各地 IP 不同，我以为是污染

第一次看到多节点解析结果，同一域名在不同城市返回不同 IP，我立刻想到 DNS 污染，准备去查安全日志。

后来问了才知道，这个站接了 CDN。不同地区返回不同节点，本来就是它该有的样子。那次我差点把 CDN 的日志翻了个遍。

先看这些 IP 是不是你的

判断第一步很朴素：这些地址属于你的服务商吗？

CDN 有自己的网段，云厂商有自己的地址池，多线机房电信联通各一个入口。查一下归属，心里就有数了。看 ASN 和运营商名字就够了，不用太复杂。

如果返回的 IP 你完全陌生，也不属于任何你用过的服务，那才值得警惕。

DNS 查询：多地区多运营商解析结果对比

DNS 查询：多地区多运营商解析结果对比

正常差异的四个特征

一是都属于同一套调度体系，比如都是某家 CDN 的边缘节点。

二是分布有规律：同一个省、同一家运营商，返回的值通常一致。某个省只有一家运营商拿到不同地址、其余一致，也算有规律。

三是长期稳定：今天和下周看，大体还是这些地址。

四是每个 IP 都能用：随便挑一个访问，页面正常。

异常差异长什么样

同一个地区、同一家运营商，换一个 DNS 查就得到不同的 IP，而且都声称自己是权威。

IP 频繁变化，每次查都不一样。

部分地址完全不可达，或者访问后跳到陌生页面。

还有一种：返回的 IP 正确，但 TTL 被人为改得很短。这不一定是攻击，也可能是配置失误。

这些就不像调度了，更像记录被改、缓存混乱，或者解析链路被劫持。

怎么核实

在宝塔拨测的 DNS 测速里按地区和运营商分组看结果，先记录每个分组返回的值。

然后指定不同的 DNS 再查一次，最好选不同运营商的递归，样本更有代表性。同一地区不同 DNS 结果不一致，说明缓存或链路有问题。

最后直接查权威 NS，拿标准答案对照。三方一致，才算真的正常。

复测和该警惕的

隔一段时间再查，看结果是否稳定。稳定的是调度，飘忽的才是异常。把每次的值记成表格，趋势一眼就看出来。

判断的核心不是「不同」，而是「不同得有没有道理」。如果每个 IP 都能正常打开页面，风险等级就已经低了很多。最怕的是那种看起来一样的异常：地址变了，服务还能用，没人发现。

该警惕的是：陌生 IP 长期存在、NS 指向不认识的服务商、同地区不同 DNS 结果冲突、解析耗时突然整体抬高。

调度是设计出来的，异常是变化出来的。看它稳不稳，比看它一不一样更有用。