Jak naprawić błędy NXDOMAIN i SERVFAIL

Co te błędy naprawdę znaczą

NXDOMAIN — NXDOMAIN (Non-Existent Domain) to odpowiedź autorytatywna: serwer nazw odpowiedzialny za strefę odpowiedział, że taka nazwa nie istnieje. Zapytanie zadziałało — po prostu nie ma takiego rekordu.

SERVFAIL — SERVFAIL to co innego: resolver w ogóle nie zdołał dokończyć zapytania. Coś między resolverem a serwerami autorytatywnymi jest zepsute — niedostępne serwery, błędna delegacja albo nieudana walidacja DNSSEC.

$ dig missing.example.com
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 21744

$ dig broken-dnssec.example.net
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 31921

Częste przyczyny NXDOMAIN

• Literówka w domenie lub nazwie hosta (www vs bez www, brak rekordu subdomeny)
• Rekord nigdy nie powstał — np. brakuje CNAME dla subdomeny
• Domena wygasła i została usunięta ze strefy TLD
• Zmiana jeszcze się nie rozpropagowała i w cache siedzi stara odpowiedź negatywna

Częste przyczyny SERVFAIL

• Wszystkie serwery autorytatywne są niedostępne
• Lame delegation — rekordy NS wskazują serwery, które nie hostują strefy
• Błąd walidacji DNSSEC — wygasłe lub niepasujące podpisy (bardzo częste po migracji)
• Strefa przeniesiona do nowego dostawcy, ale u rejestratora zostały stare rekordy NS

Diagnoza w trzech krokach

1. Sprawdź, co mówią serwery autorytatywne

Wykonaj zapytanie z resolverem ustawionym na „Authoritative NS”. Jeśli odpowiedź autorytatywna jest poprawna, a publiczne resolvery się różnią — patrzysz na cache/propagację, nie na zepsutą strefę. → DNS Lookup

2. Porównaj resolvery na świecie

Test propagacji na 18 resolverach od razu pokaże, czy problem jest globalny (zepsuta strefa), czy częściowy (cache dopiero wygasa). → DNS Propagation

3. Zweryfikuj łańcuch delegacji i DNSSEC

DNS Trace przechodzi od serwerów root przez TLD aż do Twojej strefy i pokazuje, gdzie łańcuch się urywa. Jeśli domena jest podpisana, test DNSSEC wychwyci wygasłe lub brakujące podpisy — klasyczną cichą przyczynę SERVFAIL. → DNS Trace · → DNSSEC Check

Typowe naprawy

• Wygasła domena → odnów u rejestratora; aktualizacja strefy TLD może potrwać 24–48 h
• Brakujący rekord → dodaj go u dostawcy DNS, TTL trzymaj w zakresie 300–3600 s
• Lame delegation → rekordy NS u rejestratora muszą wskazywać serwery faktycznie hostujące strefę
• Błąd DNSSEC → podpisz strefę ponownie lub zaktualizuj rekord DS u rejestratora; po migracji najpierw usuń stary DS
• Stary negatywny cache → odczekaj minimum TTL z SOA albo sprawdź inny resolver, by potwierdzić, że naprawa działa