配置SSL证书要不要改动DNS解析？
配置SSL证书是否需要改动DNS解析，分情况判断：
普通单/多域名证书（采用文件验证、邮箱验证）：无需改动DNS解析，仅需在服务器部署证书并配置HTTPS即可。
DNS验证型证书（如通配符证书、多域名泛证书）：需在域名DNS解析中添加指定TXT记录，完成域名所有权验证后才能获取证书，这种情况需要改动DNS。
CDN场景部署SSL：若使用CDN提供的证书，可能需将域名CNAME解析指向CDN节点（属于CDN配置环节，并非证书本身强制要求）；若自行上传证书到CDN，无需额外改DNS。
DNS解析污染该怎么检测和修复？
检测方法：
多节点对比：用国内多地区、海外节点（如专业拨测平台的DNS污染检测功能）查询域名解析记录，若不同节点返回IP差异大、出现陌生IP，或与官方公布IP不符，大概率存在污染。
工具自查：用nslookup、dig等工具，分别在本地、海外服务器查询解析结果，对比是否一致。
修复方案：
更换公共DNS：切换到阿里DNS（223.5.5.5）、114DNS（114.114.114.114）或海外谷歌DNS（8.8.8.8）。
启用加密DNS：使用DoH（如Cloudflare 1.1.1.1）、DoT等加密解析方式，避免明文传输被篡改。
企业域名优化：更换权威DNS服务商，或配置CDN加速，通过CDN节点解析规避污染。
本地排查：重启路由器、更换网络环境（如手机流量）验证是否为本地网络问题。
DoT协议如何保护DNS解析不被污染？
DoT（DNS over TLS）通过以下方式保护DNS解析不被污染：
加密传输链路：将DNS查询与响应封装在TLS加密通道中传输，中间网络节点（如运营商）无法读取明文内容，无法识别目标域名并篡改解析结果。
服务器身份校验：TLS握手阶段会验证DNS服务器的SSL证书合法性，确保客户端连接的是可信目标DNS服务器，避免被劫持至恶意服务器获取虚假解析。
数据完整性保障：TLS协议自带数据完整性校验，若解析响应在传输中被篡改，客户端会检测到数据异常并拒绝接收无效结果，确保解析内容真实可靠。
域名DNS解析多少条记录最合适？
DNS解析记录数量需结合业务场景确定，没有统一标准，核心是平衡可用性、负载能力与解析效率：
普通网站A记录：2-4条为宜，既可以实现多节点负载均衡，避免单点故障，又不会因记录过多增加DNS查询耗时；
CDN场景：仅需1条CNAME记录即可，由CDN厂商负责底层节点调度，无需自行配置多条A记录；
邮箱MX记录：建议1-3条并设置不同优先级，主备邮箱节点配合，保障邮件投递可靠性；
大型全球站点：可根据节点规模适当增加A记录，但需搭配智能DNS解析（按地域/运营商调度），同时避免冗余无效记录，防止解析延迟。
总之，以满足业务冗余、负载需求为前提，尽量精简记录数量，定期清理无效解析记录。