买完域名、买完服务器，中间还差一步：让域名指向服务器。这一步叫域名解析，也是在后台面板里填几条记录。

但记录类型有十几种，A、AAAA、CNAME、MX、TXT、NS、SRV、CAA……填错了网站打不开、邮件收不到、SSL 签发失败。这篇一次讲清楚。

域名 + 服务器才能建站。财富云计算 提供云服务器，独立 IP 机型适合对外网站，做内网服务与游戏服务端可选 NAT 型（无独立公网 IP，价格比独立 IP 机型省一半以上）。

一、DNS 是什么

DNS（Domain Name System）就是互联网的电话簿：把好记的域名翻译成 IP 地址。

用户输入 www.example.com
    → 浏览器问 DNS：这个域名 IP 是多少？
    → DNS 回答：1.2.3.4
    → 浏览器访问 1.2.3.4，带上 Host: www.example.com

解析记录就是你写在域名商后台的"翻译规则"。

解析的完整链路（知道就好）

根域名服务器（.）
    → 顶级域服务器（.com）
        → 权威域名服务器（example.com，由你的域名商提供）
            → 返回 A 记录

中间还有递归 DNS（运营商 / 114.114.114.114 / 8.8.8.8）帮你跑腿，并缓存结果。

二、记录类型全解

A 记录 —— 域名指向 IPv4（最常用）

• @ 表示域名本身（example.com）
• www 表示 www.example.com
• * 表示泛解析（任意子域名）

效果：

example.com        → 1.2.3.4
www.example.com    → 1.2.3.4
blog.example.com   → 1.2.3.4

AAAA 记录 —— 指向 IPv6

主机记录: www
类型: AAAA
值: 2400:xxxx:xxxx::1

服务器有 IPv6 地址时才配。

CNAME 记录 —— 域名指向另一个域名

主机记录: www
类型: CNAME
值: example.cdnprovider.com

常用于 CDN、对象存储、第三方服务（如 GitHub Pages）。

注意：

• CNAME 不能和同名的其他记录共存（www 有了 CNAME 就不能再有 A）
• 根域名（@）一般不能设 CNAME（标准不允许，部分服务商提供了 ALIAS/ANAME 变通）
• CNAME 可以链式，但链太长会拖慢解析

MX 记录 —— 邮件服务器

主机记录: @
类型: MX
值: mx1.exmail.qq.com
优先级: 5

优先级数字越小越优先。企业邮箱一般给几条：

@  MX  5   mxbiz1.qq.com
@  MX  10  mxbiz2.qq.com

没配 MX 就收不到邮件。

TXT 记录 —— 文本记录（验证/安全）

用途最多：

# 域名所有权验证
主机记录: _acme-challenge
类型: TXT
值: AbCdEf123456...

# SPF：声明哪些服务器可以发这个域名的邮件（防伪造）
主机记录: @
类型: TXT
值: v=spf1 include:spf.mail.qq.com ~all

# DMARC：邮件认证策略
主机记录: _dmarc
类型: TXT
值: v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com

# 站点验证（Google/Bing/各种平台）
主机记录: @
类型: TXT
值: google-site-verification=xxxx

NS 记录 —— 指定由谁解析

主机记录: @
类型: NS
值: dns1.hichina.com

默认由域名商提供。想用 Cloudflare、DNSPod 等专业 DNS 时，就把 NS 改成对方的地址（这叫托管 DNS）。

改 NS 生效慢（最长 48 小时），要谨慎。

SRV 记录 —— 指定服务端口

主机记录: _minecraft._tcp
类型: SRV
值: 0 5 25565 mc.example.com
# 格式：优先级 权重 端口 目标

Minecraft、游戏服务端、部分企业服务会用到。玩家就能用 mc.example.com 直连而不用带端口。

CAA 记录 —— 限制谁能签发证书

主机记录: @
类型: CAA
值: 0 issue "letsencrypt.org"

安全用途：只允许指定 CA 给你的域名签发证书，防止被冒签。

其他

三、主机记录怎么填

不同服务商叫法不同：主机记录 / 名称 / Host / Name。

常见坑：面板里留空，有的服务商理解为 @，有的理解为"不生效"。不确定就显式填 @。

四、TTL 是什么

TTL（Time To Live）= 缓存有效期，单位秒。

TTL: 600        # 10 分钟后重新查询

重要技巧：计划迁移服务器前，提前一天把 TTL 改成 60 秒，这样真正切换时生效极快，用户几乎无感。改完迁移后再调回去。

五、解析生效时间与验证

理论上最长 48 小时（取决于各地 DNS 缓存），实际上：

• 新增记录：通常几分钟内生效
• 修改记录：等旧 TTL 过期
• 改 NS：最长 48 小时

验证方法

# Linux / macOS
dig example.com +short
dig example.com A +short
dig www.example.com CNAME +short
dig example.com MX +short
dig example.com NS +short
dig _acme-challenge.example.com TXT +short

# 指定 DNS 服务器查询（对比不同地区是否已生效）
dig @8.8.8.8 example.com +short
dig @114.114.114.114 example.com +short
dig @223.5.5.5 example.com +short

# 查看完整应答（含 TTL）
dig example.com

# Windows
nslookup example.com
nslookup -type=mx example.com
nslookup -type=txt _acme-challenge.example.com

在线工具：

• https://www.whatsmydns.net （全球多地同时检测，最直观）
• https://dns.google
• https://tool.chinaz.com/dns

本地已生效但外网没生效：清本地 DNS 缓存

# Windows
ipconfig /flushdns

# macOS
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Linux（systemd-resolved）
sudo systemd-resolve --flush-caches

也可以临时把电脑 DNS 改成 8.8.8.8 或 223.5.5.5 试试。

六、常见配置场景

场景一：网站访问（最基础）

@     A     1.2.3.4
www   A     1.2.3.4

场景二：网站 + 邮箱

@     A     1.2.3.4
www   A     1.2.3.4
@     MX    5   mxbiz1.qq.com
@     MX    10  mxbiz2.qq.com
@     TXT   "v=spf1 include:spf.mail.qq.com ~all"
_dmarc TXT  "v=DMARC1; p=none; rua=mailto:admin@example.com"

场景三：接入 CDN

@     A     1.2.3.4           # 源站（可保留，但不要暴露）
www   CNAME cdn.xxx.com       # CDN 提供的 CNAME

用户访问 www 走 CDN，CDN 回源到你的源站 IP。

场景四：子域名给不同服务

@     A      1.2.3.4
www   A      1.2.3.4
api   A      1.2.3.4
admin A      1.2.3.4
cdn   CNAME  xxx.cdn.com
mc    A      5.6.7.8            # 游戏服单独一台机器

场景五：游戏服务器直连（不带端口）

mc    A      5.6.7.8
# 或用 SRV 指定端口
_minecraft._tcp  SRV  0 5 25565 mc.example.com

场景六：验证域名所有权（申请 SSL）

_acme-challenge  TXT  "AbCdEf123..."

七、国内服务器的特殊事项：备案

如果服务器在中国内地，域名必须完成 ICP 备案才能用 80/443 端口对外提供网站服务。

要点：

1. 备案主体是"域名 + 服务器"，需要在服务器所属服务商处提交
2. 通常要求服务器包月时长 ≥ 3 个月
3. 审核周期一般 7~20 个工作日
4. 备案期间域名无法访问（可以用 IP + 非 80 端口调试）
5. 备案后要在网站底部放置备案号并链接到工信部网站
6. 更换服务商需要"接入备案"

不备案能不能用：

• 用非 80/443 端口（如 8080、25565）—— 通常可以
• 用中国香港、海外服务器 —— 不需要备案
• 纯内网 / 只做 API 调用 —— 视服务商策略

游戏服务端一般走自定义端口，不受备案限制，这也是开服常用的做法。

八、DNS 安全

1）防止域名被劫持

• 给域名商账号开二次验证（2FA）
• 开启域名锁定（禁止转移）
• 开启注册信息隐私保护（避免被社工）

2）CAA 记录限制证书签发

@  CAA  0 issue "letsencrypt.org"
@  CAA  0 issuewild "letsencrypt.org"
@  CAA  0 iodef "mailto:admin@example.com"

3）SPF / DKIM / DMARC 防邮件伪造

三件套配齐，否则别人可以冒充你的域名发垃圾邮件（也可能导致你的正常邮件被判为垃圾）。

@       TXT  "v=spf1 include:spf.mail.qq.com -all"
_dmarc  TXT  "v=DMARC1; p=quarantine; rua=mailto:admin@example.com"
# DKIM 由邮箱服务商提供，形如：
dkim._domainkey  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCS..."

4）DNSSEC（可选）

给 DNS 应答做数字签名，防 DNS 缓存投毒。需要域名商和 DNS 服务商都支持，在后台开启即可。

九、故障排查表

十、最佳实践清单

• [ ] @ 和 www 都配（用户体验）
• [ ] 稳定期 TTL 设 3600 以上，迁移前降到 60
• [ ] 配 MX + SPF + DMARC（哪怕现在不发邮件）
• [ ] 加 CAA 记录限制证书签发
• [ ] 域名商账号开二次验证 + 域名锁
• [ ] 解析改动前先记录原值，方便回滚
• [ ] 用泛解析 * 时注意别把敏感子域名暴露出去
• [ ] 定期检查解析记录，清理无用条目（子域名劫持风险）

域名解析配好后，就可以绑到服务器上了。财富云计算 的云服务器提供独立公网 IP，可直接做 A 记录解析；如果只在内网使用或跑游戏服务端，可选 NAT 型（无独立公网 IP，价格比独立 IP 机型省一半以上），通过端口映射对外提供服务。

相关阅读：

• 《Nginx 安装与配置入门》
• 《免费 SSL 证书申请与 HTTPS 部署》
• 《用云服务器搭建 Typecho 博客》

延伸阅读

1. 网站环境怎么选：LNMP 手动 / 宝塔面板 / Docker / 云开发
2. 问卷表单系统搭建：SurveyKing / Formbricks，数据自己收
3. 图床搭建：Lsky Pro / Lychee，自托管图片托管方案
4. 邮件列表搭建：listmonk 自托管 Newsletter，把读者握在自己手里
5. 文档站点搭建：MkDocs / VuePress / Docsify，产品文档与技术手册方案
6. RSS 阅读器搭建：FreshRSS 自托管，把信息流拿回自己手里
7. 短链接服务搭建：Shlink 自托管，链接数据自己掌握
8. 网站状态监控页搭建：Uptime Kuma，服务器挂了第一时间知道

更多阅读

1. 上一篇：Nginx 反向代理与多站点配置：一台服务器跑十个网站
2. 下一篇：用云服务器搭建 Typecho 博客：LNMP 环境从零到上线