Прописал DNS-серверы, но сайт недоступен

    Вы сменили DNS-серверы для домена, прошло больше суток, но сайт все еще не открывается. Это может быть связано не только с ожиданием обновления записей, но и с DNSSEC, кешированием на стороне CDN или настройками защищенного DNS в браузере.

    Что делать, если сайт недоступен после смены DNS-серверов

    • 1
      Проверьте распространение записей — через nslookup или dig запросите запись напрямую у авторитативного сервера и у публичного резолвера.
    • 2
      DNSSEC — если домен подписан, несоответствие DS-записи на родительской зоне ломает резолвинг.
    • 3
      Кеш CDN — если сайт за Cloudflare или другим CDN, смена DNS может не дать мгновенного эффекта.
    • 4
      Защищенный DNS в браузере — DoH/DoT игнорирует системные настройки DNS.

    Диагностика проблемы

    Шаг 1. Проверьте ответ DNS-серверов

    Браузер и ping не показывают реальную картину DNS, так как они могут использовать кеш. Для диагностики нужны команды nslookup (Windows) или dig (Linux, macOS).

    Windows: откройте командную строку и выполните: nslookup ваш-домен.рф 8.8.8.8

    Linux или macOS: откройте терминал и выполните: dig ваш-домен.рф @8.8.8.8

    Статус в ответе
    Что означает
    Что делать
    NOERROR
    Запись существует, DNS работает
    Проверьте IP и доступность сервера
    NXDOMAIN
    Домен или запись не найдены
    Проверьте NS-серверы и DNS-зону в Рег.ру
    SERVFAIL
    Сервер не смог обработать запрос. Часто указывает на проблему с DNSSEC
    Перейдите к шагу 2 — проверке DNSSEC

    Если 8.8.8.8 возвращает правильный IP, а ваш компьютер — старый IP, то проблема в локальном кеше. Очистите DNS-кеш операционной системы. Если оба резолвера возвращают ошибку, то проблема не в локальном кеше. Перейдите к шагу 2.

    Если нужно обойти все кеши и обратиться напрямую к авторитативному серверу Рег.ру

    • 1

      Cначала узнайте его имя: nslookup -type=NS ваш-домен.рф

    • 2

      Затем запросите запись напрямую у этого сервера: nslookup ваш-домен.рф ns1.reg.ru

    Шаг 2. Проверьте DNSSEC

    DNSSEC — это расширение безопасности, которое криптографически подписывает DNS-записи. Когда оно настроено правильно, вы его не замечаете. Когда неправильно — домен перестает резолвиться, часто с ошибкой SERVFAIL.

    Типичная причина: домен подписан, но DS-запись на родительской зоне (например, в зоне .ru) не соответствует активному ключу подписи. Валидирующий резолвер (Google, Cloudflare, многие провайдеры) видит несоответствие и отказывается отдавать ответ.

    Как проверить:

    Используйте онлайн-инструменты DNSViz или Verisign DNSSEC Debugger. Введите домен и посмотрите, есть ли ошибки в цепочке доверия.

    Не используйте nslookup для проверки DNSSEC-записей — он не поддерживает DNSSEC. Для запроса DNSKEY используйте dig с флагом +dnssec: dig ваш-домен.рф DNSKEY +dnssec Если записи DNSKEY нет, домен не подписан. Если есть, но валидация не проходит — проблема в DS-записи на стороне регистратора зоны .

    Шаг 3. Проверьте кеширование CDN

    Если ваш сайт использует CDN (Cloudflare, CloudFront или другой), смена DNS-серверов может не дать мгновенного эффекта. CDN кеширует контент и DNS-ответы на своей стороне.

    Что проверить:

    • В панели CDN очистите кеш для домена.
    • Убедитесь, что CNAME-запись, которую требует CDN, настроена корректно.
    • Если CDN работает в режиме «прокси», запросы идут не напрямую на ваш сервер, а через CDN. Проверьте, что CDN получает трафик и перенаправляет его на работающий сервер.

    Совет

    Для диагностики можно временно переключить CDN в режим «только DNS» (если провайдер это поддерживает). Тогда запросы пойдут напрямую на IP из A-записи. Если сайт открывается — проблема в настройках прокси CDN, а не в DNS.

    Шаг 4. Проверьте защищенный DNS в браузере

    Современные браузеры умеют использовать DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT). Если эта функция включена, браузер игнорирует системные настройки DNS и использует собственный резолвер.

    Как проверить:

    Браузер
    Путь в настройках
    Признак включенного DoH
    Firefox
    Настройки → Основные → Настройки сети → «Включить DNS через HTTPS»
    Если включено — браузер использует DoH
    Chrome
    Настройки → Конфиденциальность и безопасность → Безопасность → «Использовать защищенный DNS»
    Если выбрано «С текущим поставщиком услуг» или конкретный провайдер — DoH активен

    Если вы прописали 8.8.8.8 в системе, а браузер использует DoH, ваши изменения не применяются к браузеру. Временно отключите DoH для проверки. Если сайт заработал — проблема была именно в этом.

    Шаг 5. Проверьте распространение записей из разных регионов

    Даже если ваш компьютер видит правильный IP, пользователи в другом регионе могут видеть старый. Это нормально в течение TTL (Time-To-Live — время жизни записи).

    Что делать:

    Используйте мультирегиональный чекер, например DNS Checker. Введите домен и тип записи (A или CNAME). Сервис покажет, какие IP возвращают резолверы в разных странах.

    Результат в DNS Checker
    Что означает
    Что делать
    Все зеленые, значения совпадают
    Распространение завершено
    Перейдите к следующему шагу диагностики
    Смешанные значения
    Идет распространение
    Подождите, пока истечет TTL
    Ошибки или пустые ответы
    Возможна проблема с настройками DNS
    Проверить настройки DNS в личном кабинете регистратора домена и у DNS-провайдера зоны

    Обратите внимание

    Для IDN-доменов (например, ваш-сайт.рф) в некоторые сервисы нужно вводить Punycode-версию. Переведите домен в формат xn--... с помощью онлайн-конвертера по инструкции.

    Шаг 6. Проверьте настройки домена у регистратора

    Если предыдущие шаги не дали результата, проверьте базовые настройки в личном кабинете регистратора домена.

    Частые вопросы

    Почему сайт недоступен, если `nslookup` возвращает правильный IP?
    DNS работает, но проблема может быть на уровне соединения: сервер не отвечает, фаервол блокирует запросы, или CDN возвращает ошибку. Проверьте доступность IP напрямую (например, через telnet IP 80 или онлайн-чекер портов).
    Что такое SERVFAIL и почему он появляется после смены DNS?
    SERVFAIL означает, что резолвер не смог получить ответ от авторитативного сервера. Частая причина — ошибка в DNSSEC-цепочке: DS-запись на родительской зоне не соответствует ключу на дочерней. Также SERVFAIL бывает при недоступности авторитативных серверов.

    Помогла ли вам статья?

    Спасибо за оценку. Рады помочь 😊

     👍
    Специальные предложения