Hoi @joso . Welkom op het forum.

Ik heb daar niet direct een verklaring voor. Heb je het ook geprobeerd met custom DNS? (bijvoorbeeld die van google?)

Ik ga dit achter de schermen voor je navragen. Ik kom er sowieso op terug.

Hoi Erwin,

Als ik de dig test 10 maal doe naar 195.121.1.66 dan gaat het 5 maal goed en 5 maal komt er een NXDOMAIN terug. Een zelfde test met Google DNS, 8.8.8.8 en 8.8.4.4, en OpenDNS,  208.67.220.220 en 208.67.222.222 levert gewoon iedere keer een antwoord op.

Er heeft een techneut meegekeken en hij geeft het volgende aan:

Het probleem is dat de name server van de acm wel een goed antwoord geeft op de vraag wat het A record (ip-addres) is voor  authentication.services.acm.nl.

Maar wanneer bv het MX record wordt opgevraagd, het antwoord komt dat hij authentication.services.acm.nl. niet kent (NXdomain) .

Nu wordt omdat de dns meld dat het niet verantwoordelijk is voor authentication.services.acm.nl (voor het dnssec gedeelte om precies te zijn), het antwoord niet meer geaccepteerd.

Mijn collega zoekt contact met ACM en we hopen dat dit snel opgelost gaat worden.

Deze verklaring begrijp ik niet helemaal. Waarom kan een A-record niet worden geresolved omdat er een ander record in de zone ontbreekt (zoals bijvoorbeeld een AAAA-record of een MX-record). Voor DNSSEC validation is het ook niet noodzakelijk. Google DNS en OpenDNS doen standaard ook DNS validatie en die DNS-resolvers hebben geen probleem met het resolven en valideren van  het A-record authentication.services.acm.nl.

Mijn collega verwees ook nog naar deze pagina : https://dnsviz.net/d/authentication.services.acm.nl/dnssec/  ( de warnings) 

Om eerlijk te zijn gaat deze discussie mij boven de pet. Mocht je met die link nog steeds twijfels hebben bij de uitleg, zal ik weer contact zoeken met mijn collega. 

Beste Erwin,

Het ziet er naar uit dat dit probleem nu is opgelost. Het probleem was dat de DNS-server van services.acm.nl. niet altijd de juiste response gaf.

Als een record wordt opgevraagd en het bestaat niet dan zijn er de volgende responses mogelijk:
-NXDOMAIN: De naam bestaat niet en er is geen enkel ander record (a, aaaa, cname, txt, etc....). 
-NOERROR + SOA-record: Het record bestaat niet maar er is wel een ander type record met die naam (het opgevraagde aaaa-record bestaat niet maar mogelijk is er wel een a- of cname-record).  

In sommige gevallen gaf de DNS-server een NXDOMAIN i.p.v. een NOERROR waardoor het proces van resolving stopte. 

Blijkbaar gebruiken Google DNS en OpenDNS een andere manier van resolven waardoor dit bij hun altijd goed gaat.

Dank voor je hulp.

Fijn dat het is opgelost! :-)