引言

自建DNS服务器能够提供更灵活的域名解析控制，但递归解析故障会直接影响业务访问。本文系统梳理常见故障原因、排查方法及日常运维策略，帮助运维人员快速定位并解决问题。

常见递归解析故障类型

1. 缓存污染与过期

DNS缓存被错误记录或TTL管理不当，导致返回陈旧或错误的解析结果。例如，攻击者注入伪造记录或上游权威服务器记录变更后本地缓存未及时刷新。

2. 上游DNS超时或不可达

递归查询依赖上游根、顶级域或权威服务器。若上游响应缓慢、网络中断或防火墙阻断UDP 53端口，可能导致查询超时或SERVFAIL。

3. 配置错误

• 转发器设置错误：将递归请求转发到不存在的或非授信的上游服务器。
• ACL限制过严：内部网络或客户端IP未被允许发起递归查询。
• 软件参数不当：并发连接数限制、超时值（如resolve-query-timeout）设置过低。

4. DNSSEC验证失败

启用了DNSSEC但密钥链不完整、签名过期或时间偏差，导致递归解析阶段返回BOGUS状态。

故障排查流程

以下为系统化排查步骤，适用于BIND、Unbound、PowerDNS等常见软件。

1. 确认故障范围：使用dig @[DNS-IP] example.com测试，对比外部公共DNS（如8.8.8.8）是否正常。若外部正常，则问题出在自建服务器配置或环境。
2. 检查服务器状态：查看DNS进程运行状态（systemctl status named或unbound-checkconf），检查系统资源（CPU、内存、网络连接数）是否饱和。
3. 分析日志：开启详细查询日志，定位解析失败的域名及错误码（如NXDOMAIN、SERVFAIL、REFUSED）。示例错误：query refused because of access control 通常为ACL问题。
4. 测试递归链路：使用dig +trace example.com观察每一级响应时间与来源。若某级超时，检查该级DNS可达性。
5. 检查缓存完整性：强制清除特定域名缓存（如rndc flush example.com）后重新查询，排除缓存污染。
6. 验证DNSSEC状态：使用dig +dnssec example.com查看AD标志与RRSIG记录。若返回SERVFAIL且日志提示“validation failure”，需检查信任锚或系统时间。

预防与优化措施

监控与告警

部署DNS监控工具（如Prometheus + DNS Exporter）监控查询成功率、响应延迟、缓存命中率。设置阈值告警，当SERVFAIL比例超过1%时自动通知。

配置优化

• 合理设置递归超时：避免全局超时过长导致队列堆积，推荐初始值500ms，按需调整。
• 使用多个上游转发器：配置多组公共DNS或权威服务器，设置健康检查自动剔除故障节点。
• 启用RPZ（响应策略区域）：拦截恶意域名，减少缓存污染风险。
• 定期清理缓存：通过计划任务（如cron）在低峰期清理过期记录，避免内存耗尽。

文档与演练

维护DNS架构变更记录与标准操作流程（SOP）。定期模拟故障场景（如切断上游连接、注入错误记录），演练应急切换或回滚方案。

总结

自建DNS递归解析故障的根源常集中在缓存、上游依赖与配置三方面。通过系统化排查流程与预防性运维，可显著提升解析可用性。建议持续关注解析日志与监控指标，及时响应异常。