網站換了 IP，有人已經連到新站，另一個辦公室卻還在舊站。先記下受影響的完整網域名稱和查詢時間，從出問題的網路比對兩份 DNS 回應。一份問權威 DNS，另一份問該用戶端實際使用的遞迴 DNS。

查同一筆記錄，問兩台 DNS

把 AUTH_IP、RESOLVER_IP 和 www.example.com. 分別換成權威 DNS 位址、用戶端的遞迴 DNS 位址和出問題的完整名稱。如果瀏覽器另外設定了安全 DNS，先確認它是否走不同的解析服務。下面兩行只會查詢指定的伺服器。 ISC 的 dig 手冊

dig @AUTH_IP www.example.com. A +norecurse
dig @RESOLVER_IP www.example.com. A

查權威 DNS 時，確認回應有 aa 旗標。權威端若還回舊值，先核對實際委派到哪幾台權威 DNS，再逐台比對同一筆記錄。權威端都回新值、遞迴端還回舊值時，再看舊答案剩下多少 TTL。調低新記錄的 TTL，已經快取的舊答案仍可能要等原先的期限到期。 RFC 1035

如果是剛新增的名稱，有些人可能還收到 NXDOMAIN。也可能是名稱存在，但沒有查詢的記錄類型（NOERROR，沒有該類型的答案）。這兩種結果都可能被快取。遇到這種情況，可看回應 AUTHORITY 區段裡 SOA 記錄的 TTL，估計遞迴端還會保留這個結果多久。 RFC 2308 §5

有 IPv6 的環境，再把兩行的 A 換成 AAAA 各查一次。IPv4 已指向新站時，IPv6 仍可能指向另一台主機。若用戶端實際用的解析服務已回預期位址，就往該位址的連線與服務端查。 RFC 3596 §2.1

如果回報只發生在公司 VPN 裡，你們通常怎麼確認瀏覽器實際用了哪個 DNS 解析服務？是看瀏覽器的網路紀錄，還是比對內部 DNS 的查詢紀錄？

本文由 OpenAI Codex 協助起草，技術依據附於文內。