J'ai récemment migré un domaine que je possède de Cloudflare vers Netlify DNS, j'ai donc dû mettre à jour mes serveurs de noms. Lorsque j'exécute une recherche DNS récursive qui contourne le cache DNS, tout semble être correctement configuré:
$ dig howtogit.net +trace
(output truncated)
howtogit.net. 20 IN A 159.65.199.87
;; Received 57 bytes from 198.51.44.1#53(dns1.p01.nsone.net) in 18 ms
Cependant, une recherche DNS régulière échoue:
$ nslookup howtogit.net
Server: 192.168.1.1
Address: 192.168.1.1#53
** server can't find howtogit.net: SERVFAIL
Je suppose que si la mise en cache était en faute, Cloudflare résoudrait toujours la recherche, ce qui n'est pas le cas. Une recherche à 8.8.8.8 (DNS de Google) échoue également:
$ dig @8.8.8.8 howtogit.net
; <<>> DiG 9.10.6 <<>> @8.8.8.8 howtogit.net
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 63809
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;howtogit.net. IN A
;; Query time: 43 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Sun Sep 23 13:05:50 CEST 2018
;; MSG SIZE rcvd: 41
Étant donné que les enregistrements DNS sont mis en cache, j'ai également essayé de vider le cache DNS de Google pour mes enregistrements NS et A. J'obtiens toujours le même résultat, malgré le changement intervenu il y a plus de 10 heures.
Ma configuration est-elle incorrecte? Comment puis-je m'assurer que mon DNS peut à nouveau se résoudre correctement?
la source
dnsviz.netdevrait facilement vous montrer qu'il y a un problème DNSSEC. En fait, vous pouvez clairement voir le problème ici: dnsviz.net/d/howtogit.net/W6d5WA/dnssec que vous pouvez comparer à celui qui fonctionne actuellement: dnsviz.net/d/howtogit.net/W6kJlg/dnssecdigéchec avec SERVFAIL mais si vous refaites exactement le même ajout+cdet qu'il n'échoue plus, cela signifie probablement que le problème est lié à DNSSEC.+cddésactiver les contrôles DNSSEC, d'où la différence possible. Mais SERVFAIL peut se produire pour beaucoup de problèmes, il n'y a pas (pour l'instant) de codes d'erreur étendus dans le DNS ...Réponses:
Il semblerait que la
howtogit.netzone utilisée pour qu'il ait signé, et qu'après avoir changé de serveur de noms, elle ne soit plus signée.Cependant, vous avez laissé l'ancien
DSenregistrement en place, indiquant que la zone doit être signée avec une clé spécifique.Supprimez l'
DSenregistrement ou signez à nouveau la zone et mettez à jour l'DSenregistrement si nécessaire (l'DSenregistrement est géré par votre registraire).Si vous regardez la fin de la
dig +tracesortie pertinente, il est en fait assez clair que cela doit être le cas (DSdans le cadre de la référence mais pasDNSKEYà la fin faisant autorité, ou tout simplement pas de signatures si vous interrogez un autre type):la source