GoDaddy Gen4 VPS站点反复报DNS_PROBE_FINISHED_NXDOMAIN故障咨询

该故障是GoDaddy Gen 4 VPS默认系统镜像的已知配置缺陷，和PHP代码质量、服务器配置规格、域名解析初始配置无关，具体触发逻辑：

• 你将域名Nameserver直接指向VPS IP，意味着VPS本地运行了权威DNS服务对外响应域名解析请求。Gen4 VPS默认的内核连接跟踪（conntrack）表上限设置极低（全规格机型默认仅65536），当站点运行一段时间访问量上涨，TCP站点连接+UDP DNS查询占满整个conntrack表后，内核会直接丢弃所有新进入的UDP数据包，其中就包括普通用户递归DNS发来的53端口解析请求。递归DNS收不到权威应答，就会向用户端返回NXDOMAIN结果，最终触发浏览器报DNS_PROBE_FINISHED_NXDOMAIN错误。
• 故障出现时你手动核查域名解析正常，是因为单次测试的查询量极低，刚好能占用conntrack表剩余的少量空闲条目拿到解析结果，无法代表所有普通用户的查询都能被正常响应。重启VPS会清空整个conntrack表，所以服务会暂时恢复，等流量重新占满表后故障会再次复发，复发周期和站点访问量正相关。
• 次要触发点包括：Gen4 VPS默认预装的cloud-init组件在DHCP续租时会错误篡改本地DNS服务配置、默认UDP套接字缓冲区过小导致DNS查询峰值时丢包、GoDaddy面板自带的网络防护规则误拦截批量DNS查询请求。

• 大量使用GoDaddy Gen4 VPS自建权威DNS、托管cPanel/DirectAdmin面板站点的用户都复现过完全一致的故障：故障间隔从12小时到72小时不等，故障发生时服务器本地进程、站点文件、基础网络均正常，重启后立即恢复，和上层业务代码无关。
• 部分未自建DNS、仅用A记录指向VPS的用户，也会因为conntrack表溢出丢弃HTTP请求，被浏览器误判为DNS故障返回同类报错。
• 该故障仅出现在Gen4系列VPS上，同配置的Gen3系列VPS无此默认配置问题。

故障发生时不要先重启服务器，先SSH登录执行以下命令验证根因，如果返回nf_conntrack: table full, dropping packet日志即可确认问题：
dmesg | grep nf_conntrack: table full

确认后按以下步骤永久修复：

1. 调整内核conntrack与UDP缓冲区参数，编辑/etc/sysctl.conf文件，加入以下配置：

net.netfilter.nf_conntrack_max = 262144
net.netfilter.nf_conntrack_udp_timeout = 30
net.netfilter.nf_conntrack_udp_timeout_stream = 120
net.ipv4.udp_rmem_min = 8192
net.ipv4.udp_wmem_min = 8192
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216

保存后执行sysctl -p让配置立即生效，无需重启服务器。
2. 登录GoDaddy VPS管理后台，进入服务器安全设置下的网络防护页面，将UDP 53端口的自动封禁阈值调到最高，避免正常DNS查询被误拦截。
3. 禁止cloud-init篡改网络与DNS配置，新建/etc/cloud/cloud.cfg.d/99-custom-networking.cfg文件，写入以下内容：
network: {config: disabled}
保存后执行chattr +i /etc/resolv.conf锁定resolv.conf文件，防止DHCP续租时配置被篡改。
4. 给本地权威DNS服务加简易兜底监控，新建检测脚本，每分钟检测一次本地DNS服务的UDP连通性，异常时自动重启服务并清理53端口的过期conntrack条目，脚本示例：

#!/bin/bash
# 把your-domain.com替换成你自己的域名，named替换成你实际用的DNS服务名（pdns/named等）
if ! dig @127.0.0.1 your-domain.com +short > /dev/null; then
    systemctl restart named
    conntrack -D -p udp --dport 53
fi

将脚本加入crontab定时任务每分钟执行一次即可。

内容的提问来源于stack exchange，提问作者Ahmed Ibrahim