Dépannage

Si vous rencontrez des problèmes pour résoudre des domaines à l’aide du DNS public de Google, vérifiez d’abord la page d’accueil du DNS public de Google à l’adresse https://dns.google/.It dispose d’un formulaire de recherche DNS simple, illustré ici.

Si votre navigateur ne trouve pas le serveur dns.google ou s’il ne répond pas,vérifiez que vous pouvez atteindre les serveurs DNS publics de Google à l’aide de diagnostics en ligne de commande.

Tapez google.com (ou n’importe quel nom de domaine ou adresse IP)et appuyez sur Entrée pour voir une page de résultats DNS détaillée comme la suivante:

Dépannage du DNS public de Google

Il existe plusieurs types possibles de problèmes de résolution DNS;suivez les instructions sous le titre qui correspond le plus à votre problème.Si vous devez signaler un problème et obtenir de l’aide,incluez la sortie de toutes les commandes ou le texte des pages de diagnostic dans votre rapport.

Problèmes de résolution d’un domaine

Si le DNS public Google a des problèmes de résolution d’un certain nom de domaine,entrez-le dans la page de détail dns.google.Si le problème concerne un type d’enregistrement de ressources (RR) DNS particulier,saisissez-le dans le champ de texte « Type de RR » (vous pouvez également saisir un nombre).Appuyez sur la touche Entrée ou cliquez sur Résoudre pour voir les résultats.

Dans les résultats détaillés, il peut y avoir une ligne avec "Comment": en bas avec des diagnostics sur votre requête DNS. Par exemple, vous pourriez voir
"DNSSEC validation failure. Check http://dnsviz.net/d/dnssec-failed.org/dnssec/and http://dnssec-debugger.verisignlabs.com/dnssec-failed.org for errors"

Visiter toutes les URL de commentaires (ce ne sont pas des liens, copiez et collez-les dans un navigateur)pour voir des diagnostics détaillés qui peuvent identifier la cause des problèmes de résolution.

S’il y a une ligne de commentaire qui correspond à l’une des entrées suivantes, cliquez sur le lien correspondant pour aller directement à une étape de diagnostic spécifique, ou commencez simplement par la première étape de dépannage du domaine.

DNSSEC validation failureSi vous voyez ceci, désactivez la validation en cliquant sur le basculeur DNSSEC, et cliquez sur Résoudre pour réessayer la requête. Si cela réussit ("Status": 0), il y a un problème de DNSSEC ; consultez le dépannage des DNSSEC.Sinon, consultez le dépannage du serveur de noms.Name serversVoir Dépannage du serveur de noms.Resolution failureouLame delegationVoir Dépannage de la délégation.

Si vous avez des problèmes avec des enregistrements volumineux (généralement des clés DNSSEC ou des enregistrements TXT),lisez la section Dépannage des réponses volumineuses.

Retourner les mauvaises réponses pour un domaine

Il existe de nombreuses raisons pour lesquelles Google Public DNS peut retourner des réponses erronées;essayez l’une des suivantes qui semblent possibles compte tenu de votre connaissance du domaine.

Si les serveurs d’un domaine ont récemment changé

En particulier si le domaine a de nouveaux serveurs DNS ou un nouveau registraire DNS,Google Public DNS peut renvoyer d’anciennes réponses en cache (mais non expirées).Utilisez Flush Cache(documentation) pour vider le domaine enregistré et le nom de domaine spécifique renvoyant une réponse périmée.

Si vous obtenez toujours des réponses périmées après le vidage,interrogez le SOA type RR pour le domaine enregistré sur la page dns.googledetail.et vérifiez le numéro de série de la zone (le premier numéro dans les « données » de la « réponse »).Si vous obtenez parfois des numéros de série différents, certains des serveurs de noms faisant autorité peuvent servir des données périmées, et l’opérateur DNS du domaine doit résoudre le problème.

Si les adresses d’un domaine CDN (Content Delivery Network) sont éloignées

Lorsqu’une adresse plus proche aurait dû être renvoyée, il est possible que les serveurs de noms faisant autorité n’implémentent pas correctement le sous-réseau clientEDNS (ECS).Les opérateurs DNS du domaine doivent confirmer qu’ils suivent toutes les directives de cette page.

Si vos applications voient des adresses différentes des résultats web dns.google

Si le site web dns.google est bloqué ou montre des résultats très différents,vérifiez d’abord que vous utilisez Google Public DNS. Si c’est le cas,des réponses différentes pourraient être dues à un détournement de DNS par un portail Wi-Fi captif,un logiciel malveillant sur votre routeur, votre FAI ou ses réseaux.Consultez les instructions de dépannage pour le blocage et le détournement.

La résolution des domaines est trop lente

Bien que des outils tels que traceroute et ping signalent les latences du réseau, ils ne mesurent pas la vitesse de la résolution DNS et ne sont utiles que lorsqu’on essaie de trouver l’emplacement des retards ou de confirmer l’accessibilité du réseau.Google ne bloque pas ICMP ou UDP aléatoire vers les adresses IP Google Public DNS, mais il existe des limites de débit sur les réponses d’erreur ICMP et le trafic ICMP peut être dépriorisé au sein des réseaux Google.

Pour mesurer la vitesse de résolution DNS, vous devez utiliser un outil de test DNS,comme farrokhi/dnsdiag (Python, GitHub)ou dnsping (C#, SourceForge).Des mesures plus complètes peuvent être effectuées avec des outils comme Namebenchou le GRC DNS Benchmark (pour Windows).

Si les latences de résolution sur IPv6 sont significativement plus longues que pour IPv4,la connectivité IPv6 entre votre FAI et Google peut être sous-optimale.Les FAI ayant un peering avec Google doivent vérifier si le nombre de sauts est beaucoup plus important dans la sortie IPv6traceroute (voir atteindre les serveurs DNS publics de Google)ou d’autres problèmes de routage BGP indiqués sur leur ISPdashboardet envoyer un courriel au NOC de Google si leur routage IPv6 semble atterrir dans un métro différent de celui d’IPv4.

Aucune réponse à (certaines de) mes requêtes DNS

Il est normal qu’une très petite fraction des requêtes DNS UDP soit abandonnée,mais si vous constatez des abandons pour un pour cent ou plus de vos requêtes,utilisez un outil de test DNS comme ceux de la section précédente.

Si un outil de test DNS montre des niveaux élevés de requêtes sans réponse(et surtout si ping et traceroute ne montrent pas de taux de chute comparables),vérifiez si votre adresse IP génère plus de 1000 requêtes par seconde,ce qui peut déclencher une limitation de taux.Si c’est le cas,vous pouvez demander une augmentation de la limite de taux sur notre traqueur de problèmes.

Blocage et détournement du DNS

Si vous n’obtenez aucune réponse aux requêtes DNS (mais que la page dns.google fonctionne)les requêtes UDP et TCP peuvent être bloquées ou détournées.Exécutez ces commandes pour vérifier si les requêtes UDP et TCP atteignent le DNS public de Google:

nslookup -debug -type=TXT test.dns.google.com. dns.google.nslookup -debug -type=TXT -vc locations.dns.google.com. dns.google.

dig -t TXT test.dns.google.com. '@dns.google.'dig -t TXT +tcp locations.dns.google.com. '@dns.google.'

Si la sortie de la première commande indique "Thanks for using Google Public DNS."vos requêtes UDP atteignent le DNS public de Google ; si la sortie de la seconde commandeinclut locations.publicdns.goog.vos requêtes TCP atteignent également Google.

Si la sortie indique NXDOMAIN, alors vous atteignez un autre résolveur DNS.Si la sortie indique un timeout, les requêtes DNS vers le DNS public de Google sont bloquées.Utilisez les commandes UDP ou DNS traceroute dans la section suivante pour voir où le détournement ou le blocage peut se produire.

Vérifiez que vous atteignez les serveurs DNS publics de Google

Si vous ne pouvez pas ouvrir la page d’accueil dns.google page d’accueil, il peut y avoir un problème de réseau ou un blocage qui vous empêche d’atteindre le DNS public de Google.

Si votre système est configuré pour utiliser le DNS public de Google comme résolveur DNS,vous devrez peut-être remplacer le nom dns.google dans les commandes suivantes par les adresses IP du DNS public de Google.Essayez d’abord avec le nom, et si cela échoue, utilisez 8.8.8.8 ou une autre adresse.

Ouvrir une fenêtre de terminal avec une invite de commande et exécuter les commandesetraceroute:

tracert -d -w 2000 dns.google

tracert -6 -d -w 2000 dns.google

/usr/sbin/traceroute -n -w 2 -m 30 dns.google

/usr/sbin/traceroute6 -n -w 2 -m 30 dns.google

sudo /usr/sbin/traceroute -n -w 2 -m 30 dns.google

Si la dernière ligne de la sortie ne montre pas une adresse IP DNS publique de Google(8.8.8.8, 8.8.4.4, ou une adresse IPv6 commençant par 2001:4860:4860),il se peut qu’un problème de réseau vous empêche d’atteindre Google.

Sur les systèmes non Windows, répétez les commandes ci-dessus avec une option -I ou -U,pour utiliser les paquets ICMP ou les paquets UDP non DNS envoyés au port DNS (53).Si l’option -I n’est pas reconnue, essayez la commande ping pour envoyer des ICMP:

ping -c 2 dns.google

La commande dnstraceroute des outils de test DNS farrokhi/dnsdiag décrits sous La résolution des domaines est trop lente peut être utilisée pour tracer la routedes requêtes DNS réelles (même sous Windows).

Si certaines de ces commandes fonctionnent et que d’autres renvoient des erreurs de réseau ou des délais d’attente,le filtrage du réseau peut vous empêcher d’atteindre Google Public DNS.Contactez votre administrateur réseau ou le support de votre FAI pour le confirmer.

Si aucune de ces commandes ne fonctionne, contactez votre FAI (en amont),ou si vous êtes un FAI qui fait du peering avec Google, contactez le NOC de Google.La dernière ligne de la sortie traceroute qui ne comporte pas trois étoiles * * *(montrant des timeouts cohérents) peut indiquer où le problème se produit.