路由器后台的局域劫持DNS设置被改成了192.168.1.1，而那个地址根本没有DNS服务在跑。局域劫持这是局域劫持上周朋友发来的一张截图，他家所有设备突然打不开网页，局域劫持但微信照常收发消息。局域劫持典型的局域劫持局域网DNS劫持——攻击者没碰运营商，也没动公网DNS，局域劫持直接在局域网内部把解析请求截走了。局域劫持

这事比想象中常见。局域劫持很多人以为DNS劫持是局域劫持运营商干的，或者要攻破什么根服务器。局域劫持实际在局域网里，局域劫持一台没改默认密码的局域劫持路由器、一个蹭网的局域劫持陌生设备、甚至某个员工私接的局域劫持小路由器，都能成为劫持源头。攻击成本低到离谱。

劫持怎么发生的

局域网DNS劫持的核心是冒充网关或DNS服务器。设备联网时通常自动获取DNS地址，这个地址由DHCP服务下发。如果攻击者能控制DHCP，或者直接ARP欺骗告诉别人“我就是网关”，那所有DNS查询都会先经过他。

具体手法有几种。最粗暴的是改路由器DNS设置——登录后台，把DNS服务器改成恶意IP。我见过一个案例，某小公司路由器密码还是admin/admin，被人进去把DNS指向了一个境外服务器，结果所有员工访问银行网站时跳转到钓鱼页面。另一种是ARP欺骗，攻击者持续发送伪造的ARP响应，让局域网内设备以为攻击者的MAC地址就是网关的。DNS查询发过去，攻击者返回一个假IP，浏览器就奔着假网站去了。

还有更隐蔽的：DNS缓存投毒。攻击者向局域网DNS服务器发送伪造响应，把错误记录塞进缓存。之后所有查询这个域名的设备都会拿到假地址，直到缓存过期。这种手法不需要持续欺骗，一次投毒就能影响一片。

怎么判断中招了

几个明显信号。网页打不开但QQ微信正常——因为即时通讯软件常用IP直连或自有协议，不依赖DNS。或者访问某些网站时跳转到奇怪页面，地址栏域名没变但内容完全不对。再或者，nslookup一个常用域名，返回的IP明显不对，比如解析百度返回了个192.168开头的内网地址。

有个简单测试：手动把设备DNS改成8.8.8.8或114.114.114.114，如果问题消失，说明局域网DNS有问题。但注意，有些劫持会拦截发往外部的DNS查询，改DNS也不一定管用。

防住其实不难

路由器管理密码必须改，别用默认的。WPA2/WPA3加密，别开WPS。如果路由器支持，开启DNS over HTTPS或DNS over TLS，查询内容加密后，局域网里谁也改不了。再狠一点，在路由器上做静态ARP绑定，把网关和设备MAC绑死，ARP欺骗就失效了。

企业环境更要注意。划分VLAN，隔离访客网络和内部网络。部署DNSSEC验证，虽然配置麻烦但能防缓存投毒。监控DNS查询日志，发现异常域名解析立刻排查。

我个人习惯是家里路由器刷了OpenWrt，强制所有DNS查询走DoH，同时开了ARP防护。不是信不过运营商，是信不过局域网里可能出现的任何陌生设备。毕竟现在智能家居一堆，谁知道哪个摄像头固件里藏着什么。

DNS劫持这事，技术门槛低，但危害直接。轻则广告弹窗，重则账号密码被钓。局域网不是保险箱，该做的防护一样不能少。