親の委任またはグルーの欠落に関するDNS警告は、リゾルバーが権威サーバーを見つける方法に関係します。それはではありません SPF または DMARC 構文の判定。正確な委任ゾーンから始めて、 ネームサーバー 関係: 1 つの表示でアドレスが欠落している場合、必ずしも委任が壊れているわけではありませんが、循環検索の依存関係により解決が完全に妨げられる可能性があります。
親ビューと子ビューを別々に読む
参考文献: RFC 1034 §4.2.
親ゾーンは、クエリを子に向ける委任情報を公開します。その子もapex NSセットを持っています。完全な応答セクションとクエリされたサーバーを保持しながら、親の紹介と子の信頼できる回答を比較します。相違点は、不完全な移行または古い構成を反映している可能性があるため、調査が必要です。
記録 DNSコントロール パネルに表示されるものは、パブリックの親がそのプロバイダーに委任していることを証明するものではありません。親側からクエリを実行し、実際にどのサーバーがアドバタイズされているかを確認します。通常の再帰的検出は失敗しても、他の方法では到達できない子サーバーへの直接クエリは成功することがあります。
接着剤が必要な時期を判断する
参考文献: RFC 9471 §2.1, RFC 9471 §2.3, RFC 9471 §3.1, RFC 9471 §3.2.
委任されたゾーンのネームサーバー名がその子ゾーン内にある場合、ネームサーバー アドレスの解決は、アドレスが必要なサーバーそのものに到達するかどうかに依存する可能性があります。親側のグルーは、循環依存関係を解消するためのアドレス情報を提供します。 RFC 9471では、参照に利用可能なドメイン内グルーを含めること、および適合しない場合に切り捨てを使用することに関する要件を指定しています。
ドメイン外のネームサーバー アドレスは、通常、独自の委任パスを通じて解決できます。したがって、特定の紹介にそれらが存在しないことは、必要なドメイン内接着剤が欠落していることと自動的に同じ欠陥ではありません。周期的な兄弟委任では、依存関係を解消するために兄弟接着が必要になる場合があります。 RFC 9471 §3.2 では、利用可能な兄弟グルーを含めることを推奨していますが、その切り捨て義務はドメイン内グルーとは異なります。兄弟関係と実装の詳細は慎重に解釈する必要があります。すべてのネームサーバー名に単純なルールを適用するのではなく、実際の解決チェーンに従います。
アドレスと到達可能性を確認する
参考文献: RFC 9471 §3.1, RFC 1035 §4.1.1.
必要に応じて、親グルーとネームサーバーの信頼できるアドレス データを比較します。古いアドレスは、廃止されたエンドポイントに向けてリゾルバーを送信できます。承認された監視場所から、アドバタイズされたアドレスと関連する両方のアドレス ファミリをテストします。有効に見えるレコードは、サーバーが正しく応答したこと、または子に権威を持ってサービスを提供したことを証明するものではありません。
応答が切り詰められている場合、または応答が大きい場合の UDP および TCP の動作を検査します。応答コード、権限フラグ、および紹介をキャプチャします。 NS リストのスクリーンショットだけからアプリケーションのタイムアウトを診断しないでください。親側のホストまたはグルーの変更についてはレジストラと連携し、子ゾーンの変更についてはDNSホストと連携します。これらは異なる組織である可能性があります。
循環依存関係を再現する
オフラインフィクスチャの代表者 たとえば.テスト に ns1.example .test アドレスが指定されていません。この分類により、グルー調査が必要なドメイン内ブートストラップ依存関係にフラグが立てられます。ドキュメントのアドレスを追加する 192.0.2.53 モデル内の特定の警告を削除します。 2番目の代表団は、 ns1.example.net 外部アドレス解決が必要であるというラベルが付いていますが、自動的に接着剤が不足しているわけではありません。
提供されたスクリプトを実行して、これらのラベルを再現します。完全なリゾルバーをエミュレートしたり、ドキュメントのアドレスが到達可能であることを証明したりするものではありません。実際の修復の場合は、親の紹介、信頼できるアドレスの回答、および関連するネットワークからの成功した再帰的解決を保持します。ここではレジストラやライブゾーンの変更は行われませんでした。
結果をメールへの影響に変換する
参考文献: RFC 1034 §5.3.3, RFC 7208 §4.4.
ドメインを確実に解決できない場合、意図した値が正しい場合でも、 MXおよび認証ルックアップの受信が失敗する可能性があります。壊れた委任を共有している名前を特定し、正確なSPFをテストします。 DKIM そしてポリシーパス。異なる委任を持つ兄弟サブドメインでは、異なる結果が生じる可能性があります。
親と子の状態を修正し、サーバーの可用性をテストし、リゾルバーの証拠を示して終了します。キャッシュされた委任を考慮し、リカバリ中にデータをアドレス指定します。委任の警告を消すためだけに認証ポリシーを変更しないでください。検出パスを修復してから、メール固有の依存関係を確認します。
保持されている過去の通信証拠
以下では、このレビューのネットワーク実験として検査はされましたが、再実行されなかった、保持されている 2026 年 11 月 7 日のループバック キャプチャについて説明します。新しいオフライン モデル チェックは別途記録されます。
保持されたループバック トレースは、 _dmarc.example .test TXTの最小の親エンドポイントをクエリし、 ns1.example .test の NS 紹介とグルーを記録します。次に、クライアントは、個別に設定されたラボ ポートを使用して、返されたループバック アドレスで子にクエリを実行し、権限のあるDMARC TXT応答を取得します。どちらのパケット キャプチャでも、所有者/タイプ、フラグ、TTL、および UTC 時間が保持されます。これは本物の 2 段階のワイヤ交換ですが、完全な再帰的リゾルバーではありません。ポート検出はラボによって提供されます。 DNSSEC 兄弟事件は行使されず、公的登録官や親も変更されませんでした。