#Что произошло и как распознать неисправность
Домен делегирован на ns1.example.com внутри того же домена, но часть проверок сообщает, что сервер имён невозможно найти. При такой схеме разрешение адреса NS может замкнуться на самом себе; родительской зоне нужны необходимые glue-записи с IP этого NS. Glue не является обычной A-записью в дочерней зоне и настраивается отдельно у регистратора/реестра. Нужно отличить in-bailiwick NS (имя находится внутри делегируемой зоны) от внешнего NS. Для внешнего имени вроде ns1.provider.net glue в родительской зоне example.com может не требоваться. При исправлении сверяйте IPv4 и IPv6 адреса и не удаляйте работающие серверы до проверки.
#Причины и отличительные признаки
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Отсутствует glue у родителяВ делегировании указан NS внутри домена, но родитель не возвращает адрес для него. | dig +trace останавливается на делегации или не показывает дополнительные A/AAAA. | Создать хост-объект nameserver у регистратора. |
| Glue указывает на старый IPПосле переезда сервера адрес NS изменился, но хост-объект остался прежним. | Прямой DNS к старому IP недоступен, новый работает. | Обновить адрес зарегистрированного NS-хоста. |
| Записи в дочерней зоне не совпадают с glueВнутри зоны и у родителя NS имеет разные A/AAAA. | У некоторых рекурсоров результат отличается из-за разных адресов. | Согласовать оба источника адреса. |
| Зарегистрированный NS недоступен по порту 53Адрес есть, но named не слушает или фильтр блокирует сеть. | Прямой dig @IP zone SOA выдаёт timeout. | Наладить авторитетное обслуживание DNS до изменения NS. |
#Пошаговая диагностика и исправление
- Выясните, какие NS указаны у регистратораВ личном кабинете регистратора откройте карточку домена и раздел «DNS-серверы» или «Серверы имён» (название зависит от регистратора). Запишите NS из делегирования. Если NS имеет имя внутри того же домена, например ns1.example.com для example.com, вероятно понадобятся glue-записи в родительской зоне. Для внешнего NS не переносите без необходимости его адрес в свою дочернюю зону.
- Проверьте путь делегирования и дополнительные записиНа компьютере с dig выполните
dig +trace example.com NS. Посмотрите ответ родительского сервера и секцию ADDITIONAL, если она присутствует. Отсутствие glue в одном ответе ещё не абсолютное доказательство: часть серверов сокращает дополнительную секцию. Поэтому сравните ответы нескольких родительских серверов и сведения о хосте у регистратора. - Проверьте текущие IPv4/IPv6 адреса NSВыполните
dig ns1.example.com A +shortиdig ns1.example.com AAAA +short. Затем сравните с IP реального DNS-сервера по данным провайдера иip addrна сервере. Если адреса отличаются, запишите старый и правильный адрес до изменений. Учтите, что DNS-ответ может уже зависеть от неверного glue и возвращать ошибку — данные сервера проверяйте независимо. - Проверьте, отвечает ли предполагаемый сервер авторитетноВ терминале выполните
dig @192.0.2.53 example.com SOA +norecurse, подставив реальный публичный IPv4 сервера имён. Ожидается SOA с флагом AA. При наличии IPv6 повторите по нему. Если timeout или неверная зона, сначала исправьте named и порт 53: одно добавление glue не сделает неработающий сервер доступным. - Найдите отдельное управление зарегистрированными NS-хостамиУ регистратора ищите «Регистрация серверов имён», «Хосты NS», «Дочерние DNS-серверы» или аналогичный пункт. Он отличается от списка обычных DNS-записей и от выбора NS делегирования. Если интерфейс не предоставляет регистрацию хоста, обратитесь в поддержку регистратора и укажите FQDN NS и действительные IPv4/IPv6. Не создавайте A-запись вместо glue, рассчитывая на автоматическое обновление реестра.
- Создайте или исправьте glue в родительской зонеДля ns1.example.com внесите правильный IP в хост-объект у регистратора, сохранив прежние значения для отката. Если сервер имеет рабочий IPv6, добавьте его адрес по правилам регистратора; не указывайте неподключённый IPv6. Проверьте, что NS всё ещё присутствует в делегировании и что у реестра нет дополнительных ограничений по числу NS или географической независимости.
- Согласуйте A/AAAA и NS в самой DNS-зонеНа авторитетном сервере проверьте A/AAAA для ns1.example.com и NS у вершины example.com. Значения должны соответствовать реальному серверу и регистрационным данным. Сохраните резервную копию файла зоны, при ручной правке проверьте
named-checkzoneи перечитайте её штатным способом. Несоответствие glue и A может проявляться непредсказуемо у различных рекурсоров. - Проверьте распространение и оставьте запасной NSПосле изменения у регистратора проверьте делегирование через
dig +trace example.com NSи прямые авторитетные ответы каждого NS. Дождитесь изменения родительской зоны и сроков кеширования. Если после исправления адреса NS недоступны — верните прежний работающий адрес, если он ещё обслуживает DNS, либо привлеките регистратора. Не удаляйте последний работающий внешний NS до проверки нового. - Команды для отдельных ситуацийВыберите только подходящий вариант. Это не одна последовательность: часть команд диагностирует проблему, а часть меняет настройки или данные.
#Как проверить результат и что делать при неуспехе
Исправлено, когда зарегистрированный NS имеет правильные адреса у родителя, дочерняя зона с ними согласована, а запрос к каждому серверу даёт авторитетный ответ. Не считайте отсутствие дополнительной секции в одном ответе единственным признаком ошибки.