案例：網頁開啟龜速、間歇無法連線

某單位子網多台工作站上網極慢、頻繁打不開網頁。初疑病毒，但同子網多機同症 → 排除單機毒情。

關鍵發現：雙 DNS 互指形成死迴圈

• 主 DNS (10.176.6.10) 轉發目標設為備 DNS (10.176.6.11)。
• 備 DNS (10.176.6.11) 轉發目標又設回主 DNS (10.176.6.10)。
• 當兩者皆無法權威解析時，查詢在兩台之間無限跳轉，佔滿埠口與頻寬，造成解析風暴癱瘓對外存取。

修正與驗證

1. 將其中一台（建議備 DNS）轉發目標指向 ISP 提供的公共 DNS 或 根提示。
2. 重啟 DNS 服務或等待 TTL 過期。
3. 用戶端 ipconfig /flushdns 後重測 → 開網頁秒開，故障排除。

DNS 轉發架構最佳實務

• 單向分層：用戶端 → 內部主 DNS → 內部備 DNS → ISP/根 DNS（不可雙向）。
• 條件式轉發：針對特定網域（如 partner.com）指向對方權威 DNS，避免污染根解析。
• 監控指標：查詢延遲、遞迴失敗率、轉發佇列長度、CPU/記憶體。
• 防禦設定：限制遞迴查詢來源（僅信任子網）、啟用 Response Rate Limiting (RRL) 防放大攻擊。

延伸：其他常見傳輸故障快速索引

1. 廣播風暴：環路未啟用 STP/RSTP → 封包風暴癱瘓 CPU，啟用 BPDU Guard、Storm Control。
2. MTU 不匹配：VPN/GRE/IPsec 封包過大未分片 → ICMP 不可達被防火牆擋 → 黑洞連線，調整 MSS Clamping。
3. TCP 窗口縮放/選項：長肥管道未啟用 Window Scaling → 吞吐量受限，確認雙端作業系統支援並啟用。
4. QoS 錯誤分類：業務流量落入 Best Effort → 高峰期丟包，重新標記與佇列調度。

心法

網路傳輸異常，「分層隔離、抓包對比、對照基線」三步走。DNS 迴圈雖隱蔽，但雙向轉發互指是經典反面教材，納入部署清單即可永久免疫。