Διακοπή καταχώρισης τομέα ή παρόχου DNS: Η περίοδος χάριτος εξαργύρωσης τομέα έχει λήξει, DNSSEC SERVFAIL Παγίδα και Μετανάστευση διακομιστή ονομάτων έκτακτης ανάγκης¶

Ξυπνώντας για να ανακαλύψετε ότι ο κύριος ιστότοπος της εταιρείας σας, τα τελικά σημεία API (api.example.com), και εταιρικό email (MX οι εγγραφές για το Google Workspace ή το Microsoft 365) είναι εντελώς απρόσιτες σε όλο τον κόσμο (DNS_PROBE_FINISHED_NXDOMAIN ή SERVFAIL) είναι μια ολοκληρωτική κρίση υποδομών. Σε αντίθεση με έναν μεμονωμένο διακομιστή ιστού που έχει καταρρεύσει που επηρεάζει μία υπηρεσία, ένα Σύστημα Ονομάτων Τομέα (DNS) ή η αποτυχία εγγραφής τομέα διακόπτει κάθε μεμονωμένη υπηρεσία στον τομέα root σας ταυτόχρονα, συμπεριλαμβανομένης της Single Sign-On (SSO), πύλες υποστήριξης πελατών και εισερχόμενα μηνύματα ηλεκτρονικού ταχυδρομείου απόκρισης συμβάντων. Στην πράξη, οι παγκόσμιες διακοπές τομέα προέρχονται από τρεις διακριτούς παράγοντες ενεργοποίησης: (1) μια τυχαία λήξη του τομέα όπου μια πιστωτική κάρτα στο αρχείο έληξε και ο καταχωρητής κατέλαβε NS εγγραφές για να οδηγεί σε μια σελίδα στάθμευσης πληρωμής ανά κλικ 24 to 48 hours πριν από την πραγματική ημερομηνία λήξης· (2) Επίθεση DDoS ή διακοπή αεροπλάνου ελέγχου στον έγκυρο πάροχο DNS (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1) ή (3) ένα σπασμένο DNSSEC (DS εγγραφή) αλυσίδα εμπιστοσύνης κατά τη διάρκεια μιας βιαστικής αλλαγής διακομιστή ονομάτων που προκαλεί επικύρωση επιλυτών (8.8.8.8, 1.1.1.1, συσκευές επίλυσης ISP) για να μειώσετε το 100% της επισκεψιμότητάς σας SERVFAIL. Εάν ένας εισβολέας παραβίασε τα διαπιστευτήρια σύνδεσης του μητρώου σας και μετέφερε ή άλλαξε τον τομέα σας με κακόβουλο τρόπο, μεταβείτε στο πειρατεία ονόματος τομέα, ληγμένο DNS και εξαγορά ιστότοπου; εάν το πιστοποιητικό TLS σας έληξε ή έσπασε μετά την ανάκτηση του DNS, βλ Το πιστοποιητικό SSL/TLS έληξε στην παραγωγή, κλείδωμα προφόρτωσης HSTS και ανανέωση έκτακτης ανάγκης και Κλείδωμα διαχειριστή προσαρμοσμένου τομέα Google Workspace ή Microsoft 365 και επαλήθευση DNS. Εάν αυτή η διακοπή απενεργοποιεί τις κλινικές επικοινωνίες του νοσοκομείου, τη δρομολόγηση αποστολής έκτακτης ανάγκης 911/112 ή τις κρίσιμες δημόσιες υπηρεσίες κοινής ωφέλειας, καλέστε τον τοπικό σας αριθμό έκτακτης ανάγκης (911 στις Ηνωμένες Πολιτείες και τον Καναδά, 112 σε όλη την Ευρωπαϊκή Ένωση, 999 στο Ηνωμένο Βασίλειο) ή συμβουλευτείτε τον κατάλογό μας αριθμούς έκτακτης ανάγκης.

Κάντε αυτό τώρα¶

1. Διαγνώστε σε 10 δευτερόλεπτα εάν η αποτυχία είναι Ληγμένος/Σε αναστολή τομέα (EPP Status), διακοπή λειτουργίας έγκυρου παρόχου DNS ή α DNSSEC Αποτυχία επικύρωσης:
2. Τρέξε whois yourdomain.com | grep -iE "Status|Expiry|Name Server" και dig +trace yourdomain.com.
3. Ελέγξτε εάν γίνεται παράκαμψη DNSSEC επικύρωση (+cd = Έλεγχος Απενεργοποιημένο) κάνει τον τομέα σας να επιλύσει ξανά:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Εάν η πρώτη εντολή επιστρέψει status: SERVFAIL ενώ η δεύτερη εντολή (+cd) επιστρέφει αμέσως status: NOERROR με τη διεύθυνση IP του διακομιστή σας, ** οι διακομιστές DNS σας ΔΕΝ είναι εκτός λειτουργίας: ο δικός σας DNSSEC (DS ρεκόρ στο μητρώο) έχει σπάσει**. Μεταβείτε αμέσως στη Φάση 3 για να διαγράψετε το μπαγιάτικο DS καταγράψτε στον γραμματέα σας.
4. Εάν ο τομέας σας έχει λήξει (Auto-Renew Grace Period ή Redemption Grace Period), συνδεθείτε αμέσως στον τρέχοντα καταχωρητή σας και πληρώστε το τέλος ανανέωσης/εξαγοράς. ΜΗΝ περιμένετε να "πέσει" ο τομέας για να μπορέσετε να τον καταχωρήσετε ξανά φθηνά:
5. Κατά τη διάρκεια των πρώτων 1 έως 45 ημερών μετά τη λήξη (Auto-Renew Grace Period), η ανανέωση στον πίνακα ελέγχου του μητρώου σας επαναφέρει τους αρχικούς διακομιστές ονομάτων σας με τυπικό κόστος ανανέωσης ($10 to $30).
6. Κατά τη διάρκεια των 30 ημερών Redemption Grace Period (RGP / redemptionPeriod), πρέπει να πληρώσετε το υποχρεωτικό τέλος εξαργύρωσης μητρώου ($80 to $250) μέσω του τρέχοντος καταχωρητή σας. Εάν περιμένετε να τελειώσει ο τομέας τις 5 ημέρες Pending Delete φάση για αποθήκευση $100, αυτοματοποιημένα ρομπότ ελεύθερων σκοπευτών (DropCatch, SnapNames, NameJet) θα αρπάξει τον τομέα σας μέσα 5 milliseconds απελευθέρωση και δημοπρασία για χιλιάδες δολάρια.
7. ** ΠΟΤΕ μην αλλάζετε τους διακομιστές ονομάτων σας (NS) μακριά από έναν πάροχο DNS με δυνατότητα DNSSEC (όπως το Cloudflare, το Route 53 ή το Google Cloud DNS) χωρίς να αφαιρέσετε το DS καταγράψτε πρώτα στον γραμματέα σας**: Εάν DNSSEC είναι ενεργοποιημένο και αλλάζετε το δικό σας NS εγγραφές σε έναν πάροχο DNS διάσωσης κατά τη διάρκεια μιας διακοπής λειτουργίας χωρίς να διαγραφεί ο γονέας DS (Delegation Signer) εγγραφή στο .com / .org Πρώτα η ζώνη TLD, κάθε πρόγραμμα επίλυσης επικύρωσης στη Γη θα απορρίψει τις ανυπόγραφες απαντήσεις του νέου παρόχου DNS ως κρυπτογραφική επίθεση πλαστογράφησης (SERVFAIL).
8. Εάν έχετε αποκλειστεί από την εταιρεία σας @yourdomain.com email επειδή είναι του τομέα σας MX οι εγγραφές είναι κατεστραμμένες, ΜΗΝ κάνετε κλικ στο "Αποστολή κωδικού επαναφοράς κωδικού πρόσβασης σε admin@yourdomain.com" στον καταχωρητή σας: Ενώ είναι ο τομέας σας NS ή MX Οι εγγραφές είναι εκτός σύνδεσης, οποιοδήποτε email επαλήθευσης αποστέλλεται @yourdomain.com αναπηδά ή εξαφανίζεται σε μια ουρά. Χρησιμοποιήστε το SMS/Authenticator MFA του καταχωρητή σας, εφεδρικό email εκτός ζώνης (@gmail.com / @proton.me), ή ροή επαλήθευσης ταυτότητας τηλεφώνου.
9. Μετά την ανανέωση ενός τομέα που έχει λήξει, επαληθεύστε μη αυτόματα ότι ο Καταχωρητής σας επανέφερε τους αρχικούς προσαρμοσμένους διακομιστές ονομάτων σας (NS) αντί να αφήσετε τον τομέα ενεργό sedoparking.com / renewyourname.net: Όταν λήξει ένας τομέας, οι καταχωρητές αντικαθιστούν το προσαρμοσμένο σας NS εγγραφές με διακομιστές ονομάτων στάθμευσης (ns1.parklogic.com, dns1.name-services.com). Μερικές φορές η πληρωμή της ανανέωσης ενημερώνει την ημερομηνία λήξης στο επόμενο έτος, ενώ αφήνει ενεργούς τους διακομιστές ονομάτων στάθμευσης μέχρι να τους αλλάξετε με μη αυτόματο τρόπο.
10. Ξεπλύνετε καθολικές δημόσιες αναδρομικές κρυφές μνήμες DNS (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) το δεύτερο σας NS ή DS Οι εγγραφές αποκαθίστανται: Αντί να περιμένετε 24 έως 48 ώρες για την προσωρινή αποθήκευση NXDOMAIN ή σελίδα στάθμευσης NS οι εγγραφές να λήξουν φυσικά, να ενεργοποιηθεί μια άμεση καθολική εκκαθάριση της προσωρινής μνήμης στο Google Public DNS (developers.google.com/speed/public-dns/cache) και Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Δέντρο απόφασης: Διαλογή έκτακτης ανάγκης παγκόσμιου τομέα ή συσκότισης DNS¶

Χρησιμοποιήστε αυτό το διάγραμμα ροής για να εντοπίσετε το ακριβές επίπεδο της ιεραρχίας DNS (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, ή Authoritative Nameserver) όπου η ανάλυση αποτυγχάνει:

flowchart TD
    Start["Παγκόσμια διακοπή: Αποτυχία επίλυσης ιστού και email τομέα (NXDOMAIN / SERVFAIL)"] --> RunDiag["Εκτέλεση: whois domain.com ΚΑΙ dig @8.8.8.8 domain.com +cd"]

    RunDiag --> CheckCD{"Αποτυγχάνει το dig @8.8.8.8 domain.com, ενώ η προσθήκη +cd είναι επιτυχής;"}

    CheckCD -->|"Ναι: Λειτουργεί με +cd, Αποτυγχάνει χωρίς +cd"| DnssecBreak["Σπασμένο DNSSEC Chain of Trust: Διαγραφή Stale DS Record στο Registrar OR Re-Sign Zone -> Flush 8.8.8.8 & 1.1.1.1"]

    CheckCD -->|"Όχι: Αστοχία ή επιστροφή IP στάθμευσης"| CheckWhois{"Επιθεωρήστε την κατάσταση και την ημερομηνία λήξης του τομέα WHOIS EPP"}

    CheckWhois -->|"Κατάσταση: clientHold ή server Hold"| HoldState["Καταχωρητής / Αναστολή Μητρώου: Ολοκληρώστε την επαλήθευση ηλεκτρονικού ταχυδρομείου ICANN RAA Ή κατάχρηση/Χρέωση εισιτηρίου αμέσως"]

    CheckWhois -->|"Ημερομηνία λήξης παρήλθε (Κατάσταση: autoRenewPeriod)"| GraceRenew["Ημέρα 1 έως 45 Μετά τη λήξη: Πληρώστε την τυπική ανανέωση στην πύλη καταχωρητή -> Επαλήθευση προσαρμοσμένου NS Επαναφορά"]

    CheckWhois -->|"Κατάσταση: redemptionPeriod (RGP)"| RgpRestore["Ημέρα 45 έως 75 Μετά τη λήξη: Ανοίξτε το επείγοντα εισιτήριο υποστήριξης καταχωρητή / Πληρώστε το τέλος επαναφοράς RGP ($80-$250) Αμέσως"]

    CheckWhois -->|"Κατάσταση: σε εκκρεμότητα Διαγραφή"| PendingDel["Τελικό κλείδωμα 5 ημερών: Δεν είναι δυνατή η ανανέωση στον καταχωρητή -> Τοποθετήστε παραγγελίες αναδρομικών σε όλους τους σημαντικούς Drop-Catchers τώρα"]

    CheckWhois -->|"Κατάσταση: εντάξει / Απαγορεύεται η μεταφορά πελάτη ΚΑΙ Λήξη στο μέλλον"| AuthDown["Εγγραφή τομέα υγιή -> Διακοπή λειτουργίας ή λείπει ζώνη έγκυρου παρόχου DNS"]

    AuthDown --> MigrateNS["Εισαγωγή αρχείου ζώνης (`BIND` / Terraform) σε δευτερεύοντα πάροχο DNS -> Κατάργηση εγγραφής DS εάν είναι ενεργοποιημένο το DNSSEC -> Ενημέρωση NS στο μητρώο"]

Φάση 1: Ο κύκλος ζωής λήξης του τομέα ICANN (Auto-Renew vs. Redemption vs. Pending Delete)¶

Όταν ένας γενικός τομέας ανώτατου επιπέδου (gTLD όπως .com, .net, .org, .io, .ai, .co, .app, .dev(ERRP)** και συμφωνίες χειριστή μητρώου (Verisign για .com/.net, PIR για .org, Identity Digital).

Πώς πεθαίνει ένας τομέας και γιατί τίθεται εκτός σύνδεσης ΠΡΙΝ ή ΤΗΝ 1η Ημέρα της λήξης¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Συγκρίνετε τα ακριβή σας δικαιώματα, το κόστος και τις ενέργειες ανάκτησης σε κάθε στάδιο λήξης, συμπεριλαμβανομένων των τομέων ανωτάτου επιπέδου με κωδικό χώρας (ccTLDs όπως .uk, .de, .eu, .ca, .au), οι οποίες δεν ακολουθούν το ICANN gTLD κανόνες:

Φάση 2: Βήμα προς βήμα ανάκτηση ενός ληγμένου ή RedemptionPeriod τομέα¶

Ακολουθήστε αυτήν ακριβώς τη σειρά για να επαναφέρετε έναν τομέα που έχει λήξει στο διαδίκτυο το συντομότερο δυνατό:

Βήμα 1: Αποκτήστε ξανά πρόσβαση στον Λογαριασμό Καταχωρητή σας όταν @yourdomain.com Το email είναι νεκρό¶

Εδώ είναι το κλασικό Catch-22 ενός τομέα που έχει λήξει: - Ο τομέας σας (company.com) έληξε, άρα MX ρεκόρ για company.com σταμάτησε να επιλύεται. - Προσπαθείτε να συνδεθείτε στον καταχωρητή τομέα σας (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), και ο καταχωρητής λέει: "Στείλαμε έναν 6ψήφιο κωδικό επαλήθευσης στο admin@company.com" - Διότι company.com έχει λήξει, αυτό το email δεν μπορεί να φτάσει ποτέ.

Πώς να ξεφύγετε αμέσως από τον βρόχο email που έχει λήξει: 1. Μην μεταφέρετε ή τροποποιήσετε τίποτα ακόμα: ελέγξτε αν μπορείτε να περιστρέψετε ένα προσωρινό πρόγραμμα λήψης αλληλογραφίας έκτακτης ανάγκης ΜΟΝΟ εάν ο τομέας δεν έχει λήξει (αν ο ίδιος ο τομέας έχει λήξει σε επίπεδο TLD, MX δεν μπορεί να επιλυθεί πουθενά μέχρι να ανανεωθεί). 2. Χρησιμοποιήστε το Κανάλι Ανάκτησης Λογαριασμού "Χαμένη πρόσβαση στο email / Ο τομέας που έληξε" του Καταχωρητή: - Σχεδόν όλοι οι καταχωρητές που είναι διαπιστευμένοι από το ICANN παρέχουν μια αποκλειστική ροή εργασιών επαλήθευσης εγγράφων κρατικής ταυτότητας / εταιρικής ταυτότητας, ειδικά για πελάτες των οποίων το email σύνδεσης βρίσκεται @ τον ληγμένο τομέα εντός του λογαριασμού. - Έχετε τρία στοιχεία έτοιμα προτού καλέσετε την υποστήριξη καταχωρητή: (α) τα τελευταία 4 ψηφία της πιστωτικής κάρτας ή το αναγνωριστικό συναλλαγής PayPal που χρησιμοποιήθηκε στο προηγούμενο τιμολόγιο ανανέωσης, (β) το Αναγνωριστικό λογαριασμού μητρώου / το PIN πελάτη και (γ) ένα **Κρατικό αναγνωριστικό φωτογραφίας + Καταστατικά Ίδρυσης / Ο λογαριασμός του οργανισμού κοινής ωφέλειας (WHOIS)Tech / Admin / Registrant). 3. Μόλις συνδεθείτε, αλλάξτε αμέσως τη διεύθυνση email του λογαριασμού καταχωρητή σας σε εξωτερικό τομέα (@gmail.com, @proton.me, ή έναν ξεχωριστό τομέα έκτακτης ανάγκης που κατέχετε) και ενεργοποιήστε το Κλειδί ασφαλείας υλικού (FIDO2) ή TOTP Authenticator App MFA, επομένως η σύνδεση δεν εξαρτάται ποτέ από @company.com email ξανά.

Βήμα 2: Εκτελέστε την Ανανέωση ή RedemptionPeriod (RGP) Επαναφορά¶

1. Εάν ο τομέας βρίσκεται στο Στάδιο 1 (Auto-Renew Grace Period, Ημέρες 1 έως 30/45):
2. Μεταβείτε στο Χρέωση -> Ανανεώσεις ή Λίστα Τομέων -> Ληγμένο Φίλτρο και πληρώστε το τιμολόγιο ανανέωσης.
3. Κρίσιμος έλεγχος 60 δευτερόλεπτα μετά την πληρωμή: Ανοίξτε τους διακομιστές ονομάτων του τομέα (NS) ρυθμίσεις στον πίνακα ελέγχου μητρώου. Ελέγξτε εάν ο καταχωρητής επαναφέρει αυτόματα τους πραγματικούς διακομιστές ονομάτων σας (για παράδειγμα, ns-123.awsdns-15.com ή ada.ns.cloudflare.com) ή άφησε τον τομέα να δείχνει στους διακομιστές του που έχουν λήξει στάθμευσης (ns1.sedoparking.com / dns1.registrar-servers.com). Εάν οι διακομιστές στάθμευσης εξακολουθούν να εμφανίζονται στη λίστα, εισαγάγετε ξανά μη αυτόματα τους διακομιστές ονομάτων παραγωγής σας και αποθηκεύστε.
4. Εάν ο τομέας βρίσκεται στο Στάδιο 2 (Redemption Grace Period / redemptionPeriod, Ημέρες 30/45 έως 75):
5. Κοιτάξτε σε μια ξεχωριστή καρτέλα μέσα στον πίνακα ελέγχου του μητρώου σας με την ένδειξη Ληγμένοι τομείς -> Εξαργύρωση, Κάδος απορριμμάτων / Επαναφορά ή Χρέωση Grace/Redemption.
6. Πληρώστε το τέλος RGP Restore + 1 έτος ανανέωση.
7. Πώς λειτουργεί η αποκατάσταση RGP στο Μητρώο (Verisign / PIR)? Όταν πληρώνετε το τέλος RGP, ο καταχωρητής σας στέλνει ένα EPP <update><restore op="request"> εντολή στο μητρώο TLD. Το μητρώο αλλάζει αμέσως την κατάσταση του τομέα από redemptionPeriod να pendingRestore και βάζει τον τομέα σας NS εγγραφές στη ριζική ζώνη TLD εντός 15 έως 60 λεπτών ενώ ο καταχωρητής σας υποβάλλει το restore op="report" επιβεβαίωση συμμόρφωσης.

Βήμα 3: Παρακάμψτε τις καθυστερήσεις προσωρινής μνήμης τοπικού ISP με εκκαθάριση 8.8.8.8 και 1.1.1.1¶

Όταν έληξε ο τομέας σας, οι αναδρομικοί αναλυτές DNS σε όλο τον κόσμο αποθήκευσαν τους διακομιστές ονομάτων στάθμευσης ή τους αρνητικούς NXDOMAIN απάντηση (που διέπεται από τα TLD SOA Minimum TTL, τυπικά 900 να 3,600 δευτερόλεπτα ή 86,400 δευτερόλεπτα για NS αρχεία). Η στιγμή dig @a.gtld-servers.net yourdomain.com NS (ερωτώντας το .com απευθείας διακομιστής root) εμφανίζει ξανά τους πραγματικούς διακομιστές ονομάτων παραγωγής σας: 1. Ανοίξτε Google Public DNS Flush Cache (https://developers.google.com/speed/public-dns/cache): - Τύπος φλας NS πρώτα για yourdomain.com, μετά ξεπλύνετε SOA, A, AAAA, MX, και TXT. 2. Ανοίξτε Cloudflare 1.1.1.1 Purge Cache (https://one.one.one.one/purge-cache/): - Εκκαθάριση NS, A, AAAA, και MX για yourdomain.com.

Φάση 3: Διακομιστής ονομάτων έκτακτης ανάγκης (NS) Μετανάστευση κατά τη διάρκεια διακοπής παροχής DNS (Και το DNSSEC παγίδα)¶

Τι γίνεται αν η εγγραφή τομέα σας είναι 100 τοις εκατό έγκυρη και δεν έχει λήξει, αλλά ο Εξουσιοδοτημένος πάροχος DNS (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) υφίσταται μια καταστροφική διακοπή λειτουργίας ή επίθεση DDoS και πρέπει να μετεγκαταστήσετε τους διακομιστές ονομάτων του τομέα σας (NS) σε έναν πάροχο αντιγράφων ασφαλείας DNS αυτήν τη στιγμή;

The #1 Migration Killer: Switching NS Ενώ DNSSEC (DS Εγγραφή) είναι ενεργοποιημένη¶

Πριν αλλάξετε ένα single NS εγγραφή στον καταχωρητή σας, εκτελέστε αυτήν την εντολή για να ελέγξετε αν DNSSEC είναι ενεργοποιημένο στον τομέα σας στο γονικό μητρώο TLD:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Λίστα ελέγχου μετεγκατάστασης διακομιστή ονομάτων έκτακτης ανάγκης (μηδέν SERVFAIL Διαδικασία)¶

1. Ανακατασκευάστε ή εισαγάγετε το πλήρες Αρχείο Ζώνης DNS στον νέο πάροχο DNS πρώτα:
2. Μην μαντέψετε ποτέ τις εγγραφές σας DNS από τη μνήμη (@, www, και api σπάνια είναι οι μόνες εγγραφές. ξεχνώντας MX, SPF/TXT, DKIM, _dmarc, autodiscover, ή CAA διακόπτει την παράδοση email και τις ανανεώσεις TLS).
3. Πού μπορείτε να βρείτε την πλήρη ζώνη DNS όταν ο πίνακας ελέγχου του κύριου παρόχου DNS σας είναι εκτός λειτουργίας:
   • Ελέγξτε το Infrastructure-as-Code (Terraform, Pulumi, OctoDNS, DNSControl) στο αποθετήριο Git.
   • Ελέγξτε τις πρόσφατες εξαγωγές ζώνης (BIND .zone αρχεία) ή αναζητήστε ιστορικές βάσεις δεδομένων DNS (SecurityTrails, ViewDNS.info, DNSDumpster, ή Censys / crt.sh για υποτομείς).
   • Ερωτήματα αποθηκευμένες στην κρυφή μνήμη εγγραφές εξακολουθούν να βρίσκονται μέσα σε δημόσιους αναδρομικούς αναλυτές (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) πριν λήξουν τα TTL τους.
4. Επαληθεύστε ότι ο νέος πάροχος DNS απαντά έγκυρα για κάθε κρίσιμη εγγραφή ΠΡΙΝ αγγίξετε τον καταχωρητή σας: Ας υποθέσουμε ότι σας ανέθεσε ο νέος σας πάροχος ns1.rescuedns.com και ns2.rescuedns.com. Δοκιμάστε τα απευθείας με dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   Περιμένετε μέχρι το flags: γραμμή στο dig η κεφαλίδα περιλαμβάνει ρητά aa (Authoritative Answer) και επιστρέφει status: NOERROR.
5. Αν dig +short yourdomain.com DS επέστρεψε α DS εγγραφή, λαβή DNSSEC στον γραμματέα:
6. Κατά τη διάρκεια μιας ενεργής διακοπής όπου ο παλιός πάροχος DNS είναι εντελώς απρόσιτος: Συνδεθείτε στο Domain Registrar (όπου αγοράσατε τον τομέα), μεταβείτε στην ενότητα DNSSEC / DS Records και διαγράψτε όλα DS εγγραφές, ώστε ο τομέας να επανέλθει σε ανυπόγραφο (Insecure) λειτουργία στη γονική ζώνη TLD. Περιμένετε μέχρι dig +short yourdomain.com DS @a.gtld-servers.net επιστρέφει άδειο (και ξεπλύνετε DS σε 8.8.8.8 / 1.1.1.1), ή προσθέστε τον νέο πάροχο DNS DS ηχογραφήστε μαζί με το παλιό εάν κάνετε μια προγραμματισμένη μετεγκατάσταση πολλαπλών υπογραφών.
7. Ενημέρωση των διακομιστών ονομάτων (NS) στον καταχωρητή τομέα σας: Αντικαταστήστε τους νεκρούς διακομιστές ονομάτων με ns1.rescuedns.com και ns2.rescuedns.com στον πίνακα Προσαρμοσμένοι διακομιστές ονομάτων του καταχωρητή σας (σημείωση: αλλάζει NS Οι εγγραφές μέσα στον επεξεργαστή ζώνης δεν κάνουν τίποτα όταν οι παλιοί διακομιστές είναι νεκροί. πρέπει να αλλάξετε τους Glue / Parent Delegation Nameservers σε επίπεδο Καταχωρητή).
8. ** Εκκαθάριση NS και DS κρυφές μνήμες στο Google (8.8.8.8) και Cloudflare (1.1.1.1)**: Χρησιμοποιήστε τα εργαλεία εκκαθάρισης της δημόσιας κρυφής μνήμης από τη Φάση 2 Βήμα 3 για να επιβάλετε την άμεση υιοθέτηση των νέων διακομιστών ονομάτων.

Φάση 4: Επιβίωση της κλειδαριάς μεταφοράς καταχωρητή ICANN 60 ημερών κατά τη διάρκεια έκτακτης ανάγκης¶

Τι γίνεται αν χρειαστεί να μεταφέρετε τον τομέα σας σε νέο καταχωρητή (ICANN Inter-Registrar Transfer), μόνο για να αποκλειστείτε από Domain Status: clientTransferProhibited και ένα μήνυμα που λέει: "Αυτός ο τομέας είναι κάτω από ένα κλείδωμα μεταφοράς ICANN 60 ημερών επειδή τα στοιχεία επικοινωνίας ενημερώθηκαν πρόσφατα";

1. Γιατί ενεργοποιήθηκε το κλείδωμα των 60 ημερών: Σύμφωνα με την Πολιτική μεταφοράς του ICANN (Ενότητα II.C.1), οι καταχωρητές τοποθετούν ένα κλείδωμα μεταφοράς 60 ημερών κάθε φορά που ένας τομέας καταχωρείται πρόσφατα, μεταφέρεται μεταξύ καταχωρητών ή υφίσταται "Αλλαγή Καταχωρητή" (ενημέρωση του ονόματος, της επωνυμίας, του ονόματος, της διεύθυνσης ηλεκτρονικού ταχυδρομείου του οργανισμού) Επικοινωνία εγγεγραμμένου).
2. Πώς να παρακάμψετε ή να εξαιρεθείτε από το κλείδωμα 60 ημερών Αλλαγής Καταχωρητή:
3. Πριν από την επεξεργασία των στοιχείων επικοινωνίας WHOIS: Σχεδόν όλοι οι κύριοι καταχωρητές παρέχουν ένα πλαίσιο ελέγχου ακριβώς στην οθόνη επεξεργασίας επαφών με την ένδειξη: "Εξαίρεση από το κλείδωμα μεταφοράς 60 ημερών μετά από αυτήν την ενημέρωση επαφής." Η επιλογή αυτού του πλαισίου σάς επιτρέπει να ενημερώσετε τη διεύθυνση email του διαχειριστή/καταχωριστή σας και να δημιουργήσετε EPP Auth-Code (Transfer Secret) για να μεταφέρετε το domain την ίδια μέρα.
4. Να θυμάστε ότι ΔΕΝ χρειάζεται να μεταφέρετε την εγγραφή τομέα για να αλλάξετε παρόχους DNS: Ακόμα κι αν ένας τομέας είναι κλειδωμένος για 60 ημέρες έναντι του Registrar Transfers (clientTransferProhibited), μπορείτε ακόμα να αλλάξετε τους Nameservers του (NS εγγραφές) στον τρέχοντα καταχωρητή ανά πάσα στιγμή με μηδενική περίοδο αναμονής. η εναλλαγή DNS διαρκεί λίγα λεπτά, ενώ μια πλήρης μεταφορά καταχωρητή διαρκεί έως και 5 έως 7 ημέρες, εκτός εάν ο χαμένος καταχωρητής κάνει κλικ σε ένα άμεσο Έγκριση εξερχόμενης μεταφοράς (FOa) κουμπί.

Φάση 5: Σκληρύνοντας τις εγγραφές τομέα και DNS έναντι μελλοντικών διακοπών¶

Μόλις ο τομέας σας και η ανάλυση DNS αποκατασταθούν 100 τοις εκατό, συμπληρώστε αυτήν τη λίστα ελέγχου ανθεκτικότητας:

• Ενεργοποίηση Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) σε τομείς παραγωγής κρίσιμους για την αποστολή: Πρότυπο Registrar Lock (clientTransferProhibited) μπορεί να απενεργοποιηθεί με ένα μόνο κλικ εάν κάποιος εισβολέας παραβιάσει τα στοιχεία σύνδεσης του μητρώου σας. Το Registry Lock (προσφέρεται από τους Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi και Porkbun/Namecheap για εταιρικούς τομείς) κλειδώνει τον τομέα απευθείας σε επίπεδο μητρώου TLD, απαιτώντας φωνητική/κρυπτογραφική επαλήθευση εκτός ζώνης πριν από οποιαδήποτε NS η εγγραφή μπορεί να αλλάξει ή να διαγραφεί ο τομέας.
• Ανανεώστε τους τομείς παραγωγής για 5 έως 10 χρόνια εκ των προτέρων (ICANN maximum horizon is 10 years): Ποτέ μην αφήνετε έναν τομέα που είναι κρίσιμος για τις επιχειρήσεις με ανανέωση από έτος σε έτος, όπου μια μεμονωμένη εταιρική πιστωτική κάρτα που έχει λήξει μπορεί να προκαλέσει διακοπή λήξης. Προπληρωμή για 5 έως 10 χρόνια ταυτόχρονα.
• Μην χρησιμοποιείτε ποτέ ένα @yourdomain.com διεύθυνση ηλεκτρονικού ταχυδρομείου ως επαφή σύνδεσης ή ειδοποίησης χρέωσης στη διεύθυνση καταχωρητή yourdomain.com: Χρησιμοποιήστε μια αποκλειστική λίστα διανομής ασφαλείας σε έναν ανεξάρτητο διαχειριστικό τομέα ή σκληρυμένο εξωτερικό λογαριασμό και παρακολουθήστε RDAP / WHOIS ημερομηνίες λήξης μέσω αυτοματοποιημένων εξωτερικών οθονών Prometheus/Uptime (domain_expiry_days < 60).
• Χαμηλότερα NS και DS TTL (300 να 3600 δευτερόλεπτα) 48 ώρες πριν από οποιαδήποτε προγραμματισμένη μετεγκατάσταση DNS: Η μείωση των TTL εκ των προτέρων διασφαλίζει την εναλλαγή των επιλυτών εντός 5 λεπτών από μια προγραμματισμένη αποκοπή.

Περιφερειακοί αριθμοί έκτακτης ανάγκης και πρωτόκολλα πρακτορείων¶

Όταν ένας τομέας ή διακοπή DNS επηρεάζει εγκαταστάσεις υγειονομικής περίθαλψης, υπηρεσίες έκτακτης ανάγκης, δημοτικές επιχειρήσεις κοινής ωφέλειας ή κρατικές υποδομές, ακολουθήστε αυτά τα περιφερειακά κανάλια κλιμάκωσης:

• Ηνωμένες Πολιτείες και Καναδάς: Κλήση 911 εάν μια διακοπή τομέα/DNS απενεργοποιεί την τηλεμετρία κλινικού νοσοκομείου, την αποστολή ασθενοφόρου ή τα συστήματα ασφάλειας ζωής. Αναφέρετε επιθέσεις DDoS στην υποδομή DNS ή κλοπή BGP/DNS στην CISA (1-844-Say-CISA / cisa.gov/report), το FBI IC3 (ic3.gov) ή το Καναδικό Κέντρο για την Ασφάλεια στον Κυβερνοχώρο (1-833-CYBER-88). Για .gov τομείς, επικοινωνήστε με την CISA .gov Γραμματέας Helpdesk.
• Ηνωμένο Βασίλειο: Κλήση 999 για απειλές κατά της ζωής ή οξείες διαταραχές του NHS. Αναφέρετε κρίσιμες διακοπές DNS ή παραβιάσεις τομέα στο NCSC (ncsc.gov.uk) και επικοινωνήστε με την Nominet (01865 332244) κατευθείαν για επείγον .uk / .gov.uk / .nhs.uk ζητήματα μητρώου.
• Ευρωπαϊκή Ένωση: Κλήση 112 σε όλα τα κράτη μέλη της ΕΕ. Οι πάροχοι υπηρεσιών DNS και τα μητρώα ονομάτων TLD ρυθμίζονται σύμφωνα με την Οδηγία ΕΕ NIS2 (Directive 2022/2555) και πρέπει να αναφέρουν σημαντικά περιστατικά διαθεσιμότητας στην εθνική τους CSIRT εντός 24 ωρών.
• Αυστραλία και Νέα Ζηλανδία: Dial 000 στην Αυστραλία ή 111 στη Νέα Ζηλανδία. αναφέρετε κρίσιμα περιστατικά DNS ή τομέα στο ACSC (1300 CYBER1), auDA (για .au), ή Επιτροπή ονόματος τομέα NZ (για .nz).
• Ινδία και Ασία-Ειρηνικός: Dial 112 στην Ινδία για αντιμετώπιση έκτακτης ανάγκης. αναφέρετε επιθέσεις υποδομής DNS/τομέα στο CERT-In (incident@cert-in.org.in) εντός 6 ωρών ή NIXI για .in κλιμακώσεις μητρώου.

Συχνές ερωτήσεις¶

Γιατί ο τομέας μου σταμάτησε να λειτουργεί 24 ώρες ΠΡΙΝ την επίσημη χρονική σήμανση λήξης WHOIS;¶

Πρώτα, ελέγξτε τις ζώνες ώρας: WHOIS `Registry Expiry Date` εκτυπώνεται πάντα σε **UTC (`Z`)**, το οποίο είναι 4 έως 8 ώρες μπροστά από τις ζώνες ώρας της Βόρειας Αμερικής (που σημαίνει ότι ένας τομέας λήγει στις `2026-11-01T04:00:00Z` στην πραγματικότητα λήγει στις `8:00 PM PDT` στις 31 Οκτωβρίου). Δεύτερον, εάν σας `NS` οι δίσκοι είχαν α `24-hour` ή `48-hour` Το TTL και ο καταχωρητής τα αντάλλαξαν `00:00 UTC` την ημέρα λήξης, οι χρήστες των οποίων οι συσκευές επίλυσης ανανεώθηκαν νωρίς μπήκαν αμέσως στη σελίδα στάθμευσης ενώ άλλοι παραμένουν προσωρινά αποθηκευμένοι για ώρες.

Ο καταχωρητής μου είναι εντελώς εκτός λειτουργίας ή δεν ανταποκρίνεται (Dead / De-accredited Registrar), και ο τομέας μου λήγει. Πώς μπορώ να το σώσω;¶

Όταν ο ICANN τερματίζει ή καταργεί τη διαπίστευση ενός αποτυχόντα καταχωρητή σύμφωνα με τη **Διαδικασία μετάβασης του De-Credited Registrar (`DARTP`)**, ο ICANN μεταφέρει αυτόματα όλους τους τομείς σε έναν κερδοφόρο καταχωρητή θεματοφύλακα με μηδενικό κόστος για τους καταχωρίζοντες. Έλεγχος `whois yourdomain.com` (ή `lookup.icann.org`(`icann.org/compliance/complaint`)**.

Γιατί ο ιστότοπός μου λειτουργεί για ορισμένους πελάτες σε δεδομένα κινητής τηλεφωνίας, αλλά εξακολουθεί να εμφανίζει τη σελίδα στάθμευσης που έχει λήξει στο Wi-Fi του γραφείου μας 6 ώρες μετά την ανανέωση του τομέα;¶

Το δίκτυο του γραφείου σας ή ο τοπικός ISP αναδρομικός αναλυτής DNS αποθήκευσε τη σελίδα στάθμευσης του καταχωρητή `NS` και `A` καταγράφει ενώ ο τομέας είχε λήξει και οι διακομιστές ονομάτων στάθμευσης ορίζουν υψηλά TTL (`3,600` να `86,400` δευτερόλεπτα / 24 ώρες), ώστε οι σελίδες διαφημίσεων να παραμένουν προσωρινά αποθηκευμένες περισσότερο. Ξεπλύνετε το Google (`8.8.8.8`) και Cloudflare (`1.1.1.1`) χρησιμοποιώντας τα εργαλεία εκκαθάρισης ιστού και, στη συνέχεια, εκτελέστε τον τοπικό σας υπολογιστή `ipconfig /flushdns` (Windows), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS) ή `sudo resolvectl flush-caches` (Linux).

Τι συμβαίνει με τα μηνύματα ηλεκτρονικού ταχυδρομείου που αποστέλλονται σε @yourdomain.com Ενώ ο τομέας ή το DNS μας είχε λήξει για 18 ώρες; Χάνονται για πάντα;¶

Στις περισσότερες περιπτώσεις, Τα νόμιμα email που αποστέλλονται κατά τις πρώτες 12 έως 48 ώρες μιας διακοπής DNS ΔΕΝ χάνονται: βρίσκονται στην ουρά στον διακομιστή αλληλογραφίας του αποστολέα και θα φτάνουν αυτόματα τις επόμενες ώρες. Κάτω από **`RFC 5321` (Simple Mail Transfer Protocol, Section 4.5.4.1)**, όταν ένας διακομιστής αποστολής αλληλογραφίας (`Gmail`, `Microsoft Exchange Online`, `Postfix`) λαμβάνει μια προσωρινή αποτυχία αναζήτησης DNS (`SERVFAIL`) ή δεν μπορεί να συνδεθεί σε ένα `MX` host, τοποθετεί το μήνυμα σε μια ουρά επανάληψης για **4 έως 5 ημέρες (`96 to 120 hours`)**, επανάληψη με εκθετική υποχώρηση. Ωστόσο, εάν η ληγμένη σελίδα στάθμευσης του καταχωρητή περιλάμβανε ένα **μηδενικό χαρακτήρα μπαλαντέρ `MX` ρεκόρ (`0 .`)** ή έναν διακομιστή αλληλογραφίας στάθμευσης που απέρριψε την αλληλογραφία με σκληρό `550 5.1.1 User Unknown` μόνιμη αναπήδηση, αυτοί οι αποστολείς έλαβαν μια άμεση ειδοποίηση εγκατάλειψης και πρέπει να στείλουν ξανά τα email τους.

Μπορώ να ρυθμίσω δύο παρόχους DNS ταυτόχρονα (Cloudflare + Route 53) απλά αναφέροντας δύο Cloudflare NS ρεκόρ και δύο Route 53 NS εγγραφές στον γραμματέα μου;¶

Ναί, όσο `DNSSEC` είναι απενεργοποιημένο (ή έχει ρυθμιστεί σωστά με `RFC 8901` Multi-Signer DNSSEC) και οι δύο πάροχοι εξυπηρετούν ίδιες εγγραφές DNS. Οι αναδρομικοί αναλυτές υποβάλλουν ερωτήματα σε όλα τα στοιχεία γονέα που αναφέρονται στη λίστα `NS` εγγραφές χρησιμοποιώντας επιλογή λανθάνοντος χρόνου round-robin/RTT (`SRTT`). Αν απαριθμήσετε `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`, και `ns2.providerB.com` στους προσαρμοσμένους διακομιστές ονομάτων του καταχωρητή σας και διατηρήστε και τις δύο ζώνες συγχρονισμένες χρησιμοποιώντας **OctoDNS**, **DNSControl**, **Terraform** ή `AXFR / IXFR` μεταφορές ζώνης, ο τομέας σας επιβιώνει αυτόματα σε περίπτωση διακοπής 100 τοις εκατό οποιουδήποτε παρόχου DNS.

Ποια είναι η διαφορά μεταξύ clientHold και serverHold στο WHOIS;¶

Κωδικοί κατάστασης EPP που ξεκινούν με **`client...`** (`clientHold`, `clientTransferProhibited`) ορίζονται από τον **Καταχωρητή τομέα** (το κατάστημα λιανικής όπου διαχειρίζεστε τον λογαριασμό σας, όπως το Namecheap ή το GoDaddy) και μπορούν να αφαιρεθούν αμέσως από την υποστήριξη ή το σύστημα χρέωσης του καταχωρητή σας. Κωδικοί κατάστασης που ξεκινούν με **`server...`** (`serverHold`, `serverTransferProhibited`) ορίζονται απευθείας από τον **TLD Registry Operator** (`Verisign`, `PIR`, `Nominet`) λόγω δικαστικών εντολών, διαφωνιών UDRP, αναστολών κατάχρησης σε επίπεδο μητρώου ή υλικού **Registry Lock** και απαιτείται επικοινωνία με το Μητρώο μέσω του καταχωρητή σας για άρση.

Σχετικοί οδηγοί¶

• Παραβίαση ονόματος τομέα, ληγμένο DNS και κατάληψη ιστότοπου
• Το πιστοποιητικό SSL/TLS έληξε στην παραγωγή, κλείδωμα προφόρτωσης HSTS, μπλοκ εγγραφής CA CAA και ανανέωση έκτακτης ανάγκης
• Κλείδωμα διαχειριστή προσαρμοσμένου τομέα Google Workspace ή Microsoft 365, επαλήθευση DNS TXT και διάσωση μισθωτή
• Εισβολή DNS, αναδιαμόρφωση WAN δρομολογητή ISP και πλαστογράφηση πύλης
• Κρίση φιλοξενίας ιστοσελίδων, μετανάστευση και αποκατάσταση αντιγράφων ασφαλείας
• Αριθμοί έκτακτης ανάγκης ανά χώρα

Πηγές και επίσημες οδηγίες¶

• Εταιρεία Διαδικτύου για εκχωρημένα ονόματα και αριθμούς (ICANN): Πολιτική ανάκτησης εγγραφής που έληξε (ERRP), Πολιτική διαγραφής τομέα που έχει λήξει (EDDP), Πολιτική μεταβίβασης μεταξύ καταχωριζόμενων (60-day Change-of-Registrant Lock) και Αναφορά κωδικών κατάστασης EPP (clientHold, redemptionPeriod, pendingDelete).
• Ειδική Ομάδα Μηχανικής Διαδικτύου (IETF): RFC 6781 (DNSSEC Operational Practices: Key Rollovers and Emergency DS αφαίρεση) & RFC 8901 (Multi-Signer DNSSEC Models for Multi-Provider Authoritative DNS).
• Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST) (Ηνωμένες Πολιτείες): Ειδική δημοσίευση 800-81-2: Secure Domain Name System (DNS) Οδηγός ανάπτυξης.
• Οργανισμός Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) (Ηνωμένες Πολιτείες): Οδηγία έκτακτης ανάγκης 19-01: Μετριασμός της παραβίασης υποδομής DNS.
• Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA): Τεχνική καθοδήγηση NIS2 για παρόχους υπηρεσιών DNS και μητρώα ονομάτων TLD.