NXDOMAIN: почему домен не разрешается

NXDOMAIN — «несуществующий домен» — один из самых ясных ответов, которые может дать DNS. Он не означает, что сервер не ответил вовремя или что где-то выше по цепочке что-то неверно настроено. Он означает, что авторитативный сервер имён спросили об имени, и он прямо заявил, что такого имени в его зоне нет. Это окончательный отрицательный ответ, а не ошибка в обычном смысле.

Самые частые реальные причины

• Опечатка в домене: exmaple.com вместо example.com — для DNS это другое (и, вероятно, незарегистрированное) имя.
• Регистрация домена истекла и её не продлили.
• Запрошенный поддомен так и не был создан: корневой домен разрешается нормально, но для api.example.com запись не создавали.
• Запись удалили или переименовали во время миграции, а вместо неё ничего не поставили.

Почему повтор не помогает

Тайм-аут DNS или SERVFAIL могут быть временными — сервер был ненадолго перегружен, на сетевом пути возникла кратковременная проблема, — и повтор через мгновение часто оказывается именно тем, что нужно. NXDOMAIN — другое дело: это прямое авторитативное заявление, что имя не зарегистрировано. Повтор того же запроса даст тот же ответ, потому что ничего в самой регистрации не изменилось. Именно поэтому хорошо сделанный инструмент поиска считает NXDOMAIN окончательным отказом и завершает работу быстро, не тратя повторы и время на запрос, который никогда не мог увенчаться успехом.

Одна тонкость, которую стоит знать: NXDOMAIN относится ко всему имени, а не к конкретному типу записи. Если у домена есть A-запись, но нет AAAA-записи, запрос AAAA не возвращает NXDOMAIN — он возвращает успешный ответ с пустым набором ответов (иногда его называют NODATA). NXDOMAIN означает именно то, что у самого имени нет записей никакого рода.

Когда NXDOMAIN — на самом деле не NXDOMAIN

Некоторые провайдеры и сети публичного Wi-Fi тихо перехватывают настоящие ответы NXDOMAIN и подменяют их своими: перенаправляют домен с опечаткой или незарегистрированный домен на страницу поиска, полную рекламы, вместо честного ответа «этого не существует». Это реальная практика, а не миф, и именно такие вещи подрывают доверие к ответу DNS: резолвер, который так делает, не лжёт о существующем домене, но прячет настоящий NXDOMAIN за сфабрикованным, монетизируемым результатом. Прямой запрос к известному нейтральному публичному резолверу, у которого нет коммерческих причин перенаправлять тупик, полностью обходит это и даёт настоящий ответ авторитативного сервера.

NXDOMAIN для домена, который точно зарегистрирован

Самый обескураживающий вариант — увидеть NXDOMAIN для домена, который, как вы знаете, зарегистрирован и недавно работал. Помимо очевидных причин выше, это может случиться, когда домен переходит между регистраторами и ненадолго оказывается в состоянии с неполным делегированием серверов имён, когда ошибка подписи DNSSEC заставляет валидирующий резолвер обращаться с в остальном допустимой зоной так, будто её не существует, или — редко, но об этом стоит знать — когда домен приостановлен регистратором из-за нарушения условий использования или злоупотреблений, что снаружи выглядит так же, как истёкшая регистрация. Ничто из этого не исправит повтор; во всех случаях нужно напрямую проверять статус регистрации и делегирования, обычно через панель самого регистратора или WHOIS-запрос, а не через что-либо, что может показать сам DNS.