域名、VPS、DNS 三者到底什么关系？

域名是门牌号，VPS 是房子（只有 IP 地址），DNS 是把门牌号翻译成坐标的导航系统。用户记的是域名，浏览器靠 DNS 解析出 IP 才能找到你的 VPS。缺了 DNS，用户即使知道门牌也找不到房子；没有域名，VPS 只能用难记的 IP 访问。

NS 应该在注册商改还是 Cloudflare 改？

NS（域名服务器）记录始终在域名注册商后台修改，这是规则。你把 NS 改成 Cloudflare 提供的地址后，所有解析记录（A、CNAME、MX 等）就去 Cloudflare 后台管理，注册商处不再生效。

A 记录和 CNAME 有什么区别，根域名能用 CNAME 吗？

根域名（@）不能用 CNAME，因为它还要承载 NS、SOA、MX，CNAME 会与之冲突。A 记录直接指向 IPv4，CNAME 是别名指向另一域名。标准做法：@ 用 A/AAAA 指向 VPS 的 IP，www 用 CNAME 指回根域；

为什么改了 A 记录网站还是老样子？

因为沿路 DNS 缓存还没过 TTL。改之前先把 TTL 调到 300 秒，等旧缓存过期、全球传播完成再切 IP，通常几分钟到 24 小时生效。迟迟不更新就用 dig/nslookup 查权威 DNS 并清本地缓存，别在生效途中反复改。

开了 Cloudflare 橙云和灰云有什么不同？

橙云（Proxied）走 Cloudflare CDN，隐藏真实源站 IP、缓存静态资源并防 DDoS；灰云（DNS only）只做解析、直连你的 VPS，无加速也无防护。邮件相关记录（MX、对应域名的 A 记录）必须用灰云，否则 SMTP 收发会失败或被拦。

IPv6 的 AAAA 记录不配会怎样？

不影响 IPv4 主流用户，但纯 IPv6 网络（或只拿到 v6 的手机/校园网）访客会打不开你的站。要做真双栈，必须 A 和 AAAA 都配，且 VPS 的 Web 服务（Nginx/Apache）真的在监听 IPv6，防火墙也要放行。

【VPS 网络极客与负载均衡 08】买完域名和 VPS 之后：DNS 解析、NS 与 A/AAAA 记录配置全流程

2026-08-15 · DevCraft Studio

新手最容易卡在“域名买好了、VPS 也开了，网站却打不开”。本文从改 NS、加 A/AAAA、CNAME 讲到 DNS 生效时间与 TTL，手把手跑通第一条解析，并附 IPv6 双栈与打不开的排查清单。

专题连载：VPS 网络极客与负载均衡

本文是该系列第 8 篇。阅读该系列其他文章：

你刚在 Porkbun 抢到一个心仪的域名，又去搬瓦工或者 RackNerd 开了一台年付十几刀的 VPS，SSH 能登进去，公网 IP 也 ping 得通。结果浏览器里输域名就是打不开，或者打开的是注册商的停放页。这一幕几乎每个新手都经历过。问题不在服务器性能、不在线路、也不在你钱没给够，而是卡在“域名和 VPS 之间那根线”——DNS 解析。本文不跟你扯底层协议，只解决一件事：买完域名和 VPS 之后，怎么一步步把解析配通，让用户输入域名就能见到你的站点。

延伸阅读

先搞懂三件东西的关系：域名、VPS、解析

把这套关系想成“门牌号 + 房子 + 导航”三件套，就不会乱：域名相当于门牌号，VPS 相当于房子（它只有一个 IP 地址，像经纬度坐标），DNS 解析相当于导航软件，负责把“门牌号”翻译成“坐标”告诉访客往哪走。三者缺一不可：没有域名，你只能把 IP 发给人；没有 VPS，门牌号指到一片空地；没有 DNS，访客知道门牌号也找不到房子。很多人以为“买了域名和 VPS 就自动能访问”，错，中间那步导航必须自己配。

还有一个关键概念要先立住：域名注册商（Namecheap、Porkbun、阿里云）只负责“你拥有这个域名”，它不一定帮你管解析；真正决定“域名指向哪台机器”的，是 NS（Nameserver）指向的那套 DNS 服务器。所以改解析，本质上是去改动 NS 所指向的 DNS 服务商后台。这一点不搞清，你会在注册商后台瞎找半天 A 记录，发现改了也没用。

NS 到底在哪改？注册商还是 Cloudflare

NS 记录决定“这个域名的解析权归谁”。默认情况，注册商自己就是解析方，你在注册商后台能看到一组 NS，比如 Namecheap 的 dns1.registrar-servers.com。如果你什么都不动，就去注册商后台加 A 记录就行。但更推荐的做法是：把 NS 改成 Cloudflare 的地址（形如 aria.ns.cloudflare.com 和 ken.ns.cloudflare.com），这样解析权就移交给了 Cloudflare，之后所有 A/AAAA/CNAME 都在 Cloudflare 后台改。

为什么要改 NS 而不是只在注册商加记录？因为 Cloudflare 免费送 CDN、隐藏真实 IP、自带 DNSSEC 和 SSL，还能用它的 1.1.1.1 公共解析加速。改 NS 的步骤很简单：在 Cloudflare 添加站点 → 选免费套餐 → 它会给你两个 NS 地址 → 回到注册商后台把 NS 粘进去 → 保存。注意两大坑：第一，改 NS 前先把注册商处的 DNSSEC 关掉，否则切换会报错连不上；第二，换 NS 后旧的解析记录不会自动跟过来，要在 Cloudflare 里重新加一遍 A/AAAA/CNAME。

四种最常用的记录：A / AAAA / CNAME / MX 怎么填

DNS 不是只有“域名转 IP”一件事，它靠不同记录类型管理各种功能。建站最常用的是下面四种：

A 记录：把域名指向一个 IPv4 地址。比如 @（根域名）和 www 都指向 45.61.123.45。这是让网站能打开的核心记录。
AAAA 记录：和 A 一样，但指向 IPv6 地址（形如 2001:db8::1）。想要双栈访问就必须配它。
CNAME 记录：给域名起别名，让它指向另一个域名而不是 IP。常见用法是 www 指向 @，这样 IP 变了只改 @ 一处。
MX 记录：指定收信的邮件服务器，后面跟优先级数字（10 最常用）。只有你要在这台 VPS 上收邮件才需要。

一个高频踩坑点：CNAME 不能放在根域名（@）上，因为根域名下还挂着 NS、SOA 等系统记录，会和 CNAME 打架。所以标准套路是：根域名用 A 直指 IP，www 用 CNAME 指回根域名。别在 @ 上写 CNAME，写了网站就废。下面是最小可用集合示例：

类型   名称    内容              代理状态
A      @       45.61.123.45      DNS only（灰云）
A      www     45.61.123.45      DNS only（灰云）
AAAA   @       2001:db8::1       DNS only（灰云）
CNAME  www     example.com       DNS only（灰云）

TTL 与 DNS 生效（propagation）到底在等什么

每条 DNS 记录都带一个 TTL（Time To Live，生存时间，单位秒）。它告诉沿途所有缓存服务器：“这条答案你最多记多久”。TTL 设 300，意味着你改完记录，最多 5 分钟全球基本刷新；TTL 设 86400（一天），那改完可能要等一整天别人才看到新 IP。所谓“DNS 生效 / propagation”就是在等这些缓存一个个过期重查。

实战经验：计划迁移服务器前，先把 TTL 临时调小到 300 秒，等原来缓存过期、记录稳定传播后，再切换 A 记录到新 IP，最后把 TTL 调回较大值省查询。验证是否生效用公共 DNS 反查，三个解析器返回一致就说明传播完成：

dig @8.8.8.8 example.com +short
dig @1.1.1.1 example.com +short
nslookup example.com

若三个返回不一样，多半还在等 TTL 过期，耐心等即可，别反复改——每改一次又把计时器清零，越改越乱。Cloudflare 的生效通常很快，1 到 5 分钟；纯注册商 DNS 可能要几小时，极端情况逼近 24 小时。

Cloudflare 托管 vs 厂商自带 DNS，怎么选

两条路都能把域名指到 VPS，差别在附加值和便利性：

Cloudflare 托管（推荐新手）：免费、带 CDN 加速、隐藏真实 IP 防 DDoS、自带 DNSSEC 和 SSL、后台改记录体验好。唯一的“代价”是邮件记录必须保持 DNS only 灰云，因为 Cloudflare 不转发 SMTP 流量。
厂商自带 DNS（CloudCone、Vultr 等控制台里的 DNS 面板）：不用跳到第三方，适合不想多注册账号的人；但功能简单，一般没有 CDN、没有免费 SSL 自动化、没有 DNSSEC 一键开启，且暴露真实 IP。

我的建议很直白：只要你的站对外服务，无脑 Cloudflare。隐藏真实 IP 这一条就值回票价——VPS 真实 IP 裸奔，被扫到就被打，被打就停机。如果你只是内部测试、或者要在 VPS 上自建邮件服务器需要稳定 PTR，再用厂商 DNS 或自托管 Bind。两种方案下，A/AAAA/CNAME 的填法完全一样，区别只在“你在哪个后台敲键盘”。

IPv6 双栈：AAAA 记录和“橙云灰云”的坑

现在不少 VPS 厂商（如 Hetzner、Vultr、部分 RackNerd 机房）会顺手给你一个 IPv6 地址。想要访客既能用 IPv4 也能用 IPv6 访问，就得同时配 A 和 AAAA 两条记录，这叫双栈（dual-stack）。只配 A 不影响绝大多数用户（因为 IPv4 仍是主流），但漏掉 AAAA 会让纯 IPv6 环境的访客打不开。

Cloudflare 这里有个坑要提醒：当你的记录开着代理（橙云）时，Cloudflare 会用自己的 IPv4+IPv6 节点 IP 替你响应，访客连的是 Cloudflare 而不是你的 VPS，这没问题；但如果你关了代理（灰云 / DNS only），AAAA 就必须填你自己 VPS 真实的 IPv6，而且这台 VPS 的 Web 服务（Nginx/Apache）得真的在监听 IPv6，否则 IPv6 用户会超时。另外，自建邮件服务器时 IPv6 收信并不可靠——很多大厂邮件系统仍要求 IPv4 连通，所以邮件相关记录建议以 IPv4 为主、双栈为辅。

网站打不开？一份排查清单

按下面顺序逐项排查，八成的问题在这一列里就能定位：

本地 hosts 文件是否手滑写错了？先 ping 域名看返回的是不是你的 VPS IP。
NS 是否真的切换成功了？用 whois 或 whatsmydns.net 查 NS 是否已变成 Cloudflare 的地址。
A 记录填的对不对？IP 是否抄错、是否少了小数点、是否填成了内网 IP。
TTL 等够了吗？刚改完就反复刷新，缓存没过期当然看不到变化，等 5 到 30 分钟再试。
VPS 上的 Web 服务起来了吗？用 curl http://服务器IP 直接打 IP 看有没有响应，排除是网站程序没起。
防火墙放开了吗？云厂商的安全组 + 系统里的 ufw/iptables 都要放行 80 和 443 端口。
开了橙云却用 curl -I 看 Server 头？那是 Cloudflare 的节点，不是你机器，属正常。
域名是否过期或被 hold？去注册商看状态，欠费或没实名会被暂停解析。

💡 延伸阅读：关于架构与基础设施的更多深潜指南，请前往 VPS 主题导读中心 (Hub) 获取全盘策略。