宝塔8 升级到 11导致 服务器无法访问外网dns失效了无法访问bt.cn 解决方法 测试通过找到根因了。你的服务器内部网络完全正常没有断网。是两个独立问题叠加根因确认问题根因证据DNS解析失败宝塔11的ANTI_DDOS链拦截了阿里云DNS响应包nftables显示ip saddr 100.100.2.136/138 drop这两个正是阿里云内网DNSping公网IP丢包大概率只是ICMP被禁如果网站还能访问如果网站也挂了是阿里云安全组出方向被限制服务器TCP出站未测试但内部路由/防火墙全部正常直接执行修复命令# 第一步修复DNSANTI_DDOS拦截阿里云DNS# 配置systemd-resolved使用公共DNS绕过被拦截的阿里云DNScat/etc/systemd/resolved.confEOF [Resolve] DNS223.5.5.5 114.114.114.114 FallbackDNS8.8.8.8 DNSStubListeneryes EOFsystemctl restart systemd-resolved# 重建resolv.conf软链接rm-f/etc/resolv.confln-sf/run/systemd/resolve/stub-resolv.conf /etc/resolv.conf# 测试DNSecho DNS测试 ping-c4www.bt.cn# 第二步确认业务网络是否真断了 echo TCP出站测试 nc-vz223.5.5.553nc-vz7.255.129.25180nc-vzwww.bt.cn443执行后分两种情况处理情况ADNS通了且nc -vz www.bt.cn 443显示succeeded结论网络根本没断只是ICMP ping被禁了。你的网站一直能正常访问DNS修复后SSL续签也能正常工作ping不通是安全策略不影响业务无需进一步操作直接测试SSL续签/www/server/panel/pyenv/bin/python3-u/www/server/panel/class/acme_v2.py--renew1情况BDNS仍失败且nc测试全部连接超时结论阿里云侧出方向被限制。立刻去 阿里云ECS控制台实例详情→ 点击绑定的安全组ID出方向规则→ 如果有任何规则全部删除默认无规则全部允许返回实例页 →重启实例让VPC网关重新建立会话重启后再次执行上面的DNS和nc测试。为什么升级宝塔会导致这个问题宝塔8→11升级过程中重新安装并激活了ANTI_DDOS防火墙模块。这个模块默认拦截了来自100.100.2.136和100.100.2.138的流量阿里云内网DNS服务器的IP导致服务器发出DNS查询 → 到达阿里云DNSDNS响应返回 → 被ANTI_DDOS在INPUT链拦截systemd-resolved超时 →Temporary failure in name resolution而ping不通公网IP如果网站本身正常则与宝塔升级无关是原本就存在的ICMP限制。把上面命令的执行结果贴给我我确认是情况A还是情况B。 宝塔8 升级到 11导致 服务器无法访问外网dns失效了，无法访问bt.cn 解决方法 测试通过
宝塔8 升级到 11导致 服务器无法访问外网dns失效了无法访问bt.cn 解决方法 测试通过找到根因了。你的服务器内部网络完全正常没有断网。是两个独立问题叠加根因确认问题根因证据DNS解析失败宝塔11的ANTI_DDOS链拦截了阿里云DNS响应包nftables显示ip saddr 100.100.2.136/138 drop这两个正是阿里云内网DNSping公网IP丢包大概率只是ICMP被禁如果网站还能访问如果网站也挂了是阿里云安全组出方向被限制服务器TCP出站未测试但内部路由/防火墙全部正常直接执行修复命令# 第一步修复DNSANTI_DDOS拦截阿里云DNS# 配置systemd-resolved使用公共DNS绕过被拦截的阿里云DNScat/etc/systemd/resolved.confEOF [Resolve] DNS223.5.5.5 114.114.114.114 FallbackDNS8.8.8.8 DNSStubListeneryes EOFsystemctl restart systemd-resolved# 重建resolv.conf软链接rm-f/etc/resolv.confln-sf/run/systemd/resolve/stub-resolv.conf /etc/resolv.conf# 测试DNSecho DNS测试 ping-c4www.bt.cn# 第二步确认业务网络是否真断了 echo TCP出站测试 nc-vz223.5.5.553nc-vz7.255.129.25180nc-vzwww.bt.cn443执行后分两种情况处理情况ADNS通了且nc -vz www.bt.cn 443显示succeeded结论网络根本没断只是ICMP ping被禁了。你的网站一直能正常访问DNS修复后SSL续签也能正常工作ping不通是安全策略不影响业务无需进一步操作直接测试SSL续签/www/server/panel/pyenv/bin/python3-u/www/server/panel/class/acme_v2.py--renew1情况BDNS仍失败且nc测试全部连接超时结论阿里云侧出方向被限制。立刻去 阿里云ECS控制台实例详情→ 点击绑定的安全组ID出方向规则→ 如果有任何规则全部删除默认无规则全部允许返回实例页 →重启实例让VPC网关重新建立会话重启后再次执行上面的DNS和nc测试。为什么升级宝塔会导致这个问题宝塔8→11升级过程中重新安装并激活了ANTI_DDOS防火墙模块。这个模块默认拦截了来自100.100.2.136和100.100.2.138的流量阿里云内网DNS服务器的IP导致服务器发出DNS查询 → 到达阿里云DNSDNS响应返回 → 被ANTI_DDOS在INPUT链拦截systemd-resolved超时 →Temporary failure in name resolution而ping不通公网IP如果网站本身正常则与宝塔升级无关是原本就存在的ICMP限制。把上面命令的执行结果贴给我我确认是情况A还是情况B。