Когда домен «не открывается», полезно разделить несколько разных состояний: запись отсутствует, DNS-кэш устарел, IP верный, но веб-сервер недоступен, либо HTTPS отвечает не тем сертификатом.
Начните с авторитетного ответа
dig +short A example.com
dig +short AAAA example.com
dig +short NS example.com
Для проверки конкретного DNS-сервера укажите его после @, например dig @1.1.1.1 example.com A. Если вы только что сменили IP, сравните ответы нескольких резолверов.
TTL — не таймер глобального переключения
TTL показывает, как долго резолвер вправе хранить ответ. Он не гарантирует одинаковое обновление на всех клиентах в конкретную секунду: разные резолверы могли закэшировать запись в разное время. При плановой миграции уменьшите TTL заранее, но проверяйте фактические ответы.
Отделите DNS от маршрутизации
Если известен нужный IP, можно проверить веб-сервер без смены публичного DNS:
curl -v --resolve example.com:443:203.0.113.10 \
https://example.com/
Адрес 203.0.113.10 — документальный пример, его нужно заменить на реальный. --resolve заставляет curl соединиться по указанному IP, сохраняя нужное имя домена для HTTP Host и TLS SNI.
Простая последовательность диагностики
Проверяем DNS-ответ, затем TCP-доступность, затем TLS-рукопожатие, затем HTTP-код и тело ответа. Такой порядок позволяет быстро локализовать неисправность и не путать ошибки разных уровней.