分裂 DNS 对不上：内网名字在家里能开，接通线路后变成找不到

分裂 DNS 指同一个名字在不同的网络里给出不同答案。公司内网里，这个名字指向只在内网通的地址；在公网解析器上，它可能没有记录，或者指向官网。你在办公室不开线路时一切正常，回家后一接通线路，查询改走到公共解析，内网那条答案就消失了。浏览器于是显示找不到主机，或打开了一个完全不同的网站。

这和解析泄漏不是同一件事。泄漏是你本以为查询走隧道，其实仍被本地网络看见。分裂解析是服务器有意按来源给不同答案。下面用「指定向谁查询」把两种答案记下来，再决定名字该走内网解析还是跟随线路。不要为了一个内网名字把所有查询都改乱。

几种答案分别说明什么

先写下名字、你指定的解析器、返回的地址。少写解析器是哪一台，后面就会把「有意分裂」当成线路坏了。

把两次查询分开记：分步操作步骤

• 第一步：先把线路状态固定。若要比较接通前后，先连上刺猬VPN，记下现在是全局模式还是按域名和 IP 的智能分流，再开始查询。比较时不要切换。自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号。免费节点永久免费、不限流量、不限速。
• 第二步：在没接通线路、又连着公司网络时，向内网解析器查这个名字，把地址记下来。这是「在内网应有的答案」。
• 第三步：仍不接通线路，改向一台公共解析器查同一个名字，再记一条。两条不同，就是分裂，不是故障。
• 第四步：接通线路后再查一次，并看查询实际送到了哪一台。若送到公共解析，内网答案消失是预期结果。
• 第五步：只希望这一个内网名字继续问公司解析器，其他公网名字跟随线路。用系统或客户端里按域名分流的能力把这个名字留在内网侧，而不是把所有查询都改回内网。
• 第六步：若这个名字在公网也有一台正式网站，确认你要的是哪一台。要内网服务就留在内网解析；要公网就接受公共答案。不要让浏览器随机撞上一台。
• 第七步：地址变了之后若证书报不匹配，先停止登录。你可能打开了另一台服务器。对地址和证书名，而不是继续输入密码。
• 第八步：在第二台电脑上用同样的顺序测一次。只有一台电脑失败，查这台的残留解析设置；两台都失败，查线路把查询带走的方式。
• 第九步：把结论写成一句：这个名字必须问内网解析器。然后只为这个名字配置例外。没有这句话之前，不要改全局的解析地址。

按结果决定例外，而不是改全局

全局改解析地址会把所有网站一起带走，内网和外网会同时坏。

• 内网能解析、公共解析没有记录、接通后找不到：查询被带到了公共解析。给这个名字留内网解析器。
• 两边都有地址但不是同一个：分裂指向两台机器。先决定你要内网那台还是公网那台。
• 接通后打开了别的网站：公共答案指到了另一台。停下来对证书，不要登录。
• 只有办公室不接通时正常：你依赖内网解析。回家后要么连公司自己的远程接入，要么为这个名字保留内网查询，而不是指望公共解析长出内网地址。
• 公网网站在公司里打不开、回家能开：公司解析把它改写了。这是公司策略。个人线路不必为它反向修改。
• 改完例外仍是旧地址：本机还缓存着上一次答案。清掉这个名字的缓存再查，不要先重启整台电脑。
• 智能分流没包含这个名字：它跟随了全局线路的解析。把名字加进应走内网的规则后再测。
• 手机和电脑结果不同：手机用了另一套私有解析或另一条线路。分开记，不要用电脑的例外假设手机已经生效。

办公室、家里和手机各测一轮

办公室不接通线路时的答案是基线。没有这条基线，回家后的「找不到」无法判断是分裂还是名字真的废了。

家里接通线路后再测。若只想让公司门户走内网答案，就只把这个域名留在内网解析，视频和普通网站仍跟随线路。客户端的智能分流按域名和地址区分，适合这种「一个名字例外」。

不要把公司内网解析器设成所有设备的唯一解析。离开公司网络后，那台解析器根本问不到，于是所有网站一起失败。例外列表越短越好。

证书不对时立刻停。分裂解析最麻烦的后果不是打不开，而是打开了不该登录的那一台。看到地址和往常不同，就不要输入密码。

管理员如果改了内网地址，你笔记本里的例外仍指向旧的查询方式是对的，但缓存要清。先清这个名字，再决定例外还要不要留。

例外名单写成一张表：名字、应问的解析器、期望地址。接通线路后按表再查一遍。表上没有的名字不要临时加进内网。名单越长，离开公司时全挂的机会越大。

浏览器自己的安全解析若开着，会绕过系统里刚写的例外。出现「系统查到内网地址、浏览器仍打开公网」时，先看浏览器是否单独指定了解析。两边统一后再判断线路。

给同事排障时，把你查到的两个地址都发过去，并写明分别问的是哪一台。只发一个地址，对方会按错误的那台去改防火墙。

例外生效的标志，是接通线路之后这个名字仍返回内网地址，而旁边一个普通网站仍返回公网地址。两条同时变或同时失败，说明你改的是全局而不是例外。把全局改回去，只留这一条。

离开公司前用手机热点测一次例外。热点上若内网名字失败、普通网站仍开，说明例外依赖的内网解析器在外面问不到。这时应改走公司提供的远程入口，而不是在热点上继续改解析。

查询该走哪一边

对照查询几乎不耗流量。免费节点永久免费、不限流量、不限速，足够做接通前后的比较。需要每天进内网门户时，用时长套餐保持一条稳定出口，期间不限流量、不限速。实际可用性取决于当前网络环境。

和泄漏、加密查询怎么分工

如何判断查询是不是没按你想的那条路走，见 DNS 泄漏说明。泄漏是「走错了路」。本篇是「两条路本来就该有不同答案」。先用指定解析器证明答案不同，再谈有没有泄漏。

加密查询能减少本地网络看见你问了什么，见 DoH 与 DoT。加密不会创造内网才有的记录。内网名字仍要向内网那台解析器问，只是你要决定这条查询加密与否、以及会不会被线路带走。

常见报错速查表

高频问答

• 问：分裂 DNS 是故障吗？答：不是。它是有意让内外网看到不同地址。故障是你问错了那一台解析器。
• 问：接通线路后内网名字消失正常吗？答：查询被带到公共解析时正常。要把这个名字加回内网查询，而不是关掉整个线路。
• 问：能不能让所有查询都走公司？答：人在公司时可以。人在外面时，公司解析器往往不可达，所有网站会一起挂。只为例外名字这样做。
• 问：和泄漏怎么区分？答：指定内网和公共各查一次。答案不同就是分裂。你以为走隧道却仍被本地看见，才是泄漏。
• 问：加密查询能解决内网名字吗？答：不能凭空变出内网记录。它只改变查询是否被旁人看见。
• 问：证书不合是不是线路坏了？答：先看地址是不是变了。地址变了就不要登录。那是打开了另一台主机。

只把内网名字留在内网问

分裂 DNS 对不上，是因为同一个名字本来就有两份答案。先在内网解析器和公共解析器上各查一次并记下地址，再决定要哪一台。接通线路后只为例外名字保留内网查询，不要把全部解析改成内网那一台。证书和地址不一致时停止登录。

刺猬VPN采用 HTTPS+AES 加密，支持按域名和 IP 的智能分流，也可以全局接通。自定义用户名和密码即可匿名注册，不需要邮箱和手机号。免费节点永久免费、不限流量、不限速；时长套餐在有效期内不限流量、不限速。实际可用性取决于当前网络环境。