DNS 报错怎么查？NXDOMAIN、SERVFAIL 与超时的区别

看到 DNS 报错，先看它是“回答不存在”“服务器处理失败”，还是“迟迟没有回答”。NXDOMAIN、SERVFAIL 和超时的含义不同，不能都靠换节点或清缓存处理。先记下域名、查询类型和实际解析上游，再决定查哪一步。

作者：小六｜资料核对日期：2026年11月1日

本文适合浏览器提示找不到地址，或代理客户端日志出现解析失败的情况。示例使用 Windows 的 nslookup；它用于检查 DNS，不是网页速度测试，也不能直接代表浏览器的完整连接过程。

三种报错，分别告诉了你什么？

名称错误与服务器失败的响应码定义可见 RFC 1035。超时则是等待结果的描述，微软文档单独列出了它的含义。把超时理解为域名不存在，会把排查方向带偏。

注意看是谁在报错：DNS 查询超时、连接节点超时、网站响应超时，发生的阶段并不相同。只有客户端显示“超时”两个字时，仍需展开对应日志，不能直接归为 DNS 问题。

先从错误记录复制目标域名，检查是否多了字符、漏了一级名称，或仍在使用旧地址。例如 example.com 和 api.example.com 是不同的查询对象；首页能解析，不代表每个子域名都有对应记录。

一次 NXDOMAIN 也不能直接推出网站已经关闭。它说明当前查询得到的是否定回答，继续判断还要结合所用解析服务、缓存和域名维护情况。

不一定。A 通常对应 IPv4 地址，AAAA 对应 IPv6 地址。一个名称可以有 A 记录，却没有 AAAA 记录。

RFC 2308区分了 NXDOMAIN 与 NODATA：后者表示名称有效，但没有所查类型的记录，通常需要结合 NOERROR 和响应内容判断。只看到查询结果没有地址，不能跳过状态和记录类型直接下结论。

在 Windows 终端中，可以分别检查两种地址记录：

nslookup -debug -type=A example.com.
nslookup -debug -type=AAAA example.com.

把示例域名换成出错的目标，保留末尾的点；只填域名，不带 https://、路径或查询参数。末尾的点用于完整域名查询，避免搜索后缀影响判断。-debug 和 -type 的用途见前述微软文档。

这两条命令没有指定第二个参数，会使用默认 DNS 服务器。记录输出中的服务器地址、查询名称、类型和最终结果；若要比较另一个已确认可用的解析服务，可把它的地址作为第二个参数，仅作用于这次命令查询。

命令行结果与浏览器不同，先核对双方的解析方式。浏览器、系统与代理客户端未必使用同一条链路，相关区别可看本站三处 DNS 设置的检查方法。

SERVFAIL 说明查询处理失败，不能直接认定整个解析服务宕机。维护者需要继续检查权威服务器、域名委派和验证信息；权威服务器就是负责提供该域名正式记录的服务器。

Google Public DNS 排障指南介绍了这些方向，也说明部分响应会附带扩展 DNS 错误信息，帮助进一步缩小范围。

DNSSEC 可以理解为检查 DNS 答案签名的机制。Cloudflare 的排查文档举例说明，更换权威 DNS 后遗留不匹配的 DS 记录，可能导致验证失败并返回 SERVFAIL。这类问题应由域名维护者核对，普通使用者更适合保留结果并反馈。

某次不做验证能查到答案，只能作为诊断线索，不能代替修正记录。也不要仅因出现 SERVFAIL，就把关闭验证当成长期通用方案。

“不存在”的回答也可能被缓存。Cloudflare 通用 DNS 排障说明指出，新记录建立后，上游仍可能保留此前的否定结果。

因此，清理本机缓存不等于上游缓存也清空。负缓存的时限与区域的 SOA 信息有关，不能仅按新建 A 记录的 TTL 推算，也没有对所有解析服务都适用的固定等待分钟数。

固定同一完整域名、记录类型和设备，记录时间后再比较解析上游，每次只改一项。多个服务结果相同，可以提示继续查域名端；结果不同，则还需核对缓存、验证与查询路径。这些是检查线索，不是服务排名。

已经得到有效地址却连接失败时，再按本站连接排查顺序检查后续阶段。求助时提供客户端版本、脱敏域名、错误类型和对照结果即可，无需发送完整订阅。

想交流 NXDOMAIN、SERVFAIL 或 DNS 超时的判断，可以带上这些记录：Telegram 联系我