DNS 完整性检测说明
doc学习如何通过多解析器对比识别 DNS 结果不一致、缓存篡改与污染信号，并据此定位问题。
DNS 完整性检测说明
本页帮助你理解解析器结果一致性、污染信号的含义，以及如何把检测结果转成可执行的排查步骤。
这个检测在验证什么
工具会用多个 DoH 解析器解析同一域名，并比较返回记录是否一致。
如果多个可信解析器结果一致，说明完整性更稳定；如果差异明显，需要排查拦截、缓存异常或策略差异。
为什么要看一致性
很多"访问异常"并不是链路断了，而是 DNS 路径或解析结果在不同节点上不一致。
解析器漂移会让你命中不同基础设施，影响延迟、地域路由以及安全策略表现。
如何阅读解析器结果表
每行包含解析器、返回答案、状态与 TTL。先比较不同解析器之间是否一致，再对照你的预期。
若只有一个解析器异常，常见原因是本地过滤、门户拦截或单点缓存陈旧。
什么是污染信号
出现内网地址、下沉地址，或同域名在不同解析器中返回明显不合理差异，通常是高风险信号。
这类信号用于诊断，不是法律结论。建议跨网络、跨出口重复验证。
完整性检测与 DNS 泄露的区别
完整性检测关注"答案是否一致"。DNS 泄露关注"请求发给了谁"。
两者要一起看：一个判断答案质量，一个判断解析路径是否受控。
实操修复顺序
先在同一网络重测，排除瞬时缓存抖动；再切换 VPN 出口或网络对比结果。
若问题持续，统一客户端与路由器 DNS 策略，关闭冲突的 DNS 覆盖项，直到解析器结果收敛。
常见误判场景
CDN 地域调度、分视图 DNS、超短 TTL 域名，都会造成看似"不同答案"的正常现象。
排查时重点看持续性异常，不要只根据单次采样下结论。
延伸阅读
先看 什么是 DNS 泄露 了解路径模型，再看 如何修复 DNS 泄露 获取修复步骤；结合 我的 IP 是什么 校验网络上下文。
和 DNS 泄露检测如何配合
完整性检测解决的是"答案是否一致"，DNS 泄露检测解决的是"请求发给了谁"。
如果完整性正常但泄露异常，优先修复解析路径；如果路径正常但完整性异常，优先排查解析器策略与缓存层。
团队落地建议
为关键业务域名维护一份"期望解析基线"：记录解析器、答案范围、TTL 区间与检测时间窗口。
当出现登录异常、地区错判或访问抖动时，可直接对比基线，快速判断是网络策略变更还是 DNS 数据层漂移。
应急排查顺序（5 分钟版本）
第一步：同网络重复测两次，确认是否瞬时波动。第二步：切换 VPN 或移动热点复测，确认是否单网络问题。
第三步：对比权威解析结果与本地结果。第四步：检查路由器与终端是否有 DNS 重写策略。第五步：留存结果截图用于回溯。
结果判断边界
该工具用于技术诊断，不直接等于安全结论或合规结论。最终判断需结合业务可达性、链路日志与上下文策略。
对 CDN、分视图 DNS、多地区调度业务，应先定义"可接受差异范围"，再判定是否异常。
常见问题
DNS 8.8.8.8 和 8.8.4.4 是什么？
8.8.8.8 和 8.8.4.4 是 Google 的公共 DNS 解析器 IP 地址，属于全球最知名的公共 DNS 服务之一。使用这两个地址可以让你的 DNS 查询跳过运营商解析器，获得更快、更可靠的解析体验。
什么是代理 DNS 服务器？
代理 DNS 服务器是在您的设备和实际 DNS 解析器之间充当中介的服务器。它可以缓存解析结果、过滤恶意域名，或者将请求转发到其他解析器处理，常用于企业网络和隐私保护场景。
1.1.1.1 是代理吗？
不是。1.1.1.1 是 Cloudflare 和 APNIC 联合运营的公共 DNS 解析服务，主要作用是提供快速、私密的 DNS 解析，不具备流量代理功能。它不会隐藏你的 IP 地址，只是确保你的 DNS 查询不会被监听或篡改。
代理服务器违法吗？
在大多数国家，使用代理服务器是合法的，只要不用于非法活动（如网络攻击、欺诈、绕过当地法律等）。但部分国家对中国大陆境外的代理服务有特殊限制，使用前应了解当地法规。