DNS 基础、故障排查、安全与实用工作流，由开发本工具的团队撰写。
渐进式切换优于一次性切换
蓝环境
100% 流量
加权分流
95/5，然后 50/50
绿环境
100% 流量
通过修改 DNS 在两个环境之间切换流量，纸面上看起来很简单，但 TTL 和缓存会让实际操作复杂得多。
一个 IP 对应一台服务器，还是对应多台
单播
一个 IP 恰好对应一台服务器
任播
一个 IP，从多个位置同时通告
同一个 IP 地址，同时从数十个地点对外通告，这就是任播（anycast）。大型 DNS 服务商正是借助它，在全球各地都保持快速而稳定的服务。
为什么查询结果显示的是 CDN，而非源站
访客
查询该域名
CDN 边缘节点
104.21.x.x
DNS 返回的就是它
源站服务器
真实 IP，从不暴露
内容分发网络真正的奥妙发生在 DNS 层，早在任何一个字节的内容被请求之前，流量的去向就已经决定了。
每个 IPv4 地址段都有对应的 IPv6 地址段
从安全角度看，IPv6 并不只是“地址更多的 IPv4”，它的几处差异确实改变了威胁模型，值得认真对待。
用伪造应答赢得竞速
攻击者
与真实响应抢先
伪造的应答
率先到达
解析器缓存
共用该缓存的所有人都被投毒
伪造 DNS 响应来重定向流量，是网络领域最古老的手法之一，也是 DNSSEC 与现代解析器防御机制存在的原因。了解其原理与应对方式。
公网与私有地址空间
公网 IP
192.0.2.10
全球唯一，可从任何地方路由
私有地址段
无法在公共互联网上路由
10.0.0.0/8、192.168.0.0/16 及其相邻地址段的存在，正是为了让它们永远不是全球唯一的，本文说明这对 DNS 为什么重要。
SSRF 会让服务器沦为不知情的代理
攻击者
构造请求 URL
存在漏洞的服务器
被 SSRF 诱骗而发起请求
169.254.169.254
元数据端点
凭据
返回给攻击者
一个看似不可路由的 IP 地址，就能让云实例读取凭证和配置信息，因此它也是 SSRF 攻击中最常见的目标之一。本文解释其原理与防御思路。
同一个地址，四种写法
服务端请求伪造往往只始于一个域名：您的服务器被诱骗去解析并请求它。本文说明 DNS 在其中扮演的角色以及真正有效的防御。
同一个域名，两个不同的答案
首次请求
解析为公网 IP
校验
通过，看起来安全
TTL 过期
数秒之后
第二次请求
解析为 127.0.0.1
一个域名先解析到安全的公网地址，随后又解析到内部地址：DNS 重绑定让 DNS 本身成为攻击面。了解它的原理，以及唯一可靠的防御方法。
四个层级，按顺序排查
DNS
解析域名
传输层
TCP 连接
TLS
证书验证
应用层
HTTP 响应
这条笼统的浏览器错误涵盖了几种互不相关的故障模式，而 DNS 往往是最快能先排除或确认的一个。
“传播”其实只是缓存过期
0 分钟
您保存了更改
0-5 分钟
您的 DNS 托管商完成更新
最长到 TTL
旧答案仍在缓存中
TTL 之后
所有人都看到新答案
没有任何内容被推送出去，只是各个缓存不再复用自己的副本
您更新了记录，等了一阵，看起来还是不对。在断定出了故障之前，请按顺序逐项排查。
一次查询通常应耗时多少
网站加载缓慢，有时其实是 DNS 查询慢在作怪。本文教您如何分辨二者，并说明常见的成因。