ns.fs.kg
检测中…
NS LAB · FS = FAST & SECURE

把一个域名的
解析链路摊开看

输入域名，一次拿到记录清单、多解析器传播对比、DNSSEC 链逐段体检与权威域名服务器状态。 公共递归器与权威服务器同屏对照——改完记录不知道生效了没有，看这一屏就够了。

等待输入。左侧已经读出你的接入信息。

你的接入体检

读取中
国家 / 城市
…
ASN
…
运营商
…
接入节点
…
连接 / TLS
…

这几项由离你最近的边缘节点直接从连接里读出，不查任何第三方接口；这一栏只用来告诉你「本站看到了什么」，与域名查询结果无关。

DNS 记录

还没查域名。输入 example.com，或 _dmarc.example.com 这类带下划线的主机名。

解析传播矩阵

同一类型分别问公共递归器与你的权威服务器，看谁已经拿到新答案。

查询后这里会列出各解析器的答案与往返耗时。

耗时是边缘节点到该解析器的往返，不等于你本机运营商的解析速度；要看本地情况请在终端里 dig +trace。

DNSSEC 链

等待查询
·
根域 .
查询后逐段显示 DS / DNSKEY / RRSIG

这里检查的是记录存在性与委托链完整性：每级有没有 DS、区里有没有 DNSKEY 与 RRSIG、验证型解析器回不回 AD 位。 本站不做密码学验签，所以「链完整」不等于「签名有效」——真要判定 bogus 请用支持 DNSSEC 的校验器。

域名服务器与 SOA

查询后这里列出该域的 NS、它们的地址，以及直接向每台权威服务器取到的 SOA 序列号。

这几块怎么配合着用

刚改完记录
传播矩阵 + SOA 序列号
邮件发不出去
查 MX / TXT(_dmarc) / SPF
证书签发失败
查 TXT _acme-challenge
被劫持疑虑
DNSSEC 链 + AD 位
NS 迁移中
逐台权威问 SOA

下划线开头的主机名（_dmarc.、_acme-challenge.、_domainkey.）可以直接输入，不用做转义。

数据与隐私

记录来源
公共 DoH + 权威直查
是否落库
不写库、不留日志
是否注册
免注册、无广告
缓存
响应一律 no-store
姊妹站
ip.fs.kg

你输入的域名会作为 DNS 查询发给所选解析器（这是查询本身必需的），本站不额外保存。

终端里直接用

命令行客户端自动给纯文本，浏览器给 JSON；server= 换成任意公网解析器或你自己的权威服务器地址。

# 查记录（默认走 8.8.8.8）
curl ns.fs.kg/api/dns?name=example.com&type=MX

# 直接问权威服务器，并带上 EDNS0 的 DO 位取 DNSSEC 记录
curl 'ns.fs.kg/api/dns?name=example.com&type=DNSKEY&server=8.8.8.8&dnssec=1'

# 看某个公共递归器拿到的是新答案还是缓存
curl 'ns.fs.kg/api/dns?name=example.com&type=A&server=223.5.5.5&rd=0'

# JSON 输出（浏览器里就是这个）
curl -H 'Accept: application/json' 'ns.fs.kg/api/dns?name=example.com&type=A'

参数：name（必填）、type、server（公网 IP 字面量，缺省 8.8.8.8）、dnssec=0/1、rd=0/1、timeout=毫秒。响应被截断时自动改用 TCP 重问。

常见问题

传播矩阵里「权威」和「公共递归器」为什么会不一样？

权威服务器保存的就是你现在该看到的答案；公共递归器可能还在吐上一次缓存（受原 TTL 约束），也可能因为 rd=0 被我们要求只做委托不做递归。两边不一致通常意味着缓存还没过期，而不是解析坏了。

为什么每台 NS 的 SOA 序列号必须一致？

一个区的多台权威服务器靠 AXFR/IXFR 同步，序列号（serial）就是版本号。哪台的数字落后，说明区域传送没成功——这时记录会「时新时旧」，正是最坑的故障形态。

DNSSEC 显示「链完整」就代表安全吗？

不代表。本站检查 DS 委托是否存在、区里有没有 DNSKEY 与 RRSIG、验证型解析器有没有回 AD 位；没有做签名算法层面的密码学验证。要判定 secure / bogus 请用本地校验器（如 dig +dnssec +sigchase 或 unbound）。

刚改的 TXT 记录查不到，是本站的问题吗？

先分清两件事：权威上有没有、递归器上有没有。传播矩阵里权威那一行如果已经是新值，就是缓存问题，等 TTL 过期或让解析器刷新；如果权威那行还是旧值，说明你的改动没落到区文件里。

为什么耗时比我 dig 慢？

测量点在边缘节点，不在你家路由器。它反映的是「这个解析器对全球访问者的答复状态」，用来对比不同解析器的相对新旧与一致性；绝对延迟请以本地 dig 为准。

为什么矩阵里没有 1.1.1.1？

本站的直查跑在 Cloudflare 边缘上，而 Cloudflare 不允许 Worker 连接自家 IP（连 1.1.1.1 会立刻被取消）。写进去只会永远显示失败，所以换成 Google / OpenDNS / 阿里 / 腾讯 / Quad9 五个观测点。同理：如果你的域名权威 NS 也托管在 Cloudflare，那一行会报「目标可能是 Cloudflare 自有地址」，这不是解析坏了。

支持反向解析（IP → 域名）吗？

支持，按 PTR 的标准写法输入反查域名即可，例如 1.1.1.1.in-addr.arpa，类型选 PTR。