公网CNAME指向内网域名是否可行？技术咨询

没问题，这种配置完全可以满足你让内网用户继续使用原有URL访问迁移至内网的废弃服务的需求，但有几个关键点需要注意，我结合你的场景拆解说明：

核心原理与你的场景适配 #

你的场景逻辑是：

• 公网域名example.com托管在服务商，包含www.example.com等公网可解析记录
• 内网DNS负责local.example.com区域，解析该子域下的域名到私有IP
• 你希望将service.example.com（原公网服务）通过CNAME指向内网的deprecated.local.example.com

当内网用户请求service.example.com时，流程是：

1. 客户端先查询公网DNS，得到service.example.com的CNAME记录指向deprecated.local.example.com
2. 客户端接着查询deprecated.local.example.com，此时如果客户端的DNS服务器是你的内网DNS，就能正确解析到对应的私有IP，完成访问

而公网用户请求时，在第二步查询deprecated.local.example.com时，公网DNS没有这个区域的记录，会返回NXDOMAIN，完全符合你“仅服务内网用户”的预期。

需要注意的潜在问题 #

• 内网DNS的覆盖范围：必须确保所有需要访问该服务的内网客户端，其DNS配置指向你的内网DNS服务器。如果客户端用的是公网DNS，那么即使拿到CNAME记录，也无法解析内网域名，同样会得到NXDOMAIN。
• DNS缓存影响：建议给service.example.com的CNAME记录设置较短的TTL（比如300秒），这样如果后续需要调整记录，能更快地在客户端和DNS服务器上生效，避免缓存导致的访问异常。
• 公网侧的“无效解析”提示：公网用户访问时会得到无法解析域名的错误，这是正常的，但如果该域名之前有大量公网访问，可能会收到用户反馈，你需要提前做好告知或者拦截。

配置验证方法 #

• 内网侧验证：在客户端执行dig service.example.com或nslookup service.example.com，确认返回的最终结果是deprecated.local.example.com对应的私有IP。
• 公网侧验证：用公网环境的设备或在线DNS检测工具查询service.example.com，确认会返回CNAME记录，但后续解析deprecated.local.example.com时返回NXDOMAIN。

内容的提问来源于stack exchange，提问作者code_onkel