DNS 查询指南：记录类型、TTL 与故障排查

如何执行 DNS 查询

打开 DNS 查询工具，等待连接配置加载完成。输入 www.example.com 等名称，选择记录类型，再选择一个或两个服务商以及可用的查询位置。点击“检查 DNS”提交请求。仅打开页面或修改名称，不会自动查询该名称的记录。

解读返回值前，先查看服务商、查询位置、状态和时间戳。如果已知需要的值，可以在可选的预期值字段中输入文本，并选择精确匹配或包含匹配。“下载 DNS 报告”会将当前结果保存为 dns-results.json；如需比较变更前后的情况，请保留这个文件。

• 每次查询使用一个 DNS 名称和一种记录类型。排查两种地址协议时，请分别查询 A 和 AAAA。
• 默认选择 A、两个服务商和 ToolMellow 主查询位置。可用位置由服务当前的配置决定。
• 修改名称、记录类型、服务商或查询位置会清除上次结果。修改预期值或匹配模式，只会在本地重新比较当前结果。

根据任务选择 DNS 记录类型

不同 DNS 记录回答不同的问题。查询 A 不等于获取域名的全部记录，查询 MX 也不会发送测试邮件。类型选择器支持九种记录。预期值比较支持下列八种正向查询类型；PTR 结果可以查看和下载，但不支持预期值比较。

RFC 1035：DNS 实现与记录格式RFC 3596：IPv6 的 DNS 扩展RFC 8659：证书颁发机构授权

输入准确的 DNS 名称，包括 TXT 名称和国际化域名

输入 DNS 记录所属的名称，不要带 URL 协议、路径、邮件地址或端口。根域名与 www 名称是不同的输入。服务商的验证说明可能要求子域名或以下划线开头的名称；在根域名查询 TXT，不会自动找到其他名称下的 TXT。

工具会去掉输入两端的空白，将支持的 Unicode 点号转换为普通点号，去掉末尾的根点号，使用 Node 的 domainToASCII 将支持的国际化域名转换为 ASCII，并将查询名称转为小写。转换后至少需要两个标签，每个标签不超过 63 个 ASCII 字符，总长度不超过 253 个字符。普通标签允许字母、数字及内部连字符。工具接受支持的下划线前缀服务标签，但不接受任意出现在普通标签内部的下划线。

RFC 5891：国际化域名Node.js：URL domainToASCII 转换RFC 1035：DNS 实现与记录格式RFC 6376：DKIM 签名与选择器密钥查询RFC 9989：DMARC 策略发现与对齐

递归解析服务与权威名称服务器的职责不同

权威名称服务器发布 DNS 区域的数据。递归解析器代客户端获取答案，也可以复用缓存信息。选择 Google Public DNS 或 Cloudflare，表示本次查询使用该递归服务；并不说明该服务托管你的 DNS 区域，或就是域名的权威名称服务器。

ToolMellow 的服务器或配置的探测节点向固定的服务商 HTTPS 端点发送请求，并读取 JSON 响应。这种由服务商定义的 JSON 格式，与 DNS over HTTPS 标准规定的 DNS 二进制报文不同。查询不会更改设备的 DNS 设置，也不支持输入任意名称服务器直接查询，或跟踪从根开始的每一级委派。

RFC 1034：域名、解析与缓存RFC 8484：通过 HTTPS 进行 DNS 查询Google Public DNS：DNS over HTTPS 的 JSON APICloudflare 1.1.1.1：JSON DNS over HTTPS 请求

结合记录名称、TTL 和查询信息解读结果

每条答案记录包含所属名称、记录类型、返回的 TTL（秒）和文本数据。除了值，还要查看名称：递归响应可能包含别名链，以及别名目标的地址。辅助 CNAME 或其他返回类型，不能替代你请求的记录类型。遇到负响应或转介响应时，可以展开“权威记录”查看上下文。

每个服务商与位置的结果都有查询时间戳和耗时。时间戳描述本次查询，而不是域名管理员最后修改 DNS 的时间。耗时包含请求路径以及 HTTP 和处理开销，不能作为你自己的连接上仅测 DNS 的基准。如果请求失败而没有记录或标记，应将这些信息视为缺失，不要推测其值。

RFC 1035：DNS 实现与记录格式RFC 2308：DNS 查询的负缓存

区分 DNS 中的数据不存在与查询失败

有效的负响应与未能完成的请求，需要采取不同的后续措施。在 ToolMellow 中，正面的 NOERROR 分类表示包含请求类型的答案。其他成功的 DNS 响应会根据 SOA、CNAME 或 NS 上下文分类。下表解释工具显示的状态，避免将所有空答案都当作域名不存在。

被截断的响应是不完整的，即使其中一部分包含预期文本也一样。对于截断响应和运行过程中的失败，工具会将预期值比较标为无法确定。一个服务商可能成功，另一个可能失败；请保留两种结果，不要将失败当成记录缺失的证据。

RFC 2308：DNS 查询的负缓存Google Public DNS：DNS over HTTPS 的 JSON APICloudflare 1.1.1.1：JSON DNS over HTTPS 请求

修改记录后，DNS TTL 表示什么

TTL 以秒表示缓存寿命。递归解析器可能返回缓存信息剩余的有效时间，因此内容相同的两个响应，也可能显示不同的 TTL。返回的数值不是全球所有解析器改用新值的倒计时。

正响应、负响应和委派信息可能各有不同的缓存历史。现在降低记录 TTL，不会追溯缩短已缓存副本原先获得的寿命。一些解析器还可以按规定的恢复策略提供已过期数据。因此，再次查询只是新增一次观察，不能证明所有缓存都已更新。

计划变更时，先向 DNS 托管服务确认预期的记录名称和值，保留新旧查询结果，并在有用的时间间隔后再次检查相关记录。根据托管服务的变更说明和先前的缓存情况安排验证。统一的 24 小时或 48 小时说法，无法描述每一种 DNS 变更。

RFC 2181 第 8 节：生存时间RFC 2308：DNS 查询的负缓存RFC 8767：提供已过期 DNS 数据

为什么服务商结果一致不能证明全球解析已更新

Google 与 Cloudflare 的缓存观察或解析行为不同，可能返回不同答案。权威服务器根据位置返回不同内容时，也会影响结果。先在记录的时间点比较相同的规范化名称和类型，再检查状态、所属名称、值和 TTL。出现差异，并不能自动确定哪个答案正确。

每次检查最多选择四个已配置的查询位置，但实际可用的只有界面列出的那些位置。如果只列出一个位置，两个服务商的查询都从该位置发出。若区域验证标记为 false，位置声明的区域不能视为独立确认的地理位置。不要根据服务商数量或选择上限，推断工具部署了全球探测网络。

结果一致，只说明这些查询结果之间一致。你的设备、其他网络或企业内部解析器仍可能看到不同内容，尤其是存在本地缓存或按网络提供不同 DNS 视图时。需要其他位置或本地网络视角时，请使用范围合适的多位置服务或网络自身的诊断工具。

RFC 1034：域名、解析与缓存RFC 8767：提供已过期 DNS 数据

按字面值进行精确匹配或包含匹配

预期值比较会检查 Answer 部分中属于所请求且受比较功能支持的类型的值。精确匹配要求返回文本整体与预期文本相同；包含匹配要求返回文本中存在预期子串。两种方式都区分大小写。只要有一个值匹配，该服务商与位置的结果就会显示匹配，即使其他值不同。这不证明整组记录都符合预期配置。

比较功能不会去掉空白、引号或末尾点号，不会统一 IPv6 的文本写法，也不会解析 DNS 策略语法。它不支持正则表达式。DNS 协议层面的主机名比较可以不区分大小写，但这里的字符串比较仍区分大小写。需要字面精确相等时，请使用返回值的实际写法；将短子串作为证据前，先查看完整数据。

• NXDOMAIN 和 NODATA 响应没有所请求的值时，通常会比较为不同；它们是有效的负响应，不是请求失败。
• 失败或被截断的结果无法确定是否匹配。预期文本为空、超过 4,096 个 JavaScript 字符串单位，或对 PTR 进行比较时，也无法比较。
• 预期文本保留在当前标签页和下载的报告中，不会随 DNS 请求发送。文本匹配本身既不能证明 DNSSEC 验证通过，也不能证明域名所有权。

RFC 4343：DNS 大小写不敏感规则

结合响应来源解读 DNSSEC 的 AD 标记

“已验证”反映所选递归解析器的 AD 标记。是该解析器声明数据已通过认证；ToolMellow 不会独立验证 DNSSEC 签名或信任链。能否依赖这一声明，也取决于是否信任该解析器以及承载响应的通道。

“未验证”表示服务商没有设置 AD。未签名的数据也可能产生这一结果，因此单凭该标记不能说明域名损坏或恶意。SERVFAIL 同样需要调查，不能自动诊断为 DNSSEC 故障。工具会请求 DNSSEC 相关响应数据，并保持服务商端的检查开启，但不执行完整的 DNSSEC 审计或浏览器 DNS 泄漏检测。

RFC 4035：DNSSEC 与认证数据声明Google Public DNS：DNS over HTTPS 的 JSON APICloudflare 1.1.1.1：JSON DNS over HTTPS 请求

先检查网站 DNS，再检查托管和 HTTPS

网站指向旧目标时，检查访客实际使用的完整主机名。分别比较 A 和 AAAA，并查看 www 等别名的 CNAME。不要假设根域名和 www 配置完全相同。将结果与托管服务说明中的预期记录比较，包括要求的别名目标。

DNS 值看起来正确，只是网站排查的一部分。HTTP 重定向、虚拟主机路由、证书有效性和应用响应，都需要另外检查。CNAME 是 DNS 别名，将访客转向另一个 URL 是 HTTP 行为。CAA 与证书颁发机构授权有关；存在 CAA 不代表当前网站正在提供有效证书。

RFC 1035：DNS 实现与记录格式RFC 8659：证书颁发机构授权

在正确名称下查询 TXT 验证、SPF、DKIM 和 DMARC

进行域名验证时，从服务说明中复制记录名称并选择 TXT。将完整返回记录与要求的令牌比较，留意显示的引号及文本分段。在响应中找到令牌可以提供有用证据，但申请验证的服务会按自身流程确认所有权。

SPF 策略使用相关邮件域名下的 TXT。DKIM 密钥查询使用选择器对应的名称，例如 selector._domainkey.example.com；应从邮件服务获取选择器，而不是猜测。DMARC 相关检查通常从 _dmarc.example.com 的 TXT 开始。现行 DMARC 的策略发现与标识符对齐还有其他规则，单次 TXT 查询不会评估这些规则。

MX 描述邮件路由，上述基于 TXT 的机制各有不同职责。此工具不会遍历全部 SPF include 依赖、验证已签名的邮件、评估完整的 DMARC 策略发现过程、分析 DMARC 报告或测试投递。记录存在或包含匹配，不能代替这些检查。

RFC 7208 第 3.1 节：TXT 中的 SPF 策略RFC 6376：DKIM 签名与选择器密钥查询RFC 9989：DMARC 策略发现与对齐

了解查询隐私并分享有用的 DNS 报告

查询的名称和类型经过 ToolMellow 的代理服务器或所选探测节点，发往所选公共解析器。解析器看到的是探测节点的网络地址；ToolMellow 不会将访客的客户端 IP 请求头转发给它。托管基础设施仍会收到通常的请求元数据。HTTPS 传输不等于整个活动匿名，也不能证明零日志；查询名称本身也可能敏感。

预期文本在本地比较，并可能以 expectedComparison 的形式包含在 dns-results.json 中。分享报告前，请检查查询名称、返回数据和预期文本，特别是验证令牌。将相关结果交给需要它的接收方，不要默认所有导出值都适合公开发布。

向支持人员求助时，提供准确名称和类型、预期配置、服务商与位置、观察时间、状态、相关 Answer 和 Authority 数据，以及是否有响应被截断或失败。下载报告是一次快照；工具不会维护服务器端的历史记录，也不会导出整个 DNS 区域。

逐步排查缺失或不符合预期的 DNS 答案

首先，根据 DNS 托管服务的说明核对规范化后的名称和所选类型。然后区分 DNS 负响应与请求失败，查看别名及权威记录，并比较两个服务商的结果。使用预期值时，先检查完整返回文本和匹配模式，再判断底层配置是否存在差异。

变更后保存报告，再有计划地进行后续检查。工具不会自动重试查询，反复请求也不会清空所有缓存。配置出现问题且界面提供“重试连接”时，可以使用该操作；请遵守限流提示，适时重新提交 DNS 检查。“取消”会停止待处理的客户端工作并向上游传递取消信号，但无法撤回已经发出的查询。

从地址开始排查时，使用单独的 IP 查询或反向 DNS 工具；调查某台设备实际使用的解析路径时，使用其操作系统的本地 DNS 诊断。本工具不会枚举全部子域名，不提供 SRV、DS、DNSKEY 或 ANY 选择，不执行区域传送，也不检查域名注册可用性。先让诊断方式与问题相符，再解读成功响应能说明的范围。

常见问题

来源与延伸阅读

• RFC 1034：域名、解析与缓存
• RFC 1035：DNS 实现与记录格式
• RFC 3596：IPv6 的 DNS 扩展
• RFC 8659：证书颁发机构授权
• RFC 2181 第 8 节：生存时间
• RFC 2308：DNS 查询的负缓存
• RFC 8767：提供已过期 DNS 数据
• RFC 4035：DNSSEC 与认证数据声明
• RFC 8484：通过 HTTPS 进行 DNS 查询
• Google Public DNS：DNS over HTTPS 的 JSON API
• Cloudflare 1.1.1.1：JSON DNS over HTTPS 请求
• RFC 4343：DNS 大小写不敏感规则
• RFC 5891：国际化域名
• Node.js：URL domainToASCII 转换
• RFC 7208 第 3.1 节：TXT 中的 SPF 策略
• RFC 6376：DKIM 签名与选择器密钥查询
• RFC 9989：DMARC 策略发现与对齐