求助，疑似成都电信劫持公共 DNS，并且无法解析大量国外.org /.net /.co /.com.xx 等域名

[tracedocting]

最近换了电信 100M 宽带(座标成都)，然而近两天突然出现一些[非常用]的网站 DNS 无法解析，特别是国外的网站，根本无法访问，实在是很苦恼。排除墙的原因后(挂 Surge)，发现这些都是查询 DNS 无结果。后来换成各个公共 DNS(8.8.8.8 、 114.114.114.114 、 119.29.29.29 、 223.5.5.5)也是同样的情况。

例如查询某 V 友的小站 com.com.sb (这域名实在好记😂)

使用四川电信自己的 DNS(61.139.2.69)查询，返回 SERVFAIL ，然后空记录，清空 DNS 缓存后，改为 119.29.29.29 查询，同样的结果。

http://i.imgur.com/UbIwToU.jpg

但是用 OpenDNS 的 5353 端口查询，又一切正常……

http://i.imgur.com/GmbJoEL.jpg

后来又用 114DNS 提供的 weather114 验证 ISP 是否劫持 114DNS 到自己的 DNS ， dig whether.114dns.com @114.114.114.114

第一次返回 SERVFAIL ，第二次返回 127.0.0.1 (114.114.115.115 同样)

http://i.imgur.com/lYboTV4.jpg

似乎是电信劫持了各家公共 DNS ，但是之前只听过移动这么干……要真是这样，他自己的 DNS 好用就算了，关键是各种空包返回 NXDOMAIN ……太难用了。

但是 trace Google Public DNS 的路由，似乎看起来又没问题啊……

http://i.imgur.com/xQbQUW0.jpg

所以电信到底有没有劫持 DNS 到自己的 NDS 呢？

我用的是 Mac OS X 10.11.5 ，每次查询前都清空了 DNS 缓存，路由器是电信自带的光猫路由器。

现在这个问题导致很多网站都无法正常访问，实在是很苦恼，所以想请 V2EX 的各位大神帮我看看到底是什么问题？是我自己的设置问题还是电信那边的问题？如果是电信的问题的话，我可以投诉解决吗？那又该怎么做呢？小弟我非 IT 界，可能很多都不太懂，一切都是自己 Google 的，如果有什么不妥还请轻点拍砖。

非常感谢！！！！

[penjianfeng]

成都电信这大半年都是，经常 dns 挂掉，我博客其他地方包括我自己打开好好的，结果成都其他地区的 pc 就 dns 错误，我已经无力吐槽了

[kosenpai]

成都电信， 119.29.29.29 ，解析没有问题。不过我是公网 ip 。

[tracedocting]

@kosenpai 可以试试 cocomy.net 这个域名吗？能正常解析吗？

难道真是内网 IP 的锅……

[raysonx]

楼主开 Wireshark 抓包对比一下 TTL 是否正常。
怀疑楼主的运营商劫持了 53 端口到自己的服务器，故意劣化质量。

[tracedocting]

@raysonx

不会用抓包呢，
直接 ping 114.114.114.114 ， TTL 一直在变动，这是正常的吗？

[kosenpai]

@tracedocting

可以的，没有问题

; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6 <<>> cocomy.net @119.29.29.29
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61500
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;cocomy.net. IN A

;; ANSWER SECTION:
cocomy.net. 99 IN A 104.25.87.23
cocomy.net. 99 IN A 104.25.86.23

;; Query time: 36 msec
;; SERVER: 119.29.29.29#53(119.29.29.29)
;; WHEN: Wed Jul 6 17:41:52 2016
;; MSG SIZE rcvd: 60

[tracedocting]

@kosenpai 马上打电话去申请公网 IP ……

[fordoo]

好像是电信 DNS 服务器的问题

[root@Anime ~]# nslookup com.com.sb 114.114.114.114
Server: 114.114.114.114
Address: 114.114.114.114#53

Non-authoritative answer:
Name: com.com.sb
Address: 162.159.209.10
Name: com.com.sb
Address: 162.159.208.10

[root@Anime ~]# nslookup com.com.sb 61.139.2.69
Server: 61.139.2.69
Address: 61.139.2.69#53

** server can't find com.com.sb: SERVFAIL

[root@Anime ~]# nslookup com.com.sb 119.29.29.29
Server: 119.29.29.29
Address: 119.29.29.29#53

Non-authoritative answer:
Name: com.com.sb
Address: 162.159.208.10
Name: com.com.sb
Address: 162.159.209.10

[tracedocting]

@fordoo 感谢，

看来真的是电信劫持了 53 端口的所有 DNS 请求到自己的 DNS ，偏偏自己的 DNS 又烂得不行……

[kosenpai]

@fordoo 61.139.2.69 解析国外域名很早以前就变成这个鬼样子了。基本没法用。

[hard2reg]

感谢楼主让我知道了一个有趣的网站~~

[tracedocting]

@hard2reg

哈哈哈，哪个网站啊？

[suliuyes]

有时候好有时候坏。完美解决方案是啥？

[dili]

com.com.sb 打开好慢，原来源站在国外啊
http://www.wangsutong.com/wstCeba/dns/dns-test!result.action?id=7ff201f92a714d919e2a41c850eab8f7

[withlqs]

后来提供的那几个网站，除了 bbc.io 之外都可以解析。

然后 bbc.io 挂上代理也不能解析出来。

ping.chinaz.com 和 ipip.net 的海外节点也解析不出来。

所以是不是 bbc.io 这个域名本身没做 DNS 解析？

[hard2reg]

@tracedocting com.com.sb

[zealic]

61.139.2.69 一直都抽，最扯淡的是解析 .tv 域名有问题，早就弃用了

[tracedocting]

@zealic 现在麻烦的是想用其他 DNS 也用不了……

[linescape]

ping 和 tracert 都是没有意义的，因为只有 53 端口才会被劫持，好用的测试方法是，找个不存在 dns 服务器的 IP ，然后 nslookup 查询
例如： nslookup www.baidu.com 12.34.56.78 如果这也返回了正常的解析结果，则铁定是 dns 劫持无误了

[tracedocting]

@linescape

$ nslookup www.baidu.com 12.34.56.78
Server: 12.34.56.78
Address: 12.34.56.78#53

Non-authoritative answer:
www.baidu.com canonical name = www.a.shifen.com.
Name: www.a.shifen.com
Address: 180.97.33.107
Name: www.a.shifen.com
Address: 180.97.33.108

嗯，真的中招了，请问有解决办法吗？投诉电信，让他们把我添加到白名单？还是申请公网 IP ，听其他有公网 ip 同是成都电信的 v 友反应，他们的 dns 正常……