DNS stále vracia NXDOMAIN. Kedy resolver uvidí nový záznam?
Záznam ste pridali, no časť návštevníkov doménu stále neotvorí. Porovnajte DNS odpovede a zistite, či resolver ešte používa starú negatívnu odpoveď.
Pred spustením novej subdomény si overíte jej názov a dostanete NXDOMAIN. O chvíľu pridáte záznam A. Autoritatívny server už vracia správnu adresu, no z tej istej siete sa na web stále nedostanete. Rekurzívny resolver si mohol uložiť predchádzajúcu odpoveď o tom, že názov neexistoval. Na potvrdenie potrebujete odpoveď z resolvera, ktorý používa dotknutý klient.
Rozlíšte chýbajúci názov, typ záznamu a chybu resolvera
NXDOMAIN znamená, že DNS oznámilo neexistujúci názov. Pri reťazci CNAME sa môže týkať až jeho cieľa. Ak názov existuje a chýba požadovaný typ, odpoveď môže mať stav NOERROR, prázdnu sekciu ANSWER a SOA záznam v sekcii AUTHORITY. Hovorí sa jej NODATA. Napríklad názov môže mať záznam A, kým dotaz na AAAA vráti NODATA.
Resolver môže uloženú odpoveď NXDOMAIN použiť aj pri dotaze na iný typ záznamu pre ten istý názov a triedu. NODATA sa ukladá pre konkrétny typ. SERVFAIL vyjadruje zlyhanie pri preklade, napríklad pri overovaní DNSSEC. Aj také zlyhanie môže resolver dočasne uchovať, no z jeho odpovede sa nedá vyčítať, že názov chýba.
Zopakujte rovnaký dotaz na dvoch miestach
Použite dig @192.0.2.54 api.example.com. A na dotaz cez resolver používateľa. Potom sa opýtajte autoritatívneho servera príkazom dig @192.0.2.53 api.example.com. A +norecurse. Názov aj adresy sú ilustračné. Nahraďte ich dotknutým názvom a skutočnými adresami serverov. Ak prehliadač používa vlastný resolver cez DNS over HTTPS, overte aj túto cestu.
Zapíšte čas, adresu servera, stav a sekcie ANSWER a AUTHORITY. Pri priamom dotaze overte príznak aa a podľa potreby porovnajte všetky autoritatívne servery uvedené v delegácii. Ak sa ich odpovede líšia, preverujte publikovanie zóny. Keď sa zhodujú na správnej adrese a dotknutý resolver stále vracia NXDOMAIN so SOA, opakovaný dotaz s klesajúcim TTL podporuje vysvetlenie, že ide o starú odpoveď z cache.
Odhadnite čakanie podľa TTL záznamu SOA
Autoritatívny server pri zápornej odpovedi porovná TTL záznamu SOA s hodnotou jeho poľa MINIMUM a použije nižšie číslo. Pri TTL 3600 sekúnd a MINIMUM 900 sekúnd môže resolver túto odpoveď uložiť najviac na 900 sekúnd. Keď v negatívnej odpovedi z resolvera uvidíte pri SOA TTL 180, vráťte sa k meraniu približne o tri minúty. Iný resolver môže mať iný zostávajúci čas.
Zníženie TTL nového záznamu A už uloženú odpoveď NXDOMAIN neskráti. Ak spravujete dotknutý resolver, môžete po kontrole autoritatívnych odpovedí vyčistiť príslušnú položku podľa dokumentácie. Vyčistenie cache v notebooku pomôže iba vtedy, keď starú odpoveď drží lokálna vrstva. Ak ju stále vracia resolver, notebook ju môže získať znova.
Overte obnovu z pôvodne dotknutej siete
Zopakujte dotaz cez pôvodný resolver a potom otestujte HTTPS na skutočnom názve služby z rovnakej siete. Overte certifikát aj funkciu, ktorú návštevník potrebuje. Ak preklad mena už funguje a zlyháva až HTTPS, pokračujte v diagnostike spojenia alebo aplikácie.
Pred ďalším spustením publikujte záznamy s predstihom. Ak sa na názov mohli klienti pýtať ešte pred zmenou, nechajte čas aj na vypršanie uložených negatívnych odpovedí. Pri kontrole zaznamenávajte, ktorý resolver odpovedal a či vrátil NXDOMAIN, NODATA alebo chybu prekladu. Pri ďalšom hlásení budete vedieť zopakovať rovnaký test.
- Zaznamenajte presný názov, typ dotazu a resolver.
- Overte zhodu odpovedí autoritatívnych serverov.
- Pri zápornej odpovedi sledujte zostávajúce TTL pri SOA.
- Potvrďte preklad aj HTTPS z dotknutej siete.
Čo si odniesť
Keď je záznam už v zóne, zistite, akú odpoveď ešte vracia resolver používateľa. Zostávajúce TTL v negatívnej odpovedi vám pomôže naplánovať ďalší test. Obnovu potvrďte až po úspešnom preklade mena a overení služby cez HTTPS.
