DNS解析应该怎么配置？

2026-07-08 16:55 作者：数掘云算 阅读量：6

网站接入CDN后，DNS解析应该怎么配置？一文讲清流程与避坑点

很多网站在接入CDN之后，明明控制台已经完成配置，但访问时仍然会出现打不开、跳回源站、部分地区访问异常、回源失败、节点调度不准等问题。实际排查中，这类问题很大一部分并不是CDN节点本身故障，而是DNS解析配置不规范造成的。

对于企业网站、电商平台、游戏业务、APP接口、小程序接口来说，CDN接入不是简单地“开通一个加速域名”就结束了。真正影响访问稳定性的关键环节，往往在DNS解析、CNAME配置、TTL设置、源站防护和切换验证这些细节上。

如果需要接入CDN加速或高防CDN服务，可以了解贵州数掘科技旗下相关服务入口：

数掘CDN网址：https://www.wjdun.cn/
数掘云算官网：https://www.gfvps.cn/

一、接入CDN后，DNS解析到底发生了什么变化？

在没有使用CDN之前，用户访问网站域名时，DNS通常会直接把域名解析到源站服务器的公网IP。例如：

用户访问：www.example.com
DNS返回：源站服务器IP
用户请求：直接访问源站

这种方式结构简单，但所有流量都会直接打到源站。一旦访问量上升、跨地区访问变多，或者遭遇恶意请求、DDoS攻击、CC攻击，源站就会承担全部压力。

接入CDN之后，访问链路会发生变化：

用户访问网站域名
本地DNS发起解析
权威DNS返回CDN分配的CNAME地址
CDN智能调度系统根据用户位置、运营商、节点负载等因素分配边缘节点
用户就近访问CDN节点
CDN节点按规则缓存内容或回源获取数据

也就是说，CDN接入后，网站域名不应该再直接解析到源站IP，而应该通过CNAME指向CDN平台提供的加速域名，再由CDN系统完成节点调度。

二、接入CDN前，先清理原有解析记录

很多CDN配置出问题，第一步就错在旧解析没有清理干净。

在接入CDN之前，域名解析后台里通常会存在原来的A记录、AAAA记录，直接指向源站IPv4或IPv6地址。例如：

www A 1.1.1.1
www AAAA 240e:xxxx::xxxx

如果此时又新增一条CNAME记录，就可能造成解析冲突。

正确做法是：

先确认需要加速的域名，例如 www.example.com、api.example.com、static.example.com。
然后检查这些主机记录下是否存在A记录、AAAA记录。
如果已经准备正式切到CDN，就暂停或删除原有直连源站的解析记录。
最后再添加CDN平台提供的CNAME解析。

需要注意，同一个主机记录通常不建议同时存在A记录和CNAME记录。否则不同DNS服务商、不同递归DNS缓存下的表现可能不一致，容易造成部分用户访问CDN，部分用户仍然直连源站。

三、正确添加CDN的CNAME解析

开通CDN加速域名后，CDN平台一般会分配一个专属CNAME地址。例如：

www.example.com.cdn.xxx.com

这个地址不要手动修改，也不要随意删减前缀。配置时进入域名DNS服务商后台，新增CNAME解析即可。

常见配置方式如下：

主机记录：www
记录类型：CNAME
记录值：CDN平台分配的CNAME地址
TTL：建议300秒

如果是主域名接入，则主机记录一般填写 @。
如果是泛解析接入，则主机记录填写 *。
如果是接口域名接入，例如 api.example.com，则主机记录填写 api。
如果是静态资源域名，例如 static.example.com，则主机记录填写 static。

对于企业业务来说，不建议一开始就直接把所有域名全部泛解析到CDN。更稳妥的方式是先选择一个业务子域名测试，例如 static.example.com 或 test.example.com，确认缓存、HTTPS证书、回源协议、访问路径都正常后，再逐步切换正式业务域名。

四、TTL应该怎么设置？

TTL决定DNS解析结果在递归DNS、本地DNS、客户端侧缓存多久。

TTL太大，解析结果稳定，但切换慢。
TTL太小，切换快，但DNS查询压力会增加。

一般建议：

日常稳定业务：TTL设置为300秒到600秒。
上线切换前：提前24到48小时把TTL调低到60秒。
切换完成并观察稳定后：再恢复到300秒或600秒。

举个例子：

如果你准备明天晚上把网站从源站直连切换到CDN，今天就应该先把TTL调低。这样明天真正切换CNAME时，旧解析缓存更快过期，用户访问路径也会更快切到CDN节点。

很多人是在故障发生后才临时修改TTL，这时候效果有限，因为旧的高TTL解析结果已经被缓存了，部分用户仍然会继续访问旧地址。

五、源站IP不要继续裸奔

接入CDN后，很多人以为源站就安全了，其实并不是。

如果源站IP仍然暴露在公网，并且防火墙没有限制来源，那么攻击者依然可以绕过CDN，直接请求源站IP。这样CDN的缓存、隐藏源站、高防清洗等能力都会被绕开。

建议做好以下几项配置：

源站安全组只允许CDN回源IP段访问80、443等业务端口。
数据库、Redis、管理后台等端口不要暴露公网。
源站只开放必要端口。
管理端口建议使用VPN、堡垒机、白名单或专线访问。
定期检查历史解析记录、子域名记录，避免源站IP泄露。
业务后台、API接口、上传接口应单独配置访问控制策略。

如果使用贵州数掘CDN或高防CDN服务，接入时也应同步确认回源IP、源站防火墙策略、HTTPS证书、回源协议和缓存规则，避免只配置解析、不配置安全策略。

六、IPv6环境下怎么配置？

很多用户会问：接入CDN之后，还要不要单独添加AAAA记录？

一般情况下，不建议再把业务域名AAAA记录直接解析到源站IPv6地址。因为这样IPv6用户可能会绕过CDN，直接访问源站。

更合理的方式是：

在CDN平台开启IPv6访问能力。
DNS侧仍然使用CNAME指向CDN加速域名。
由CDN平台根据自身能力返回IPv4或IPv6节点地址。
源站是否支持IPv6，根据CDN回源配置单独处理。

也就是说，IPv6双栈能力应该在CDN侧开启，而不是简单地给业务域名添加一个直连源站的AAAA记录。

七、主域名@不能添加CNAME怎么办？

有些DNS服务商不支持根域名直接配置CNAME。比如 example.com 这个主域名，主机记录是 @，但后台提示不能添加CNAME。

这种情况下可以采用以下方案：

第一种：使用支持CNAME Flattening、ALIAS或ANAME的DNS服务商。
这种方式可以让主域名看起来像配置了CNAME，但最终对外返回的是CDN节点IP。

第二种：将 www 域名接入CDN，然后主域名301跳转到 www。
例如 example.com 跳转到 www.example.com，这种方式简单稳定，也适合官网业务。

第三种：使用CDN厂商提供的固定IP接入。
这种方式要看CDN服务商是否支持，灵活性不如CNAME调度。

一般企业官网建议优先采用“主域名跳转www，www接入CDN”的方式，维护简单，兼容性也好。

八、切换CDN前，建议先做灰度验证

正式修改全网DNS之前，最好不要直接切正式域名。建议先做灰度验证。

常见方式有三种：

第一，使用测试子域名接入CDN，例如 cdn-test.example.com。
第二，在本地电脑hosts文件中绑定CDN测试节点IP进行访问验证。
第三，选择低峰期切换，并提前降低TTL。

测试时重点检查：

网站首页是否正常打开。
图片、JS、CSS是否加载正常。
HTTPS证书是否匹配。
HTTP是否能正确跳转HTTPS。
POST接口、登录接口、支付接口是否正常。
缓存规则是否误缓存动态页面。
源站日志是否能看到真实回源请求。
访问者真实IP是否能通过X-Forwarded-For等方式传递。
大文件下载、视频、图片是否命中缓存。
不同地区、不同运营商访问是否正常。

只有这些项目都确认正常后，再把正式业务域名切换到CDN。

九、常见DNS解析问题与处理方法

1. 已经改了CNAME，为什么访问还是源站？

常见原因是DNS缓存没有过期。

可以先在本地执行刷新DNS缓存：

Windows：

ipconfig /flushdns

Mac：

sudo killall -HUP mDNSResponder

Linux：

根据系统DNS服务不同，可以重启 systemd-resolved、nscd 或 dnsmasq。

如果本地刷新后仍然不生效，可以使用不同网络环境测试，例如手机流量、不同地区服务器、公共DNS解析工具等。不要只看自己电脑的访问结果。

2. 解析已经生效，但网站打不开？

需要重点检查以下几项：

CNAME地址是否填写错误。
CDN控制台加速域名是否已启用。
域名所有权验证是否完成。
HTTPS证书是否已经部署。
CDN回源协议是否与源站一致。
源站防火墙是否误拦截CDN节点。
源站端口是否开放。
源站是否限制了Host头。
缓存规则是否配置错误。

很多“接入CDN后打不开”的问题，并不是DNS没有生效，而是CDN可以访问域名，但无法正常回源。

3. 部分地区正常，部分地区异常是什么原因？

这类问题通常与DNS缓存、运营商解析、CDN节点调度、区域策略有关。

可以按以下顺序排查：

查看异常地区解析到的IP是否为CDN节点。
检查是否有运营商DNS缓存旧记录。
检查CDN平台是否配置了区域访问策略。
检查是否存在某些地区节点回源失败。
检查源站是否对CDN回源IP做了限制。
检查是否存在DNS污染、劫持或错误解析。

如果业务对稳定性要求高，可以选择具备多线路调度、高防防护和多节点资源的CDN服务，降低单一区域节点异常对业务的影响。

4. 泛解析配置后，为什么有些子域名不生效？

泛解析的规则一般是：

*.example.com 指向某个CNAME

但如果某个子域名已经单独存在解析记录，例如：

api.example.com
mail.example.com
test.example.com

那么这些明确存在的子域名记录通常优先级高于泛解析。

所以出现部分子域名没有走CDN时，需要检查该子域名是否已有独立A记录、AAAA记录、CNAME记录或TXT记录。

建议做法是：

普通业务子域名统一交给CDN泛解析。
特殊业务子域名单独配置。
邮箱、验证、业务后台、内网系统不要随意纳入泛解析。
上线前导出完整DNS解析记录，逐项核对。

5. CDN切回源站后，为什么还有用户访问CDN？

主要原因是旧DNS缓存还没有过期。

除了TTL缓存外，浏览器、本地系统、运营商DNS、企业网关、HTTP长连接等都可能导致旧链路继续存在一段时间。

建议：

切换前提前降低TTL。
低峰期操作。
保留CDN配置一段观察期，不要切完马上删除。
源站和CDN同时保持可用，避免部分用户访问失败。
通过日志观察访问来源逐步变化。

十、推荐的CDN解析配置流程

企业网站接入CDN时，可以按下面流程执行：

第一步，确认需要接入CDN的业务域名。
第二步，在CDN平台添加加速域名。
第三步，配置源站地址、回源协议、回源端口。
第四步，配置HTTPS证书。
第五步，设置缓存规则、目录规则、动态接口规则。
第六步，获取CDN平台分配的CNAME地址。
第七步，在DNS后台删除或暂停原有A记录、AAAA记录。
第八步，添加CNAME解析记录。
第九步，将TTL设置为300秒，切换前可临时调低到60秒。
第十步，验证解析是否生效。
第十一步，测试访问、回源、缓存、HTTPS、接口。
第十二步，配置源站防火墙，仅允许CDN回源IP访问。
第十三步，观察访问日志、命中率、状态码和回源情况。
第十四步，确认稳定后恢复正常TTL。