是否有互联网组织可以投诉 ISP DNS 劫持？

Question

我有一个带有来自不同 ISP 的两个 WAN 连接的路由器。当我从 ISP-A 查询 8.8.8.8 的域时，我得到了完全不同的回复，与我从 ISP-B 查询 8.8.8.8 的同一个域时得到的回复完全不同。

我开始认为他们中的一个正在将流量从 8.8.8.8 和 8.8.4.4 重新路由到他们自己的 DNS 服务器，以避免在他们的主管道上携带该带宽。因此，对域的 IP 所做的更改不会在我认为重新路由流量的那个站点上显示得那么快。

如果 ISP 对此不采取任何措施，是否有人可以抱怨喜欢 ICANN、LACNIC 或 ARIN？谁来监管 ISP？我将如何收集证据？DIG 屏幕截图？

Answer 1

我知道世界上零个国家的监管机构既 a) 关心，b) 又有权惩罚 IP 欺骗犯规行为。

国际组织都缺乏 b)，而且在联邦层面，你可能也不会成功，例如：

FCC（美国）可能是最受欢迎的，它在某种程度上确实很在​​意，并且很乐意登记您的正式客户投诉，然后建议您部署 DNSSEC 以缓解安全问题，并承认他们对 ISP 的权力为零。

Bundesnetzagentur（德国）属于“有权”组（他们确实起诉电话号码欺骗、低互联网速度、非法 ToC）最近（在类似情况下）明确告诉我，他们不在乎。

那么，什么可以做什么？

• 众所周知，一些 ISP 会这样做，并且或多或少会公开承认他们在什么情况下会这样做。您可能能够更改您的合同以避免它（例如，大多数 ISP 具有单独的最终用户和业务合同，后者包括较少的恶作剧）。
• 德国 DSL 前垄断者Telekom Deutschland已于 2019 年 4 月停止提供欺骗性回复，显然是在了解有关数据操纵和基于隐私的正式投诉的刑事调查程序后不久。他们一直通过提供虚假的 A 记录将客户重定向到广告合作伙伴。由于目前难以估计公司因侵犯隐私而受到的潜在制裁，因此GDPR等中的此类条款的威胁可能就足够了。

话虽如此，您还不确定您的 ISP 是否正在这样做，您的测试不充分，查询更新的速度不确定，甚至对于 googles 8.8.8.8（这显然不是一台机器，并且不一定为每台机器运行相同的设置，请参阅https://peering.google.com/）。一些同样不充分（因为只捕获少数特殊情况）的测试是：

• 谷歌对 SERVFAIL 进行处理dig version.bind chaos txt @8.8.8.8，但在两者之间缓存解析器通常会响应（通常是粗鲁的）。
• 查询在其各自的 TLD ( dig .com. in TXT @8.8.8.8) 中未正确编码或以其他方式无效的域名- Google 会说 NXDOMAIN，其他解析器会说 SERVFAIL。
• 如果您的ISP做的所有和任何DNS查询，而不仅仅是谷歌的人，你可能会设立一个简单的DNS解析器（像验证dnsmasq --no-resolv --server /example.com/127.0.0.8/ --bind-interfaces --listen-address 192.0.2.1 --log-queries），然后看看谁是查询它，当你通过不同的ISP访问它（dig example.com @192.0.2.1）。最明显的线索是，当你直接查询你的服务器时，你收到的响应比你的解析器日志中显示的查询多（这就是我如何确定我是否被缓存解析器所使用）。