问题背景
某日，云南易云城IT服务公司的运维团队接到一家中型企业的紧急报修：公司办公区内多名员工反馈，访问公司官网、部分第三方SaaS平台以及几家常用合作企业网站时，页面加载极慢或直接无法打开。然而，使用手机4G/5G网络访问这些网站完全正常，且其他内网用户访问百度、腾讯等主流网站无异常。这一现象呈现出明显的"选择性失效"特征，初步判断并非网络链路问题。
作为在云南IT服务行业深耕18年的运维工程师，我遇到过大量类似案例。DNS污染导致特定网站访问异常，是企业内网运维中较为隐蔽却影响深远的故障类型。它不像断网那样一眼可见，排查起来需要系统性的思路和方法。本文结合实战经验，详细介绍此类故障的排查与修复流程。
原因分析
DNS（域名系统）是将人类可读的域名转换为机器可识别IP地址的关键基础设施。当内网DNS服务器遭受污染时，会对特定域名返回错误的IP地址，导致用户访问目标网站时被"劫持"到错误节点，表现为无法打开、加载缓慢或被重定向到广告页面。造成DNS污染的原因主要包括以下几类：
一是路由器或防火墙DNS劫持策略配置错误。部分企业部署上网行为管理设备时，误将正常业务域名纳入过滤或重定向范围，导致DNS响应被篡改。这类问题常见于策略变更后未做充分验证的场景。
二是内网DNS服务器缓存污染。当内网DNS服务器从上游解析到恶意或错误的IP后，会将错误记录缓存。若缓存TTL设置过长，即使源头问题修复，内网用户仍会持续访问到错误地址。
三是中间设备DNS中间人攻击。内网中存在未经授权的设备或恶意软件，对DNS请求进行拦截和篡改。这种情况多见于办公网络缺乏有效安全管控的环境。
四是ISP或上游DNS服务商故障。部分中小企业直接沿用运营商默认DNS，当上游DNS出现区域性污染时，内网用户会同步受到影响。
解决方案
针对上述不同原因，我们需要采取分层排查、逐层定位的策略。核心思路是：先确认故障现象，再定位污染节点，最后实施修复并验证。以下是完整的排查修复方案框架。
第一步：确认影响范围。通过收集受影响员工的办公电脑信息，统计故障域名的分布情况，判断是全局性问题还是局部问题。同时询问最近是否有网络策略变更、设备更换或软件安装操作，这些往往是问题的触发点。
第二步：内网DNS解析验证。在内网任意一台受影响的电脑上，使用nslookup或dig命令查询故障域名的解析结果，与公网DNS（如114.114.114.114、8.8.8.8）的解析结果进行对比。若内网解析结果与公网不一致，即可确认DNS污染存在。
第三步：定位污染节点。通过逐级查询（内网DNS→上游DNS→根DNS），确定哪一层返回了错误解析。常见做法是依次指定不同DNS服务器进行查询，对比结果差异。
第四步：实施修复。根据定位结果，采取清除缓存、修改DNS策略、更换上游DNS或调整防火墙规则等措施。修复后需再次验证解析结果恢复正常。
实操步骤
下面以Windows系统为例，详细说明具体的排查操作命令和修复方法。以下操作在易云城多次企业现场服务中验证有效，电话13708730161可随时联系咨询。
1. 检查当前DNS配置
在受影响电脑上打开命令提示符（CMD），输入以下命令查看当前DNS服务器地址：
ipconfig /all
记录"DNS Servers"字段中的IP地址，这通常是内网DNS服务器的地址。
2. 对比DNS解析结果
使用nslookup命令分别查询故障域名，先查询内网DNS结果，再查询公网DNS结果：
nslookup www.example.com 192.168.1.1
nslookup www.example.com 114.114.114.114
若两个命令返回的IP地址不同，且公网DNS返回的是正确地址，则确认内网DNS存在污染。
3. 清除DNS缓存
在Windows系统中，清除本地DNS缓存的命令如下：
ipconfig /flushdns
清除后再次执行第2步的nslookup命令，观察解析结果是否恢复正常。如果恢复，说明是缓存污染所致。
4. 检查内网DNS服务器状态
登录内网DNS服务器（通常为Windows Server或Linux系统），检查DNS服务运行状态。在Windows服务器上执行：
Get-Service DNS | Select-Object Name, Status
在Linux服务器上执行：
systemctl status named
若服务异常，重启DNS服务：
systemctl restart named
5. 修改上游DNS服务器
若内网DNS服务器本身配置的上游DNS存在问题，建议将其修改为稳定的公共DNS或运营商DNS。在Windows DNS管理器中，进入"转发器"设置，添加如114.114.114.114、223.5.5.5（阿里云DNS）等可靠的上游DNS地址。
6. 检查防火墙和上网行为管理设备
登录企业防火墙或上网行为管理设备，检查是否存在针对故障域名的DNS重定向策略或过滤规则。若有，及时调整或删除相关策略。
7. 验证修复效果
修复完成后，在多台受影响的电脑上重新执行nslookup命令，确认解析结果与公网DNS一致。同时让员工实际访问故障网站，确认页面可正常打开。
预防措施
DNS污染问题一旦爆发，影响面广且排查耗时，因此建立有效的预防机制至关重要。以下几点建议供企业参考：
定期监控DNS解析质量。部署DNS监控工具，对关键业务域名的解析结果进行周期性检测，发现异常及时告警。常用的监控工具包括DNSCheck、dig监控脚本等。
合理设置DNS缓存TTL。内网DNS服务器的缓存TTL不宜过长，建议设置为300-600秒，以便上游DNS记录变更后能快速同步，减少错误缓存的影响范围。
建立DNS策略变更审批流程。任何涉及DNS解析规则、防火墙策略、上网行为管理策略的变更，都应经过充分测试和审批后再上线，避免误操作导致污染。
部署双DNS冗余架构。内网DNS服务器建议配置主备双节点，并设置不同的上游DNS转发地址，确保单点故障时能快速切换。
加强内网安全管控。定期审计内网设备，防止未经授权的设备接入网络进行DNS劫持。启用ARP防护和端口安全策略，降低中间人攻击风险。
总结
企业内网DNS污染导致特定网站访问异常，是一个典型且容易被忽视的运维故障。其核心特征是"选择性失效"——部分网站正常，部分异常，且外网访问正常而内网异常。排查此类问题时，关键在于通过nslookup等工具对比内网与公网DNS解析结果的差异，快速定位污染节点。
在实际工作中，我们易云城团队处理过大量类似案例。从路由器策略误配到DNS缓存污染，从上游DNS故障到中间设备劫持，每一种情况都需要结合企业网络架构具体分析。建议企业运维人员建立规范的DNS故障排查SOP，并定期演练，以提升故障响应效率。如遇复杂情况，可联系专业云南IT服务团队协助处理，联系电话13708730161。