DNS 区域文件校验工具

使用方法

1. 把区域文件粘贴到文本框里。内容只留在浏览器中，不会上传，也不会发起任何查询。
2. 如果文件以 $ORIGIN 开头，源域输入框留空即可；否则请按服务器配置里的区域名原样填写，因为同一个文件在不同源域下含义完全不同。
3. 如果解析失败，看行号和它下面打印出来的那一行：错误报告在解析器放弃的位置，遇到未闭合的引号或括号时，可能比真正出错的那行晚一行。
4. 查看 SOA 面板：负责人地址会还原成邮件地址的形式，每个计时器都同时给出秒数和易读的写法。
5. 按从上到下的顺序处理问题列表——先错误、再警告、最后提示——用每条上的行号回到出问题的记录。

常见问题

为什么我的 CNAME 变成了 example.com.example.com.？

因为目标名称结尾没有点号。在主文件里，凡是不以点号结尾的名称都是相对于当前源域的相对名，解析器无从判断 "example.com" 是想写完全限定域名，还是指你区域内一台叫 example.com 的主机。这条规则适用于所有名称字段，而不只是 CNAME：MX、NS、SRV 的目标以及 SOA 的主服务器同样会被追加源域。避免踩坑的习惯是：凡是指向区域之外的名称一律加点号，区域之内的名称只写标签部分。

文件里没有 $TTL，这算错误吗？

不一定。RFC 1035 里根本没有 $TTL 指令，RFC 2308 才加入并要求必须写，但包括 dnspython 在内的多数解析器仍会对没有自带 TTL 的记录回退到 SOA 的 minimum 字段；如果 SOA 是第一条记录，它自己的 TTL 也来自这个 minimum。反过来，如果一条没有 TTL 的记录出现在 SOA 和 $TTL 都还没出现之前，那就没有任何值可继承，属于真正的错误。本工具会把这种回退作为提示列出，并告诉你最终采用的是哪个值。

同名同类型的两条记录 TTL 不同，哪个生效？

严格来说都不生效。同名同类型的记录构成一个 RRset，而一个 RRset 只能以一个 TTL 应答；文件给出多个值时，加载器保留最小的那个，日志里也不会有任何警告。于是一条 60 秒的记录旁边那条 86400 秒的同名同类型记录也会变成 60 秒，这通常与作者的本意正好相反。本工具在表格里显示实际生效的 TTL，并标出每一行被覆盖掉的写法。

为什么名称在区域之外的记录没有出现在表里？

因为它根本没有进入这个区域。加载器只保留所有者名称等于或位于区域源域之下的记录，其余属于区域外数据，会被静默丢弃而不是报错。正向区域里粘进来的 PTR 记录，或者 $ORIGIN 行之后残留的按旧源域书写的记录，就是这样在文件正常加载的同时消失的。本工具会把每个被丢弃的名称列为问题，至少让这种消失可见。

TXT 记录可以超过 255 个字符吗？

整条记录可以，但其中单个字符串不行。DNS 的 character-string 用一个八位组表示长度，所以 255 就是硬上限，更长的引号字符串是语法错误而不是被截断。较长的 DKIM 或 SPF 值应当在同一条记录里写成多个引号片段——"前半段" "后半段"——服务器会把它们原样拼接，中间不插入任何字符。解析器会把这些片段分别交给应用，所以在任意位置切开都能还原，前提是顺序正确。

区域文件通过校验就代表 DNS 能正常工作吗？

不代表。解析通过只说明语法正确，这里的额外检查也只验证了部分内部一致性。父区域是否把委派指向了你的域名服务器、那些服务器是否已经加载了这个版本、地址是否可达、你递增的序列号是否真的比从服务器手上那个更大，文件本身都回答不了。序列号比较尤其特殊，它是 32 位序列空间算术，所以有人把日期敲错导致序列号"变小"时，从服务器可能会一直停留在旧区域，直到数字绕回足够远为止。

相关工具