Una advertencia DNS sobre la falta de delegación principal o pegamento se refiere a cómo los resolutores encuentran servidores autorizados. no es un SPF o DMARC veredicto de sintaxis. Comience con la zona delegada exacta y el servidor de nombres relación: una dirección faltante en una pantalla no siempre es una delegación rota, pero una dependencia de búsqueda circular puede impedir la resolución por completo.
Leer las vistas de padres e hijos por separado
Referencias: RFC 1034 §4.2.
La zona principal publica información de delegación dirigiendo consultas hacia el niño. El niño también tiene un conjunto NS apical. Compare las respuestas autorizadas de los padres y las de los niños, conservando las secciones de respuesta completas y el servidor consultado. Las diferencias pueden reflejar una migración incompleta o una configuración obsoleta y merecen una investigación.
Un récord visible en un panel de control DNS no establece que el padre público delega en ese proveedor. Consulta desde el lado principal y confirma qué servidores están realmente anunciados. Una consulta directa a un servidor secundario que de otro modo sería inalcanzable puede tener éxito, mientras que el descubrimiento recursivo ordinario aún falla.
Determinar cuándo se necesita pegamento
Referencias: RFC 9471 §2.1, RFC 9471 §2.3, RFC 9471 §3.1, RFC 9471 §3.2.
Cuando el nombre del servidor de nombres de una zona delegada se encuentra dentro de esa zona secundaria, la resolución de la dirección del servidor de nombres puede depender de llegar al mismo servidor cuya dirección se necesita. Los suministros de pegamento del lado de los padres abordan información para romper esa dependencia circular. RFC 9471 especifica los requisitos para incluir pegamento disponible en el dominio en las referencias y utilizar el truncamiento cuando no encaja.
Las direcciones de servidores de nombres fuera del dominio normalmente se pueden resolver a través de su propia ruta de delegación. Por lo tanto, su ausencia en una referencia particular no es automáticamente el mismo defecto que la falta del pegamento requerido en el dominio. Las delegaciones cíclicas entre hermanos aún pueden requerir pegamento entre hermanos para romper su dependencia; RFC 9471 §3.2 recomienda incluir el pegamento entre hermanos disponible, mientras que su obligación de truncamiento difiere del pegamento en el dominio. Las relaciones entre hermanos y los detalles de implementación necesitan una interpretación cuidadosa; siga la cadena de resolución real en lugar de aplicar una regla simplista a cada nombre de servidor de nombres.
Verifique direcciones y accesibilidad
Referencias: RFC 9471 §3.1, RFC 1035 §4.1.1.
Compare el pegamento principal con los datos de la dirección autorizada para el servidor de nombres cuando corresponda. Una dirección antigua puede enviar resolutores hacia un punto final retirado. Pruebe las direcciones anunciadas y ambas familias de direcciones relevantes desde ubicaciones de monitoreo autorizadas. Un registro que parezca válido no prueba que quien hace la entrega responde correctamente o atiende al niño con autoridad.
Inspeccione el comportamiento de UDP y TCP cuando las respuestas estén truncadas o sean grandes. Capture códigos de respuesta, indicadores de autoridad y referencias. No diagnostique el tiempo de espera de una aplicación únicamente a partir de una captura de pantalla de una lista NS. Trabaje con el registrador para cambios de host o pegamento del lado principal y el host DNS para cambios de zona secundaria; Estas pueden ser organizaciones diferentes.
Reproducir la dependencia circular.
Los delegados del partido offline ejemplo.prueba a ns1.example .prueba sin dirección proporcionada. La clasificación señala una dependencia de arranque en el dominio que requiere una investigación de pegamento. Agregar la dirección de documentación 192.0.2.53 elimina esa advertencia específica en el modelo. Una segunda delegación para ns1.example.net está etiquetado como resolución de dirección externa requerida, no falta pegamento automáticamente.
Ejecute el script proporcionado para reproducir estas etiquetas. No emula un solucionador completo ni demuestra que se puede acceder a la dirección de documentación. Para una reparación real, conserve las referencias de los padres, las respuestas a direcciones autorizadas y la resolución recursiva exitosa de las redes relevantes. Aquí no se realizaron cambios de registrador ni de zona en vivo.
Traducir el resultado en impacto de correo
Referencias: RFC 1034 §5.3.3, RFC 7208 §4.4.
Si el dominio no se puede resolver de manera confiable, la recepción de MX y las búsquedas de autenticación pueden fallar incluso cuando los valores previstos sean correctos. Identifique qué nombres comparten la delegación rota y pruebe el SPF exacto. DKIM y vías políticas. Un subdominio hermano con una delegación diferente puede tener un resultado diferente.
Cierre con el estado corregido de los padres y los hijos, la disponibilidad del servidor probada y la evidencia de resolución. Cuenta para la delegación en caché y los datos de dirección durante la recuperación. No cambie la política de autenticación simplemente para silenciar una advertencia de delegación; repare la ruta de descubrimiento y luego verifique las dependencias específicas del correo.
Evidencia cablegráfica histórica retenida
A continuación se describe la captura de bucle invertido retenida del 7 de noviembre de 2026, inspeccionada pero no repetida como experimento de red para esta revisión. Las nuevas comprobaciones de modelos fuera de línea se registran por separado.
El seguimiento de bucle invertido retenido consulta un punto final principal mínimo para _dmarc.example .test TXT y registra una referencia NS más pegamento para ns1.example .test. Luego, el cliente consulta al niño en la dirección de loopback devuelta utilizando el puerto de laboratorio configurado por separado y obtiene su respuesta DMARC TXT autorizada. Ambas capturas de paquetes conservan el propietario/tipo, las banderas, los TTL y la hora UTC. Este es un verdadero intercambio de cables de dos pasos, pero no una resolución recursiva completa: el descubrimiento de puertos lo proporciona el laboratorio, DNSSEC y no se ejercen casos de hermanos, y no se cambia ningún registrador público ni padre.