内外网分离解析是什么
同一个域名对内外网给出不同答案：内网实例通过私有解析拿到内网地址，直接走内网访问；公网用户通过公网权威解析拿到对外入口地址。好处有两层——内部地址不再暴露在公网解析结果里，同时内网流量不必绕行公网出入口，省下时延也省下带宽费用。失效方式也很典型：覆盖不完整时，部分实例查不到私网记录，就会解析到公网地址并绕行出口。
基本信息
| 做法 | 私有域配置内网记录，公网权威配置对外记录 |
|---|---|
| 生效范围 | 仅对关联了私有域、使用平台内网 DNS 的实例生效 |
| 收益 | 内网直连、公网不暴露内部地址、减少出口带宽消耗 |
| 行为差异 | 取决于实例实际使用的 DNS 服务器集合 |
| 验证方式 | 从内网实例与公网环境分别查询对照 |
| 常见缺口 | 手工改过 DNS 的实例、新建未关联的 VPC |
典型使用场景
- 内部系统用统一域名访问，内外网体验一致且不暴露内网 IP
- 数据库、缓存等内部服务只在私网解析中出现
- 混合云环境：IDC 与云上实例各自解析到就近地址
- 迁移期：内网指向新环境，公网暂时仍指向旧入口
- 成本优化：避免内网互访走公网出入口产生流量费用
常见失效与定位
| 现象 | 可能原因 | 核对动作 |
|---|---|---|
| 内网解析到公网地址 | 实例未覆盖私网解析或被手工改过 DNS | 在实例内执行 dig，查看使用的解析服务器 |
| 部分实例正常部分异常 | 私有域未关联全部 VPC | 核对私有域关联列表与实例所在 VPC |
| 公网能查到内网地址 | 内部记录误发布到公网权威 | 查询公网权威确认记录内容 |
| 解析结果新旧不一 | TTL 与缓存差异 | 对比权威与递归结果，确认收敛时间 |
内外网对照验证
内外网对照验证
dig +short api.example.com # 在内网实例内执行，应返回内网地址
dig +short api.example.com @8.8.8.8 # 公网视角，应返回对外入口地址
dig api.example.com +noall +comments # 查看实际应答的解析服务器
cat /etc/resolv.conf # 确认实例使用的 DNS 是否为平台内网 DNS
# 出现绕行时，用 traceroute 确认流量是否走出了公网出口部分实例未覆盖私网解析时，内网请求会解析到公网地址并绕行出口，增加延迟与费用，还会让出口带宽被内部互访流量占用。这类问题不会报错，只会悄悄变慢变贵。
内部地址误发布到公网解析是最需要避免的错误：它会直接暴露内网结构。定期从公网视角抽查关键域名的解析结果，比只看内部配置更可靠。