DNS_PROBE_FINISHED_NXDOMAIN 排查指南

NXDOMAIN、SERVFAIL 和超时不是同一件事

网站所有者的七步排查流程

1. 确认完整名称没有拼错。example.com、www.example.com 和 api.example.com 是三个节点；主域正常不代表每个子域都自动存在。
2. 确认域名注册和续费状态。域名过期、暂停解析或注册局状态异常时，继续修改 A 记录不会恢复正常。
3. 核对注册商的 NS 委派。注册商设置的权威 NS 必须与当前 DNS 服务商提供的名称一致。只在旧服务商面板修改记录不会影响现有委派。
4. 直接检查权威记录。确认查询节点存在正确的 A、AAAA 或 CNAME。根域使用 CNAME 需依赖服务商提供的 ALIAS/ANAME 或扁平化能力，不能假设所有 DNS 都支持。
5. 比较递归解析器缓存。若权威答案正确但部分公共 DNS 仍返回旧结果，记录旧 TTL 和修改时间，等待缓存自然刷新。
6. 涉及 DNSSEC 时检查 DS。父区 DS 与当前 DNS 服务商签名密钥不匹配时，验证型解析器更常返回 SERVFAIL。迁移 DNS 前应按服务商流程更新或暂时移除旧 DS。
7. 最后再查本机缓存和网络。公开解析器都正常而单台设备失败时，再刷新操作系统、浏览器和路由器 DNS 缓存，并排除 VPN、代理或安全软件影响。

用命令区分权威答案与本地缓存

以下命令只读取公开 DNS，不会修改记录。把示例域名替换为实际目标，并使用当前委派中的权威 NS。

dig example.com A
dig example.com AAAA
dig example.com NS
dig @1.1.1.1 example.com A
dig @8.8.8.8 example.com A
dig @ns1.example-dns.com example.com A
dig +trace example.com

dig +trace 会从根区逐层观察委派，适合发现父区 NS 与权威服务不一致；它的网络路径和验证行为与普通递归解析器不同，不能单独代替用户侧复测。

为什么修好记录后仍可能继续报错？

本地设备可以做什么？

只有在权威 DNS 和公共解析器已经返回正确答案时，本地刷新才有意义。先关闭再打开浏览器，随后按系统使用官方网络诊断或 DNS 刷新方式；如果使用了 VPN、代理、家长控制或企业安全软件，应分别停用后复测。

暂时改用另一个可信递归 DNS 可以帮助判断是否为当前解析器缓存，但它不是权威配置错误的永久修复。网站所有者最终仍应保证注册商委派、全部权威 NS 和 DNSSEC 状态正确。