DNS_PROBE_FINISHED_NXDOMAIN: årsager og rettelser

Hvad fejlen betyder

Før en browser kan forbinde til en hjemmeside, spørger den Domain Name System om adressen bag navnet. NXDOMAIN er DNS-svaret “dette navn findes ikke”. Chrome viser det som DNS_PROBE_FINISHED_NXDOMAIN (“Webstedet kan ikke nås”), Firefox som “Hmm. Vi har problemer med at finde det websted”, Safari som “Safari kan ikke finde serveren”. Der blev ikke forsøgt nogen forbindelse; browseren fik aldrig en adresse at forbinde til.

Det er på én måde en god nyhed: webserveren er slet ikke involveret. Problemet ligger i DNS, enten hos den besøgende (en tastefejl, en forældet cache, en forkert resolver) eller hos ejeren (domænet eller dets records er væk).

Almindelige årsager

Hos den besøgende

1. En tastefejl i adressen eller et link til et domæne, der ikke længere findes.
2. En DNS-cache på computeren, i browseren eller i routeren, der stadig rummer et gammelt “findes ikke”-svar.
3. En resolver, der ikke kan nå internettet, en VPN eller et firmanetværk, der blokerer domænet, et forældrefilter.
4. Antivirus- eller “webbeskyttelses”-software, der opfanger DNS.

Hos ejeren

5. Domænet er udløbet. Registratoren fjerner nameserverne ved udløb, og fra det øjeblik findes navnet ikke. Den hyppigste årsag til en hjemmeside, der virkede i går.
6. A- eller AAAA-recorden mangler. Efter en flytning til en ny hostingudbyder eller en ny DNS-udbyder blev recorden for www eller for det rene domæne aldrig oprettet.
7. Nameservere ændret, men zonen er tom. Du pegede domænet på Cloudflare eller en ny hostingudbyder, men kopierede ikke recordsene derhen først.
8. Et underdomæne, der aldrig blev sat op. shop.example.com returnerer NXDOMAIN, fordi der ingen record er for shop, mens example.com virker.
9. DNSSEC ødelagt. En forkert DS-record hos registratoren efter et udbyderskift får validerende resolvere (de fleste i dag) til at returnere en fejl, som browsere viser som NXDOMAIN eller en lignende fejl.
10. Propagering. Du har lige ændret nameservere; nogle resolvere ser stadig den gamle, nu tomme zone. Det tager op til TTL, i værste fald 24 til 48 timer.

Hvis du er besøgende

1. Tjek stavningen af adressen, og prøv den med og uden www.
2. Ryd DNS-cachen: Windows ipconfig /flushdns, macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, Linux sudo resolvectl flush-caches. I Chrome åbner du chrome://net-internals/#dns og klikker på “Clear host cache”.
3. Genstart routeren, eller prøv hjemmesiden på din telefon med wifi slået fra. Virker den dér, er dit netværks resolver problemet.
4. Skift resolveren til en offentlig (1.1.1.1 eller 9.9.9.9) i netværksindstillingerne.
5. Hjælper intet af det, er domænet virkelig væk eller ødelagt, og kun dets ejer kan rette det.

Hvis det er din hjemmeside: tjek først

Kør tjekket af, om hjemmesiden er nede: det fortæller, om domænet kan slås op fra en neutral lokation. Hvis ikke, så fortsæt her. Hvis det kan, ligger problemet hos din besøgende; send dem listen ovenfor.

Se så på selve domænet:

# kan navnet slås op, og hvem svarer?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# spørg den autoritative nameserver direkte (springer alle caches over)
dig @ns1.your-dns-provider.com example.com A

# registreringsstatus og udløbsdato
whois example.com | grep -iE 'expir|status'

Et tomt svar fra dig med status: NXDOMAIN i det fulde output betyder, at recorden ikke findes hos den autoritative server. Viser whois en status som clientHold, redemptionPeriod eller pendingDelete, er det registreringen, der er problemet, ikke recordsene.

# DNSSEC: en ødelagt kæde viser sig som SERVFAIL hos validerende resolvere
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Rettelser til hjemmesideejere

1. Udløbet domæne

Log ind hos din registrator, og forny. De fleste registratorer genopretter et domæne inden for få minutter efter betaling i henstandsperioden (som regel 30 dage); i indløsningsperioden efter det koster det et gebyr for genoprettelse og tager længere tid. Sæt domænet til automatisk fornyelse, og sørg for, at kortet på filen er gyldigt; et domæne, der udløber, tager mail, hjemmeside og hvert underdomæne ned på én gang.

2. Manglende record

Hos din DNS-udbyder tilføjer du den record, der mangler. For en hjemmeside er det typisk:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Brug IP-adressen på din webserver (hostname -I på serveren eller den adresse, din hostingudbyder gav dig). Har serveren IPv6, så tilføj også en AAAA-record, eller fjern den ødelagte, hvis serveren ingen har. Ændringer træder i kraft inden for recordens TTL, som regel 5 minutter til en time.

3. Tom zone efter skift af nameservere

Før du skifter nameservere, eksportér zonen fra den gamle udbyder (dig example.com AXFR @old-ns virker sjældent; de fleste udbydere har en eksportknap) og importér den hos den nye. Har du allerede skiftet: genopret recordsene hos den nye udbyder; A for det rene domæne og www, MX og TXT til mail og alle underdomæner, du bruger. Den gamle udbyder viser ofte stadig listen.

4. DNSSEC

Returnerer dig +dnssec SERVFAIL, mens den almindelige forespørgsel hos den autoritative server virker, passer DS-recorden hos registratoren ikke til nøglerne hos DNS-udbyderen. Fjern enten DNSSEC hos registratoren (fjern DS-recorden), indtil begge sider er sat op sammen, eller kopiér den nye DS-record fra DNS-udbyderen til registratoren.

5. På din egen server

Intet på webserveren forårsager NXDOMAIN, så der er intet at genstarte. Tjek alligevel, at serverens egen resolver virker, for en server, der ikke kan slå navne op, fejler ved opdateringer, mail og API-kald:

resolvectl status | head -20
dig +short example.com @127.0.0.53

Når det er din hostingudbyders problem

Hvis din hostingudbyder også driver din DNS (almindeligt ved delt hosting), og recordsene ser rigtige ud i deres panel, men stadig ikke kan slås op udefra, så send dem:

Hej, mit domæne example.com kan ikke slås op (NXDOMAIN) siden ca. kl. 11:00 UTC. Recordsene i kontrolpanelet ser korrekte ud, og domænet er registreret til 2027. Kan I tjekke DNS-zonen på jeres nameservere og om domænet stadig er delegeret til dem?

Forebyg den næste

NXDOMAIN på dit eget domæne er næsten altid den udløbsdato, du glemte, eller den record, du ikke kopierede. En DNS-overvågning sammenligner dine records med de værdier, du forventer, og giver dig besked i det øjeblik, en forsvinder eller ændres; et hjemmesidetjek udefra fanger det øjeblik, navnet holder op med at kunne slås op. Begge er en del af overvågning af hjemmesider, gratis for de første 50 overvågninger. Og hvis recordsene ligger på din egen server, genopretter en Deep Fix dem.