Modul 8 · 8.4
Nejčastější chyby
Modul 8: Bezpečnost a řešení problémů · Doba čtení: 10 min
Cíl lekce: Po této lekci rozpoznáte deset nejčastějších DNS chyb podle jejich příznaku a budete vědět, jak je vyřešit.
Klíčové pojmy: tečka na konci, zdvojený název domény, úprava na nesprávném místě, dva SPF záznamy, CNAME na holé doméně, zapomenutý AAAA, MX bez adresy, proxy pro poštu, stará DS po převodu, cache
Jak tuto lekci použít
Chyby uvedené níže nepocházejí z učebnice, ale z dotazů, které hostingové firmy dostávají každý týden. U každé chyby uvidíte: co uživatel zaznamená, jak to ověřit jedním dotazem, a jaké je řešení. Při problému vždy začněte stejnými dvěma otázkami: jaké jmenné servery má doména (dig +short NS example.com) a co vrací autoritativní jmenný server (dig @<nameserver> <naam> <type>). Tím vyřešíte polovinu případů.
1. Zapomenutá tečka na konci
Příznak: CNAME, MX nebo NS nefunguje; služba hlásí „záznam nenalezen“.
Ověření: dig +short CNAME shop.example.com vrátí shops.platform.example.example.com.
Příčina: v zóně je název bez tečky na konci relativní: panel k němu připojí vaši vlastní doménu (lekce 2.2).
Řešení: cílový název zapište jako úplný název s tečkou (shops.platform.example.). Některé panely tečku doplní samy; po uložení zkontrolujte, co tam skutečně je.
2. Zdvojený název domény v názvu
Příznak: ověření nebo kontrola DKIM u nějaké služby neprojde, přestože záznam „tam je“.
Ověření: dig +short TXT k2._domainkey.example.com nevrátí nic, ale dig +short TXT k2._domainkey.example.com.example.com ano.
Příčina: služba zadává úplný název (k2._domainkey.example.com) a Váš panel k němu znovu připojí doménu.
Řešení: do pole pro název vyplňte pouze část před Vaší doménou: k2._domainkey. Panel pod polem obvykle zobrazuje úplný název: zkontrolujte ho.
3. Úprava na nesprávném místě
Příznak: upravíte záznam, ale nic se nezmění, ani po dni.
Ověření: dig +short NS example.com vrátí jmenné servery jiné firmy, než kde jste úpravu provedli (například stavebnice webu nebo Cloudflare).
Příčina: DNS určuje pouze firma, jejíž jmenné servery jsou nastavené (lekce 2.1). Záznamy na jiném místě nemají žádný účinek.
Řešení: upravte záznam u firmy, jejíž jmenné servery jsou aktivní, nebo jmenné servery vraťte zpět. Reálný příklad: někdo nastavil jmenné servery na platformu pro stavbu webu kvůli webové stránce, ale A záznam pro mail tam nebyl. Důsledek: odesílání fungovalo, přijímání ne, protože MX ukazoval na mail.example.com a tento název už neexistoval.
4. Dva SPF záznamy
Příznak: pošta častěji padá do spamu nebo je odmítána od chvíle, kdy jste připojili novou službu.
Ověření: dig +short TXT example.com vrátí dva řádky začínající v=spf1.
Příčina: nová služba řekla „přidejte tento SPF záznam“ a to bylo provedeno doslovně. Se dvěma SPF záznamy je SPF neplatné (permerror, RFC 7208), což je horší než žádné SPF.
Řešení: spojte je do jednoho záznamu: v=spf1 a mx include:_spf.hosting.example include:spf.service.example ~all. Dávejte pozor na limit deseti vyhledávání (lekce 4.3).
5. CNAME na holé doméně
Příznak: panel záznam odmítne, nebo po uložení přestane fungovat Vaše pošta.
Ověření: služba žádá „vytvořte CNAME pro @“.
Příčina: CNAME nesmí existovat vedle jiných záznamů, a na holé doméně vždy jsou záznamy SOA a NS (a často MX a TXT). Viz lekce 3.2.
Řešení: na @ použijte A záznam (případně AAAA), který služba uvádí, a CNAME používejte jen pro www nebo subdoménu. Některé DNS firmy mají pro tento případ ALIAS nebo „CNAME flattening“.
6. Zapomenutý AAAA při převodu
Příznak: po převodu část návštěvníků (často mobilních) stále vidí starý web, nebo se zobrazuje chyba certifikátu.
Ověření: dig +short A example.com vrátí novou adresu, dig +short AAAA example.com stále adresu starého serveru.
Příčina: zařízení s IPv6 upřednostňují AAAA. Upraven byl pouze záznam A.
Řešení: upravte AAAA společně s A, nebo ho odstraňte, pokud nový server nepodporuje IPv6. Reálný příklad: při připojení platformy e-shopu bylo třeba kromě nového A záznamu odstranit i starý AAAA, jinak byl obchod pro část návštěvníků nedostupný.
7. MX, který na nic neukazuje
Příznak: nepřijímáte žádnou poštu; odesílatelům se vrací chybová zpráva.
Ověření: dig +short MX example.com vrátí 10 mail.example.com., ale dig +short A mail.example.com nevrátí nic (NXDOMAIN).
Příčina: MX ukazuje na název, a ten název musí mít záznam A nebo AAAA. Často A záznam pro mail zmizel při převodu jmenných serverů. MX také nesmí ukazovat na IP adresu ani na CNAME (RFC 2181).
Řešení: vytvořte A záznam pro název poštovního serveru, nebo nasměrujte MX na název, který adresu má.
8. Pošta jinde, ale starý server si myslí, že má poštu doručovat sám
Příznak: pošta zvenčí k novému poskytovateli chodí v pořádku, ale pošta z Vašeho vlastního webu (kontaktní formulář, e-shop) nikdy nedorazí. Někdy dostanete 550 Unknown user.
Ověření: MX ukazuje na nového poskytovatele, ale na webovém serveru je stále zapnuté lokální doručování pošty.
Příčina: toto není DNS chyba, ale tak to vypadá. Webový server, který si myslí, že má vlastní poštovní schránky, se na MX nedívá.
Řešení: v panelu hostingu vypněte lokální doručování (v DirectAdmin: zaškrtávací pole „Použít tento server k zpracování mé elektronické pošty“). Jiné panely mají podobné nastavení, často pod názvem „Remote mail exchanger“ nebo „e-mail externě“.
9. Zapnutá proxy pro poštu
Příznak: u DNS firmy s funkcí proxy (jako oranžový mráček u Cloudflare) web funguje, ale poštovní program se nemůže připojit, nebo se neobnovuje certifikát webu.
Ověření: dig +short A mail.example.com vrátí adresu proxy místo Vašeho poštovního serveru.
Příčina: webová proxy přeposílá pouze webový provoz, ne poštu.
Řešení: vypněte proxy (šedý mráček, „DNS only“) pro mail a všechny názvy, které Váš poštovní program používá. U certifikátů: proxy dočasně vypněte, dokud certifikát nebude vystaven, nebo u proxy použijte správný režim SSL.
10. Stará DS po převodu
Příznak: po převodu jmenných serverů je Vaše doména pro část světa nedostupná; ostatní lidé problém nemají.
Ověření: dig example.com @1.1.1.1 vrátí SERVFAIL, dig +cd example.com @1.1.1.1 odpověď vrátí. DNSViz (https://dnsviz.net/, lekce 8.1) zbarví DS červeně a pod ním zobrazí šedý, tečkovaný klíč, který už ve Vaší zóně není. Zonemaster a Verisign DNSSEC Debugger hlásí totéž slovy.
Příčina: u registru stále zůstala DS od předchozí firmy (lekce 8.1). Selhávají pouze validující resolvery, proto si toho nevšimne každý.
Řešení: nechte DS aktualizovat klíčem nové firmy, nebo ho odstraňte a poté znovu zapněte DNSSEC.
A „chyba“, která žádnou chybou není: cache
Velmi často je vše v pořádku, ale Vy stále vidíte starou odpověď. Poznáte to podle: dig @<nameserver> vrátí novou odpověď, online nástroj v jiných zemích také, pouze Váš počítač ne. Řešení: anonymní okno prohlížeče, telefon přes 4G/5G, nebo vymazání cache (lekce 8.2). Stejný obraz způsobuje i zapomenutý řádek v souboru hosts na Vašem počítači (z dřívějšího testu před převodem): tento řádek odstraňte.
Související past: dotaz na nový název ještě předtím, než jste ho vytvořili. Resolver si pak zapamatuje „neexistuje“ (negativní cache) a nový název začne fungovat o něco později (lekce 6.2).
V praxi: jak to vypadá v panelu
Mnoho panelů části těchto chyb předchází. Můj WebOké například upozorní, pokud chybí tečka na konci, a pod polem pro název zobrazuje úplný název; DirectAdmin odmítne neplatné záznamy hláškou „Error Writing Records“. Cloudflare a další firmy mají podobná upozornění. Před většími změnami si vytvořte zálohu nebo export zóny, díky tomu se vždy můžete vrátit zpět.
Shrnutí
- Vždy začněte: jaké jmenné servery a co odpovídá autoritativní jmenný server.
- Většina chyb je v názvu (tečka, zdvojený název domény) nebo v místě (nesprávná firma).
- Jeden SPF záznam, žádný CNAME na @, AAAA převádět spolu s A, MX na název s adresou.
- SERVFAIL po převodu je většinou stará DS.
- Pokud starou odpověď vidíte jen Vy, jde o Vaši cache nebo soubor hosts.
Kvíz
Úkol
Úkol Z8.4: Rozpoznávání chyb. Dostanete pět krátkých případů s výstupem dig (ve výukovém prostředí). U každého vyberte, o kterou z deseti chyb se jedná. Poté skutečné pátrání: pomocí dig nebo online nástroje zjistěte, který záznam je u dnssec-failed.org chybný (stav a co vrátí +cd), a zda má wikipedia.org přesně jeden SPF záznam.
Doporučené čtení
Tyto články popisují řešení v panelech WebOké; u jiných firem se tlačítka jmenují jinak.
- Web nebo e-mail nefunguje po přesunu nebo změně DNS: zkontrolujte svou doménu
- Jak dlouho trvá změna nameserveru nebo DNS a co dělat, pokud ji nevidíte?
- Příručka k DirectAdmin 18.7: Moje doména po převodu nebo změně ještě nefunguje
- Příručka k DirectAdmin 18.9: Nedostávám žádné e-maily
- Příručka k DirectAdmin 5.4: CNAME záznamy a tečka na konci
- Odesílání pošty přes PHP nefunguje, MX záznamy směřují jinam
- Použití vlastních nebo externích nameserverů (např. Cloudflare) pro Vaši doménu