ns.fs.kg
检测中…

NS Fast & Secure Lookup · 免注册 · 不落库

查一个域名，
记录、传播、DNSSEC
一次摊开。

F.S. Fast & Secure Lookup·Fast, private, and secure DNS intelligence.

A / AAAA / MX / TXT / NS 一次列全，公共递归器与权威服务器同屏对照，DNSSEC 委托链逐段体检。 不想开浏览器也行——curl ns.fs.kg/api/dns?name=example.com 直接回记录清单。

等待输入。左侧已经读出你的接入信息。

你的接入体检

读取中

正在读出你的公网地址…

国家 / 城市
…
运营商
…
ASN
…
协议版本
…
连接 / TLS
…
接入节点
…

这几项由离你最近的边缘节点直接从连接里读出，不查任何第三方接口；与下面的域名查询结果无关，只用来告诉你「本站看到了什么」。

解析链路

等待查询

查询从左边出发：你的请求交给递归解析器，它从右边的根问到 TLD 再问到权威 NS 拿答案。 查完后每段点亮并标出该段的关键事实（DS 委托、AA 位与 SOA 序列号、各解析器是否一致）；哪一段没亮，问题就出在哪一段。

DNS 记录

还没查域名。输入 example.com，或 _dmarc.example.com 这类带下划线的主机名。

解析传播矩阵

同一类型分别问公共递归器与你的权威服务器，看谁已经拿到新答案。

查询后这里会列出各解析器的答案与往返耗时。

耗时是边缘节点到该解析器的往返，不等于你本机运营商的解析速度；当前查询走 TCP，数字里含一次握手，只适合横向对比而非绝对延迟。要看本地情况请在终端里 dig +trace。

DNSSEC 链

等待查询
·
根域 .
查询后逐段显示 DS / DNSKEY / RRSIG

这里检查的是记录存在性与委托链完整性：每级有没有 DS、区里有没有 DNSKEY 与 RRSIG、验证型解析器回不回 AD 位。 本站不做密码学验签，所以「链完整」不等于「签名有效」——真要判定 bogus 请用支持 DNSSEC 的校验器。

域名服务器与 SOA

查询后这里列出该域的 NS、它们的地址、逐台权威的 SOA 序列号，以及父区委托 NS 与子区自报 NS 的一致性体检。

这几块怎么配合着用

刚改完记录
传播矩阵 + SOA 序列号
邮件发不出去
查 MX / TXT(_dmarc) / SPF
证书签发失败
查 TXT _acme-challenge
被劫持疑虑
DNSSEC 链 + AD 位
NS 迁移中
逐台权威问 SOA

下划线开头的主机名（_dmarc.、_acme-challenge.、_domainkey.）可以直接输入，不用做转义。

数据与隐私

记录来源
公共 DoH + 权威直查
是否落库
不写库、不留日志
是否注册
免注册、无广告
缓存
响应一律 no-store
姊妹站
ip.fs.kg

你输入的域名会作为 DNS 查询发给所选解析器（这是查询本身必需的），本站不额外保存。

终端里直接用

命令行客户端自动给纯文本，浏览器给 JSON；server= 换成任意公网解析器或你自己的权威服务器地址。

# 查记录（默认走 8.8.8.8）
curl ns.fs.kg/api/dns?name=example.com&type=MX

# 问权威服务器要区里的真值（默认 rd=0，带上 DO 位取 DNSSEC 记录）
curl 'ns.fs.kg/api/dns?name=example.com&type=A&server=199.43.135.53&dnssec=1'

# 问公共递归器要它缓存里的答案（必须 rd=1，否则会 REFUSED / SERVFAIL）
curl 'ns.fs.kg/api/dns?name=example.com&type=A&server=223.5.5.5&rd=1'

# JSON 输出（浏览器里就是这个）
curl -H 'Accept: application/json' 'ns.fs.kg/api/dns?name=example.com&type=A'

参数：name（必填）、type、server（公网 IP 字面量，缺省 8.8.8.8）、dnssec=0/1、rd=0/1、timeout=毫秒。响应被截断时自动改用 TCP 重问。

常见问题

怎么查一个域名的 DNS 记录？

在首屏输入框里填域名（example.com、_dmarc.example.com 这类带下划线的主机名也可以，不用转义），下面一排类型标签选 A / AAAA / CNAME / MX / TXT / NS / SOA / CAA / SRV / PTR，回车即查。记录清单走浏览器直连 DNS-over-HTTPS，不经过本站服务器；传播矩阵、DNSSEC 链与权威 SOA 则由边缘直接发 DNS 报文。

刚改的记录查不到，是本站的问题吗？

先分清两件事：权威上有没有、递归器上有没有。传播矩阵里权威那一行如果已经是新值，就是缓存问题，等 TTL 过期或让解析器刷新；如果权威那行还是旧值，说明你的改动没落到区文件里。

传播矩阵里「权威」和「公共递归器」为什么会不一样？

权威服务器保存的就是你现在该看到的答案；公共递归器可能还在吐上一次缓存（受原 TTL 约束）。两边不一致通常意味着缓存还没过期，而不是解析坏了。这里问递归器时带 rd=1（要它缓存里的答案），问权威时带 rd=0（要区里的真值）——问法反了会得到 SERVFAIL，那不是故障。

为什么每台 NS 的 SOA 序列号必须一致？

一个区的多台权威服务器靠 AXFR/IXFR 同步，序列号（serial）就是版本号。哪台的数字落后，说明区域传送没成功——这时记录会「时新时旧」，正是最坑的故障形态。

DNSSEC 显示「链完整」就代表安全吗？

不代表。本站检查 DS 委托是否存在、区里有没有 DNSKEY 与 RRSIG、验证型解析器有没有回 AD 位；没有做签名算法层面的密码学验证。要判定 secure / bogus 请用本地校验器（如 dig +dnssec 或 unbound）。

为什么矩阵里没有 1.1.1.1？

本站的直查跑在 Cloudflare 边缘上，而 Cloudflare 不允许 Worker 连接自家 IP（连 1.1.1.1 会立刻被取消）。写进去只会永远显示失败，所以换成 Google / OpenDNS / 阿里 / 腾讯 / Quad9 五个观测点。同理：如果你的域名权威 NS 也托管在 Cloudflare，那一行会标成「Cloudflare 自有地址，无法直连」——这是平台限制，不是解析坏了。

耗时为什么比我本地 dig 慢？

测量点在边缘节点，不在你家路由器，而且当前查询走 TCP、数字里含一次握手。它反映的是「这个解析器对全球访问者的答复状态」，用来对比不同解析器的相对新旧与一致性；绝对延迟请以本地 dig 为准。

支持反向解析（IP → 域名）吗？

支持，按 PTR 的标准写法输入反查域名即可，例如 1.1.1.1.in-addr.arpa，类型选 PTR。