DNS 解析故障診斷與排除實戰指南

故障現象識別

典型徵兆：IP 直接存取正常，但域名無法解析（瀏覽器顯示「找不到伺服器」/「DNS_PROBE_FINISHED_NXDOMAIN」），或解析到錯誤 IP。

步驟一：確認確為 DNS 故障

1. 按 Win+R 輸入 cmd 開啟命令提示字元。
2. 輸入 nslookup 進入互動模式，顯示當前使用的 DNS 伺服器（如 202.106.0.20）。
3. 輸入無法存取的域名（如 www.example.com）。
   • 回應 DNS request timed out / Server failed → 確為 DNS 解析故障。
   • 返回正確 IP → DNS 正常，問題在防火牆/代理/瀏覽器快取/Hosts 檔案。

快速指令：nslookup www.example.com 8.8.8.8 直接指定 Google Public DNS 測試，排除本地 DNS 問題。

步驟二：檢查本機 DNS 設定

1. ipconfig /all 查看「DNS Servers」欄位。
2. 若為外部公共 DNS（如 ISP 提供、8.8.8.8、114.114.114.114）且解析失敗 → 嘗試切換至其他公共 DNS。
3. 若為內網 DNS（企業/學校網域控制器）→ 需登入該 DNS 伺服器進一步排查。

步驟三：DNS 伺服器端排查（管理員權限）

1. 在 DNS 伺服器上執行 nslookup 測試權威區域解析。
2. 檢查 DNS 服務狀態：services.msc →「DNS Server」是否運行。
3. 查看事件檢視器（eventvwr.msc）→「應用程式與服務記錄」→「DNS Server」是否有錯誤事件（如區域載入失敗、轉寄器逾時）。
4. 驗證轉寄器/根提示設定正確，網路連通上游 DNS。
5. 清除伺服器端快取：dnscmd /ClearCache 或右鍵 DNS 管理主控台 →「清除快取」。

常見根因與對策速查表

進階診斷工具

• dig (Linux/WSL/Git Bash)：dig @8.8.8.8 example.com +trace 追蹤完整解析鏈路。
• DNSViz / DNSCheck：線上視覺化驗證 DNSSEC、委派鏈路。
• Wireshark：過濾 dns 觀察查詢/回應封包細節（標誌碼、TTL、旗標）。

預防最佳實務

• 客戶端配置至少兩組不同網段的 DNS（主/備）。
• 企業內網部署冗余 DNS 伺服器，啟用 AD 整合區域自動複寫。
• 定期審核區域記錄、清理僵屍記錄、監控解析延遲與失敗率。
• 啟用 DNSSEC 驗證，防範快取投毒與中間人攻擊。