2、入口层故障排查（一）：DNS解析与CDN加速问题

入口层是IDP自助门户的第一道防线，DNS解析与CDN加速的稳定性直接决定用户能否访问门户以及访问体验。本章聚焦域名解析失败、CNAME配置错误、CDN回源超时三类高频故障，结合dig/curl/nslookup等工具，从架构视角建立系统化的排查路径。

2.1 故障场景与影响范围

2.2 DNS解析链路与排查工具

DNS解析本质是一个递归查询过程：客户端 → 本地DNS缓存 → 递归DNS服务器 → 权威DNS服务器。故障可能发生在链路的任意一环。

2.3 域名解析失败排查步骤

1. 确认本地DNS解析状态：nslookup portal.idp.example.com，观察是否返回A记录或CNAME记录。
2. 跳过本地缓存，直接查询权威DNS：dig @8.8.8.8 portal.idp.example.com +trace，逐级查看NS记录和A记录。
3. 检查域名注册状态：使用whois确认域名是否过期、处于ServerHold状态。
4. 验证DNS服务器连通性：dig @ns1.idp-dns.com portal.idp.example.com，确认权威服务器可达。
5. 对比多区域解析结果：使用全球DNS检测工具（如dnschecker）或从不同地域的ECS发起dig查询。

2.4 CNAME配置错误定位

CNAME配置错误是CDN加速场景下的典型故障。错误配置包括：CNAME指向错误域名、CNAME链路过长、CNAME与MX记录冲突。

# 正确CNAME配置示例
portal.idp.example.com.  600  IN  CNAME  portal.idp.cdn.example.com.
portal.idp.cdn.example.com.  60  IN  A  203.0.113.10

# 错误CNAME配置示例（指向了不存在的CDN域名）
portal.idp.example.com.  600  IN  CNAME  portal.idp.wrong-cdn.com.
# 此时dig会返回NXDOMAIN

排查命令组合：

# 1. 查看CNAME记录
dig portal.idp.example.com CNAME +short

# 2. 追踪CNAME链最终指向的A记录
dig portal.idp.example.com +nocomments +noquestion +noauthority +noadditional +nostats

# 3. 验证CDN域名是否可解析
dig portal.idp.cdn.example.com A +short

2.5 CDN回源超时排查

CDN回源超时通常表现为：用户访问时页面部分加载、静态资源返回502/504、或浏览器显示“等待响应”时间过长。排查需从CDN节点、源站、网络链路三个维度展开。

2.6 回源超时核心排查命令

# 1. 模拟CDN回源请求（指定Host头）
curl -I -o /dev/null -s -w "HTTP_CODE:%{http_code}\nTIME:%{time_total}s\n" \
  -H "Host: portal.idp.example.com" \
  https://origin-server-ip/resource.js

# 2. 查看回源链路耗时分布
curl -w "TCP:%{time_connect}s\nSSL:%{time_appconnect}s\nTTFB:%{time_starttransfer}s\nTotal:%{time_total}s\n" \
  -H "Host: portal.idp.example.com" \
  https://origin-server-ip/resource.js

# 3. 检查CDN节点是否已缓存
curl -I https://portal.idp.example.com/resource.js | grep -i "x-cache\|cf-cache-status\|age"

2.7 架构视角的预防与监控建议