DNSエラーのトラブルシューティング方法

ブラウザーに表示される「DNSエラー」は症状を示しているだけで、原因がひとつに決まるわけではありません。名前の入力ミス、権威DNSサーバーへの到達不能、リゾルバーが古い回答を保持している、DNSSECの検証に失敗している、といった可能性が考えられます。設定を変える前に、どの段階で失敗しているのかを突き止めましょう。

応答の種類を見分ける

NXDOMAINは、回答したDNSサーバーの認識では、問い合わせた名前が存在しないことを意味します。NODATAは、名前は存在するものの、要求したタイプのレコードがない状態を指す一般的な呼び方です。たとえば、Aレコードはあっても、AAAAレコードがない場合です。SERVFAILは、サーバーがクエリを処理しきれなかったことを示すもので、名前が存在しない根拠にはなりません。タイムアウトは時間内に回答が届かなかったことを意味し、到達性の確認が必要です。

応答には追加の詳細情報が付くことがあります。RFC 8914で定義されたExtended DNS Errorsは、元の応答コードを変えずに、SERVFAILの理由の一部を説明できます。ただし、すべてのツールがこれを表示するわけではありません。

名前解決の経路をたどる

まず、正確な名前とレコードタイプを確認します。ドメインの権威DNSサーバーを特定し、そのうちの1台に直接問い合わせてください。タイムアウトやエラーになる場合は、委任、到達性、ゾーンの設定を調べます。権威DNSサーバーの回答は正しいのにフルリゾルバーの回答が異なる場合は、ドメイン設定チェックを使って、そのキャッシュと選択しているリゾルバーを比較しましょう。

AとAAAAも比べてください。IPv4では問題なく表示されるサイトが、IPv6では失敗することもあります。メールの場合はMXを確認し、続いて選ばれたメールホストのアドレスレコードを確認します。HTTP 404やTLSの警告は名前解決のあとで起きるもので、別に調査する必要があります。ブラウザーに大まかなエラーメッセージが出たからといって、むやみにDNS設定を切り替えるのはやめましょう。DNSサーバーがどのくらいで応答しているかは2IPのDNS応答時間の確認で測れます。

キャッシュとデバイスを確認する

同じクエリを別のフルリゾルバー経由で、また別のデバイスからも試してみます。特定のデバイスだけで失敗する場合は、そのデバイスの接続、システムのリゾルバー、ブラウザーのDoH設定、ローカルキャッシュのいずれかが疑われます。どのリゾルバーでも一貫してNXDOMAINが返るなら、ドメインの登録、委任、稼働中のゾーンにレコードが存在するかを確認してください。

レコードを作成したあとも、否定応答がキャッシュに残ることがあります。NXDOMAINとNODATAのキャッシュについてはRFC 2308で説明されています。正しいゾーンを何度も編集し直すのではなく、該当するTTLと変更した時刻を記録しておきましょう。

サポートに役立つ情報を伝える

サポートに問い合わせる前に、完全な名前、レコードタイプ、クエリの時刻、リゾルバーのアドレス、応答コードを控えておきます。パスワードやトークンは伏せたうえで、権威DNSサーバーとフルリゾルバーそれぞれの回答を添えてください。こうした情報があれば、DNSデータの誤りなのか、ネットワークの障害なのか、アプリケーションの問題なのかを切り分けられ、的を絞った修正ができます。