综合练习

这一课你将能做到

1. 独立完成一次「新子域从零上线」：权威记录、Nginx、证书、CDN 策略、多解析器验收与回滚
2. 写出并运行一套 DNS + 站点健康巡检脚本，能自动区分解析层与服务层故障
3. 完成一次「源站迁移演练」与一次「故障注入」：降 TTL、双机对比、制造 NXDOMAIN/超时并复盘

为什么要学

前 11 课是按知识点组织的：记录、链路、工具、加密、邮件、集群、CDN、排障。真实工作里这些从不单独出现——一次发版可能同时碰 DNS、Nginx、证书和 CDN，一个工单可能要在缓存窗口内快速止血。本课用一个贯穿项目把所有技能串起来，要求你不看前面的课独立跑通。能完成本课，你就具备了小中型站点的域名运维实战能力。

练习场景全部基于本站真实架构：coderoadmap.cn 委派给 Cloudflare，源站云主机跑 Nginx（静态站 + 反代 API），部分服务在 K8s 集群内。

先建立图像

综合练习总图（你要交付的四件事）：

  任务A 新子域上线     任务B 健康巡检脚本
  ───────────────     ──────────────────
  权威 → CDN → 源站    dig ×3 + curl + 告警
  证书 → Nginx         分层输出 OK/WARN/FAIL
        │                    │
        ├────────────┬───────┘
        ▼            ▼
  任务C 迁移演练    任务D 故障注入+复盘
  降TTL→新机验证    写错域名/超时/5s卡顿
  →切流→回滚预案    现象→证据→修复记录

验收标准：所有命令真实执行并留输出记录；每个结论标注证据（status/TTL/响应头/时间戳）；回滚方案在动手前写好。

跟着做

任务 A：上线 lab.coderoadmap.cn（完整流水线）

# A1 权威记录：Cloudflare 添加 A → 203.0.113.10，橙云，TTL 300
# A2 源站验证（先绕过 CDN，确认源站本身正确）
curl -I --resolve lab.coderoadmap.cn:443:203.0.113.10 https://lab.coderoadmap.cn/

# A3 证书：用已有的泛域名证书或单独申请（DNS-01）
sudo certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cf.ini \
  -d lab.coderoadmap.cn

# A4 Nginx 增加 server 块
sudo tee /etc/nginx/conf.d/lab.conf >/dev/null <<'EOF'
server {
    listen 443 ssl http2;
    server_name lab.coderoadmap.cn;
    ssl_certificate     /etc/letsencrypt/live/lab.coderoadmap.cn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/lab.coderoadmap.cn/privkey.pem;
    root /var/www/lab;
    index index.html;
}
EOF
sudo nginx -t && sudo systemctl reload nginx

# A5 多解析器验收（权威视图 + 两个递归视图）
dig @ns1.cloudflare.com lab.coderoadmap.cn +norecurse +short
dig @8.8.8.8 lab.coderoadmap.cn +short
dig @223.5.5.5 lab.coderoadmap.cn +short
curl -I https://lab.coderoadmap.cn/

期望：三条 dig 均返回地址（橙云为 Cloudflare IP），curl 返回 200。记录全部输出到 taskA.log。

任务 B：写健康巡检脚本

新建 dns-health.sh：

#!/usr/bin/env bash
# 用法: ./dns-health.sh lab.coderoadmap.cn /
set -u
NAME=${1:?域名}
PATH_URI=${2:-/}
RESOLVERS=(8.8.8.8 223.5.5.5 1.1.1.1)

echo "== [1] 本机解析 =="
if ! dig +time=3 +tries=1 +short "$NAME" A; then
  echo "FAIL 本机解析失败"; exit 1
fi

echo "== [2] 多解析器对比 =="
for r in "${RESOLVERS[@]}"; do
  out=$(dig @"$r" +time=3 +tries=1 +short "$NAME" A)
  [ -n "$out" ] && echo "OK  $r -> $out" || { echo "FAIL $r 无应答"; exit 1; }
done

echo "== [3] HTTPS 与缓存头 =="
head=$(curl -sI --max-time 8 "https://$NAME$PATH_URI")
echo "$head" | grep -E "^HTTP|cf-cache-status|cache-control|server:" || true
code=$(echo "$head" | awk 'NR==1{print $2}')
[ "${code:-000}" = "200" ] && echo "OK HTTP 200" || echo "WARN HTTP=$code"

echo "== [4] 源站直连（--resolve，按需传 SOURCE_IP）=="
[ -n "${SOURCE_IP:-}" ] && curl -sI --max-time 5 \
  --resolve "$NAME:443:$SOURCE_IP" "https://$NAME$PATH_URI" | head -3