Sulla porta 53 i server DNS rispondono alle query. Di default si usa UDP; TCP è obbligatorio (RFC 7766) per risposte grandi, ad es. con DNSSEC, e per i trasferimenti di zona (AXFR/IXFR). Se apri solo UDP avrai errori di risoluzione intermittenti.
Pubblica solo per i nameserver autoritativi delle tue zone. Non aprire mai un resolver ricorsivo a tutti: i resolver aperti vengono usati per attacchi di DNS amplification. Limita la ricorsione alle tue reti con access-control in Unbound o allow-recursion in BIND.
Tipico: SERVFAIL per firme DNSSEC rotte o RRSIG scadute, e trasferimenti di zona che falliscono perché TCP è bloccato tra primario e secondario.
Verifica
dig @ns1.esempio.it esempio.it SOA +tcp