Skip to content

Domeeni registripidaja või DNS-i pakkuja seiskus: aegunud domeeni lunastamise ajapikendusperiood, DNSSEC SERVFAIL Lõksu ja hädaolukorra nimeserveri migratsioon

Hädaabinumbrid on riigiti erinevad. Sellel lehel kasutatakse numbrit 911, mis on USA ja Kanada number. Paljud teised riigid kasutavad numbrit 112, 999 või muud numbrit. Leidke oma riigi number.

Ärgates avastades, et teie ettevõtte peamine veebisait, API lõpp-punktid (api.example.com) ja ettevõtte e-posti aadress (MX Google Workspace'i või Microsoft 365 kirjed) on kõikjal maailmas täiesti kättesaamatud (DNS_PROBE_FINISHED_NXDOMAIN või SERVFAIL) on täieliku pimendusega infrastruktuurikriis. Erinevalt ühest kokku jooksnud veebiserverist, mis mõjutab ühte teenust, on domeeninimesüsteem (DNS) või domeeni registreerimistõrge katkestab samaaegselt kõik teie juurdomeeni all olevad teenused, sealhulgas ühekordse sisselogimise (SSO), klienditoe portaalid ja sissetulevad intsidentidele reageerimise meilid. Praktikas tulenevad globaalsed domeenide katkestused kolmest erinevast käivitajast: (1) juhuslik domeeni aegumine, mille puhul registreeritud krediitkaart aegus ja registripidaja kaaperdas teie NS kirjed, mis osutavad tasulise kliki parkimislehele 24 to 48 hours enne tegelikku aegumiskuupäeva; (2) DDoS-i rünnak või juhtimistasandi katkestus teie autoriteetse DNS-i pakkuja juures (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); või (3) katki DNSSEC (DS rekord) usaldusahel kiirustava nimeserveri vahetamise ajal, mis põhjustab lahendajate valideerimise (8.8.8.8, 1.1.1.1, Interneti-teenuse pakkuja lahendajad), millega saate 100 protsenti oma liiklusest vähendada SERVFAIL. Kui ründaja rikkus teie registripidaja sisselogimismandaate ja teisaldas teie domeeni pahatahtlikult või muutis seda, minge domeeninime kaaperdamine, aegunud DNS ja veebisaidi ülevõtmine; Kui teie TLS-sertifikaat aegus või purunes pärast DNS-i taastamist, vaadake SSL/TLS-sertifikaat aegus tootmises, HSTS-i eellaadimise blokeerimine ja hädaolukorra uuendamine ja Google Workspace'i või Microsoft 365 kohandatud domeeni administraatori lukustamine ja DNS-i kinnitamine. Kui see katkestus blokeerib haigla kliinilise side, 911/112 hädaabi väljasaatmise marsruudi või kriitilised kommunaalteenused, helistage kohalikule hädaabinumbrile (911 Ameerika Ühendriikides ja Kanadas, 112 kogu Euroopa Liidus, 999 Ühendkuningriigis) või vaadake meie kataloogi hädaabinumbrid.

Tehke seda kohe

  1. Diagnoosige 10 sekundiga, kas tõrge on aegunud/peatatud domeen (EPP Status), autoriteetse DNS-i pakkuja katkestus või a DNSSEC Valideerimise ebaõnnestumine:
  2. Jookse whois yourdomain.com | grep -iE "Status|Expiry|Name Server" ja dig +trace yourdomain.com.
  3. Katsetage, kas mööda minna DNSSEC kinnitamine (+cd = Kontrollimine keelatud) muudab teie domeeni uuesti lahendatavaks: 
    dig @8.8.8.8 yourdomain.com A
dig @8.8.8.8 yourdomain.com A +cd
    Kui esimene käsk tagastab status: SERVFAIL samas kui teine käsk (+cd) tagastab kohe status: NOERROR teie serveri IP-aadressiga teie DNS-serverid EI OLE maas: teie DNSSEC (DS registripidaja rekord) on purustatud. Liikuge kohe 3. faasi, et kustutada aegunud DS registreerige oma registripidaja juures.
  4. Kui teie domeen aegus (Auto-Renew Grace Period või Redemption Grace Period), logige kohe sisse oma praegusesse registripidajasse ja tasuge pikendamis-/lunastustasu; ÄRGE oodake domeeni "langemist", et saaksite selle soodsalt uuesti registreerida:
  5. Esimese 1 kuni 45 päeva jooksul pärast aegumist (Auto-Renew Grace Period), taastab registripidaja armatuurlaual uuendamine teie algsed nimeserverid standardse uuendamiskuluga ($10 to $30).
  6. 30 päeva jooksul Redemption Grace Period (RGP / redemptionPeriod), peate tasuma kohustusliku registri väljaostmistasu ($80 to $250) oma praeguse registripidaja kaudu. Kui ootate, kuni domeen 5-päevase lõpu saab Pending Delete faas salvestamiseks $100, automatiseeritud tilka püüdvad snaiprirobotid (DropCatch, SnapNames, NameJet) haarab teie domeeni 5 milliseconds vabastamise ja tuhandete dollarite eest oksjonil müüa.
  7. ÄRA KUNAGI muuda oma nimeservereid (NS) eemal DNSSEC-i toega DNS-i pakkujast (nt Cloudflare, Route 53 või Google Cloud DNS), eemaldamata DS registreerige kõigepealt oma registripidaja juures: Kui DNSSEC on lubatud ja te vahetate oma NS salvestab katkestuse ajal pääste-DNS-i pakkujale vanemat kustutamata DS (Delegation Signer) kirje .com / .org Esiteks, TLD tsoonis lükkab iga kinnitav lahendaja Maal tagasi uue DNS-i pakkuja allkirjastamata vastused krüptograafilise võltsimisrünnakuna (SERVFAIL).
  8. Kui olete oma ettevõttest välja lülitatud @yourdomain.com meili, kuna teie domeen MX kirjed on maas, ÄRGE klõpsake "Saada parooli lähtestamise kood aadressile admin@yourdomain.com" teie registripidaja juures: kui teie domeen NS või MX kirjed on võrguühenduseta, kõik kinnitusmeilid saadetakse aadressile @yourdomain.com põrkab või kaob järjekorda. Kasutage oma registripidaja SMS-i/Authenticatori MFA-d, ribavälist varumeili (@gmail.com / @proton.me) või telefoni identiteedi kinnitamise voogu.
  9. Pärast aegunud domeeni uuendamist kontrollige käsitsi, et teie registripidaja taastas teie algsed kohandatud nimeserverid (NS) selle asemel, et domeen sisse jätta sedoparking.com / renewyourname.net: kui domeen aegub, kirjutavad registripidajad teie kohandatud sätte üle NS kirjed parkimise nimeserveritega (ns1.parklogic.com, dns1.name-services.com). Mõnikord värskendab pikendamise eest tasumine aegumiskuupäeva järgmisel aastal, jättes parkimisnimeserverid aktiivseks, kuni need käsitsi tagasi lülitate.
  10. Tühjendage globaalsed avalikud rekursiivsed DNS-i vahemälud (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) teine sinu NS või DS kirjed taastatakse: selle asemel, et oodata vahemällu salvestamist 24-48 tundi NXDOMAIN või parkimisleht NS kirjed aeguvad loomulikult, käivitab Google'i avaliku DNS-i vahemälu kohese globaalse tühjendamise (developers.google.com/speed/public-dns/cache) ja Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Danger

Hoiduge "ClientHold" (clientHold / serverHold) ICANNi kinnitamise peatamine, mis näeb välja identne aegunud domeeniga: kui teie Registry Expiry Date WHOIS-is on veel kuude või aastate ees, kuid teie domeen lakkas ootamatult ülemaailmselt lahendatud ja whois näitab Domain Status: clientHold https://icann.org/epp#clientHold, peatas teie registripidaja teie domeeni tippdomeeni juurtsoonis. #1 põhjus clientHold ei suuda 15 päeva jooksul pärast domeeni registreerimist, selle ülekandmist või registreerija kontaktnime/e-posti värskendamist klõpsata kohustuslikul ICANN WHOIS registreerija e-posti kinnituslingil. Logige kohe sisse oma registripidaja portaali, klõpsake käsul Saada RAA kinnitusmeil uuesti (või värskendage registreerija meiliaadress toimivaks Gmaili/Protoni aadressiks) ja klõpsake lingil: clientHold tõstetakse TLD juurserveritest 5-15 minuti jooksul.

Otsuste puu: globaalne domeen või DNS-i elektrikatkestuse hädatriaaž

Kasutage seda vooskeemi DNS-i hierarhia täpse kihi (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, või Authoritative Nameserver) kui lahendamine ebaõnnestub:

flowchart TD
    Start["Ülemaailmne katkestus: domeeni veebi ja meili ei õnnestu lahendada (NXDOMAIN / SERVFAIL)"] --> RunDiag["Käivita: whois domain.com JA dig @8.8.8.8 domain.com +cd"]

    RunDiag --> CheckCD{"Kas dig @8.8.8.8 domain.com ebaõnnestub, kuigi +cd lisamine õnnestub?"}

    CheckCD -->|"Jah: töötab +cd-ga, ebaõnnestub ilma +cd-ta"| DnssecBreak["Katkine DNSSEC-i usaldusahel: kustutage aegunud DS-kirje registripidajast VÕI allkirjastage uuesti tsoon -> loputage 8.8.8.8 ja 1.1.1.1"]

    CheckCD -->|"Ei: nii ebaõnnestub kui ka tagastab parkimise IP"| CheckWhois{"Kontrollige WHOIS EPP domeeni olekut ja aegumiskuupäeva"}

    CheckWhois -->|"Olek: clientHold või serverHold"| HoldState["Registripidaja / registri peatamine: viivitamatult täitke ICANN RAA e-posti kinnitamine VÕI kuritarvitamine / arvelduspilet"]

    CheckWhois -->|"Aegumiskuupäev möödas (olek: autoRenewPeriod)"| GraceRenew["1. kuni 45. päev pärast aegumist: tasuge tavapärane uuendamine registripidaja portaalis -> kontrollige kohandatud NS-i taastamist"]

    CheckWhois -->|"Olek: redemptionPeriod (RGP)"| RgpRestore["45.-75. päev pärast aegumist: avage kohe registripidaja tugipilet / makske RGP taastamise tasu (80-250 dollarit)"]

    CheckWhois -->|"Olek: ootel Kustutamine"| PendingDel["Viimane 5-päevane lukk: ei saa uuendada registripidaja juures -> esitage järeltellimused kõikidele suurematele kukkumispüüdjatele kohe"]

    CheckWhois -->|"Olek: ok / clientTransferProhibited JA aegub tulevikus"| AuthDown["Domeeni registreerimine on korras -> autoriteetse DNS-i pakkuja katkestus või puudub tsoon"]

    AuthDown --> MigrateNS["Importige tsoonifail ('BIND' / Terraform) teisesesse DNS-i pakkujasse -> eemaldage DS-kirje, kui DNSSEC on sisse lülitatud -> värskendage NS-i registripidaja juures"]

1. etapp: ICANN-i domeeni aegumise elutsükkel (Auto-Renew vs. Redemption vs. Pending Delete)

Kui üldine tippdomeen (gTLD nagu näiteks .com, .net, .org, .io, .ai, .co, .app, .dev) aegub, kuna krediitkaardi automaatne uuendamine ebaõnnestus või finantskaart tühistati pärast töötaja lahkumist, läbib domeen range mitmeetapilise elutsükli, mida reguleerib ICANNi aegunud registreerimise taastamise poliitika (ERRP) ja registripidaja lepingud (Verisign jaoks .com/.net, PIR jaoks .org, Identity Digital).

Kuidas domeen sureb ja miks see võrgust välja lülitatakse ENNE või 1. aegumispäeval

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Võrrelge oma täpseid õigusi, kulusid ja taastamistoiminguid aegumise igas etapis, sealhulgas riigikoodiga tippdomeene (ccTLDs meeldib .uk, .de, .eu, .ca, .au), mis ei järgi ICANNi gTLD reeglid:

Aegumisstaadium / tippdomeeni tüüp WHOIS EPP Olekukood Kas teie DNS-nimeserverid on aktiivsed? Kas saate selle 100% garanteeritud taastada? Täpne taastamisprotseduur
gTLD 1. etapp: ajapikendusperioodi automaatne uuendamine (Day 1 to 30/45) ok (pargitud NS) või clientHold Ei. 0-48 tunni jooksul pärast aegumist vahetavad registripidajad teie NS salvestab pargitud reklaamiserveritesse (RenewNow, Sedo). ** jah (100%)** standardse iga-aastase uuendamise hinnaga ($10 to $40). Logige sisse oma registripidajasse, klõpsake nuppu Uuenda ja kinnitage oma algne kohandamine NS kirjed taastatakse (ei jäeta parkimisele NS) ja loputage 8.8.8.8 / 1.1.1.1.
gTLD 2. etapp: lunastamise ajapikendus (RGP - 30 Days) redemptionPeriod (https://icann.org/epp#redemptionPeriod) Ei. Domeen on domeenist täielikult eemaldatud .com/.org TLD tsoon (NXDOMAIN). ** jah (100%)**, eranditult eelregistreerija poolt kaotaja registripidaja kaudu (ERRP mandaat). Makske ** lunastamise taastamise tasu ($80 to $250)** + 1-aastane pikendamine teie registripidajas Expired / Redemption vahekaart (või helistage registripidaja ööpäevaringsele toele, kui kasutajaliides peidab RGP-domeene).
Registri aegunud oksjoni kattumine (Day 25 to 42 kohas GoDaddy, Namecheap, Dynadot) clientHold / autoRenewPeriod Ei. Tavaliselt Jah kuni päevani 30-42, isegi kui pakkujad teevad pakkumisi registripidaja aegunud oksjonil. ICANN ERRP kohaselt peab registripidaja lubama registreerijal ajapikendus-/lunastusakna jooksul uuendada enne aegunud oksjoniülekande lõpuleviimist. Uuendage kohe arveldamise vahekaardil.
gTLD 3. etapp: kustutamise ootel (Final 5 Days) pendingDelete (https://icann.org/epp#pendingDelete) Ei. Ei (0% registripidaja kaudu). Register lukustab domeeni 5 päevaks enne selle avalikku kogumisse puhastamist. Sisestage samaaegsed järeltellimused kohe saidile DropCatch.com, SnapNames / Network Solutions, NameJet, Park.io (ehk .io/.ai) ja Sav.com enne 5. päeva lõppu.
.uk / .co.uk (Nominet ccTLD) Renewal required -> Suspended (Day 30 to Day 90) Peatatud 30. päeval pärast aegumist (60-day peatamisperiood enne langust päeval 90 kuni 92). ** jah (100%)** kuni 90. päevani standardse pikendamishinnaga (või otse Nomineti taastamise kaudu). Uuenda oma kaudu .uk registripidaja (või logige sisse Nomineti võrguteenustesse otse aadressil secure.nominet.org.uk kui teie registripidaja ei reageeri).
.de (DENIC) & .eu (EURid) ccTLD-d .de: TRANSIT / RGP (30 days); .eu: QUARANTINE (40 days) Üks kord karantiini/transiidi ajal võrguühenduseta. ** jah (100%)** 30 päeva jooksul (DENIC) või 40 päeva (EURid) karantiiniperiood. Taotle taastamist (AuthInfo2 jaoks .de DENIC-i kaudu või karantiini taasaktiveerimine EURidi kaudu).

2. faas: samm-sammult taastamine aegunud või RedemptionPeriod domeeni

Järgige seda täpset järjestust, et aegunud domeen võimalikult lühikese aja jooksul uuesti võrku tuua:

1. samm: taastage juurdepääs oma registripidaja kontole, kui @yourdomain.com email on surnud

Siin on aegunud domeeni klassikaline Catch-22: - Teie domeen (company.com) aegunud, seega MX rekordid company.com lakkas lahendamast. - Proovite sisse logida oma domeeni registreerijasse (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi) ja registripidaja ütleb: „Saatsime 6-kohalise kinnituskoodi aadressile admin@company.com." - Sest company.com on aegunud, ei saa see meil kunagi kohale jõuda.

Kuidas aegunud domeeni meiliahelast kohe välja murda: 1. ÄRGE veel midagi üle kandke ega muutke: kontrollige, kas saate ajutist hädaabiposti püüdjat üles keerata AINULT siis, kui domeen pole aegunud (kui domeen ise on aegunud tippdomeeni tasemel, MX ei saa enne uuendamist kuskil lahendada). 2. Kasutage registripidaja konto taastamise kanalit "Kaotatud e-posti juurdepääs / domeen aegunud": - Peaaegu kõik ICANN-i akrediteeritud registripidajad pakuvad spetsiaalset telefoninumbrit või riikliku isikutunnistuse / ettevõtte asutamisdokumentide kontrollimise töövoogu spetsiaalselt klientidele, kelle sisselogimise e-posti aadress sobib @ aegunud domeen konto sees. - Enne registripidaja toele helistamist pange valmis kolm üksust: (a) krediitkaardi viimased 4 numbrit või PayPali tehingu ID, mida kasutati eelmisel uuendamisarvel, (b) teie registripidaja konto ID / kliendi PIN ja © riiklik fotoga ID + põhikiri / kommunaalteenuste arve, mis vastab organisatsioonile (WHOIS-i registreerija).Tech / Admin / Registrant). 3. Pärast sisselogimist muutke kohe oma registripidaja konto meiliaadress väliseks domeeniks (@gmail.com, @proton.me, või teile kuuluv eraldi hädaabidomeen) ja lubage Riistvara turvavõti (FIDO2) või TOTP Authenticator App MFA, nii et sisselogimine ei sõltu kunagi @company.com meili uuesti.

2. samm: käivitage uuendamine või RedemptionPeriod (RGP) Taasta

  1. Kui domeen on 1. etapis (Auto-Renew Grace Period, päevad 1 kuni 30/45):
  2. Avage Arveldamine -> Pikendamine või Domeeniloend -> Aegunud filter ja tasuge uuendamise arve.
  3. Kriitiline kontroll 60 sekundit pärast maksmist: avage domeeni Nimeserverid (NS) seaded registripidaja armatuurlaual. Kontrollige, kas registripidaja paneb teie pärisnimeserverid automaatselt tagasi (näiteks ns-123.awsdns-15.com või ada.ns.cloudflare.com) või lahkus domeenist, osutades aegunud parkimisserveritele (ns1.sedoparking.com / dns1.registrar-servers.com). Kui parkimisserverid on endiselt loendis, sisestage oma tootmisnimeserverid käsitsi uuesti ja salvestage.
  4. Kui domeen on 2. etapis (Redemption Grace Period / redemptionPeriod, päevad 30/45 kuni 75):
  5. Vaadake oma registripidaja armatuurlaual olevat eraldi vahekaarti, millel on sageli sildid Aegunud domeenid -> Lunastamine, Prügikast / Taasta või Arveldusarveldus/Lunastus.
  6. Makske RGP taastamise tasu + 1-aastane pikendamine.
  7. Kuidas RGP taastamine registris töötab (Verisign / PIR)? Kui maksate RGP tasu, saadab teie registripidaja EPP <update><restore op="request"> käsk tippdomeeni registrisse. Register muudab koheselt domeeni staatust redemptionPeriod juurde pendingRestore ja paneb teie domeeni NS salvestab 15-60 minuti jooksul tagasi TLD juurtsooni, samal ajal kui teie registripidaja esitab restore op="report" vastavuse kinnitus.

3. samm: vältige kohaliku Interneti-teenuse pakkuja vahemälu viivitusi tühjendades 8.8.8.8 ja 1.1.1.1

Kui teie domeen aegus, salvestasid rekursiivsed DNS-i lahendajad kõikjal maailmas parkimisnimeserverid või negatiivsed NXDOMAIN vastus (mida juhivad tippdomeenid SOA Minimum TTL, tavaliselt 900 juurde 3,600 sekundit või 86,400 sekundit NS rekordid). Hetk dig @a.gtld-servers.net yourdomain.com NS (küsib .com juurserver otse) näitab uuesti teie tegelikke tootmisnimeservereid: 1. Avage Google'i avalik DNS-i loputusvahemälu (https://developers.google.com/speed/public-dns/cache): - LoputustüüpNS kõigepealt yourdomain.com, seejärel loputage SOA, A, AAAA, MX ja TXT. 2. Avage Cloudflare 1.1.1.1 Puhastage vahemälu (https://one.one.one.one/purge-cache/): - Puhastage NS, A, AAAA ja MX jaoks yourdomain.com.

3. faas: hädaolukorra nimeserver (NS) Migreerimine DNS-i pakkuja katkestuse ajal (ja DNSSEC lõks)

Mis siis, kui teie domeeni registreerimine on 100 protsenti kehtiv ja aegumata, kuid teie volitatud DNS-i pakkuja (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) kannatab katastroofilise katkestuse või DDoS-i rünnaku all ja peate oma domeeni nimeserverid (NS) DNS-i varupakkuja poole kohe?

#1 migratsioonitapja: vahetamine NS Kuigi DNSSEC (DS Record) On lubatud

Enne singli vahetamist NS salvestage oma registripidaja juures, käivitage see käsk, et kontrollida, kas DNSSEC on teie domeenis TLD emaregistris lubatud: 

dig +short yourdomain.com DS @8.8.8.8
- Kui väljund on tühi (tühi): DNSSEC on pole teie domeenis lubatud. Saate turvaliselt oma NS registripidaja juures olevad kirjed, et osutada kohe teie uuele DNS-i pakkujale. - Kui väljund prindib a DS rekord (näiteks 2371 13 2 8F9A1B...): STOPP: DNSSEC on TLD registris aktiivne.

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Ohutu hädaolukorra nimeserveri migratsiooni kontroll-loend (null SERVFAIL protseduur)

  1. Esmalt rekonstrueerige või importige oma täielik DNS-tsooni fail uue DNS-i pakkuja juures:
  2. Ärge kunagi arvake oma DNS-kirjeid mälust (@, wwwja api on harva ainsad rekordid; unustades MX, SPF/TXT, DKIM, _dmarc, autodiscover, või CAA katkestab meilide edastamise ja TLS-i uuendamise).
  3. Kust leida täielikku DNS-i tsooni, kui teie esmase DNS-i pakkuja armatuurlaud on maas:
    • ** Kontrollige infrastruktuuri koodina (Terraform, Pulumi, OctoDNS, DNSControl)** teie Giti hoidlas.
    • Kontrollige hiljutisi tsoonide eksporte (BIND .zone failid) või otsige ajaloolistest DNS-i andmebaasidest (SecurityTrails, ViewDNS.info, DNSDumpster, või Censys / crt.sh alamdomeenide jaoks).
    • Tehke päring vahemällu salvestatud kirjete kohta, mis on endiselt avalikes rekursiivsetes lahendajates (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) enne nende TTL-ide aegumist.
  4. Enne registripidaja puudutamist veenduge, et uus DNS-i pakkuja vastab autoriteetselt igale kriitilisele kirjele: Oletame, et teie uus teenusepakkuja määras teile ns1.rescuedns.com ja ns2.rescuedns.com. Testige neid otse dig: 
    dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
dig @ns1.rescuedns.com yourdomain.com A +norecurse
dig @ns1.rescuedns.com yourdomain.com MX +norecurse
    Oodake, kuni flags: rida dig päis sisaldab selgesõnaliselt aa (Authoritative Answer) ja tagastab status: NOERROR.
  5. ** Kui dig +short yourdomain.com DS tagasi a DS salvestada, käsitleda DNSSEC registripidaja juures**:
  6. Aktiivse katkestuse ajal, kui vana DNS-i pakkuja on täiesti kättesaamatu: logige sisse oma domeeniregistripidajasse (kust ostsite domeeni), minge jaotisse DNSSEC/DS-kirjed ja kustutage kõik DS kirjed, nii et domeen naaseb allkirjastamata (Insecure) režiimis TLD vanemtsoonis. Oota kuni dig +short yourdomain.com DS @a.gtld-servers.net naaseb tühjana (ja loputab DS sisse 8.8.8.8 / 1.1.1.1) või lisage uus DNS-i pakkuja DS salvestage koos vanaga, kui teete kavandatud mitme allkirjastaja migratsiooni.
  7. ** Värskenda nimeservereid (NS) oma domeeni registripidaja juures**: Asendage surnud nimeserverid nimega ns1.rescuedns.com ja ns2.rescuedns.com oma registripidaja paneelil Kohandatud nimeserverid (märkus: muutmine NS tsooniredaktoris olevad kirjed ei tee ei midagi, kui vanad serverid on surnud; peate registripidaja tasemel muutma liimi / emadelegatsiooni nimeservereid).
  8. ** Puhastamine NS ja DS vahemälud Google'is (8.8.8.8) ja Cloudflare (1.1.1.1)**: Uute nimeserverite viivitamatuks kasutuselevõtmiseks kasutage 2. etapi 3. etapi avaliku vahemälu tühjendamise tööriistu.

Tip

Salvestage oma BINDi kohalik võrguühenduseta koopia .zone fail ja registripidaja taastekoodid enne katkestust: käivitage cli53 export yourdomain.com > yourdomain.zone (Route 53 jaoks) või eksportige oma tsoonifail Cloudflare'ist (DNS -> Records -> Export) iga kord, kui muudate tootmiskirjeid ja salvestate selle tekstifaili oma meeskonna võrguühenduseta paroolihaldurisse koos oma Registrar 2FA taastekoodidega. Puhas RFC 1035 .zone fail võimaldab teil sekundaarse DNS-i pakkuja üles seada vähem kui 90 sekundiga.

Warning

Mis saab siis, kui teie domeeniregistripidaja JA teie DNS-i pakkuja on täpselt sama ettevõte (nt Cloudflare'i registripidaja, Route 53 registripidaja või GoDaddy) ja nende veebiarmatuurlaud on maas? Kui teie registripidaja enda juhtimistasand on võrguühenduseta (või kui kasutate Cloudflare'i registripidaja, mis ei saa tavapärastel tingimustel piirata kohandatud nimeservereid, välja arvatud juhul, kui logite sisse Enterprise Multi-UIpro'iga DNS-i kasutades. NS salvestab katkestuse ajal. Missioonikriitilistel domeenidel ühe tarnija juhttasandi rikke üleelamiseks hoidke oma Domeeni registreerimist Authoritative DNS-ist eraldi registripidaja juures või konfigureerige Secondary / Dual Authoritative DNS (RFC 8901 Multi-Signer DNSSEC), kus kaks sõltumatut pakkujat (e.g., Route 53 + NS1 või Cloudflare + DNS Made Easy) on mõlemad teie vanemas korraga loetletud NS delegatsioon igal ajal.

4. etapp: 60-päevase ICANNi registripidaja ülekandeluku üleelamine hädaolukorras

Mida teha, kui peate oma domeeni üle kandma uuele registripidajale (ICANN Inter-Registrar Transfer), blokeeritakse ainult Domain Status: clientTransferProhibited ja teade: "See domeen on 60-päevase ICANN-i ülekandeluku all, kuna kontaktteavet värskendati hiljuti"?

  1. Miks 60-päevane lukustus käivitus: ICANNi edastuspoliitika (jaotis II.C.1) kohaselt lukustavad registripidajad 60-päevase ülekandeluku iga kord, kui domeen registreeritakse, registripidajate vahel teisaldatakse või toimub "registreerija vahetus" (värskendades registreerija eesnime, perekonnanime, e-posti kontaktaadressi või organisatsiooni nime).
  2. Kuidas registreerijavahetuse 60-päevasest lukust mööda minna või sellest loobuda:
  3. Enne WHOIS-i kontaktandmete muutmist: peaaegu kõik suuremad registripidajad lisavad otse kontakti muutmise ekraanile märkeruudu: "Loobuge pärast seda kontakti värskendamist 60-päevasest edastuslukust." Selle ruudu märkimine võimaldab teil värskendada oma administraatori/registreerija e-posti aadressi ja ikkagi luua EPP Auth-Code (Transfer Secret) domeeni üleandmiseks samal päeval.
  4. Pidage meeles, et DNS-i pakkuja vahetamiseks EI pea te domeeni registreerimist üle kandma: isegi kui domeen on 60 päevaks lukustatud registriülekande (clientTransferProhibited), saate siiski muuta selle Nimeservereid (NS kirjed) praeguse registripidaja juures igal ajal null ooteajaga; DNS-i vahetamine võtab minuteid, samas kui registripidaja täielik ülekandmine võtab aega kuni 5-7 päeva, välja arvatud juhul, kui kaotanud registripidaja klõpsa hetkega Kinnita väljaminev ülekanne (FOa) nuppu.

5. etapp: domeeni registreerimiste ja DNS-i tugevdamine tulevaste katkestuste vastu

Kui teie domeen ja DNS-i eraldusvõime on 100 protsenti taastatud, täitke see vastupidavuse kontroll-loend.

  • Luba Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) missioonikriitilistes tootmisvaldkondades: standardne Registrar Lock (clientTransferProhibited) saab ühe klõpsuga välja lülitada, kui ründaja kaaperdab teie registripidaja sisselogimise. Registry Lock (pakkuvad Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi ja Porkbun/Namecheap ettevõtete domeenidele) lukustab domeeni otse tippdomeeni registri tasemel, nõudes enne ribavälist mitme inimese kõne-/krüptograafilist kinnitust. NS kirjet saab muuta või domeeni kustutada.
  • Uuendage tootmisdomeene 5-10 aastat ette (ICANN maximum horizon is 10 years): ärge kunagi jätke aasta-aastasse uuendamisele ärikriitilist domeeni, kus üks aegunud ettevõtte krediitkaart võib põhjustada aegumise katkestuse. Ettemaks 5-10 aastat korraga.
  • ** Ärge kunagi kasutage a @yourdomain.com e-posti aadress haldava registripidaja sisselogimise või arveldusteatise kontaktina yourdomain.com**: kasutage sõltumatul administratiivdomeenil või tugevdatud väliskontol spetsiaalset turbe levitamisloendit ja jälgige RDAP / WHOIS aegumiskuupäevad automaatsete väliste Prometheuse/Uptime monitoride kaudu (domain_expiry_days < 60).
  • Madalam NS ja DS TTL-id (300 juurde 3600 sekundit) 48 tundi enne kavandatud DNS-i migratsiooni: TTL-ide eelnev alandamine tagab, et lahendajad lülituvad ümber 5 minuti jooksul pärast kavandatud katkestamist.

Piirkondlikud hädaabinumbrid ja agentuuride protokollid

Kui domeeni või DNS-i katkestus mõjutab tervishoiuasutusi, hädaabiteenuseid, munitsipaalteenuseid või valitsuse infrastruktuuri, järgige neid piirkondlikke eskalatsioonikanaleid.

  • Ameerika Ühendriigid ja Kanada: helistage 911 kui domeeni/DNS-i katkestus keelab kliinilise haigla telemeetria, kiirabi väljasaatmise või eluohutussüsteemid. Teatage DDoS-i rünnakutest DNS-infrastruktuuri vastu või BGP/DNS-i kaaperdamisest CISA-le (1-844-Say-CISA / cisa.gov/report), FBI IC3 (ic3.gov) või Kanada küberturvalisuse keskus (1-833-CYBER-88). Sest .gov domeenid, võtke ühendust CISA-ga .gov Registripidaja kasutajatugi.
  • Ühendkuningriik: vali 999 eluohtude või ägedate NHS-i häirete korral. Teatage kriitilistest DNS-i katkestustest või domeeni kaaperdamisest NCSC-le (ncsc.gov.uk) ja võtke ühendust ettevõttega Nominet (01865 332244) otse kiireloomuliste jaoks .uk / .gov.uk / .nhs.uk registriprobleemid.
  • Euroopa Liit: vali 112 kõigis EL-i liikmesriikides. DNS-teenuse pakkujad ja tippdomeeninimeregistrid on reguleeritud EU NIS2 direktiiviga (Directive 2022/2555) ja peavad 24 tunni jooksul teatama olulistest kättesaadavusintsidentidest oma riiklikule CSIRT-ile.
  • Austraalia ja Uus-Meremaa: helistage 000 Austraalias või 111 Uus-Meremaal; teatage kriitilistest DNS-i või domeeniintsidentidest ACSC-le (1300 CYBER1), auDA (for .au) või Domeen Name Commission NZ (for .nz).
  • India ja Aasia ja Vaikse ookeani piirkond: helistage 112 Indias hädaolukordadele reageerimiseks; teatage DNS-i/domeeni infrastruktuuri rünnakutest CERT-In (incident@cert-in.org.in) 6 tunni jooksul või NIXI jaoks .in registri eskalatsioonid.

Korduma kippuvad küsimused

Miks mu domeen lakkas töötamast 24 tundi ENNE ametlikku WHOIS-i aegumise ajatemplit?

Esiteks kontrollige ajavööndeid: WHOIS `Registry Expiry Date` trükitakse alati **UTC (`Z`)**, mis on 4-8 tundi Põhja-Ameerika ajavöönditest ees (see tähendab domeeni, mis aegub kell `2026-11-01T04:00:00Z` aegub tegelikult kell `8:00 PM PDT` 31. oktoobril). Teiseks, kui teie `NS` rekorditel oli a `24-hour` või `48-hour` TTL ja registripidaja vahetasid need kell `00:00 UTC` aegumispäeval avasid kasutajad, kelle lahendajad värskendasid varakult, kohe parkimislehte, samas kui teised jäävad tundideks vahemällu.

Minu registripidaja ei tööta täielikult või ei reageeri (Dead / De-accredited Registrar) ja minu domeen on aegumas. Kuidas ma selle päästan?

Kui ICANN lõpetab ebaõnnestunud registripidaja tegevuse või tühistab selle akrediteerimise **akrediteeritud registripidaja üleminekumenetluse alusel (`DARTP`)**, ICANN annab kõik domeenid automaatselt hulgiülekannet omandavale registripidajale ilma registreerijatele tasuta. Kontrollige `whois yourdomain.com` (või `lookup.icann.org`), et näha, millisel **Registril** ja **IANA ID-l** on praegu teie domeen, või esitage kiireloomuline **Domeeni uuendamise/ülekandmise kaebus** otse **ICANNi lepingujärgsele vastavusele (`icann.org/compliance/complaint`)**.

Miks töötab minu veebisait mõne kliendi jaoks mobiilse andmeside kaudu, kuid kuvab 6 tundi pärast domeeni uuendamist endiselt meie kontori WiFi-võrgus aegunud parkimislehte?

Teie kontorivõrk või kohalik Interneti-teenuse pakkuja rekursiivne DNS-i lahendaja salvestas vahemällu registripidaja parkimislehe `NS` ja `A` kirjed ajal, mil domeen oli aegunud, ja parkimisnimeserverid seadsid kurikuulsalt kõrged TTL-id (`3,600` juurde `86,400` sekundit / 24 tundi), nii et reklaamilehed jäävad vahemällu kauemaks. Loputage Google (`8.8.8.8`) ja Cloudflare (`1.1.1.1`) kasutades oma veebipuhastustööriistu, seejärel käivitage see kohalikus arvutis `ipconfig /flushdns` (Windows), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS) või `sudo resolvectl flush-caches` (Linux).

Mis juhtub meilidega, kellele saadetakse @yourdomain.com Kui meie domeen või DNS aegus 18 tundi? Kas nad on igaveseks kadunud?

Enamikul juhtudel DNS-i katkestuse esimese 12-48 tunni jooksul saadetud õiguspärased meilid EI lähe kaotsi: need on saatja meiliserveris järjekorda ja jõuavad automaatselt järgmise paari tunni jooksul. Alla **`RFC 5321` (Lihtne meiliedastusprotokoll, jaotis 4.5.4.1)**, kui saatev meiliserver (`Gmail`, `Microsoft Exchange Online`, `Postfix`) saab ajutise DNS-i otsingu tõrke (`SERVFAIL`) või ei saa ühendust luua `MX` host, asetab see kirja uuesti proovimise järjekorda **4 kuni 5 päeva (`96 to 120 hours`)**, proovib uuesti eksponentsiaalse tagasilöögiga. Kui aga registripidaja aegunud parkimislehel oli **wildcard null `MX` rekord (`0 .`)** või parkimise meiliserver, mis lükkas kirjad tagasi kõvaga `550 5.1.1 User Unknown` alaline tagasipõrge, said need saatjad kohe tagasipõrgeteate ja peavad oma meilid uuesti saatma.

Kas ma saan korraga seadistada kaks DNS-i pakkujat (Cloudflare + Route 53) lihtsalt loetledes kaks Cloudflare'i NS rekordid ja kaks marsruuti 53 NS registreerib minu registripidaja?

jah, nii kaua kui `DNSSEC` on keelatud (või õigesti seadistatud `RFC 8901` Multi-Signer DNSSEC) ja mõlemad pakkujad teenindavad identseid DNS-kirjeid. Rekursiivsed lahendajad teevad päringu kõigist loetletud vanematest `NS` kirjed kasutades ring-robin/RTT latentsuse valikut (`SRTT`). Kui loetlete `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`ja `ns2.providerB.com` oma registripidaja kohandatud nimeserverites ja hoidke mõlemad tsoonid sünkroonituna, kasutades **OctoDNS**, **DNSControl**, **Terraform** või `AXFR / IXFR` tsooniülekandeid, elab teie domeen automaatselt üle 100-protsendilise mõlema DNS-i pakkuja katkestuse.

Mis vahe on clientHold ja serverHold WHOISis?

EPP olekukoodid, mis algavad **`client...`** (`clientHold`, `clientTransferProhibited`) on määranud teie **domeeniregistripidaja** (jaemüüja, kes haldate oma kontot, nt Namecheap või GoDaddy) ja teie registripidaja tugi- või arveldussüsteem saab need kohe eemaldada. Olekukoodid, mis algavad tähega **`server...`** (`serverHold`, `serverTransferProhibited`) määrab otse **TLD registrioperaator** (`Verisign`, `PIR`, `Nominet`).

Seotud juhendid

Allikad ja ametlikud juhised

  • Internet Corporation for Asigned Names and Numbers (ICANN): Aegunud registreerimise taastamise eeskirjad (ERRP), Aegunud domeeni kustutamise poliitika (EDDP), registritevahelise ülekande poliitika (60-päevane registreerijavahetuse lukk) ja EPP olekukoodide viide (clientHold, redemptionPeriod, pendingDelete).
  • Interneti-tehnoloogia töörühm (IETF):RFC 6781 (DNSSEC-i töötavad: võtmete ümberminek ja hädaolukord DS Eemaldamine) & RFC 8901 (Multi-signer DNSSEC mudelid mitme teenusepakkuja autoriteetse DNS jaoks).
  • Riiklik Standardi- ja Tehnoloogiainstituut (NIST) (Ameerika Ühendriigid): Eriväljaanne 800-81-2: Turvaline domeeninimesüsteem (DNS) Kasutusjuhend.
  • Küberturvalisuse ja infrastruktuuri turvaagentuur (CISA) (Ameerika Ühendriigid): Hädaolukorra direktiiv 19-01: DNS-infrastruktuuri rikkumiste leevendamine.
  • Euroopa Liidu Küberjulgeolekuagentuur (ENISA): NIS2 tehniline juhend DNS-teenuse pakkujatele ja tippdomeeninimeregistritele.