每次打开网站，浏览器都要先查一次 www.example.com 对应哪个 IP，这一步就是域名解析。阿里云域名解析（云解析 DNS）是权威解析服务，记录在控制台修改，解析请求会分发到国内外的节点。很多人第一次配置时会卡在 A、CNAME 和 TTL 这几个字段上，写错一处，网站或邮件就可能打不开。
一、先分清几种记录
记录类型选错，后面怎么调都没用。日常最常碰到的有下面几种。
- A 记录：把域名直接指向 IPv4 地址，适合网站跑在一台 ECS 或负载均衡的公网 IP 上。这里填的是 IP，不是另一个域名，填错一位数字，访客就打不开站点。
- AAAA 记录：指向 IPv6 地址。只有服务器确实开通了 IPv6 才需要加，否则只会让一部分访客连不上。
- CNAME 记录：把域名指向另一个域名，接入 CDN、对象存储、WAF 时一般用它。要记住一条限制：同一个主机记录下只能有 CNAME，不能再同时挂 A 或 TXT。比如 www 接了 CDN，就不能再给 www 加 A 记录。根域名（@）受 DNS 标准限制，通常不能直接设 CNAME，接入前要确认服务商给出的方式。
- MX 记录：指定收信服务器，优先级数字越小越先投递。只有一台邮件服务器时写一条即可，多台时才需要区分优先级。
- TXT 记录：用于证明域名归你所有，也用来写 SPF、DKIM 等邮件认证内容。迁移时这类记录最容易被漏掉。
TTL 决定解析结果在各地缓存多久，单位是秒。设为 600 秒，意味着记录改动后，大部分访客最多十分钟内会拿到新结果，个别缓存不遵守 TTL 的情况另算。TTL 越短，切换越快，但解析请求量也越大。平时可以设长一些，要切换前再提前调短。
二、一家手工茶具网店的迁移过程
以一家卖手工茶具的小网店为例。网站跑在杭州的一台 ECS 上，域名之前用注册商自带的解析。店主想做三件事：国内访客走国内节点，境外访客访问新加坡的备用服务器，主服务器出故障时能自动切走。
2.1 迁移步骤
- 在云解析控制台添加域名，把原有记录逐条抄下来，MX 和 TXT 尤其不能漏。漏了 MX，邮件会收不到；漏了用于验证的 TXT，域名所有权校验可能过不去。抄完后和注册商后台的列表对一遍。
- 到注册商后台，把 DNS 服务器改成阿里云分配的两个 NS 地址。生效需要一段时间，期间新旧两边都可能被访问到，所以在旧解析停用之前，两边的记录必须保持一致。
- 为 www 添加 A 记录，指向主服务器 IP，TTL 设为 600 秒。如果之后要切换 IP，可以提前一天把 TTL 调低，切换完成后再调回来，避免长 TTL 拖慢生效。
2.2 智能解析与线路
店主添加了两条线路。默认线路指向杭州主服务器，境外线路指向新加坡备用服务器。国内访客不再绕道跨境链路，访问体验通常会更稳，具体快多少，要用拨测工具看数据，不要凭感觉判断。
配置线路时有一处容易忽略：默认线路必须保留。访客所在地区如果没有匹配到任何线路，就由默认线路兜底。没有这条兜底，这部分请求会直接解析失败。每条线路的解析结果也都要检查，别只配了其中一条。
2.3 健康检查与故障切换
店主给主服务器配置了健康检查，按固定间隔请求一个 HTTP 路径。下面的数字只是示例设置：每 30 秒探测一次，连续 3 次失败才判定故障，然后解析结果切到备用 IP。要求连续失败才切换，是为了避免一次网络抖动就触发切换。
这个功能依赖对应的云解析版本，购买前要确认套餐是否包含。
切换之后还有一步。店主需要在检查日志里确认主服务器已经恢复，再手动切回。如果主服务器时好时坏，自动切回会让访客在两台机器之间来回跳，反而更乱。手动切回多一步操作，但更可控。
三、排查常见问题
大多数问题都能用 dig 和拨测工具定位，先别急着改记录。
- 解析不生效：用 dig 指定公共 DNS 查询，例如 dig www.example.com @8.8.8.8，看返回的是不是新 IP。如果还是旧值，先确认 NS 是否已经切到阿里云，再看注册商那边的保存是否成功。
- 邮件收不到：检查 MX 记录的优先级是否正确，同时确认 SPF 只有一条。同一域名存在多条 SPF 记录时，邮件认证会失败。常见原因是新增发信服务时又建了一条 SPF，把内容合并成一条即可。
- 切换后部分用户仍访问旧 IP：多半是本地 DNS 缓存还没过期，等旧 TTL 时间过去就会恢复。这种情况下反复改记录没有用，只会让排查更乱。
四、安全与管理
- 云解析账号开启多因素认证，日常操作使用 RAM 子账号，只授予必要权限。主账号 AccessKey 一旦泄露，影响的是整个账号，子账号泄露的影响范围小得多。
- 域名注册和解析管理尽量分开权限。注册商账号能改 NS，云解析账号能改记录，两边分开，误操作的范围就小一些。
- 重大变更前先导出记录备份。变更后用拨测工具从几个地区检查解析结果，不要只在自己的电脑上查一次。
- 开启 DNSSEC 时，要在注册商和阿里云两端同步配置 DS 记录。只改一边，解析可能直接失败。
五、收尾
记录类型选对，线路和兜底配好，切换前后各查一遍。阿里云域名解析的大部分坑，都能在上线前避开。
