Nota operativa: DNS SERVFAIL: trovare la causa (DNSSEC e altro)

daniele@mikweb: ~/blog — less nota-operativa-dns-servfail.md

Leggi il segnale

Parti dal testo esatto dell’errore e dall’ora nel log. Poi restringi la causa prima di cambiare qualcosa.

;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 41234

Dopo un cambio provider il record DS presso il registro non corrisponde più al DNSKEY della zona.
Firme RRSIG scadute perché la rifirma automatica si è fermata.
Lame delegation: i nameserver indicati non sono autoritativi per la zona o non sono raggiungibili.
I nameserver rispondono male o bloccano TCP/EDNS (risposte grandi).

Query con dati DNSSEC
```
dig example.com A +dnssec
```
Stessa query senza validazione: se funziona, il problema è DNSSEC
```
dig example.com A +cd
```

Interroga il DS nella zona padre

dig +short DS example.com @a.gtld-servers.net

Interroga il DNSKEY direttamente sul server autoritativo
```
dig +short DNSKEY example.com @ns1.example-dns.com
```

Elimina il DS sbagliato presso il registrar o sostituiscilo con quello giusto; tieni conto del TTL del DS.
Quando sposti un dominio firmato DNSSEC togli prima il DS, aspetta il TTL, poi sposta e rifirma.
Controlla e ripara la rifirma automatica presso il provider DNS o in BIND/PowerDNS.
Allinea i record NS presso il registro e nella zona.

Poi ripeti l’azione iniziale e confronta il risultato con l’errore di partenza.

Annota l’errore esatto, il risultato del controllo, la modifica e la nuova prova. Il team avrà un punto di partenza utile nel prossimo caso.

Solo i resolver che validano (1.1.1.1, 8.8.8.8, molti provider) danno SERVFAIL. Quelli che non validano restituiscono comunque la risposta.

daniele@mikweb: ~/tools — ls

daniele@mikweb: ~/blog — ls