上线后仅部分地区访问失败：从DNS结果建立可复查的样本

“某个地区打不开”是故障线索，还不是定位结论。上线CDN后，不同用户可能使用不同解析器、网络和地址族，拿到的地址也可能不同。先收集可对照的样本，才能判断问题发生在解析、连接、TLS还是应用响应阶段。

让失败样本与正常样本可以对照

请受影响用户或监测节点记录以下信息，敏感参数、Cookie和令牌应脱敏。不要只保存一张无时间的错误截图，也不要要求用户提交整份含登录信息的浏览器记录。

浏览器如果使用安全DNS或代理，它实际取得的结果可能与系统命令不同。应把工具及解析方式写入记录。公共在线检测结果可以补充证据，但不能代表受影响用户的本地路径。

先分别检查A与AAAA

不要只记录一个最终IP。保留CNAME链、IPv4的A记录和IPv6的AAAA记录，并区分“记录不存在”“查询失败”和“查询超时”。这些结果需要不同的后续排查。DNS记录基本结构可参考RFC 1034。

若IPv4样本成功而IPv6失败，下一步是检查IPv6地址、路由、入口配置和证书，不应直接给所有用户关闭IPv6。若多个解析器仍返回不同版本，核对权威服务上的记录是否一致，以及旧记录是否尚在缓存有效期内。

Google Public DNS排障文档说明，变更后的旧缓存和权威服务器数据不一致都可能造成错误答案；ping或traceroute测得的网络延迟也不等于DNS解析耗时。因此，“换一个DNS就快了”只能作为对照线索，不能直接证明原解析器有问题。

解析成功后继续沿请求路径定位

同一时间有两个样本解析到不同地址，并不必然异常：内容分发网络可能按网络条件返回不同入口。需要向平台核对这些地址是否都属于预期服务，再比较连接与响应。

• 没有解析结果：检查委派、权威响应和校验失败信息。
• 解析正常但连接失败：检查目标地址、端口和相关网络路径。
• 连接建立但TLS失败：核对证书名称、有效期及完整证书链。
• HTTP响应已返回：保存状态码与请求标识，继续区分边缘规则和源站应用。

若出现DNSSEC校验异常，应按DNSSEC信任链检查方法修复配置，不能把关闭校验当作长期处理方案。

给工单附上能复现的时间窗口

整理两到三个失败样本及对应正常样本，附上最近的DNS、证书和接入配置变更。每次只调整与证据相关的一项配置，再从原失败网络重新验证；否则同时改DNS、源站和缓存，即使恢复也难以知道真正原因。

验收应覆盖曾经失败的地区和地址族，并保存恢复后的记录。进行SCDN线路评估时，也可复用这套样本格式，让访问效果讨论建立在同一目标、时间和网络条件上。

资料核对日期：2026年10月30日。本文由AI辅助整理，并依据文内原始资料核对；示例与建议流程不代表已执行的客户测试。产品配置和软件维护状态请以实施时的官方资料为准。