¿Cómo puedo solucionar los problemas de respuestas NXDOMAIN al usar Route 53 como servicio de DNS?

Descripción corta

Es posible que recibas una respuesta de NXDOMAIN o un error DNS_PROBE_FINISHED_NXDOMAIN si un solucionador de DNS no puede encontrar el nombre de dominio solicitado. Esto puede deberse a la suspensión del dominio, a la mala configuración de los servidores de nombres o a la ausencia de registros DNS.

Resolución

Comprobación de si el dominio está activo o suspendido

Para comprobar si el dominio está activo o suspendido, sigue estos pasos.

1. Ejecuta una consulta WHOIS en el dominio.
   Asegúrate de que se haya instalado WHOIS antes de ejecutar los siguientes comandos.
   En Windows: Abre un símbolo del sistema de Windows y, a continuación, escribe whois -v ejemplo.com.
   En Linux: Abre tu cliente SSH. En el símbolo del sistema, escribe whois ejemplo.com.
   Si el dominio está registrado en Amazon Registrar, puedes usar la herramienta de búsqueda WHOIS de Amazon Registrar.
2. Comprueba el estado del dominio. Si el valor de Estado del dominio es clientHold, el dominio está suspendido.

Motivos comunes de suspensión de dominios:

• El correo electrónico de confirmación no se verificó después del registro del dominio.
• La renovación automática se ha desactivado y el dominio ha vencido.
• La dirección de correo electrónico del solicitante se modificó pero nunca se verificó.

Para obtener más información, consulta Mi dominio está suspendido (el estado es ClientHold).

Ejemplo de resultado de WHOIS:

whois example.com
   Domain Name: EXAMPLE.COM
   Registry Domain ID: 87023946_DOMAIN_COM-VRSN
   Registrar WHOIS Server: whois.godaddy.com
   Registrar URL: http://www.godaddy.com
   Updated Date: 2020-05-08T10:05:49Z
   Creation Date: 2002-05-28T18:22:16Z
   Registry Expiry Date: 2021-05-28T18:22:16Z
   Registrar: GoDaddy.com, LLC
   Registrar IANA ID: 146
   Registrar Abuse Contact Email: abuse@godaddy.com
   Registrar Abuse Contact Phone: 480-624-2505
   Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
   Domain Status: clientHold https://icann.org/epp#clientHold  
   Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
   Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
   Name Server: ns-1470.awsdns-55.org.
   Name Server: ns-1969.awsdns-54.co.uk.
   Name Server: ns-736.awsdns-28.net.
   Name Server: ns-316.awsdns-39.com.

Confirmación de si se han configurado servidores de nombres correctos

Puedes ver los servidores de nombres autorizados mediante el resultado de WHOIS o el comando dig +trace.

Para verificar la configuración de la zona alojada en Route 53, sigue estos pasos:

1. Abre la consola de Amazon Route 53.
2. En el panel de navegación, selecciona Zonas alojadas.
3. Elige la zona alojada que quieras y, a continuación, selecciona Ver detalles.
4. Selecciona Detalles de la zona alojada.
5. Compara los servidores de nombres de la lista con los de WHOIS o del resultado de dig +trace.

Importante: Si los servidores de nombres son diferentes, actualízalos en el registrador de dominios.

• En el caso de los dominios registrados con Route 53, consulta Adición o cambio de los servidores de nombres y registros de adherencia para un dominio.
• Para los dominios registrados en otro lugar, consulta la documentación del proveedor.

Ejemplo de resultado de dig +trace:

dig +trace example.com  
; <<>> DiG 9.11.4-P2-RedHat-9.11.4-26.P2.amzn2.2 <<>> +trace example.com
;; global options: +cmd
.                       518400  IN      NS      H.ROOT-SERVERS.NET.
.                       518400  IN      NS      I.ROOT-SERVERS.NET.
.                       518400  IN      NS      J.ROOT-SERVERS.NET.
.                       518400  IN      NS      K.ROOT-SERVERS.NET.
;; Received 239 bytes from 10.0.0.2#53(10.0.0.2) in 0 ms

com.                    172800  IN      NS      a.gtld-servers.net.
com.                    172800  IN      NS      m.gtld-servers.net.
com.                    172800  IN      NS      h.gtld-servers.net.
C41A5766
com.                    86400   IN      RRSIG   DS 8 1 86400 20210329220000 20210316210000 42351 .
;; Received 1174 bytes from 192.112.36.4#53(G.ROOT-SERVERS.NET) in 104 ms

example.com.         172800  IN      NS      ns-1470.awsdns-55.org.  	------>Name servers of interest.
example.com.         172800  IN      NS      ns-1969.awsdns-54.co.uk.
example.com.         172800  IN      NS      ns-736.awsdns-28.net.
example.com.         172800  IN      NS      ns-316.awsdns-39.com.

;; Received 732 bytes from 192.33.14.30#53(b.gtld-servers.net) in 91 ms

example.com.         3600    IN      A       104.200.22.130
example.com.         3600    IN      A       104.200.23.95
example.com.         3600    IN      NS      ns-1470.awsdns-55.org.
example.com.         3600    IN      NS      ns-1969.awsdns-54.co.uk.
example.com.         3600    IN      NS      ns-736.awsdns-28.net.
example.com.         3600    IN      NS      ns-316.awsdns-39.com.

;; Received 127 bytes from 173.201.72.25#53(ns-1470.awsdns-55.org) in 90 ms

Confirmación de si el registro solicitado existe

En la zona alojada, comprueba si el registro solicitado existe.

Si usas un CNAME, confirma que el dominio de objetivo (nombre canónico) también existe y se puede resolver.

Por ejemplo, si el registro CNAME de ejemplo.com está configurado con el valor de blog.ejemplo.com, comprueba que el registro blog.ejemplo.com existe y se puede resolver.

Comprobación de si existen problemas de delegación de subdominios

Para comprobar si hay problemas de delegación de subdominios, ten en cuenta las siguientes acciones:

• Busca en la zona alojada principal los registros NS del dominio. Por ejemplo, si www.ejemplo.com tiene un registro NS, se delega.
• Si la delegación es válida, agrega el registro a la zona delegada.
• Si la delegación no es válida, elimina el registro NS y agrégalo a la zona principal.

Nota: La minimización de QNAME en los solucionadores de DNS puede provocar errores de NXDOMAIN con delegaciones de subdominios profundas. Para obtener más información, consulta Protección contra registros de delegación colgantes en Route 53.

Determinación de si el problema de resolución de DNS solo existe en la VPC

Comprueba si el solucionador de DNS está configurado en tu sistema operativo.

• Para Linux: abre el archivo /etc/resolv.conf.
• Para Windows: ejecuta lo siguiente en el símbolo del sistema: ipconfig /all.

Busca la dirección de resolución de DNS. Si el CIDR de la nube virtual privada (VPC) es 10.0.0.0/8, el solucionador debe ser 10.0.0.2.

Si utilizas el solucionador de Amazon Virtual Private Cloud (Amazon VPC), revisa los siguientes escenarios:

Escenario A: tienes una regla del solucionador y una zona alojada privada

• La regla del solucionador tiene prioridad.
• La consulta de DNS se reenvía a la dirección IP de la regla del solucionador.

Para obtener más información, consulta Uso de zonas alojadas privadas.

Escenario B: solo tienes una zona alojada privada

• Los clientes de la VPC no pueden resolver los registros de la zona pública.
• Esta configuración se denomina DNS de horizonte dividido.

Escenario C: solo tienes una regla del solucionador

• La consulta de DNS se reenvía a la dirección IP configurada.
• En este caso, no se utilizan los solucionadores públicos predeterminados.

Comprobación de si el problema se debe a un almacenamiento en caché negativo

El solucionador puede almacenar en caché una respuesta de NXDOMAIN si el almacenamiento en caché negativo está activo.
Escenario de ejemplo:

• Consultas neg.ejemplo.com y no existe.
• El solucionador almacena en caché el resultado de NXDOMAIN.
• Más adelante, creas el registro, pero el solucionador sigue devolviendo NXDOMAIN.

Los solucionadores utilizan lo siguiente para determinar durante cuánto tiempo almacenar en caché las respuestas negativas:

• El TTL mínimo del registro SOA
• El TTL del registro SOA (el que sea menor)

Para confirmar si el almacenamiento en caché negativo está activo, envía una consulta directamente al servidor de nombres para obtener una respuesta, como en el ejemplo siguiente:

dig www.example.com @ns-1470.awsdns-55.org