DNS污染怎麼檢測？域名解析異常與污染排查方法

同一個域名，海外訪問正常，國內某些地區卻打不開；換一個網路後又能恢復；用不同 DNS 查詢時，回傳的 IP 甚至完全不一樣。遇到這種情況，很多人第一反應會去檢查伺服器、CDN 或網站程式，但如果源站本身運行正常，問題就很可能出在域名解析這一層。

DNS 污染之所以難排查，是因為它和普通 DNS 故障、快取未更新、CDN 智慧調度的表現很像。只在自己電腦上 Ping 一次，或者換一個公共 DNS 查詢，很難直接判斷到底是哪一環出了問題。

更穩妥的做法，是先從多地區解析結果入手，再結合權威 DNS、IP 歸屬和實際網路情況逐層驗證。下面就具體講清楚 DNS 污染怎麼檢測，以及域名解析異常時應該按什麼順序排查。

一、DNS污染是什麼？

正常情況下，使用者訪問一個域名時，裝置會先透過 DNS 查詢把域名轉換成伺服器可以識別的 IP 位址。

大致過程是：

使用者訪問域名
      ↓
本地 DNS / 遞迴 DNS
      ↓
查詢權威 DNS
      ↓
回傳正確 IP
      ↓
連線網站伺服器

DNS 污染的問題就在這個解析過程裡。

當 DNS 查詢收到異常、錯誤或偽造的解析結果後，使用者拿到的可能並不是網站真正應該訪問的 IP。這樣一來，即使伺服器和網站程式都運行正常，使用者也可能因為被解析到了錯誤位址而無法正常訪問。

例如，一個域名正常應該解析到：

203.0.113.10

但部分網路環境卻回傳：

198.51.100.25

而這個 IP 既不屬於源站，也不屬於目前使用的 CDN 或其他正常業務節點，就需要進一步檢查 DNS 解析過程是否存在異常。

需要注意的是，解析結果不同並不能直接等同於 DNS 污染。現在很多網站都使用 CDN、GeoDNS 或智慧解析，不同地區回傳不同 IP 本身很常見，真正需要關注的是這些 IP 是否屬於預期的業務範圍。

二、哪些情況可能說明域名存在DNS污染？

DNS 污染並沒有固定的瀏覽器報錯頁面，更多時候表現為「不同地方結果不一樣」。實際排查中，下面幾種情況比較值得注意。

1. 國內和海外解析結果差異明顯

如果海外多個節點都解析到正常伺服器或 CDN 位址，但國內部分地區持續回傳完全無關的 IP，就需要繼續驗證。比如：

假設198.51.100.x這組位址並不屬於目前業務，那麼上海、廣州節點就屬於明顯的異常線索。

2. 不同電信商回傳完全無關的IP

有時域名在電信網路解析正常，但聯通或行動卻回傳其他陌生 IP。

如果網站沒有設定電信商智慧調度，而且這些異常 IP 與源站、CDN 都沒有關係，就需要重點排查對應網路環境。

3. 海外能打開，國內部分地區無法訪問

這種情況經常被直接判斷成 DNS 污染，其實不能這麼快下結論。

除了 DNS 問題，還可能是：

• CDN 節點異常

• 網路路由故障

• 域名訪問受限

• TLS 或 HTTPS 設定問題

• IPv6 解析異常

所以，海外正常、國內異常只能說明「問題存在地區差異」，還需要繼續看 DNS 回傳結果。

4. 同一個域名反覆出現異常解析

如果同一地區多次查詢都穩定回傳一個明顯錯誤的 IP，而權威 DNS 和其他地區回傳正常，就比偶發一次異常更值得關注。

反過來，如果不同 IP 都屬於同一家 CDN 的正常節點，就不應該簡單判斷為污染。

三、DNS污染怎麼檢測？

只從自己本機測試，能夠看到的資訊非常有限。DNS 污染往往帶有明顯的地區和網路差異，因此多節點檢測更有參考價值。

可以使用 Chahu 的 DNS污染檢測 功能：

https://www.chahu.com/pollution

進入頁面後，直接輸入需要檢測的主域名即可，例如：

example.com

不需要輸入完整網址：

https://www.example.com/page/

因為這裡檢測的是域名解析，而不是網頁本身。

提交檢測後，重點不是只看某一個節點的結果，而是觀察不同地區之間有沒有明顯差異。

實際查看時，可以關注兩個問題：

第一，哪些地區回傳的是正常 IP？

正常 IP 通常應該屬於自己的源站、CDN 或已知業務節點。

第二，有沒有地區回傳完全陌生的位址？

如果大多數節點結果正常，只有少數地區持續出現異常 IP，就值得把這些地區單獨記錄下來繼續驗證。

這裡有一個判斷原則很重要：

DNS 污染檢測看的是「異常解析」，不是「IP 是否完全一致」。

對於使用 CDN 的網站來說，北京、上海、新加坡回傳三個不同 IP 完全可能是正常現象。真正應該警惕的是某個 IP 根本不屬於目前 CDN、源站或其他預期網路。

四、怎麼進一步確認是不是DNS污染？

多節點檢測發現異常後，不建議馬上下結論。最好再做幾組交叉驗證。

1. 對比不同DNS伺服器的查詢結果

可以在 Windows 中使用nslookup：

nslookup example.com 223.5.5.5

再換其他 DNS：

nslookup example.com 8.8.8.8

或者：

nslookup example.com 1.1.1.1

然後比較回傳的 IP。

如果不同 DNS 回傳完全不同的位址，說明解析結果確實存在差異，但仍然不能僅憑這一點判定污染。

因為 CDN、智慧 DNS、ECS 等機制本身就可能根據查詢來源回傳不同節點。

真正需要確認的是：這些回傳 IP 是否都屬於正常業務。

如果一個 DNS 回傳的是正常 CDN 節點，另一個卻長期回傳一個完全無關的位址，才更值得懷疑。

2. 對比權威DNS的結果

相比兩個公共 DNS 互相對比，直接檢查權威 DNS 更有參考價值。

可以先查域名目前的 Name Server，再向權威 DNS 確認解析結果。

如果權威 DNS 回傳：

example.com → 203.0.113.10

而某個地區遞迴 DNS 長時間回傳：

example.com → 198.51.100.25

並且這個位址明顯不屬於正常業務，那麼問題就更可能出現在權威 DNS 之後的解析鏈路。

3. 多地區重複測試

一次異常結果可能是快取、節點故障或者短暫網路波動。

因此最好隔一段時間重複檢測，尤其觀察：

• 是否總是同一個地區異常

• 是否集中在同一個電信商

• 異常 IP 是否固定

• 海外和權威 DNS 是否始終正常

如果異常長期穩定存在，判斷價值會比單次結果高很多。

五、DNS污染、DNS劫持和普通解析失敗有什麼區別？

這幾個概念在實際排障中經常混在一起，但表現並不完全相同。

最容易誤判的是 CDN 智慧調度。

例如網站接入 CDN 後可能出現：

北京 → 192.0.2.10
上海 → 192.0.2.20
新加坡 → 192.0.2.30

三個 IP 不一樣並不代表 DNS 被污染，只要它們都屬於正常 CDN 節點，這就是正常調度。所以判斷時不要只問：「為什麼解析結果不一樣？」而應該問：「這些結果是不是我應該得到的位址？」

六、怎麼判斷只是DNS快取沒更新？

域名剛修改解析時，最容易把快取問題誤認為污染。

例如原來的 A 記錄是：

192.0.2.10

後來修改成：

192.0.2.20

修改後的一段時間內，有些地區已經回傳新 IP，有些地區仍然回傳舊 IP，這很可能只是 TTL 快取還沒有完全過期。

判斷時可以看幾個細節。

如果異常結果正好是 修改前的舊 IP，而不是一個完全陌生的位址，那麼首先應該考慮 DNS 快取。

同時還可以檢查：

• DNS記錄是什麼時候修改的

• TTL設定多長

• 是否剛更換Name Server

• 多節點結果是否正在逐漸從舊IP切換到新IP

一般來說，快取更新的趨勢會越來越統一。

而 DNS 污染更常見的情況，是回傳結果既不是目前 IP，也不是之前設定過的舊 IP，而是完全無關的位址。

七、檢測到DNS異常後，應該怎麼繼續排查？

發現解析異常之後，先不要急著修改伺服器設定。DNS 問題應該從解析鏈路往下查。

1. 先確認自己的DNS設定沒有問題

檢查域名目前的：

• A

• AAAA

• CNAME

• NS

確認記錄本身沒有寫錯。

尤其是同時啟用了 IPv4 和 IPv6 的網站，A 記錄正常不代表 AAAA 記錄也正常。如果部分使用者優先走 IPv6，錯誤的 AAAA 記錄同樣可能造成訪問失敗。

2. 確認異常IP是不是CDN節點

很多所謂的「陌生 IP」，最後查下來其實是 CDN 調度節點。

可以結合 IP 查詢和 ASN 資訊，確認該 IP 是否屬於目前使用的 CDN 或雲服務商。

如果屬於預期網路，就不應該把它當成污染。

3. DNS正常後再查訪問層

如果多地區 DNS 解析都正常，但網站仍然有部分地區打不開，那問題很可能已經不在 DNS。

這時候再繼續檢查：

• 80/443連接埠是否可達

• HTTPS握手是否正常

• HTTP狀態碼

• 路由路徑

• 域名是否存在訪問限制

這樣可以避免在 DNS 層已經正常的情況下反覆折騰解析記錄。

4. 儲存異常檢測結果

如果問題只集中在部分省份或電信商，建議記錄：

• 檢測時間

• 異常地區

• 正常IP

• 異常IP

• 使用的DNS伺服器

• 多次測試結果

後續無論聯絡 DNS 服務商、CDN 還是網路電信商，這些資訊都比簡單描述「網站打不開」更容易定位問題。

八、DNS污染檢測時最容易誤判的幾種情況

1.CDN回傳多個IP

這是最常見的誤判。只要這些 IP 都屬於正常 CDN 網路，不同地區回傳不同節點是正常現象。

2.DNS剛剛修改

新舊解析並存時，應優先考慮 TTL 和快取傳播，而不是直接判斷污染。

3.IPv4正常但IPv6異常

部分裝置優先使用 IPv6，如果 AAAA 記錄存在錯誤，就可能出現「有的人能打開、有的人打不開」的情況。

排查時最好把 A 和 AAAA 分開看。

4.只有一台電腦訪問異常

如果同一個網路裡其他裝置都能正常訪問，而只有某一台電腦有問題，優先檢查：本地DNS快取；hosts檔案；瀏覽器代理；路由器DNS；本機網路設定等等，這種情況通常還不足以判斷成大範圍 DNS 污染。

DNS 污染排查最重要的一點，是不要看到不同 IP 就馬上認定「解析被污染」。對於現在大量使用 CDN 和智慧 DNS 的網站來說，不同地區回傳不同節點非常正常。真正值得關注的是：某些地區是否持續回傳不屬於源站、CDN或正常業務範圍的異常位址。

遇到域名解析異常時，可以先透過 Chahu 的 DNS 污染檢測查看不同地區的解析差異，再結合公共 DNS、權威 DNS 和 IP 歸屬進行交叉驗證。如果發現只是舊 IP 尚未重新整理，則更可能是 TTL 快取問題；如果 DNS 本身完全正常，排查重點就應該繼續向 TCP、HTTPS 和網路路由層移動。按這個順序逐層確認，通常比一上來就改 DNS、換伺服器或更換 CDN 更容易找到真正的問題。

常見問題

Q1：為什麼剛切了 CDN，檢測工具卻提示我「解析異常」？

A： 大概率是觸發了誤判。CDN 的工作原理就是透過 GeoDNS 根據使用者地理位置就近分配節點 IP，因此北京、上海、廣州甚至海外使用者查出來的 IP 不一樣是再正常不過的現象。只要這些 IP 經查詢屬於你所使用的 CDN 服務商的網路宣告段，就屬於正常調度，不用擔心是 DNS 污染。

Q2：剛修改了域名的 A 記錄，部分地區訪問的還是舊 IP，這算是 DNS 污染嗎？

A： 這不是 DNS 污染，而是典型的 DNS 快取未重新整理（TTL 未過期）。各個地方電信商的遞迴 DNS 都有自己的快取更新週期。你剛改完解析，有的地方生效快回傳新 IP，有的地方在 TTL 時間結束前依然會回傳舊 IP。通常等待 10 分鐘到 24 小時不等，各地快取更新後就會恢復一致。

Q3：檢測到 DNS 污染後，只把本機的 DNS 改成 8.8.8.8 或 114.114.114.114 有用嗎？

A： 效果非常有限。因為普通的公共 DNS（如 114 或 8.8.8.8）走的是 UDP 協定 53 連接埠，DNS 查詢資料封包在經過出口閘道時依然可能被中途截獲並偽造回應。如果想要在本機端緩解或正常解析，建議開啟支援加密傳輸的 DoH（DNS-over-HTTPS） 或 DoT（DNS-over-TLS），透過 HTTPS 加密管道向公共 DNS 發起查詢，防止解析結果被中途篡改。

Q4：網站 AAAA 記錄設定錯誤，會不會表現得像 DNS 污染？

A： 會的。現在很多手機行動端和寬頻網路預設優先走 IPv6 協定。如果你只給域名設定了正確的 IPv4（A 記錄），但 IPv6（AAAA 記錄）填錯了或者節點不可達，就會出現「有的裝置能打開，有的裝置死活載入不出來」的詭異現象。排查時切記把 A 記錄和 AAAA 記錄分開用工具獨立檢測。

Q5：有哪些免費工具可以快速檢測全國各地的 DNS 解析情況？

A： 排查跨地區解析問題，單機測試基本沒用，推薦使用多節點撥測工具：Chahu DNS 污染檢測，它能夠專門針對域名解析污染和地區解析異常進行節點比對。