主域名买好了，网站也能正常访问，可一加 blog.example.com、shop.example.com 这类子域名就出问题：要么打不开，要么解析后指到了不该去的服务器。第一次用阿里云 DNS 的站长，多半会在这一步卡住。下面用一个具体案例，按顺序讲阿里云解析二级域名的操作，以及生效不了时该先查哪几处。
一、二级域名是什么
以 example.com 为例，它是一级域名，也就是主域名。前面加一段前缀，比如 www、blog、api，得到的 blog.example.com 就是二级域名，也叫子域名。
网站常用子域名来拆分不同部分：博客放 blog，后台放 admin，接口放 api，各自指向不同的服务器或平台。好处是职责清楚，某一块出故障不会连带其他部分，以后迁移也只需要改对应的那条记录。
二级域名不需要单独购买。只要主域名已经在你的阿里云账号下，就可以直接在解析控制台里添加。
二、开始前确认这几项
动手之前，先看一下下面几样是否到位，免得做到一半卡住：
- 主域名已在阿里云注册，并且 DNS 服务器已改为阿里云提供的地址，通常形如 xxx.alidns.com。没改的话，你在控制台加的记录不会被外部查询到。
- 如果网站要让中国大陆用户通过国内服务器访问，主域名和服务器都需要完成 ICP 备案。
- 先确定二级域名要指向哪里：是云服务器的公网 IP，还是另一个服务的访问地址。两者对应不同的记录类型，后面会用到。
- 要开 HTTPS 的话，提前准备好子域名的证书，或者确定使用通配符证书。
三、在阿里云添加解析记录
登录阿里云控制台，进入“云解析 DNS”，找到主域名，点击“解析设置”，然后按下面几步添加：
- 点击“添加记录”，记录类型按目标选择。指向 IP 用 A 记录，指向另一个域名用 CNAME 记录。
- 主机记录只填前缀，比如 blog。如果填的是 @，解析的就是主域名本身，这一点很容易填错。
- 记录值填目标 IP 或目标域名。
- TTL 默认一般是 600 秒。调试阶段可以先调小，改动后更快看到效果，确认没问题再调回去。
- 保存后记录会写入解析系统，但全网递归服务器的缓存更新需要一点时间，不必反复刷新或重复添加。
四、案例：博客、后台和接口分开配置
假设一位独立开发者有域名 devnote.cn，服务器公网 IP 为 47.100.xx.xx。他想让博客放在 blog.devnote.cn，后台放在 admin.devnote.cn，接口服务已经托管在某个 PaaS 平台，访问地址是 app-7x9k2.platform.com。
他的记录这样设置：
- blog.devnote.cn，记录类型 A，记录值 47.100.xx.xx。
- admin.devnote.cn，记录类型 A，记录值同样是 47.100.xx.xx。两个子域名指向同一台服务器，由 Nginx 按域名分发到不同站点。
- api.devnote.cn，记录类型 CNAME，记录值 app-7x9k2.platform.com。平台以后更换 IP，这边的解析不用动。
配完后，他用 ping 和 nslookup 验证。blog 和 admin 返回的是预期 IP，api 通过 CNAME 正确指向平台地址。接着在 Nginx 里为两个站点分别写 server_name 规则，同一台机器才能分清请求该去哪个站点。整个过程约二十分钟，大部分时间花在等 DNS 缓存刷新上。
这里的分工值得参考。自己控制的服务器用 A 记录直接指定，外部平台的服务用 CNAME 挂接。对方改 IP 时，你的解析记录无需跟着改，维护起来省心很多。
五、生效不了，按这四处排查
1. 解析正确，但网站打不开
DNS 没问题的时候，问题常出在服务器端。先看 Web 服务器的 server_name 有没有包含这个子域名，再看防火墙或安全组是否放行了 80 和 443 端口。
2. 添加 CNAME 时提示冲突
DNS 规范要求，同一个主机名下，CNAME 不能与其他类型的记录并存。遇到提示时，先删除该主机名下已有的 A 记录或 TXT 记录，再添加 CNAME。
3. 修改后访问的还是旧地址
通常是本地或运营商的 DNS 缓存在起作用。可以先把 TTL 调低，等旧缓存过期。也可以用 dig 指定公共 DNS，比如 8.8.8.8 或 223.5.5.5，对比结果。公共 DNS 已经返回新地址，说明问题在本地缓存；公共 DNS 也返回旧值，就要回头检查记录本身。
4. HTTPS 证书报错
证书如果只签给了 devnote.cn，没有覆盖 blog.devnote.cn，浏览器就会提示证书不匹配。解决办法有两个：为每个子域名分别申请证书，或申请一张通配符证书 *.devnote.cn。需要注意，通配符只覆盖一级子域名，a.b.devnote.cn 不在它的范围内。子域名较多时，通配符证书维护起来更省事。
六、记录多了之后怎么管
子域名数量一多，手动逐条添加就容易出错。阿里云支持通过 API 或 SDK 批量管理解析记录，有自动化需求的团队可以考虑。另外，在每条记录的备注里写清用途和负责人，半年后就不会留下一堆没人敢删、又说不清用途的历史记录。
修改解析前，建议先导出当前记录列表留底。控制台支持导出，操作很快，误改时可以直接对照恢复。
七、小结
解析二级域名的流程本身不复杂：确认主域名接入，添加对应类型的记录，等缓存生效，再在服务器上完成站点绑定。实际卡住人的，多半是服务器配置和证书。按上面的顺序逐项检查，大部分问题都能很快找到原因。
