在CentOS服务器运维中，使用nmcli配置网络连接时，如果缺乏适当的防劫持和加密措施，你的网络流量可能被监听或篡改，导致数据泄露或服务中断。解决的核心在于配置强制DNS over TLS、禁用不安全的协议，并结合防火墙规则与证书验证，确保连接全程加密且可信。
理解网络劫持的风险与常见手段
网络劫持通常发生在DNS查询或HTTP/HTTPS传输环节。攻击者可能通过ARP欺骗、DNS污染或中间人攻击，将你的流量导向恶意服务器。例如，公共Wi-Fi或配置不当的数据中心网络是高风险环境。在CentOS中，NetworkManager默认通过DHCP获取DNS设置，这可能使用未加密的DNS服务器，让你的域名查询暴露无遗。
使用nmcli配置加密的DNS over TLS
首先，通过nmcli为网络连接启用DNS over TLS（DoT），这能加密所有DNS查询，防止劫持。假设你的网络连接名为"eth0"，且使用Cloudflare的加密DNS（1.1.1.1），操作如下：
# 查看当前连接 nmcli connection show # 为eth0设置加密DNS服务器并启用DoT nmcli connection modify eth0 ipv4.dns "1.1.1.1" nmcli connection modify eth0 ipv4.dns-search "" nmcli connection modify eth0 ipv4.dns-options "single-request-reopen" nmcli connection modify eth0 ipv4.ignore-auto-dns yes nmcli connection modify eth0 ipv4.dns-over-tls yes # 应用更改并重启连接 nmcli connection up eth0
启用后，使用命令resolvectl query example.com验证DNS查询是否通过TLS加密。注意，DoT依赖系统解析器（systemd-resolved），确保其已运行：systemctl status systemd-resolved。
禁用不安全协议并强制HTTPS重定向
除了DNS，应用层协议也需加固。如果你的服务器运行Web服务，应禁用HTTP，强制使用HTTPS。在Nginx或Apache配置中设置301重定向。同时，通过nmcli管理防火墙，限制不必要的端口：
# 使用firewalld开放仅必要端口（如443、22） firewall-cmd --permanent --add-service=https firewall-cmd --permanent --add-service=ssh firewall-cmd --reload # 检查当前连接的安全协议设置 nmcli connection show eth0 | grep -i security
对于内部网络，考虑启用MACsec或IPsec，但需硬件支持。nmcli支持MACsec配置，但通常在企业级网络中部署。
配置证书验证与防止中间人攻击
加密连接必须验证证书真实性。在CentOS中，更新受信任的CA证书包：yum update ca-certificates。如果你使用自定义证书，确保其有效且未过期。对于客户端工具如curl或wget，设置严格证书检查：
# 在/etc/profile或用户bashrc中添加 export CURL_CA_BUNDLE=/etc/pki/tls/certs/ca-bundle.crt
此外，定期检查网络连接是否有异常ARP条目：arp -a。部署工具如Arpwatch可监控ARP欺骗。
结合系统级安全策略加固网络
单独配置nmcli不足以防劫持，需结合SELinux和审计日志。启用SELinux并设置网络相关策略：setsebool -P httpd_can_network_connect on（如果运行Web服务）。使用auditd监控网络事件：
# 添加审计规则监控网络接口更改 auditctl -w /etc/sysconfig/network-scripts/ -p wa -k network_config
同时，定期更新NetworkManager和系统：yum update NetworkManager，以修补已知漏洞。
监控与故障排除实战步骤
配置后，持续监控是防劫持的关键。使用tcpdump抓包验证加密：tcpdump -i eth0 port 853 -v（DoT端口）。检查DNS泄漏：通过在线工具或命令dig +short TXT o-o.myaddr.l.google.com @1.1.1.1（注意，此处仅示例，实际避免使用外部服务，可改用内部DNS测试）。如果连接失败，检查NetworkManager日志：journalctl -u NetworkManager。
高级场景：多网卡与VPN集成配置
对于复杂环境（如多网卡服务器），需为每个连接单独设置加密。假设eth0用于公网，eth1用于内网，为eth0启用DoT，eth1使用私有DNS。通过nmcli配置文件：/etc/NetworkManager/system-connections/手动编辑，添加dns-over-tls=1。若需通过其他加密隧道转发流量，可结合路由规则：
# 添加特定流量路由 nmcli connection modify eth0 ipv4.routes "192.168.100.0/24 10.0.0.1"
注意，避免在未加密隧道中传输敏感数据，确保端到端加密。
总结：构建纵深防御体系
CentOS运维中，nmcli连接防劫持与加密不是单一操作，而是涵盖DNS、协议、证书和监控的体系。核心步骤包括：启用DNS over TLS、禁用HTTP、更新证书、配置防火墙，并定期审计。企业用户应延伸至MACsec和SELinux策略。记住，网络安全是持续过程，每次配置变更后，使用工具验证加密效果，才能确保数据在传输中不被窥探或篡改。
