Раббии DNS роутер, серверҳои қаллобии DHCP ва барқарорсозии DNS (DoH/DoT) рамзгузорӣ¶

Ҳар дафъае, ки шумо суроғаи вебсайтро нависед, ба монанди chase.com, google.com, ё apple.com дар браузери шумо дастгоҳи шумо аз Системаи Номи Домен (DNS) resolver барои тарҷумаи он номи ба одамон хондашаванда ба суроғаи рақамии IP (142.250.190.46). Агар ҳамлакунанда хомӯшона танзимоти сервери ибтидоӣ ва дуюмдараҷаи DNS-ро дар дохили роутери Wi-Fi-и хонагӣ ё идораи шумо тағир диҳад, сервери қаллобии DHCP-ро дар шабакаи маҳаллии шумо мегардонад, махфии компютери шуморо тағир медиҳад hosts file, ё ба дархостҳои шумо дар шабакаи меҳмонхона ё фурудгоҳ халал мерасонад, онҳо китобчаи телефонии интернети шуморо назорат мекунанд. Ҳатто вақте ки шумо URL-и дақиқ ва дуруст навишташудаи бонк, провайдери почтаи электронӣ ё сервери навсозии нармафзорро дар сатри суроғаҳо ворид мекунед, сервери рабудашудаи DNS (DNSChanger, ghostDNS, ZuoRAT, ё маҳаллӣ dnsmasq spoofer) метавонад пайвасти шуморо ба сервери шабеҳи шубҳанок равона созад, нармафзори антивирусии шуморо аз зеркашии таърифҳои таҳдид боздорад ё поп-папкаи қалбакии "Навсозии нармафзори роутер / Навсозии муҳими Chrome", ки трояни иттилооти дуздиро насб мекунад, нишон диҳад.

Ногаҳон нодида нагиред NET::ERR_CERT_AUTHORITY_INVALID огоҳиҳо, ғайричашмдошт "Ворид шудан ба Шабакаи Wi-Fi" поп-апҳои портали асирӣ дар Wi-Fi хонаи худ ё масирҳои браузер ҳангоми боздид аз вебсайтҳои асосӣ. Бо муқоисаи он чизе, ки сервери DNS-и ҳозир таъиншудаи шумо бар мегардонад бо ҳалли боэътимоди рамзгузоришуда (1.1.1.1, 8.8.8.8, ё 9.9.9.9), аудити танзимоти WAN ва DHCP-и роутер, тоза кардани кэшҳои заҳролудшудаи OS ва браузери DNS ва фаъол кардани DNS-over-HTTPS (DoH) ё DNS-over-TLS (DoT), шумо метавонед дуздии DNS-ро дар давоми камтар аз 10 дақиқа нест кунед.

Ҳоло ин корро кунед¶

1. Ҳеҷ гоҳ клик накунед Advanced -> Proceed to [website] (unsafe) агар браузери шумо ногаҳон а NET::ERR_CERT_AUTHORITY_INVALID ё MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT огоҳӣ дар бонки бузург, почтаи электронӣ ё вебсайти абрӣ. HTTPS муосир (TLS 1.3) ва HTTP амнияти қатъии нақлиёт (HSTS) хатти охирини муҳофизати шумо ҳангоми рабуда шудани DNS-и шумо мебошанд: сервери DNS-и рабудашуда браузери шуморо ба суроғаи IP-и ҳамлагар равона кард ва браузери шумо дурӯғро ошкор кард, зеро сервери ҳамлакунанда калиди хусусии криптографии Google ё Chase-ро нигоҳ намедорад. Ангуштзании "Ба ҳар ҳол идома диҳед" паролҳо ва кукиҳои сессияи шуморо мустақиман ба ҳамлагар интиқол медиҳад.
2. ** ҲЕҶ ГОҲ зеркашӣ ё иҷро накунед "Browser Update.exe / .dmg" ё пароли Wi-Fi WPA2/WPA3-и худро дар равзанаи поп-ап чоп кунед, ки ногаҳон дар Wi-Fi-и хона ё идораи шумо пайдо мешавад.** Ҳангоми рабудани нармафзори зараровар аз роутер (ghostDNS, Roaming Mantis) серверҳои WAN/DHCP DNS-и роутери худро ба суроғаи IP-и ҷиноятӣ иваз мекунад, тактикаи №1 он ин аст, ки ҳар як боркунии саҳифаи HTTP ба саҳифаи қалбакӣ "Навозиши нармафзори Google Chrome / Safari / Роутер кӯҳна шудааст" саҳифа ё портали воридшавии қалбакии ISP.
3. ** 10 сония давед nslookup ё dig санҷиши муқоисаро дар терминали худ ҳозир гузаронед, то бубинед, ки оё сервери DNS-и ҷории шумо ба шумо дурӯғ гуфта истодааст.** Сатри Фармон ё Терминалро кушоед ва муқоиса кунед nslookup google.com (ки роутер/сервери OS DNS-и ҳозир таъиншудаи шуморо истифода мебарад) бар зидди nslookup google.com 1.1.1.1 (ки бевосита Cloudflare-ро дархост мекунад). Агар сервери DNS-и пешфарзии шумо суроғаи IP-и аҷибе бошад, ки дар кишвари дигар ҷойгир аст, ки шумо онро ҳеҷ гоҳ танзим накардаед ё IP-ҳои тамоман дигарро барои доменҳои бонкӣ/антивирусӣ бармегардонад, DNS-и шумо дуздида мешавад.
4. Танзимоти DNS-и дастгоҳи худро муваққатан ба DNS рамзкунонидашуда бекор кунед (DoH / DoT дар 1.1.1.1, 9.9.9.9, ё 8.8.8.8) ПЕШ АЗ ворид шудан ба роутер ё аз нав танзимкунии паролҳо. Зеро DNS-over-HTTPS (DoH) ҳама ҷустуҷӯи доменҳоро дар дохили рамзгузорӣ мефиристад TLS Port 443 нақби мустақим ба Cloudflare, Quad9 ё Google, фаъол кардани DoH дар дохили браузер ё OS-и худ фавран як роутери дуздидашуда ё ҳалкунандаи ISP-ро кӯр мекунад, то шумо метавонед ба вебсайтҳои воқеӣ бехатар дастрасӣ пайдо кунед ва шабакаи худро тоза кунед.
5. ** Ба роутери хона/офиси худ тавассути сими сими Ethernet ворид шавед (192.168.1.1 ё 192.168.0.1), ҳардуро тафтиш кунед WAN / Internet DNS ВА LAN DHCP Server DNS майдонҳо ва агар яке аз онҳо суроғаҳои IP-и ношинос дошта бошанд, сахтафзорро иҷро кунед 30-second Pin-Hole Factory Reset фавран.** Барномаи зарароваре, ки танзимоти DNS роутерро тағир медиҳад, қариб ҳамеша тавассути як фошшуда ворид мешавад Remote Web Management (WAN Admin) порт, а UPnP (Universal Plug and Play) қоидаи интиқоли порт ё пешфарз admin/admin парол (ниг Амнияти роутерҳои хонагӣ ва дастгоҳҳои IoT).
6. ** Маҳалли компютери худро санҷед hosts файл ва танзимоти Proxy/PAC (C:\Windows\System32\drivers\etc\hosts дар Windows ё /etc/hosts дар macOS/Linux) ва кэши DNS-и OS-ро тоза кунед.** Ҳатто агар роутери шумо 100 фоиз тоза бошад ҳам, таблиғоти маҳаллӣ ё троянҳо дар як компютер ё Mac метавонанд ҳалли DNS-ро ба таври маҳаллӣ тавассути ворид кардани масирҳои IP ба hosts файл ё танзими қаллобӣ Танзимоти прокси худкори (PAC) URL дар Имконоти Интернети Windows.

flowchart TD
    A["Раббии гумонбаршудаи DNS: Огоҳӣ оид ба сертификат, поп-апҳои навсозии қалбакӣ ё боркунии сайтҳои нодуруст"] --> B["1. DNS-и рамзгузоришударо (DoH) дар браузер/OS фавран фаъол созед, то аз ҳалкунандаи заҳролудшуда канорагирӣ кунед"]
    B --> C["2. Диагностикаи терминалро иҷро кунед: 'nslookup example.com' ва 'nslookup example.com 1.1.1.1' -ро муқоиса кунед"]
    C --> D{"Оё ҲАМАИ дастгоҳҳои Wi-Fi таъсир мерасонанд ё танҳо як компютер/телефони мушаххас?"}
    D -->|"Ҳама дастгоҳҳои Wi-Fi таъсир мерасонанд"| E["Роутер WAN/DHCP Hijack ё Rogue DHCP Server дар LAN"]
    E --> F["Дарвозаи пешфарз ва сервери IP-и DHCP-ро санҷед ('ipconfig /all'). Агар MAC/IP ношинос -> Дастгоҳи қаллобиро ҷудо кунед"]
    E --> G["Аз нав танзимкунии роутер ба коргоҳи сахтафзор -> Навсозии нармафзор -> Хомӯш кардани WAN Admin & UPnP -> Роутер DNS-ро ба 1.1.1.1 / 9.9.9.9 насб кунед"]
    D -->|"Танҳо як компютер ё телефон таъсир мерасонад"| H["Раббии дастгоҳи маҳаллӣ: Адаптери шабакавии статикии DNS, файли ҳостҳо, скрипти прокси/PAC ва васеъшавии браузерро тафтиш кунед"]
    H --> I["'/etc/hosts' ё 'C:\\Windows\\System32\\drivers\\etc\\hosts'-ро тоза кунед, Сертификатсияи решавӣро нест кунед ва кэши DNS-ро тоза кунед"]

Матритсаи ташхис: 5 қабате, ки дар он DNS ва масири шабака дуздида мешаванд¶

Вақте ки номи домен ба сервери нодуруст ҳал мешавад, дуздӣ дар яке аз панҷ қабатҳои техникии алоҳидаи занҷири ҳалли масъала рух медиҳад. Барои муайян кардани он, ки кадом қабат осеб дидааст, ин ҷадвалро истифода баред:

Марҳилаи 1: Аудити судии 60-сонияи DNS ва DHCP¶

Пеш аз аз нав танзимкунии чизе, дар компютери худ терминалро кушоед ва ин фармонҳои дақиқи танҳо барои хонданро иҷро кунед, то далелҳои серверҳои DNS ва сервери DHCP-ро дар айни замон истифода баред.

1. Windows 10 ва Windows 11 (Command Prompt ё PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• ** Чӣ тавр хондани натиҷаи Қадами 1 (ipconfig /all):**
• Ба назар DNS Servers. Одатан, ин ё IP-и хусусии LAN роутери хонагии шуморо нишон медиҳад (192.168.1.1, 192.168.0.1, 10.0.0.1), як ҳалкунандаи маъруфи ҷамъиятӣ, ки шумо дидаву дониста муқаррар кардаед (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222) ё серверҳои воқеии DNS-и ISP-и фарохмаҷрои шумо (ҳар як IP-и ношиносро дар ** тафтиш кунед.https://bgp.he.net** ё whois: агар IP ба провайдери хостинги VPS дар кишвари дигар тааллуқ дошта бошад, на ISP-и шумо, DNS-и шумо заҳролуд шудааст).
• Ба назар DHCP Server бар зидди Default Gateway. Дар 99 фоизи шабакаҳои хонагӣ, DHCP Server IP ва Default Gateway IP бояд шабеҳ бошад (масалан, ҳарду 192.168.1.1). Агар онҳо гуногун бошанд (ва шумо шахсан нозири домени Pi-hole ё Windows Server насозед), шумо дар шабакаи маҳаллии худ сервери қаллобии DHCP доред.

2. macOS ва Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Ҷустуҷӯ ва ҷудо кардани сервери қаллобии DHCP дар шабакаи маҳаллии шумо¶

Чӣ шавад, агар ipconfig /all (ё ip route / networksetup -getinfo Wi-Fi) нишон медиҳад, ки компютери шумо танзимоти IP ва танзимоти DNS-и худро аз суроғаи IP-и ношиноси маҳаллӣ гирифтааст, ба монанди 192.168.1.142 ба ҷои роутери воқеии шумо (192.168.1.1)? 1. Дарҳол сахтафзорро муайян кунед ** Суроғаи MAC (Physical Address)** ва истеҳсолкунандаи дастгоҳи қаллобӣ (192.168.1.142) тавассути тафтиши ҷадвали ARP-и шумо:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Марҳилаи 2: Қадам ба қадам решакан кардани роутер WAN/DHCP¶

Агар аудити шумо дар марҳилаи 1 исбот карда бошад, ки роутери Wi-Fi-и шумо суроғаҳои DNS-и зарароварро интиқол медиҳад (ё ки WAN DNS дохилии роутер тағир дода шудааст), танҳо ба роутер ворид шавед ва нависед 1.1.1.1 баргаштан ба куттй ** кифоя нест**. Шумо бояд осебпазириро, ки ба ҳамлагар ба роутери шумо имкон дод, дар ҷои аввал пӯшед:

Қадами 1: Дар роутер барқароркунии 30-сония ба ҳолати заводии сахтафзорро иҷро кунед¶

Чаро ба ҷои танҳо таҳрир кардани майдони DNS аз нав танзимкунии пурраи завод? Азбаски нармафзори зараровар роутер (ZuoRAT, VPNFilter, Cyclops Blink, Mirai вариантҳо) аксар вақт пинҳонро илова мекунад iptables Қоидаҳои масири NAT (REDIRECT --to-ports 53), кори доимии cronро дар /tmp ё NVRAM, ё имкон медиҳад ҳисобҳои идоракунии дурдасти SSH/Telnet пинҳон. 1. Сими WAN / Internet Ethernet-и роутер (кабел аз нахи ONT ё модеми кабелӣ меояд)-ро ҷудо кунед, то ҳамлакунанда ҳангоми танзими он дубора пайваст нашавад. 2. Вақте ки роутер фаъол аст, тугмаи қафои Бозсозии сӯрохиро дар қафои роутер бо клипи коғазӣ барои 15 то 30 сонияи пурра пахш кунед ва нигоҳ доред, то он даме, ки ҳама LED-ҳои панели пеши ҳамзамон дурахшанда шаванд. 3. 3 дақиқа интизор шавед, ки роутер ба ҳолати тозаи корхонаи худ дубора оғоз кунад, пас компютери тозаро тавассути сими Ethernet пайваст кунед (ё маълумоти стикери Wi-Fi-и заводӣ) ва ворид шавед 192.168.1.1 (ё 192.168.0.1).

Қадами 2: Маҳкам кунед 5 Танзимоти роутер, ҳамлагарон барои дуздии DNS истифода мекунанд¶

Пеш аз пайваст кардани сими WAN/Интернет, ин панҷ танзимоти ҳатмиро дар дохили консоли маъмурии роутер танзим кунед (ба дастури пурраи мо дар Амнияти роутерҳои хонагӣ ва дастгоҳҳои IoT барои сахтшавии амиқ): 1. Пароли ягонаи маъмурии роутер барои 16+ аломатро таъин кунед (НА бо пароли Wi-Fi-и худ): Ҳеҷ гоҳ воридшавии маъмурияти роутерро ҳамчун admin / admin ё admin / password. Ҳар як маҷмӯаи истисмори DNS-рабудашаванда дар веб ҳангоми бор кардани таблиғи баннерӣ дар браузери худ ба таври худкор маълумоти пешфарзро тахмин мекунад. 2. ** Тасдиқ кунед Remote Management / WAN Administration ба таври қатъӣ аст DISABLED:** Ба зер нигаред Advanced -> Administration -> Remote Management ва боварӣ ҳосил кунед, ки ҳеҷ кас дар интернети ҷамъиятӣ наметавонад ба саҳифаи воридшавии роутер ё портҳои SSH/Telnet аз тарафи WAN дастрасӣ пайдо кунад. 3. ** Хомӯш кардан UPnP (Universal Plug and Play):** Дар доираи Advanced -> UPnP (ё NAT Forwarding -> UPnP), UPnP-ро хомӯш кунед. Барномаи зараровар дар ҳама гуна дастгоҳи дохили хонаи шумо UPnP-ро истифода мебарад (IGD дархостҳои SOAP) ба роутератон хомӯшона фармон диҳед, то бандарҳоро кушояд ё қоидаҳои интиқоли WAN-ро бидуни парол тағир диҳад. 4. ** Hardcode Trusted, Blocking Servers DNS (IPv4 AND IPv6) дар роутер:** Ба Internet / WAN Setup -> DNS Server (ва LAN -> Server DHCP) гузаред ва аз Ба таври худкор аз ISP гирифтан ба Истифодаи ин серверҳои DNS гузаред: * ** Cloudflare (1.1.1.1 for Families - Malware Blocking):** IPv4 ибтидоӣ: 1.1.1.2 | IPv4 дуюм: 1.0.0.2 (ё стандарти филтрнашуда 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 ва 2606:4700:4700::1002. * ** чоргонаи 9 (Malware & Phishing Blocking + DNSSEC):** IPv4 ибтидоӣ: 9.9.9.9 | IPv4 дуюм: 149.112.112.112. IPv6: 2620:fe::fe ва 2620:fe::9. * ** DNS ҷамъиятии Google: ** IPv4 ибтидоӣ: 8.8.8.8 | IPv4 дуюм: 8.8.4.4. IPv6: 2001:4860:4860::8888 ва 2001:4860:4860::8844. 5. **Кабели WAN-ро аз нав пайваст кунед ва фавран навсозии нармафзори роутерро насб кунед: ** Агар модели роутери шумо аз истеҳсолкунандаи худ гузашта бошад Ба охир расидани мӯҳлат (EoL) сана ва дигар часбҳои бехатариро қабул намекунад (ниг Пахши изтирории истисмори сифррӯза ва изолятсияи дастгоҳи анҷоми ҳаёт), сахтафзори роутерро фавран иваз кунед, то фардо CVE-ҳои номатлуб дубора истифода намешаванд.

Марҳилаи 3: Тоза кардани компютери маҳаллии заҳролудшуда (Hosts Файл, адаптер DNS, & Flush кэш)¶

Пас аз таъмини роутер (ё агар танҳо як компютер дуздида шуда бошад), ин фармонҳои дақиқро иҷро кунед, то стеки шабакаи компютери маҳаллии худро аз нав барқарор кунед ва ҳар як сабти заҳролудшудаи DNS-ро тоза кунед:

1. Windows 10 / 11 аз нав танзимкунии DNS, ҳостҳо, Winsock ва кэши браузер¶

Кушодани Садои фармонро ҳамчун администратор (Win + X -> Terminal (Admin) / Command Prompt (Admin)) ва иҷро кунед:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• ** Агар шумо C:\Windows\System32\drivers\etc\hosts файл дорои хатҳои масиркунии беиҷозат: ** Кушодани Блокнот ҳамчун администратор, кушоед C:\Windows\System32\drivers\etc\hosts, ҳар як сатри шарҳнашударо нест кунед (Windows hosts файл дорои сифр сатрҳои фаъоли шарҳнашуда ва ҳар як сатри шарҳ аз он оғоз мешавад #), файлро захира кунед ва иҷро кунед ipconfig /flushdns.
• ** Шаҳодатномаҳои Rogue Rogue-ро тафтиш кунед (certmgr.msc):** Агар ҳамлакунанда ё нармафзори зараровари маҳаллӣ инчунин Authority Certificate Root-ро насб карда бошад (CA) ба компютери шумо ворид кунед, то онҳо трафики HTTPS-ро бидуни ангезиши огоҳиҳои браузер боздошта, пахш кунед Win + R, навъи certmgr.msc, васеъ кунед Мақомотҳои сертификатсияи решаи боэътимод -> Шаҳодатномаҳо, аз рӯи навъбандӣ Issued By ё Expiration Date, ва ҳама гуна шаҳодатномаи решаи ношиноси худ имзошударо, ки шумо намешиносед, нест кунед.

2. macOS & Linux Reset пурраи DNS ва тозакунии кэш¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Сокети дохилии браузери веб ва кэши DNS-ро тоза кунед (Chrome, Edge, Brave, Firefox)¶

**Доми интиқодӣ: ** Браузерҳои муосири веб кэши алоҳидаи дохилии DNS ва ҳавзи васлаки TCP-и кушодаи худро комилан мустақил нигоҳ медоранд. ipconfig /flushdns. Ҳатто пас аз он ки шумо роутери худро ислоҳ кунед ва иҷро кунед ipconfig /flushdns, Chrome ё Edge метавонад то 15 дақиқаи дигар шуморо ба IP-и ҳамлакунанда ирсол кунад, то даме ки шумо кэши дохилии браузерро тоза кунед: 1. Дар Chrome, Edge ё Brave: Навъи **klzzw:0098 (ё klzzwxh:09) ба сатри суроғаҳо ва клик кунед Clear host cache. Дарҳол клик куд Sockets** даранели чап (chrome://net-internals/#sockets) ва клик кунед Flush socket pools (ин ҳама пайвастагиҳои фаъоли доимии HTTP/2 ё QUIC-ро мекушад, ки то ҳол барои IP-и ҳамлакунанда боз ҳастанд). 2. Дар Mozilla Fifox: * Навъи **about:networking#dns** бсатри суроғаҳо ворид шавед ва клик кунед Clear DNS Cache**. 3. **Дар App Safari (macOS ва iOS): * Дар macO кушоед Safari -> Танзот -> Advanced, санҷед **Show features for web developers**, ва клик кунед **Develop -> Empty Caches (Opt + Cmd + E), сипас хориҷ шавед ва Safari-ро аз нав оғоз кунед. * Дар iPhone ё iPad, Режими ҳавопайморо барои 5 сония ФУРӮЗЕД ва боз ХОМӮШ кунед, ки iOS-ро маҷбур мекунад mDNSResponder то тамоми кэши DNS-и идоранашавандаи онро фавран бидуни нест кардани воридшавии вебсайти захиракардаатон тоза кунед.

Марҳилаи 4: Фаъолсозии DNS-и рамзгузоришуда (DoH / DoT) аз ин рӯ, ҳеҷ як роутер, меҳмонхона ё ISP ҳеҷ гоҳ наметавонад DNS-и шуморо дубора рабуд¶

Чаро DNS анъанавӣ (UDP Port 53) барои роутери осебдидаи хонагӣ, Wi-Fi-и қаҳвахона ё ISP ҷосусӣ ва рабудани он қадар осон аст? Азбаски DNS стандартӣ дар 1983 тарҳрезӣ шудааст (RFC 882) бо рамзгузории сифр ва аутентификатсияи сифр: ҳар як дархост аз тариқи сим бо матни оддӣ мегузарад ва ҳама гуна дастгоҳ дар роҳ метавонад дар камтар аз як миллисония ҷавоби қалбакии UDP-ро эҷод кунад (DNS Spoofing).

Бо фаъол кардани DNS-over-HTTPS (DoH, RFC 8484) ё DNS-over-TLS (DoT, RFC 7858), дастгоҳи шумо ҳар як дархости DNS-ро дар дохили як криптографии тасдиқшуда ҷамъ мекунад TLS 1.3 нақб бевосита ба ҳалли боэътимод (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, ё NextDNS). Агар роутери қаллобӣ ё Wi-Fi-и меҳмонхона кӯшиш кунад, ки ҷавобро тағир диҳад, имзои TLS ноком мешавад ва дастгоҳи шумо қалбакиро фавран рад мекунад.

Чӣ тавр фаъол кардани DNS-и рамзгузорӣ (DoH / DoT) Дар ҳар як дастгоҳ дар 60 сония¶

Саволҳои зуд-зуд додашаванда¶

Чаро браузери ман нишон дод NET::ERR_CERT_AUTHORITY_INVALID дар google.com ё бонки ман, вақте ки DNS роутер ман дуздида шуд?¶

Ин хатои браузер воқеан шуморо аз дуздидани ҳисоби шумо наҷот дод. Вақте ки ҳамлагар танзимоти DNS-и роутери шуморо дуздидааст, онҳо суроғаи IP-ро иваз мекунанд `www.yourbank.com` Пас компютери шумо ба ҷои бонки воқеии шумо ба веб-сервери ҳамлакунанда пайваст мешавад. Аммо, вақте ки браузери шумо HTTPS-и рамзшударо оғоз мекунад (`TLS`) дастфишорӣ бо сервери ҳамлакунанда, сервери ҳамлакунанда наметавонад шаҳодатномаи дурусти TLS-и рақамиро тавлид кунад, ки аз ҷониби мақомоти боэътимоди сертификатсия ба таври криптографӣ имзо шудааст. `yourbank.com`. Браузери шумо фавран пайвастро қатъ мекунад ва намоиш медиҳад `NET::ERR_CERT_AUTHORITY_INVALID`. То он даме, ки шумо ҳеҷ гоҳ "Ба ҳар ҳол идома диҳед" -ро клик накунед ва ҳеҷ гоҳ Сертификати решавӣ насб накунед (`CA`) дар дастгоҳи шумо, дуздидани DNS танҳо наметавонад вебсайти HTTPS-и аз ҷониби HSTS ҳифзшударо рамзкушоӣ ё қаллобӣ кунад.

Чӣ гуна як ҳакер танзимоти DNS-ро дар дохили роутери хонагии ман бе донистани пароли Wi-Fi-и ман тағир дод?¶

Барои тағир додани танзимоти DNS-и роутер ба ҳамлагарон лозим нест, ки дар доираи Wi-Fi-и хонаи шумо бошанд. Онҳо ду усули дурдастро истифода мебаранд: аввал, ботҳои автоматӣ (`Shodan` / `Censys` сканерҳо ва ботнетҳо) ҳар як суроғаи IP-и умумиро дар интернет скан кунед, дар ҷустуҷӯи роутерҳои хонагӣ, ки дорои **Идоракунии дурдасти веб (`WAN Admin`)** ё **`UPnP`** бо осебпазирии маълуми нармафзор кушода мондааст. Дуюм, ҳатто агар Admin WAN баста бошад ҳам, агар шумо пароли идоракунии дохилии роутератонро дар ҳолати пешфарзии завод гузошта бошед (`admin / admin` ё `admin / password`), пахш кардани таблиғ ё вебсайти шубҳанок дар ноутбуки худ ба JavaScript-и пинҳоншуда дар браузери шумо имкон медиҳад, ки **Сохтакории дархости байнисоҳавӣ (`CSRF`)** ё **Rebinding DNS** бевосита аз ноутбуки худ ба `http://192.168.1.1`, ворид шудан ба роутери худ аз дарун ва аз нав сабт кардани танзимоти DNS-и худро бесадо.

Агар ман DNS-и рамзкунонидашударо фаъол кунам (DoH) дар Chrome ё Firefox, оё ин дигар барномаҳои компютери маро муҳофизат мекунад?¶

Даргиронидани DNS бехатар (`DoH`) дар дохили Chrome, Edge, Brave ё Firefox ҳамаи ҷустуҷӯҳои DNS-ро, ки **дар дохили он браузери мушаххаси веб** сохта шудаанд, рамзгузорӣ ва муҳофизат мекунад, ки дарҳол масирҳои фишинги дар асоси браузер ва саҳифаҳои навсозии қалбакиро қатъ мекунад. Бо вуҷуди ин, дигар замимаҳои пасзаминаи компютери шумо (ба мисли муштарии почтаи электронии шумо, Slack, бозиҳо ё навсозии OS) то ҳол ҳалкунандаи DNS-и системаи амалиётиро истифода мебаранд, агар шумо DNS-и рамзгузоришударо дар сатҳи системаи амалиётӣ танзим накунед (тавассути Windows 11 Native DoH, Android Private DNS) `DoT`, ё профили DNS Encrypted macOS/iOS имзошуда) ва танзимоти DNS WAN/DHCP-и роутератонро ислоҳ кунед.

Фарқи байни 1.1.1.1 (Cloudflare) ва 9.9.9.9 (Quad9) ва кадомашро бояд дар роутери худ гузорам?¶

Ҳардуи онҳо зуд, ба махфият эҳтиром гузоштан, ҳалкунандаҳои глобалии ҳамаҷонибаи DNS мебошанд, ки аз ҷониби созмонҳои бонуфуз идора карда мешаванд ва яке аз онҳо шуморо аз рабудани ISP ё рабудани роутер муҳофизат мекунад. Стандарт **`1.1.1.1`** (Cloudflare) ва **`8.8.8.8`** (Google) ҷавобҳои тозаи DNS-ро барои ҳар як домен дар интернет бармегардонад. **`9.9.9.9`** (аз ҷониби Фонди ғайритиҷоратии Quad9 идора карда мешавад) ва **`1.1.1.2`** (Cloudflare for Families - Блоки нармафзори зараровар) ба таври худкор ҳар як ҷустуҷӯи доменро бар зидди каналҳои глобалии таҳдидҳои иктишофии вебсайтҳои фишинги маълум, фармон ва назорати нармафзори ransomware (`C2`) серверҳо ва доменҳои иттилоотии дуздӣ, бастани пайвастшавӣ дар қабати DNS пеш аз он ки саҳифаи зараровар ҳатто бор кунад.

Дастурҳои алоқаманд¶

• Амнияти роутерҳои хонагӣ ва дастгоҳҳои IoT
• Wi-Fi-и ҷамъиятӣ, нуқтаҳои дастрасии Evil Twin ва муҳофизати шарбати USB
• Васеъ кардани браузери шубҳанок, дуздии буфер ва нест кардани таблиғ
• Пахши изтирории истисмори сифррӯза ва изолятсияи дастгоҳи анҷоми ҳаёт
• Раббии номи домен, DNS-и мӯҳлаташ гузашта ва гирифтани вебсайт
• Рақамҳои фавқулоддаи ҷаҳонӣ

Сарчашмаҳо тафтиш карда шуданд¶

• Агентии Амнияти Киберамният ва Инфрасохтор (CISA) ва Агентии Амнияти Миллӣ (NSA) (Иёлоти Муттаҳида): Варақаи иттилоотии киберамният (Интихоби хидмати муҳофизатии DNS (PDNS) ва Истифодаи DNS-и рамзгузорӣ DoH / DoT дар корхонахо ва мухити хона).
• Гурӯҳи кории муҳандисии интернет (IETF) (байналмилалӣ): RFC 7858 (Мушаххасоти DNS аз болои амнияти қабати нақлиётӣ DoT), RFC 8484 (Дархостҳои DNS тавассути HTTPS DoH) ва RFC 9462 (Кашфи ҳалкунандаҳои таъиншуда DDR).
• Кумитаи машваратии ICANN Амният ва Субот (SSAC) (Байналмилалӣ): Машварат оид ба вайрон кардани инфрасохтори DNS, аз нав танзимкунии WAN роутер ва тасдиқи DNSSEC.
• Маркази Миллии Амнияти Киберӣ (NCSC) (Подшоҳии Муттаҳида): Архитектураи муҳофизатии DNS ва кам кардани ҳамлаҳои қаллобии DHCP ва шабакаи маҳаллӣ.