Come risolvere gli errori NXDOMAIN e SERVFAIL

Che cosa significano davvero questi errori

NXDOMAIN — NXDOMAIN (Non-Existent Domain) è una risposta autoritativa: il name server responsabile della zona ha comunicato che il nome non esiste. La query ha funzionato: semplicemente non esiste quel record.

SERVFAIL — SERVFAIL è un'altra cosa: il resolver non è riuscito a completare la query. Qualcosa è rotto tra il tuo resolver e i name server autoritativi: server irraggiungibili, una delega zoppa o una validazione DNSSEC fallita.

$ dig missing.example.com
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 21744

$ dig broken-dnssec.example.net
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 31921

Cause comuni di NXDOMAIN

• un errore di battitura nel dominio o nel nome host (www o senza www, record del sottodominio mancante)
• il record non è mai stato creato, ad esempio manca un CNAME per un sottodominio
• il dominio è scaduto ed è stato rimosso dalla zona del TLD
• la modifica non si è ancora propagata e in cache c'è una vecchia risposta negativa

Cause comuni di SERVFAIL

• tutti i name server autoritativi sono giù o irraggiungibili
• delega zoppa: i record NS puntano a server che non ospitano la zona
• validazione DNSSEC fallita: firme scadute o non corrispondenti (molto comune dopo una migrazione)
• la zona è stata trasferita a un nuovo provider ma presso il registrar restano i vecchi record NS

Diagnosticalo in tre passi

1. Verifica che cosa dicono i server autoritativi

Esegui una query con il resolver impostato su «Authoritative NS». Se la risposta autoritativa è corretta ma i resolver pubblici no, il problema è di cache o propagazione, non una zona rotta. → DNS Lookup

2. Confronta i resolver nel mondo

Una verifica della propagazione su 18 resolver ti dice subito se il problema è globale (zona rotta) o parziale (cache ancora in scadenza). → DNS Propagation

3. Verifica la catena di delega e il DNSSEC

DNS Trace parte dai root server, passa per il TLD e arriva alla tua zona, mostrando dove la catena si interrompe. Se il dominio è firmato, un controllo DNSSEC individuerà firme scadute o mancanti: la classica causa silenziosa di SERVFAIL. → DNS Trace · → DNSSEC Check

Soluzioni tipiche

• Dominio scaduto → rinnovalo presso il registrar; metti in conto fino a 24-48 h perché la zona del TLD si aggiorni
• Record mancante → aggiungilo presso il tuo provider DNS e mantieni il TTL tra 300 e 3600 s
• Delega zoppa → fai in modo che i record NS presso il registrar corrispondano ai server che ospitano davvero la zona
• Errore DNSSEC → rifirma la zona o aggiorna il record DS presso il registrar; se hai cambiato provider, rimuovi prima il DS obsoleto
• Cache negativa obsoleta → attendi la scadenza del TTL minimo del SOA, oppure interroga un altro resolver per confermare che la correzione è attiva