网络无法访问怎么排查：域名不行但IP可以？

当网站域名无法访问但直接使用IP地址可正常连接时，这通常意味着DNS解析环节出现了问题。DNS作为互联网的”电话簿”，负责将人类可读的域名转换为机器可识别的IP地址。此类故障可能由本地DNS缓存污染、域名服务器配置错误或网络策略限制引起。系统会首先查询本地DNS缓存，若无记录则向配置的DNS服务器发起递归查询，任一环节异常都将导致解析失败。

基础排查步骤

建议通过以下方法逐步缩小问题范围：

• nslookup诊断：在命令行执行 nslookup example.com，观察返回的IP地址是否正确。若出现”服务器失败”或”请求超时”提示，表明DNS服务器无法响应
• dig命令分析：使用 dig example.com 获取详细的解析过程，重点关注ANSWER SECTION是否返回有效记录
• 清除DNS缓存：Windows系统运行 ipconfig /flushdns，Linux/macOS系统使用 sudo systemd-resolve --flush-caches（视系统而定）
• 更换DNS服务器：临时将DNS设置为公共解析服务（如114.114.114.114或8.8.8.8）测试是否恢复

本地环境深度检测

当基础排查无效时，需检查以下本地配置：

Hosts文件劫持是常见原因，位于C:\Windows\System32\drivers\etc\hosts（Windows）或/etc/hosts（Unix系），需检查是否存在异常的域名映射记录

同时验证：

• 防火墙设置是否阻断了DNS查询的53端口
• 代理工具或VPN是否配置了错误的DNS解析规则
• 网络设备（路由器）是否开启了域名过滤功能

服务端问题判别方法

若本地环境确认正常，则需关注服务端状态：

特别注意DNS记录TTL值，过短的TTL可能导致解析不稳定。若使用CDN服务，需检查CNAME记录是否配置正确。

网络中间件影响

企业网络环境中的中间设备可能干扰DNS解析：

• 透明代理：可能劫持DNS请求返回错误结果
• 负载均衡器：错误的DNS调度策略导致解析至无效节点
• DNS劫持：运营商或恶意软件篡改DNS响应内容

可通过tracert 目标IP与tracert 域名对比路径差异，判断是否存在中间节点干扰。

进阶工具与解决方案

对于复杂场景推荐使用：

• Wireshark抓包分析DNS查询响应全过程
• 使用DNSBench测试不同DNS服务器的响应性能
• 部署DoH（DNS over HTTPS）或DoT（DNS over TLS）避免传统DNS污染
• 在多区域通过在线DNS检测工具（如dnschecker.org）验证解析一致性

根治方案包括：在域名注册商处修正NS记录，确保A记录/CNAME记录配置准确；对于关键业务建议配置备用解析线路，并设置合理的监控告警机制。