能 ping 通服务器 IP，却 ping 不通主机名或打不开应用，DNS 应该怎么查？

应检查客户端 DNS、后缀搜索、A/AAAA 记录、缓存、hosts、VPN DNS 路径，以及应用使用短名还是 FQDN。

1. 结论与适用范围

建议准备：客户端和服务器版本、是否加域、DNS 与网关配置、涉及的网络区域、完整报错、事件日志时间点，以及近期变更记录。示例域名统一使用 corp.example，不包含任何客户真实域名、IP、账号或设备序列号。

该问题归类为“网络、VPN 与防火墙”。如果已经影响办公、生产或数据安全，可先远程收集日志和配置；涉及批量权限、交换机链路、停机切换或恢复演练时，应安排受控实施窗口。

2. 常见现象与环境确认

• 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
• 先记录影响范围、首次发生时间、是否持续复现，以及同网段和其他网段是否一致。
• 防火墙已放通但应用仍不通时，检查服务器默认网关、策略路由、会话表、NAT 与回程路径是否对称。

3. 按顺序排查

1. 域成员和准备加域的电脑应优先使用内部 DNS；公网 DNS 不能返回 AD 所需的 SRV 记录。
2. 确认客户端获得正确的连接特定 DNS 后缀和后缀搜索列表，短主机名失败时优先用完整 FQDN 对比。
3. 检查 A、AAAA 和 PTR 记录是否指向当前地址，清理重复或过期记录前先确认 DHCP 与动态更新责任。
4. 检查 hosts、LMHOSTS、代理 PAC 和本地 DNS 缓存中是否存在旧映射，避免临时绕过长期掩盖 DNS 根因。
5. 访问共享前清理错误的缓存凭据和旧会话，并确认客户端使用的是预期的域账号或本地账号。
6. 一次只变更一个条件，并在变更前导出配置或记录当前状态。

ipconfig /all
nslookup app01.corp.example
Resolve-DnsName app01.corp.example
ipconfig /displaydns

4. 安全处理与批量实施

优先使用只读查询、导出配置和单台验证。确认根因后，再选择修复对象、维护窗口和回退方式。策略变更应先在测试源地址和限定时间段验证，记录命中日志、会话与回退配置，再逐步扩大范围。

• 检查 hosts、LMHOSTS、代理 PAC 和本地 DNS 缓存中是否存在旧映射，避免临时绕过长期掩盖 DNS 根因。
• 访问共享前清理错误的缓存凭据和旧会话，并确认客户端使用的是预期的域账号或本地账号。
• 一次只变更一个条件，并在变更前导出配置或记录当前状态。

5. 验证、回退与常见误区

修复后不要只看“暂时能用”。应从用户操作、日志、重启/重新登录、不同网络位置和下一次策略/备份周期再次验证。

验证与回退检查

• 一次只变更一个条件，并在变更前导出配置或记录当前状态。
• VPN 已连接只说明隧道建立；还需核对客户端路由、内部 DNS、访问控制、服务器防火墙和回程路由。
• 检查 WinHTTP、用户代理、自动配置脚本和安全软件代理残留；浏览器正常不代表 Office 或系统服务使用同一路径。

常见错误做法

• 看到 VPN 已连接就认定网络没有问题。
• 放通任意目标或任意服务代替最小权限策略。
• 只改客户端路由，不检查服务器回程和防火墙会话。