高防服务配置完成，不代表所有用户的流量已经切到防护节点。要验证网站接入高防服务后的DNS切换验证是否有效，关键是从不同解析器查询同一域名，并区分“记录已更新”和“业务流量已受保护”这两件事。
先确认应该解析到什么
查看高防服务提供的接入说明和控制台配置，确认业务域名应使用的记录类型与目标值。常见方式是将A记录改为服务商提供的地址，或按要求配置CNAME；实际方式取决于服务商、套餐配置及域名结构，不能仅凭目标地址是否变化来判断配置正确。
同时记录切换前的解析结果、原有记录和TTL。TTL表示递归解析器缓存记录的时间，单位通常为秒。切换前提前调低TTL有助于缩短缓存旧结果的时间，但已缓存的记录不会因此立即刷新；新TTL也要等旧缓存到期后才可能发挥作用。
本地DNS与公共DNS分别怎么查
先查当前网络使用的本地解析器
本地DNS通常是路由器、运营商或组织网络提供的递归解析器。它反映当前网络用户可能得到的答案，但结果可能受缓存、分流策略或内网DNS配置影响。可先查看设备当前使用的DNS地址，再执行查询。例如在Linux系统中查看解析配置，可使用 resolvectl status；随后将查询命令中的解析器地址替换为实际地址。
再查公共递归解析器
使用 dig 分别向 Cloudflare 的 1.1.1.1 和 Google Public DNS 的 8.8.8.8 查询，命令示例为：dig @1.1.1.1 example.com A +noall +answer。将 example.com 换成待验证域名，并对照查询A记录、AAAA记录或CNAME记录。公共DNS与本地DNS结果不同，不一定表示配置失败，也可能只是缓存尚未过期或两者采用了不同的解析路径。
这组对照是网站接入高防服务后的DNS切换验证的核心：记录查询时间、使用的解析器、返回的记录值和TTL，间隔一段时间重复查询。不要只看域名能否打开，因为浏览器、操作系统和网络设备都可能缓存解析结果。
按顺序验证，避免把解析误当成防护
- 核对权威记录。在域名DNS管理平台检查记录名称、类型、目标值及代理状态，确认与高防服务商给出的接入参数一致。若服务商要求CNAME，不要自行改成A记录。
- 对比两类递归结果。查询本地解析器和至少一个公共解析器；条件允许时再查询另一个公共解析器。若结果不一致，先检查TTL和解析器缓存，不要急着反复修改记录。
- 验证实际访问。从不同网络访问网站，确认页面、证书和关键功能正常。解析结果指向预期节点只是必要线索，不能单独证明请求已经经过高防清洗或防护策略生效。
- 查看服务侧状态。在服务商控制台核对域名绑定、健康状态、流量或防护日志等可用信息；同时检查源站是否只接受预期的回源流量。具体指标名称以服务商界面为准。
- 保留回退条件。记录变更前的DNS值和时间。若持续出现解析错误、证书异常或业务不可用，按预先确认的回退方案恢复记录，并考虑缓存TTL带来的生效延迟。
结果不一致时优先排查什么
如果本地DNS仍返回旧地址、公共DNS已返回新记录，常见原因是本地递归解析器仍缓存旧答案；等待缓存到期后复查，或在有权限的情况下清理本地解析缓存。若本地和公共DNS都返回旧值，检查权威记录是否保存成功、域名是否使用了预期的权威DNS，以及是否存在同名的AAAA记录仍指向旧路径。
若解析记录已经一致，但访问异常，应继续检查高防侧域名绑定、回源地址、HTTPS证书和源站访问控制。解析切换只负责把用户引向新的接入目标，回源失败、证书不匹配或错误的访问策略仍会导致网站不可用。完成网站接入高防服务后的DNS切换验证时，应把解析结果、实际访问和服务侧状态合并判断，而不是以单次查询作为结论。
常见问题
本地DNS和公共DNS返回不同地址，算切换失败吗？
不一定。先对照TTL、查询时间及权威记录；缓存未过期或存在分流解析时，结果可能不同。
改完记录多久能在所有网络生效？
没有固定时长。生效速度受原记录TTL、递归解析器缓存及DNS服务商处理方式影响，通常应在变更后分时段复查。
解析到高防地址就能确认防护生效吗？
不能。还需确认服务商侧绑定和运行状态，并检查访问是否正常、回源是否可用；解析结果本身不等于防护策略已验证。
只查A记录够不够？
不一定。若域名配置了AAAA或CNAME，也要核对对应记录，避免不同客户端走到不同接入路径。