DNS 污染如何确认权威记录正常?
这是排查污染时最关键的一步:先拿到「标准答案」。
什么是权威 DNS
每个域名都有一组 NS 记录,指向负责这个域名解析的服务器。
这些服务器上的记录,就是「权威记录」,是整条解析链路的源头。其它所有递归服务器,最终都是从这里拿结果。
直接问权威,就能绕过所有缓存和中间环节,看到最原始的数据。
怎么查
先查 NS:dig example.com NS,拿到负责解析的服务器列表。
再直接问其中一台:dig @ns1.example.com example.com A。
返回的 IP,就是权威记录。
要查 IPv6 就用 AAAA,查邮件就查 MX,方法一样。
怎么对比
把权威结果和各地递归结果放在一起看。
权威对、递归对:一切正常。
权威对、递归错:解析链路被干预了,属于污染或缓存异常。
权威本身就错:配置问题,跟污染无关,去控制台改记录。
注意权威也可能有多个
一个域名通常配多台 NS,做冗余。
如果它们之间数据不一致,那说明同步出了问题。这种情况也会导致各地解析结果不同,看起来像污染,其实是自己的配置没同步。
所以最好每台都查一遍。
还要注意缓存
权威服务器本身也可能有缓存,尤其是用了第三方 DNS 服务商的时候。
刚改完记录,权威可能还没完全刷新。等几分钟再查,或者看服务商的控制台确认。
一句话
权威记录是标尺。先确认标尺是准的,再去量别的东西,否则后面全是错的。