hagezi/dns-blocklists项目中的域名解封案例分析

背景介绍

hagezi/dns-blocklists是一个知名的DNS域名过滤列表项目，主要用于广告拦截、隐私保护和网络安全防护。该项目维护多个不同严格程度的过滤列表，其中"Multi ULTIMATE"是最严格的列表之一。

问题描述

近期有用户反馈，在使用Apple TV上的ESPN应用时，无法通过有线电视提供商登录观看直播体育内容。经过排查发现，该问题是由于hagezi/dns-blocklists项目中的"Multi ULTIMATE"列表拦截了关键域名*.sp.auth.adobe.com导致的。

技术分析

域名拦截原因

该域名被拦截的主要原因是其CNAME记录指向了adobepass.com。在DNS过滤机制中，当主域名被列入黑名单时，其所有子域名和CNAME记录通常也会被一并拦截。这是一种常见的安全防护策略，可以防止通过子域名或别名绕开主域名的拦截。

影响范围

该拦截影响了以下使用场景：

1. 设备类型：Apple TV 4K
2. 操作系统：tvOS
3. 受影响应用：ESPN应用
4. 具体功能：通过第三方有线电视提供商登录观看直播内容

解决方案评估

项目维护者经过评估后认为，虽然该域名确实与Adobe Pass身份验证服务相关，但考虑到它对于ESPN应用核心功能的重要性，决定将其从拦截列表中移除。这种权衡在DNS过滤领域很常见，需要在安全防护和功能完整性之间取得平衡。

技术启示

1. DNS过滤的精准性：现代DNS过滤系统需要越来越精准，避免误伤合法业务功能。
2. CNAME连锁反应：一个域名的拦截可能会通过CNAME记录影响到其他看似不相关的服务。
3. 功能完整性考量：对于影响核心业务功能的拦截，需要特别谨慎评估。
4. 用户反馈机制：完善的用户反馈渠道对于维护高质量的过滤列表至关重要。

结论

本次案例展示了DNS过滤列表维护中的典型挑战。hagezi/dns-blocklists项目通过及时响应用户反馈，合理调整过滤策略，既保持了高水平的安全防护，又确保了关键应用功能的可用性。这种平衡对于任何DNS过滤解决方案都至关重要，也是该项目广受欢迎的原因之一。