内网服务因DNS配置被浏览器误判为钓鱼的解决方案求助

网络端配置方案（无需逐个修改客户端） #

• 启用Hairpin NAT（发夹NAT）：调整路由器配置，让内网设备访问子域名时，DNS解析到公网IP，路由器自动将流量转发回内网服务的私有IP（192.168.7.X）。这样内外网解析的IP完全一致，浏览器的安全机制不会因IP不匹配触发钓鱼警告。注意：部分入门路由器可能不支持该功能，需确认路由器固件（如OpenWRT、梅林固件等）是否支持，配置时需确保端口转发规则正确映射公网端口到内网服务端口。
• 验证域名所有权（更新安全数据库）：在Google Search Console提交域名并完成所有权验证（如DNS记录验证、HTML文件验证等），验证后Google会更新Safe Browsing数据库，移除对该域名的钓鱼标记。同理，可在Mozilla的Phish Report Portal提交误判申诉，提供域名所有权证明，请求移除标记。
• 配置DNSSEC规范解析记录：在公网DNS服务商处为域名启用DNSSEC，并确保本地DNS服务器同步正确的DNS记录（包括A/AAAA、SPF、DKIM等）。浏览器的安全机制会校验DNS解析的合法性，避免因解析记录不规范触发误判。

客户端配置方案（适合个别设备调整） #

• 添加域名到浏览器受信任站点：
  • Chrome：进入设置 > 隐私和安全 > 安全 > 受信任的站点，点击“添加”，输入子域名（如https://pihole.xxxx.xx）并确认。
  • Firefox：进入设置 > 隐私与安全 > 权限 > 网站权限 > 管理权限，添加子域名并设置为允许所有权限；或在地址栏警告弹窗中选择“高级 > 继续访问（不安全）”并勾选“记住此决定”。
• 导入本地CA根证书到系统信任存储：若使用自签HTTPS证书，将CA根证书安装到客户端系统信任列表：
  • Windows：打开证书管理器，将证书导入“受信任的根证书颁发机构”。
  • macOS：打开钥匙串访问，将证书添加到“系统”钥匙串并设置为信任。
  • Linux：将证书复制到/usr/local/share/ca-certificates/目录，执行update-ca-certificates命令更新信任列表。
• 修改客户端hosts文件：在客户端hosts文件中添加子域名与内网IP的映射（如192.168.7.X pihole.xxxx.xx），部分浏览器会优先读取hosts记录，减少解析不一致的判定，但该方法需逐个客户端配置，适合少量设备。

内容的提问来源于stack exchange，提问作者Jakub Krajč