DNS_PROBE_FINISHED_NXDOMAIN: Bedeutung und Behebung

Was der Fehler bedeutet

NXDOMAIN ist ein DNS-Antwortcode, kurz für nicht existierende Domain. Ein Resolver gibt ihn zurück, nachdem er die Kette von der Root bis zu der Zone durchlaufen hat, die Ihren Hostnamen enthalten müsste, und dort nichts gefunden hat. Chrome zeigt DNS_PROBE_FINISHED_NXDOMAIN an. Firefox meldet, dass keine Verbindung zum Server möglich ist. Safari meldet, dass der Server nicht gefunden werden kann. Alle drei berichten dieselbe Antwort.

NXDOMAIN ist nicht dasselbe wie ein Resolver-Fehler, und dieser Unterschied entscheidet, wo Sie suchen müssen. Ist Ihr Resolver nicht erreichbar oder läuft in ein Timeout, erhalten Sie stattdessen die Meldung "DNS-Server antwortet nicht". Antwortet die Zone, ist aber defekt, etwa eine DNSSEC-Kette, die sich nicht validieren lässt, bekommen Sie meist SERVFAIL. NXDOMAIN ist eine eindeutige Antwort: Der Name ist nicht veröffentlicht.

Eine Eigenschaft von NXDOMAIN ist bei der Fehlersuche wichtiger als jede andere. Negative Antworten werden zwischengespeichert. Nach RFC 2308 speichert ein Resolver das Ergebnis "kein solcher Name" für das im SOA-Eintrag der Zone angegebene Intervall, üblicherweise zwischen 5 und 60 Minuten. Eine Domain, die vor zwei Minuten zu funktionieren begann, kann auf Ihrem Rechner trotzdem noch fehlschlagen, und kein noch so häufiges Neuladen ändert daran etwas, bis der Cache-Eintrag abläuft oder Sie ihn löschen.

Warum es passiert

• Ein Tippfehler im Hostnamen. Mit Abstand die häufigste Ursache, und die, die alle zuletzt prüfen.
• Die Domain ist nicht registriert oder abgelaufen. Eine abgelaufene Domain wird meist innerhalb von Stunden nach Ende der Nachfrist aus der Zone entfernt.
• Keine Nameserver-Delegation. Die Domain existiert beim Registrar, hat aber keine NS-Einträge, die auf einen DNS-Anbieter verweisen, sodass die übergeordnete Zone einen Resolver nirgendwohin verweisen kann.
• Der Eintrag wurde gelöscht oder umbenannt. Ein fehlender A- oder CNAME-Eintrag für www erzeugt NXDOMAIN für www.example.com, während die nackte Domain weiterhin funktioniert.
• Eine Änderung hat Ihren Resolver noch nicht erreicht. Neue Einträge brauchen bis zu der TTL des vorherigen Eintrags, um überall sichtbar zu werden.
• Eine zwischengespeicherte negative Antwort auf Ihrem Gerät, in Ihrem Browser oder auf dem Resolver Ihres Internetanbieters.
• Ein Eintrag in der Hosts-Datei, der den Namen auf etwas verweist, das nicht mehr existiert, oder eine übrig gebliebene Zeile aus einem alten Test.
• VPN-, Proxy- oder Filtersoftware, die DNS selbst beantwortet und die Auflösung des Namens blockiert oder verhindert.
• Ein Hostname, der nur in einem privaten Netzwerk existiert, mit dem Sie gerade nicht verbunden sind, etwa eine interne .local- oder Firmendomain.

Wie Sie es beheben

Tippen Sie die Adresse zuerst noch einmal ein, und arbeiten Sie sich dann vom Browser nach außen zu Ihrem Netzwerk vor. Testen Sie nach jedem Schritt, statt alle auf einmal auszuführen.

Browser

1. Öffnen Sie dieselbe URL in einem privaten Fenster. Lädt sie dort, ist eine Erweiterung oder ein Cookie im Spiel, nicht DNS.
2. Leeren Sie Chromes eigenen Resolver-Cache unter chrome://net-internals/#dns, und leeren Sie anschließend die Socket-Pools unter chrome://net-internals/#sockets. Chrome führt einen vom Betriebssystem getrennten Cache, weshalb ein reines Leeren auf Betriebssystemebene oft nichts ändert.

Windows

1. Resolver-Cache leeren: ipconfig /flushdns
2. Netzwerk-Lease erneuern, was auch von DHCP zugewiesene DNS-Server neu übernimmt:

   ipconfig /release
   ipconfig /renew

3. Den Cache-Dienst neu starten, falls das Leeren nicht anhält:

   net stop dnscache
   net start dnscache

4. Prüfen Sie C:\Windows\System32\drivers\etc\hosts auf eine Zeile mit der Domain und löschen Sie sie, falls sie veraltet ist.
5. Einen öffentlichen Resolver festlegen: netsh interface ipv4 set dnsservers name="Wi-Fi" static 1.1.1.1 primary
6. Als letztes Mittel den Netzwerkstapel zurücksetzen und dann neu starten: netsh winsock reset

macOS

1. Cache leeren: sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
2. Sehen, welche Server verwendet werden: scutil --dns | grep nameserver
3. Die Schnittstelle auf einen öffentlichen Resolver zeigen lassen: sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1
4. Prüfen Sie /etc/hosts und entfernen Sie jede Zeile für die Domain.

Linux

1. Bei systemd-resolved: sudo resolvectl flush-caches, danach die verwendeten Server mit resolvectl status bestätigen.
2. Bei dnsmasq: sudo systemctl restart dnsmasq. Bei nscd: sudo systemctl restart nscd.
3. Lesen Sie /etc/resolv.conf, um zu sehen, welchen Resolver Sie abfragen, und /etc/hosts auf eine veraltete Überschreibung.
4. Mit NetworkManager den Resolver direkt an der Verbindung ändern:

   nmcli con mod "Wired connection 1" ipv4.dns "1.1.1.1 1.0.0.1"
   nmcli con up "Wired connection 1"

Router

1. Router aus- und wieder einschalten. Die meisten Consumer-Router betreiben einen kleinen weiterleitenden Resolver mit eigenem Cache, und ein Neustart leert ihn.
2. Schauen Sie in der Admin-Oberfläche des Routers nach den WAN- oder DHCP-DNS-Servern. Zeigen sie auf einen alten internen Server oder einen Filterdienst, ersetzen Sie sie.
3. Testen Sie mit einem Smartphone über Mobilfunkdaten statt WLAN. Löst sich der Name dort auf, liegt der Fehler in Ihrem eigenen Netzwerk.

Wenn Ihnen die Domain gehört

NXDOMAIN auf der eigenen Website ist ein Veröffentlichungsproblem, und es gibt nur wenige Stellen, von denen es kommen kann. Prüfen Sie zuerst den Registrierungsstatus und das Ablaufdatum. Bestätigen Sie dann die Delegation, den Schritt, den die meisten überspringen:

dig NS example.com +short
dig example.com +trace

Eine leere NS-Antwort bedeutet, dass die übergeordnete Zone keine Delegation hat, sodass kein Resolver Ihren DNS-Anbieter erreichen kann, egal welche Einträge Sie dort angelegt haben. Die Ausgabe von +trace zeigt die Verweiskette und den genauen Schritt, an dem sie abbricht. Ist die Delegation in Ordnung, fragen Sie den Nameserver Ihres Anbieters direkt ab, um zu bestätigen, dass der Eintrag in der Zone existiert, die Sie bearbeiten:

dig @ns1.example-dns.net www.example.com A

Wenn Sie einen fehlenden Eintrag hinzufügen, bleibt die alte negative Antwort andernorts so lange gecacht, wie es das SOA-Minimum erlaubt, geben Sie ihr also diese Zeit, bevor Sie schließen, dass die Korrektur nicht funktioniert hat.

Von außen prüfen

Jede der obigen Korrekturen ändert nur Ihren eigenen Rechner. Keine sagt Ihnen, ob sich der Name für andere auflöst, und genau das wollen Sie zuerst wissen. Führen Sie die Abfrage gegen zwei öffentliche Resolver aus und vergleichen Sie:

dig example.com +short
dig @1.1.1.1 example.com +short
dig @8.8.8.8 example.com +short

nslookup example.com 8.8.8.8

Liefert Ihr Standard-Resolver nichts und 1.1.1.1 eine Adresse, existiert der Eintrag, und Ihr Resolver hält eine veraltete negative Antwort oder filtert den Namen. Liefert jeder Resolver nichts, fehlt der Eintrag tatsächlich.

Zwei Resolver decken trotzdem nur einen Blickwinkel ab, und DNS-Antworten unterscheiden sich öfter nach Region, als man erwartet. Führen Sie die DNS-Abfrageprüfung aus, um den Namen von Prüfpunkten in mehreren Ländern gleichzeitig aufzulösen und zu lesen, was jeder davon zurückgegeben hat. Ein geteiltes Ergebnis, manche Standorte antworten und andere nicht, deutet auf eine sich noch ausbreitende Änderung oder auf einen Nameserver eines Anbieters hin, der von einem Teil des Internets aus nicht erreichbar ist. Diese Beobachtung über die Zeit ist DNS-Propagation, die eine eigene Anleitung zum Prüfen der DNS-Propagation hat.

Einen Namen erkennen, der sich nicht mehr auflöst

Ein verschwundener Eintrag hinterlässt auf Ihrer Seite keine Spur. Nichts protokolliert ihn, weil nie eine Anfrage ankommt, und das einzige Anzeichen ist ein einbrechendes Traffic-Diagramm. Die Lösung ist in jedem Fall eine Abfrage, die nach Zeitplan von einem anderen Ort als Ihrem Büro läuft. HostTracker überwacht Websites seit 2004 und führt inzwischen Prüfungen von mehr als 300 Prüfpunkten in 158 Städten aus, mit Benachrichtigungen per E-Mail, SMS, Sprachanruf, Slack, Telegram und mehr, sobald sich ein Name nicht mehr auflöst oder eine falsche Adresse zurückliefert. Die übrigen Anleitungen dieses Bereichs finden Sie im Bereich zur Fehlerbehebung, und die beiden diesem hier am nächsten stehenden sind DNS-Server antwortet nicht, für den Fall, dass der Resolver überhaupt nicht antwortet, und wie Sie eine langsame DNS-Abfrage beheben, für den Fall, dass er antwortet, aber zu lange dafür braucht.