防止域名劫持需三层面协同设防：DNS服务商侧锁死解析权限、部署DNSSEC验证真实性、Web服务器层拦截非法域名访问，并加固系统与网络解析通道。
防止域名劫持不能只靠某一项配置，关键在于从DNS解析链路、注册管理、Web服务响应三个层面协同设防。核心思路是：让攻击者改不了记录、即使改了也用不上、就算用上了也进不到你的内容。
一、在DNS服务商侧锁死解析权限
这是第一道也是最有效的防线。绝大多数劫持事件源于注册商或DNS平台账号失守或配置开放：
- 启用DNS区域锁定（Zone Lock），例如Cloudflare或阿里云DNS中开启该功能，限制仅白名单IP可修改记录；
- 所有DNS记录（A/AAAA/CNAME/MX等）只允许添加你业务实际需要的条目，删除测试用、过期或冗余记录；
- 禁用未授权的区域传输（AXFR），BIND等自建DNS需配置
allow-transfer {指定IP;};，避免攻击者一键导出全部解析数据； - 为DNS服务商账号强制开启双因素认证（2FA），优先使用硬件密钥或TOTP验证器，禁用纯短信验证；
- 设置DNS变更实时告警，邮件+钉钉/企业微信双通道推送，确保异常操作5分钟内可响应。
二、部署DNSSEC验证解析真实性
DNSSEC不是“加密DNS”，而是给每条DNS响应加数字签名，让客户端能验证返回结果是否被篡改。它不防账户被盗，但能彻底阻断缓存投毒和中间人伪造：
- 在域名注册商后台启用DNSSEC，生成DS记录并提交至顶级域注册局（如Verisign负责.com）；
- 权威DNS服务器（如BIND、PowerDNS、Cloudflare）需配置KSK/ZSK密钥对，并对区域文件签名；
- 验证是否生效：
dig +dnssec example.com查看响应头是否有AD（Authenticated Data）标志； - 注意：客户端和递归DNS（如1.1.1.1、8.8.8.8）也需支持DNSSEC验证，否则签名无效；
- 定期轮换ZSK密钥（建议90天），KSK密钥按年更新，避免密钥长期暴露风险。
三、Web服务器层拦截恶意域名访问
即使DNS被劫持，指向你服务器IP的非法域名也不该返回内容。Nginx/Apache必须主动识别并拒绝：
- Nginx中配置
server_name仅列出合法域名，如server_name example.com www.example.com;； - 添加默认server块，捕获所有未匹配域名并返回444（直接关闭连接）或403：
server { listen 80 default_server; server_name _; return 444; }； - 若使用HTTPS，确保每个
server块绑定对应证书，避免SNI不匹配导致泛解析泄露； - CDN用户（如Cloudflare、阿里云全站加速）应在控制台开启“仅代理已添加域名”模式，拒绝未备案/未接入域名的流量回源。
四、系统与网络层加固解析通道
防止本地解析过程被污染，切断攻击者在操作系统或网络设备上做手脚的路径：
- 服务器系统启用DoT（DNS over TLS）或DoH（DNS over HTTPS），例如Linux下配置
/etc/systemd/resolved.conf开启DNSOverTLS=yes，指定可信服务器（1.1.1.1、9.9.9.9）； - 禁用路由器或终端上的DNS劫持高危功能，如UPnP自动端口映射、远程管理、WAN口DNS重定向；
- 防火墙限制Nginx进程仅能向预设后端IP段发起连接（如iptables限制outbound目标IP），防止proxy_pass误连恶意地址；
- 禁用Nginx的
resolver指令配合变量动态解析（如proxy_pass http://$host），改用静态IP或启动时解析的固定域名，规避CVE-2021-23017类漏洞。
