SERVFAIL-fout oplossen: de nameserver geeft geen geldig antwoord

De DNS-fout SERVFAIL geeft aan dat een resolver wel een nameserver vond, maar geen geldig antwoord kon krijgen. Anders dan bij NXDOMAIN bestaat de naam mogelijk wel; het probleem zit in de configuratie of validatie. In dit artikel leest u de meest voorkomende oorzaken van SERVFAIL en hoe u ze oplost.

Probleem

Uw domein is niet bereikbaar en een DNS-controle geeft de status SERVFAIL terug. De resolver kan geen bruikbaar antwoord ophalen, terwijl de naam wel lijkt te bestaan en de nameservers reageren.

Oorzaak

Een veelvoorkomende oorzaak is een DNSSEC-probleem. Als de DNSSEC-keten gebroken is, bijvoorbeeld door een verouderde DS-record na een providerwissel, weigeren validerende resolvers het antwoord en geven SERVFAIL.

Een tweede oorzaak is een onbereikbare of verkeerd geconfigureerde nameserver. Reageren de gezaghebbende nameservers niet of geven ze inconsistente antwoorden, dan resulteert dat in SERVFAIL.

Ook fouten in de zone zelf, zoals een ongeldige record, een ontbrekend SOA-record of een lame delegation waarbij parent- en child-NS niet overeenkomen, kunnen SERVFAIL veroorzaken.

Oplossing

Controleer eerst of het domein DNSSEC gebruikt en of de keten klopt. Is de keten gebroken, herstel dan de DS-record of schakel DNSSEC tijdelijk uit via de juiste procedure.

Controleer of de gezaghebbende nameservers bereikbaar zijn en consistent antwoorden. Vergelijk de parent-delegatie met de child-NS-records.

Controleer de zone op fouten: een geldig SOA-record en correcte records zijn noodzakelijk voor een goed antwoord.

Stappenplan

1. Voer een DNS-controle uit en bevestig dat de status SERVFAIL is.
2. Controleer of DNSSEC actief is en valideer de keten van vertrouwen.
3. Herstel of verwijder een gebroken DNSSEC-configuratie volgens de juiste procedure.
4. Controleer of alle gezaghebbende nameservers bereikbaar zijn.
5. Vergelijk parent- en child-NS-records op consistentie.
6. Controleer de zone op een geldig SOA-record en correcte records.
7. Sla correcties op en wacht op propagatie.
8. Test opnieuw met een validerende resolver.

Voorbeeld: gebroken DNSSEC-keten

Een veelvoorkomende SERVFAIL-oorzaak is een DS-record bij de registry die niet meer past bij de zonesleutel na een providerwissel. De oplossing is de DS-record bijwerken of verwijderen.

Voorbeeld:

# Situatie:
DS-record (registry):  oude sleutel
DNSKEY (nieuwe provider): nieuwe sleutel
# -> keten gebroken -> SERVFAIL

# Oplossing: DS-record updaten naar nieuwe sleutel

SERVFAIL versus NXDOMAIN

Het is belangrijk SERVFAIL en NXDOMAIN te onderscheiden. NXDOMAIN betekent dat de naam niet bestaat; SERVFAIL betekent dat de naam mogelijk wel bestaat, maar de resolver geen geldig antwoord kan vaststellen. SERVFAIL wijst daardoor vaker op een configuratie- of validatieprobleem.

Omdat validerende resolvers bij een DNSSEC-fout bewust SERVFAIL teruggeven in plaats van een mogelijk vervalst antwoord, is een gebroken DNSSEC-keten een van de eerste dingen om te controleren bij deze fout.

• SERVFAIL: geen geldig antwoord (vaak configuratie of DNSSEC)
• NXDOMAIN: naam bestaat niet
• Validerende resolvers geven SERVFAIL bij DNSSEC-fouten

Veelgemaakte fouten

• Bij een providerwissel DNSSEC niet uitschakelen, waardoor de keten breekt.
• De DS-record bij de registry niet bijwerken na een sleutelwissel.
• Aannemen dat SERVFAIL hetzelfde is als NXDOMAIN.
• Een inconsistente delegatie (lame delegation) over het hoofd zien.
• Een ontbrekend of ongeldig SOA-record negeren.
• Niet testen met een validerende resolver na een correctie.

Controle na afloop

1. Test het domein met een DNSSEC-validatietool.
2. Controleer dat alle gezaghebbende nameservers consistent antwoorden.
3. Bevestig dat de zone een geldig SOA-record heeft.
4. Test of de SERVFAIL is verdwenen op meerdere resolvers.

Praktische tips

• Schakel DNSSEC altijd correct uit voordat u DNS naar een andere provider verhuist.
• Houd na een providerwissel de DS-record en DNSKEY synchroon.
• Gebruik een DNSSEC-checker om validatieproblemen snel te vinden.
• Controleer de bereikbaarheid van alle nameservers bij terugkerende SERVFAIL.

Veelgestelde vragen

Is SERVFAIL altijd een DNSSEC-probleem?

Nee, maar DNSSEC is een veelvoorkomende oorzaak. SERVFAIL kan ook ontstaan door onbereikbare nameservers, zonefouten of een lame delegation.

Hoe los ik een gebroken DNSSEC-keten op?

Werk de DS-record bij de registry bij zodat die past bij de actuele zonesleutel, of schakel DNSSEC volgens de juiste procedure tijdelijk uit en activeer het later opnieuw.

Waarom zien sommige bezoekers wel en anderen geen SERVFAIL?

Validerende resolvers geven SERVFAIL bij een DNSSEC-fout, niet-validerende resolvers mogelijk niet. Daardoor verschilt het resultaat per netwerk of provider.

Samenvatting

SERVFAIL betekent dat de resolver geen geldig DNS-antwoord kon vaststellen, vaak door een DNSSEC-probleem, onbereikbare nameservers of een fout in de zone. Controleer de DNSSEC-keten, de bereikbaarheid en consistentie van de nameservers en de geldigheid van de zone. Schakel DNSSEC correct uit bij providerwissels om deze fout te voorkomen.

Gerelateerde artikelen

• DNSSEC inschakelen: uw DNS beveiligen tegen vervalsing
• NS-records begrijpen en wijzigen: de nameservers van uw domein
• DNS-propagatie controleren: waarom wijzigingen tijd kosten

Komt u er niet uit? Plan een gratis strategiegesprek via https://www.bdmnl.nl/plan.