Auf Port 53 beantworten DNS-Server Anfragen. Standard ist UDP; TCP ist Pflicht (RFC 7766) für große Antworten, etwa mit DNSSEC, sowie für Zonentransfers (AXFR/IXFR). Wer nur UDP freigibt, bekommt sporadische Auflösungsfehler.
Öffentlich nur für autoritative Nameserver Ihrer Zonen. Einen rekursiven Resolver nie für alle öffnen: Offene Resolver werden für DNS-Amplification-Angriffe missbraucht. In Unbound/BIND Rekursion per access-control bzw. allow-recursion auf eigene Netze begrenzen.
Typisch: SERVFAIL durch kaputte DNSSEC-Signaturen oder abgelaufene RRSIGs, und Zonentransfers, die an fehlenden TCP-Freigaben zwischen Primary und Secondary scheitern.
Prüfen
dig @ns1.beispiel.de beispiel.de SOA +tcp