DE EN IT

~/errors / DNS

DNS: status: REFUSED (query rifiutata)

Il server è stato raggiunto e ha risposto di proposito con un “no”. È una decisione di policy, non un timeout. O non serve la zona che hai chiesto, o non fa ricorsione per il tuo indirizzo.

daniele@mikweb: ~/errors — less dns-status-refused-query-refused.md

Come appare il messaggio

$ dig example.com @ns1.example.net
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 41873
;; WARNING: recursion requested but not available

Cause frequenti

  • Il dominio punta (record NS presso il registrar) a un name server che non ospita la zona. È una “lame delegation”, tipica dopo una migrazione DNS o un hosting disdetto.
  • Hai interrogato un resolver ricorsivo da fuori dalla sua rete consentita, ad esempio il DNS dell'ufficio da internet.
  • Una lista di accesso (allow-query, allow-recursion) o una regola del firewall blocca il tuo indirizzo.
  • La zona non è caricata sul server o non si è caricata, ad esempio per un errore di sintassi.
  • I trasferimenti di zona (AXFR) tra name server vengono rifiutati. È normale e voluto per host sconosciuti.

Verifica

  1. Quali name server usa il dominio?
    dig example.com NS +short
  2. Ognuno di loro risponde per la zona? (sostituisci il nome)
    dig @ns1.example.net example.com SOA +norecurse
  3. L'intero percorso di delega
    dig +trace example.com
  4. Il tuo resolver risponde?
    dig example.com A +short

Soluzione

  • Se un server autorevole risponde REFUSED per la tua zona, crea o carica la zona lì, oppure rimuovi quel server dai record NS presso il registrar.
  • Dopo un cambio di provider imposta i record NS presso il registrar solo sul nuovo provider e tieni attiva la vecchia zona finché non è scaduto il vecchio TTL.
  • Se è il tuo resolver, autorizza i tuoi client, ad esempio in BIND allow-recursion { 192.0.2.0/24; };. Non aprire la ricorsione a tutta internet, viene abusata per attacchi di amplificazione.
  • Sul server leggi il log per errori di caricamento della zona (journalctl -u named o -u bind9) ed esegui named-checkzone sul file di zona.
  • Riprova dal client interessato con dig direttamente verso il server.

Domande frequenti

Che differenza c'è tra REFUSED, SERVFAIL e NXDOMAIN?

NXDOMAIN: il nome non esiste. SERVFAIL: il server ci ha provato ed è fallito. REFUSED: il server non ti risponde proprio.

Perché rifiuta solo uno dei miei name server?

Di solito la zona esiste su uno ma non sull'altro. I resolver scelgono un name server per ogni richiesta, quindi l'errore compare solo ogni tanto.

daniele@mikweb: ~/tools — ls

Strumento utile

Pianificatore TTL
daniele@mikweb: ~/blog — ls

Articoli correlati

Migrazione DNS senza downtime: TTL, ordine dei passaggi e checklist per cambio di dominio e hostingCambiare hosting o provider DNS senza perdere sito ed e-mail: abbassa il TTL, esporta la zona invece di ricopiarla, testa prima dello switch — con checklist.
daniele@mikweb: ~/errors — ls

Altri errori

connection timed out; no servers could be reachedDNS: connection timed out; no servers could be reachedcurl: (6) Could not resolve hostcurl: (6) Could not resolve hostSERVFAILDNS SERVFAIL: trovare la causa e risolvereNXDOMAINDNS NXDOMAIN: dominio o hostname inesistenteCNAME at apexDNS: CNAME sull'apex, “CNAME and other data”Your data directory is invalidNextcloud: Your data directory is invalid (.ocdata mancante)

Nuovi articoli via e-mail

Un'e-mail per ogni nuovo articolo. Nessun tracciamento, puoi annullare quando vuoi. Come ringraziamento dopo la conferma: la mia checklist “Gestione server e patching” (PDF).

← Tutti i codici d'errore