CoreDNS 与域名解析恢复排障
本页用于处理 cube.app、*.cube.app 以及自定义域名解析相关的问题，重点放在 CoreDNS 与域名解析链路。
它不替代 HTTPS / 反代页，但适合作为 DNS 恢复 runbook。
先判断是哪条链路坏了
建议先区分：
- 内置
cube.app/*.cube.app链路 - 自定义域名 + 外部 DNS 链路
同时确认：
sandbox-domain是否和对外域名一致- 当前节点 IP 是否仍是有效对外地址
安全检查（只读优先）
建议先看：
bash
cat /usr/local/services/cubetoolbox/coredns/Corefile
cat /usr/local/services/cubetoolbox/coredns/host-dns-mode
cat /usr/local/services/cubetoolbox/coredns/host-dns-interface
ss -lntp | rg '53|80|443'必要时再看：
resolv.conf.upstream- CoreDNS 容器或服务状态
- 最近的
journalctl输出
Corefile 渲染应该看什么
重点确认：
cube.app与*.cube.app是否都指向当前节点 IP- 非命中域名是否仍然走上游解析
- 当前渲染结果是否仍符合预期部署环境
host-dns-mode / host-dns-interface 怎么看
如果网卡名称变化、接口已不存在，split DNS 可能会直接失效。
建议先核对：
- 当前接口是否还存在
- 当前模式是否与系统环境匹配
恢复路径 A：内置 cube.app 链路
建议顺序：
- 先确认 Corefile 渲染正确
- 再确认 CoreDNS 状态
- 再确认解析是否回到预期
恢复路径 B：自定义域名
如果自定义域名异常，往往不是 CoreDNS 本身的问题，而是：
- 外部泛域名解析不对
- TLS 证书不匹配
sandbox-domain配置与对外域名不一致
此时建议转到：
验证与回归
建议至少验证：
- 浏览器或
curl访问域名是否恢复 - 生成的新沙箱域名是否正确
- Dashboard 和管理面入口是否正常