子域名解析，源站正常而边缘节点异常时应保留哪些证据
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /750bb2a515de.html
📄
子域名解析，源站正常而边缘节点异常时应保留哪些证据
当源站访问正常、边缘节点却出现异常时，先要保留的是能证明“差异发生在哪一层”的证据，而不是急着改解析。核心证据包括：同一时刻不同网络位置的解析结果、源站直连与经边缘节点的响应头、异常节点的 IP 与 ASN、以及带时间戳的请求失败样本。它们决定了下一步是继续观察、调整边缘配置，还是回退解析。
先分清“异常”落在解析层还是回源层
源站正常只能说明源站本身可服务，不能说明边缘节点拿到的地址是对的。边缘节点异常常见两类原因：一是它解析到的子域名地址与源站实际地址不一致；二是它解析正确但回源链路、缓存或证书校验出了问题。判断依据是同一子域名在不同解析器下的结果是否一致。
如果多个公共解析器返回同一组地址，而某个边缘节点仍连不上，问题更可能在边缘侧的回源配置或网络路径，而不是权威解析。反之，如果不同解析器结果分叉，就要优先保留各解析器的返回记录，作为解析不一致的证据。
需要保留的证据清单与各自用途
证据的价值在于能复现“谁在什么时间看到了什么”。以下项目按优先级排列，不必一次集齐，但缺失关键项会让后续判断变成猜测。
- 带时间戳的解析结果：分别从源站所在网络、异常边缘节点所在网络、以及至少一个第三方解析器获取。用途是区分全局解析问题与局部解析问题。
- 异常节点的 IP 与 ASN：记录边缘节点出口 IP 和所属自治系统。用途是判断异常是否集中在某个网络运营商或某个机房。
- 源站直连响应头：包括状态码、Server、缓存相关字段。用途是与经边缘节点返回的响应头对比，定位差异发生在哪一跳。
- 失败请求样本：保留完整请求 URL、请求方法、返回状态码、错误页内容。用途是区分 4xx、5xx 与连接超时，这三类指向不同原因。
- 证书链信息：记录边缘节点看到的证书颁发者与有效期。用途是排除边缘侧证书校验失败导致的“源站正常但边缘报错”。
需要强调：HTTPS 只保证传输加密，不保证边缘节点一定信任源站证书，也不保证回源链路无故障。证书相关证据要单独留存，不要和解析结果混在一起判断。
保留、改写还是退出：三种取舍的适用前提
证据收集完之后，决策取决于异常是否可复现、影响面是否可控。
保留现状并继续观察，适用于异常只在个别边缘节点出现、且源站直连始终正常的情况。前提是你已经确认解析结果一致，问题集中在边缘侧网络。此时动作是持续记录异常节点的解析与响应，观察是否随节点扩容或运营商调整自行消失。若几天内异常节点数量没有扩大，通常不必改动解析。
改写边缘配置，适用于解析结果一致但边缘节点回源失败的情况。前提是你能定位到具体回源地址或端口。动作是核对边缘侧的回源目标是否与源站当前监听地址一致，并检查是否有缓存规则把动态请求错误缓存。改写后要重新采集同一组证据，对比改写前后的响应头差异，确认异常是否消除。
退出该边缘节点或该子域名，适用于异常持续扩大、且边缘侧无法在可接受时间内修复的情况。前提是退出不会影响仍在依赖该子域名的其他系统。动作是先确认没有其他服务指向该子域名，再调整解析或下线边缘配置。退出后仍需保留退出前的证据，因为后续排查同类问题时，这组记录是唯一的对照基线。
一个假设的对照例子
假设某子域名解析到一组地址，源站直连返回 200，但某个边缘节点返回 502。此时先取三份解析结果：源站网络、异常节点网络、第三方解析器。若三份结果一致，说明解析层无分歧，证据应转向边缘节点的回源响应头与证书链。若只有异常节点网络返回了不同地址，则证据重点转为该网络的解析器行为，而不是边缘配置。
这个对照的意义在于：同一组现象，证据指向的层级不同，后续动作就不同。先固定证据，再决定保留、改写还是退出，比直接改解析更不容易把问题扩大。
证据保留的常见误区
抓取量或请求量下降不能单独证明边缘节点异常，也可能是缓存命中变化、上游限流或统计口径调整。同样，robots.txt 的抓取限制不等于索引移除，站点地图也不保证收录，这些与边缘节点异常无关，不应混入本次证据链。
另一个误区是只保留最终错误页，不保留请求时间与来源网络。没有时间戳和来源网络的错误样本，无法判断异常是持续的还是瞬时的，也无法判断是否集中在特定运营商。保留证据时，时间、来源、结果三者缺一不可。
最后，不同解析器和不同边缘网络的返回结果要分别记录，不要合并成一条结论。合并会掩盖差异，而差异恰恰是定位问题的关键。
