隨住最近 Nginx-Quic 分支被合併到咗 Nginx 主線，Nginx 1.25.0 版本官方二進制包已經支援 Quic/HTTP3，有興趣嘅朋友可以前往 https://nginx.org/en/download.html 或 https://nginx.org/en/linux_packages.html 下載安裝，體驗一下 Quic/HTTP3 嘅魅力，本文將主要為你介紹點樣透過編譯嘅方式開啟 Quic/HTTP3。

2024年02月20號更新：通過喺 Nginx 郵件社區討論得到咗一個解決方案，可以將 libssl 構建為共享庫嚟解決呢個問題，詳見 https://mailman.nginx.org/pipermail/nginx/2024-February/5N5IXG7BI66D5AIKORCYPVVVJTZYMUR6.html ，可以根據需要自行試。

2024年02月19號更新：因為谷歌嘅 BoringSSL 而家發佈咗一個破壞性嘅更新，所以導致編譯出錯，本文臨時將克隆到嘅 BoringSSL 版本修改為 c39e6cd9ec5acebb6de2adffc03cfe03b07f08ab 呢個 commit。
2023年11月19號更新：修正咗Nginx_brotli編譯錯誤嘅問題。
2023年06月22號更新：更新咗關於 HTTP/2 嘅配置，Nginx 已經廢棄咗 listen 指令中嘅 http2 參數，改為 http2 on;，詳見 https://hg.nginx.org/nginx/rev/08ef02ad5c54 同 https://nginx.org/en/docs/http/ngx_http_v2_module.html ，如果你之前參照過本文編譯安裝 Nginx，請你重新編譯安裝之後修改配置,可參照示例配置。

安装依赖

1
2
3
4
5
6
7
8
9
10
11
12
13
14

# Debian 11/12
apt update
apt install build-essential ca-certificates zlib1g-dev libpcre3 libpcre3-dev tar unzip libssl-dev wget curl git cmake ninja-build mercurial libunwind-dev pkg-config
# Ubuntu 22.04/20.04
sudo su
cd /root
apt update
apt install build-essential ca-certificates zlib1g-dev libpcre3 libpcre3-dev tar unzip libssl-dev wget curl git cmake ninja-build mercurial libunwind-dev pkg-config
# CentOS 8 Stream/TencentOS Server 3.1
dnf update
dnf install gcc gcc-c++ pcre-devel openssl-devel zlib-devel cmake make libunwind-devel hg git wget
# OpenCloudOS Server 8
dnf update
dnf install gcc gcc-c++ pcre-devel openssl-devel zlib-devel cmake make hg git wget

安裝Go

下載並解壓

1
2

wget https://dl.google.com/go/go1.22.0.linux-amd64.tar.gz
rm -rf /usr/local/go && tar -C /usr/local -xzf go1.22.0.linux-amd64.tar.gz

添加环境变量

1

export PATH=$PATH:/usr/local/go/bin

具体可参考https://go.dev/doc/install

验证是否安装成功

1

go version

編譯 boringssl

Debian/Ubuntu

1
2
3
4
5
6
7
8

git clone https://github.com/google/boringssl.git
cd boringssl
git reset --hard c39e6cd9ec5acebb6de2adffc03cfe03b07f08ab
mkdir build
cd build
cmake -GNinja ..
ninja
cd ../..

CentOS 8 Stream/TencentOS Server 3.1/OpenCloudOS Server 8

1
2
3
4
5
6
7
8

git clone https://github.com/google/boringssl.git
cd boringssl
git reset --hard c39e6cd9ec5acebb6de2adffc03cfe03b07f08ab
mkdir build
cd build
cmake -DCMAKE_BUILD_TYPE=Release .. 
make
cd ../..

安装 brotli 压缩

唔需要就跳过，編譯时删咗–add-module=/root/ngx_brotli

1
2
3
4
5
6

git clone --recurse-submodules -j8 https://github.com/google/ngx_brotli
cd ngx_brotli/deps/brotli
mkdir out && cd out
cmake -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF -DCMAKE_C_FLAGS="-Ofast -march=native -mtune=native -flto -funroll-loops -ffunction-sections -fdata-sections -Wl,--gc-sections" -DCMAKE_CXX_FLAGS="-Ofast -march=native -mtune=native -flto -funroll-loops -ffunction-sections -fdata-sections -Wl,--gc-sections" -DCMAKE_INSTALL_PREFIX=./installed ..
cmake --build . --config Release --target brotlienc
cd ../../../..

編譯安裝quic

注意：
我係直接喺 /root 目錄下編寫嘅，如果你喺其它目錄下，請自行修改路徑；
如果你唔需要 brotli 壓縮，請刪除–add-module=/root/ngx_brotli
我將 Nginx 安裝喺 /www/server/nginx 目錄下，如果你需要修改，請自行修改路徑；

1
2
3
4
5

hg clone https://hg.nginx.org/nginx
cd nginx
./auto/configure --user=www --group=www --prefix=/www/server/nginx --with-pcre  --add-module=../ngx_brotli --with-http_v2_module --with-stream --with-stream_ssl_module --with-http_ssl_module --with-http_gzip_static_module --with-http_gunzip_module --with-http_sub_module --with-http_flv_module --with-http_addition_module --with-http_realip_module --with-http_mp4_module --with-ld-opt=-Wl,-E --with-cc-opt=-Wno-error --with-ld-opt=-ljemalloc --with-http_dav_module --with-http_v3_module  --with-cc-opt=-I../boringssl/include --with-ld-opt='-L../boringssl/build/ssl -L../boringssl/build/crypto'
make
make install

添加 www 用户

1
2

groupadd www
useradd -g www -s /sbin/nologin www

添加進程管理

我所使用的是systemd，如果你使用的是其他進程管理器，請自行修改

1

vim /usr/lib/systemd/system/nginx.service

輸入嘅內容：

1
2
3
4
5
6
7
8
9
10
11
12
13

[Unit]
Description=nginx
After=network.target

[Service]
Type=forking
ExecStart=/www/server/nginx/sbin/nginx
ExecReload=/www/server/nginx/sbin/nginx -s reload
ExecStop=/www/server/nginx/sbin/nginx -s quit
PrivateTmp=true

[Install]
WantedBy=multi-user.target

启动

1

systemctl start nginx

开机自启

1

systemctl enable nginx

配置档

范例配置档咁，想知更多功能请参考官方文件：https://nginx.org/en/docs/http/ngx_http_v3_module.html

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

server {
       listen 443 ssl;
       listen [::]:443 ssl;

       #用嚟支援Quic或者HTTP/3
       listen 443 quic reuseport;
       listen [::]:443 quic reuseport;

       #用嚟支援HTTP/2
       http2 on;

       server_name r2wind.com;

       #Quic或者HTTP/3响应头
       add_header Alt-Svc 'h3=":443"; ma=86400';
       #HSTS
       add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

       location / {
           root /www/wwwroot/r2wind.com; 
           index index.html index.htm;
         }

       #證書配置
       ssl_certificate /root/.acme.sh/smb.wiki/fullchain.cer; 
       ssl_certificate_key /root/.acme.sh/smb.wiki/smb.wiki.key;
       ssl_session_timeout 5m;
       ssl_protocols TLSv1.2 TLSv1.3; 
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
       ssl_prefer_server_ciphers on;
    }

配置做好咗之后，重新加载 Nginx 就可以生效咗

1

systemctl reload nginx

本文將介紹點样利用純 Nginx 搭建 IP 地址查詢接口（只查詢 IP 地址，唔查詢 IP 歸屬地），如果有查詢 IP 歸屬地嘅需求，可以參考另一位大佬嘅一篇文章 純 Nginx 打造 IP 地址查詢接口。

好耐冇見，呢兩個月由於啲咩原因（考試、面試）一直冇有更新博客，今日終於有時間咗，就趕緊嚟更新。用 Nginx 嚟攞 IP 呢個方法係去年 8 月份喺處理DDNS Openwrt 插件無法更新 IP 嘅 case 時了解到嘅，當時插件裏頭攞 IP 嘅接口 ns1.dnspod.net:6666 由於係早啲年寫嘅一個程序僅支持 http/0.9 導致 DDNS 插件無法正常攞 IP 地址，之後一位大佬改用 Nginx 嚟攞 IP 地址，嗰次先知道 Nginx 原來仲可以噉用，簡直係學藝唔精哈哈哈。

安裝 Nginx 嘅方法就唔介紹咗，直接丟配置文件咗。

文末有現成嘅，如果你唔想自己搭建嘅話可以直接使用。

配置范例

获取 IP(JSON)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

server {
       listen 80;
       listen [::]:80;

       listen 443 ssl http2;
       listen [::]:443 ssl http2;

       # 以支持 HTTP/3，若所用 Nginx 版本支持 HTTP/3，可删掉注释
       # listen 443 http3;
       # listen [::]:443 http3;

       server_name ipv4.ddnsip.cn ipv6.ddnsip.cn ddnsip.cn;

       # 以支持 HTTP/3，若所用 Nginx 版本支持 HTTP/3，可删掉注释
       # add_header Alt-Svc 'h3=":443"; ma=86400';

       # HSTS
       add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

       # 许跨域（喺其他站点调用接口时会使到）
       add_header Access-Control-Allow-Origin *;
       add_header Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept";
       add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";
       
       # 获取 IP 地址
       location / {
           default_type application/json;
           return 200 '{"ip":"$remote_addr"}';
           # 若使緊 CDN 请将$remote_addr改为$http_x_forwarded_for
         }
      
       # 证书配置
       ssl_certificate /root/.acme.sh/*.ddnsip.cn/fullchain.cer; 
       ssl_certificate_key /root/.acme.sh/*.ddnsip.cn/*.ddnsip.cn.key;
       ssl_session_timeout 5m;
       ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3; 
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; 
       ssl_prefer_server_ciphers on;
    }

获取 IP(纯文本)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

server {
       listen 80;
       listen [::]:80;

       listen 443 ssl http2;
       listen [::]:443 ssl http2;

       # 用以支援 HTTP/3，若所用 Nginx 版本支援 HTTP/3，可去除注释
       # listen 443 http3;
       # listen [::]:443 http3;

       server_name ipv4.ddnsip.cn ipv6.ddnsip.cn ddnsip.cn;

       # 用以支援 HTTP/3，若所用 Nginx 版本支援 HTTP/3，可去除注释
       # add_header Alt-Svc 'h3=":443"; ma=86400';

       # HSTS
       add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";
       
       # 获取 IP 地址
       location / {
           default_type text/plain;
           return 200 $remote_addr;
           # 若使用 CDN 请将$remote_addr改为$http_x_forwarded_for
         }
      
       # 证书配置
       ssl_certificate /root/.acme.sh/*.ddnsip.cn/fullchain.cer; 
       ssl_certificate_key /root/.acme.sh/*.ddnsip.cn/*.ddnsip.cn.key;
       ssl_session_timeout 5m;
       ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3; 
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; 
       ssl_prefer_server_ciphers on;
    }

获取 UA

呢啲係额外嘅内容，得閒冇嘢做嘅时候写嘅

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

server {
       listen 80;
       listen [::]:80;

       listen 443 ssl http2;
       listen [::]:443 ssl http2;

       # 用嚟支持 HTTP/3，如果用緊嗰個 Nginx 版本支持 HTTP/3，可以拎走註解
       # listen 443 http3;
       # listen [::]:443 http3;

       server_name ipv4.ddnsip.cn ipv6.ddnsip.cn ddnsip.cn;

       # 用嚟支持 HTTP/3，如果用緊嗰個 Nginx 版本支持 HTTP/3，可以拎走註解
       # add_header Alt-Svc 'h3=":443"; ma=86400';

       # HSTS
       add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";
       
       # 攞 UA（純文字格式，想要 JSON 格式就用注釋咗嗰啲碼）
       location / {
           default_type text/plain;
           return 200 $http_user_agent;
         }

       # 攞 UA（JSON 格式）
       # location / {
       #     default_type application/json;
       #     return 200 '{"ua":"$http_user_agent"}';
       #   }

       # SSL 配置
       ssl_certificate /root/.acme.sh/*.ddnsip.cn/fullchain.cer; 
       ssl_certificate_key /root/.acme.sh/*.ddnsip.cn/*.ddnsip.cn.key;
       ssl_session_timeout 5m;
       ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3; 
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; 
       ssl_prefer_server_ciphers on;
    }

附言

睇落好似好複雜噉，係咪懶得寫（/手動狗頭，冇關係，呢度有現成嘅
UA: https://ua.ddnsip.cn 或 https://ddnsip.cn/ua (JSON)
IP: https://ddnsip.cn 或 https://ddnsip.cn/json
IPv4: https://ipv4.ddnsip.cn 或 https://ddnsip.cn/json
IPv6: https://ipv6.ddnsip.cn 或 https://ipv6.ddnsip.cn/json

Linux底下使用直接睇下面鏈接入面嘅說明：
https://www.ddnsip.cn

閒嘅冇嘢搞咗個查IP歸屬嘅（唔保證穩定同準確）：
https://ip.ddnsip.cn/

呢篇係编辑网站操作记录，完整嘅流程请参考 腾讯云建站 CloudPages 快速构建您嘅企业网站，等有时间再录个视频哈哈哈哈。

操作记录

清空全部页面同区块

因为冇适合笔者嘅模板，所以笔者选择咗清空全部页面同区块，跟住自己从头开始搭建。

各种删删删，清空为止~

加区块改内容

编辑导航栏

更改logo，网站名称，同埋导航栏嘅菜单。

加banner区块

页面总要有个头图，唔係总觉得有啲怪，所以我们加咗个 banner 区块，跟住替换内容就得嘞。

点击加区块，选择图文通栏，同埋根据自己嘅需要选择适合嘅版式：

加好之后根据自己需要改区块内容同样式：

加介绍区块

设定作 Banner之后就可以加各种版块用来介绍，冇咩特别限制，根据自己需要嚟。
我揀咗个功能特性嘅区块：

跟住编辑区块内容：

编辑页尾

加完介绍区块之后我们就要开始编辑页尾啦，页尾内容可以根据自己需要嚟，我呢度简单嘅设定下联系方式等

加页面

一般来讲个页面肯定唔够用，所以我们要额外加下，加页面嘅话就比较简单啦，直接点击加页面，跟住根据自己需要加就得嘞，呢度我加咗个页面用做表单：

根据自己需要设定下页面嘅标题，同路径，特别系路径，唔建议用系统默认嘅：

加完之后我们重复刚刚步骤，先设好banner，跟住加表单区块：

表单样式看起来都一样，所以揀边个其实差别唔大喇，加好之后根据我们自己需要设定关联问题：

到此笔者整完咗自己网站，大概用咗一个半小时，大家实际搭建嘅时候好多内容并唔系现成嘅，所以耗时可能会更长，一定要有耐心哦~

分类写成教程了，其实就是闲谈，平时我们如果注意观察嘅话就会发现成日唔少大厂域名嘅DNS都比较有个性，比如qq.com呢个域名嘅DNS服务器系NS1.QQ.COM——NS4.QQ.COM，而我们自己嘅DNS服务器基本上就系千篇一律嘅f1g1ns1.dnspod.net/xxx.dnspod.net/dns(1-32).hichina.com/ns(1-8).alidns.com等等，噉点样用自己嘅域名做域名DNS服务器地址令我们嘅域名服务器看起上嚟更加个性化呢？答案就系贴牌（当然有能力你都可以自建）。
所谓贴牌DNS就系使用解析厂商提供嘅解析服务，但系DNS服务器嘅域名，换成你自己嘅，呢个东西叫法比较多，包括似系：贴牌DNS/Vanity Nameservers/DNS Branding/Custom Nameservers/white-label name servers等等，我比较喜欢Vanity Nameservers呢个名称，直译过嚟就系“虚荣嘅域名服务器”，满足自己嘅虚荣心哈哈哈（开个玩笑），呢个东西对一般人来讲其实冇咩用，不过如果你系域名代理商、云厂商呢种唔想自建DNS服务又想给用户提供解析搞个还系可以嘅，当然如果你有能力自建DNS服务嘅话，噉就更加好了。

前提条件

• 域名：呢个域名咩后缀都得，但注册商必须支持加DNS host(Glue record)，国内我试过嘅有腾讯云同阿里，其他厂商唔太清楚（厂商基本上都有呢个能力，但系能唔能自助注册就系另一个问题喇），国外嘅话大多数都支持。
• 解析服务商：唔需要睇厂商本身系唔系支持贴牌DNS，但解析厂商需要满足以下条件：第一点，支持设置SOA同NS记录（首先可以排除DNSPod、Azure dns 同阿里云，甚至国内大部分嘅域名解析服务商喇），第二点，唔指向呢个厂商嘅DNS服务器厂商唔会把你解析停咗嘅。满足上面嗰两个条件嘅国内似乎太少喇（之前有华为云），国外嘅话还系挺多嘅，比如CloudNS、Route53、NS1、GCP DNS等等，当然除咗呢啲之外还有好多其他嘅厂商都支持，呢度就唔过多赘述喇。

操作步骤

本来想以华为云为例写个详细教程嘅，写教程嘅时候发现华为云唔支持设置SOA喇，既然噉就只写流程啦。

找解析服务商

按照上面嘅条件找一家解析服务商：

1. 支持设置SOA同NS记录
   满足呢两个条件嘅国内厂商基本冇喇，似系阿里云、腾讯云DNSPod、华为云都仅支持设置NS记录，唔支持设置SOA（唔支持设置SOA好似也冇咩大问题），其中腾讯云设置NS记录还要通过API，唔能够直接操作，建议大家去国外搵搵，大多数都支持，我个人用嘅系cloudNS。
   2.唔指向呢个厂商嘅DNS服务器厂商唔会把你解析停咗嘅
   比如腾讯云DNSPod免费版，长时间唔指向佢哋嘅DNS服务器就会暂停解析，我们打造自己品牌嘅名称服务器肯定唔会指向佢哋嘅，噉呢种就唔得喇。

在解析服务商加域名

把域名加入到你选择嘅解析服务商平台，并记录下解析服务商比你分配嘅DNS服务器地址，比如谷歌比我嘅系ns-cloud-c1.googledomains.com,ns-cloud-c2.googledomains.com,ns-cloud-c3.googledomains.com,ns-cloud-c4.googledomains.com。

获取服务商提供嘅DNS服务器对应嘅IP地址

喺呢度我们需要获取服务商提供嘅DNS服务器对应嘅IP地址，刚刚已经叫大家记住咗原本嘅NS记录，现在我们需要获取服务商提供嘅DNS服务器对应嘅IP地址，比如上面Google Cloud DNS比我嘅系ns-cloud-c1.googledomains.com,ns-cloud-c2.googledomains.com,ns-cloud-c3.googledomains.com,ns-cloud-c4.googledomains.com，噉我们就需要获取呢四个DNS服务器对应嘅IP地址，喺呢度我们可以用nslookup命令嚟获取，举个例子:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

rttw@Kincaid:~$ nslookup ns-cloud-c1.googledomains.com
Server:         192.168.160.1
Address:        192.168.160.1#53

Non-authoritative answer:
Name:   ns-cloud-c1.googledomains.com
Address: 216.239.32.108
Name:   ns-cloud-c1.googledomains.com
Address: 2001:4860:4802:32::6c

rttw@Kincaid:~$ nslookup ns-cloud-c2.googledomains.com
Server:         192.168.160.1
Address:        192.168.160.1#53

Non-authoritative answer:
Name:   ns-cloud-c2.googledomains.com
Address: 216.239.34.108
Name:   ns-cloud-c2.googledomains.com
Address: 2001:4860:4802:34::6c

去域名注册商添 DNS host（Glue Record）

我哋刚刚已经攞到咗服务商提供嘅 DNS 服务器对应嘅 IP 地址，而家我们用呢啲 IP 地址来添 DNS host（Glue Record）：
添加 DNS host（Glue Record）嘅方法喺度唔会介绍，大家自己去睇吓啱啱嘅域名注册商嘅文档吧，下面系腾讯云和阿里云嘅添文档：
腾讯云： https://cloud.tencent.com/document/product/242/54158
阿里云： https://help.aliyun.com/document_detail/59949.html
示例图：

留意：最少要有两组 DNS 服务器，比如作者想用嘅系 ns1.vanitydns.com同ns2.vanitydns.com，把上头攞到嘅 IP 地址平分到呢两组 DNS host 就得咯。

图文入面嘅域名同 IP 唔配套，大家唔使理，只系举个例子

去解析服务商度为名称服务器添 A 同 AAAA 记录

喺呢度我哋要去解析服务商度为名称服务器添 A 同 AAAA 记录，比如作者嘅系 ns1.vanitydns.com同ns2.vanitydns.com，噉我哋就要去解析服务商度为呢两个名称服务器添 A 同 AAAA 记录指向 DNS 服务器 IP 地址，留意喺度指向 DNS 服务器 IP 地址设置嘅要同之前添 DNS host（Glue Record）嘅 IP 地址一致，比如作者设置 DNS host 时：
ns1.vanitydns.com 指向 1.12.34.55,1.12.34.56,2402:4e00::1
ns2.vanitydns.com 指向 1.23.34.57,1.12.34.58,2402:4e00::2
噉喺去解析服务商度为呢两个名称服务器添 A 同 AAAA 记录，同上头 host 保持一致：
ns1.vanitydns.com. 3600 IN A 1.12.34.55
ns1.vanitydns.com. 3600 IN A 1.12.34.56
ns1.vanitydns.com. 3600 IN AAAA 2402:4e00::1
ns2.vanitydns.com. 3600 IN A 1.23.34.57
ns2.vanitydns.com. 3600 IN A 1.23.34.58
ns2.vanitydns.com. 3600 IN AAAA 2402:4e00::2

修改 NS 同 SOA 记录

添咗解析之后喺解析服务商度修改 NS 同 SOA 记录，NS 记录指嘅系你自定义名称服务器，好似笔者嘅系NS1.VANITYDNS.COM同NS2.VANITYDNS.COM，噉就把 NS 记录嘅值改做呢两个，留意 TTL 尽量设嘅长啲，好似 3600-86400，SOA 记录主要留意修改主 NS 服务器同电邮地址，其他嘅可以唔使理，好似笔者嘅系：

1

vanitydns.com. 300 IN SOA ns1.vanitydns.com. admin.vanitydns.com. 2023020601 3600 180 1209600 300

当中 300 係 TTL，ns1.vanitydns.com 係主 NS 服务器，admin.vanitydns.com 係电子邮件地址，2023020601 係序列号，3600 係刷新时间，180 係重试时间，1209600 係过期时间，300 係最小 TTL。需要改嘅就只有主 NS 服务器同电子邮件地址，其他嘅可以唔使理。
听落可能有啲难明，放个修改示例嘅截图啦：
呢个系笔者用嘅 cloudNS，修改示例：

呢个系Google Cloud DNS，修改示例：

PS:喺 DNS 记录当中，电子邮件地址中嘅 @ 符号需要用 . 来代替。系唔系有同学仲想问主名称服务器系咩嘢，假如你想自定义嘅 NS 系 ns1.vanitydns.com 同 ns2.vanitydns.com，噉 ns1.vanitydns.com 就系主名称服务器，ns2.vanitydns.com 就系备用名称服务器。（明白嘅自然明白，唔明白跟住做就得）

修改域名 DNS 服务器

完成上述所有步骤之后，你就可以改域名嘅 DNS 服务器地址做自己个嘅，点改就要参考下你域名服务商提供嘅帮助文件。
改好之后就可以睇效果啦：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

rttw@Kincaid:~$ whois vanitydns.com
   Domain Name: VANITYDNS.COM
   Registry Domain ID: 2754575975_DOMAIN_COM-VRSN
   Registrar WHOIS Server: whois.google.com
   Registrar URL: http://domains.google.com
   Updated Date: 2023-01-29T07:52:29Z
   Creation Date: 2023-01-29T00:16:12Z
   Registry Expiry Date: 2024-01-29T00:16:12Z
   Registrar: Google LLC
   Registrar IANA ID: 895
   Registrar Abuse Contact Email: registrar-abuse@google.com
   Registrar Abuse Contact Phone: +1.8772376466
   Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
   Name Server: NS1.VANITYDNS.COM
   Name Server: NS2.VANITYDNS.COM
   DNSSEC: signedDelegation
   DNSSEC DS Data: 49548 13 2 D6D5E60B35B2F10CA1052FAA6045E0BC0B201D46547AC3ED1DF5FC9A797BAD0A
   URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/
>>> Last update of whois database: 2023-02-08T12:31:14Z <<<

常見問題

1. 睇完之後覺得有啲懵？
   確實，呢篇文章寫嘅有啲唔啱小白，遇到任何問題發電郵或者前往 GitHub 倉庫提 issue 都得。
2. 更改 DNS 伺服器失敗？
   睇嚟大概係底下嘅樣子，如果您係騰訊雲註冊嘅域名，可以喺騰訊雲域名控制台搵到“技術交流群”點擊掃碼加群尋求幫助，其他域名服務商可以俾筆者發電郵或者前往 Github 倉庫提 issue。
   

接上一篇文章使用 DNSPod 拉平 CNAME 記錄（CDN 場景）呢篇文章將介紹如何使用華為雲 DNS 拉平 CNAME 記錄（CDN 場景）。

操作場景

本文將指導您如何使用華為雲 DNS 的 API 實現拉平 CNAME 記錄，以解決相關記錄衝突嘅問題。

方法說明

唔再重複說明咗，如有興趣請看使用 DNSPod 拉平 CNAME 記錄（CDN 場景）

前提條件

• 域名解析託管在華為雲 DNS

項目地址

https://github.com/KincaidYang/CNAMEFlattening

操作步驟

获取腳本

Flame 版本

該版本適用於騰訊雲 CDN、華為雲 CDN
IPv4 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/HuaweiCloud/Flame/Huaweicloud-Flame-IPv4.py

IPv6 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/HuaweiCloud/Flame/Huaweicloud-Flame-IPv6.py

Frost 版本

該版本適用於騰訊雲 EdgeOne、阿里雲 CDN、天翼雲 CDN
IPv4 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/HuaweiCloud/Frost/Huaweicloud-Frost-IPv4.py

IPv6 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/HuaweiCloud/Frost/Huaweicloud-Frost-IPv6.py

#### 使用 git clone 命令下載腳本

使用 git clone 命令：

1

git clone https://github.com/KincaidYang/CNAMEFlattening.git

配置變量

打開腳本，根據腳本提示修改如下變量。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

# 配置參數
# domanin替換為自己嘅域名，例如'example.com'或者'example.cn'
domain=''
# sub_domain替換為自己嘅主機記錄或者域名前綴，例如'www'或者'dl'如果係根域名則寫'@'或者留空
subdomain=''
# CDNCNAME請替換為CDN提供嘅CNAME地址，例如'r2wind.com.cdn.qcloudcdn.cn'或者'r2wind.com.cdn.dnsv1.com'
CDNCNAME=''
# ak請替換為自己嘅華為雲Access Key Id，可以前往https://console.huaweicloud.com/iam/?locale=zh-cn#/mine/accessKey 攞到
ak='xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
# sk請替換為自己嘅華為雲Secret Access Key，可以前往https://console.huaweicloud.com/iam/?locale=zh-cn#/mine/accessKey 攞到
sk='xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
# URL為 DNSPod DOH接口地址，用嚟攞CDN實時解析情況，可以自行替換
DoH='https://1.12.12.12/resolve'
# 記錄類型("A"表示IPv4，"AAAA"表示IPv6)
record_type='A'
# ttl為解析記錄生存時間，單位係秒，可以自行修改
TTL=120

本站示例配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

# 配置参数
# domanin 替換為自己嘅域名，好似 'example.com' 或者 'example.cn'
domain='dnstest.work'
# sub_domain 替換為自己嘅主機記錄或者域名前綴，好似 'www' 或者 'dl' 如果系根域名就寫 '@' 或者留空
subdomain='@'
# CDNCNAME 請替換為CDN提供嘅CNAME地址，好似 'r2wind.com.cdn.qcloudcdn.cn' 或者 'r2wind.com.cdn.dnsv1.com'
CDNCNAME='r2wind.com.cdn.qcloudcdn.cn'
# ak 請替換為自己嘅華為雲Access Key Id，可以前往 https://console.huaweicloud.com/iam/?locale=zh-cn#/mine/accessKey 攞到
ak='BHHDNAIOTBZGJZSU92ZE'
# sk 請替換為自己嘅華為雲Secret Access Key，可以前往 https://console.huaweicloud.com/iam/?locale=zh-cn#/mine/accessKey 攞到
sk='HigvKrrmvasu8e8NpGXvdgTsd5xvV0txmL7ErVdk'
# URL為 DNSPod DOH介面地址，用咗攞CDN實時解析情況，可以自行替換
DoH='https://1.12.12.12/resolve'
# 記錄類型（"A"係IPv4，"AAAA"係IPv6）
record_type='A'
# ttl為解析記錄生存時間，單位為秒，可以自行修改
TTL=120

说明：
若觉得下方用于 ECS 协议的 IP 子网存在问题，可自行修改。

安装依赖

脚本使用 Python3（一般镜像都会预装 Python3）、requests 库、华为云DNS SDK 若未安装请执行以下命令安装。

1
2
3
4
5
6
7
8

# CentOS/RedHat:
yum install python3
pip3 install requests
pip3 install huaweicloudsdkdns
# Debian/Ubuntu:
apt install python3
pip3 install requests
pip3 install huaweicloudsdkdns

说明：
喺某啲系统下可能要將 pip3 替換做 pip。

导入记录

使用前请您前往华为云 DNS 控制台添加或使用下方模板导入记录，否则脚本无咩正常运行。

下载记录模板

IPv4模板：https://dl.r2wind.com/template/HuaweicloudDNS-IPv4.xlsx
IPv6模板：https://dl.r2wind.com/template/HuaweicloudDNS-IPv6.xlsx

说明：
导入之前请自己改吓模板裏面嘅域名，模板裏面嘅域名系域名前缀，似’www’噉嘅，根域名请留空。
导入之前请自己改吓模板裏面嘅记录值为当前 CDN 节点 IP，唔系嘅话会影响域名正常访问。（节点 IP 可以通过nslookup查询CDN CNAME地址获取）
若系要导入嘅记录之前喺控制台加过，请删咗原有记录之后再导入。

导入记录

1. 登入华为云 DNS 控制台。
2. 点击对应嘅域名
3. 切换到批量导入/导出选项卡，点击批量导入上传模板
4. 等导入完成，留意吓导入结果，如果有导入失败嘅记录，睇吓嘅咩原因修正之后手动加记录，唔好重复导入。

调试脚本

请先喺本地使用编辑器（好似VScode）调试脚本，如果调试成功嘅话就可以继续部署。
如果脚本正常运行，您会睇到类似下面嘅输出：

部署脚本

部署运行

脚本使嘅系 cron 定时运行，所以您需要安装 cron。

1
2
3
4

# CentOS/RHEL
yum install cronie
# Debian/Ubuntu
apt install cron

安装完成之后，你需要编辑crontab文件，加入定时任务。

1

crontab -e

喺 crontab 文件入面加入如下內容：

1

*/5 * * * * python3 /root/HuaweicloudDNSCDN-IPv4.py

说明：
呢个配置每5分钟运行一次，你可以按自己需要去改。
请将/root/HuaweicloudDNSCDN-IPv4.py 替换成你个脚本路径。
如果你用緊IPv6个脚本，请将上述内容替换成 */5 * * * * python3 /root/HuaweicloudDNSCDN-IPv6.py

验證效果

你可以喺華為雲 DNS 控制台檢查對應域名嘅相關記錄，若記錄值已經更新為 CDN 節點 IP，咁就表示腳本運行成功。

問題反饋

若您喺使用過程中遇到任何問題，歡迎您提交 Issue。

由於 CNAME 與任何記錄都衝突的特性，在根域（@）下添加 CNAME 記錄指向 CDN（或其他服務）會導致 mx（郵箱記錄）、TXT（一些站長驗證）、DS 等常用記錄衝突等且多級 CNAME 會導致解析性能下降等問題，所以拉平是一個很不錯的解決方案。但目前 DNSPod 並沒有提供拉平的功能，所以需要自己寫腳本調用 API 實現。（本文以腾讯云 CDN 為例，但是其他 CDN 服務商也可以使用，替換腳本裡面的 CNAME 域名即可。）

PS：自2019年1月接觸互聯網行業以來一直在做運營相關的工作，本身也不是學計算機相關專業的，代碼寫的可能不是很好，歡迎大佬們指正。

操作場景

本文將指導您如何使用 DNSPod 的 API 實現拉平 CNAME 記錄，以解決相關記錄衝突的問題。（以腾讯云 CDN 為例）

前提條件

域名解析托管在腾讯云 DNSPod。
域名已綁定企業版或更高版本套餐

方法說明

流程圖

實現嘅方法大體如上圖所示，獲取 CDN 在 31 個省份三大運營商嘅調度結果，然後將調度結果更新到 DNSPod 上。

相關說明

• 因本人海外訪問全部由 Cloudflare 提供服務，且由於服務 IP 基本固定，故本腳本中未考慮海外使用 CDN 嘅情況，如果 CDN 有海外節點，可以喺腳本中自行添加海外 CDN 調度部分。
• 需要企業版或更高版本套餐嘅原因係因為從企業版開始先支持分省分運營商解析調度。（或許有時間寫個華為雲 DNS 嘅）
• 考慮 CDN 存在多級 CNAME 嘅情況，本腳本從 DoH 获取嘅調度結果第二個 “data” 先開始取值，由於 CDN 每次返回嘅 IP 數量唔一，僅取兩個 IP，能滿足目前大部分 CDN 嘅情況，當然唔排除有啲 CDN 存在多級 CNAME 嘅情況，呢種情況下需要自行修改腳本。
• 考慮到並非所有人都開啟咗 IPv6，故本腳本分為 IPv4 和 IPv6 兩個版本，您可根據自身情況選擇使用。

腳本

項目地址

GitHub 地址：https://github.com/KincaidYang/CNAMEFlattening

Flame 版本

該版本適用於騰訊雲 CDN、華為雲 CDN
直接下載（IPv4 腳本）：https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Flame/DNSPod-Flame-IPv4.py
直接下載（IPv6 腳本）：https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Flame/DNSPod-Flame-IPv6.py

Frost 版本

該版本適用於騰訊雲 EdgeOne、阿里云 CDN、天翼雲 CDN
直接下載（IPv4 腳本）：https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Frost/DNSPod-Frost-IPv4.py
直接下載（IPv6 腳本）：https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Frost/DNSPod-Frost-IPv6.py

操作步驟

获取腳本

您可直接下載腳本，或者使用 git clone 命令下載本腳本。
直接下載：

Flame 版本

該版本適用於騰訊雲 CDN、華為雲 CDN:
IPv4 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Flame/DNSPod-Flame-IPv4.py

IPv6 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Flame/DNSPod-Flame-IPv6.py

Frost 版本

該版本適用於騰訊雲 EdgeOne、阿裡雲 CDN、天翼雲 CDN：
IPv4 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Frost/DNSPod-Frost-IPv4.py

IPv6 腳本：

1

wget https://dl.r2wind.com/script/CNAMEFlattening/DNSPod/Frost/DNSPod-Frost-IPv6.py

使用 git clone 命令下載腳本

使用 git clone 命令：

1

git clone https://github.com/KincaidYang/CNAMEFlattening.git

修改變量配置

打開腳本，修改以下變量：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

# 配置參數
# domanin 替換為自己的域名，如'r2wind.com'
domain='xxx.cn'
# sub_domain 替換為自己的子域名，如'@'或'www'
subdomain='xxx'
# CDNCNAME 請替換為 CDN 提供的 CNAME 地址，如'r2wind.com.cdn.dnsv1.com'
CDNCNAME='xxx.xxx.xxx.cn'
# SecretId 請替換為自己的騰訊雲 SecretId，可前往 https://console.cloud.tencent.com/cam/capi 获取
SecretId='xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
# SecretKey 請替換為自己的騰訊雲 SecretKey，可前往 https://console.cloud.tencent.com/cam/capi 获取
SecretKey='xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
# URL 為 DNSPod DOH 接口地址，用以獲取 CDN 實時解析情況，可自行替換為其他廠商的 DoH 接口
DoH='https://1.12.12.12/resolve'
# 記錄類型("A"為 IPv4，"AAAA"為 IPv6)
record_type='A'

本站配置示例：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

# 配置參數
# domanin 替換為自己的域名
domain='r2wind.com'
# sub_domain 替換為自己的子域名
subdomain='@'
# CDNCNAME 請替換為 CDN 提供的 CNAME 地址
CDNCNAME='r2wind.com.cdn.qcloudcdn.cn'
# SecretId 請替換為自己的騰訊雲 SecretId
SecretId='xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
# SecretKey 請替換為自己的騰訊雲 SecretKey
SecretKey='xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
# URL 為 DNSPod DOH 接口地址，用以獲取 CDN 實時解析情況，可自行替換
DoH='https://1.12.12.12/resolve'
# 記錄類型("A"為 IPv4，"AAAA"為 IPv6)
record_type='A'

說明：
若覺得下方用於 ECS 協議的 IP 子網存在問題，可自行修改

安裝依賴

腳本使用 Python3 運行，故您需要安裝 Python3 環境。（一般鏡像都會預裝 Python3）

1
2
3
4

# CentOS/RHEL
yum install python3
# Debian/Ubuntu
apt install python3

本腳本使用了 requests 庫和騰訊雲 SDK，故您還需要安裝 requests 庫和 SDK。

1
2
3
4

# requests 庫
pip3 install requests
# 騰訊雲 SDK
pip3 install tencentcloud-sdk-python

說明：
某些系統下可能需要將 pip3 替換為 pip。
使用前請您前往DNSPod 控制台添加相應記錄，否則本腳本將無法正常運行，或參照下述方式導入記錄。

下載記錄模板

Flame 版本

適用於騰訊雲 CDN、華為雲 CDN
IPv4 模板：https://dl.r2wind.com/template/DNSPod-IPv4-Flame.xls
IPv6 模板：https://dl.r2wind.com/template/DNSPod-IPv6-Flame.xls

Frost 版本

適用於騰訊雲 EdgeOne、阿里雲 CDN、天翼雲 CDN
IPv4 模板：https://dl.r2wind.com/template/DNSPod-IPv4-Frost.xls
IPv6 模板：https://dl.r2wind.com/template/DNSPod-IPv6-Frost.xls

說明：
請根據版本選擇相應模板。
導入前請自行修改模板中的主機記錄。（若有需要）
導入前請自行修改模板中的記錄值為當前 CDN 節點 IP，否則會影響域名正常訪問。（節點 IP 可以通過 nslookup 查询 CDN CNAME 地址獲取）
若需要導入的記錄已在控制台添加過，請刪除原有記錄後再導入。

導入記錄

1. 登錄 DNSPod 控制台，進入批量操作-導入記錄頁面。
2. 輸入需要導入的域名，上傳已經修改好的模板，點擊導入。
3. 等待導入完成，請注意查看導入結果，若有導入失敗的記錄，查看原因修正後手動添加記錄，不要重複導入。

調試腳本

請先在本地使用編輯器（如 VScode）調試腳本，若調試成功則可繼續部署。
若腳本正常運行，您將看到類似如下輸出：
{“RecordId”: 1300xxxxxx, “RequestId”: “b690601d-b97f-46fa-a5fb-xxxxxxxxxx”}
或
[TencentCloudSDKException] code:InvalidParameter.DomainRecordExist message:記錄已經存在，無需再次添加

部署運行

腳本使用 cron 定時運行，故您需要安裝 cron。

1
2
3
4

# CentOS/RHEL
yum install cronie
# Debian/Ubuntu
apt install cron

安裝完成後，您需要編輯 crontab 文件，添加定時任務。

1

crontab -e

在 crontab 文件中添加如下内容：

1

*/5 * * * * python3 /root/DNSPodCDNv4.py

說明：
本配置每 5 分鐘運行一次，您可以根據需要自行修改。
請將 /root/DNSPodCDNv4.py 替換為您的腳本路徑。
若您使用的是 IPv6 腳本，請將上述內容替換為 */5 * * * * python3 /root/DNSPodCDNv6.py

驗證效果

你可以喺 DNSPod 控制台查看對應域名嘅相關記錄，若記錄值已經更新為 CDN 節點 IP，則說明腳本運行成功。

D 監控

可開啟 D 監控配合使用，注意調整監控頻率，監控頻率應小於更新頻率。
注：D 監控僅支持 IPv4。

問題反饋

若你喺使用過程中遇到任何問題，歡迎你提交 Issue。

基於 DNSPod 提供的解析能力，本站現已支持 HTTPS 記錄 (HTTPS record) 即 Type65 記錄，截至發文時，該記錄相關規範仍在處理中，尚未最終確定，但已有部分廠商開始使用，如 CloudFlare、Apple 等。在 ios14 以後的版本上，系統會優先查詢 HTTPS 記錄，因此合理的配置 HTTPS 記錄可以有效的提升 ios 用戶的訪問體驗。其他瀏覽器如 Chrome 對該記錄的支持目前還處於試驗階段，可通過 chrome://flags/ 配置開啟。

記錄相關介紹

HTTPS 記錄是一種新的 DNS 記錄類型，關於其詳細介紹請參閱：draft-ietf-dnsop-svcb-https-11。

配置方法

由於該記錄仍在草案處理中，本文不再詳細介紹配置方法，具體可參見：設置 HTTPS 記錄。

相關測試

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

; <<>> DiG 9.16.30 <<>> r2wind.com https
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 21184
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;r2wind.com.                     IN      HTTPS

;; ANSWER SECTION:
r2wind.com.              10      IN      HTTPS   1 alpn="h3,h3-29,h2" ipv4hint=104.26.15.53,172.67.70.22,104.26.14.53 ipv6hint=2606:4700:20::681a:f35,2606:4700:20::681a:e35,2606:4700:20::ac43:4616

;; Query time: 5 msec
;; SERVER: 192.168.3.1#53(192.168.3.1)
;; WHEN: Fri Nov 11 13:16:08 ;; MSG SIZE  rcvd: 96

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

; <<>> DiG 9.19.5-1+0~20220921.84+debian11~1.gbp190ab0-Debian <<>> r2wind.com https @8.8.4.4 +subnet=1.1.1.0/24
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 59916
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
; CLIENT-SUBNET: 1.1.1.0/24/24
;; QUESTION SECTION:
;r2wind.com.                     IN      HTTPS

;; ANSWER SECTION:
r2wind.com.              120     IN      HTTPS   1 cloudflare.r2wind.com. alpn="h3,h3-29,h2" ipv4hint=104.26.15.53,172.67.70.22,104.26.14.53 ipv6hint=2606:4700:20::681a:f35,2606:4700:20::681a:e35,2606:4700:20::ac43:4616

;; Query time: 109 msec
;; SERVER: 8.8.4.4#53(8.8.4.4) (UDP)
;; WHEN: Fri Nov 11 13:17:53 CST 2022
;; MSG SIZE  rcvd: 170

本文將指導您如何完成 DNSPod 解析套餐的變更，適用於降級場景（將套餐由高版本改至低版本，如企業版更換為專業版）。

前提條件

• 擁有需變更套餐域名的管理權限。
• 已購買其他版本套餐，若降級至免費版本，請忽略。

操作步驟

將域名 DNS 伺服器更改為免費版本

說明：
由於降級 DNS 套餐版本需要解綁當前套餐，解綁套餐後若域名 DNS 伺服器仍為原套餐版本的 DNS 伺服器地址將導致域名無法解析；且受各地運營商遞歸 DNS 緩存影響，即使在變更套餐後及時修改域名 DNS 伺服器地址為當前版本套餐地址，也可能導致在 72 小時內出現解析異常等影響業務的情況。所以在變更套餐前請您將域名 DNS 伺服器更換為免費版本，以確保降級套餐不會影響正常解析。

獲取免費版本 DNS 伺服器地址

1. 登錄騰訊雲 DNSPod控制台。
   
2. 單擊 DNS解析，在我的域名頁面點擊需要變更套餐的域名。
   
3. 進入後單擊域名設置並點擊查看免費版的 DNS 伺服器。
   
4. 記錄免費版本 DNS 伺服器並前往域名註冊商將 DNS 伺服器變更為免費版本。
   

更改域名 DNS 伺服器

域名在騰訊雲

若您為騰訊雲平台註冊域名，請登錄騰訊雲域名控制台，找到需要設置的域名，單擊更多→修改 DNS 伺服器→自定義 DNS，輸入免費版 DNS 並點擊保存，如下述圖片所示：

域名不在騰訊雲

若您的域名註冊平台非騰訊雲，請參考付費套餐 DNS 修改為免費套餐 DNS地址完成修改，若文檔中未包含您的域名註冊商，請諮詢您的域名註冊商客服完成修改。

變更套餐

重要提示：
警告，請在修改域名 DNS 伺服器為免費版 72 小時後再繼續進行操作，否則可能影響解析！
警告，請在修改域名 DNS 伺服器為免費版 72 小時後再繼續進行操作，否則可能影響解析！
警告，請在修改域名 DNS 伺服器為免費版 72 小時後再繼續進行操作，否則可能影響解析！

解綁套餐

1. 登錄DNSPod 控制台——套餐管理，找到需要變更套餐的域名，單擊解綁
   
2. 按照界面提示再次確認是否已經將域名 DNS 伺服器切換為免費版本，確認無誤後點擊確定解綁。
   

綁定套餐

1. 找到變更後的套餐並單擊綁定
   
2. 選擇需要變更套餐的域名單擊確定完成綁定
   

更改域名 DNS 伺服器為當前套餐對應地址

完成綁定後請前往域名註冊商將域名 DNS 伺服器地址修改為當前套餐所對應的 DNS 伺服器地址，具體可參考：域名如何配置為 DNSPod 的 DNS 伺服器。
各版本對應 DNS 伺服器地址如下：

操作目的

本文將指導您解決當您的網站使用 Github 靜態託管時導致騰訊雲免費證書無法簽發的問題。

問題背景

1. 自2022年03月03日22:00:00起，TrustAsia 根證書籤發由 Digicert 根證書變更為 Sectigo 根證書。
2. 用戶使用 Github 靜態託管時通常會將域名指向 Github 提供的CNAME記錄值，如”username.github.io”。
3. 將域名指向 Github 提供的CNAME記錄值意味着該域名（子域名）所有解析記錄類型（含CAA）的紀錄值均由”username.github.io”提供。
4. 由於 Github 提供的CNAME記錄值”username.github.io”中包含 CAA 記錄（如下述示例），且改該域名 CAA 記錄中不包含 Sectigo 根證書的授權，因此將導致騰訊雲免費證書無法簽發。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

rttw@Kincaid:~$ dig username.github.io caa

; <<>> DiG 9.19.5-1+0~20220921.84+debian11~1.gbp190ab0-Debian <<>> username.github.io caa
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 19362
;; flags: qr rd ad; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;username.github.io.            IN      CAA

;; ANSWER SECTION:
username.github.io.     0       IN      CAA     0 issue "letsencrypt.org"
username.github.io.     0       IN      CAA     0 issuewild "digicert.com"
username.github.io.     0       IN      CAA     0 issue "digicert.com"

;; Query time: 90 msec
;; SERVER: 172.17.128.1#53(172.17.128.1) (UDP)
;; WHEN: Thu Oct 06 16:28:14 CST 2022
;; MSG SIZE  rcvd: 154

5. 域名所有者通過設置 CAA 解析記錄來授權指定的 CA 機構為其頒發 SSL 證書，同時 CA 機構根據規範要求，在頒發 SSL 證書時會強制性檢查域名 CAA 記錄，如果檢查發現未獲得授權，將拒絕為該域名頒發 SSL 證書，從而防止未授權的 SSL 證書錯誤頒發，規避安全風險。

操作步驟

1. 登錄 DNSPod解析控制台，找到並單擊申請證書的域名。
   

2. 找到指向 Github 的 CNAME 記錄，單擊右側的暫停按鈕並暫停解析。

   說明：

   1. 僅需要暫停當前申請證書域名及主域名上指向 Github靜態託管 的 CNAME 記錄，其他指向記錄不需要暫停。（例如我為”blogs.dnstest.cc”申請證書，那我僅需暫停主機記錄為”@”和”blogs”的指向 Github靜態託管 的 CNAME 記錄，其他指向記錄不需要暫停。）
   2. 若您為主域名申請證書，請暫停主機記錄為”www”和”@”的指向 Github靜態託管 的 CNAME 記錄，其他指向記錄不需要暫停。
   3. 僅需要暫停指向 Github靜態託管 的 CNAME 記錄，其他記錄不需要暫停。

3. 單擊添加記錄添加A記錄&AAAA記錄指向 Github 靜態託管的 IP 地址，以避免影響站點正常訪問。

   說明：

   1. 暫停哪些主機記錄就為哪些主機記錄添加 A 記錄 & AAAA 記錄，其他主機記錄不需要添加。
   2. Github 靜態託管的 IP 地址為：

      IPv4	IPv6（可選）
      185.199.108.153	2606:50c0:8000::153
      185.199.109.153	2606:50c0:8001::153
      185.199.110.153	2606:50c0:8002::153
      185.199.111.153	2606:50c0:8003::153

   3. 任選一個 IP 地址添加即可，不需要添加所有 IP 地址：

4. 待證書籤發後刪除添加的 A 記錄 & AAAA 記錄，單擊已暫停的 CNAME 記錄右側的開啟按鈕恢復原有解析。

很多朋友可能會發現，在添加 CNAME、MX、NS 等記錄的時候，記錄值後面通常會自動補充一個”.”（如下圖），那為甚麼會自動添加這個”.”呢？

為甚麼會自動添加”.”呢？

DNS 命名空間結構

要知到答案，那首先我們應該了解一下 DNS 的層次結構，域名空間實際上是一個樹狀結構（大概像下圖），在這個“樹”中任何一個節點完整的域名都是從root到該節點路徑上所有標籤的逆序組合，或從該節點到root路徑上所有標籤的順序組合，中間以”.”分隔。

以本站首頁域名為例，從”r2wind”到根域名”root”，所以該節點完整的域名則為”r2wind.com.”（最後面的”.”代表 root，實際上是以”.”和一個空標籤結尾的），但為了方便通常寫成一個單獨的”.”這種寫法也被稱為完全限定域名 (FQDN) 。

只不過平時在訪問的時候，我們通常不會寫成”r2wind.com.”這種形式，而是直接寫成”r2wind.com”，但是在解析系統中這個點是不允許被省略的，不然可能會出現一些奇奇怪怪的問題，當然最重要的是要符合RFC的相關規範。

有關 RFC 的詳細訊息，可訪問互聯網工程工作組 (IETF) 的官網查看：IETF | Internet Engineering Task Force

遞歸 DNS 解析過程

估計到現在大家可能還可能有點懵，那我們再來看看遞歸 DNS 解析過程，來幫助大家的理解：
下面是一個完整的遞歸 DNS 解析過程：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50

rttw@Kincaid:~$ dig www.r2wind.com +trace

; <<>> DiG 9.19.4-1+0~20220818.83+debian11~1.gbp3f0f1b-Debian <<>> www.r2wind.com +trace
;; global options: +cmd
.                       0       IN      NS      f.root-servers.net.
.                       0       IN      NS      e.root-servers.net.
.                       0       IN      NS      j.root-servers.net.
.                       0       IN      NS      i.root-servers.net.
.                       0       IN      NS      g.root-servers.net.
.                       0       IN      NS      b.root-servers.net.
.                       0       IN      NS      d.root-servers.net.
.                       0       IN      NS      h.root-servers.net.
.                       0       IN      NS      c.root-servers.net.
.                       0       IN      NS      k.root-servers.net.
.                       0       IN      NS      l.root-servers.net.
.                       0       IN      NS      m.root-servers.net.
.                       0       IN      NS      a.root-servers.net.
;; Received 432 bytes from 192.168.192.1#53(192.168.192.1) in 859 ms
# 遞歸返回根域名伺服器的 NS 記錄

cn.                     172800  IN      NS      a.dns.cn.
cn.                     172800  IN      NS      d.dns.cn.
cn.                     172800  IN      NS      e.dns.cn.
cn.                     172800  IN      NS      c.dns.cn.
cn.                     172800  IN      NS      b.dns.cn.
cn.                     172800  IN      NS      ns.cernet.net.
cn.                     172800  IN      NS      g.dns.cn.
cn.                     172800  IN      NS      f.dns.cn.
cn.                     86400   IN      DS      57724 8 2 5D0423633EB24A499BE78AA22D1C0C9BA36218FF49FD95A4CDF1A4AD 97C67044
cn.                     86400   IN      RRSIG   DS 8 1 86400 20220920040000 20220907030000 20826 . Pir1xOUL//xWJtc9ey7zZJDmwSPnXHGGLTHpxxuOKwxchQkQvoSYGtCG L6YrRWEpFputpuFpK3DvPCbtPZQMje1Mr2H4vT7nZ47ht0Xr2brWSDlR maELk8iKsuNYwoJ3fL75yn1N0jEABxnYFfo9r4Pp0nfN0XVAIHvAiGE8 nhEFSmmmEZidrLfPT84+QKeXOc8fotDme/Byi5F3Uc3IRu8mq7BE/N/+ 4nXAVgXbWhO9/ULnlAK76bFqoz0qZmvrcrmSB08K//QVG4io+4nbpFyl dUlziRCAiT6h7L6WwK9XDBeWNhSMptvYJRVS01rC2X7OWqKvnU2fL/Bs FYzCSg==
;; Received 708 bytes from 202.12.27.33#53(m.root-servers.net) in 99 ms
# 根域名伺服器返回 cn 域名的 NS 記錄

;; UDP setup with 2001:dc7::1#53(2001:dc7::1) for www.r2wind.com failed: network unreachable.
;; UDP setup with 2001:dc7::1#53(2001:dc7::1) for www.r2wind.com failed: network unreachable.
;; UDP setup with 2001:dc7::1#53(2001:dc7::1) for www.r2wind.com failed: network unreachable.
r2wind.com.              86400   IN      NS      ns3.dnsv4.com.
r2wind.com.              86400   IN      NS      ns4.dnsv4.com.
3QDAQA092EE5BELP64A74EBNB8J53D7E.cn. 21600 IN NSEC3 1 1 10 AEF123AB 3QHKTF6LTFG8AAFUUAJSR8RVAJP99SFU NS SOA RRSIG DNSKEY NSEC3PARAM
3QDAQA092EE5BELP64A74EBNB8J53D7E.cn. 21600 IN RRSIG NSEC3 8 2 21600 20220929034902 20220830024902 38388 cn. nQpTOptIW40mn9r1uPSO/yIvyEcdfV/zhfXVU/nZptRs+gDk8MYnqO7c i3yXB2XYzZFXM3ofDWXIJHgHq42agy02zSkDKN3XabB0Y6F2Oy3FhFBP O5fNM97I5Nu1NEE2ZZ5XyGAfMZyNhjsOry66+56C4s/Dlu1LcE151vey ecY=
8TF4MEBDESE2OSVH717D9VC1F7BFN1VI.cn. 21600 IN NSEC3 1 1 10 AEF123AB 8TKMCNJ923RR3GI4UAK4FF8RHB788CNF CNAME RRSIG
8TF4MEBDESE2OSVH717D9VC1F7BFN1VI.cn. 21600 IN RRSIG NSEC3 8 2 21600 20220929034902 20220830024902 38388 cn. MgMG/eoy7e3ugs4TjsTxf5Ji9mvFsYYJpM+e4LayayDIMzs3JpkdKgEn ba3BmaaKclE6aDe8iL0uYSNiUMRgfMJb10yg066tDn+6bQH7BHl0paNY REZMB/+idFumyB3icj+JjCxrQe7j2fPp6aQUv3VBaEVLrp22XbnWZsbx scI=
;; Received 608 bytes from 202.112.0.44#53(ns.cernet.net) in 29 ms
# cn 域名伺服器返回 r2wind.com. 的 NS 記錄

www.r2wind.com.          600     IN      A       120.78.190.225
r2wind.com.              86400   IN      NS      ns4.dnsv4.com.
r2wind.com.              86400   IN      NS      ns3.dnsv4.com.
;; Received 112 bytes from 1.12.0.25#53(ns3.dnsv4.com) in 39 ms
# r2wind.com 域名伺服器返回 www.r2wind.com. 的 A 記錄

由上面一大串的流程中可以看到查詢是從根開始進行查詢的，然後根據返回的各個域名 NS 記錄進行查詢，直到查詢到最終的 A 記錄。

可能你會好奇，為甚麼要有根？

根的主要作用是管理互聯網的主目錄。可以設想一下，如果沒有根，以查詢 tencent.com 為例，在查詢解析的時候你得先找到 com 的 NS 記錄及其對應的 IP 地址，然後才能獲取到 tencent.com 的 NS記錄 繼續進行遞歸查詢。

不知道這裏會不會有人說那我挨個獲取就好了，何必需要根呢？
不得不說這是個好問題，但理想很豐滿，現實很骨感，目前全球共有1591個 TLD ，你可以試想一下，你獲取這些 TLD 的 NS 記錄需要多長時間，而且這些 TLD 的 NS 記錄是不斷變化的，如果你要想自己維護的話，頭大不說，還可能會有很多隱患。交給根他不香嘛？

域名分級

提到這裏，那我們再說說域名分級，我們平時能註冊到的域名到底是幾級域名呢？

答案是二級。

那域名究竟是如何分級的？
回到上面的樹狀圖，我們可以看到，root 下面有若干個頂級域名，例如：cn、com、org、edu等等，這些被稱為頂級域名或者一級域名；這些頂級域名下面又分為若干個二級域名，以 cn 為例，下面有若干個二級域名，例如：dnspod、r2wind，而二級域名下面可能又會分為若干個三級域名，以 dnspod 為例，下面又分為了若干個三級域名，例如：www、docs、console 等等，以此類推，這就是域名的分級。

總結一下域名分級規則：

• 頂級域名（TLD）：頂級域是root的子域，例如：com；
• 一級域名（FLD）：一級域也是root的子域（一級域和頂級域是同一個概念）；
• 二級域名（SLD）：二級域是一級域的子域，例如：tencent.com是 com 的子域；
• 依此類推…..

加”.”會影響解析嘛？

仔細看看上面的解析過程，除了一開始輸入命令的時候後面沒有”.”，剩下其他域名哪個後面沒有”.”呢？
在 DNS 中，加”.”不會影響解析，但是不加”.”可能就是另一個故事（事故）啦。所以當你設置相關的紀錄不能解析的時候，別再怪後面自動加了”.”，找找其他的原因吧。

下面是一個有趣的例子，我查詢的是 me，卻返回了 me.r2wind.com的 A 記錄：

1
2
3
4
5
6
7

root@Kincaid:~# nslookup me 8.8.8.8
Server:         8.8.8.8
Address:        8.8.8.8#53

Non-authoritative answer:
Name:   me.r2wind.com
Address: 106.52.72.124

這是因為我設置了主機的本地域名，所以系統會自動在後面添加上 r2wind.com，但當我在查詢 me 加了”.”後，可以看到報錯了，如下：

1
2
3
4
5
6
7

root@Kincaid:~# nslookup me. 8.8.8.8
;; communications error to 8.8.8.8#53: timed out
Server:         8.8.8.8
Address:        8.8.8.8#53

Non-authoritative answer:
*** Can't find me: No answer

報錯的原因也很簡單，加”.”系統會認為你查詢的是一個完整的域名，這種情況下系統不會在後面添加本地域名，而是直接進行遞歸查詢，但 me 這個域是沒有解析 A/AAAA 記錄的，所以就會報錯。

這裏不知道會不會有人說頂級域哪有解析 A/AAAA 記錄的，感興趣的話你可以去訪問一下 http://ai./ 這個頂級域。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

root@Kincaid:~# dig ai. @8.8.8.8

; <<>> DiG 9.19.4-1+0~20220818.83+debian11~1.gbp3f0f1b-Debian <<>> ai. @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 15833
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;ai.                            IN      A

;; ANSWER SECTION:
ai.                     21600   IN      A       209.59.119.34

;; Query time: 319 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)
;; WHEN: Thu Sep 08 08:29:01 CST 2022
;; MSG SIZE  rcvd: 47

是不是有人想問域名 ai 的後綴是甚麼？是根 (root) 。

總結

好像說了好多廢話哈哈哈，總結一下吧：

• 不要覺得加”.”很奇怪，如果你覺得奇怪，建議抽空了解一下 DNS 相關的知識吧。
• 加”.”不會影響解析！加”.”不會影響解析！加”.”不會影響解析！——重要的事情說三遍
• 由於博主的水平有限，文章中可能會有一些錯誤，歡迎各位大佬批評指正。

參考

• RFC 1034
• RFC 1035
• Root Zone Database
• DNS and BIND, 5th Edition,by Cricket Lliu and Paul Albitz(O’Reilly).Copyright 2006, O’Reilly Media, Inc. ISBN: 0-596-10057-4.
• DNS 標準文檔

其他

附上一些區域文件：
https://www.internic.net/domain/db.cache
https://www.internic.net/domain/root.zone
https://www.internic.net/domain/arpa.zone
https://www.internic.net/domain/ip6.arpa.zone

近期有小伙伴反應使用騰訊企業郵箱向 Gmail 發送郵件遇到被退回的情況，退信提示中包含：550 5.7.26，協助排查了幾個case，發現原因基本都是沒有添加SPF記錄導致的，下面給大家分享一下排查解決方案：

前提條件

本教程僅適用於使用騰訊雲企業郵箱且域名託管在騰訊雲 DNSPod 的用戶，若您域名託管在其他服務商，此教程僅可做部分參考：

操作步驟

登錄騰訊雲 DNSPod 控制台

1、登錄 DNSPod 解析控制台，如下圖所示：

2、點擊對應的域名進入記錄詳情頁面，如下圖所示：

添加記錄

添加SPF記錄

說明：
1、發件人策略框架 SPF(Sender Policy Framework)：可用於指定發送郵件的伺服器，是一種廣泛部署且非常高效的垃圾郵件解決方案。
2、SPF記錄對於新手來講整體較為複雜，不建議大家自行編寫添加，請使用企業郵箱提供的模板添加。
記錄內容：
主機記錄：@
記錄類型：選擇TXT和SPF均可，建議選擇TXT（SPF記錄是TXT記錄的一種特殊形式）
記錄值（文本內容）：v=spf1 include:spf.mail.qq.com ~all
其他：未涉及到的保持默認即可

1、點擊”添加記錄”，按上述”記錄內容”進行填寫，如下圖所示：
界面一：

界面二：

2、填寫完成後點擊確認保存即可

添加DMARC記錄（可選）

說明：
1、DMARC（Domain-based Message Authentication, Authorization & Reporting）：是一種基於現有的SPF和DKIM協議的可擴展電子郵件認證協議，郵件收發雙方建立了郵件反饋機制，便於郵件發送方和郵件接收方共同對域名的管理進行完善和監督
記錄內容：
主機記錄：_dmarc
記錄類型：TXT
記錄值（文本內容）：v=DMARC1; p=none; rua=mailto:mailauth-reports@qq.com
說明：mailauth-reports@qq.com請替換成專用於接收您網域DMARC活動報告的郵箱地址，或者專門處理DMARC報告的第三方服務，若您不需要接收報告，請刪除”rua=mailto:mailauth-reports@qq.com“字段
其他：未涉及到的保持默認即可

1、點擊”添加記錄”，按上述”記錄內容”進行填寫，如下圖所示：
界面一：

界面二：

2、填寫完成後點擊確認保存即可

驗證記錄是否生效

驗證SPF記錄是否生效

1、打開 DNSPod 域名檢測工具，輸入域名後點擊檢測，如下圖所示：

2、下滑找到 DNS 服務商解析結果，點擊詳情，結果中包含”v=spf1 include:spf.mail.qq.com ~all”即可，如下圖所示：

驗證DMARC記錄是否生效

暫無法通過工具驗證，可在linux下使用dig進行驗證

1

dig _dmarc.+域名 txt

示例

1

dig _dmarc.r2wind.org txt

本文檔將指導您申請騰訊雲免費 SSL 證書且域名驗證方式為 DNS 驗證時，如何添加解析記錄以完成域名驗證。

前提條件

本文檔暫僅適用於解析託管在騰訊雲 DNSPod 、阿里雲、百度智能雲、華為雲、火山引擎的域名，後續將根據實際情況進行補充。

操作步驟

獲取驗證記錄

1、登錄證書管理控制台。
2、找到狀態為”驗證中”的證書，如下圖：

3、點擊”查看驗證”進入”驗證詳情”頁面，如下圖：

4、記錄主機記錄和記錄值，驗證完成前請不要關閉此頁面。

添加解析記錄

說明：
1、請嚴格按照”證書驗證詳情”頁面提示的主機記錄、記錄類型、記錄值進行填寫，記錄類型和記錄值直接複製黏貼對應輸入框即可，請勿篡改。
2、驗證界面未涉及到的解析線路、TTL的內容請保持默認，不要自行修改。
4、完成添加記錄10分鐘後返回到”驗證詳情”頁面，點擊”查看域名驗證狀態”。

DNSPod

1、登錄DNSPod 解析控制台，如下圖：

2、點擊對應的域名，進入解析詳情頁面→點擊”添加記錄”，並按照”證書驗證詳情”頁面提示的主機記錄、記錄類型、記錄值進行填寫選擇，如下圖：
界面一：

界面二：

3、點擊”確認”保存。

阿里雲

1、登錄阿里云云解析控制台，如下圖：

2、找到對應的域名，並點擊”解析設置”進入解析詳情頁面→點擊”添加記錄”，並按照”證書驗證詳情”頁面提示的主機記錄、記錄類型、記錄值進行填寫選擇，如下圖：

3、點擊”確認”保存。

百度智能雲

1、登錄百度 DNS 智能雲解析控制台，如下圖：

2、找到對應的域名，點擊”解析”進入解析詳情頁面→點擊”添加解析”，並按照”證書驗證詳情”頁面提示的主機記錄、記錄類型、記錄值進行填寫選擇，如下圖：

3、點擊”確定”保存。
4、完成添加記錄10分鐘後返回到”驗證詳情”頁面，點擊”查看域名驗證狀態”。

華為雲

1、登錄華為雲解析控制台，如下圖：

2、找到對應的域名，點擊”管理解析”進入解析詳情頁面→點擊”添加記錄集”，並按照”證書驗證詳情”頁面提示的主機記錄、記錄類型、記錄值進行填寫選擇，如下圖：

3、點擊”確定”保存。

火山引擎

1、登錄火山引擎-TrafficRoute 套件-雲解析 DNS，如下圖：

2、點擊對應的域名進入解析詳情頁面→點擊”添加記錄”，並按照”證書驗證詳情”頁面提示的主機記錄、記錄類型、記錄值進行填寫選擇，如下圖：

3、點擊”確定”保存。

本文檔將指導您如何在Windows11系統接入DNSPod Public DNS （DoH方式）。

說明：本文檔方式二也適用於Windows10和Windows server 2022系統，但設置界面與本文檔描述可能存在差異

操作步驟

獲取配置訊息

說明：若您使用公共解析 Public DNS 基礎服務請跳過該步驟，專業版和基礎服務區別請參見常見問題

1、登錄DNSPod管理控制台，單擊側邊欄【公共解析】→【我的配置】。
2、在【使用專屬配置】頁簽中即可獲得DNS over HTTPS專屬地址：

配置DNSPod公共解析（DoH）

1、在開始菜單中打開【設置】，單擊【網絡和Internet】→【屬性】。

2、在屬性頁面中找到【DNS伺服器分配】，單擊右側的【編輯】按鈕。

3、在彈出的【編輯網絡DNS設置】窗口中選擇手動，並開啟IPv4配置。

4、下面請根據實際情況選擇方式一或方式二進行配置

方式一：

1、在【編輯網絡DNS設置】→【首選DNS】中填入1.12.34.56，在【DNS over HTTPS】選擇【開(手動模板)】，在【DNS over HTTPS模板】填入上述步驟獲得到的DNS over HTTPS專屬地址。如下圖所示：

說明：
1、若您使用公共解析 Public DNS 基礎服務請在【首選DNS】和【備選DNS】分別填入1.12.12.12和120.53.53.53，在兩處【DNS over HTTPS模板】全部填入https://doh.pub/dns-query
2、若您的設置界面無法找到【DNS over HTTPS模板】請參見方式二。

2、單擊【保存】退出，即可完成 Windows 11 系統接入 Public DNS(DoH方式）。

方式二：

1、在【開始菜單】中搜索【終端】右鍵單擊【終端】並選擇以管理員身份運行。

2、在終端中輸入以下命令：

1

netsh dns add encryption server=1.12.34.56 dohtemplate=上述步驟獲得到的專屬地址 autoupgrade=yes udpfallback=no

PS：若您使用公共解析 Public DNS 基礎服務請分別運行以下命令：

1
2

netsh dns add encryption server=1.12.12.12 dohtemplate=https://doh.pub/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=120.53.53.53 dohtemplate=https://doh.pub/dns-query autoupgrade=yes udpfallback=no

說明：若成功則終端界面不會返回任何訊息，若失敗則會返回錯誤訊息。

3、在【編輯DNS設置】→【首選DNS】中填入1.12.34.56，在【首選的DNS加密】中選擇【僅加密（通過HTTPS的DNS）】

說明：
若您使用公共解析 Public DNS 基礎服務請在【首選DNS】和【備選DNS】分別填入1.12.12.12和120.53.53.53，並在兩處【首選的DNS加密】中全部選擇【僅加密（通過HTTPS的DNS）】

4、單擊【保存】退出，即可完成 Windows 11 系統接入 Public DNS(DoH方式）。

後續說明

1、操作過程中有任何疑問請加入官方用戶群尋求幫助，加群方式請前往控制台查看：傳送門
2、若您後續需要刪除通過方式二添加的加密DNS請在終端中運行以下命令：

1

netsh dns delete encryption server=DNS伺服器IP

3、若您需修改請在刪除配置後重複方式二的添加命令。
4、若您需要查看其他接入方式請訪問官方文檔

DNSSEC對權威dns提供給遞歸DNS的解析數據來源進⾏認證，可有效保護權威DNS和Local DNS之間數據不被攻擊篡改，確保解析結果的真實與可靠性。本文以域名解析託管在DNSPod為例，其他平台可參考本文或諮詢對應平台客服。

前提條件

目前DNSPod DNS僅支持付費套餐（任意版本）使用DNSSEC，使用DNSSEC前請購買合適版本的解析套餐。

操作步驟

開啟並獲取DNSSEC配置訊息

登錄DNSPod解析管理控制台

進入詳情域名頁面

單擊需要設置DNSSEC的域名進入解析詳情頁面

開啟DNSSEC

在”域名設置”中找到DNSSEC並點擊”立即啟用”

獲取配置訊息

在彈出的窗口中即可看到相關的配置訊息（如下圖），請根據提示的訊息前往對應的域名註冊商進行配置，配置完成後後點擊”確定”即可，下文將介紹愛名網(22.cn)、HKDNR、GoogleDomains、AWSRoute53註冊域名配置方式

PS:在域名註冊商配置完成後一定要回來點確定！！！

配置DNSSEC（DS）記錄

愛名網（22.cn）配置DS記錄

登錄會員中心

登錄愛名網會員中心

進入域名詳情

在”我的域名”中單擊需要設置的域名進入域名詳情

配置DS記錄

1、進入詳情頁面後點擊DNSSEC管理後單擊添加記錄

2、在彈出的窗口中根據提示填寫解析控制台的給出的配置訊息，並點擊”確認設置”保存即可

PS:配置完成後記得回解析控制台點確定！！！

HKDNR配置DS記錄

登錄域名管理

登錄HKDNR域名管理界面[https://www.hkdnr.hk/apps/login?lang=cn]

點擊管理

配置DS記錄

1、單擊DNSSEC選項後的off

2、在彈出的確認框中點擊”YES”

3、根據解析控制台的配置訊息及頁面提示進行填寫，Algorithm請選擇13，Digest Type請選擇2，填寫完成後點擊添加

4、勾選方格並點擊”更新”

5、看到”Update Success”即表示已經成功

PS:配置完成後記得回解析控制台點確定！！！

GoogleDomains配置DS記錄

登錄到GoogleDomains

登錄到GoogleDomains並找到我的域名

進入域名詳情

找到需要設置的域名，點擊管理進入域名詳情界面

配置DS記錄

1、點擊”DNS”，找到DNSSEC並點擊管理記錄

2、根據解析控制台的配置訊息及頁面提示進行填寫，填寫完成後點擊保存

PS:配置完成後記得回解析控制台點確定！！！

AWSRoute53配置DS記錄

登錄Route53控制台

登錄Route53控制台(https://us-east-1.console.aws.amazon.com/route53/home#DomainListing:)找到註冊域

進入域名詳情

在註冊域頁面點擊對應的域名進入詳情頁面

配置DS記錄

1、點擊”管理密鑰”配置DS記錄

2、在彈出的窗口處根據解析控制台的配置訊息及頁面提示進行填寫，完成後點擊添加即可

PS:
1、添加後在未來幾分鐘仍然會顯示已禁用，直到您收到通知郵件，請耐心等待。
2、配置完成後記得回解析控制台點確定！！！

智能全局流量管理（Intelligence Global Traffic Manager），簡稱IGTM，它可以幫助用戶實現應用（例如：網頁應用、直播、點播）的網絡健康檢查，並根據檢測結果實現故障隔離和流量調度切換。也可根據用戶地理位置或延遲實現流量的智能調度，從而實現各區域用戶的就近接入。本文以通過DNS（IGTM）實現邊緣節點智能調度為例進行演示。

適用場景

需根據用戶地理位置將流量調度到適合的邊緣節點，並實現故障節點的自動剔除&將流量分攤至不同的負載均衡節點，提升用戶的訪問體驗的客戶。

例如：CDN、直播、點播、手機（應用分發/更新、系統升級等）、遊戲（資源更新/分發）、大型網站等。

場景需求描述：

說明：
下述描述、圖片僅為本案例中涉及到的相關場景、需求、節點分佈，僅供參考，實際使用中請根據需要自行調整，或諮詢您的客戶經理獲取專屬方案。

場景描述

• 客戶為提升全球用戶訪問體驗，通過在全球各地域部署多台邊緣節點的方式來提升用戶訪問速度和穩定性。

需求描述

1. 根據客戶地理位置或延遲返回不同地域的節點IP，並自動剔除故障邊緣節點；
2. 當自建CDN節點可用性較低或不可用時切換到第三方CDN廠商提供服務；

節點分佈

前提條件

• 已開通智能全局流量管理（IGTM）使用權限，IGTM暫僅支持白名單內測用戶使用，將逐漸開放使用，DNS尊享版用戶請聯繫您的客戶經理諮詢使用。
• 具備部署邊緣節點的技術能力。

操作步驟

第1步：購買實例

使用前需前往購買頁購買實例套餐或使用系統贈送的體驗版套餐。

注意：

1. 一般來講體驗版套餐可以滿足個人用戶的需求；
2. DNS尊享版版用戶無需購買套餐，請聯繫您的客戶經理諮詢使用；

第2步：初始化實例

步驟1：單擊立即前往進行基礎設置

步驟2：選擇自定義創建

建議選擇”自定義創建”，該方式相比引導創建更加方便快捷

步驟3：配置業務基礎訊息

配置相關訊息後點擊”確認”保存即可

第3步：創建資源組

創建自建CDN節點資源組（需求1）

請將節點IP按不同地域分別新建到不同的資源組內，以便配置監控任務和訪問策略。

步驟1：單擊新建資源組

步驟2：配置資源組基礎訊息和資源列表

工作模式說明：
智能返回：默認選擇，按照檢查結果進行資源的加入或剔除。
永遠在線：該模式將認為該資源永遠處於正常狀態。探測任務將不進行檢查並且不會進行資源的剔除。
永遠離線：該模式將認為該資源永遠處於異常狀態。探測任務將不進行檢查並且不會進行資源的加入。

步驟3：配置監控任務

完成上述配置後單擊”確認”保存即可

檢查協議說明：
HTTP(s)：傳送門
TCP：傳送門
PING：傳送門

步驟4：重複前三個步驟創建其他地域資源組

創建第三方CDN資源組（需求2）

步驟1和步驟3與上述創建資源組方式相同，由於本案例中第三方CDN服務商接入方式為域名接入，故在上述創建CDN資源組步驟2基礎上資源組類型選擇”域名”

說明：
不同CDN廠商提供的接入方式存在一定的差異，請根據對應的接入方式選擇不同的資源組類型，詳情請諮詢您的CDN廠商。

完成資源組創建

第4步：配置訪問策略

注意：

1. 根據”需求1”的兩種不同的要求，故本文會配置兩種訪問策略以便演示，在實際使用中請大家根據自己實際需求選擇其中一種進行訪問策略的配置。
2. “按延時返回”受監控節點分佈所限，在地域資源調度方面可能會不如”按地理位置返回”精準，請大家謹慎使用。
3. “按延時返回”和”按地理位置返回”不可同時啟用。

按地理位置返回

步驟1：點擊新建訪問策略

步驟2：配置策略名稱和訪問線路

說明：
配置默認線路是保障服務的基礎，當用戶的線路未配置或無法識別時，將通過根據解析線路的優先級進行返回，詳情請見：新建訪問策略為甚麼需要配置默認線路來源？。

步驟3：配置對應的資源組和相關策略

Tips:
配置默認線路的資源時建議根據用戶數量或節點網絡狀況進行配置，在本例中選擇用戶數量較多的”大陸用戶節點”進行兜底配置。

步驟4：保存策略

配置完成後點擊”提交”即可保存

步驟5：重複上述步驟創建其他地區訪問策略

重複步驟1-4創建其他地域的訪問策略

步驟6：完成創建

創建完成後即可查看，訪問策略有兩種視圖方式，分別為文本視圖和網絡視圖：

文本視圖

網絡視圖

按延遲返回

步驟1：切換至按延時返回窗口，並單擊新建策略

步驟2：配置策略名稱和主力地址池

步驟3：保存策略

配置完成後點擊”提交”即可保存

步驟4：配置備用地址池

由於按延時返回不支持”域名”類型，無法滿足需求描述中的需求2，故在此不配置備用地址池，實際使用中可根據需要配置備用IPv4地址池。

步驟5：完成創建

文本視圖

網絡視圖

步驟6：切換至按延時返回模式

單擊切換至”按延時返回”模式

第5步：將業務域名接入IGTM

說明：
本文以域名解析託管在DNSPod為例，若域名託管在其他廠商請前往對應廠商進行相關操作。

步驟1：打開並登錄解析控制台

打開並登錄解析控制台，找到並點擊對應的域名。

步驟2：添加解析記錄進行接入

輸入相關訊息後點擊保存即可，至此完成接入：

說明：
主機記錄：根據業務需要進行填寫;
記錄值：請前往IGTM實例頁面獲取，如下圖所示：

TTL：根據實際需要填寫，本例中以”120”為例;

效果展示

延時測試

數據來源於IPIP.NET

資源不可用告警/恢復提醒

當資源不可用或資源恢復後可在配置的消息接收渠道收到對應的告警或恢復提醒

資源不可用告警

資源恢復提醒

故障資源隔離

其他

其他包括監控統計、告警日誌……等可自行前往控制台查看。

常見問題

• IGTM是甚麼？

  可以將IGTM理解為D監控的升級版本，是一款更加專業的解析流量調度產品，相比D監控其功能更多、性能更優、可監測協議更多、監測節點覆蓋更廣，但對於新手小白來講入門較為困難，詳細產品介紹請點擊：傳送門。

• IGTM的應用場景？

  IGTM應用場景主要包含以下幾個大類：主備容災、應用多活、負載均衡、訪問加速，適用於對解析穩定性、流量調度有高標準要求的用戶，如電商、金融、CDN、直播、點播等相關行業的用戶，詳細介紹請點擊：傳送門。

• 其他

  若使用中遇到任何問題可查看官方文檔或加入官方用戶群尋求幫助:

  官方文檔：傳送門

  官方用戶群：傳送門

限制說明

• 智能全局流量管理（IGTM）單個實例目前僅支持綁定單個域名（包括子域名）。
• 其他限制：更多限制說明請查看智能流量管理限制說明。

一個由JINZE YANG運營的個人和實驗網絡,目前在阿姆斯特丹、巴黎、莫斯科、新加坡、香港、西雅圖、邁阿密均有節點。

聯繫&投訴

您可通過yjz@r2wind.org與我聯繫，或whois訊息中的其他郵箱。

對等互聯

暫時不考慮進行任何對等互聯，還在折騰ing，較不穩定。

AS205794

A personal and experimental network operated by JINZE YANG, It has PoPs in Amsterdam, Paris, Moscow, Singapore, Hong Kong, Seattle and Miami.

Contact & Abuse

You can contact me at yjz@r2wind.org.

Peering

I’m not considering any peering for now, due to various experiments still going on.

Other

@BGP.Tools|@HE|PeeringDB

本來很早就想寫這篇文章了，但一直沒有機會，藉着今次Lighthouse徵文的機會順便寫一下，怎麼購買Lighthouse服務在這裏就不再多說了，去騰訊雲官網秒殺頁面購買即可，這裏不再過多介紹了,本文系統鏡像為Debian11.1,其他系統環境請勿參考本教程（PS：尤其是新手~）

關於Caddy

一個簡單，輕量，且對新手友好的web伺服器，甚至可以自動幫你部署SSL證書，對於新手來說相對友好。

PS:不過我現在並不用它了，Caddy當前版本對HTTP/3支持存在一定的問題，所以我現在使用Nginx-quic了，哪天有機會再另寫教程~

安裝Caddy

配置軟件源

安裝必要依賴：

1

apt install -y debian-keyring debian-archive-keyring apt-transport-https

安裝密鑰及鏡像源：

1
2

curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo tee /etc/apt/trusted.gpg.d/caddy-stable.asc
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

最後更新軟件源並安裝Caddy即可：

1
2

apt update
apt install caddy

看到如下提示就完成啦：

配置Caddy

創建網站及證書目錄

創建證書目錄

其實Caddy可以自動申請證書的，不過如果你要用自己的證書就需要創建一個文件夾來證書啦~

1
2

cd /etc/ssl
mkdir caddy

創建網站目錄

1
2
3
4
5

cd /
mkdir www
cd www
mkdir wwwroot
mkdir log

其中wwwroot用了放置網站根目錄，log用來存儲網站日誌。

賦予權限

1
2

sudo chown -R www-data:root /www
sudo chmod 0777 /www/log

編輯Caddy配置文件

Caddy的配置文件Caddyfile在/etc/caddy中，可以下載後編輯完再上傳或直接用vim來進行編輯，看個人喜好，Mobaxterm軟件左側其實是個文件瀏覽器，可以在此處進行文件的瀏覽和上傳下載，下面是一份示例文件，更多使用方法請參考官方文檔:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97

// 此處的配置是用來支持HTTP3的,若不需要刪除即可
{
servers {
protocol {
experimental_http3
}
}
}
// 一個普通的網站示例，r2wind.com替換成你喜歡的域名
r2wind.com {
  // 此處配置網站根目錄，請將頁面文件上傳至網站根目錄
root * /www/wwwroot/r2wind.com/public
  // 配置SSL證書路徑，若不配置，Caddy會幫你自動申請並配上
tls /etc/ssl/caddy/r2wind.cn.crt /etc/ssl/caddy/r2wind.cn.key
  // 自定義錯誤頁文件，若不需要刪除即可
handle_errors {
rewrite * /{http.error.status_code}.html
file_server
}
  // 日誌保存路徑，如不需要保存訪問日誌可刪除
log {
output file /www/log/r2wind_com.log
}
  // 開啟Gzip壓縮，若不需要可刪除
encode gzip
file_server
  // 用來添加響應頭
header {
    // 禁用了客戶端的 MIME 類型嗅探行為，若不需要請刪除
X-content-type-tptions nosniff
    // 拒絕嵌入其他網站，若不需要請刪除
X-frame-options DENY
    // HSTS響應頭，若不需要請刪除
Strict-Transport-Security max-age=63072000;includeSubDomains;preload
}
}
// 一個反向代理示意配置
yjz.hk {
  // 指定代理網頁訪問地址https://xx.r2w.dev
reverse_proxy https://xx.r2w.dev {
    // 指定請求域名hk.r2w.dev
header_up Host {hk.r2w.dev}
}
  // 下面的配置在上面已經介紹過了，這裏不再過多贅述
tls /etc/ssl/caddy/r2wind.cn.crt /etc/ssl/caddy/r2wind.cn.key
handle_errors {
rewrite * /{http.error.status_code}.html
file_server
}
log {
output file /www/log/yjz_hk.log
}
encode gzip
file_server
header {
X-content-type-tptions nosniff
x-xss-protection: 1; mode=block
Strict-Transport-Security max-age=63072000;includeSubDomains;preload
}
}
// 一個重定向示例配置
www.yjz.hk {
  // 指定重定向後的網站地址並攜帶相關參數
redir https://yjz.hk{uri}
}
// 一個多域名重定向示例配置，多個域名記得用","隔開，逗號後記得先打空格再輸入域名
dnstest.cc, www.dnstest.cc, r2wind.net, www.r2wind.net {
redir https://r2wind.cn
}
// 一個多域名網站示例配置，和普通網站配置一樣，只不過多了幾個域名
r2wind.com，r2wind.net, r2wind.cn {
  // 此處配置網站根目錄，請將頁面文件上傳至網站根目錄
root * /www/wwwroot/r2wind.com/public
  // 配置SSL證書路徑，若不配置，Caddy會幫你自動申請並配上,注意：此處最好不要指定SSL證書，除非你的證書是多域名的
tls /etc/ssl/caddy/r2wind.cn.crt /etc/ssl/caddy/r2wind.cn.key
  // 自定義錯誤頁文件，若不需要刪除即可
handle_errors {
rewrite * /{http.error.status_code}.html
file_server
}
  // 日誌保存路徑，如不需要保存訪問日誌可刪除
log {
output file /www/log/r2wind_com.log
}
  // 開啟Gzip壓縮，若不需要可刪除
encode gzip
file_server
  // 用來添加響應頭
header {
    // 禁用了客戶端的 MIME 類型嗅探行為，若不需要請刪除
X-content-type-tptions nosniff
    // 拒絕嵌入其他網站，若不需要請刪除
X-frame-options DENY
    // HSTS響應頭，若不需要請刪除
Strict-Transport-Security max-age=63072000;includeSubDomains;preload
}
}

重新加載配置文件

1

systemctl reload caddy

若配置沒錯則回車後不會出現任何提示

效果展示

這裏就不展示了哈哈哈，將網站文件上傳至網站根目錄修改一下配置的文件重加載Caddy就好啦，然後配置域名解析後訪問對應的域名即可。

2022年03月03日22:00:00起，TrustAsia 根證書籤發由 Digicert 根證書變更為 Sectigo 根證書後,有部分同學在Windows Server IIS上部署證書時會遇到”證書鏈中的一個或多個中間證書”的提示，下面簡單記錄下問題的解決辦法。

下載對應算法的中間證書

注意：下載前請確認證書加密算法。

查看證書加密算法

登錄騰訊雲SSL證書控制台查看，一般為RSA。

下載

可點擊下方傳送門直接下載：
RSA格式：傳送門
ECC格式：傳送門

PS：請將證書下載至伺服器或下載後複製到伺服器

安裝中間證書

在伺服器雙擊打開中間證書並點擊安裝證書

存儲位置選擇本地計算機

選擇存儲位置

點擊”將所有的證書都放入下列存儲”後點擊瀏覽選擇”中間證書頒發機構”後單擊下一頁

完成導入

確認訊息後單擊完成：

顯示導入成功即可：

本來打算去申請ASN+IPv6/44自己去配置一個Anycast，後來發現申請ASN的費用超出了預算（奈何囊中羞澀），所以只能轉向成本更低的BuyVM家的Anycast VPS。

準備階段

首先你購買三台他們家的VPS，分別位於盧森堡-歐洲，拉斯維加斯-美西，紐約或邁阿密-美東（我買的紐約）。

關於配置：任何配置的VPS都可以，只要你買得到（盧森堡經常會缺貨，我購買的時候到是很順利）。
關於位置：官方要求用戶在四個區域都要有VPS，但是或許兩台也可以？（我沒去試，但是一台肯定沒有甚麼意義
關於路由：官方介紹的是歐洲訪問者將被路由到盧森堡節點；美國訪問者將根據他們的位置分別路由到拉斯維加斯，紐約或邁阿密節點；亞洲的訪問者將被路由到拉斯維加斯節點，南美訪問者將被路由到邁阿密節點等。（PS：實際使用中並不一定是官方介紹的那樣，一般會根據路由表來選擇路由最近的節點）
關於DDOS防禦：可以提工單為AnyCast開啟DDOS保護，每月5.00美元，由Cloudflare Magic Transit提供支持。

進行階段

申請AnyCast IP

登錄Stallion控制台點擊”聯網(networking)”

點擊”Assign Anycast IP Addresses”,並選擇申請IP數量（每人最多五個）後點擊”Okay”

申請完成後即可看到剛剛申請的Anycast IP

配置AnyCast IP

登錄SSH編輯/etc/network/interfaces文件（用vim或者nano都可以，不過記得提前安裝對應的軟件；還有一種便捷的做法是將配置文件下載到本地編輯然後在上傳）
這裏以vim為例：

1

vim /etc/network/interfaces

按”i”編輯，編輯完按”ESC”並輸入”:wq”保存即可

配置文件示例：（注釋為了方便說明，實際配置中建議直接刪掉這極其潦草的注釋）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eth0
iface eth0 inet static
address         198.98.xxx.xx       # 公網IPv4地址                                                                                            
network         198.98.xxx.0        # 把公網IPv4地址最後一個點後面改成0即可                                                                                          
gateway         198.98.xxx.1        # 把公網IPv4地址最後一個點後面改成1即可                                                                                          
broadcast       198.98.xxx.255      # 把公網IPv4地址最後一個點後面改成255即可                                                                                        
netmask         255.255.255.0       # 默認即可                                                                                               

# IPv6配置，要是沒開啟IPv6把這部分注釋掉或者直接刪掉即可，address和gateway可在VPS控制台查看
auto eth0:v6
allow-hotplug eth0:v6
iface eth0:v6 inet6 static
address         2605:6400:10:58b::1 # VPS IPv6地址
gateway         2605:6400:0010::1   # gateway可在控制台網絡配置查看
netmask         48
      
# AnyCast IP配置      
auto eth0:anycast
allow-hotplug eth0:anycast
iface eth0:anycast inet static
address         198.251.86.138  # 更改為你的AnyCast IP
netmask         255.255.255.0   # 默認即可

配置完成後reboot重啟伺服器即可

1

reboot

注意：所有伺服器均需進行配置

驗證階段

可以通過多地點的在線traceroute或在線ping等方式來進行驗證是否完成配置，若配置錯誤會導致空路由或ping不可達。