DNS отвечает SERVFAIL
SERVFAIL означает, что резолвер не смог получить достоверный ответ — часто из-за DNSSEC, неработающих NS или ошибок зоны.
Проверьте по порядку
Сначала локализуйте слой сбоя и только потом меняйте конфигурацию.
- 1Сравните ответ публичного резолвера и прямой запрос к авторитетным NS.
- 2Проверьте, отвечают ли все NS домена и согласованы ли у них SOA/serial.
- 3Если включён DNSSEC, сверяйте DS у регистратора с ключами текущей DNS-зоны.
- 4Проверьте glue-записи, если NS находятся внутри самого домена.
Как читать результат
DNSSEC сломан
Признак: Без валидации ответ есть, валидирующие резолверы дают SERVFAIL.
Что делать: Исправьте DS/DNSKEY или временно корректно отключите DNSSEC.
Один/все NS недоступны
Признак: Авторитетный сервер не отвечает.
Что делать: Восстановите DNS-сервис и сетевую доступность 53 UDP/TCP.
Ошибка делегирования
Признак: Родительская зона указывает не туда.
Что делать: Исправьте NS/glue у регистратора.
Сохраняйте наблюдаемую ошибку
Код ответа, заголовки и запись в логе полезнее случайного «починилось после перезапуска»: именно они показывают, какой слой действительно сломался.