Linux中DNS解析怎么排查DNS污染导致连接不上-linux运维-PHP中文网

dns污染核心表现是解析结果错误而非失败，需通过多源比对（如dig @1.1.1.1与本地结果差异）、检查resolvectl状态、全球节点验证及+cd参数测试来确认；污染时解析成功但ip异常，常由isp劫持或缓存投毒导致。

linux中dns解析怎么排查dns污染导致连接不上

DNS污染导致连接不上，核心表现是：域名解析出的IP地址错误（比如本该指向国内服务器，却返回了境外IP或私有IP），或者同一域名在不同网络环境下解析结果不一致。Linux下排查这类问题，关键不是“有没有解析”，而是“解析得对不对”。

很多用户一看到“无法访问”，就默认是DNS没通，其实污染时解析是成功的，只是结果错了。验证方法：

用dig example.com +short查解析结果，记下返回的IP
再用dig @1.1.1.1 example.com +short（Cloudflare）和dig @8.8.8.8 example.com +short（Google）分别查——如果本地解析结果和这两个公共DNS不一致，高度怀疑被污染
对比dig @114.114.114.114 example.com +short（国内常用）结果，若它和本地一致但和1.1.1.1不一致，更可能是本地DNS服务商做了劫持或缓存污染

/etc/resolv.conf 很可能不是真实配置源，尤其在systemd-resolved或NetworkManager管理的系统中：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

运行ls -l /etc/resolv.conf：如果是软链接（如指向/run/systemd/resolve/stub-resolv.conf），说明实际由 systemd-resolved 控制，需用resolvectl status看当前生效的DNS
运行resolvectl dns查看各接口绑定的DNS服务器，重点检查是否被设为运营商DNS（如114.114.114.114）且未启用DNSSEC
注意options edns0和options trust-ad是否启用——缺这两项会削弱防污染能力

单靠本地测试容易误判，需要外部参照：

用在线工具如 ping.pe 或 dnschecker.org 输入域名，查看全球各节点解析结果。若国内多个节点都返回异常IP，而海外节点正常，基本锁定是本地链路（ISP或中间设备）污染
在手机热点下（换一个DNS出口）重复dig example.com，如果结果变正常，说明原网络环境存在主动干扰
尝试加+cd参数：dig example.com +cd +short（checking disabled），若此时返回正确IP，说明本地DNS因安全策略丢弃了带AD标志的响应——这是典型污染规避失败的表现

确认污染后，可用以下方式快速验证是否恢复：

直接指定干净DNS查询：curl -H "Host: example.com" http://93.184.216.34（用dig查到的正确IP）
临时改/etc/resolv.conf（仅测试）：echo "nameserver 1.1.1.1" | sudo tee /etc/resolv.conf，再试ping example.com
启用DoT（DNS over TLS）：sudo resolvectl dns eth0 1.1.1.1 + sudo resolvectl encrypt-traffic eth0 yes，强制加密通道防中间篡改

污染不像宕机那样“无响应”，它更隐蔽、更难复现。判断的关键在于多源比对和结果一致性分析，而不是单纯看“能不能解析”。