「微信能发消息，网页就是打不开」是很有指向性的一类现象：即时通信类应用常使用长连接与直连 IP，不依赖域名解析；而网页第一步就是解析域名。所以这个现象基本可以判定方向在 DNS。
\n
下面按从终端到出口的顺序排查。
\n
\n
一、第一步：确认是不是 DNS 问题
\n
对比测试：
\n
nslookup www.baidu.com\nnslookup www.baidu.com 223.5.5.5\nnslookup www.baidu.com 114.114.114.114\n
判读：
\n
| 结果 | 判读 |
|---|---|
| 默认 DNS 失败，指定公共 DNS 成功 | 本地 DNS 服务或出口 DNS 配置有问题 |
| 全部失败但能 ping 通公网 IP | 存在 DNS 拦截或 UDP 53 被限制 |
| 解析成功但打不开网页 | 方向转向 TCP 连接、代理或目标站点 |
| 解析到明显异常的地址 | 存在劫持或污染 |
\n
同时做一个对照：ping 223.5.5.5（直接测 IP）。IP 能通、域名不通，就是 DNS 问题。
\n
\n
二、第二步：终端侧排查
\n
- \n
- 查看当前 DNS：
\n
\n
ipconfig /all\n
核对 DNS 服务器地址是否为规划中的地址；
\n
- \n
- 清缓存（Windows）：
\n
\n
ipconfig /displaydns\n ipconfig /flushdns\n
缓存里存了错误记录时，清缓存即可恢复；
\n
- \n
- HOSTS 文件：曾被软件修改过的 HOSTS 会导致特定域名解析到错误地址，路径
C:WindowsSystem32driversetchosts； - 浏览器安全 DNS（DoH）：浏览器自带加密 DNS 时，会用浏览器配置的解析通道，与系统 DNS 结果不同，排查时要区分是浏览器打不开还是所有应用都打不开；
- 代理设置：系统或浏览器残留代理配置会表现为「能上聊天工具、打不开网页」。
\n
\n
\n
\n
Linux 侧可用：
\n
resolvectl status\ndig www.baidu.com\ndig +trace www.baidu.com\n
\n
三、第三步：出口与内网 DNS 配置
\n
- \n
- 出口设备是否配置了 DNS 代理：路由器做 DNS 代理时，终端使用路由器地址作为 DNS，由路由器向上递归；
- 上行 DNS 是否可达：在出口设备上测试到运营商 DNS 或公共 DNS 的连通性（见 T04 的 ping/MTR 方法）；
- DNS QPS 与性能：终端规模较大时，DNS 请求量会成为瓶颈，表现为首屏慢而不是打不开；
- UDP 53 是否被拦截：安全设备策略误拦截 DNS 是常见原因，需核对策略白名单；
- DNS 劫持与防护：开启 DNS 防护或过滤策略后，部分域名被拦截会表现为解析失败或解析到提示页面。
\n
\n
\n
\n
\n
\n
判据：内网终端用公共 DNS 正常、用内网 DNS 失败 → 问题在内网 DNS 链路；两者都失败 → 问题在出口或上层。
\n
\n
四、第四步：IPv6 与解析优先级
\n
双栈环境下，终端可能优先尝试 IPv6 解析：
\n
- \n
- 终端拿到 IPv6 地址但网络实际不支持 IPv6 时，会先尝试 AAAA 记录再回退，表现为打开网页慢半拍；
- 部分系统的前缀策略会优先选择 IPv6，需按实际网络能力决定是否启用。
\n
\n
\n
排查：nslookup -type=AAAA 域名 看是否返回了 IPv6 地址，再结合网络实际能力判断。
\n
\n
五、第五步：CDN 调度与跨网解析
\n
「别人打开正常、我这里打不开」还有一类原因：CDN 按解析来源调度，若出口 DNS 的出口地址归属与预期不同（例如走了代理或隧道），会被调度到较远的节点，表现为慢或部分资源加载失败。
\n
排查思路：对比不同 DNS 解析同一域名得到的地址，看是否存在明显差异；必要时调整出口 DNS 或采用按域分流的解析策略。
\n
\n
六、处理与验证
\n
| 原因 | 处理 | 验证 |
|---|---|---|
| 终端 DNS 配置错误 | 修正为规划中的 DNS 地址 | ipconfig /all 与解析测试通过 |
| DNS 缓存污染 | 清缓存，必要时排查污染来源 | 解析结果正确 |
| HOSTS 被修改 | 清理异常条目 | 特定域名恢复正常 |
| UDP 53 被拦截 | 核对安全策略白名单 | 解析请求可正常发出 |
| DNS 服务性能不足 | 调整 DNS 服务规格或增加缓存 | 首屏解析时延下降 |
| IPv6 优先导致慢 | 按网络能力调整协议优先级 | 网页打开速度恢复 |
| CDN 调度异常 | 调整出口 DNS 或分流策略 | 解析到合理节点 |
\n
回退：DNS 配置变更前记录原地址；策略调整前导出配置，分批实施并观察业务反馈。
\n
\n
七、避坑小结
\n
- \n
- 聊天正常、网页不通，先看 DNS 和代理；
- 清缓存是较快的验证手段，但反复出现说明有根因；
- 浏览器 DoH 与系统 DNS 是两条通道，排查时要分开测；
- UDP 53 要放通，安全策略误拦截很常见；
- 解析慢不等于不通，QPS 与往返时延都要看。
\n
\n
\n
\n
\n
\n
速查表：域名解析类问题
\n
| 现象 | 优先排查 |
|---|---|
| 聊天通、网页不通 | DNS 配置、代理设置 |
| 部分网站打不开 | 单域名解析、策略拦截 |
| 打开慢但能开 | DNS 时延、IPv6 优先、CDN 调度 |
| 解析到异常地址 | 劫持、HOSTS、缓存污染 |
| 指定公共 DNS 正常 | 内网 DNS 链路 |
| 全部 DNS 都失败 | UDP 53 拦截、出口连通性 |
\n
\n\n
常见问题（FAQ）
\n
Q：企业内网DNS用运营商的还是公共DNS？
\n
A：两种方式都常见，选择依据是稳定性、解析速度与调度准确性。运营商 DNS 通常在本地有递归节点，时延较低；公共 DNS 在跨网调度与抗劫持方面各有特点。工程做法是实测对比：在同一网络里用不同 DNS 测解析时延与关键业务域名的解析结果，按测试结果选择，并在出口设备上统一配置，避免终端各自设置。
\n
Q：浏览器开了安全DNS（DoH）会有什么影响？
\n
A：DoH 让域名解析走加密通道，不经过本地 DNS，好处是避免链路上的解析干扰，代价是网络侧的 DNS 策略（如内网域名解析、访问控制）对它不生效。排查时要注意区分：浏览器打不开而命令行 nslookup 正常，多半是 DoH 或浏览器代理导致；两者都不正常，才是网络侧 DNS 问题。
\n
Q：网页打开慢但测速正常，是DNS的问题吗？
\n
A：有可能是。测速通常测的是吞吐，而网页打开慢常受解析时延、连接建立时延与资源加载影响。可以做对比测试：用 nslookup 测解析耗时，用浏览器开发者工具看各阶段耗时（DNS、连接、首字节）。若 DNS 阶段占比高，方向是 DNS；若首字节时间长，方向转向服务端或链路。
\n
本文由 58120 智能网络 原创发布。转载请注明出处并保留原文链接。
评论 0
还没有评论，来抢沙发吧。