报告标红，我拿去找人被问住了

检测结果标了一片异常，我截图发给运营商，对方问：是哪台设备、哪条链路？我答不上来。

它只告诉我某些地区的答案是错的，没告诉我路径。这份工具本来就不负责这个。那次之后我不再拿检测报告当结论。

它在观察什么

从多个地区的递归节点发出同一批查询，把返回的记录值收集起来，互相比对。

和预期不一致、出现保留地址、部分地区直接查不到，这些会被标出来。

本质是横向比对：同一时刻、不同位置、同一个问题的答案差异。样本只是这一次查询，不是全量，一次检测最多几十个样本。

DNS 污染检测：异常解析地址与地区分布

DNS 污染检测：异常解析地址与地区分布

为什么定位不到设备

它看到的是答案，看不到答案怎么来的。

递归服务器问了谁、经过哪台设备、在哪一步被替换，这些不在返回结果里。

想追路径得用追踪工具，想确认记录本身得查权威。设备归属、跳数，它都答不了。检测只是证据链的一环，不是终点。

哪些情况会被误判

正常的智能解析，不同地区返回不同地址，看起来不一致，其实是设计。

缓存没到期，各地新旧混杂，也像异常。

某些递归服务器有自家策略，会改写或拦截特定域名。

用户开了加密 DNS，解析路径和检测节点根本不是同一条。加密 DNS 越来越普遍，这一点影响很大。不同递归的缓存时间也不一样，混在一起看会更乱，分组看能减少这种干扰。

怎么用才靠谱

用宝塔拨测的 DNS 污染检测看结果时，把它当时间序列，而不是单次快照。

同一条异常连续出现才有意义，稳定复现才值得行动，偶发一次可能只是上游抖动。趋势能排除缓存造成的假象。同一运营商内部也可能有差异，别把个别节点当成整体，样本量决定结论强度，太少就别下判断。

和权威记录对照，分清是记录错还是链路被改；再结合端到端访问，看异常答案有没有真的影响用户。

复测与结论

隔时间多跑几次，记录每次的地区分布和返回值。

报告里的分布图很有用：能看出是某家运营商还是某个省，这决定后续找谁。记录里写清用的 DNS 和查询类型，方便别人复现。

结论写清哪些地区、什么时间、返回了什么，别说一句被污染了就完事。工具给的只是原始材料，加工要靠人。和用户沟通时说清楚检测的局限，对方才不会期待你给出根因，这不是推卸责任，承认边界反而更容易推进。工具只是助手，不是答案，这一点想清楚，用起来才不至于失望。