什么是 DNS？

DNS（域名系统）是一种分布式命名系统，帮助应用程序定位网络资源。网站名称可以解析为 IPv4 或 IPv6 地址，而其他记录则用于引导电子邮件投递或标识权威域名服务器。一个域名不一定只指向一台服务器。

DNS 查询如何进行

您的设备通常会向递归解析器请求应答。如果解析器没有缓存的应答，它会沿着 DNS 委派链，从根域经由顶级域，一直查找到负责该名称的权威服务器。权威服务器发布区域数据；解析器把相应的应答返回给客户端。注册商和 DNS 运营商可以是不同的机构。

解析器会根据每条记录的生存时间（TTL）在一段时间内缓存应答，也可能缓存某些否定应答。因此，在记录刚被添加或修改后的短时间内，不同用户可能会看到不同的结果。在注册商处更换域名服务器会改变委派；而在现有权威服务器上编辑 A 记录会改变区域数据。这是两种不同的操作。

常见的 DNS 记录

A 记录把名称映射到 IPv4 地址，AAAA 记录把名称映射到 IPv6 地址。MX 标识邮件交换服务器，NS 标识权威域名服务器，CNAME 创建名称别名，TXT 承载文本，用于域名验证或邮件认证等用途。查询时要明确指定记录类型：MX 记录没问题，并不代表网站就能访问。

迁移网站时，更新其地址记录可能就足够了。如果同时更换 DNS 服务商，请在切换委派之前复制所需的 MX、TXT 及其他记录。即使网站能够打开，缺失的邮件记录也可能导致邮件投递中断。DNS 应答本身只描述命名数据；它无法证明服务器接受连接、拥有有效的 TLS 证书，或者应用程序运行正常。

隐私与 DNSSEC

客户端与解析器之间的传统 DNS 查询通常不加密。DNS over HTTPS 和 DNS over TLS 会对这一段传输进行加密，但所选的解析器仍然可以看到它处理的查询。在信任链有效的情况下，DNSSEC 会对已签名的 DNS 数据进行认证；它不会加密查询，也不会让网站变得安全。这些机制解决的是不同的问题。

逐步排查故障

如果新网站打不开，请查询其 A 和 AAAA 记录，并确定权威域名服务器。把它们的应答与一个或多个递归解析器的应答进行比较。如果权威应答是新的，而递归应答仍是旧的，那么缓存很可能是原因。如果权威应答本身有误，请检查区域数据和委派。向技术支持反馈时，请记录准确的名称、记录类型、解析器和时间。

在 DNS 返回预期的地址之后，再分别排查下一层：网络可达性、服务器响应、TLS 和应用程序错误。按这个顺序排查，就不会为了修 Web 服务器的问题，反而去改动本来正确的 DNS 记录。该协议的基础在 RFC 1034 和 RFC 1035 中有详细说明。

解析器隐私与 DNS 泄露

DoH 或 DoT 会加密从客户端到解析器的这一段，但选择哪个解析器是另一回事。浏览器、操作系统和 VPN 可能使用不同的设置。请参阅 DNS 泄露测试能观察到什么以及 DoH 与 DoT 对比。