DNS_PROBE_FINISHED_NXDOMAIN: syyt ja korjaukset

Mitä virhe tarkoittaa

Ennen kuin selain voi ottaa yhteyden verkkosivustoon, se kysyy verkkotunnusjärjestelmältä (DNS) nimen takana olevaa osoitetta. NXDOMAIN on DNS:n vastaus ”tätä nimeä ei ole olemassa”. Chrome näyttää sen muodossa DNS_PROBE_FINISHED_NXDOMAIN (”Sivustoon ei saada yhteyttä”), Firefox tekstillä ”Hmm. Sivuston löytämisessä on ongelmia”, Safari tekstillä ”Safari ei löydä palvelinta”. Yhteyttä ei yritetty muodostaa; selain ei koskaan saanut osoitetta, johon ottaa yhteyttä.

Se on yhdessä mielessä hyvä uutinen: verkkopalvelin ei ole mukana lainkaan. Ongelma on DNS:ssä, joko kävijän päässä (kirjoitusvirhe, vanhentunut välimuisti, väärä resolveri) tai omistajan päässä (verkkotunnus tai sen tietueet ovat poissa).

Yleiset syyt

Kävijän päässä

1. Kirjoitusvirhe osoitteessa tai linkki verkkotunnukseen, jota ei enää ole.
2. Tietokoneen, selaimen tai reitittimen DNS-välimuisti, joka pitää yhä vanhaa ”ei ole olemassa” -vastausta.
3. Resolveri, joka ei pääse internetiin, VPN tai yritysverkko, joka estää verkkotunnuksen, lapsilukko.
4. Virustorjunta- tai ”verkkosuojaus”-ohjelmisto, joka sieppaa DNS:n.

Omistajan päässä

5. Verkkotunnus on vanhentunut. Rekisteröijä poistaa nimipalvelimet vanhenemishetkellä, ja siitä hetkestä nimeä ei ole olemassa. Yleisin syy sivustolle, joka toimi eilen.
6. A- tai AAAA-tietue puuttuu. Siirron jälkeen uudelle hostingille tai uudelle DNS-palveluntarjoajalle www-tietuetta tai pelkän verkkotunnuksen tietuetta ei koskaan luotu.
7. Nimipalvelimet vaihtuivat mutta vyöhyke on tyhjä. Osoitit verkkotunnuksen Cloudflareen tai uudelle hostingille mutta et kopioinut tietueita sinne ensin.
8. Aliverkkotunnus, jota ei koskaan otettu käyttöön. shop.example.com palauttaa NXDOMAIN, koska shopille ei ole tietuetta, vaikka example.com toimii.
9. DNSSEC rikki. Väärä DS-tietue rekisteröijällä palveluntarjoajan vaihdon jälkeen saa validoivat resolverit (nykyään useimmat) palauttamaan virheen, jonka selaimet näyttävät NXDOMAIN-virheenä tai vastaavana.
10. Leviäminen. Vaihdoit juuri nimipalvelimia; jotkin resolverit näkevät yhä vanhan, nyt tyhjän vyöhykkeen. Kestää enintään TTL:n, pahimmillaan 24–48 tuntia.

Jos olet kävijä

1. Tarkista osoitteen kirjoitusasu ja kokeile sitä www:n kanssa ja ilman.
2. Tyhjennä DNS-välimuisti: Windows ipconfig /flushdns, macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, Linux sudo resolvectl flush-caches. Avaa Chromessa chrome://net-internals/#dns ja napsauta ”Clear host cache”.
3. Käynnistä reititin uudelleen tai kokeile sivustoa puhelimella wifi pois päältä. Jos se toimii siellä, verkkosi resolveri on ongelma.
4. Vaihda resolveri julkiseen (1.1.1.1 tai 9.9.9.9) verkkoasetuksissa.
5. Jos mikään näistä ei auta, verkkotunnus on todella poissa tai rikki, ja vain sen omistaja voi korjata sen.

Jos kyse on sinun sivustostasi: tarkista ensin

Aja sivuston saatavuuden tarkistin: se kertoo, selviääkö verkkotunnus osoitteeksi neutraalista sijainnista. Jos ei, jatka tästä. Jos selviää, ongelma on kävijän päässä; lähetä hänelle yllä oleva lista.

Katso sitten itse verkkotunnusta:

# selviääkö nimi osoitteeksi ja kuka vastaa?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# kysy auktoritatiivista nimipalvelinta suoraan (ohittaa kaikki välimuistit)
dig @ns1.your-dns-provider.com example.com A

# rekisteröinnin tila ja vanhenemispäivä
whois example.com | grep -iE 'expir|status'

Tyhjä vastaus digltä ja koko tulosteessa status: NXDOMAIN tarkoittaa, ettei tietuetta ole auktoritatiivisella palvelimella. Jos whois näyttää tilan kuten clientHold, redemptionPeriod tai pendingDelete, ongelma on rekisteröinnissä, ei tietueissa.

# DNSSEC: rikkinäinen ketju näkyy SERVFAIL-vastauksena validoivilla resolvereilla
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Korjaukset sivuston omistajille

1. Vanhentunut verkkotunnus

Kirjaudu rekisteröijälle ja uusi. Useimmat rekisteröijät palauttavat verkkotunnuksen minuuteissa maksun jälkeen lisäaikana (yleensä 30 päivää); sen jälkeisessä lunastusjaksossa se maksaa palautusmaksun ja kestää kauemmin. Aseta verkkotunnus uusiutumaan automaattisesti ja varmista, että tallennettu kortti on ajan tasalla; vanhentuva verkkotunnus vie postin, verkkosivuston ja jokaisen aliverkkotunnuksen alas kerralla.

2. Puuttuva tietue

Lisää DNS-palveluntarjoajalla puuttuva tietue. Verkkosivustolle se on tyypillisesti:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Käytä verkkopalvelimesi IP-osoitetta (hostname -I palvelimella tai osoite, jonka palveluntarjoajasi antoi). Jos palvelimella on IPv6, lisää myös AAAA-tietue tai poista rikkinäinen, jos palvelimella ei ole sitä. Muutokset tulevat voimaan tietueen TTL:n kuluessa, yleensä 5 minuutista tuntiin.

3. Tyhjä vyöhyke nimipalvelinvaihdon jälkeen

Ennen nimipalvelinten vaihtoa vie vyöhyke vanhalta palveluntarjoajalta (dig example.com AXFR @old-ns toimii harvoin; useimmilla palveluntarjoajilla on vientipainike) ja tuo se uudelle. Jos olet jo vaihtanut: luo tietueet uudelleen uudella palveluntarjoajalla; A pelkälle verkkotunnukselle ja www:lle, MX ja TXT postille sekä kaikki käyttämäsi aliverkkotunnukset. Vanha palveluntarjoaja näyttää listan usein yhä.

4. DNSSEC

Jos dig +dnssec palauttaa SERVFAIL, vaikka tavallinen kysely auktoritatiivisella palvelimella toimii, rekisteröijän DS-tietue ei vastaa DNS-palveluntarjoajan avaimia. Joko poista DNSSEC rekisteröijältä (poista DS-tietue), kunnes molemmat puolet asetetaan yhdessä, tai kopioi uusi DS-tietue DNS-palveluntarjoajalta rekisteröijälle.

5. Omalla palvelimella

Mikään verkkopalvelimella ei aiheuta NXDOMAINia, joten mitään ei ole uudelleenkäynnistettävää. Tarkista silti, että palvelimesi oma resolveri toimii, koska palvelin, joka ei pysty selvittämään nimiä, epäonnistuu päivityksissä, postissa ja API-kutsuissa:

resolvectl status | head -20
dig +short example.com @127.0.0.53

Kun ongelma on palveluntarjoajan

Jos palveluntarjoajasi ylläpitää myös DNS:ääsi (yleistä jaetussa hostingissa) ja tietueet näyttävät oikeilta heidän paneelissaan mutta eivät silti selviä ulkopuolelta, lähetä heille:

Hei, verkkotunnukseni example.com ei selviä osoitteeksi (NXDOMAIN) noin klo 11.00 UTC alkaen. Hallintapaneelin tietueet näyttävät oikeilta ja verkkotunnus on rekisteröity vuoteen 2027 asti. Pyydän tarkistamaan nimipalvelimienne DNS-vyöhykkeen ja onko verkkotunnus yhä delegoitu niille.

Seuraavan ehkäiseminen

NXDOMAIN omalla verkkotunnuksella on lähes aina unohtunut vanheneminen tai tietue, jota ei kopioitu. DNS-valvonta vertaa tietueitasi odottamiisi arvoihin ja hälyttää heti, kun jokin katoaa tai muuttuu; ulkoa tehtävä verkkosivutarkistus havaitsee hetken, jolloin nimi lakkaa selviämästä. Molemmat kuuluvat verkkosivuston valvontaan, ilmaiseksi ensimmäiselle 50 valvonnalle. Ja jos tietueet sijaitsevat omalla palvelimellasi, Deep Fix palauttaa ne.