IPv4与IPv6访问故障排查实战：从DNS记录到CF节点检测

发布时间：2026/9/30 2:49:58来源：尧图网络

1. 结论域名DNS 记录能否走 IPv4能否走 IPv6v6.ident.me只有 AAAAIPv6-only❌ 不能✅ 能v4.ident.me只有 AIPv4-only✅ 能❌ 不能ident.meA AAAA双栈✅ 能✅ 能判定原则一个网址能不能用 IPv4 访问首先看它有没有 A 记录没有 A 记录curl -4在 DNS 阶段就失败。注意CMD 不支持反斜杠\换行所有命令必须一行内写完。.bat文件里%{http_code}要写成%%{http_code}。2. 案例v6.ident.me 三条命令curl -sk4 --max-time 10 --noproxy * -o NUL -w IPv4: HTTP:%{http_code}\n https://v6.ident.me/ curl -sk6 --max-time 10 --noproxy * -o NUL -w IPv6: HTTP:%{http_code}\n https://v6.ident.me/ curl -sk --max-time 10 --noproxy * -o NUL -w DEFAULT: HTTP:%{http_code}\n https://v6.ident.me/参数解释参数含义-s静默模式不打印进度条-k跳过 TLS 证书校验-4强制只走 IPv4只查 A 记录-6强制只走 IPv6只查 AAAA 记录不加-4/-6让系统自选地址族--max-time 10整个请求最多等 10 秒--noproxy *禁止走任何代理* 所有主机都不走-o NUL丢弃响应正文只看结果-w ...请求结束后按格式输出信息%{http_code}HTTP 状态码\n换行结果-4→HTTP:000/ exit 6无 A 记录-6和默认 →HTTP:200/ exit 0走 IPv6 成功。3. 强制走 IPv4 / IPv6–connect-to 与 --resolve这两个参数都能绕过 DNS强行指定 curl 连接的目标 IP区别在于--connect-to作用于 TCP 连接层、--resolve作用于 DNS 解析层利用它们可以检测某个 IP 上的服务器是否还在提供服务、域名解析到的 A / AAAA 记录哪个是正确的、失败是不是 DNS 解析错误导致的以及同一个 IP 上不同 SNI域名的访问结果是否不同。命令 A强制 IPv4–connect-tocurl -sk --noproxy * --connect-to www.freedidi.com:443:179.253.231.105:443 -A Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36 -o NUL -w HTTP:%{http_code} size:%{size_download}\n -m 20 https://www.freedidi.com/参数解释参数含义--connect-to 原域名:原端口:新IP:新端口要连www.freedidi.com:443时实际拨号到179.253.231.105:443↳ 作用层TCP 连接层仍查 DNS但结果被覆盖↳ SNI / Host / 证书校验仍然是www.freedidi.com-A Mozilla/5.0...设置 User-Agent伪装成 Chrome--noproxy *禁止走代理强制直连-o NUL丢弃响应正文-w HTTP:%{http_code} size:%{size_download}\n输出状态码下载字节数-m 20总超时 20 秒命令 B强制 IPv6–resolvecurl -sk --noproxy * --resolve www.freedidi.com:443:[2605:52c0:2:6867:be24:11ff:fe13:cff4] -A Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36 -o NUL -w HTTP:%{http_code} size:%{size_download}\n -m 20 https://www.freedidi.com/参数解释参数含义--resolve 域名:端口:IP解析该域名时不查 DNS直接返回指定 IP↳ 作用层DNS 解析层↳ IPv6 地址必须加方括号否则冒号被当字段分隔符导致格式错误其余参数与命令 A 相同两者区别参数作用阶段是否查 DNS经代理是否有效--connect-toTCP 连接层✅ 查结果被覆盖✅ 有效--resolveDNS 解析层❌ 不查⚠️ 经代理会被代理 DNS 覆盖需配--noproxy *结果解释命令预期结果含义--connect-to强制 IPv4HTTP:200该 IPv4 地址可用证明 IPv4 源站正常--connect-to强制 IPv6HTTP:200 / 000该 IPv6 地址能否用这个域名访问000 表示连接失败或该服务器不响应--resolve强制 IPv6HTTP:200 / 000取决于该 IPv6 地址当时是否还提供服务000 表示连接失败或该服务器不响应--resolve配合-4HTTP:000可验证域名没有 A 记录或注入的 IPv4 地址无效000 不等于服务器坏了它只是请求没成功。具体原因要结合 exit 码6DNS 无记录7TCP 连不上28超时35TLS 失败。4. 链路地址族检测curl -sk --ssl-no-revoke -m 15 --noproxy * -o NUL -w IPv4-only host: HTTP:%{http_code}\n https://v4.ident.me/参数解释参数含义--ssl-no-revoke跳过证书吊销检查Windows curl 参数-m 15限时 15 秒--noproxy *强制直连-o NUL丢弃正文-w输出带前缀的状态码目标v4.ident.me只有 A 记录只能走 IPv4。curl -sk --ssl-no-revoke -m 15 --noproxy * -o NUL -w IPv6-only host: HTTP:%{http_code}\n https://v6.ident.me/参数解释参数与上一条完全相同目标v6.ident.me只有 AAAA 记录只能走 IPv6。判读IPv4-only 主机IPv6-only 主机结论200200双栈200000仅 IPv4000200仅 IPv6000000链路不通5. CF 节点主要检测命令检测 CF 节点是否失效核心思路是逐层排查DNS → TCP 端口 → TLS 握手 → SNI 封锁。5.1 基础连通性curl --noproxy * -4 -sS -o NUL -w HTTP:%{http_code}\n -m 12 https://你的CF域名/参数解释参数含义--noproxy *禁止走代理强制直连-4强制只走 IPv4-sS-s静默 -S保留错误信息-o NUL丢弃响应正文-w HTTP:%{http_code}\n只输出状态码-m 12限时 12 秒结果200可用000失败需逐层往下排查。5.2 DNS 查询换公共 DNS 排除污染nslookup -typeA 你的CF域名 223.5.5.5 nslookup -typeA 你的CF域名 8.8.8.8参数解释参数含义nslookup系统自带 DNS 查询工具-typeA只查 A 记录IPv4 地址-typeAAAA只查 AAAA 记录IPv6 地址最后的 IP指定用这个公共 DNS 查询不写则用本机默认5.3 TCP 端口探测Test-NetConnection-ComputerName 你的CF域名-Port 443参数解释参数含义Test-NetConnectionPowerShell 自带网络测试命令无需安装-ComputerName要测试的主机名或 IP-Port要测试的端口看TcpTestSucceededTrue 端口能建连False 端口不通别看PingSucceededping 走 ICMP与 TCP 是两条路不可互推5.4 TLS 层测试curl --noproxy * -4 -sv -o NUL -m 12 https://你的CF域名/参数解释参数含义-vverbose 详细模式打印完整连接过程--noproxy *强制直连-4强制 IPv4-o NUL丢弃正文-m 12限时 12 秒正常结果输出HTTP/1.1 200或 301/302TLS 失败出现Recv failure: Connection was reset→ 疑似 SNI 封锁5.5 SNI 对照实验核心固定 IP只换 SNI 里的域名看结果是否翻转curl.exe --noproxy * -4 -sS -o NUL -w Ahttp%{http_code}\n --resolve 你的CF域名:443:CF的IP https://你的CF域名/ curl.exe --noproxy * -4 -sS -o NUL -w Bhttp%{http_code}\n --resolve 另一个CF域名:443:CF的IP https://另一个CF域名/ curl.exe --noproxy * -4 -sS -o NUL -w Chttp%{http_code}\n --resolve www.cloudflare.com:443:CF的IP https://www.cloudflare.com/参数解释参数含义curl.exe明确调用真正的 curlPowerShell 里curl是别名参数不同--resolve 域名:443:IP把域名强行解析到同一 IP唯一变量只剩 SNI-w Ahttp%{http_code}\n输出带标记的状态码便于区分三条结果其余参数强制直连、强制 IPv4、静默保留错误、丢弃正文判读A你的域名B同类域名C干净域名结论000200200A 的 SNI 被针对性封锁000000200该 IP 整体有问题000000000本机网络出口有问题200200200全部正常6. 通用测试模板修改位置已标中文强制 IPv4 / IPv6curl -sk4 --max-time 10 --noproxy * -o NUL -w forced IPv4: HTTP:%{http_code} IP:%{remote_ip}\n https://要测的域名/ curl -sk6 --max-time 10 --noproxy * -o NUL -w forced IPv6: HTTP:%{http_code} IP:%{remote_ip}\n https://要测的域名/参数解释-4只查 A 记录只走 IPv4-6只查 AAAA 记录只走 IPv6都是硬性限定、失败不会回退其余参数同上%{remote_ip}可验证是否真走了指定地址族。指定 IP 绕过 DNScurl -sk --max-time 10 --noproxy * --resolve 要测的域名:443:IPv4地址 -o NUL -w HTTP:%{http_code} IP:%{remote_ip}\n https://要测的域名/ curl -sk --max-time 10 --noproxy * --resolve 要测的域名:443:[IPv6地址] -o NUL -w HTTP:%{http_code} IP:%{remote_ip}\n https://要测的域名/参数解释--resolve 域名:443:IP不查 DNS、直接把解析结果写死为指定 IPIPv6 地址要加方括号其余参数同上。指定 IP 并强制地址族curl -sk4 --max-time 10 --noproxy * --connect-to 要测的域名:443:IPv4地址:443 -o NUL -w HTTP:%{http_code} IP:%{remote_ip}\n https://要测的域名/ curl -sk6 --max-time 10 --noproxy * --connect-to 要测的域名:443:[IPv6地址]:443 -o NUL -w HTTP:%{http_code} IP:%{remote_ip}\n https://要测的域名/参数解释--connect-to 域名:443:IP:443在 TCP 层把拨号目标换成指定 IP但 SNI / Host 仍是原域名叠加-4/-6同时锁定地址族是严格程度最高的对照写法。7. IPv6 本地地址 ≠ 公网 IPv6 出口IPv6 地址按用途分为几类类型前缀能否访问公网链路本地地址fe80::/10❌ 只在同一局域网内通信唯一本地地址fc00::/7常见fd00::/8❌ 类似 IPv4 私网地址全球单播地址2000::/3✅ 真正的公网 IPv6ipconfig里看到fe80::开头的链路本地地址或 VMware/VirtualBox 虚拟网卡分配的 IPv6并不代表本机能访问 AAAA-only 网站因为这些地址只在本地网段有效无法穿过路由器到达公网。真正能用的 IPv6 必须同时满足① 属于全球单播地址2xxx::或3xxx::开头② 运营商或上级网络确实把 IPv6 流量路由到公网。判断标准curl -sk6 --noproxy * https://v6.ident.me/参数解释-6强制只走 IPv6-s静默-k跳过证书校验--noproxy *强制直连。能返回 200 才说明本机可以访问 AAAA-only 网站。8. DNS 查询命令通用版nslookup -typeA 要查的域名 nslookup -typeAAAA 要查的域名 nslookup -typeA 要查的域名 1.1.1.1 nslookup -typeAAAA 要查的域名 1.1.1.1参数解释参数含义-typeA只查 A 记录IPv4 地址-typeAAAA只查 AAAA 记录IPv6 地址最后的 IP指定使用的 DNS 服务器不写则用本机默认结果正常返回对应 IP提示没有可以使用的 address (A)记录则说明无 A 记录AAAA 同理。为什么要指定公共 DNS本地 DNS 可能被污染、缓存错误或劫持换1.1.1.1/8.8.8.8/223.5.5.5等公共 DNS 再查一次情况结论结果一致域名记录本身就是这样结果不一致本地 DNS 有问题

网站建设高端定制企业官网