排查三步
排查三步
# 1) 换服务器对照：公共 DNS 是否正常
dig example.com @8.8.8.8 +short
dig example.com @1.1.1.1 +short
# 2) 验证 DNSSEC 因素（关键对比）：
dig +cd example.com @<本地DNS> +short # 关闭验证后正常 → 验证链问题
dig +dnssec example.com @<本地DNS> | grep -E 'status|ad;'
# 3) 直查权威看是否自身故障：
dig example.com @ns1.example.com +shortSERVFAIL 常见根因 / 特征
| 根因 | 特征 |
|---|---|
| DNSSEC 验证失败 | +cd 后恢复正常；dnssec-debugger 类工具可进一步分析 |
| 权威服务器无响应/超时 | 直查权威也超时；多解析器同时故障 |
| 解析器转发链断裂 | 仅内网解析器故障；日志报 upstream timeout |
| CNAME 环 | 日志提示 CNAME loop；dig +trace 可见循环 |
排 SERVFAIL 最快捷的一刀：同一查询加 +cd。恢复正常＝DNSSEC 方向；仍失败＝服务器/上游方向。