用途：当 VPC 内名称解析不符合预期，或在应用 DNS 控制面变更前，用该技能进行排查与验证。它通过已连接的 aws-vpc-dns-diagnostics MCP 服务器调用工具，所有工具均为只读，不修改、删除或创建 DNS 资源。
主要能力：先区分两种模式。模式 A（实时诊断）针对运行中实例的解析症状，需 account_id、region、instance_id 和失败域名，依次调用 dns_probe_context（检查 enableDnsSupport、enableDnsHostnames、地址族、DHCP 选项集）、dns_probe_compare（经 SSM 在实例内运行允许的探测集，返回各解析器答案及 hostname.bind 身份，并自动加入 VPC DHCP 解析器对比），再按观察到的特征用 get_sop 加载对应运行手册。模式 B（变更前验证）需 account_id、region、vpc_id 和变更描述，依次调用 dns_simulate_effective_config（返回 VPC 有效 DNS 配置，含直接附加资源与经 Route 53 Profile 继承的构造）和 dns_simulate_change（符号化应用变更并返回逐名称影响报告），再按陷阱标签加载运行手册。
使用方式：任何模式都先调用 get_sop 加载 A-critical-safety-rules 并遵守。模式 A 按名称类别判断答案，而非解析器是否一致；模式 B 必须先模拟再建议变更。跨账户不透明构造用 C-cross-account-opaque-constructs 处理，报告为“存在但内容未知”。
适用场景：NXDOMAIN 等解析症状、自定义解析器与 VPC .2 分歧、FORWARD 规则与 PHZ 冲突、地址族差异、VPCE 遮蔽、宽泛 FORWARD 扫描、DNS 防火墙阻断、Profile 传播时序等。
限制：模式 A 需 SSM 可达（ssm、ssmmessages、ec2messages VPC 端点及具备 AmazonSSMManagedInstanceCore 的实例角色）；模式 B 候选集不穷尽，仅限 API 派生或操作者提供的名称；不透明构造无法从本账户解析；未实现 Resolver Query Log 摄取，流量数据需操作者提供。需在 Agent Space 注册该 MCP 服务器并允许其工具，服务器位于 mcp/aws-vpc-dns-diagnostics-mcp/；若未注册或 SSM 不可达，应报告为阻塞项。