DNS の Server Failure／SERVFAIL をフォワーダー、53番ポート、キャッシュから切り分ける
SERVFAIL はリゾルバーが問い合わせを完了できなかった状態です。権威情報、転送、TCP／UDP 53、DNSSEC、タイムアウト、キャッシュを確認します。
変更前にリスクと切戻しを確定試験環境または代表一台で先に確認し、構成、ログ、復元可能なバックアップを保存します。本番切替、一括ポリシー、DB 修復、ストレージ再構築では保守時間と切戻し条件を設定します。
1. 結論と対象範囲
SERVFAIL は名前が存在しないという意味ではなく、名前解決処理の失敗です。端末、キャッシュ DNS、上位フォワーダー、権威 DNS のいずれかでタイムアウト、拒否、不正応答が起きると同じ結果になるため、サーバーとレコード種別を比較します。
DNS、ネットワーク、VPN、ファイアウォール、限定アクセスに関係します。問い合わせ経路、ポート、戻り、ログを段階確認します。
2. 優先して確認するリスク兆候
- 同じ名前が断続的に失敗し、キャッシュ消去後だけ一時的に成功する。
- A は成功するが CNAME、AAAA、大きな応答が失敗する、または二台 DNS の結果が異なる。
3. 変更前の確認項目
- Resolve-DnsName または nslookup で二台の内部 DNS と承認済み上位 DNS を個別指定します。
- 条件付きフォワーダーに空値、誤アドレス、順序不良、廃止済み DNS がないか確認します。
- DNS サーバーから上位への UDP 53、TCP 53、戻り通信をファイアウォールで確認します。
- DNS Server イベント、デバッグログ、再帰タイムアウト、DNSSEC、否定キャッシュを確認します。
読取中心の確認・検証例
Resolve-DnsName vendor.example -Type A -Server 192.0.2.53
Resolve-DnsName vendor.example -Type CNAME -Server 192.0.2.53
Test-NetConnection 203.0.113.53 -Port 53
Clear-DnsServerCache -Forcecorp.example、192.0.2.0/24、203.0.113.0/24 は文書用の例です。実環境の値を確認したうえで置き換えてください。
4. 推奨実施手順
- 誤った転送先とファイアウォールを修正した後、二台 DNS のキャッシュを消去します。
- 端末が内部 DNS を迂回する設定を恒久対策にしません。
- ベンダー名前空間だけを条件付き転送し、全再帰問い合わせへ影響させません。
- 権威 DNS 側の障害なら問い合わせ証跡を残し、提供元へ連絡します。
リモート調査と現地作業の判断ログ、構成、少数対象は通常リモートで評価できます。物理サーバー、ストレージ、電源、全体切替、復元訓練は管理された現地作業枠を使用します。浙江・上海・江蘇は案件により訪問対応し、その他地域はリモート支援します。
5. 検証、切戻し、よくある誤り
- A、AAAA、CNAME、SOA を連続照会して結果が一致します。
- 二台 DNS が主副切替とキャッシュ有無の両方で成功します。
- ログに継続タイムアウト、拒否、TCP フォールバック失敗がありません。
よくある誤り
- ping またはブラウザーだけで確認する。
- 端末キャッシュだけ消去し、サーバーキャッシュと誤転送を残す。
- UDP 53 だけで全 DNS を処理できると考える。
よくある質問
SERVFAIL はドメイン不存在ですか。
違います。不在は通常 NXDOMAIN で、SERVFAIL は処理を完了できない状態です。
二台 DNS の両方でキャッシュ消去しますか。
はい。端末はどちらも利用するため、設定とキャッシュを個別に処理します。
実環境に合わせた判断が必要ですか。
バージョン、構成図、完全なエラー、イベント時刻、影響範囲、直近変更、実施済み操作をご提供ください。リスク、対応範囲、切戻しを確認してから実施範囲を整理します。