凌晨值班时，海外VPS上的一座站点域名能解析，页面却持续超时；换浏览器仍失败，改走代理后又恢复。这看起来像DNS污染，也可能来自递归线路差异，甚至源站的地域策略。若直接归因污染并反复换DNS、清缓存，容易把正确方向带偏。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：starrydns（服务器与主机），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
第一节：先把异常拆成三条链路
访问链路由客户端、递归解析器和源站组成。客户端查询递归器，后者按需找到权威DNS；权威应答是当前区域的基准。递归器却可能受缓存、预解析、EDNS Client Subnet、线路调度或服务商策略影响，返回不同地址。因此，递归结果不同并不自动等于污染，权威DNS对照才是第一步。
污染响应指纹通常有迹可循：异常网段、TTL过短、CNAME被改写、应答落在sinkhole接管地址，或权威记录与递归答案明显冲突。也有运营商只劫持敏感域名，其他子域保持正常。排查应保存查询名、记录类型、TTL、返回IP、CNAME链、DNSSEC状态和耗时，不能只抄浏览器里看到的IP。
第二节：三组证据定位真正故障点
第一组证据是权威DNS对照。固定域名和记录类型，直接查询该域名的权威服务器，再用多个网络环境复核。若权威地址正常，而某地递归持续返回异常地址，污染嫌疑升高；若递归与权威一致但连接失败，应转向路由、TLS或源站检查。
第二组证据是跨区域探测。让不同地区、不同运营商的探针同时记录解析结果，以及后续TCP、TLS、HTTP状态。解析阶段就不一致并命中异常指纹，倾向污染或递归策略；各区答案一致却只有部分地区能连接，更像跨境路由、源站ACL或地域策略。递归线路差异也可能由合法调度造成，不能仅凭IP不同定罪。
第三组证据来自客户端分流，重点看DoH客户端差异。系统DNS、浏览器安全DNS和DoH客户端可能并存，缓存、代理规则及域名分流策略会改变出口。ServLlama可给不同解析请求指定独立代理路径，用来观察换解析器后故障是否仍在，再与探针结果交叉验证。常见坑是只换DNS却沿用旧缓存，或把DoH加密等同于答案可信；DoH保护传输，不保证上游数据正确。最后绕过DNS直连源站IP，携带正确Host与SNI，并核对源站日志中的拒绝原因，确认是否命中源站策略。
污染响应指纹与递归线路差异
判断污染，不能只看解析结果。先记录查询时间、返回 IP、TTL、响应码及 flags。被劫持的解析常表现为固定的污染响应指纹：返回无关地址、0.0.0.0、保留地址，或权威记录正常时却稳定返回 NXDOMAIN。不过，CNAME 链、通配符和 sinkhole 也会产生相似现象，不能凭单一特征下结论。
随后做权威DNS对照，核对 NS、A/AAAA、CNAME、DNSSEC 状态及通配符规则；公共解析器的缓存不能直接充当权威答案。还需比较不同运营商、地区、IPv4/IPv6 的递归线路差异。EDNS Client Subnet、Anycast、缓存节点和上游路径均会改变结果，某条线路正常不代表其他线路没有被污染。
排查 DoH 时更要识别DoH客户端差异：浏览器、系统代理和独立客户端可能使用不同引导 DNS、缓存及出口。启用加密也不代表所有子查询都经过 DoH。测试前应清理缓存，用随机子域触发真实解析，并在不同出口复测，避免把 CDN 调度或客户端分流误判为污染。
可执行的对照检查清单
① 锁定基线：选定域名与 A/AAAA 记录，记录本地时间、出口 IP、实际使用的递归服务器；保存普通 UDP 与 DoH 查询结果及 TTL。
② 权威验真：查询 NS 与权威应答，核对委派链、签名状态、CNAME 目标及地域记录；发现异常时换一个权威入口交叉验证。
③ 横向对照：至少覆盖两家运营商和两种地址族，固定记录类型与时间；不要用单一公共 DNS 作为“标准答案”，同时检查响应码、flags、返回地址和 TTL 是否稳定。
④ 调整分流：根据验证结果设置域名分流策略，让国内与国际域名分别走预期解析器；使用 fake-ip 时确认回源和 CDN 地理位置匹配，必要时切换 real-ip，并保留可快速回退的规则。
最终应分别证明权威数据正确、递归出口未受污染、客户端按规则分流。只有三者同时成立，才能把解析异常归因于污染，而不是配置、缓存或调度问题。
喜欢 
顶
难过
囧
围观
无聊
