委派在做什么
顶级域服务器并不保存 example.com 的地址记录，它只保存一行行委派：这个注册域由哪几台 NS 负责。解析器问到 TLD 时得到的是「去问它的权威」这条指引，然后自己继续往下走。整个 DNS 就是这样一层层把查询责任交下去的。
换 DNS 服务商的两个动作
换解析服务商时要做两件事：一是在注册商处把 NS 改成新服务商，这一步改的是注册局数据库里的委派；二是在新权威服务器上把区文件配好，包含该有的解析记录与必要的 glue。只做完第二步，外界永远不知道你的新权威在哪里。
基本信息
| 注册局 | 运营 .com、.cn 等 TLD 区，维护委派与 DS 记录 |
|---|---|
| 注册商 | 向用户售卖域名，把 NS 信息写进注册局 |
| 委派内容 | NS 记录，加必要的 glue A/AAAA；启用 DNSSEC 时还有 DS |
| 职责边界 | 委派只回答「谁的 NS 是谁」，不负责域内的地址记录 |
典型使用场景
- 更换 DNS 服务商：先在新权威配好区文件，再到注册商改 NS
- 排查「解析没生效」：先确认注册局的委派是不是你期望的那几台 NS
- 部署 DNSSEC：需要在注册局侧提交 DS 记录与子区密钥对应
- 子域委派：把某个子域交给另一套权威服务器管理
查看委派链
查看委派链
dig +norecurse @a.gtld-servers.net example.com NS # 直接看 .com 注册局给出的委派
dig example.com NS +short # 看本机解析器拿到的 NS
dig +trace example.com | head -40 # 从根一路走完委派链排查看哪一步
| 现象 | 常见原因 | 验证方式 |
|---|---|---|
| 改了 NS 但解析不变 | 注册商侧没改，或旧记录 TTL 未过 | 对比注册局委派与实际生效的 NS |
| 新 NS 生效但域名不通 | 新权威缺记录或缺少 glue | 直接向新 NS 提问，绕开递归器 |
| 部分地域解析异常 | 旧 NS 仍在部分缓存中 | 多解析器对比结果并看 TTL 剩余 |
| DNSSEC 校验失败 | DS 与子区密钥不匹配 | 用验证型解析器看 AD 标志能否建立 |
委派信息本身带 TTL，缓存会记住旧的 NS。切换窗口要按旧 TTL 预留，别在改完 NS 后立刻判定失败。
glue 记录是「委派区的 NS 名字落在被委派域内部」时的必要补充。缺了它，解析器会先要查 NS 的地址、而查地址又需要先知道 NS，形成自举死循环。