为什么使用dig/nslookup无法查询到特定域名的CNAME记录？

针对你执行的nslookup -type=any google.com查询结果，查不到CNAME的核心原因如下：

• 根域名（无前缀的顶级/二级域名，如google.com）本身无法配置标准CNAME记录：按照DNS协议规范，只要一个域名存在CNAME记录，就不能同时配置A、AAAA、MX、NS、SOA、TXT等其他任何类型的记录。你查询的google.com返回了大量A、MX、NS、TXT、SOA记录，说明该域名不可能配置CNAME，自然查不到对应结果。
  只有子域名（如www.google.com、mail.google.com这类带前缀的域名）才会普遍配置CNAME记录；部分云服务商提供的根域名别名解析（CNAME Flattening）属于非标准实现，查询时会直接返回解析后的A/AAAA记录，也不会展示CNAME。
• -type=any查询本身不可靠：目前绝大多数公共递归DNS（比如你使用的谷歌公共DNS 8.8.4.4）为了防范DNS放大攻击，都会限制ANY类型查询的返回结果，就算目标域名真的存在CNAME记录，也大概率不会在ANY查询的结果中返回。
  如需准确查询CNAME记录，直接执行指定类型的查询命令即可：nslookup -type=cname 目标域名 或 dig 目标域名 CNAME。

CNAME记录是否存在公开查询保护？ #

正常情况下CNAME没有特殊的公开查询限制，只要域名确实配置了标准CNAME记录、且你使用的递归DNS没有做特殊拦截过滤，指定类型查询就可以拿到结果。仅极少数特殊场景会出现查询不到的情况：比如域名开启了特殊的DNSSEC配置、递归DNS被运营商或防火墙做了内容拦截。

你提供的命令输出参考： #

;; Truncated, retrying in TCP mode.
Server:     8.8.4.4
Address:    8.8.4.4#53

Non-authoritative answer:
Name:   google.com
Address: 142.250.185.206
google.com  has AAAA address 2a00:1450:4001:812::200e
google.com  mail exchanger = 20 alt1.aspmx.l.google.com.
google.com  text = "google-site-verification=wD8N7i1JTNTkezJ49swvWW48f8_9xveREV4oB-0Hf5o"
google.com  nameserver = ns2.google.com.
google.com  mail exchanger = 10 aspmx.l.google.com.
google.com  nameserver = ns3.google.com.
google.com  text = "MS=E4A68B9AB2BB9670BCE15412F62916164C0B20BB"
google.com  rdata_257 = 0 issue "pki.goog"
google.com  text = "globalsign-smime-dv=CDYX+XFHUw2wml6/Gb8+59BsH31KzUr6c1l2BPvqKX8="
google.com  nameserver = ns1.google.com.
google.com  text = "facebook-domain-verification=22rm551cu4k0ab0bxsw536tlds4h95"
google.com  mail exchanger = 30 alt2.aspmx.l.google.com.
google.com  text = "v=spf1 include:_spf.google.com ~all"
google.com  text = "apple-domain-verification=30afIBcvSuDV2PLX"
google.com  text = "docusign=05958488-4752-4ef2-95eb-aa7ba8a3bd0e"
google.com  mail exchanger = 50 alt4.aspmx.l.google.com.
google.com  text = "google-site-verification=TV9-DBe4R80X4v0M4U_bd_J9cpOJM0nikft0jAgjmsQ"
google.com  nameserver = ns4.google.com.
google.com  mail exchanger = 40 alt3.aspmx.l.google.com.
google.com
    origin = ns1.google.com
    mail addr = dns-admin.google.com
    serial = 384422044
    refresh = 900
    retry = 900
    expire = 1800
    minimum = 60
google.com  text = "docusign=1b0a6754-49b1-4db5-8540-d2c12664b289"

Authoritative answers can be found from:

内容的提问来源于stack exchange，提问作者Gonzalo