200多台机子统一改DNS，我留了5台没动，结果救了自己一命

上周单位网络改造，上头要求所有办公机统一走新内网DNS。我手上200多台，按老规矩先拉了个台账，把每台机的原DNS配置、所属楼层、IP段全记下来，然后挑了5台样机先改——3台在办公区，2台在机房角落那种犄角旮旯的位置。

改完头两天没事，第三天开始有同事反映内网系统登不上，报的是域名解析超时。我跑过去一看，那两台角落的机子DNS设置被别的软件改回去了。查了一圈，是某安全软件自带的“网络修复”功能，检测到DNS响应慢就自动把设置重置成运营商默认。我翻优化工具的日志才确认，它有个网络环境检测项，默认会动DNS。

这里头有个坑得说清楚：批量推这类网络配置，不能光看改没改成功，得看它会不会被后台其他程序悄悄改回来。我的做法是改完DNS后，在每台机子上加一条计划任务，每小时把当前DNS和台账里的值比对一次，不一致就写日志。这脚本不复杂，二十来行，跑了一周，揪出11台被改回去的，全是装了那个安全软件的。

后来我调整了策略：先在样机上把安全软件的网络修复项关掉，再改DNS，观察三天没反弹才往剩下190多台推。推的时候分三批，每批隔一天，批间抽5台复查。

台账这块我也改进了，不光记原DNS，还记了每台机装的安全软件版本号，方便出问题时快速定位。老硬件那边，2012年的老机子改DNS后开机慢了十几秒，我怀疑是网络初始化顺序的问题，还没深究，打算下周拿两台单独测。

想问问各位：你们批量改网络配置的时候，有没有遇到过被安全软件或优化工具自动改回去的情况？是怎么防的？