So sieht die Meldung aus
DNS_PROBE_FINISHED_NXDOMAIN – ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 41382Häufige Ursachen
- Tippfehler im Hostnamen oder Record in der falschen Zone angelegt (z. B. www.example.com.example.com).
- Record wurde noch nicht angelegt oder beim Umzug vergessen.
- Domain abgelaufen oder Nameserver bei der Registry nicht (mehr) korrekt eingetragen.
- Negativ-Cache: Ein Resolver hat das NXDOMAIN gespeichert, die Dauer bestimmt der SOA-Minimum-Wert.
- Lokale Ursachen: /etc/hosts, VPN mit Split-DNS, Pi-hole oder ein Firmen-Resolver blockiert.
Prüfen
- Status und Authority-Abschnitt der Antwort anzeigen
dig www.example.com A +noall +comments +answer +authority - Delegation bei der TLD prüfen
dig example.com NS +short @$(dig +short NS com. | head -n 1) - Autoritativen Nameserver direkt fragen
dig www.example.com A +short @$(dig +short NS example.com | head -n 1) - Status und Ablauf der Domain prüfen
whois example.com | grep -iE 'status|expir|name server'
Lösung
- Antwort des autoritativen Nameservers als Referenz nehmen – liefert er den Record, ist es ein Cache-Problem.
- Fehlenden Record anlegen; bei Hostnamen in Zonen-Editoren meist nur
wwweintragen, nicht den vollen Namen. - Abgelaufene Domain beim Registrar verlängern und NS-Einträge prüfen.
- Bei Negativ-Cache warten (SOA-Minimum) oder lokale Caches leeren:
resolvectl flush-caches. - Vor Umzügen alle Records exportieren und nach dem Umzug gegen den neuen Nameserver testen.
Häufige Fragen
Wie lange bleibt ein NXDOMAIN im Cache?
So lange, wie das Minimum-Feld bzw. die TTL des SOA-Records vorgibt, oft 300 bis 3600 Sekunden. Erst danach fragt der Resolver erneut.
Was ist der Unterschied zu SERVFAIL?
NXDOMAIN heißt: Der Name existiert sicher nicht. SERVFAIL heißt: Der Resolver konnte keine gültige Antwort ermitteln, z. B. wegen DNSSEC oder nicht erreichbarer Nameserver.