用户说网站打不开，你自己登录服务器一切正常，curl 也 200。这种“服务器没毛病但用户进不来”的情况，排查对象要从服务器转向网络链路：是域名解析出了问题，还是访问被网络层面拦截了。站长圈常说的“被墙”和“DNS 污染”是两回事：前者是访问流量在传输路径上被丢弃，解析本身可能正常；后者是解析结果被篡改，域名指到了错误的 IP。症状相近，处置完全不同，先用两条命令分清它们。
# 对比国内外 DNS 的解析结果（关键一步）
nslookup 你的域名 8.8.8.8 # 海外 DNS
nslookup 你的域名 223.5.5.5 # 阿里公共 DNS
nslookup 你的域名 114.114.114.114 # 国内运营商常用
# 判读：
# 两边 IP 一致且是你的服务器 IP -> 解析正常，问题在网络拦截层
# 国内 DNS 返回陌生 IP 或解析失败、海外正常 -> DNS 污染解析对比这一步可以升级成多地域批量验证：用 dnschecker.org 这类全球解析查询工具，同时看几十个国家节点返回的 A 记录，污染与否一目了然；国内侧再用多地拨测平台，从各省份节点发探测。判定标准在站长圈已经是共识：国内节点大面积超时、海外节点正常，是网络拦截的特征；解析结果国内外不一致、国内部分线路解析出无效 IP，是 DNS 污染的特征。
# 本地进一步验证：hosts 绑定真实 IP 区分“污染”与“IP 封锁”
# 从海外解析拿到真实服务器 IP，写进本地 hosts 文件：
# (Windows: C:\Windows\System32\drivers\etc\hosts)
# 203.0.113.10 你的域名
# 浏览器访问：
# 能打开 -> 只是解析被污染，服务器 IP 本身没被封锁
# 打不开 -> IP 层面被拦截，问题比污染更深一层
# 服务器侧交叉验证：排除自己防火墙误封
iptables -L INPUT -n --line-numbers | head
ss -tlnp | grep -E ":80|:443" # 确认服务在监听还要排掉几个“假被墙”：服务器防火墙或安全组把某些来源网段误封了，特征是只有部分用户打不开，iptables 和云控制台的安全组规则先过一遍；CDN 配置错误导致部分地区节点异常，关闭 CDN 直连源站对比一下就现形；TLS 证书链不完整导致个别老旧设备打不开，回到本系列 208 篇的 openssl s_client 验证法。每一种假象排除掉之后剩下的结论才可信。
确认是真问题之后，处置思路按类型走：解析被污染的，更换权威 DNS 服务商、开启 DNSSEC 防篡改，把解析层重新立起来；怀疑内容有风险被拦截的，先做内容自查与整改——这是治本的前提，整改后按监管渠道申请恢复，比反复换 IP 靠谱得多；历史遗留的未备案域名指向国内服务器，按合规要求完成备案接入。最后给所有站长的预防建议：重要业务域名多备一个备用域名做灾备，解析与可用性接入多地监控，发现国内节点异常立刻告警。被拦不可怕，发现晚才可怕——监控到位的站，损失能小一个量级。
相关阅读：域名打不开不一定是服务器的问题。《服务器故障排查总纲：按现象反查的五层定位法》把被墙、被劫持归入网络层的特殊类，总纲先帮你排除本机因素，再进本篇的多地拨测。
申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！
