如何排查 DNS 错误？

浏览器提示的“DNS 错误”描述的是一种症状，而不是单一的根本原因。可能是名称输错了、权威服务器无法访问、解析器仍保存着旧应答，或者 DNSSEC 验证失败。在更改配置之前，先确定是哪个环节出了问题。

区分不同的响应

NXDOMAIN 表示根据给出应答的 DNS 服务器，所查询的名称不存在。NODATA 是一个常用说法，指名称存在但没有所请求类型的记录：例如它可能有 A 记录却没有 AAAA 记录。SERVFAIL 表示服务器无法完成查询；它并不能证明该名称不存在。超时表示没有在规定时间内收到应答，需要检查可达性。

响应中可能附带更多细节。RFC 8914 定义了扩展 DNS 错误（Extended DNS Errors），可以在不改变原始响应码的情况下解释部分 SERVFAIL 的原因。并非所有工具都会显示这些信息。

沿解析路径排查

首先核对准确的名称和记录类型。找出该域名的权威域名服务器，并直接查询其中一台。如果出现超时或报错，请检查委派、可达性和区域配置。如果权威应答正确而递归应答不同，请使用域名配置检查比较其缓存和所选解析器。

比较 A 和 AAAA：网站可能通过 IPv4 能正常访问，而通过 IPv6 失败。对于邮件，先检查 MX，再检查所选邮件主机的地址记录。HTTP 404 或 TLS 警告发生在名称解析之后，需要单独排查。不要因为浏览器显示了笼统的错误信息就盲目更改 DNS 设置。还可以用 2IP DNS 响应时间检测补充检查。

检查缓存和设备

通过另一个递归解析器、从另一台设备进行相同的查询。如果只有一台设备出现故障，问题多半出在它的网络连接、系统解析器、浏览器 DoH 设置或本地缓存上。如果各解析器始终返回 NXDOMAIN，请确认域名注册、委派以及该记录是否存在于当前生效的区域中。

记录创建后，否定应答可能仍保留在缓存中。RFC 2308 解释了 NXDOMAIN 和 NODATA 的缓存机制。请记下相关的 TTL 和修改时间，而不是反复编辑一个本已正确的区域。

向技术支持提供有用的证据

联系技术支持之前，请记下完整名称、记录类型、查询时间、解析器地址和响应码。附上来自权威服务器和递归服务器的应答，但不要泄露密码或令牌。这些证据能够区分 DNS 数据错误、网络故障和应用问题，从而有针对性地修复。