DNS 工具集：解析链路逐跳定位
解析不对，全站皆错。本文按「症状→判据→处置」三段式覆盖 DNS 六类高频故障：记录不生效、NS 委派断链、TTL 缓存顽固、解析污染、邮件解析缺失、DNSSEC 校验失败，全部附定位命令。
DNS 故障的特点是症状与根因距离最远：「网站打不开」可能是 A 记录、「邮件进垃圾箱」可能是 TXT、「换了服务器还有旧页面」可能是 TTL。本篇按「症状→判据→处置」三段式覆盖六类高频故障，每条给可复制的定位命令——解析链路逐跳查，不猜。本文属于域名与 DNS 中心系列的工具分支；解析配置的完整实操在把域名指向服务器。
先懂链路：一次解析经过谁
完整链条五段：应用 → 本地缓存（浏览器/系统）→ 递归解析器（运营商或公共 DNS）→ 根/顶级域 → 权威 DNS（你的注册商或自建）。排查的铁律是从后往前排除：先确认权威侧记录正确（源头），再逐级往前查缓存与递归——顺序反了会把「源头没改对」误判成「缓存问题」白等半天。
故障一：改了记录不生效
- 症状：面板改完 A 记录，浏览器还是旧 IP 或打不开；
- 判据：绕过所有缓存直查权威——
dig +short A 你的域名 @权威NS地址；权威答对了=缓存问题（等 TTL 或清本地），权威答错了=记录没保存对（值、记录类型、主机名三查）； - 处置：权威错→回面板核对（最常见：改了 www 忘了 @，或值里多了空格）；缓存问题→本地
ipconfig /flushdns（Windows）或重启解析服务，公共 DNS 换 1.1.1.1/8.8.8.8 对照验证。
故障二：NS 委派断链（整域瘫痪级）
- 症状：域名整体解析失败（不是单条记录），换 DNS 服务商或转移后高发；
- 判据：逐级追委派链——
dig +trace 你的域名：从根开始看每一级的 NS 应答；断在哪一级（.com 说你的 NS 是 A，A 却不应答/不含你的 zone）一目了然；再用dig NS 你的域名 +short对照注册商面板里填的 NS 是否一致； - 处置：注册商侧 NS 与新 DNS 服务商侧的 zone 必须两边都配好——先在新服务商建好全部记录，再改注册商 NS；顺序反了就是真空期。NS 变更全球收敛最长 24–48 小时（TTL 与缓存层级决定）。
故障三：TTL 缓存顽固
- 症状：迁移后部分用户仍访问旧服务器，且「有的地区好了有的没好」；
- 判据：
dig A 你的域名 +noall +answer看应答里的 TTL 倒数；多地对照（不同公共 DNS 各查一次）——答案不一致=各级缓存还在各自倒数； - 处置：等（TTL 走完自然收敛）；预防：迁移前 48 小时把 TTL 降到 300 秒以内，迁完稳定一周再升回 3600——TTL 是迁移的降落伞，跳机前才开伞就晚了。
故障四：解析污染/劫持
- 症状：特定地区用户访问到错误页面/广告页，其他地区正常；
- 判据：同一域名在多个解析器对照——
dig @223.5.5.5 你的域名 +short、dig @1.1.1.1 你的域名 +short、dig @8.8.8.8 你的域名 +short：某个解析器的答案与权威不一致=该链路被污染；HTTP 明文站（无 TLS）被中间人插入内容也归此类； - 处置：上 HTTPS（篡改立即可见：证书对不上浏览器直接拦）；开 DNSSEC（权威侧签名，递归侧可验证）；被污染严重地区考虑 DoH/DoT 引导或更换接入线路。
故障五：邮件解析缺失（进垃圾箱的头号技术原因）
- 症状：发信大量进垃圾箱或被退；
- 判据：三件套逐条查——
dig +short TXT 你的域名 | grep spf（SPF）、dig +short TXT selector._domainkey.你的域名（DKIM）、dig +short TXT _dmarc.你的域名（DMARC）；发信 IP 的反向解析dig +short -x 发信IP应指向你的域名； - 处置：缺哪条补哪条，配置全流程与 p=none→quarantine→reject 的上线节奏照SPF/DKIM/DMARC 一次配齐执行。
故障六：DNSSEC 校验失败
- 症状：开了 DNSSEC 后部分用户完全无法解析（比不开还糟）；
- 判据：
dig +dnssec A 你的域名：看 RRSIG 签名是否在、是否过期；上级委派处dig DS 你的域名与权威侧签名密钥比对——DS 记录不匹配是最常见根因（换 DNS 服务商时忘了在注册商更新 DS）； - 处置：修 DS 委派或暂时关闭 DNSSEC（恢复可用优先）；变更 DNSSEC 密钥前先在注册商侧更新 DS，验证通过再切——顺序纪律与 NS 变更相同。
六类故障的共同预防清单
- 变更前查权威、变更后多点对：任何解析变更前后各跑一轮 dig（权威 + 两个公共解析器），变更档案留痕；
- TTL 分级：稳定记录 3600 秒起（缓存帮你扛量），计划变更的记录提前 48 小时降到 300 以内；
- AAAA 与 A 成对维护：只配 A 不配 AAAA 的站点在 v6 优先网络下体验受损——双栈记录一起改、一起验；
- 监控加一条 dig 拨测：每分钟从外部查一次核心记录，答案变化即告警——DNS 劫持与误操作都能在分钟级发现。
工具速查表
| 工具 | 用途 | 典型命令 |
|---|---|---|
| dig | 万能查询（指定记录类型/指定解析器/追委派链） | dig +trace / @解析器 / +dnssec |
| host / nslookup | 快速查询（无 dig 环境的替代） | host -t TXT 域名 |
| whois | 注册信息、NS 委派、到期日 | whois 域名 | grep -E "Name Server|Expir" |
| 在线多地查询 | 全球视角对照（污染/收敛排查） | 各家 DNS 检查站（多解析器同时查） |
下一步
DNS 排查的心法一句话：先权威后缓存、先源头后链路、多解析器对照。配置实操从指向服务器开始，证书与 SSL 链路在SSL 全链路排查，全景回域名与 DNS 中心。解析对了但访问仍慢，转诊断中心查线路。