当网站打不开、邮件发不出或CDN调度异常时，DNS查询工具是定位问题的第一把钥匙。本文从实际排查场景出发，对比nslookup与dig的用法，帮助你快速掌握这两大命令行工具。
为什么需要专门的DNS查询工具？
浏览器地址栏输入域名后，系统会先查询本地缓存，再向DNS服务器发起递归请求。但缓存可能过期，本地解析器也可能配置错误。nslookup和dig能直接向指定DNS服务器发送查询，绕过本地缓存，看到最真实的解析结果。
nslookup：Windows与macOS的常备工具
安装与基本用法
Windows系统自带nslookup，macOS和Linux可能需要安装。在终端输入nslookup example.com，默认使用系统配置的DNS服务器。若想指定服务器，使用nslookup example.com 8.8.8.8。
查询记录类型
默认查询A记录。要查询MX、TXT等，可进入交互模式：输入nslookup回车，然后set type=MX，再输入域名。也可用-type=mx参数直接查询。
输出解读
输出包含服务器地址和应答部分。例如Non-authoritative answer表示结果来自缓存，非权威应答；Authoritative answer则来自权威服务器。常见误区是忽略Non-authoritative标记，误以为结果不准确，实际上缓存应答通常可靠，只是可能过期。
dig：Linux与macOS的进阶利器
安装与基本用法
Linux大多自带dig，macOS需安装bind-tools。基本查询：dig example.com，默认查询A记录并显示完整信息。指定服务器：dig @8.8.8.8 example.com。
记录类型与查询选项
查询MX：dig example.com MX。查看查询耗时：dig example.com +time。追踪解析过程：dig +trace example.com，这能显示从根服务器到权威服务器的完整链路，对排查DNS传播延迟非常有用。
输出解读
dig输出分为头部、问题、应答、权威、附加和统计。头部中的status: NOERROR表示成功，NXDOMAIN表示域名不存在。应答部分的TTL字段是关键，它告诉你记录还能缓存多久。常见误区是只看IP地址，忽略TTL，导致误判解析变更的生效时间。
实战对比：何时用nslookup，何时用dig？
nslookup适合快速查询，尤其在Windows环境。dig功能更强，适合深入排查，如追踪解析路径、批量查询、脚本处理。如果你只需要知道IP，nslookup足够；若要诊断DNS配置错误或CDN调度问题，dig的+short、+trace等选项更高效。
常见误区与失败条件
- 误区一：认为nslookup和dig结果不一致就是故障。实际上，不同DNS服务器可能返回不同结果，尤其是使用Anycast或负载均衡时。
- 误区二：忽略缓存。查询前应先清理本地DNS缓存（Windows:
ipconfig /flushdns），否则可能得到过期结果。 - 失败条件：当DNS服务器无响应时，工具会超时。此时应检查网络连接、防火墙是否阻止UDP 53端口，或尝试更换DNS服务器。
结合日志与可观测性工具
DNS查询结果只是起点。根据OWASP日志安全速查表，应用日志应包含安全事件，而DNS查询日志也是其中一部分。OpenTelemetry日志规范强调日志与其他遥测信号的集成，你可以将dig的查询结果与链路追踪结合，定位性能瓶颈。Python的logging库提供了灵活的日志记录，适合在自动化脚本中记录DNS查询结果。
总结
掌握nslookup和dig是DNS排查的基础。从实际需求出发，选择合适的工具，理解输出中的关键字段，避免常见误区，你就能高效解决解析问题。更多DNS技术文章，可参考DNS技术专栏。
参考资料
延伸阅读