🌐 域名与 DNS：注册 / 解析 / CDN / SSL

域名与 DNS 是什么

当你输入 google.com，浏览器怎么知道要去哪个 IP 地址？这就是 DNS（Domain Name System）做的事——把人类可读的域名翻译成机器可用的 IP 地址。

如果互联网是座城市：

• 域名 = 门牌号 / 商铺招牌（mysaas.com）
• DNS = 电话簿 / 导航系统（把 mysaas.com 翻译成 104.21.35.186）
• 域名注册商 = 房产局（你在这里登记拥有这个域名）
• DNS 托管商 = 电话局（你在这里管理电话簿记录）
• CDN = 快递前置仓（把内容放到离用户最近的节点）
• SSL 证书 = 营业执照 + 加密通道（证明你是你，且通信加密）

DNS 解析全流程

从浏览器输入 URL 到页面加载，DNS 经历了什么？

DNS 缓存层级

DNS 记录类型详解

DNS 记录是域名系统的"数据行"，每条记录告诉世界一个关于你域名的事实。

核心记录（必须掌握）

# 使用 dig 查询
dig A example.com +short
# 104.21.35.186

# 使用 nslookup
nslookup -type=A example.com

高级记录（SaaS 开发者常用）

域名注册商选型

域名注册商是你"买域名"的地方。选择标准：价格透明度、续费价格、域名转移政策、隐私保护。

域名选择建议

DNS 托管商选型

DNS 托管商决定你的解析速度、可用性和安全防护能力。

Cloudflare DNS 实战配置

# Cloudflare DNS API 示例 — 创建 A 记录
curl -X POST "https://api.cloudflare.com/client/v4/zones/{zone_id}/dns_records" \
  -H "Authorization: Bearer {api_token}" \
  -H "Content-Type: application/json" \
  --data '{
    "type": "A",
    "name": "app.mysaas.com",
    "content": "104.21.35.186",
    "ttl": 300,
    "proxied": true
  }'

# 查询现有记录
curl "https://api.cloudflare.com/client/v4/zones/{zone_id}/dns_records" \
  -H "Authorization: Bearer {api_token}"

Route 53 实战配置

# Terraform — Route 53 托管区域 + A 记录
resource "aws_route53_zone" "main" {
  name = "mysaas.com"
}

resource "aws_route53_record" "app" {
  zone_id = aws_route53_zone.main.zone_id
  name    = "app.mysaas.com"
  type    = "A"
  ttl     = 300
  records = ["104.21.35.186"]
}

# Alias 到 ALB（推荐，不收费）
resource "aws_route53_record" "app_alias" {
  zone_id = aws_route53_zone.main.zone_id
  name    = "app.mysaas.com"
  type    = "A"

  alias {
    name                   = aws_lb.app.dns_name
    zone_id                = aws_lb.app.zone_id
    evaluate_target_health = true
  }
}

代理模式 vs 仅 DNS 模式（Cloudflare）

CDN 加速与配置

CDN（Content Delivery Network）将你的内容缓存到全球边缘节点，用户从最近的节点获取数据，大幅降低延迟。

CDN 工作原理

CDN 选型对比

CDN 缓存策略配置

# Cloudflare Page Rules — 缓存策略示例

# 静态资源：强缓存
# URL: *mysaas.com/_next/static/*
# Cache Level: Cache Everything
# Edge Cache TTL: 1 month
# Browser Cache TTL: 1 year

# API 接口：不缓存
# URL: *mysaas.com/api/*
# Cache Level: Bypass

# HTML 页面：短时缓存
# URL: *mysaas.com/*
# Cache Level: Cache Everything
# Edge Cache TTL: 4 hours

# Nginx 配置 — 源站设置缓存头
location /_next/static/ {
    expires 1y;
    add_header Cache-Control "public, immutable";
}

location /api/ {
    add_header Cache-Control "no-store, no-cache, must-revalidate";
    add_header Pragma "no-cache";
}

location / {
    expires 4h;
    add_header Cache-Control "public, s-maxage=14400";
}

缓存清除（Purge）

# Cloudflare API — 清除缓存
# 清除所有
curl -X POST "https://api.cloudflare.com/client/v4/zones/{zone_id}/purge_cache" \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  --data '{"purge_everything":true}'

# 按文件清除
curl -X POST "https://api.cloudflare.com/client/v4/zones/{zone_id}/purge_cache" \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  --data '{"files":["https://mysaas.com/index.html"]}'}

# 按 Tag 清除（需 Pro 计划）
curl -X POST "https://api.cloudflare.com/client/v4/zones/{zone_id}/purge_cache" \
  -H "Authorization: Bearer {token}" \
  -H "Content-Type: application/json" \
  --data '{"tags":["product-123"]}'

SSL/TLS 证书

HTTPS 不再是可选——Google 将 HTTPS 作为排名因素，Chrome 对 HTTP 页面标记"不安全"。

SSL 证书类型

Let's Encrypt 自动化（Certbot）

# 安装 Certbot
apt install certbot python3-certbot-nginx

# 首次获取证书（Nginx 插件自动配置）
certbot --nginx -d mysaas.com -d www.mysaas.com

# DNS 验证（适用于无公网访问的内部服务）
certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials ~/.secrets/cloudflare.ini \
  -d mysaas.com -d '*.mysaas.com'

# 通配符证书
certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials ~/.secrets/cloudflare.ini \
  -d '*.mysaas.com' -d 'mysaas.com'

# 自动续期（Certbot 自动添加 cron）
certbot renew --dry-run  # 测试续期流程

# 查看证书信息
certbot certificates

Nginx SSL 配置最佳实践

# /etc/nginx/sites-enabled/mysaas.com
server {
    listen 443 ssl http2;
    server_name mysaas.com www.mysaas.com;

    # 证书路径（Certbot 自动管理）
    ssl_certificate     /etc/letsencrypt/live/mysaas.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mysaas.com/privkey.pem;

    # SSL 优化
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    # HSTS（慎用！先短时间测试）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 1.1.1.1 8.8.8.8 valid=300s;

    # 会话复用
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
    ssl_session_tickets off;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

# HTTP → HTTPS 重定向
server {
    listen 80;
    server_name mysaas.com www.mysaas.com;
    return 301 https://$host$request_uri;
}

Cloudflare SSL 模式

DNSSEC 安全扩展

DNSSEC 通过数字签名确保 DNS 响应的完整性和真实性，防止 DNS 缓存投毒和劫持攻击。

邮件 DNS 配置

SaaS 产品必须配置邮件 DNS，否则发出的邮件会被当成垃圾邮件。三个核心记录：

SPF（Sender Policy Framework）

声明哪些服务器可以代表你的域名发送邮件。

# SPF 记录（TXT 类型）
# 允许 Google Workspace 发送
"v=spf1 include:_spf.google.com ~all"

# 允许 SendGrid + 自己的服务器
"v=spf1 ip4:1.2.3.4 include:sendgrid.net ~all"

# 多个服务
"v=spf1 include:_spf.google.com include:sendgrid.net include:mailgun.org ~all"

# 修饰符说明：
# +all → 允许所有（❌ 危险！）
# ~all → 软拒绝（可疑但不丢弃，推荐入门）
# -all → 硬拒绝（严格，推荐生产）
# ?all → 中立（等于没有 SPF）

DKIM（DomainKeys Identified Mail）

用加密签名验证邮件内容确实来自你，且未被篡改。

# DKIM 记录示例（SendGrid）
# 名称：s1._domainkey.mysaas.com
# 类型：TXT
"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..."

# Google Workspace DKIM
# 名称：google._domainkey.mysaas.com
"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..."

# 多个 DKIM 选择器（不同邮件服务商用不同前缀）
# s1._domainkey → SendGrid
# google._domainkey → Google Workspace
# mailgun._domainkey → Mailgun

DMARC（Domain-based Message Authentication, Reporting & Conformance）

告诉接收方：如果 SPF/DKIM 都没过，怎么处理。同时提供报告机制。

# DMARC 记录
# 名称：_dmarc.mysaas.com
# 类型：TXT

# 阶段 1：监控模式（只收报告，不拒绝）
"v=DMARC1; p=none; rua=mailto:dmarc@mysaas.com; ruf=mailto:dmarc@mysaas.com; pct=100"

# 阶段 2：隔离模式（可疑邮件进垃圾箱）
"v=DMARC1; p=quarantine; rua=mailto:dmarc@mysaas.com; pct=50"

# 阶段 3：拒绝模式（不合格邮件直接拒绝）
"v=DMARC1; p=reject; rua=mailto:dmarc@mysaas.com; pct=100"

# 参数说明：
# p=none|quarantine|reject  — 策略
# rua=  — 聚合报告接收地址
# ruf=  — 法证报告接收地址
# pct=  — 应用策略的百分比（逐步推进用）

多域名 / 子域名策略

SaaS 产品的域名架构不是"一个域名打天下"，而是精心设计的层级系统。

典型 SaaS 域名架构

# 主站
mysaas.com           → 营销主页 / Landing Page
www.mysaas.com       → 301 重定向到 mysaas.com

# 应用
app.mysaas.com       → 主应用（前端 + API）
api.mysaas.com       → API 网关（独立域名方便 CORS + 限流）

# 文档
docs.mysaas.com      → 文档站（Mintlify / Docusaurus）
status.mysaas.com    → 服务状态页（Betteruptime / Instatus）

# 基础设施
cdn.mysaas.com       → CDN 源站（如需自定义域名）
ws.mysaas.com        → WebSocket 服务
admin.mysaas.com     → 管理后台（IP 白名单）

# 邮件
mail.mysaas.com      → 邮件服务器（PTR 反向解析用）

# 多租户（自定义域名）
tenant.com           → CNAME → app.mysaas.com（SaaS 提供自定义域名）

# 内部
staging.mysaas.com   → 预发布环境
dev.mysaas.com       → 开发环境

自定义域名（Custom Domain）实现

SaaS 产品让客户绑定自己的域名是核心功能。实现步骤：

# 客户侧配置（你提供给客户的说明）
# 1. 客户在自己的 DNS 添加 CNAME：
app.customer.com  →  CNAME  →  cname.mysaas.com

# 2. 你这边需要：
# - 自动签发 SSL 证书（Let's Encrypt / Cloudflare）
# - 在反向代理中识别 Host 头
# - 查询数据库匹配域名 → 租户

# Nginx 配置 — 通配符 Server Name
server {
    listen 443 ssl http2;
    server_name ~^(?.+)\.mysaas\.com$ app.*.com;

    # SSL 证书（SNI）
    ssl_certificate     /etc/letsencrypt/live/$host/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/$host/privkey.pem;

    location / {
        # 查询租户信息
        set $tenant_id "";
        access_by_lua_block {
            local host = ngx.var.host
            local tenant = ngx.shared.tenants:get(host)
            if tenant then
                ngx.var.tenant_id = tenant
            else
                ngx.exit(404)
            end
        }
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header X-Tenant-ID $tenant_id;
    }
}

# 自动签发证书的脚本思路
# 1. 客户添加 CNAME 后，你验证 CNAME 指向你的服务
# 2. 调用 Let's Encrypt DNS-01 验证签发证书
# 3. 证书自动安装到 Nginx/Caddy
# 4. 定时续期

通配符证书 vs 单域名证书

域名迁移与切换

更换 DNS 托管商或迁移服务器时，零停机是目标。

DNS 托管商迁移流程

# 零停机迁移 DNS 托管商

# === 第 1 步：准备（提前 48 小时） ===
# 1. 在新 DNS 托管商创建所有记录（镜像旧记录）
# 2. 验证新记录正确性
dig @new-nameserver.example.com mysaas.com A

# === 第 2 步：降低 TTL（提前 24 小时） ===
# 在旧 DNS 托管商，把所有记录的 TTL 降到 300 秒
# 等待旧 TTL 过期（最长 24-48 小时）

# === 第 3 步：切换 NS 记录 ===
# 在域名注册商处，修改 NS 记录指向新托管商
# 旧：ns1.old-dns.com, ns2.old-dns.com
# 新：ns1.cloudflare.com, ns2.cloudflare.com

# === 第 4 步：双活期（72 小时） ===
# 保持旧 DNS 托管商的记录不删除
# 全球 NS 缓存逐步更新（最长 48 小时）

# === 第 5 步：验证完成 ===
# 检查全球 DNS 解析是否全部指向新托管商
dig mysaas.com NS +short
# 应该返回新的 NS 记录

# === 第 6 步：清理 ===
# 确认全球切换完成后，删除旧 DNS 托管商的记录
# 恢复 TTL 到正常值（3600）

服务器 IP 迁移流程

# 零停机更换源站 IP

# 1. 降低 TTL → 300 秒（提前 24-48h）
# 2. 新服务器部署完毕，验证可用
curl -H "Host: mysaas.com" http://new-ip/

# 3. 修改 A 记录指向新 IP
# 4. 等待 TTL 过期 + 全球缓存更新
# 5. 旧服务器保持运行 48 小时
# 6. 确认无流量后关闭旧服务器
# 7. 恢复 TTL 到 3600

DNS 故障排查

DNS 问题是最令人头疼的——因为缓存无处不在，改了不一定生效。以下是系统排查方法。

必备工具

# dig — 最强大的 DNS 查询工具
# 基本查询
dig mysaas.com A
dig mysaas.com A +short        # 只显示 IP
dig mysaas.com CNAME           # 查 CNAME
dig mysaas.com MX              # 查邮件

# 指定 DNS 服务器查询
dig @1.1.1.1 mysaas.com A      # 用 Cloudflare DNS 查
dig @8.8.8.8 mysaas.com A      # 用 Google DNS 查
dig @223.5.5.5 mysaas.com A    # 用阿里 DNS 查（国内）

# 追踪解析路径
dig mysaas.com A +trace

# 查 NS 记录
dig mysaas.com NS

# 查 DNSSEC
dig mysaas.com A +dnssec

# nslookup — 简单查询
nslookup mysaas.com
nslookup -type=MX mysaas.com

# host — 最简洁
host mysaas.com
host -t CNAME www.mysaas.com

# whois — 查域名注册信息
whois mysaas.com

# 检查全球 DNS 传播状态
# https://www.whatsmydns.net/
# 在线工具，可查看全球各地区的 DNS 解析结果

常见问题排查清单

在线诊断工具

上线 Checklist

关联：Agent 研究中的相关发现