诊断DNS问题需直连权威服务器测响应时间并多源比对：1. 用dig查NS记录后逐个测试各权威服务器响应，超200ms或超时即异常；2. 对比权威、公共DNS、本地解析器结果，IP不一致即缓存污染；3. 用+dnssec验证ad标志确保未被篡改；4. +trace+stats定位延迟卡点。
诊断权威服务器响应延迟和缓存污染，关键不是比谁查得快，而是比谁查得“准”——要绕过中间所有缓存层，直连目标权威服务器，并横向对比不同来源的结果。
直连权威服务器，测真实响应时间
先获取域名的权威 NS 列表，再逐个测试它们的响应：
- 查 NS 记录：dig example.com NS，得到如
ns1.example.com、ns2.example.com - 挑一个 NS 直连查 A 记录：dig @ns1.example.com example.com A +stats，末尾会显示查询耗时（如
;; Query time: 42 msec） - 重复对每个 NS 执行，若某台明显慢（>200ms）或超时，说明该权威节点异常；若全部缓慢，可能是网络路径问题或权威服务器负载高
多源比对结果，揪出缓存污染
同一域名在不同 DNS 上返回不同 IP，是缓存污染的典型信号：
- 查权威服务器：dig @ns1.example.com example.com +short
- 查公共 DNS（如 8.8.8.8）：dig @8.8.8.8 example.com +short
- 查本地 resolver：dig @127.0.0.53 example.com +short（systemd-resolved）或 dig @127.0.0.1 example.com +short（dnsmasq）
- 如果权威返回
192.0.2.10，而 8.8.8.8 返回203.0.113.42，且该 IP 不属于你管理范围，基本可判定 8.8.8.8 缓存被污染
验证 DNSSEC 状态，辅助判断是否遭篡改
DNSSEC 验证通过（ad 标志位）能增强结果可信度：
- 执行：dig example.com +dnssec +multi
- 看输出中
;; flags: qr rd ra ad——ad表示已通过 DNSSEC 验证，结果未被中间劫持或污染 - 若权威服务器返回带
ad，但 8.8.8.8 返回无ad或cd（checking disabled），说明它可能跳过了验证，或缓存了未签名旧记录
用 +trace +stats 定位延迟卡点
+trace 不只看路径，+stats 能暴露每跳的真实耗时：
- dig example.com +trace +stats
- 逐行看
Received XXX bytes from YYY#53 in ZZZ ms - 若根服务器（.）响应快，但卡在
.com的某个 NS（如a.gtld-servers.net）耗时 >500ms，说明顶级域解析环节存在延迟或策略限制 - 若最后一步（权威服务器）耗时异常高，而直连该 NS 又很快，则大概率是递归服务器做了额外处理（如过滤、重写）
