夜里改完 DNS 全公司断网，先做哪几步止损

晚上十点半，夜里办公室只剩你和一台还没重启的改完公司路由器。半小时前你为了「让解析快一点」，断网把 DHCP 下发的步止 DNS 改成了某个公共地址，结果内网办公系统打不开，夜里财务共享盘也连不上。改完公司群里开始有人问「是断网不是网断了」。这时候最要紧的步止不是继续查文档，而是夜里承认当前配置已经不可用，先把服务恢复到变更前，改完公司再谈优化。断网

先停手：把最近一次改动当成第一嫌疑

DNS 设置出问题，步止典型特征是夜里「能上外网、打不开内网」或「时好时坏」。改完公司如果你刚改过 DNS，断网先不要叠加新改动，比如同时去动防火墙、改 hosts、换网关。多个变量一起变，回退时就说不清是哪一步救回来的。

具体动作是：找到变更记录或聊天记录，确认三件事——改的是哪台设备（路由器、域控、终端还是 DHCP 服务器）、改之前的值是什么、改动是否已经下发到客户端。很多人的失败点在于只改了路由器上的上游 DNS，却忘了 DHCP 下发的地址还是旧的，客户端要等租约续期才生效，于是误判「改了没用」，又去改第二遍。

如果一时找不到原值，先看有没有导出过配置备份，或者问一句当时一起操作的人。没有记录就不要凭记忆填一个「看起来像」的地址。停手的意义在于：DNS 是基础服务，错一个地址会让一大片应用连带失败，继续试错的代价比等十分钟更高。

回退顺序：先恢复解析，再恢复访问

止损不是把配置恢复成「大概对」，而是按依赖关系倒着退。建议顺序如下：

第一步，把 DNS 指回变更前的地址。如果原来是内网 DNS 服务器，就填回它的 IP；如果原来是运营商自动下发，就把 DHCP 的 DNS 选项改回自动获取。

第二步，让客户端真正拿到新配置。Windows 终端可以执行 ipconfig /release 再 ipconfig /renew，或者直接断开重连；也可以清一下解析缓存 ipconfig /flushdns。这一步不做，你会看到「服务器上已经改回来了，员工电脑还是打不开」的假象。

第三步，验证而不是感觉。用 nslookup 内网域名 看返回的是不是内网地址，用浏览器打开一个内网系统确认能登录。只看「能不能上网页」不够，因为公网解析可能一直是通的。

如果回退后内网域名仍然解析失败，问题可能不在你改的那个 DNS 上，而在内网 DNS 服务器本身没启动、区域记录缺失，或者客户端还指着别的 DNS。这时可以临时在单台机器上手动指定正确的内网 DNS 做对照，确认是「全局配置问题」还是「单机残留」。

换人判断：什么时候该叫网络或域管同事

有一个很实用的分界线：如果你在二十分钟内无法确认「原配置是什么」和「改动能下发到终端」，就该换人。DNS 设置怎么止损，核心不是逞强把整套解析链路摸透，而是让最熟悉这套环境的人接手。

该叫人的信号包括：内网有域控或专用 DNS 服务器，而你不确定转发器怎么配；公司有多条出口线路，DNS 走哪条链路不明确；改动涉及 DHCP 作用域，可能影响整个网段；以及最直接的——你已经回退过一次，故障现象没变化。

叫人时别只说「DNS 坏了」。给对方三样信息：改之前的地址、改之后的地址、现在哪些域名能解析哪些不能。再附上你执行过的回退动作。这样对方不用从头问一遍，能直接判断是缓存、租约还是区域配置的问题。

反例也常见：有人为了「先恢复上网」，把终端 DNS 改成公共 DNS，结果内网系统恢复了登录页却进不去数据库，因为内网域名被解析到了公网。看似止损，实际把故障从「全断」变成「半断」，排查成本更高。回退的目标是回到变更前的一致状态，不是随便找一个能上网的配置。

一份事后核对表，避免下次再慌

恢复之后，趁记忆还热，把下面几项记下来：变更设备的型号和登录方式；原 DNS 地址及备份文件位置；DHCP 是否也需要同步修改；受影响的域名清单；以及这次是谁在什么时间确认恢复的。下一次再碰 DNS 设置，先看这张表，比临时搜教程可靠。

如果反复在同一处失败，说明缺的不是操作步骤，而是环境说明。可以把内网 DNS 的职责写清楚：谁负责区域记录、谁负责转发、终端通过什么方式获取地址。写不清，就说明这块本来就该由更熟悉的人来管。

止损的终点不是「这次修好了」，而是「下次能更快判断该不该自己动手」。夜里改配置不可怕，可怕的是把回退也当成一次新的试错。