根区NS记录查询超时或返回SERVFAIL，同时权威服务器本身可达，基本就能锁定根域名解析链路出了问题。
很多运维第一次遇到网站打不开，会本能地怀疑服务器挂了，其实服务器 CPU 才跑了不到 20%，网络出口也正常，问题出在域名解析最顶端的那一环根域名，它就像互联网门牌号的总目录，目录本身乱了,底下的门牌号再清楚也找不到路。
根域名故障怎么排查？先抓住三个关键信号
排查根域名故障不能靠猜，得用命令一层层剥，多数情况下，故障会先暴露在递归解析器的行为上，而不是根服务器直接宕机，根服务器全球只有 13 组，任何一组完全瘫痪的概率极低，更多是链路抖动、策略拦截或本地缓存污染。
- dig 查询根区 NS 记录超时
在终端执行dig . NS，如果长时间无响应，或者返回SERVFAIL，说明递归服务器无法从根区拿到权威 NS 列表。 - 单一域名解析失败，但其他域名正常
这说明根服务器整体可用，问题可能出在该域名所属顶级域的权威服务器,或者本地递归服务器对该顶级域的缓存错误。 - 所有域名解析都变慢，但 ping 根服务器 IP 能通
这种情况常见于网络中间设备对 DNS 报文做了限速或丢包，根服务器本身没坏,但递归查询链路被干扰。
用 dig 命令快速定位根域名故障
实际操作时,先用下面这条命令测试根区：
dig . NS +trace+trace 输出的第一段就卡住，说明本机到根服务器的路径有问题，接着用 dig @198.41.0.4 . NS 直接指定根服务器 IP，排除递归服务器的干扰，若指定 IP 后查询正常，问题就出在本地递归服务器；若指定 IP 仍失败,则大概率是网络出口到根服务器的链路不通。
另一个常用命令是 nslookup -type=NS .，它更适合 Windows 环境，把结果和 dig 对比,能更快判断是工具差异还是真实故障。
根域名故障和DNS污染的区别在哪
很多人把根域名故障和 DNS 污染混为一谈，实际上两者作用层级完全不同，根域名故障发生在解析链最顶端，影响的是所有依赖该根区的域名；而 DNS 污染通常发生在递归查询的返回路径上,只影响特定域名或特定地区。
可以用一个简单方法区分：修改本地 DNS 服务器为 223.5.5.5 或 119.29.29.29，然后重复查询异常域名，如果修改后恢复正常，大概率不是根域名故障，而是原递归服务器被污染或策略劫持，根域名故障不会因为换个递归服务器就消失,因为所有递归服务器最终都要去问根。
网站根域名故障影响范围：从单站到全网
根域名故障的影响范围取决于故障发生在哪一层，大多数场景下，普通网站管理员遇到的不是真正意义上的根服务器故障，而是自己域名的根记录配置错误或被注册商暂停解析，这两种情况的表现类似,但处理路径完全不同。
- 全局根服务器异常：极少发生，一旦发生会影响全球相当一部分域名解析，不过根服务器有任播架构,单点故障几乎不会造成大面积瘫痪。
- 顶级域权威服务器异常：比如某个 ccTLD 的权威服务器集群出现故障，只影响该后缀下的所有域名，这种故障近年在部分国家和地区发生过,恢复时间从几十分钟到数小时不等。
- 单域名根记录异常：最常见，比如在域名注册商后台误删了 NS 记录，或者域名到期未续费被暂停解析，这时候只有该域名受影响,其他域名完全正常。
怎样判断是全局故障还是单域名故障
用两个不同后缀的域名做对照测试，就能快速缩小范围，例如同时查询 example.com 和 example.org，.com 域名全部超时，.org 正常，说明 .com 顶级域的权威服务器可能出现区域性故障，如果只有你自己的域名超时，先登录域名注册商控制台，检查 NS 记录是否完整、域名是否处于 Active 状态。
根域名故障修复多少钱？费用构成与省钱路径
先说结论：多数单域名根记录故障，修复本身不产生额外费用，除非需要购买付费 DNS 服务或紧急人工支持。 但如果涉及域名被删除、赎回或迁移,成本就会上升。
| 故障类型 | 修复方式 | 大致费用范围 |
|---|---|---|
| NS 记录误删 | 登录注册商后台重新添加 | 免费 |
| 域名过期未续费 | 续费或赎回 | 续费常规价，赎回通常数百到上千元 |
| 注册商暂停解析 | 完成实名认证或整改 | 免费 |
| 根服务器链路故障 | 等待运营商修复或更换递归服务器 | 免费，耗时不等 |
| 需要高可用 DNS | 迁移至付费 DNS 服务商 | 每年几十到几百元 |
行业共识认为，绝大多数根域名故障的修复成本集中在人力排查时间上，而不是软件或服务费，一个熟悉 DNS 的运维，通常能在 15 分钟内定位单域名问题，如果不熟悉命令,可能折腾半天还找不到方向。
避免花冤枉钱的三个动作
- 先查域名状态：在 ICANN 或注册商后台查看域名是否处于
clientHold或serverHold,这两种状态通常意味着注册商暂停了解析。 - 别急着买高防 DNS：很多人一看到解析失败就以为是攻击，直接买高防 DNS 服务，实际上先检查 NS 记录和域名状态,能省下这笔钱。
- 用免费公共 DNS 做对比：阿里 DNS、腾讯 DNS、百度 DNS 都免费,切换后测试能快速排除本地递归服务器问题。
预防根域名故障：三个可落地的配置
预防比事后修复划算得多，下面三个配置不需要额外成本,却能避免相当一部分根域名相关故障。
配置多组 NS 记录
在域名注册商后台，不要把 NS 只指向一家 DNS 服务商，至少配置两组不同运营商的 NS，例如一组是域名注册商默认 NS，另一组是第三方 DNS 服务商，这样即使默认 NS 出现故障，递归服务器也能尝试备用 NS。
操作路径：域名管理后台 → DNS 管理 → NS 记录 → 添加备用 NS 并调整 TTL。
拉长 TTL 降低递归压力
对于不常变更的根记录，TTL 可以设置到 3600 秒以上，TTL 越长，递归服务器缓存时间越久，短时间内根区查询失败的影响就越小，但变更记录前要先把 TTL 调低,否则故障恢复后旧缓存还会继续生效。
用监控脚本定时探测根区
在自有服务器上部署一个简单脚本，每小时执行一次 dig . NS @198.41.0.4，如果连续三次返回 SERVFAIL 或超时，就通过邮件或企业微信告警，脚本不用复杂，十几行 shell 就能完成,却能比用户投诉提前发现链路问题。
根域名故障听起来吓人，实际排查路径很清晰：先分全局和单域名，再用 dig 命令定位层级，最后检查域名状态和 NS 记录，多数情况不需要花钱,真正需要花钱的是为高可用付费的预防性投入。
根域名故障常见问题解答
根域名故障和DNS劫持有什么区别？
根域名故障是解析链路顶端不可用或返回错误状态，影响的是解析过程本身；DNS 劫持则是解析结果被恶意替换，用户会被引导到错误 IP，判断方法是使用 dig +trace 查看每一级返回的 NS 和 A 记录是否与官方一致,不一致基本就是劫持。
根域名故障一般多久能恢复？
单域名 NS 记录误删或状态异常，恢复时间取决于注册商后台操作速度，通常几分钟到几小时，顶级域权威服务器的区域性故障，恢复时间从几十分钟到数小时不等，真正涉及根服务器全球性故障的情况几乎没有公开的长时间案例,因为任播架构能在较短时间内切换路由。
根域名故障会影响子域名吗？
会影响，如果域名本身的 NS 记录缺失或域名被暂停解析，所有子域名都会一起失效，如果只是某个子域名的 A 记录配置错误，则只影响该子域名，根域名和其他子域名不受影响,因此排查时要先确认是根记录问题还是子记录问题。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/664869.html
