Mon domaine avait disparu du DNS public — même les outils de diagnostic de Google ne le trouvaient plus. Le diagnostic a traversé deux couches indépendantes : la box de l'opérateur, puis le serveur DNS lui-même.
Le point de départ : une reconstruction de pare-feu
En voulant modifier les VLAN des interfaces directement dans le fichier de sauvegarde du pare-feu plutôt que par l'interface, j'ai provoqué l'inverse de ce que je cherchais : à la moindre règle ajoutée ensuite, l'ensemble des règles de filtrage et des interfaces VLAN était effacé.
Plutôt que de démêler, j'ai reconstruit la machine — ce qui reste un bon exercice, et ce qui a déclenché toute la suite.
L'adresse DMZ n'est prise en compte qu'au redémarrage de la box
L'adresse publique côté opérateur n'est pas fixe. Reconstruire la machine change son adresse MAC, donc l'adresse que la box lui attribue change aussi.
Et c'est là que se cache le piège : la box n'applique la nouvelle adresse DMZ qu'après un redémarrage complet. La configuration affiche pourtant la bonne valeur entre-temps, ce qui donne toute confiance dans un réglage qui n'est pas actif.
Toujours pas de DNS : les fichiers journaux de zone
La box réparée, le domaine restait injoignable. Le serveur répondait SERVFAIL sur sa propre zone :
dig jbsky.fr
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 30391
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; QUESTION SECTION:
;jbsky.fr. IN A
;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)La cause : les fichiers journaux des zones à mise à jour dynamique, en .jnl. Ils accompagnent le fichier de zone et enregistrent les modifications reçues par mise à jour dynamique. Quand le journal et la zone ne décrivent plus le même état, le serveur refuse de servir la zone entière plutôt que de servir des données incohérentes — d'où le SERVFAIL, y compris en local.
Les supprimer a suffi à remettre la zone en service.
La leçon vaut au-delà de cet incident : un fichier journal de zone fait partie de l'état de la zone, pas des fichiers temporaires. Le synchroniser ou le supprimer sont deux gestes légitimes ; l'oublier dans une synchronisation ne l'est pas. C'est exactement le piège documenté dans le déploiement du DNS, où exclure les journaux d'une synchronisation désaligne les zones dynamiques.
Outils de vérification
Quand un domaine semble absent, ces quatre points de vue évitent de conclure trop vite depuis une seule machine :
- DNS Checker — propagation vue depuis plusieurs pays
- Boîte à outils Google — résolution vue par un résolveur public majeur
- Purge du cache DNS public de Google — pour ne pas attendre l'expiration d'une mauvaise réponse
- DNSViz — vérification de la chaîne DNSSEC