截至2025年5月，DNS劫持的防护措施确实在持续升级，但具体升级程度因地区、运营商和用户自身配置而异。
目前主要的防护升级方向包括：
-
DNSSEC（域名系统安全扩展）部署增加： 越来越多的顶级域名和权威DNS服务器强制或默认启用DNSSEC，这能在一定程度上验证DNS响应的真实性，防止缓存投毒和中间人篡改,国内头部云服务商和域名注册局近年来的DNSSEC支持率有显著提升。
-
HTTPS与DoH/DoT普及： 浏览器和操作系统层面，HTTPS加密连接已成为默认选项（甚至强制TLS 1.3），Chrome、Firefox、Edge等主流浏览器已默认支持并推荐使用DNS over HTTPS (DoH) 或DNS over TLS (DoT)，这意味着你的DNS查询请求在传输过程中是加密的,即使ISP或路由器层面的劫持也较难直接读取或篡改。
-
运营商自查与监管： 部分国家（如中国）的工信部和网信办持续加强了对运营商DNS劫持的监管和整治，通常运营商会将劫持行为（如插入广告或强制跳转）转向更合规的“缓存加速”或“重定向”模式，但这种“升级”仍可能被用户视为一种受限的劫持。
-
智能路由器与防火墙功能： 很多家用路由器固件（如OpenWrt、梅林、小米等品牌）新增了DNS劫持检测和强制DNS加密功能，可自动拦截异常DNS包或强制将局域网所有DNS查询转发至可信的DoH/DoT服务器（如阿里、腾讯、DNSPod、Cloudflare的DoH服务）。
但需注意：
- 运营商级劫持依然存在：在部分偏远地区或特定网络环境下，运营商仍可能通过网关设备执行HTTP/HTTPS流量层面的重定向或插代码（而非直接改DNS），这种更底层的劫持需要更复杂的防护（如全局代理、VPN或使用自定义Hosts）。
- 针对普通用户的威胁降低：对于普通上网用户，开启浏览器的安全DNS功能（设置-隐私与安全-选择Cloudflare或自动模式），就能很大程度上防止大部分常见的DNS劫持（如强制跳转至广告页或钓鱼网站）。
- 企业级防护更严格：大型企业通常部署了内部DNS安全网关，结合威胁情报实时阻断恶意域名,并通过DNSSEC验证确保上游权威解析的完整性。
如果你使用的是最新版浏览器（Chrome 120+，Edge 120+）并启用了安全DNS（DoH），同时路由器也设为仅使用加密DNS（如：https://dns.alidns.com/dns-query），那么遭遇DNS劫持的概率已大幅降低，但若仍遇到运营商直插HTTP代码或深度包检测（DPI）级别的劫持，则需配合全局加密代理（VPN/V2Ray/Trojan）来彻底规避。
建议你立即检查以下设置来获得当前最优防护：
- 浏览器：
设置 -> 隐私 -> 使用安全DNS（开启并选择Cloudflare或自定义（阿里DoH））。 - 路由器：关闭运营商自动分配的DNS，手动填写
2400:3200::1（阿里）或1.1.1（Cloudflare）的DoT/DoH地址。 - 系统级：在Windows/macOS/手机的网络设置中,同样将DNS指定为加密DNS解析器。
升级后的防护效果取决于你主动采取的加密措施，只要DNS查询本身处于加密通道内，至少95%的常见劫持即可被有效屏蔽。
