DNS 检查工具：如何正确检查 DNS 记录

DNS 检查工具是查看解析器当前能为某个域名获取到哪些记录的便捷方式。更换网站主机、配置邮件、迁移 DNS 服务商，或排查某个无法解析的名称时，人们都会用到它。检查结果只是一份快照，并不能保证所有递归解析器都已更新，也不能保证底层服务可用。要让检查真正有用，需要选对确切的主机名，选择与症状相匹配的记录类型，并把“应答为空”与“DNS 错误”区别对待。这三个步骤可以避免许多误报，也能帮您判断应当重点关注哪一层配置。

选择能回答您问题的记录

查看网站的 IPv4 地址，请检查 A 记录；查看 IPv6 地址，则检查 AAAA 记录。子域名可能通过 CNAME 指向托管服务商的主机名，而不是直接带有地址。邮件投递首先取决于 MX 记录，而 TXT 记录常用于发布 SPF、DKIM、DMARC 以及所有权验证数据。NS 记录显示某个区域列出了哪些域名服务器，SOA 则给出与该区域相关的管理信息和时间参数。因此，当问题出在邮件投递、被委派的子域名或验证环节时，只检查 A 记录是不够的。请从受影响的服务出发，把症状对应到相应的记录类型。

接下来，请准确核对所查询的名称。example.com、www.example.com 和 api.example.com 是各自独立的 DNS 名称，返回的应答可能完全不同。完整限定域名写法中末尾的点代表根，在用户界面中通常可以省略。不要把带路径的完整 URL 直接粘贴进去，指望检查工具自己判断哪个主机名才重要，请先提取出主机名。如果您在验证一条新记录，请把返回的值与服务商给出的说明逐字符比对。TXT 策略常常包含标点、分隔符或很长的字符串，看似微小的拼写错误就可能让整条记录失效。

理解不同应答从何而来

DNS 是分布式且带缓存的。权威域名服务器保存区域已发布的数据，而递归解析器为用户提供应答，并可能缓存先前的响应，直到其 TTL 过期。因此，如果两个检查工具查询的解析器、地点或记录版本不同，它们暂时显示的值可能不一致。能够查询多个地点的检查工具有助于说明差异的存在，但并不能证明所有网络都已趋于一致。如果某个结果与预期配置不符，请先找出是哪个解析器给出了应答，再把它与权威域名服务器进行比对。随后，在再次做出修改之前，请先考虑 TTL 以及旧值是何时被缓存的。

• NOERROR 但没有所请求的记录，可能意味着该名称存在，只是没有该类型的数据。
• NXDOMAIN 表示所查询的名称被报告为不存在。
• SERVFAIL 表示解析器未能成功完成查询。
• 超时表示在检查工具的等待时间内没有收到任何响应。
• 出现多个 A 或 AAAA 应答，可能是出于冗余或流量分配的有意设计。

把 DNS 检查变成安全的排障步骤

修改 DNS 时，请保留一份修改前后的记录。记下名称、类型、值、TTL、解析器和时间，更新后再重复同样的查询。如果权威服务器已返回新值，而某个递归解析器仍返回旧值，那么等待缓存过期可能是合适的做法；反复修改记录只会让情况更难诊断。如果各权威服务器之间的应答不一致，请排查区域复制或服务商的配置。如果所有 DNS 应答看起来都正确，而网站仍然无法访问，就应转向检查连通性、TLS、路由或应用健康状况，而不是继续盲目修改 DNS。

最后，请根据应答的适用范围来对待它。公网 DNS 检查适用于本就应当在公网上可见的域名和记录，不能用来检查某个组织仅限内部使用的命名空间。DNS 返回的 IP 可能是 CDN 边缘节点、负载均衡器或反向代理，而不是托管应用的那台机器。如果您只需要公网地址的应答，可以使用专门的域名转 IP 查询作为下一步。关于 A、AAAA、MX、TXT 和 NS 的术语与示例，请参阅 DNS 记录类型详解。

以审慎的态度解读检查报告

只要收到任何响应，DNS 检查工具就可能显示绿色标记，即使返回的值并不是您的服务所需要的值。请阅读原始的所有者名称、类型和数据，不要只依赖汇总的徽章。来自某一个地点的响应同样只是一个样本，并不保证全球一致。如果工具列出了许多地点，请记住每个地点代表的可能是某个特定的解析器及其缓存状态，而不是该地区的所有用户。请利用报告来选择下一步的诊断动作：与权威数据比对、查看 TTL，或测试服务本身。在没有确认某个 IP 是服务商所支持的端点之前，不要把它直接复制进生产配置。好的排障建立在明确的预期值以及形成该预期的理由之上，而不是仅仅看检查工具是否称结果“有效”。