过运营商那台光猫，改完DNS就必然被改回去。后又后来抓包才发现，被变光猫在PPPoE拨号成功后，劫持会通过TR-069协议从局端下发配置，改完里面强制指定了DNS地址。你手动改的，它过几小时就给你覆盖掉。

这事比想象中普遍。我住的小区用同一家宽带，邻居老周也遇到过。他打客服电话，对方说“您别改DNS就行了”。老周反问：“那为什么我上某些网站会跳转到带广告的导航页？”客服沉默几秒，说帮您刷新一下端口。刷新完好了两天，又回去了。

DNS劫持分两种。一种是运营商级的，在骨干网层面做透明代理，把你请求的域名解析到自己的缓存服务器。这种你改本地DNS没用，因为UDP 53端口的查询会被中间设备截获。另一种是光猫或路由器固件里预置的，你改完它定时同步。我遇到的是后者，但很多用户遇到的是前者——你改成8.8.8.8，查询照样被劫持到运营商的服务器。

怎么判断是哪种？有个土办法。在电脑上打开cmd，输入nslookup www.baidu.com 8.8.8.8。如果返回的IP地址和你用运营商DNS查出来的一样，而且明显不是百度的真实IP，那就是骨干网劫持。如果返回正常，但过几小时又变回去，那就是光猫在搞鬼。

对付光猫这种，改DNS没用。你得进光猫超级管理员后台，找到TR-069配置页面，把“周期上报”关掉，或者直接删掉ACS服务器的URL。不同光猫超级密码不一样，电信一般是telecomadmin加一串数字，移动是CMCCAdmin。进去之后别乱动其他参数，只改TR-069。改完重启光猫，DNS就不会被覆盖了。

但如果是骨干网劫持，上面这招白搭。你得用DNS over HTTPS或者DNS over TLS。Firefox和Chrome都支持，在设置里开启“安全DNS”，填https://dns.alidns.com/dns-query或者https://doh.pub/dns-query。这样DNS查询走443端口加密，中间设备看不到内容，也就没法劫持。缺点是延迟比UDP 53高一点，日常用感觉不出来。

我最后把光猫TR-069关了，路由器DNS设成阿里云的DoH地址。到现在两周没再变过。老周懒得折腾，直接装了个火绒，里面有个“DNS保护”功能，原理也是DoH。他说够用了。

有个细节值得说。运营商为什么执着于改你DNS？除了缓存加速，还有广告分成。有些地方宽带把未知域名解析到自己的广告页，你输错网址就弹一堆推广。这生意一年能挣不少。你改DNS，等于断人财路，它当然要给你改回去。

所以别指望改一次就一劳永逸。要么进光猫关TR-069，要么上DoH。两个都做，基本就稳了。