DNS 服务器解析慢、转发失效的排查
内网用户打开网页缓慢，部分域名偶尔解析失败；nslookup 查询外部域名超时，但直连公共 DNS 正常。问题多集中在转发器（Forwarders）配置失效、根提示损坏、DNS 缓存污染或递归被禁用。DNS 是几乎所有网络服务的入口，一旦变慢或失效，业务系统会集体出现卡顿与超时，所以定位时应第一时间从 DNS 侧验证而非先怀疑应用。
原理与判断
DNS 服务器对内部客户端既提供递归解析，又通过转发器把外部查询交给上游。当转发器失效、缓存被污染或递归被误关，解析就会变慢甚至失败。由于几乎所有业务系统都依赖 DNS，它的性能问题常被误判为应用故障，因此定位时应第一时间从 DNS 侧验证。区分『是所有域名都慢』还是『仅特定转发域慢』，能迅速锁定是上游问题还是本地缓存问题，少走很多弯路。
一、定位解析瓶颈
- 在客户端执行 nslookup 域名 DNS服务器IP 指定服务器测试，确认是服务器问题而非客户端本地缓存或网卡。
- 在 DNS 服务器上查看转发器列表：dnscmd /info /forwarders 或控制台转发器页，核对上游是否可达、是否过期。
- 用 Resolve-DnsName 域名 -Server 127.0.0.1 -Verbose 观察耗时发生在递归、转发还是缓存阶段。
- 对单域名测试：nslookup -type=SOA 域名 判断是特定区域还是全局性故障，缩小排查范围。
二、修复转发器
- 打开 DNS 管理器——服务器属性——转发器，移除失效或响应慢的上游 DNS，只保留 2 到 3 个可靠地址，避免链式转发。
- 勾选『如果没有转发器可用，则使用根提示』作为兜底，避免上游全失效时彻底断网。
- 清除缓存：dnscmd /clearcache 或 Clear-DnsServerCache 排掉脏记录与污染条目，立竿见影。
- 必要时重建根提示：右键服务器——『更新服务器数据文件』并『从根提示重新加载』修复损坏的 root hints。
三、检查递归与安全
- 确认『高级』中未勾选『禁用递归』，且『安全缓存（防止缓存污染）』已启用，避免被投毒。
- 排查防火墙是否放行 UDP/TCP 53 出站到上游 DNS，很多环境只放 UDP 导致大响应被截断而超时。
- 对转发仍失败的特定域，在条件转发中单独指定该域的权威服务器，绕过通用转发链。
- 开启调试日志（LogMessages）定位具体慢查询，再针对性优化上游或缓存策略。
四、加固与容量
- 将递归仅对内网开放，禁用对外的开放解析器以防被用于放大攻击与劫持。
- 为 DNS 服务器配置足够内存与转发器健康检查，避免高并发下缓存被频繁淘汰而回源变慢。
技术总结：DNS 慢与转发失效多由过期转发器、缓存污染或递归被禁导致。精简转发器、清理缓存、开放 53 端口（含 TCP）、保留根提示兜底，并加固递归与容量，可稳定恢复解析速度与可靠性。DNS 虽小，却是整网稳定性的基石。