域名NS服务器上限为3为何AWS/GCP提供4个？混合配置可否实现SSL下发零停机

前置疑问回复 #

• 关于NS最大有效数量的误区：你提到的「最大有效数量为3」是误传，DNS协议本身没有限制NS记录的数量，AWS、GCP默认提供4台NS是为了做跨地域、跨顶级域冗余，避免单节点/单顶级域故障导致解析完全失效，4台是兼顾冗余能力和查询效率的平衡点，数量过多反而会增加递归DNS的查询开销。
• NS记录没有内置优先级：和MX记录不同，NS记录没有优先级字段，不存在自动分配优先级的规则，递归DNS会随机选择列表内的NS服务器发起查询。
• DNS查询调度逻辑：递归DNS会先对所有NS的响应速度做测速，优先选择响应最快的节点，只有当选中的节点无响应时才会 fallback 到其他节点，既不是固定轮询，也不是严格按NS列表顺序逐一切换。

混合NS配置的可行性说明 #

你提到的同时保留2台AWS NS和2台GCP NS的配置可以保证SSL证书顺利下发，且不会产生业务停机风险，但需要满足两个必要前提：

操作前必须确认：

1. 先在GCP Cloud DNS中配置和AWS Route53完全一致的所有解析记录（包括A/AAAA/CNAME/MX/TXT等全部记录，建议提前把所有记录的TTL调低到300s）
2. SSL证书所需的域名验证记录（TXT记录或HTTP验证对应的解析记录）需要同时在AWS和GCP的DNS zone中配置正确

CA机构做域名所有权验证时，会向递归DNS查询对应的验证记录，只要两边NS对应的DNS zone都有正确的验证记录，不管递归DNS抽到哪家的NS，都能正常返回验证结果，SSL证书会正常下发。业务侧同理，只要两边DNS zone的解析记录完全一致，不管用户侧递归DNS访问到哪家的NS，拿到的解析结果都是相同的，不会出现访问异常。

迁移后续操作建议 #

等GCP的SSL证书完全签发、混合NS配置稳定运行至少24小时（覆盖所有递归DNS的NS记录TTL）之后，再逐步删除AWS的NS记录，即可完成全量迁移，全程无需停机。

内容的提问来源于stack exchange，提问作者FlyingPenguin