DNS_PROBE_FINISHED_BAD_CONFIG: o que é e como corrigir

O que significa DNS_PROBE_FINISHED_BAD_CONFIG

Quando uma página falha porque o Chrome não consegue resolver o nome do host, o Chrome executa um pequeno teste de DNS para tentar adivinhar o motivo. O teste pede o registro A de google.com duas vezes: uma pelos servidores DNS que o seu dispositivo está configurado para usar e outra pelo Google Public DNS (8.8.8.8 e 8.8.4.4). Cada consulta recebe uma única tentativa e ignora o cache do Chrome, e o Chrome guarda o resultado por cerca de cinco segundos. O Chrome então dá nome ao erro conforme a combinação que obteve:

• O seu DNS configurado respondeu: o rótulo é DNS_PROBE_FINISHED_NXDOMAIN. O Chrome presume que o nome que você digitou não existe.
• O seu DNS configurado falhou, mas o Google Public DNS respondeu: o rótulo é DNS_PROBE_FINISHED_BAD_CONFIG. O comentário no código-fonte do Chromium diz que o Chrome presume então que a configuração de DNS está ruim, “or perhaps the DNS servers are down or broken” (ou talvez os servidores DNS estejam fora do ar ou quebrados).
• O seu DNS configurado falhou e o Google Public DNS estava inacessível: o rótulo é DNS_PROBE_FINISHED_NO_INTERNET.
• O seu DNS falhou e o Google Public DNS respondeu com erros ou resultados errados: o Chrome trata o resultado como inconclusivo. O código-fonte sugere um portal cativo, um firewall que reescreve o tráfego DNS ou um servidor público com falha.

Dois detalhes importam para a solução de problemas. Primeiro, o teste consulta google.com, não o site que você queria, então o rótulo não diz nada sobre esse site. Se você vê o erro em todos os sites, a mesma causa vale para todos eles. Segundo, o teste envia as próprias consultas DNS com o cliente DNS embutido do Chrome e não pergunta ao resolvedor do sistema operacional. Um problema de DNS pode, portanto, aparecer no Chrome enquanto outros programas parecem bem.

Se a configuração de DNS seguro do Chrome nomeia um provedor específico, o rótulo muda para DNS_PROBE_FINISHED_BAD_SECURE_CONFIG, e o provedor é o primeiro suspeito. Em plataformas onde o Chrome não consegue ler as configurações de DNS do sistema (o comentário do código-fonte dá o Android como exemplo), o Chrome reporta NXDOMAIN sempre que o Google Public DNS responde. Por isso você tem mais chance de ver esse rótulo num computador do que num celular.

Como o erro aparece

O Chrome mostra uma página “This site can't be reached” que diz que o endereço IP do servidor do site (em versões mais antigas, o endereço DNS) não foi encontrado, com o código DNS_PROBE_FINISHED_BAD_CONFIG embaixo. No Windows, a página também sugere executar o Diagnóstico de Rede do Windows. As sugestões que o código do Chromium dá para esse erro são verificar a configuração de DNS, o firewall e as configurações de proxy. O Edge mostra o mesmo código, porque é construído sobre o Chromium. O Firefox redige a falha de outro jeito.

A linha de comando mostra a mesma divisão entre os dois tipos de servidor DNS. Esta é uma saída típica no Windows quando o servidor configurado não responde:

nslookup google.com
DNS request timed out.
    timeout was 2 seconds.
Server:  UnKnown
Address:  192.168.1.1

DNS request timed out.
    timeout was 2 seconds.
*** Request to UnKnown timed-out

Executar nslookup google.com 8.8.8.8 na mesma janela devolve então um endereço para google.com a partir do servidor chamado dns.google. Esse par de resultados é o que o teste do Chrome enxerga.

DNS_PROBE_FINISHED_BAD_CONFIG e erros parecidos

O Chrome escolhe o rótulo depois do teste, então os vizinhos diferem em qual das duas consultas funcionou. A última linha é uma mensagem do Windows, não do Chrome.

Erro	O que aconteceu no nível da rede ou do protocolo	Onde olhar primeiro
DNS_PROBE_FINISHED_BAD_CONFIG	Os servidores DNS configurados no seu dispositivo falharam no teste, e o Google Public DNS passou.	As configurações de servidor DNS do dispositivo, o roteador, a VPN e o software de segurança.
DNS_PROBE_FINISHED_BAD_SECURE_CONFIG	O mesmo resultado, com o DNS seguro do Chrome definido para um provedor nomeado.	A opção de DNS seguro em chrome://settings/security.
DNS_PROBE_FINISHED_NXDOMAIN	O seu DNS funciona para o google.com, então o Chrome presume que o nome solicitado não existe.	A grafia e depois o registro e os registros DNS do domínio.
DNS_PROBE_FINISHED_NO_INTERNET	O seu DNS falhou e o Google Public DNS também não pôde ser alcançado.	A própria conexão: Wi-Fi, cabo, roteador, provedor de internet.
ERR_NAME_NOT_RESOLVED	A consulta falhou e nenhum resultado do teste ajudou a restringir a causa.	Compare a resposta do seu resolvedor com a de um resolvedor público.
“servidor DNS não está respondendo”	O Diagnóstico de Rede do Windows informa que uma consulta de nome não recebeu resposta do servidor DNS.	O endereço do servidor DNS no adaptador e no roteador.

O que causa o DNS_PROBE_FINISHED_BAD_CONFIG

• Um servidor DNS errado no adaptador. Um endereço fixo de uma rede antiga ou um erro de digitação faz toda consulta ir para um servidor que não existe ou não responde.
• Um encaminhador de DNS travado no roteador. Muitos roteadores domésticos encaminham as consultas DNS para o provedor. O encaminhador pode travar enquanto o resto da rede funciona.
• Servidores DNS do provedor com falha. Os servidores estão acessíveis, mas lentos, sobrecarregados ou quebrados.
• Uma VPN que deixou as configurações de DNS para trás. Depois de uma desconexão ou de uma queda, o adaptador pode manter endereços DNS privados que só são alcançáveis dentro do túnel.
• Um servidor DNS IPv6 inacessível. Uma rede pode anunciar um servidor DNS IPv6 que o seu dispositivo não consegue alcançar.
• Um software de segurança que filtra DNS. Um firewall, antivírus ou ferramenta de controle parental pode bloquear ou reescrever o tráfego DNS para o servidor configurado. O Chrome lista o firewall entre as sugestões para esse erro.
• Configurações de rede danificadas no Windows. Depois de remover um cliente de VPN ou um produto de segurança, o catálogo Winsock ou as configurações de TCP/IP podem ficar num estado quebrado.
• Um provedor de DNS seguro com falha. Isso produz a variante BAD_SECURE_CONFIG.

Como corrigir o DNS_PROBE_FINISHED_BAD_CONFIG

Descubra qual servidor DNS falha

Liste os servidores que o seu adaptador usa e depois faça a mesma pergunta a eles e a um servidor público. No Windows, no Prompt de Comando:

ipconfig /all | findstr /C:"DNS Servers"
nslookup google.com
nslookup google.com 8.8.8.8

No PowerShell, o mesmo teste é Resolve-DnsName google.com contra Resolve-DnsName google.com -Server 8.8.8.8. No macOS e no Linux, use dig google.com, que imprime na linha SERVER o servidor consultado, e dig @8.8.8.8 google.com +short.

Se a primeira consulta falha e a segunda funciona, o problema está confirmado: o servidor DNS configurado é a parte quebrada. Uma mensagem como “Server failed” ou “Query refused” significa que o servidor está acessível, mas não consegue ou não quer responder. Um timeout significa que nada respondeu.

Verificações rápidas que funcionam em qualquer sistema

1. Reinicie o roteador. Desligue-o da tomada por 30 segundos, ligue de novo e espere até ele ficar online. Isso limpa um encaminhador de DNS travado.
2. Tente outra rede. Use dados móveis ou o hotspot de um celular. Se o site carrega ali, o DNS da sua primeira rede (roteador ou provedor) é a causa.
3. Desconecte a VPN. Recarregue a página. Se agora funciona, a VPN deixou configurações de DNS para trás ou filtra o DNS.
4. Pause o software de segurança. Desligue por um teste a proteção da web ou o firewall do antivírus e recarregue. Ligue-os de novo depois e adicione uma exceção para o Chrome se essa foi a causa.

Windows

1. Abra o Prompt de Comando como administrador, depois limpe o cache do resolvedor e renove a concessão de rede:

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew

   A Microsoft documenta as três opções do ipconfig. O guia sobre como limpar o cache de DNS explica o que cada uma limpa.
2. Defina um servidor DNS que funcione. Pressione Win+R, execute ncpa.cpl, abra as propriedades do adaptador Wi-Fi ou Ethernet, selecione Protocolo IP Versão 4 (TCP/IPv4), escolha Propriedades e digite os endereços DNS manualmente. Ou use a linha de comando, com o nome do adaptador obtido em netsh interface show interface:

   netsh interface ipv4 set dnsservers name="Wi-Fi" static 8.8.8.8 primary
   netsh interface ipv4 add dnsservers name="Wi-Fi" address=1.1.1.1 index=2

   Para voltar aos endereços que o roteador entrega, execute netsh interface ipv4 set dnsservers name="Wi-Fi" source=dhcp.
3. Se o DNS ainda falhar, redefina a pilha de rede e reinicie o computador:

   netsh winsock reset
   netsh int ip reset

   A Microsoft descreve o netsh winsock reset como a redefinição do catálogo Winsock para um estado limpo, para resolver problemas causados por configurações corrompidas do Winsock.
4. Confira o proxy: Configurações, Rede e Internet, Proxy. Desative a opção “Usar um servidor proxy”, a menos que a sua rede exija.
5. Como último passo, use Configurações, Rede e Internet, Configurações avançadas de rede, Redefinição de rede. Ela remove e reinstala os seus adaptadores de rede, então talvez você precise se reconectar às redes Wi-Fi e reinstalar o software de VPN.

Chrome

1. Abra chrome://settings/security e olhe a opção “Use secure DNS” (usar DNS seguro). Se um provedor nomeado estiver selecionado, troque para “With your current service provider” (com o provedor de serviços atual) ou desligue a configuração para um teste.
2. Limpe o cache de hosts do próprio Chrome em chrome://net-internals/#dns e clique em “Clear host cache”.
3. Abra a página numa janela anônima para testar sem extensões. Uma extensão de VPN ou de proxy pode mudar a forma como o Chrome resolve nomes.
4. Compare com outro navegador. Se o Edge ou o Firefox carregam a página mas o Chrome não, olhe as configurações específicas do Chrome: DNS seguro, extensões e qualquer regra de firewall que trate o Chrome de forma diferente de outros programas.

macOS, Linux e ChromeOS

• macOS: liste os servidores em uso com scutil --dns | grep nameserver e mostre os configurados com networksetup -getdnsservers Wi-Fi. Defina servidores públicos com sudo networksetup -setdnsservers Wi-Fi 8.8.8.8 1.1.1.1. Para desfazer, execute sudo networksetup -setdnsservers Wi-Fi Empty. Limpe o cache com sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder.
• Linux com systemd-resolved: resolvectl status mostra o servidor DNS de cada interface, resolvectl query google.com o testa e sudo resolvectl flush-caches limpa o cache. Com o NetworkManager, defina os servidores na própria conexão:

  nmcli con mod "Wired connection 1" ipv4.dns "8.8.8.8 1.1.1.1"
  nmcli con mod "Wired connection 1" ipv4.ignore-auto-dns yes
  nmcli con up "Wired connection 1"

• ChromeOS: selecione o horário no canto inferior direito, selecione a rede, abra Rede e defina os servidores de nomes como servidores de nomes do Google ou personalizados.

Roteador e provedor de internet

Abra a página de administração do roteador (o endereço costuma ser 192.168.0.1 ou 192.168.1.1, e vem impresso na etiqueta do roteador). Procure os servidores DNS nas configurações de Internet ou WAN. Se apontam para um endereço interno antigo, defina-os como automáticos ou digite um par público. Se o problema aparece só na sua rede doméstica e um servidor DNS público o resolve, os resolvedores do seu provedor são a causa provável. Você pode manter os servidores públicos até o provedor confirmar um reparo.

Se você administra o site

Você não consegue corrigir esse erro pelo seu servidor. O teste nunca perguntou sobre o seu domínio. O que você pode fazer é confirmar que o seu domínio resolve para todos os outros e depois ajudar o visitante afetado:

dig +short example.com @8.8.8.8
dig +short example.com @1.1.1.1
dig NS example.com +short

Se isso devolve os seus endereços e servidores de nomes, envie ao visitante um recado curto: tente dados móveis ou outra rede, reinicie o roteador e defina os servidores DNS do dispositivo como 8.8.8.8 e 1.1.1.1. Anote o país e o provedor de cada relato, porque vários relatos de um mesmo provedor podem indicar uma falha nos resolvedores dele.

Como aparece visto de fora

Uma verificação de fora usa a própria consulta DNS, não a do seu visitante. Isso a torna um bom teste para esse erro, porque o rótulo só diz que o resolvedor do visitante está falhando. Os padrões:

• O nome resolve e o site carrega de todos os locais. O problema está do lado do visitante: o dispositivo, o roteador, a VPN ou o resolvedor do provedor.
• Os relatos vêm de um país ou provedor, e os outros locais estão bem. Os resolvedores daquele provedor provavelmente estão falhando. Nada está quebrado do seu lado.
• O nome não resolve em nenhum local. É um problema de domínio, e para os visitantes é outro erro. O DNS deles continua funcionando para o google.com, então o Chrome mostra DNS_PROBE_FINISHED_NXDOMAIN ou ERR_NAME_NOT_RESOLVED.

A consulta DNS resolve um nome a partir de vários locais e mostra o que cada um devolveu. O guia sobre propagação de DNS explica por que as respostas diferem entre lugares depois de uma mudança. A HostTracker roda verificações a partir de mais de 300 pontos de verificação em 158 cidades, então um site que está no ar em todos os locais enquanto um visitante relata esse erro sugere um problema no resolvedor desse visitante.

Perguntas frequentes

O DNS_PROBE_FINISHED_BAD_CONFIG é um problema do site?

Não. O teste do Chrome usou o google.com, não o site que você abriu. O erro diz que os seus servidores DNS configurados falharam num teste que o Google Public DNS passou. O mesmo site pode abrir normalmente para outras pessoas e em outras redes.

Por que o Chrome falha quando outros programas funcionam?

O teste do Chrome envia consultas DNS com o cliente DNS próprio e não usa o resolvedor do sistema operacional. O Chrome também tem configurações próprias, como o DNS seguro e as extensões. Se o nslookup funciona mas o Chrome falha, confira o DNS seguro, as extensões, o proxy e as regras de firewall para o Chrome.

Qual a diferença para o DNS_PROBE_FINISHED_NXDOMAIN?

No NXDOMAIN, os seus servidores DNS funcionam para o google.com, então o Chrome culpa o nome. No BAD_CONFIG, os seus servidores DNS falham no teste, então o Chrome culpa a configuração. O guia sobre DNS_PROBE_FINISHED_NXDOMAIN cobre o primeiro caso.

Limpar o cache de DNS resolve?

Só às vezes. Limpar remove respostas antigas de um cache. Esse erro é sobre os servidores que o seu dispositivo consulta, então um servidor ruim ou inacessível continua ruim depois da limpeza. Combine a limpeza com a reinicialização do roteador ou a troca do servidor DNS.

É seguro trocar para 8.8.8.8 ou 1.1.1.1?

Os dois são resolvedores públicos mantidos por grandes empresas, e você pode desfazer a mudança a qualquer momento. O operador do resolvedor vê os nomes de host que você consulta, então escolha um em que confie e leia a política de privacidade dele.

Por que começou depois que usei uma VPN?

Um cliente de VPN pode substituir os servidores DNS do seu adaptador enquanto está conectado. Se o cliente fecha de forma errada, o adaptador pode ficar com endereços que só funcionam dentro do túnel. Reconecte e desconecte corretamente, ou defina os servidores DNS de novo manualmente.

Posso ver esse erro num celular?

É menos provável. No Android, o Chrome pode não conseguir ler as configurações de DNS do celular e, nesse caso, um comentário no código-fonte do Chromium diz que ele reporta NXDOMAIN no lugar. Se um erro de DNS aparece num celular, confira o DNS Privado e qualquer app de VPN ou de bloqueio de anúncios.

Quanto devo esperar antes de tentar de novo?

O Chrome guarda o resultado do teste por cerca de cinco segundos, então recarregar depois de uma mudança refaz o teste na hora. Se você reiniciou o roteador, espere primeiro ele ficar online.

Fontes e leitura adicional

• Chromium source: DNS probe service: as regras que escolhem entre os rótulos DNS_PROBE_FINISHED.
• Chromium source: DNS probe runner: a consulta ao google.com que o teste executa.
• Microsoft Learn: ipconfig: as opções /flushdns, /release e /renew.
• Microsoft Learn: netsh winsock: o que o winsock reset faz.