UD5工具箱
DoH和传统DNS（UDP 53端口）有什么区别？
传统DNS查询使用明文UDP/TCP协议在53端口传输，查询内容（包括您访问的所有域名）对网络中间人完全可见，容易被监控、篡改或劫持。DoH则将DNS查询加密在HTTPS隧道中，使用标准443端口，提供端到端的机密性和完整性保护。DoH能穿透大多数防火墙限制，在受限网络环境中也能正常工作，且与普通网页流量无异，难以被区分和屏蔽。
为什么同一个域名在不同提供商处查询结果不同？
这种情况通常由DNS缓存导致。不同DoH提供商的缓存策略和上游DNS服务器可能不同，导致同一域名的缓存更新时间存在差异。如果您刚修改了DNS配置，部分提供商可能仍在返回旧的缓存结果。建议等待TTL过期后再验证，或使用多个提供商交叉确认。一般DNS全球传播需要几分钟到48小时不等。
查询返回NXDOMAIN是什么意思？
NXDOMAIN表示该域名在DNS系统中不存在。可能的原因包括：域名拼写错误、域名尚未注册、域名已过期或被删除、域名的NS记录配置错误导致权威服务器无法响应。建议先检查域名拼写是否正确，然后确认域名是否在有效期内。如果域名确实存在但返回NXDOMAIN，需要联系域名注册商或DNS服务提供商排查。
如何选择合适的DoH提供商？
选择时可考虑以下因素：国内用户优先选择阿里云DNS或DNSPod以获得更低的延迟和更好的可达性；国际用户可选择Google DNS或Cloudflare DNS，它们在全球拥有广泛的节点分布；对隐私要求较高的用户可选择Cloudflare（承诺不记录用户IP）或Quad9（提供恶意域名过滤）；在部分网络环境下某些提供商可能不可用，本工具提供多个选项方便您测试和切换。
TTL值的含义是什么？对查询结果有什么影响？
TTL（Time To Live，生存时间）是DNS记录在缓存中可以保留的秒数。较长的TTL可以减少查询次数、加快解析速度，但也会延迟DNS配置变更的全球生效。较短的TTL使变更更快传播，但增加了DNS查询负载。在本工具的查询结果中，每条DNS记录都附带了TTL值，帮助您判断记录的缓存状态。修改DNS配置前，建议提前降低TTL以便变更更快生效。
查询返回SERVFAIL错误怎么办？
SERVFAIL表示DNS服务器在处理查询时遇到错误。可能的原因包括：上游DNS服务器临时故障、域名的权威DNS服务器不可达、域名DNSSEC签名验证失败、DNS服务器配置异常。建议首先尝试切换其他DoH提供商，如果所有提供商都返回SERVFAIL，说明问题出在域名本身的DNS配置上，需要联系域名管理方排查。
本工具是否支持DNSSEC验证？
本工具主要功能是通过DoH协议查询DNS记录并展示响应结果。DNSSEC验证由DoH提供商的服务器端完成。不同提供商对DNSSEC的支持程度不同：Cloudflare和Quad9提供DNSSEC验证能力，如果查询的域名启用了DNSSEC但签名无效，服务器会在响应中返回相关错误状态。本工具会如实展示服务器返回的响应状态，帮助您判断DNSSEC配置是否正确。
查询结果中的SOA记录包含哪些信息？
SOA（Start of Authority）记录是域名的授权起始记录，包含域名区域的管理信息。具体包括：主名称服务器（Primary NS）、管理员邮箱（格式为邮箱地址将@替换为点）、序列号（每次配置变更时递增）、刷新间隔（从服务器检查更新的频率）、重试间隔（刷新失败后的重试时间）、过期时间（从服务器数据过期时间）和最小缓存TTL。SOA记录是域名DNS配置的核心管理信息。
CAA记录对SSL证书有什么作用？
CAA（Certificate Authority Authorization）记录用于限制哪些证书颁发机构（CA）可以为该域名签发SSL/TLS证书。通过配置CAA记录，域名所有者可以指定授权的CA列表，防止未授权的CA为域名签发证书。例如，如果CAA记录仅指定Let's Encrypt，则其他CA将拒绝为该域名签发证书。这是一种增强域名安全性的重要手段，建议所有启用HTTPS的域名配置CAA记录。