#Что означает сообщение
DNSSEC SERVFAIL
Проверьте DS у регистратора и ключи в зоне. При ошибке временно отключите DNSSEC у регистратора.
#Причины и признаки
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Неверная DS | Отдельно проверьте фактор «Неверная DS» в момент, когда возникает описанная неисправность; сравните с работой исправного устройства или настройки. Отслеживайте результат по журналу нужной службы, не по соседним сайтам. | Если проверка подтверждает «Неверная DS», исправьте только относящийся к нему элемент, сохранив прежнее значение и возможность возврата. |
| Просрочена подпись | Сверьте точное имя узла, срок сертификата или действующую подпись; проверьте их на стороне реального сервера, а не только в локальном файле. | Исправляйте цепочку, имя или ключ у владельца сервиса; не заменяйте устранение причины отключением проверки защищённого соединения. |
| Смена провайдера | Отдельно проверьте фактор «Смена провайдера» в момент, когда возникает описанная неисправность; сравните с работой исправного устройства или настройки. | Если проверка подтверждает «Смена провайдера», исправьте только относящийся к нему элемент, сохранив прежнее значение и возможность возврата. |
| Ошибка NSEC | Отдельно проверьте фактор «Ошибка NSEC» в момент, когда возникает описанная неисправность; сравните с работой исправного устройства или настройки. | Если проверка подтверждает «Ошибка NSEC», исправьте только относящийся к нему элемент, сохранив прежнее значение и возможность возврата. |
#Пошаговое решение
- Подтвердите SERVFAIL у валидирующих резолверовАдминистратору DNS-зоны: начните с проверки, воспроизводится ли SERVFAIL у валидирующих рекурсивных DNS, например
dig @1.1.1.1 example.com Aиdig @8.8.8.8 example.com A. Затем выясните фактически делегированные NS и опубликованную DS-запись родительской зоны. Не выключайте DNSSEC сразу: сначала сохраните текущие ключи и конфигурацию. - Сверьте DS и DNSKEYОткройте панель регистратора → раздел DNSSEC и сравните DS (алгоритм, тип дайджеста, значение) с параметрами действующего KSK у авторитетного DNS-провайдера. Для диагностики в терминале выполните
dig DS example.com +dnssecиdig DNSKEY example.com +dnssec. Если ключи ротировались, опубликованный DS может устареть; любые изменения выполняйте по инструкции вашего DNS-провайдера, сохранив значения до правки. - Проверьте подписи и процедуру ротацииПроверьте подписи DNSKEY/RRSIG и доступность каждого авторитетного NS. На сервере с BIND смотрите журнал DNSSEC и состояние ключей; в управляемом DNS — состояние подписания зоны в панели провайдера. Если DS и DNSKEY не согласованы, применяйте предусмотренную провайдером процедуру смены ключей/DS. Нельзя удалять все DS наугад: это временно отключит проверку подлинности зоны.
- Проверьте ответ после истечения TTLПосле согласования ключей запросите
dig @1.1.1.1 example.com A +dnssecи сравните с прямым ответом авторитетного сервера. Если ошибка исчезла после окончания TTL старой DS, проверьте несколько независимых валидирующих DNS. При повторном SERVFAIL соберите выводыdig, актуальные NS, DS и журнал DNS-провайдера для передачи поддержке.
#На что обратить внимание
Не отключайте DNSSEC на резолвере пользователей и не удаляйте DS без плана миграции: разные кеши продолжат хранить старые данные. Учитывайте TTL при смене ключа.