Início / server / Perguntas / 1023877
Accepted
Tobia
Asked: 2020-07-04 02:37:20 +0800 CST

Propagação de DNS parcialmente feita

  • 772

Algumas semanas atrás, iniciei um servidor autoritativo powerdns para um domínio de terceiro nível. Após 2 semanas ainda tenho alguns dns públicos não resolvendo meus registros, por exemplo o google (8.8.8.8) está resolvendo, mas o opendns (208.67.222.220) não está resolvendo. Eu tentei alguma ferramenta de verificação de DNS online e posso dizer que apenas 50% dos DNS públicos funcionam com meu registro.

Como posso entender o porquê? Ele pode ser conectado ao DNSSEC (não habilitei)?

domain-name-system dns-zone

2 respostas

  1. Best Answer

    Então, parece que você delegou o controle para ep.cinebot.it.outro servidor de nomes:

    ;; AUTHORITY SECTION:
ep.cinebot.it.          3600    IN      NS      mbox.cinebot.it.
ep.cinebot.it.          3600    IN      NS      srv1.cinebot.it.

;; ADDITIONAL SECTION:
mbox.cinebot.it.        3600    IN      A       51.255.48.120
srv1.cinebot.it.        3600    IN      A       51.255.48.120

;; SERVER: 213.251.128.129#53(213.251.128.129)  ### ns10.ovh.net

    Agora, existem alguns problemas:

    • Você só tem um servidor de nomes ; uma configuração propensa a erros. Você deve ter pelo menos dois servidores de nomes em redes separadas ( Requisitos técnicos da IANA para servidores de nomes autoritativos ).

    • O 51.255.48.120não responde a todos . É em status: SERVFAILvez de NXDOMAIN. Existe algum tipo de firewall? Ou talvez Fail2Ban com configuração muito estrita?

      Por exemplo, enquanto o DNSViz paratest.ep.cinebot.it mostra principalmente que não há DNSSEC para cinebot.it(provando que não há problema com o DNSSEC), ele também fornece um erro claro sugerindo problemas de comunicação:

      Zona ep.cinebot.it: O(s) servidor(es) não respondeu(m) a consultas sobre TCP. (51.255.48.120)

      Com +traceeu recebo resultados consistentes de 1.1.1.1(Cloudflare) e 208.67.222.220(OpenDNS), e ocasionalmente até de 8.8.8.8/ 8.8.4.4(Google):

       $ dig test.ep.cinebot.it +trace +tcp @1.1.1.1

 ;; communications error to 51.255.48.120#53: end of file
 ;; communications error to 51.255.48.120#53: end of file

      Isso me fez também verificar se o problema é com conexões UDP vs. TCP, mas parece que seu servidor responde da mesma forma com dig +tcpe +notcp:

       ;; ANSWER SECTION:
 test.ep.cinebot.it.     60      IN      A       93.42.126.242

 ;; Query time: 27 msec
 ;; SERVER: 51.255.48.120#53(51.255.48.120)

    • Além disso, seu TTL é extremamente baixo (60 segundos). Isso significa que os servidores de nomes recursivos não armazenarão as respostas em cache por muito tempo, o que enfatiza a importância de servidores de nomes responsivos e redundantes.

    • 3

  2. Depois de um pouco de depuração graças à resposta de Esa, o problema era meu back-end DNS. Descobri que ";; erro de comunicação para ..." não era um problema de acessibilidade, mas uma resposta vazia do servidor DNS.

    A causa da resposta vazia foi um erro do back-end DNS (power-dsn com mysql).

    • 1

relate perguntas