为什么许多 DNS 服务器没有正确返回我的域的 namservers？

Question

我的网站变得广泛无法访问，我不知道为什么。

直到最近，我一直通过 cloudflare 为我的网站提供服务，因此使用他们的域名服务器。最近我开始使用Route 53，所以我使用我的注册商的控制面板更改为亚马逊的名称服务器，发现我的站点很快就无法使用（我在英国）。

我使用了https://www.whatsmydns.net，发现世界各地的一些 DNS 服务器没有为我的网站返回任何 namservers。我每次尝试的地点都是相同的，包括伦敦、圣保罗、德国、新西兰和美国的部分地区。不过，大多数位置（大约 3/4）都很好。

当时我使用hover.com 作为我的注册商，我认为问题可能出在他们身上，所以我将注册商换成了亚马逊。转移到 Amazon 后，我将域名服务器改回 Cloudflare 的域名服务器，等待它传播，然后在 whatsmydns.net 上再次检查。它在所有位置都显示为绿色。然后我又改回亚马逊的域名服务器。问题与以前完全相同，名称服务器不是由同一位置的 DNS 查询返回的。

我已经更改了 Mac 笔记本电脑上的 DNS 服务器，并且可以在使用以下 DNS 服务器时访问我的网站：

• Sky（我的宽带提供商）- 90.207.238.97 和 90.207.238.99
• OpenDNS 主页 - 208.67.222.222 208.67.220.220

但是我的网站在使用以下 DNS 服务器时无法访问

• 谷歌 - 8.8.8.8 和 8.8.4.4
• Cloudflare - 1.1.1.1 和 1.0.0.1
• Quad9 - 9.9.9.9 和 149.112.112.112
• CleanBrowsing - 185.228.168.9 和 185.228.169.9
• Adguard - 176.103.130.130 和 176.103.130.131
• 威瑞信 - 64.6.64.6 和 185.253.163.131

我尝试使用的名称服务器是：

• ns-1478.awsdns-56.org
• ns-1953.awsdns-52.co.uk
• ns-135.awsdns-16.com
• ns-893.awsdns-47.net

我读到一些大型 ISP 已将其 DNS 服务器配置为违反规则，例如仅因为其中一个名称服务器没有响应就表明该域名不存在。为了尝试诊断是否发生这种情况，并且 4 个名称服务器中的一个存在问题，我昨天更改为仅使用上面列表中的前 2 个名称服务器，如果仍然存在问题，打算仅使用后两个名称服务器. 然而，即使这种变化有足够的时间来传播（编辑：也许不是，考虑到 TTL，但它肯定比我在 Amazon 和 Cloudflare 之间更改名称服务器时慢，反之亦然），whatsmydns.net 显示了巨大的大多数 DNS 服务器仍在返回所有 4 个名称服务器。我不确定为什么会这样。

到底是怎么回事！我的网站是https://www.markfisher.photo。

Answer 1

我快速浏览了一下，您的区域的主要问题似乎是来自父区域 ( photo)的委托表明markfisher.photo应该签名（DS记录存在）。

markfisher.photo然而根本没有签署。这样做的结果是任何验证解析器都会认为所有答案都是虚假的并丢弃它们。

据我所知，Route53 仍然不支持 DNSSEC，这意味着如果您想使用该 DNS 服务，您需要DS从委托中删除任何记录（通过您的注册商完成）。

分两步演示问题：

$ dig @ns1.uniregistry.net markfisher.photo +norec +dnssec

; <<>> DiG 9.11.13-RedHat-9.11.13-3.fc31 <<>> @ns1.uniregistry.net markfisher.photo +norec +dnssec
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 55361
;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 4096
; COOKIE: 60e53f6e7a4d79f37a0879a75e14e274510b02d97b10da1c (good)
;; QUESTION SECTION:
;markfisher.photo.              IN      A

;; AUTHORITY SECTION:
markfisher.photo.       900     IN      NS      ns-1478.awsdns-56.org.
markfisher.photo.       900     IN      NS      ns-1953.awsdns-52.co.uk.
markfisher.photo.       900     IN      DS      2371 13 2 B1FB8D1E60D7B54027829321A64B612251F95A41C0F10C912FA9FC6A 9EECEEA5
markfisher.photo.       900     IN      RRSIG   DS 5 2 900 20200206185213 20200107185213 21795 photo. AN2TWw41LL15uX55vfNaQlHvidlpngYb629gSlEyP+A3JiS77NHO5TvJ gI5QF4si5/haBEoABpuVU8opxxC0Jmv3aD09NkwjZXoqikxDqwjzO/PD wNlvHKOb25fgb1+gKj3JaGvqtAD8m+m2xotmxRo74xPmb2XOvEsGUS25 Cxc=

;; Query time: 94 msec
;; SERVER: 2620:57:4000:1::1#53(2620:57:4000:1::1)
;; WHEN: Tue Jan 07 19:56:36 UTC 2020
;; MSG SIZE  rcvd: 358

$

（referred with DSrecord，表示markfisher.photo区域是用匹配的key签名的）

$ dig @ns-1478.awsdns-56.org markfisher.photo DNSKEY +norec +dnssec

; <<>> DiG 9.11.13-RedHat-9.11.13-3.fc31 <<>> @ns-1478.awsdns-56.org markfisher.photo DNSKEY +norec +dnssec
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 54714
;; flags: qr aa; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;markfisher.photo.              IN      DNSKEY

;; AUTHORITY SECTION:
markfisher.photo.       900     IN      SOA     ns-893.awsdns-47.net. awsdns-hostmaster.amazon.com. 1 7200 900 1209600 86400

;; Query time: 79 msec
;; SERVER: 2600:9000:5305:c600::1#53(2600:9000:5305:c600::1)
;; WHEN: Tue Jan 07 19:58:44 UTC 2020
;; MSG SIZE  rcvd: 129

$

（权威服务器的回应，显示没有DNSKEY记录，也没有签名）

要快速了解 DNS 委派以及 DNSSEC 健康状况，我可以推荐Dnsviz。