የራውተር ዲ ኤን ኤስ ጠለፋ፣ አጭበርባሪ DHCP አገልጋዮች እና የተመሰጠረ ዲ ኤን ኤስ (DoH/DoT) መልሶ ማግኛ¶

እንደ ድህረ ገጽ አድራሻ በምትተይብ ቁጥር chase.com, google.com, ወይም apple.com ወደ አሳሽዎ ውስጥ ፣ መሳሪያዎ ** የጎራ ስም ስርዓት ይጠይቃል (DNSፈታኝ** ያንን በሰው ሊነበብ የሚችል ስም ወደ ቁጥር አይፒ አድራሻ ለመተርጎም (142.250.190.46). አንድ አጥቂ በቤትዎ ወይም በቢሮዎ ውስጥ ያለውን የWi-Fi ራውተር ዋና እና ሁለተኛ ደረጃ የዲ ኤን ኤስ አገልጋይ ቅንብሮችን በጸጥታ ከቀየረ፣ በአካባቢዎ አውታረ መረብ ላይ አጭበርባሪ DHCP አገልጋይ ቢያሽከረክር፣ የኮምፒዩተራችሁን ድብቅ ቀይር **hosts ፋይል ***፣ ወይም ጥያቄዎችዎን በሆቴል ወይም በኤርፖርት አውታረመረብ ላይ ያጠለፈ፣ የበይነመረብዎን የስልክ ማውጫ ይቆጣጠራሉ። የባንክዎ፣ የኢሜል አቅራቢዎ ወይም የሶፍትዌር ማሻሻያ አገልጋይዎ ትክክለኛ፣ በትክክል የተፃፈ ዩአርኤል ሲተይቡ እንኳን በአድራሻ አሞሌ፣ የተጠለፈ የዲ ኤን ኤስ አገልጋይ (DNSChanger, ghostDNS, ZuoRAT, ወይም የአካባቢ dnsmasq spoofer) ግንኙነትዎን ወደ ተንኮል-አዘል መሰል አገልጋይ ያደርሳል፣ የጸረ-ቫይረስ ሶፍትዌርዎን የማስፈራሪያ ትርጉሞችን እንዳያወርዱ ወይም የመረጃ መረጃ ሰጭ ትሮጃንን የሚጭን የውሸት "ራውተር ፈርምዌር ዝመና / Chrome Critical Update" ብቅ ባይ ያሳያል።

ድንገተኛ ችላ አትበል NET::ERR_CERT_AUTHORITY_INVALID ማስጠንቀቂያዎች፣ ያልተጠበቁ "ወደ Wi-Fi አውታረ መረብ ይግቡ" በራስዎ የቤት ዋይ ፋይ ላይ የታሰሩ ፖርታል ብቅ-ባዮች፣ ወይም ዋና ዋና ድረ-ገጾችን ሲጎበኙ የአሳሽ አቅጣጫ ይቀይራል። አሁን የተመደበው የዲ ኤን ኤስ አገልጋይ ከታመነ ኢንክሪፕት ካደረገ መፍትሄ ሰጪ ጋር በማወዳደር (1.1.1.1, 8.8.8.8, ወይም 9.9.9.9), የእርስዎን ራውተር WAN እና DHCP መቼቶች ኦዲት ማድረግ፣ የተመረዘ የስርዓተ ክወና እና የአሳሽ ዲ ኤን ኤስ መሸጎጫዎችን በማጽዳት እና ** ዲ ኤን ኤስ-በላይ-ኤችቲቲፒኤስን ማንቃትDoH*** ወይም ** ዲኤንኤስ-በላይ-TLS (DoT***፣ የዲኤንኤስ ጠለፋን ከ10 ደቂቃ ባነሰ ጊዜ ውስጥ ማጥፋት ይችላሉ።

ይህንን አሁን ያድርጉ¶

1. ** በጭራሽ አይጫኑ Advanced -> Proceed to [website] (unsafe) አሳሽዎ በድንገት ከታየ ሀ NET::ERR_CERT_AUTHORITY_INVALID ወይም MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT በዋና ባንክ፣ ኢሜል ወይም የደመና ድር ጣቢያ ላይ ማስጠንቀቂያ።** ዘመናዊ HTTPS (TLS 1.3) እና HTTP ጥብቅ የትራንስፖርት ደህንነት (HSTS) የእርስዎ ዲ ኤን ኤስ ሲጠለፍ የመጨረሻ የመከላከያ መስመርዎ ናቸው፡ የተጠለፈው ዲ ኤን ኤስ አገልጋይ አሳሽዎን ወደ አጥቂው አይ ፒ አድራሻ ያቀናል፣ እና አሳሽዎ ውሸቱን ያገኘው የአጥቂው አገልጋይ የጎግል ወይም የቼዝ እውነተኛ ምስጠራ የግል ቁልፍ ስላልያዘ ነው። "ለማንኛውም ቀጥል" ን ጠቅ ማድረግ የይለፍ ቃሎችዎን እና የክፍለ ጊዜ ኩኪዎችን በቀጥታ ለአጥቂው ያቅርቡ።
2. ** በጭራሽ አታውርዱ ወይም ሀ "Browser Update.exe / .dmg" ወይም የWi-Fi WPA2/WPA3 ይለፍ ቃልዎን በቤትዎ ወይም በቢሮዎ ዋይ ፋይ ላይ በድንገት በሚታየው ብቅ ባይ ውስጥ ይፃፉ።** ራውተር ማልዌር በሚጠልፍበት ጊዜ (ghostDNS, Roaming Mantis) የእርስዎን ራውተር WAN/DHCP ዲኤንኤስ አገልጋይ ወደ ወንጀለኛ አይ ፒ አድራሻ ይቀይራል፣ የእሱ #1 ስልቱ እያንዳንዱን የኤችቲቲፒ ገጽ ጭነት ወደ ሀሰት ማዞር ነው "የእርስዎ ጎግል ክሮም/ሳፋሪ/ራውተር ፈርምዌር ጊዜው ያለፈበት ነው" ገጽ ወይም የውሸት የአይኤስፒ መግቢያ መግቢያ።
3. ** 10 ሰከንድ ያሂዱ nslookup ወይም dig የአሁኑ የዲ ኤን ኤስ አገልጋይህ እየዋሸህ እንደሆነ ለማየት አሁን በተርሚናልህ ላይ የንፅፅር ሙከራ አድርግ።** Command Prompt ወይም Terminal ክፈትና አወዳድር። nslookup google.com (በአሁኑ ጊዜ የተመደበውን ራውተር/ኦኤስ ዲኤንኤስ አገልጋይ የሚጠቀመው) በተቃራኒው nslookup google.com 1.1.1.1 (ይህም Cloudflareን በቀጥታ ይጠይቃል)። ነባሪ የዲ ኤን ኤስ አገልጋይህ በሌላ ሀገር ያላዋቀርከው እንግዳ የሆነ የህዝብ አይፒ አድራሻ ከሆነ ወይም ሙሉ ለሙሉ የተለያዩ የውሸት አይፒዎችን ለባንክ/የጸረ-ቫይረስ ጎራዎች የሚመልስ ከሆነ ዲ ኤን ኤስህ ተዘርፏል።
4. የመሳሪያህን የዲ ኤን ኤስ መቼቶች ወደ ኢንክሪፕትድ ዲ ኤን ኤስ ለጊዜው ይሽሩት (DoH / DoT ላይ 1.1.1.1, 9.9.9.9, ወይም 8.8.8.8) ወደ ራውተርዎ ከመግባትዎ በፊት ወይም የይለፍ ቃላትን ከማስጀመርዎ በፊት። ምክንያቱም DNS-over-HTTPS (DoH) ሁሉንም የጎራ ፍለጋዎች በተመሰጠረ ውስጥ ይልካል TLS Port 443 መሿለኪያ በቀጥታ ወደ Cloudflare፣ Quad9 ወይም Google፣ በአሳሽዎ ወይም በስርዓተ ክወናው ውስጥ DoH ን ማብራት ወዲያውኑ የተጠለፈ ራውተር ወይም አጭበርባሪ የአይኤስፒ ፈላጊን ያሳውራል ስለዚህ እውነተኛ ድረ-ገጾችን በደህና መድረስ እና አውታረ መረብዎን ማጽዳት ይችላሉ።
5. ** በባለገመድ የኤተርኔት ገመድ ወደ ቤትዎ/ቢሮ ራውተርዎ ይግቡ (192.168.1.1 ወይም 192.168.0.1), ሁለቱንም ይፈትሹ WAN / Internet DNS እና LAN DHCP Server DNS መስኮች ፣ እና ወይም የማይታወቁ የህዝብ አይፒ አድራሻዎችን ከያዙ ሃርድዌርን ያከናውኑ 30-second Pin-Hole Factory Reset ወዲያውኑ።** የራውተር ዲ ኤን ኤስ መቼቶችን የሚቀይር ማልዌር ሁል ጊዜ በተጋለጠ ** በኩል ይገባልRemote Web Management (WAN Admin)** ወደብ ፣ አንድ UPnP (Universal Plug and Play) ወደብ ማስተላለፊያ ደንብ፣ ወይም ነባሪ admin/admin የይለፍ ቃል (ይመልከቱ የቤት ራውተሮችን እና አይኦቲ መሳሪያዎችን በመጠበቅ ላይ).
6. ** የኮምፒተርዎን አካባቢያዊ ያረጋግጡ hosts ፋይል እና የተኪ/PAC ቅንብሮች (C:\Windows\System32\drivers\etc\hosts በዊንዶውስ ላይ ወይም /etc/hosts በ macOS/Linux) እና የእርስዎን የስርዓተ ክወና ዲ ኤን ኤስ መሸጎጫ ያጥፉ።** የእርስዎ ራውተር መቶ በመቶ ንፁህ ቢሆንም፣ በአንድ ፒሲ ወይም ማክ ላይ ያሉ የሀገር ውስጥ አድዌር ወይም ትሮጃኖች የአይፒ አድራሻዎችን ወደ ውስጥ በማስገባት የዲ ኤን ኤስ ጥራትን በአገር ውስጥ ሊሽሩት ይችላሉ። hosts አጭበርባሪ ፋይል ያድርጉ ወይም ያቀናብሩ ** ራስ-ሰር የተኪ ውቅር (PAC) URL** በዊንዶውስ የኢንተርኔት አማራጮች ውስጥ።

flowchart TD
    A["የተጠረጠረ ዲ ኤን ኤስ ጠለፋ፡ የእውቅና ማረጋገጫ ማስጠንቀቂያዎች፣ የውሸት ዝመና ብቅ-ባዮች ወይም የተሳሳቱ ጣቢያዎችን በመጫን ላይ"] --> B["1. የተመረዘ መፍትሄን ለማለፍ ኢንክሪፕትድ ዲ ኤን ኤስ (DoH) በአሳሽ/ኦኤስ ላይ ወዲያውኑ ያንቁ"]
    B --> C["2. Terminal Diagnosticን ያሂዱ፡ 'nslookup example.com' vs 'nslookup example.com 1.1.1.1' ያወዳድሩ።"]
    C --> D{"በWi-Fi ላይ ያሉ ሁሉም መሳሪያዎች ተጎድተዋል ወይስ አንድ የተወሰነ ኮምፒውተር/ስልክ ብቻ?"}
    D -->|"በWi-Fi ላይ ያሉ ሁሉም መሳሪያዎች ተጎድተዋል።"| E["ራውተር WAN/DHCP Hijack ወይም Rogue DHCP አገልጋይ በLAN ላይ"]
    E --> F["ነባሪ ጌትዌይን እና DHCP አገልጋይ IP ('ipconfig /all') ያረጋግጡ። የማያውቁት MAC/IP -> Rogue Deviceን ያገልሉ"]
    E --> G["የሃርድዌር ፋብሪካን ዳግም ማስጀመር ራውተር -> Firmware ን አዘምን -> WAN Admin እና UPnPን አሰናክል -> ራውተር ዲ ኤን ኤስን ወደ 1.1.1.1 / 9.9.9.9 ያቀናብሩ"]
    D -->|"አንድ ኮምፒውተር ወይም ስልክ ብቻ ነው የተጎዳው።"| H["የአካባቢ መሳሪያ ጠለፋ፡ የአውታረ መረብ አስማሚ የማይንቀሳቀስ ዲ ኤን ኤስ፣ የአስተናጋጆች ፋይል፣ ተኪ/PAC ስክሪፕት እና የአሳሽ ቅጥያዎችን መርምር"]
    H --> I["'/etc/hosts' ወይም 'C:\\ Windows\\System32\\ drivers \\ etc \\ hosts'ን ያፅዱ፣ rogue Root Certsን ያስወግዱ እና የዲ ኤን ኤስ መሸጎጫ ያጥቡ"]

የምርመራ ማትሪክስ፡- ዲ ኤን ኤስ እና የአውታረ መረብ ማዘዋወር የሚጠለፍባቸው 5 ንብርብሮች¶

የጎራ ስም ለተሳሳተ አገልጋይ ሲፈታ፣ ጠለፋው በመፍታት ሰንሰለቱ ውስጥ ካሉት ከአምስቱ የተለያዩ ቴክኒካል ንብርብሮች በአንዱ ላይ ነው። የትኛው ንብርብር እንደተበላሸ ለማወቅ ይህንን ሰንጠረዥ ይጠቀሙ፡-

ደረጃ 1፡ የ60-ሁለተኛው የትእዛዝ መስመር ዲ ኤን ኤስ እና የDHCP ፎረንሲክ ኦዲት¶

ማንኛውንም ነገር ዳግም ከማቀናበርዎ በፊት በኮምፒተርዎ ላይ ተርሚናል ይክፈቱ እና እነዚህን ትክክለኛ ተነባቢ-ብቻ ትዕዛዞችን ያስኪዱ የዲኤንኤስ አገልጋዮች እና የዲኤችሲፒ አገልጋይ ማሽንዎ በአሁኑ ጊዜ እየተጠቀመበት ያለውን መረጃ ለመያዝ።

1. ዊንዶውስ 10 እና ዊንዶውስ 11Command Prompt ወይም PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• ** የደረጃ 1 ውፅዓት እንዴት እንደሚነበብipconfig /all::**
• ይመልከቱ DNS Servers. በተለምዶ ይህ የእርስዎን የቤት ራውተር የግል LAN IP ያሳያል (192.168.1.1, 192.168.0.1, 10.0.0.1, እርስዎ ሆን ብለው ያዘጋጁት ታዋቂ የህዝብ መፍትሄ ሰጪ (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), ወይም የእርስዎ እውነተኛ የብሮድባንድ አይኤስፒ ክልላዊ ዲ ኤን ኤስ አገልጋዮች (የማታውቀውን IP በ ** ያረጋግጡhttps://bgp.he.net** ወይም whois: አይፒው ከርስዎ አይኤስፒ ይልቅ በሌላ አገር ውስጥ ያለ ጥይት የማይበክል የቪፒኤስ ማስተናገጃ አቅራቢ ከሆነ፣ የእርስዎ ዲ ኤን ኤስ ተመርዟል።
• ይመልከቱ DHCP Server vs Default Gateway. በ99 በመቶ የቤት ኔትወርኮች፣ እ.ኤ.አ DHCP Server አይፒ እና Default Gateway አይፒው ** ተመሳሳይ** መሆን አለበት (ለምሳሌ፣ ሁለቱም 192.168.1.1). የተለዩ ከሆኑ (እና እርስዎ የፒ-ሆል ወይም የዊንዶውስ አገልጋይ ዶሜይን መቆጣጠሪያን በግል ካልገነቡ) በአካባቢዎ አውታረመረብ ላይ አጭበርባሪ DHCP አገልጋይ አለዎት።

2. ማክሮ እና ሊኑክስ (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. በአከባቢዎ አውታረ መረብ ላይ የሮግ DHCP አገልጋይን ማደን እና ማግለል።¶

ቢሆንስ? ipconfig /all (ወይም ip route / networksetup -getinfo Wi-Fi) ኮምፒውተርህ የአይፒ ሊዝ እና የዲኤንኤስ ቅንጅቶችን ከማይታወቅ የአካባቢ አይፒ አድራሻ እንደተቀበለ ያሳያል 192.168.1.142 ከእውነተኛው ራውተርዎ ይልቅ (192.168.1.1)? 1. ወዲያውኑ ሃርድዌሩን ይለዩ ** MAC አድራሻ (Physical Address*** እና የአጭበርባሪ መሣሪያ አምራች (192.168.1.142) የእርስዎን ARP ሰንጠረዥ በመመርመር፡-

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

ደረጃ 2፡ ለራውተር WAN/DHCP ጠለፋ ደረጃ በደረጃ ማጥፋት¶

በደረጃ 1 ላይ ያደረግከው ኦዲት የWi-Fi ራውተር ተንኮል አዘል ዲ ኤን ኤስ አድራሻዎችን እየሰጠ መሆኑን ካረጋገጠ (ወይም የራውተርዎ ውስጣዊ WAN DNS ተስተካክሏል)፣ በቀላሉ ወደ ራውተር ገብተው ይተይቡ። 1.1.1.1 ወደ ሳጥኑ መመለስ ** በቂ አይደለም ***። በመጀመሪያ አጥቂውን ወደ ራውተርዎ እንዲገባ የፈቀደውን ተጋላጭነት መዝጋት አለቦት፡-

ደረጃ 1፡ በራውተር ላይ የሃርድዌር 30 ሰከንድ የፋብሪካ ዳግም ማስጀመርን ያከናውኑ¶

የዲ ኤን ኤስ መስኩን ብቻ ከማርትዕ ይልቅ ሙሉ የፋብሪካ ዳግም ማስጀመር ለምን አስፈለገ? ምክንያቱም ራውተር ማልዌር (ZuoRAT, VPNFilter, Cyclops Blink, Mirai ተለዋጮች) በተደጋጋሚ ድብቅ ይጨምራል iptables የ NAT ማዘዋወር ህጎች (REDIRECT --to-ports 53), በ ውስጥ ቀጣይነት ያለው ክሮን ሥራ ይጭናል /tmp ወይም NVRAM፣ ወይም የተደበቁ የርቀት SSH/Telnet አስተዳደር መለያዎችን ያነቃል። 1. የራውተሩን WAN/የኢንተርኔት ኢተርኔት ገመድ ያላቅቁ (ከፋይበር ONT ወይም የኬብል ሞደም የሚመጣውን ገመድ) በማዋቀር ላይ እያለ አጥቂው እንደገና መገናኘት አይችልም። 2. ራውተር እንደበራ፣ ሁሉም የፊት ፓነል ኤልኢዲዎች በአንድ ጊዜ ብልጭ ድርግም እስኪሉ ድረስ የተዘጋውን የዳግም ማስጀመሪያ ፒንሆል ቁልፍ ከራውተሩ ጀርባ በወረቀት ክሊፕ ለ ** ከ15 እስከ 30 ሙሉ ሰከንድ ድረስ ይያዙ። 3. ራውተር ወደ ንፁህ የፋብሪካ ሁኔታ እስኪያነሳ ድረስ 3 ደቂቃ ጠብቅ ከዛ ንጹህ ኮምፒተርን በኤተርኔት ገመድ (ወይም በፋብሪካው የዋይ ፋይ ተለጣፊ ማስረጃዎች) ያገናኙ እና ወደ ግባ 192.168.1.1 (ወይም 192.168.0.1).

ደረጃ 2፡ ዲ ኤን ኤስን ለመጥለፍ የሚጠቀሟቸውን 5 ራውተር መቼት አጥቂዎች ቆልፍ¶

የWAN/ኢንተርኔት ገመዱን መልሰው ከመስካትዎ በፊት፣ በራውተርዎ አስተዳደር ኮንሶል ውስጥ እነዚህን አምስት አስገዳጅ መቼቶች ያዋቅሩ (ሙሉ መመሪያችንን በ ላይ ይመልከቱ) የቤት ራውተሮችን እና አይኦቲ መሳሪያዎችን በመጠበቅ ላይ ለጥልቅ ጥንካሬ): 1. ** ልዩ 16+ ቁምፊ ራውተር አስተዳዳሪ ይለፍ ቃል (ከWi-Fi ይለፍ ቃልዎ ጋር አንድ አይነት አይደለም):** የራውተር አስተዳደር መግቢያውን በጭራሽ አይተዉት admin / admin ወይም admin / password. በድር ላይ ያለ እያንዳንዱ የCSRF ዲኤንኤስ-ጠለፋ የብዝበዛ ኪት በአሳሽህ ላይ ተንኮል አዘል ማስታወቂያ ስትጭን ነባሪ ምስክርነቶችን በራስ ሰር ይገምታል። 2. ** አረጋግጥ Remote Management / WAN Administration ጥብቅ ነው። DISABLED: *** ከታች ይመልከቱ Advanced -> Administration -> Remote Management እና ማንም ሰው በይፋዊ በይነመረብ ላይ የራውተርዎን መግቢያ ገጽ ወይም ኤስኤስኤች/ቴሌኔት ወደቦችን ከWAN በኩል መድረስ እንደማይችል ያረጋግጡ። 3. ** አሰናክል UPnP (Universal Plug and Play):** ስር Advanced -> UPnP (ወይም NAT Forwarding -> UPnP)፣UPnP Off ያብሩ። ማልዌር በቤትዎ ውስጥ ያለ ማንኛውም መሳሪያ UPnP ይጠቀማልIGD የሶፕ ጥያቄዎች) ራውተርዎን ያለይለፍ ቃል ወደቦች እንዲከፍት ወይም የ WAN ማስተላለፊያ ደንቦችን እንዲቀይር በጸጥታ ለማዘዝ። 4. ** ሃርድ ኮድ የታመነ፣ ማልዌር የሚያግድ ዲ ኤን ኤስ አገልጋዮችን (IPv4 እና IPv6) በራውተር ላይ፡** ወደ ** በይነመረብ / WAN ማዋቀር -> ዲ ኤን ኤስ አገልጋይ ** (እና ** LAN -> DHCP አገልጋይ ) ይሂዱ እና ከ * በራስ-ሰር ከአይኤስፒ ያግኙ ወደ ** እነዚህን የዲ ኤን ኤስ አገልጋዮች ይጠቀሙ *** ይቀይሩ። * ** Cloudflare (1.1.1.1 for Families - Malware Blocking* ዋና IPv4: 1.1.1.2 | ሁለተኛ ደረጃ IPv4፡ 1.0.0.2 (ወይም መደበኛ ያልተጣራ 1.1.1.1 / 1.0.0.1). IPv6፡ 2606:4700:4700::1112 እና 2606:4700:4700::1002. * ** ኳድ 9 (Malware & Phishing Blocking + DNSSEC*** ዋና IPv4: 9.9.9.9 | ሁለተኛ ደረጃ IPv4፡ 149.112.112.112. IPv6፡ 2620:fe::fe እና 2620:fe::9. * ** ጎግል ይፋዊ ዲ ኤን ኤስ፡** ዋና IPv4፡ 8.8.8.8 | ሁለተኛ ደረጃ IPv4፡ 8.8.4.4. IPv6፡ 2001:4860:4860::8888 እና 2001:4860:4860::8844. 5. ** የ WAN ገመዱን እንደገና ያገናኙ እና ወዲያውኑ የቅርብ ጊዜውን የራውተር ፋየርዌር ዝመናን ይጫኑ፡** የእርስዎ ራውተር ሞዴል አምራቹን ካለፈ የህይወት ፍጻሜ (EoL) ቀን እና ከአሁን በኋላ የደህንነት መጠገኛዎችን አይቀበልም (ተመልከት የዜሮ-ቀን የአደጋ ጊዜ መጠገኛ እና የህይወት መጨረሻ መሣሪያን ማግለል ይጠቀሙ), የታወቁ ያልታሸጉ CVEs ነገ እንደገና ጥቅም ላይ እንዳይውል የራውተር ሃርድዌርን ወዲያውኑ ይተኩ።

ደረጃ 3፡ የተመረዘ የአካባቢ ኮምፒውተር ማጽዳት (Hosts ፋይል፣ አስማሚ ዲ ኤን ኤስ እና መሸጎጫ ፍሰት)¶

ራውተርዎን ካረጋገጡ በኋላ (ወይም አንድ ኮምፒዩተር ብቻ ከተጠለፈ) የአካባቢዎን ኮምፒውተር አውታረ መረብ ቁልል ዳግም ለማስጀመር እና እያንዳንዱን የተሸጎጠ የተመረዘ የዲ ኤን ኤስ መዝገብ ለማፅዳት እነዚህን ትክክለኛ ትእዛዞች ያሂዱ።

1. ዊንዶውስ 10/11 የተሟላ ዲ ኤን ኤስ፣ አስተናጋጆች፣ ዊንሶክ እና አሳሽ መሸጎጫ ዳግም ማስጀመር¶

ክፍት ** የትዕዛዝ ጥያቄ እንደ አስተዳዳሪ** ()Win + X -> Terminal (Admin) / Command Prompt (Admin)) እና ሩጡ:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• ** የእርስዎ ከሆነ C:\Windows\System32\drivers\etc\hosts ፋይሉ ያልተፈቀዱ የማዞሪያ መስመሮችን ይዟል፡** ክፍት ** ማስታወሻ ደብተር እንደ አስተዳዳሪ**፣ ክፈት C:\Windows\System32\drivers\etc\hosts, እያንዳንዱን አስተያየት ያልተሰጠውን መስመር ሰርዝ (ንፁህ ነባሪ ዊንዶውስ hosts ፋይሉ ** ዜሮ *** ንቁ ያልተሰጡ መስመሮች አሉት፣ እና እያንዳንዱ የአስተያየት መስመር የሚጀምረው በ ነው። #), ፋይሉን ያስቀምጡ እና ያሂዱ ipconfig /flushdns.
• ** የRogue Root ሰርተፊኬቶችን ይመልከቱ (certmgr.msc):** አጥቂ ወይም የአካባቢ ማልዌር የውሸት ስር ሰርተፍኬት ባለስልጣን ከጫኑ (CA) የአሳሽ ማስጠንቀቂያ ሳያስነሱ የኤችቲቲፒኤስን ትራፊክ ለመጥለፍ ወደ ኮምፒተርዎ ላይ ይጫኑ Win + R, አይነት certmgr.msc፣ ዘርጋ የታመኑ የስር ሰርተፍኬት ባለስልጣናት -> የምስክር ወረቀቶች፣ በ ደርድር Issued By ወይም Expiration Dateእና የማታውቁትን በራስ የተፈረመ የስር ሰርተፍኬት ሰርዝ።

2. ማክኦኤስ እና ሊኑክስ የተሟላ የዲ ኤን ኤስ ዳግም ማስጀመር እና መሸጎጫ ማፍሰሻ¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. የድር አሳሹን የውስጥ ሶኬት እና ዲ ኤን ኤስ መሸጎጫ ያጥቡ (Chrome, Edge, Brave, Firefox)¶

ወሳኝ ወጥመድ፡ ዘመናዊ የድር አሳሾች የራሳቸውን የተለየ የውስጥ ዲ ኤን ኤስ መሸጎጫ ጠብቀው የ TCP ሶኬት ገንዳን ከፍተው ይቀጥላሉ ipconfig /flushdns. ራውተርዎን ካስተካከሉ እና ከሮጡ በኋላም እንኳ ipconfig /flushdns, Chrome ወይም Edge የአሳሹን ውስጣዊ መሸጎጫ እስኪያጸዱ ድረስ ለሌላ 15 ደቂቃ ወደ አጥቂው አይ ፒ ሊልክዎ ይችላል፡ 1. በChrome፣ Edge ወይም Brave ውስጥ፦ * ዓይነት chrome://net-internals/#dns (ወይም edge://net-internals/#dns) በአድራሻ አሞሌው ውስጥ እና ጠቅ ያድርጉ Clear host cache. * ወዲያውኑ ጠቅ ያድርጉ Sockets በግራ ጎን አሞሌ (chrome://net-internals/#sockets) እና ጠቅ ያድርጉ Flush socket pools (ይህ አሁንም ለአጥቂው አይፒ ክፍት የሆኑ ማንኛቸውም ቋሚ የኤችቲቲፒ/2 ወይም የQUIC ግንኙነቶችን ይገድላል)። 2. ** በሞዚላ ፋየርፎክስ ውስጥ: *** * ዓይነት about:networking#dns በአድራሻ አሞሌው ውስጥ እና ጠቅ ያድርጉ Clear DNS Cache. 3. ** በአፕል ሳፋሪ (ማክኦኤስ እና አይኦኤስ)። * በ macOS ላይ Safari -> ቅንብሮች -> የላቁ ** ን ይክፈቱ፣ ** ያረጋግጡShow features for web developers እና ጠቅ ያድርጉ Develop -> Empty Caches (Opt + Cmd + E), ከዚያ አቁመው Safari ን እንደገና ያስጀምሩ። * በአይፎን ወይም አይፓድ ላይ የአውሮፕላን ሁነታን ለ5 ሰከንድ ያብሩ እና ያጥፉ፣ ይህም iOSን ያስገድዳል mDNSResponder የተቀመጡ የድር ጣቢያ መግቢያዎችዎን ሳይሰርዙ ሁሉንም ተለዋዋጭ ዲ ኤን ኤስ መሸጎጫውን ወዲያውኑ ለማጽዳት።

ደረጃ 4፡ የተመሰጠረ ዲ ኤን ኤስን ማንቃት (DoH / DoT) ስለዚህ የትኛውም ራውተር፣ ሆቴል ወይም አይኤስፒ ዲ ኤን ኤስዎን እንደገና ሊጠልፍ አይችልም።¶

ለምን ባህላዊ ዲ ኤን ኤስ ነው (UDP Port 53) ለተጠቃ የቤት ራውተር፣ የቡና መሸጫ ዋይ ፋይ ወይም አይኤስፒ ለመሰለል እና ለመጥለፍ በጣም ቀላል ነው? ምክንያቱም መደበኛ ዲ ኤን ኤስ የተነደፈው በ1983 ነው (RFC 882) ከዜሮ ምስጠራ እና ከዜሮ ማረጋገጫ ጋር*፡ እያንዳንዱ መጠይቅ በሽቦው ላይ በግልፅ ፅሁፍ ይጓዛል፣ እና በመንገዱ ላይ ያለ ማንኛውም መሳሪያ ከአንድ ሚሊሰከንድ ባነሰ ጊዜ ውስጥ የውሸት UDP ምላሽ ሊፈጥር ይችላል።DNS Spoofing).

** ዲ ኤን ኤስ-ላይ-ኤችቲቲፒኤስን በማንቃት (DoH, RFC 8484*** ወይም ** ዲኤንኤስ-በላይ-TLS (DoT, RFC 7858***፣ መሳሪያህ እያንዳንዱን የዲ ኤን ኤስ መጠይቅ በክሪፕቶግራፊ የተረጋገጠ ውስጥ ይጠቀልላል TLS 1.3 ዋሻ በቀጥታ ወደ ታማኝ መፍትሄ ሰጪ (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, ወይም NextDNS). ሮጌ ራውተር ወይም የሆቴል ዋይ ፋይ ምላሹን ለመቀየር ከሞከረ የቲኤልኤስ ፊርማ አልተሳካም እና መሳሪያዎ የውሸት መስራቱን ወዲያውኑ ውድቅ ያደርጋል።

የተመሰጠረ ዲ ኤን ኤስ እንዴት ማንቃት እንደሚቻልDoH / DoT) በ60 ሰከንድ ውስጥ በእያንዳንዱ መሳሪያ ላይ¶

በተደጋጋሚ የሚጠየቁ ጥያቄዎች¶

የእኔ አሳሽ ለምን አሳይቷል NET::ERR_CERT_AUTHORITY_INVALID ላይ google.com ወይስ የእኔ ባንክ የራውተር ዲ ኤን ኤስ ሲጠለፍ?¶

ያ የአሳሽ ስህተት መለያህ ከመሰረቅ አድኖሃል። አንድ አጥቂ የእርስዎን ራውተር ዲ ኤን ኤስ መቼቶች ሲጠልፍ የአይ ፒ አድራሻውን ይለውጠዋል `www.yourbank.com` ስለዚህ ኮምፒውተርዎ ከእውነተኛ ባንክዎ ይልቅ ከአጥቂው የድር አገልጋይ ጋር ይገናኛል። ሆኖም፣ አሳሽህ ኢንክሪፕት የተደረገ HTTPS ሲጀምር (`TLS`) ከአጥቂው አገልጋይ ጋር መጨባበጥ፣ የአጥቂው አገልጋይ ትክክለኛ የሆነ ዲጂታል TLS ሰርተፍኬት በምስጢራዊ መንገድ በታመነ የምስክር ወረቀት ባለስልጣን የተፈረመ ማቅረብ አይችልም። `yourbank.com`. አሳሽዎ ወዲያውኑ ግንኙነቱን አቁሞ ያሳያል `NET::ERR_CERT_AUTHORITY_INVALID`. በጭራሽ "ለማንኛውም ቀጥል" የሚለውን እስካልተጫኑ እና የሮግ ስር ሰርተፍኬት በጭራሽ እስካልጫኑ ድረስ (`CA`) በመሳሪያዎ ላይ፣ የዲኤንኤስ ጠለፋ ብቻውን በHSTS የተጠበቀ የኤችቲቲፒኤስ ድረ-ገጽን መፍታት ወይም ማጭበርበር አይችልም።

አንድ ጠላፊ የዋይ ፋይ ይለፍ ቃል ሳላውቅ በቤቴ ዋይ ፋይ ራውተር ውስጥ ያለውን የዲ ኤን ኤስ መቼት እንዴት ለወጠው?¶

የራውተርዎን ዲ ኤን ኤስ መቼቶች ለመቀየር አጥቂዎች በቤትዎ የWi-Fi ክልል ውስጥ መሆን አያስፈልጋቸውም። ሁለት የርቀት ዘዴዎችን ይጠቀማሉ፡ በመጀመሪያ፣ አውቶማቲክ ቦቶች (`Shodan` / `Censys` ስካነሮች እና ቦትኔትስ) ** የርቀት ድር አስተዳደር (የርቀት ድር ማኔጅመንት) ያላቸውን የቤት ራውተሮች በመፈለግ በይነመረብ ላይ ያለውን እያንዳንዱን የህዝብ አይፒ አድራሻ ይቃኙ።`WAN Admin`*** ወይም **`UPnP`** በሚታወቁ የጽኑ ዌር ተጋላጭነቶች ክፍት ቀርቷል። ሁለተኛ፣ WAN Admin ቢዘጋም፣ የራውተርዎን የውስጥ አስተዳደር ይለፍ ቃል በፋብሪካው ነባሪ ላይ ከተዉት (`admin / admin` ወይም `admin / password`), በላፕቶፕህ ላይ ተንኮል አዘል ማስታወቂያ ወይም ድህረ ገጽ ጠቅ ማድረግ በአሳሽህ ውስጥ የተደበቀ ጃቫ ስክሪፕት **የመስቀለኛ ድረ-ገጽ ጥያቄ ፎርጀሪ (መስቀለኛ መንገድ) ለመላክ ያስችላል።`CSRF`*** ወይም ** ዲ ኤን ኤስ መልሶ ማገናኘት** በቀጥታ ከላፕቶፕዎ ይጠይቁ `http://192.168.1.1`, ከውስጥ ወደ ራውተርዎ በመግባት የዲ ኤን ኤስ መቼቶችዎን በፀጥታ እንደገና ይፃፉ.

የተመሰጠረ ዲ ኤን ኤስ ካነቃሁ (DoH) በChrome ወይም Firefox ውስጥ፣ በኮምፒውተሬ ላይ ያሉትን ሌሎች መተግበሪያዎች ይጠብቃል?¶

ደህንነቱ የተጠበቀ ዲ ኤን ኤስን ማንቃት (`DoH`) በChrome፣ Edge፣ Brave ወይም Firefox ውስጥ ያሉትን ሁሉንም የዲ ኤን ኤስ ፍለጋዎች በማመስጠር ** በዚያ ልዩ የድር አሳሽ ውስጥ ** ውስጥ ይጠብቃል፣ ይህም በአሳሽ ላይ የተመሰረቱ የማስገር አቅጣጫዎችን እና የውሸት ማሻሻያ ገጾችን ወዲያውኑ ያቆማል። ነገር ግን በኮምፒውተራችሁ ላይ ያሉ ሌሎች የዳራ አፕሊኬሽኖች (እንደ የኢሜል ደንበኛህ፣ Slack፣ games ወይም OS updater ያሉ) ኢንክሪፕትድ ዲ ኤን ኤስን በስርዓተ ክወናው ደረጃ ካላዋቀሩ በስተቀር (በዊንዶውስ 11 Native DoH፣ አንድሮይድ የግል ዲ ኤን ኤስ በኩል) አሁንም የስርዓተ ክወናውን ስርዓት-ሰፊ ዲ ኤን ኤስ መፍታትን ይጠቀማሉ። `DoT`, ወይም የተፈረመ MacOS/iOS ኢንክሪፕትድ ዲኤንኤስ መገለጫ) እና የራውተርዎን WAN/DHCP ዲ ኤን ኤስ መቼቶች ያስተካክሉ።

መካከል ያለው ልዩነት ምንድን ነው 1.1.1.1 (Cloudflare) እና 9.9.9.9 (ኳድ9) ፣ እና የትኛውን ራውተር ውስጥ ማስገባት አለብኝ?¶

ሁለቱም ፈጣን፣ ግላዊነትን የሚያከብሩ፣ የማይከታተሉ አለምአቀፋዊ የዲኤንኤስ ፈላጊዎች በታዋቂ ድርጅቶች የሚሰሩ ናቸው፣ እና አንዱም ከአይኤስፒ ወይም ከሮግ ራውተር ጠለፋ ይጠብቅሃል። መደበኛ **`1.1.1.1`** (Cloudflare) እና **`8.8.8.8`** (Google) በበይነመረቡ ላይ ላለው እያንዳንዱ ጎራ ንጹህ፣ ያልተጣራ የዲ ኤን ኤስ መልሶች ይመልሳል። **`9.9.9.9`** (ለትርፍ ባልተቋቋመው Quad9 Foundation የሚሰራ) እና **`1.1.1.2`** (Cloudflare for Families - ማልዌር ማገድ) በእውነተኛ ጊዜ ከሚታወቁ የማስጋሪ ድረ-ገጾች፣ የራንሰምዌር ትዕዛዝ-እና-ቁጥጥር (ከእውነተኛ ጊዜ የአለምአቀፍ ስጋት-የማሰብ ችሎታ ምግቦች) እያንዳንዱን ጎራ ፍለጋን በራስ-ሰር ያረጋግጡ።`C2`) ሰርቨሮች፣ እና መረጃ ሰጪ ጎራዎች፣ ተንኮል-አዘል ገጽ ከመጫኑ በፊት ግንኙነቱን በዲ ኤን ኤስ ንብርብር ማገድ።

ተዛማጅ መመሪያዎች¶

• የቤት ራውተሮችን እና አይኦቲ መሳሪያዎችን በመጠበቅ ላይ
• ይፋዊ Wi-Fi፣ Evil Twin መገናኛ ቦታዎች እና የዩኤስቢ ጭማቂ-ጃኪንግ መከላከያ
• ተንኮል አዘል አሳሽ ቅጥያዎች፣ ቅንጥብ ሰሌዳ ጠላፊዎች እና አድዌር መወገድ
• የዜሮ-ቀን የአደጋ ጊዜ መጠገኛ እና የህይወት መጨረሻ መሣሪያን ማግለል ይጠቀሙ
• የጎራ ስም ጠለፋ፣ ጊዜው ያለፈበት ዲ ኤን ኤስ እና የድር ጣቢያ ቁጥጥር
• ዓለም አቀፍ የአደጋ ጊዜ ቁጥሮች

ምንጮች ተረጋግጠዋል¶

• የሳይበር ደህንነት እና መሠረተ ልማት ደህንነት ኤጀንሲ (ሲአይኤስኤ) እና የብሔራዊ ደህንነት ኤጀንሲ (NSA) (ዩናይትድ ስቴትስ)፡ የሳይበር ደህንነት መረጃ ሉህ (መከላከያ ዲ ኤን ኤስ (ፒዲኤንኤስ) አገልግሎት መምረጥ እና *የተመሰጠረ ዲ ኤን ኤስ መጠቀም DoH / DoT በድርጅት እና የቤት አካባቢ * ውስጥ።
• የኢንተርኔት ኢንጂነሪንግ ግብረ ኃይል (IETF) (አለምአቀፍ): RFC 7858 (የዲኤንኤስ ዝርዝር በትራንስፖርት ንብርብር ደህንነት ላይ DoT), RFC 8484 (የዲኤንኤስ ጥያቄዎች በ HTTPS DoH), እና RFC 9462 (የተሰየሙ መፍትሄዎችን ማግኘት DDR).
• ICANN ደህንነት እና መረጋጋት አማካሪ ኮሚቴ (SSAC) (አለምአቀፍ)፡ ስለ ዲ ኤን ኤስ መሠረተ ልማት ማበላሸት ፣ ራውተር WAN መልሶ ማዋቀር እና የDNSSEC ማረጋገጫ።
• ብሔራዊ የሳይበር ደህንነት ማዕከል (ኤንሲሲሲ) (ዩናይትድ ኪንግደም)፡- ተከላካይ ዲ ኤን ኤስ አርክቴክቸር እና ጨካኝ DHCP እና የአካባቢ አውታረመረብ የማፈንዳት ጥቃቶች።