【VPS 网络极客与负载均衡 06】买了 VPS 还要配域名？DNS 解析上线全流程 2026

VPS 到手、网站也搭好了，结果浏览器输入 IP 能开、输入域名打不开——这是新手最常见的翻车现场。问题不在服务器，而在 DNS。域名解析是把「人话名字」翻译成「机器 IP」的那一层，配错了，前面所有努力都白搭。本文从买域名到解析生效讲透整条链路，并告诉你怎么用 Cloudflare 顺手把源站 IP 藏起来。

延伸阅读

更多相关攻略推荐：【购买指南 01】新手如何选购第一台 VPS：配置/线路/支付/退款、云服务变贵了怎么办？个人开发者与小微企业的"省钱/避坑"指南、刚买的 VPS 怎么连上去？SSH 新手教程（Windows / M、2026 决策指南：本地模型 vs 云 API 成本对比——你的 V、【AI自托管 01】2026 隐私优先 AI 栈：数据不出 VPS 。

整体流程：从域名到可访问

端到端就五步：买域名 → 拿到 VPS 公网 IP → 在 DNS 处添加 A/AAAA 记录指向 IP（或用 Cloudflare 接管 NS）→ 等解析生效 → Web 服务（Nginx / 1Panel / Caddy）绑定域名并配 SSL。额外提醒：国内 VPS 必须先把域名完成 ICP 备案，才允许用 80/443 对外提供网页，海外 VPS 则免备案直接解析即可。

这里先理清一个容易被绕晕的概念：「注册商」和「DNS 托管商」是两个角色。你在 NameSilo 买域名，但完全可以把 NS 改成 Cloudflare，让 Cloudflare 来管解析——域名的所有权还在 NameSilo，只是「翻译名字到 IP」这件事交给 CF。这带来一个好处：你可以在最便宜的注册商买域名，同时享受 Cloudflare 的免费 DNS + CDN，各取所长。后面所有操作，本质都是在「DNS 托管商」的后台改记录。

在哪买域名最划算（2026 实测）

注册价只是营销数字，续费价才是真实成本。2026 年主流 .com 价格对比：

• Cloudflare Registrar：$10.46/年，注册价 = 续费价（零加价、at cost），免费 WHOIS 隐私；代价是必须用 Cloudflare 的 NS，且部分小众后缀不支持。长期持有最值。
• NameSilo：首年 $8.39、续费 $11.99，免费隐私，带 API 和批量工具，持有多域名友好；满 100+ 域名走 Discount Program 可压到 $9.89。首年最便宜。
• Porkbun：$11.08/年（续费 $13.34），免费 SSL + 邮箱转发，体验最好。
• Namecheap：$11.28 / 续费 $18.48，老牌、市场齐全。
• GoDaddy：$11.99 / 续费 $19.99 还另收隐私 $9.99/年，最强推销、最贵，能躲就躲。三年总成本 $81.94，而 Cloudflare 只要 $31.32。

结论：长期持有选 Cloudflare（平价零加价），首年最便宜选 NameSilo，要体验选 Porkbun。务必警惕「首年 $0.99、续费 $18.99」的套路。

DNS 记录类型：建站必懂的几张表

• A 记录：域名 → IPv4，@ 和 www 指向 VPS 的 IPv4（最常用）。
• AAAA 记录：域名 → IPv6，VPS 有 IPv6 时一并配，2026 建议双栈。
• CNAME 记录：别名，指向另一个域名，例如 www → @（注意：根域名不能用 CNAME）。
• NS 记录：指定权威 DNS 服务器，接入 Cloudflare 时改这里。
• MX / TXT 记录：邮件 / SPF-DKIM-DMARC 验证，自建邮件或验证域名所有权时用。

关键坑：CNAME 不能放在 zone 顶点（根域名 @），这是 DNS 标准禁止的。根域名只能用 A/AAAA，子域名（www、blog）才能用 CNAME 指向根域名。最省事的做法：根和 www 都建 A 记录指向同一个 IP。如果强行给根域名设 CNAME，多数 DNS 服务商会直接报错或忽略，导致整站解析失败。

实操：用 Cloudflare 接管并隐藏源 IP

Cloudflare 免费版给到 DDoS 防护、300+ 节点 CDN、WAF 和 Bot 防护，对 VPS 站长几乎必接。流程如下：

• 1. 买域名：Cloudflare Registrar / NameSilo / Porkbun 均可。
• 2. 添加站点：Cloudflare 注册账号 → Add a Site → 输域名 → 选 Free 套餐。CF 会自动扫描现有记录，务必逐条比对旧 DNS，漏了 DKIM 或某个子域名就会变成故障。
• 3. 改 NS（最关键）：CF 给你两个 NS（如 ada.ns.cloudflare.com / rick.ns.cloudflare.com），去注册商后台删掉原 NS、粘贴这两个。注册商和 DNS 托管是分离角色——域名仍在原处注册，只把解析权交给 CF。生效 5 分钟到 24 小时。
• 4. 添加 A 记录指向 VPS：开启「橙色云朵」（Proxied），类型 A、名称 @、内容填 VPS IPv4；再建一条 www 同样代理；有 IPv6 加 AAAA 并同样代理。
• 5. 选 SSL/TLS 模式为 Full (strict)：浏览器到 CF、CF 到源站都走 HTTPS 并校验证书。别用 Flexible，它会引发 ERR_TOO_MANY_REDIRECTS 死循环。源站需装有有效 Let's Encrypt 证书（1Panel 或 certbot 均可签发）。
• 6. 锁定源站：VPS 防火墙只放行 Cloudflare 公布的 IP 段（cloudflare.com/ips），这样即便有人从旧 DNS/证书日志翻出源 IP 也打不到你。

验证 NS 是否切换：

dig NS example.com +short dig A example.com +short

代理开启后，第二条返回的是 CF 边缘 IP，而不是你的 VPS IP——这就是隐藏源 IP 的核心。

为什么改了 DNS 要等半天（TTL 原理）

DNS 不是「广播传播」，而是缓存过期：你在权威服务器改完立刻生效，但全球递归解析器（ISP、8.8.8.8、1.1.1.1）缓存着旧值，要等各自的 TTL 倒计时归零才重新拉取。TTL 决定速度：

• 300 秒（5 分钟）→ 通常 15–30 分钟全网更新
• 1800 秒（30 分）→ 约 1 小时
• 3600 秒（1 小时）→ 约 2–4 小时
• 86400 秒（24 小时）→ 最长 24–48 小时（「48 小时」谣言来自注册商默认高 TTL）

零停机迁移最佳实践：变更前 ≥24 小时先把 TTL 降到 300 秒（等旧 TTL 过期后再改），改完确认再调回 3600 秒以上。浏览器和操作系统也有自己的 DNS 缓存（Chrome 约 60 秒；macOS 用 sudo killall -HUP mDNSResponder，Windows 用 ipconfig /flushdns），验证请用 dig/nslookup 而非刷新浏览器。

举个具体场景：你要把站点从旧 VPS 迁到新 VPS。周一先把旧记录 TTL 从 86400 改成 300；周二 TTL 全球生效后再把 A 记录指向新 IP，这时最多 5 分钟全网切过去；观察一天没问题，再把 TTL 调回 3600。整个过程用户无感知。反过来，如果你忘了降 TTL 直接改，就会有最长一天的时间，一部分用户还在访问旧机器、一部分已到新机器，数据库双写或会话错位都可能发生。所以「先降 TTL，再动手」是运维的基本功。

进阶：泛域名、子域名与 CAA / DNSSEC

只想一个域名管所有子站点？加一条泛域名记录 *.example.com 指向同一 IP，之后无论开 blog、api 还是 shop 都不用再手动加解析。注意通配符只覆盖一级子域，a.b.example.com 这种二级子域要单独配。

想给证书上把锁，可以加 CAA 记录限定只有哪些 CA（如 letsencrypt.org）能给你这个域名签发证书，能防恶意机构误签发。追求极致防篡改可开启 DNSSEC：它在解析链路加数字签名，挡掉 DNS 污染和缓存投毒，Cloudflare 后台一键开启，但要求注册商支持（NameSilo、Porkbun、Cloudflare 自身都支持，GoDaddy 部分后缀才支持）。这两项都属可选加固，新手先把 A 记录和代理跑通再回来加。

国内 VPS 与海外 VPS 的解析区别

海外 VPS（如 RackNerd / ColoCrossing / CloudCone）：域名无需备案，解析 + SSL 即可直接对外，配 Cloudflare 隐藏 IP 并加速，流程最顺。

国内 VPS（阿里云 / 腾讯云等）：域名必须完成 ICP 备案后才允许 80/443 提供网页；且国内访问 Cloudflare 免费版速度一般，部分用户改选国内 CDN（阿里云 / 腾讯云 CDN、又拍云）或 Bunny CDN（国内速度优于 CF 免费版）。备案是解析之外的硬性前置条件，没备案就算解析对了，80/443 也会被拦。

💡 延伸阅读：关于架构与基础设施的更多深潜指南，请前往 VPS 主题导读中心 (Hub) 获取全盘策略。