Comment puis-je résoudre des problèmes liés aux réponses NXDOMAIN lorsque j'utilise Route 53 comme service DNS ?

Brève description

Vous pouvez recevoir une réponse NXDOMAIN ou une erreur DNS_PROBE_FINISHED_NXDOMAIN lorsqu'un résolveur DNS ne trouve pas le nom de domaine demandé. Cela peut être dû à une suspension de domaine, à des serveurs de noms incorrectement configurés ou à l'absence d'enregistrements DNS.

Résolution

Vérifier si le domaine est actif ou suspendu

Pour vérifier si le domaine est actif ou suspendu, procédez comme suit.

1. Exécutez une requête WHOIS sur le domaine.
   Avant d'exécuter les commandes suivantes, assurez-vous que WHOIS est installé.
   Pour Windows : ouvrez une invite de commande Windows, puis saisissez whois -v example.com.
   Pour Linux : ouvrez votre client SSH. Dans l'invite de commande, saisissez whois example.com.
   Si le domaine est enregistré auprès d'Amazon Registrar, vous pouvez utiliser l'outil de recherche WHOIS d'Amazon Registrar.
2. Vérifiez l’état du domaine. Si la valeur de État du domaine est clientHold, le domaine est suspendu.

Motifs courants de suspension de domaine :

• L'e-mail de confirmation n'a pas été vérifié après l'enregistrement de domaine.
• Le renouvellement automatique a été désactivé et le domaine a expiré.
• L'adresse e-mail du propriétaire a été modifiée mais n'a jamais été vérifiée.

Pour plus d'informations, consultez la section Mon domaine est suspendu (l'état est ClientHold).

Exemple de sortie WHOIS :

whois example.com
   Domain Name: EXAMPLE.COM
   Registry Domain ID: 87023946_DOMAIN_COM-VRSN
   Registrar WHOIS Server: whois.godaddy.com
   Registrar URL: http://www.godaddy.com
   Updated Date: 2020-05-08T10:05:49Z
   Creation Date: 2002-05-28T18:22:16Z
   Registry Expiry Date: 2021-05-28T18:22:16Z
   Registrar: GoDaddy.com, LLC
   Registrar IANA ID: 146
   Registrar Abuse Contact Email: abuse@godaddy.com
   Registrar Abuse Contact Phone: 480-624-2505
   Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
   Domain Status: clientHold https://icann.org/epp#clientHold  
   Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
   Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
   Name Server: ns-1470.awsdns-55.org.
   Name Server: ns-1969.awsdns-54.co.uk.
   Name Server: ns-736.awsdns-28.net.
   Name Server: ns-316.awsdns-39.com.

Vérifier que les serveurs de noms sont correctement configurés

Vous pouvez consulter les serveurs de noms faisant autorité à l'aide de la sortie WHOIS ou de la commande dig +trace.

Pour vérifier les paramètres de la zone hébergée dans Route 53, procédez comme suit :

1. Ouvrez la console Amazon Route 53.
2. Dans le volet de navigation, cliquez sur Zones hébergées.
3. Choisissez la zone hébergée souhaitée, puis sélectionnez Afficher les détails.
4. Développez Détails de la zone hébergée.
5. Comparez les serveurs de noms répertoriés á ceux du WHOIS ou de la dig +tracesortie.

Important : Si les serveurs de noms sont différents, mettez-les à jour auprès de votre bureau d'enregistrement de domaines.

• Pour les domaines enregistrés auprès de Route 53, consultez la section Ajout ou modification de serveurs de noms et d’enregistrements de type glue pour un domaine.
• Pour les domaines enregistrés ailleurs, reportez-vous à la documentation du fournisseur.

Exemple de sortie dig +trace :

dig +trace example.com  
; <<>> DiG 9.11.4-P2-RedHat-9.11.4-26.P2.amzn2.2 <<>> +trace example.com
;; global options: +cmd
.                       518400  IN      NS      H.ROOT-SERVERS.NET.
.                       518400  IN      NS      I.ROOT-SERVERS.NET.
.                       518400  IN      NS      J.ROOT-SERVERS.NET.
.                       518400  IN      NS      K.ROOT-SERVERS.NET.
;; Received 239 bytes from 10.0.0.2#53(10.0.0.2) in 0 ms

com.                    172800  IN      NS      a.gtld-servers.net.
com.                    172800  IN      NS      m.gtld-servers.net.
com.                    172800  IN      NS      h.gtld-servers.net.
C41A5766
com.                    86400   IN      RRSIG   DS 8 1 86400 20210329220000 20210316210000 42351 .
;; Received 1174 bytes from 192.112.36.4#53(G.ROOT-SERVERS.NET) in 104 ms

example.com.         172800  IN      NS      ns-1470.awsdns-55.org.  	------>Name servers of interest.
example.com.         172800  IN      NS      ns-1969.awsdns-54.co.uk.
example.com.         172800  IN      NS      ns-736.awsdns-28.net.
example.com.         172800  IN      NS      ns-316.awsdns-39.com.

;; Received 732 bytes from 192.33.14.30#53(b.gtld-servers.net) in 91 ms

example.com.         3600    IN      A       104.200.22.130
example.com.         3600    IN      A       104.200.23.95
example.com.         3600    IN      NS      ns-1470.awsdns-55.org.
example.com.         3600    IN      NS      ns-1969.awsdns-54.co.uk.
example.com.         3600    IN      NS      ns-736.awsdns-28.net.
example.com.         3600    IN      NS      ns-316.awsdns-39.com.

;; Received 127 bytes from 173.201.72.25#53(ns-1470.awsdns-55.org) in 90 ms

Vérifier que l'enregistrement demandé existe

Dans la zone hébergée, vérifiez si l'enregistrement demandé existe.

Si vous utilisez un CNAME, vérifiez que le domaine cible (nom canonique) existe également et qu'il peut être résolu.

Par exemple, si l'enregistrement CNAME de example.com est configuré avec la valeur blog.example.com, vérifiez que l'enregistrement blog.example.com existe et peut être résolu.

Rechercher la présence de problèmes de délégation de sous-domaines

Pour vérifier l'existence de problèmes de délégation de sous-domaines, envisagez les actions suivantes :

• Recherchez les enregistrements NS du domaine dans la zone hébergée parente. Par exemple, si www.example.com possède un enregistrement NS, celui-ci est délégué.
• Si la délégation est valide, ajoutez l'enregistrement à la zone déléguée.
• Si la délégation n'est pas valide, supprimez l'enregistrement NS et ajoutez-le à la zone parente.

Remarque : La minimisation de QNAME dans les résolveurs DNS peut provoquer des erreurs NXDOMAIN avec des délégations de sous-domaines approfondies. Pour plus d'informations, consultez la section Protection contre les enregistrements de délégation suspendus dans Route 53.

Déterminer si le problème de résolution DNS existe uniquement dans le VPC

Vérifiez si le résolveur DNS est configuré sur votre système d'exploitation.

• Pour Linux : Ouvrez le fichier /etc/resolv.conf.
• Pour Windows : Exécutez ce qui suit dans l'invite de commande : ipconfig /all

Recherchez l'adresse du résolveur DNS. Si le CIDR du cloud privé virtuel (VPC) est 10.0.0.0/8, le résolveur doit être 10.0.0.2.

Si vous utilisez le résolveur Amazon Virtual Private Cloud (Amazon VPC), examinez les scénarios suivants :

Scénario A : Vous disposez à la fois d'une règle de résolveur et d'une zone hébergée privée

• La règle de résolveur est prioritaire.
• La requête DNS est transmise à l'adresse IP indiquée dans la règle de résolveur.

Pour en savoir plus, consultez la section Utilisation de zones hébergées privées.

Scénario B : Vous ne disposez que d'une zone privée hébergée

• Les clients du VPC ne peuvent pas résoudre les enregistrements dans la zone publique.
• Cette configuration est appelée DNS à horizon partagé.

Scénario C : Vous ne disposez que d’une règle de résolveur

• La requête DNS est transmise à l'adresse IP configurée.
• Les résolveurs publics par défaut ne sont pas utilisés dans ce cas.

Vérifier si le problème provient d'une mise en cache négative

Une réponse NXDOMAIN peut être mise en cache par le résolveur si la mise en cache négative est active.
Exemple de scénario :

• Vous interrogez neg.example.com, mais il n'existe pas.
• Le résolveur met en cache le résultat NXDOMAIN.
• À un stade ultérieur, vous créez l'enregistrement, mais le résolveur renvoie toujours NXDOMAIN.

Les résolveurs utilisent les informations suivantes pour déterminer la durée de mise en cache des réponses négatives :

• La durée de vie minimale de l'enregistrement SOA
• La durée de vie de l'enregistrement SOA (la valeur la plus basse étant retenue)

Pour vérifier si la mise en cache négative est active, envoyez une requête directement au serveur de noms pour obtenir une réponse, comme dans l'exemple suivant :

dig www.example.com @ns-1470.awsdns-55.org