DNS 污染通常指解析结果被非预期干预，缓存投毒是其中一种情形。发现域名解析异常时，应核对权威记录、递归解析器、终端配置与业务表现；不能只因不同地区得到不同 IP 就认定遭到攻击。
一、DNS 异常有哪些影响？
错误记录可能让访问失败，或把用户引向非预期服务器。有效 HTTPS 证书校验可以阻止部分冒充，但不能替代 DNS 安全和终端防护。企业应重点监控登录、支付与 API 等关键域名。
二、常见原因
- 伪造响应或缓存投毒，使解析器接受错误数据。
- 域名账户、权威 DNS 或终端配置被修改。
- 缓存尚未过期、迁移配置错误或分流策略不一致。
CDN、GeoDNS 和负载均衡本来就可能返回不同 IP，地址变化本身不是恶意证据。
三、如何检测？
用 dig/nslookup 查询指定递归服务器，并与域名管理后台的预期记录及权威查询结果核对。记录查询时间、服务器、记录类型、返回值和 TTL。再检查本机 hosts、浏览器安全 DNS 设置、VPN/代理及缓存，区分终端与网络问题。
避免直接使用来源不明的“修复脚本”。确认是自有域名配置问题后，再按变更流程修改并验证。
四、企业级防护策略
1. DNSSEC：验证记录真实性
DNSSEC 使用签名与信任链验证数据来源和完整性，不负责加密查询。保护效果依赖域名签名、父区委派及解析端验证；配置失误也可能导致验证失败。它不能保证消除所有 DNS 攻击。DNSSEC 工作方式。
2. DoH / DoT：保护查询传输
DoH/DoT 加密客户端与相应解析服务之间的传输，减少途中窃听与篡改风险，但仍要选择可信解析器，也不能保证后续所有链路或终端安全。DNS 安全说明。
3. Anycast：改善分布与可用性
Anycast 是多节点路由方式，可用于分散服务负载；它不验证 DNS 记录，不能自动清除污染。是否需要自建取决于团队能力，通常可先评估有明确服务范围的托管 DNS。
五、按场景选择
| 需求场景 | 防护痛点 | 建议架构 |
|---|---|---|
| 电商 / 支付 | 域名账户与解析安全 | 强认证、权限控制、DNSSEC及HTTPS |
| 企业内部应用 | 私有记录暴露或误解析 | 受控解析器、访问控制与变更审计 |
| 多地区服务 | 可用性和调度 | 托管多节点DNS、监控与故障预案 |
Mkcloud 出海 VPS 用于从入口连接后向外访问，出口不支持外部连入，不能用其海外出口发布公网 DNS 或 Anycast 权威服务。
六、常见问题
换公共 DNS 就够了吗？
不一定。先找出异常所在层，再选解析服务或调整配置；更换解析器不能解决被篡改的权威记录。
DNSSEC 和加密 DNS 要二选一吗？
不需要。前者验证数据，后者保护传输，可按环境组合部署。
七、总结
检测以预期配置和多点证据为基础；防护从域名账户、解析验证、加密传输与终端安全共同入手。