DNS查詢：確認記錄與設定變更

此工具從我們的伺服器透過Cloudflare與Google查詢公開紀錄。它不會辨識你裝置使用的DNS解析器，也不會測試VPN的DNS洩漏。DNS查詢的處理方式 →

如何查詢與比較DNS紀錄

1. 輸入確切的DNS名稱，例如example.com或_dmarc.example.com。
2. 選擇一種記錄類型或一組記錄，然後按「比較 DNS」。群組查詢只會查詢輸入的完整名稱及列出的記錄類型，不會搜尋子網域。
3. 請將比較摘要、各筆紀錄、TTL與回應代碼一併解讀。如果你最近變更過DNS，快取的回應可能會保留到TTL到期。

我該檢查哪些DNS記錄？

網站出現舊IP

在確切的主機名稱上，比較IPv4的A紀錄與IPv6的AAAA紀錄。www主機名稱可能使用與根網域不同的紀錄。留意回應鏈中的CNAME別名。

郵件仍送到舊伺服器

在你的郵件網域上查詢MX，再將郵件伺服器名稱與優先順序和郵件服務商的設定比較。此查詢列出的是已公布的路由紀錄，不會寄送測試郵件。

網域驗證尚未完成

在服務商要求的名稱上查詢TXT。SPF通常使用郵件網域；DMARC使用_dmarc，DKIM則需要服務商提供的選擇器。請核對確切的文字，不要假設所有TXT紀錄都位於根網域。

為什麼Cloudflare與Google DNS的結果不一致？

每個解析器都有自己的快取。DNS變更後，舊的回應可能會保留到其TTL到期。CDN、負載平衡與地理DNS也可能傳回不同但有效的位址。差異是值得調查的線索，並不等於自動判定失敗。

我們比較的是回應紀錄集，忽略順序與TTL。DNS名稱比較時不區分大小寫，也忽略結尾的點；IPv6寫法會經過正規化。TXT文字仍區分大小寫。權威紀錄與DNSSEC旗標會分開列出，不計入回應值的判定。

已變更DNS，卻仍看到舊位址？

1. 檢查你實際變更的主機名稱與紀錄類型。根網域與www可能有不同的回應。
2. 將傳回的數值與你的DNS服務商公布的設定比較。
3. 請把TTL理解為剩餘的快取時間，而不是保證全球更新的倒數計時。稍後再比較一次。
4. 如果某個解析器失敗，請重試並檢查回應代碼。不要把它缺少的回應當作結果一致。

各記錄類型的意義

A / AAAA

為該名稱公布的IPv4與IPv6位址。這些位址可能屬於CDN或代理伺服器，而不是來源伺服器。

MX

郵件伺服器及其優先順序。優先順序數字越小，越先嘗試。

TXT

文字紀錄，例如SPF或網域驗證。DMARC請使用_dmarc.example.com；DKIM需要正確的選擇器名稱。

NS / SOA

名稱伺服器與區域管理資料。查詢這些紀錄時請使用區域名稱。

CNAME

指向另一個DNS名稱的別名。A與AAAA回應中也可能包含CNAME鏈。

CAA

憑證授權單位授權紀錄。僅缺少此紀錄本身並不算安全缺失。

PTR

反向DNS名稱。輸入IP位址後，會自動轉換為對應的in-addr.arpa或ip6.arpa名稱。

SRV

服務定位紀錄，例如_sip._tcp.example.com：優先順序、權重、連接埠與目標主機。

HTTPS

HTTPS（SVCB）紀錄會公布連線參考資訊，例如HTTP/3支援（alpn=h3）、建議使用的IP與ECH金鑰。

DS / DNSKEY

DS 與 DNSKEY 用於 DNSSEC。僅憑這些紀錄存在，無法證明整條信任鏈有效。DNSSEC 欄位顯示解析器是否回報驗證結果；此工具不會自行驗證信任鏈。

觀測範例：兩個解析器回傳不同結果

2026年10月27日21:41:23 UTC+07，我們使用IPNixa透過Cloudflare與Google比較www.amazon.com的A紀錄。這是第三方公開網域，我們沒有修改其DNS設定。

兩個解析器均回傳NOERROR與相同的CNAME鏈，但最終A紀錄不同：Cloudflare回傳18.239.130.216（TTL 26秒），Google回傳13.35.160.125（TTL 60秒）。IPNixa顯示回應值不同。

21:41:27再次查詢時A值仍不同，Cloudflare TTL為23秒。原因尚未確定，快取、CDN路由或地區差異都可能影響結果。變更自己的DNS後，應將正確主機名稱、紀錄類型和CNAME鏈與供應商設定比較，檢查TTL並稍後重試。僅憑兩個解析器無法確認全球的 DNS 傳播狀態。

針對DNS變更情境，我們於2026年10月27日在本機另外執行比較邏輯：模擬Cloudflare回傳舊A值203.0.113.10，Google回傳新值203.0.113.20，結果為回應值不同。兩個位址均保留供文件使用；我們沒有修改真實DNS紀錄，此模擬也不能解釋上述Amazon觀測結果。

為什麼沒有記錄？

NOERROR且回應為空，代表解析器沒有為該名稱與類型傳回任何紀錄。NXDOMAIN代表解析器回報該名稱不存在。SERVFAIL或REFUSED代表查詢未成功完成；兩者都無法證明網域不存在。

這能測試DNS在全球的傳播情況嗎？

不能。這裡呈現的是處理你請求的伺服器所取得的兩個公開解析器快照，而不是來自每個國家的探測。其他解析器、私人網路、地區或權威伺服器可能傳回不同的紀錄。當服務商將別名扁平化為位址紀錄時，CNAME查詢也可能為空。

能看出我是否在用Cloudflare DNS（1.1.1.1）嗎？

不能。本頁面從我們的伺服器向Cloudflare與Google查詢，因此看不到你的裝置使用哪個DNS解析器。要確認這台裝置是否使用1.1.1.1，請開啟Cloudflare的檢測頁面 1.1.1.1/help。

DNSSEC欄位代表什麼？

「由解析器驗證」是指該解析器為此回應設定了已驗證資料（AD）旗標。「未聲明」並不是安全判定：該區域可能未簽署，或回應可能不帶已驗證資料。DNSSEC並不能證明網站值得信任。

這能發現DNS洩漏嗎？

不能。DNS洩漏測試需要觀測哪些解析器請求了唯一的測試名稱。此紀錄查詢只是向兩個選定的公開解析器查詢已公布的紀錄。其他瀏覽器暴露檢測請使用WebRTC與IPv6 VPN檢測。

這能告訴我哪個DNS解析器比較快嗎？

不能。這些是伺服器端的DNS-over-HTTPS請求，不會測量你裝置的DNS速度。若想了解瀏覽器到邊緣節點的回應時間，請使用HTTP延遲測試。

資料來源與相關檢測

Google Public DNS JSON API文件

Cloudflare DNS-over-HTTPS回應文件

檢查你的對外IPv4、IPv6與網路 →

了解動態IP與動態DNS →