DNS 工具集：解析鏈路逐跳定位
解析不對，全站皆錯。本文按「症狀→判據→處置」三段式覆蓋 DNS 六類高頻故障：記錄不生效、NS 委派斷鏈、TTL 緩存頑固、解析污染、郵件解析缺失、DNSSEC 校驗失敗，全部附定位命令。
DNS 故障的特點是症狀與根因距離最遠：「網站打不開」可能是 A 記錄、「郵件進垃圾箱」可能是 TXT、「換了服務器還有舊頁面」可能是 TTL。本篇按「症狀→判據→處置」三段式覆蓋六類高頻故障，每條給可復制的定位命令——解析鏈路逐跳查，不猜。本文屬於域名與 DNS 中心系列的工具分支；解析配置的完整實操在把域名指向服務器。
先懂鏈路：一次解析經過誰
完整鏈條五段：應用 → 本地緩存（瀏覽器/系統）→ 遞歸解析器（運營商或公共 DNS）→ 根/頂級域 → 權威 DNS（你的註冊商或自建）。排查的鐵律是從後往前排除：先確認權威側記錄正確（源頭），再逐級往前查緩存與遞歸——順序反了會把「源頭沒改對」誤判成「緩存問題」白等半天。
故障一：改了記錄不生效
- 症狀：面板改完 A 記錄，瀏覽器還是舊 IP 或打不開；
- 判據：繞過所有緩存直查權威——
dig +short A 你的域名 @權威NS地址；權威答對了=緩存問題（等 TTL 或清本地），權威答錯了=記錄沒保存對（值、記錄類型、主機名三查）； - 處置：權威錯→回面板核對（最常見：改了 www 忘了 @，或值裏多了空格）；緩存問題→本地
ipconfig /flushdns（Windows）或重啓解析服務，公共 DNS 換 1.1.1.1/8.8.8.8 對照驗證。
故障二：NS 委派斷鏈（整域癱瘓級）
- 症狀：域名整體解析失敗（不是單條記錄），換 DNS 服務商或轉移後高發；
- 判據：逐級追委派鏈——
dig +trace 你的域名：從根開始看每一級的 NS 應答；斷在哪一級（.com 說你的 NS 是 A，A 卻不應答/不含你的 zone）一目了然；再用dig NS 你的域名 +short對照註冊商面板裏填的 NS 是否一致； - 處置：註冊商側 NS 與新 DNS 服務商側的 zone 必須兩邊都配好——先在新服務商建好全部記錄，再改註冊商 NS；順序反了就是真空期。NS 變更全球收斂最長 24–48 小時（TTL 與緩存層級決定）。
故障三：TTL 緩存頑固
- 症狀：遷移後部分用戶仍訪問舊服務器，且「有的地區好了有的沒好」；
- 判據：
dig A 你的域名 +noall +answer看應答裏的 TTL 倒數；多地對照（不同公共 DNS 各查一次）——答案不一致=各級緩存還在各自倒數； - 處置：等（TTL 走完自然收斂）；預防：遷移前 48 小時把 TTL 降到 300 秒以內，遷完穩定一周再升回 3600——TTL 是遷移的降落傘，跳機前才開傘就晚了。
故障四：解析污染/劫持
- 症狀：特定地區用戶訪問到錯誤頁面/廣告頁，其他地區正常；
- 判據：同一域名在多個解析器對照——
dig @223.5.5.5 你的域名 +short、dig @1.1.1.1 你的域名 +short、dig @8.8.8.8 你的域名 +short：某個解析器的答案與權威不一致=該鏈路被污染；HTTP 明文站（無 TLS）被中間人插入內容也歸此類； - 處置：上 HTTPS（篡改立即可見：證書對不上瀏覽器直接攔）；開 DNSSEC（權威側籤名，遞歸側可驗證）；被污染嚴重地區考慮 DoH/DoT 引導或更換接入線路。
故障五：郵件解析缺失（進垃圾箱的頭號技術原因）
- 症狀：發信大量進垃圾箱或被退；
- 判據：三件套逐條查——
dig +short TXT 你的域名 | grep spf（SPF）、dig +short TXT selector._domainkey.你的域名（DKIM）、dig +short TXT _dmarc.你的域名（DMARC）；發信 IP 的反向解析dig +short -x 發信IP應指向你的域名； - 處置：缺哪條補哪條，配置全流程與 p=none→quarantine→reject 的上線節奏照SPF/DKIM/DMARC 一次配齊執行。
故障六：DNSSEC 校驗失敗
- 症狀：開了 DNSSEC 後部分用戶完全無法解析（比不開還糟）；
- 判據：
dig +dnssec A 你的域名：看 RRSIG 籤名是否在、是否過期；上級委派處dig DS 你的域名與權威側籤名密鑰比對——DS 記錄不匹配是最常見根因（換 DNS 服務商時忘了在註冊商更新 DS）； - 處置：修 DS 委派或暫時關閉 DNSSEC（恢復可用優先）；變更 DNSSEC 密鑰前先在註冊商側更新 DS，驗證通過再切——順序紀律與 NS 變更相同。
六類故障的共同預防清單
- 變更前查權威、變更後多點對：任何解析變更前後各跑一輪 dig（權威 + 兩個公共解析器），變更檔案留痕；
- TTL 分級：穩定記錄 3600 秒起（緩存幫你扛量），計劃變更的記錄提前 48 小時降到 300 以內；
- AAAA 與 A 成對維護：只配 A 不配 AAAA 的站點在 v6 優先網絡下體驗受損——雙棧記錄一起改、一起驗；
- 監控加一條 dig 撥測：每分鍾從外部查一次核心記錄，答案變化即告警——DNS 劫持與誤操作都能在分鍾級發現。
工具速查表
| 工具 | 用途 | 典型命令 |
|---|---|---|
| dig | 萬能查詢（指定記錄類型/指定解析器/追委派鏈） | dig +trace / @解析器 / +dnssec |
| host / nslookup | 快速查詢（無 dig 環境的替代） | host -t TXT 域名 |
| whois | 註冊信息、NS 委派、到期日 | whois 域名 | grep -E "Name Server|Expir" |
| 在線多地查詢 | 全球視角對照（污染/收斂排查） | 各家 DNS 檢查站（多解析器同時查） |
下一步
DNS 排查的心法一句話：先權威後緩存、先源頭後鏈路、多解析器對照。配置實操從指向服務器開始，證書與 SSL 鏈路在SSL 全鏈路排查，全景回域名與 DNS 中心。解析對了但訪問仍慢，轉診斷中心查線路。