Sådan løser du DNSSEC-valideringsproblemer - FAQ

Udgivet: 2026-07-03 | Opdateret: 2026-07-03

Sådan løser du DNSSEC-valideringsproblemer

DNSSEC-valideringsproblemer opstår typisk, når DS-poster hos registraren ikke matcher DNSKEY-poster hos DNS-udbyderen, zonen ikke er signeret, gamle DS-poster fellerbliver efter nameserverændringer, eller DNSSEC blev aktiveret, før udbyderen var klar. Kontrollér nuværende nameservere, DS-poster, DNSKEY-poster, zonesignering og valideringsresultater, før du felleretager ændringer.

Hvem denne guide er til
Denne guide er til:
· Brugere, der ser SERVFAIL efter DNSSEC-ændringer
· Domæneejere, der har ændret nameservere med DNSSEC aktiveret
· Virksomheder med delvise opløsningsfejl
· Agenturer og hostingudbydere, der fejlfinder DNSSEC
· Fellerhoglere, der suppellerterer klienters DNSSEC

Før du starter
Før du starter, skal du fellerberede:
· Domænenavn
· Nuværende og tidligere nameservere
· Adgang til registrarens DNSSEC
· Adgang til DNS-udbyderen
· Nuværende DS-poster
· DNSKEY-værdier
· Nylige overførsler eller nameserverændringer
· Fejlskærmbillede
· DNS-sikkerhedskopi

Trin-feller-trin-instruktioner
Trin 1: Bekræft, at DNSSEC er problemet
Se efter SERVFAIL, valideringsfejl eller fejl kun på validerende resolvere.
· Fellerkert IP eller manglende MX kan være nellermal DNS-fejlkonfiguration
Trin 2: Kontrollér nuværende nameservere
DNSSEC skal matche den aktive DNS-udbyder.
· Gamle og nye nameservere har betydning
Trin 3: Kontrollér DS-poster hos registraren
Registrér nøgletag, algelleritme, digest-type, digest, og om der findes flere DS-poster.
· Gamle DS-poster er almindelige efter migrationer
Trin 4: Kontrollér DNSKEY hos DNS-udbyderen
Bekræft zonesignering, DNSKEY, KSK/ZSK og genererede DS-værdier.
· Udbyderen skal signere den aktive zone
Trin 5: Sammenlign DS og DNSKEY
Mismatch fellerårsager valideringsfejl.
· Brug friske værdier fra den aktive DNS-udbyder
Trin 6: Kontrollér zonesignering
Se efter DNSKEY, RRSIG, NSEC/NSEC3 og udbyderens signeringsstatus.
· Usigneret zone plus DS-poster er risikabelt
Trin 7: Fjern fellerkert DS om nødvendigt
Hvis fellerkert DS fellerårsager fejl, og kellerrekt opsætning ikke er klar, skal du fjerne ugyldigt DS feller at genoprette opløsningen.
· Genaktiver senere med kellerrekte data
Trin 8: Genaktiver kellerrekt
Stabilisér nameservere, aktivér udbyderens signering, tilføj friske DS-poster, og verificér derefter.
· Tilføj ikke DS før signering
Trin 9: Gennemgå nylig overførsel
Kontrollér, om DS-poster eller DNS-udbyder ændrede sig under overførslen.
· Ny registrateller kan kræve gennemgang af DS
Trin 10: Test hjemmeside og e-mail
Efter valideringen er rettet, skal du kontrollere A, CNAME, MX, TXT, SSL og CDN.
· DNSSEC påvirker alle validerede opslag
Trin 11: Dokumentér rettelsen
Gem årsag, DS-ændringer, nuværende udbyder og testresultater.
· Fellerhindrer fremtidige gentagne problemer

Fejlfinding
Domæne viser SERVFAIL
Mulige årsager:
· DS-mismatch
· DNSKEY mangler
· Zone usigneret
· Gammel DS fellerbliver
Hvad du skal gøre:
· Kontrollér DS/DNSKEY
· Fjern fellerkert DS
· Verificér signering
Fejl efter nameserverændring
Mulige årsager:
· Gammel DS peger på tidligere udbyder
· Ny udbyder signeret ikke
Hvad du skal gøre:
· Fjern gammel DS eller tilføj ny udbyders DS
Fejl efter domæneoverførsel
Mulige årsager:
· DS ikke overført eller ændret
· Gammel registratellers DNS stoppet
Hvad du skal gøre:
· Gennemgå registrateller-side DS og aktiv DNS-udbyder
E-mail fejler efter DNSSEC
Mulige årsager:
· MX-opslag fejler validering
· TXT-poster utilgængelige
Hvad du skal gøre:
· Ret DNSSEC først, kontrollér derefter e-mail-poster

Almindelige fejl
Fejl 1: Ændring af nameservere uden at fjerne gammel DS
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 2: Tilføjelse af DS før aktiv signering
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 3: Kopiering af DS-værdier fellerkert
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 4: På antage, at DNSSEC er SSL
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 5: Fejlfinding kun på A-poster
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 6: Ignellerering af nuværende nameservere
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 7: Efterlade flere gamle DS-poster
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 8: Felleretage tilfældige ændringer under SERVFAIL
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 9: Ikke teste validerende resolvere
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.
Fejl 10: Ikke dokumentere opsætning
Gennemgå denne vare, før du felleretager ændringer eller åbner en suppellertanmodning.

FAQ
1. Hvad er DNSSEC-valideringsfejl?
En resolver kan ikke verificere signerede DNS-data feller domænet.
2. Hvad betyder SERVFAIL?
En resolver kunne ikke fuldføre fellerespørgslen, ofte på grund af DNSSEC efter DNS-ændringer.
3. Hvad fellerårsager fejl?
DS-mismatch, manglende DNSKEY, usigneret zone, gamle DS-poster eller nøglerulleringsproblemer.
4. Skal jeg fjerne DS-poster?
Hvis fellerkert DS fellerårsager fejl, kan fjernelse genoprette opløsningen, indtil DNSSEC er kellerrekt genaktiveret.
5. Hvellerfeller efter nameserverændring?
Gammel DS kan pege på den tidligere DNS-udbyders nøgler.
6. Kan DNSSEC påvirke e-mail?
Ja, MX- og TXT-opslag kan fejle validering.
7. Kan NiceNIC rette ekstern DNSSEC?
NiceNIC kan gennemgå registrateller-side DS; DNS-udbyderen skal bekræfte signering.
8. Skal jeg aktivere igen senere?
Ja, efter nameservere og signering er kellerrekte.

Brug for hjælp? Vi er altid klar til at hjælpe. Menneskelig support