网站DNS变更数月后仅部分ISP解析至错误IP的故障原因咨询

看起来你遇到的是典型的区域性DNS解析异常问题，结合你描述的现象，我来帮你拆解可能的原因和排查方向：

核心现象回顾 #

• 仅纽约地区的Optimum和Spectrum ISP用户无法正常访问网站，其他ISP无问题
• 用户切换到公共DNS（1.1.1.1/8.8.8.8）即可正常访问，使用ISP默认DNS时解析到错误IP 167.206.37.136，触发SSL连接错误
• 对应的curl错误输出如下：

curl -iv https://amplehair.com
Trying [2600:480:4000:c01::1]:443...
Trying 167.206.37.136:443...
* Connected to amplehair.com (167.206.37.136) port 443
* ALPN: curl offers h2,http/1.1
* (304) (OUT), TLS handshake, Client hello (1):
CAfile: /etc/ssl/cert.pem
CApath: none
* LibressL SSL_connect: SSL_ERROR_ZERO_RETURN in connection to amplehair.com:443
* Closing connection
curl: (35) LibreSSL SSL_connect: SSL_ERROR_ZERO_RETURN in connection to amplehair.com:443

可能的故障原因 #

• ISP DNS缓存未及时刷新：部分ISP的DNS服务器会对解析记录进行长时间缓存，如果之前该域名的解析记录指向过167.206.37.136，且当时设置的TTL（生存时间）过长，ISP的DNS缓存还没过期，就会继续返回旧的错误IP。而公共DNS的缓存策略通常更激进，会更快获取最新的解析记录。
• DNS区域同步故障：如果你的域名使用的权威DNS服务器和这两家ISP的DNS服务器之间存在区域传输延迟或配置错误，导致ISP的DNS没有同步到最新的解析记录。
• 区域性DNS劫持/配置错误：不排除这两家ISP在纽约地区的DNS节点存在配置失误，或者出现了局部DNS劫持，错误地将该域名解析到了非目标IP。
• TTL设置不合理：如果当初修改DNS记录时，没有先把TTL值改小（比如临时改成5分钟）再更新IP，就会导致旧记录在各大ISP缓存中留存很久，即使后续更新了记录，也需要等待缓存自然过期才能生效。

排查与解决建议 #

• 先确认权威DNS上的记录是否正确：使用dig amplehair.com @[你的权威DNS服务器IP]命令，直接查询域名的权威DNS，验证返回的IP是否为正确地址。
• 检查域名的TTL设置：通过dig amplehair.com +ttlid查看当前的TTL值，如果数值过大（比如超过24小时），可以先将其调整为较小的值（如300秒），加速缓存刷新。
• 联系涉事ISP的技术支持：告知他们该域名在其网络下的解析异常情况，提供错误IP和正确IP的对比，请求他们手动刷新DNS缓存或检查节点配置。
• 使用多区域DNS检测工具：验证是否只有这两家ISP的纽约节点存在解析异常，排除全球性问题的可能。

备注：内容来源于stack exchange，提问作者Pritam Barhate