如何排查与解决套了CDN之后手机打不开网站的DNS缓存与证书问题

在将网站接入CDN后，出现手机端无法访问通常是DNS缓存或证书问题导致。最好的办法是系统化排查：先从DNS解析到证书链验证逐项核对；最便宜且普适的解决方法通常是使用CDN提供的免费托管证书或调整TTL并指导用户清除本地缓存。

先判断是所有手机都打不开还是个别用户问题。使用不同网络（蜂窝、Wi-Fi）和不同运营商测试，确认是否存在地域或运营商相关的DNS缓存污染或IPv6路由差异。

用工具（nslookup、dig、ping）在本地与远端节点核对域名的A/AAAA记录是否指向CDN的IP。注意检查TTL值，若TTL很长，用户可能仍在使用旧解析结果。必要时降低源站与CDN的TTL以加速切换。

教用户如何清除手机的DNS缓存：安卓可重启、切换飞行模式或通过命令adb shell ndc resolver flushdefaultif（高级）；iOS重启或重置网络设置。浏览器缓存也会影响，建议清理浏览器历史或使用隐私模式再试。

很多手机优先使用IPv6，若CDN的IPv6配置不完整会导致连接失败。确认AAAA记录与CDN的IPv6边缘节点正常工作，或临时禁用IPv6以验证是否为该问题引起。

用在线工具或 openssl s_client 检查TLS握手，确认服务端返回的证书是否包含正确域名与完整的中间链。注意CDN通常需要启用SNI并绑定正确域名，否则会返回自签或默认证书，导致手机浏览器拒绝连接。

部分老旧手机不支持较新的TLS版本或某些加密套件。使用SSL Labs等服务测试站点的兼容性，必要时在CDN或负载均衡器上允许TLS1.0/1.1（权衡安全性）或启用向后兼容的套件。

证书撤销检查（OCSP/CRL）失败会影响某些浏览器。确保CDN或边缘节点支持OCSP stapling，且证书的中间CA链在所有节点可用，避免出现部分节点无法提供完整链的情况。

检查是否存在错误的重定向或Host头映射：CDN转发到源站时要保证Host头一致，否则源站会返回不匹配证书或404/301，手机浏览器往往对这些问题更敏感。

1) 在CDN控制台启用CDN托管证书（免费）或上传有效证书；2) 降低DNS TTL并在切换后主动清理边缘缓存；3) 检查并开启OCSP stapling；4) 验证IPv6配置或临时移除AAAA记录；5) 指导用户重启设备或清除浏览器和系统的DNS缓存。

推荐使用dig/nslookup、openssl s_client、curl -v、SSL Labs、CDN厂商自助诊断工具及移动端远程调试（Chrome DevTools远程调试Android）。这些可以定位是DNS、网络路由、TLS握手还是HTTP层的问题。

将网站接入CDN后出现手机无法访问，通常是DNS缓存与证书相关。最好的做法是预先规划证书托管与DNS切换策略；最便宜、快速生效的办法是使用CDN的免费证书、降低TTL并指导终端清缓存。系统化排查可迅速定位并恢复移动端访问。

来源：如何排查与解决套了CDN之后手机打不开网站的DNS缓存与证书问题