会配解析，才算真正会用域名

上一课讲了原理，这一课落到操作：一个真实项目要配哪些记录、改了多久生效、出问题怎么查。我们以朋友好学 pygood.com、服务器公网 IP 为 134.175.44.210 做样本（IP 仅为教学示例，以你实际为准）。

一个项目典型要配哪些记录

TTL 与平滑迁移：把「等待生效」变成可控

TTL 告诉各级缓存「这条记录存多少秒」。常见默认 600 秒或 3600 秒。要换服务器 IP 时，正确节奏是：①迁移前一两天，先把相关记录 TTL 调小（如 60~300 秒），等旧的长 TTL 缓存自然过期；②上线时把 A 记录改到新 IP，因为 TTL 已很短，全球很快收敛；③验证稳定后再把 TTL 调回较大值以减少解析开销。这样能把「部分用户还在旧机」的窗口从几小时压到几分钟。

排障工具箱：dig / nslookup / host

「打不开、解析不对、没生效」要靠工具看清楚解析到底返回了什么，而不是反复刷新。最常用的是 dig（Linux/macOS，Windows 可装或用 nslookup）：

排查思路：①向多个公共 DNS（国内 223.5.5.5/119.29.29.29、国外 8.8.8.8/1.1.1.1）分别查询，若结果不一致，多半是缓存未收敛或配置没全网同步；②dig +trace 看权威服务器返回是否正确，权威对了但递归不对=缓存问题，权威本身就错=你配置有误；③本机结果和公共 DNS 不一致，先查本机 hosts 与系统缓存（Windows 用 ipconfig /flushdns 刷新）。

公共 DNS、劫持污染与 HTTPDNS

设备默认用运营商 DNS，也可手动改成公共 DNS。国内常用阿里 223.5.5.5、腾讯 119.29.29.29、114 的 114.114.114.114；国外常用 Google 8.8.8.8、Cloudflare 1.1.1.1。两类安全问题要知道：DNS 劫持（攻击者/中间网络把域名解析到伪造 IP，常见于公共 Wi-Fi 或恶意路由器）和 DNS 污染（查询在网络途中被注入错误答案）。因为传统 DNS 查询默认明文、可被中间设备看见和篡改，所以才有了 DNS over HTTPS/TLS（DoH/DoT，加密 DNS 查询）；移动端还常用 HTTPDNS——App 不走系统 DNS、直接通过 HTTPS 向可信 HTTPDNS 服务要 IP，规避劫持并实现更精准的就近调度。

本节小结

典型记录：根域@与 www 配 A 指服务器并在 Nginx 统一跳转、CDN/H5 用 CNAME、邮箱配 MX 加 SPF/DKIM 的 TXT、证书验证按要求加 TXT。迁移靠 TTL 控制收敛：提前降到 60~300 秒、切换改权威、观察后调回、旧机兜底，同时让 DNS、备案接入、证书三件事对齐。排障用 dig @公共DNS 看当前结果、dig +trace 看迭代链路、dig 名字 类型 看具体记录，本机异常先查 hosts 和 ipconfig /flushdns；多公共 DNS 结果不一致多为缓存未收敛。公共 DNS 有 223.5.5.5/119.29.29.29/8.8.8.8/1.1.1.1；传统 DNS 明文可被劫持污染，DoH/DoT 加密查询，移动端用 HTTPDNS 走 HTTPS 取 IP 防劫持、做精准调度。