macOS DNS劫持可通过五种本地配置解决：一、手动配置加密DNS（DoH/DoT）；二、禁用mDNSResponder的DNS代理行为；三、强制静态DNS并禁用DHCP分配；四、启用DNSSEC验证；五、屏蔽ISP HTTP重定向响应。
如果您在使用 macOS 系统时发现访问正常域名却跳转至广告页、搜索页或无法解析真实 IP，可能是遭遇了 DNS 劫持或 ISP 强制插入重定向页面。以下是针对该问题的多项本地配置技巧：
一、手动配置加密 DNS（DoH / DoT）
通过系统级启用基于 HTTPS 或 TLS 的加密 DNS 查询，可绕过本地网络中明文 DNS 请求被篡改的风险，确保解析请求直达可信解析器。
1、打开“系统设置” → “网络”，点击当前连接右侧的“详细信息…”按钮。
2、切换到“DNS”标签页，点击左下角“+”号，删除所有现有 DNS 服务器地址。
3、添加以下任一加密 DNS 提供商的 DoH 地址（需配合支持 DoH 的客户端或系统版本）：https://dns.google/dns-query 或 https://cloudflare-dns.com/dns-query。
4、若使用 macOS Ventura 及更新版本，可在“网络”→“详细信息…”→“DNS”中直接粘贴上述 URL；旧版本需借助终端命令或第三方工具启用 DoH。
二、禁用 mDNSResponder 的 DNS 代理行为
macOS 内置的 mDNSResponder 进程默认会响应 .local 域名并可能转发其他查询至 ISP 提供的 DNS，关闭其非必要转发可减少中间劫持面。
1、以管理员身份打开终端，执行命令停用 DNS 转发功能：sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist。
2、编辑配置文件限制自动 DNS 获取：sudo nano /etc/resolv.conf，手动写入仅含可信 DNS 的行，例如：nameserver 8.8.8.8 和 nameserver 1.1.1.1。
3、重新加载服务：sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist。
三、配置网络接口强制使用静态 DNS 并禁用 DHCP 分配 DNS
阻止路由器或 ISP 通过 DHCP 协议推送不可信 DNS 地址，确保系统始终使用预设的纯净解析服务。
1、进入“系统设置” → “网络”，选择当前活跃连接，点击右下角“详细信息…”。
2、在“DNS”标签页中，确认已移除全部动态获取的 DNS 条目；在“高级”→“TCP/IP”标签页中，将“配置 IPv4”改为“手动”。
3、在“DNS 服务器”区域输入两个以上独立来源的 DNS 地址，例如：8.8.8.8、1.1.1.1、208.67.222.222（OpenDNS）。
4、勾选“忽略来自 DHCP 服务器的 DNS 服务器地址”选项（如存在），保存设置。
四、启用 DNSSEC 验证（通过 Stubby 或 dnscrypt-proxy）
DNSSEC 可验证 DNS 响应是否来自权威服务器且未被篡改，需借助第三方本地解析器实现完整链路验证。
1、使用 Homebrew 安装 dnscrypt-proxy：brew install dnscrypt-proxy。
2、运行初始化命令生成配置：sudo dnscrypt-proxy -service install。
3、编辑配置文件启用 DNSSEC：sudo nano /usr/local/etc/dnscrypt-proxy/dnscrypt-proxy.toml，将 require_dnssec = true 设置为 true。
4、将系统 DNS 指向本地监听地址：127.0.0.1，并在网络设置中移除其他所有 DNS 条目。
五、屏蔽 ISP 强制导航的 HTTP 重定向响应
部分 ISP 在用户 DNS 解析失败时返回伪造的 302 重定向页面（如“您访问的网站暂时无法打开”），通过拦截 HTTP 层响应可规避此类干扰。
1、安装 mitmproxy 或 Charles Proxy 工具，并配置系统代理为 127.0.0.1:8080（需开启 SSL 代理并安装根证书）。
2、编写简单脚本过滤包含 ISP 导航特征的响应头，例如匹配 Location: http://114.114.114.114/ 或 X-ISP-Redirect: true 字段。
3、在终端中启用透明代理规则：sudo pfctl -f /etc/pf.conf，其中 pf.conf 包含将 80/443 端口流量重定向至本地代理的规则。
