Izpad registrarja domene ali ponudnika DNS: potečeno obdobje odloga za unovčenje domene, DNSSEC SERVFAIL Trap in nujna selitev imenskega strežnika¶

Zbudite se in odkrijete, da je glavno spletno mesto vašega podjetja, končne točke API (api.example.com) in službeni e-poštni naslov (MX zapisi za Google Workspace ali Microsoft 365) so popolnoma nedosegljivi po vsem svetu (DNS_PROBE_FINISHED_NXDOMAIN oz SERVFAIL) je infrastrukturna kriza s popolnim izpadom električne energije. Za razliko od enega samega zrušenega spletnega strežnika, ki vpliva na eno storitev, sistem domenskih imen (DNS) ali napaka pri registraciji domene prekine vse posamezne storitve pod vašo korensko domeno hkrati, vključno z enotno prijavo (SSO), portale za podporo strankam in dohodna e-poštna sporočila z odzivi na incidente. V praksi globalne izpade domene izvirajo iz treh različnih sprožilcev: (1) naključnega poteka domene, ko je kreditna kartica v evidenci potekla in je registrar ugrabil vašo NS zapise, ki kažejo na stran za parkiranje s plačilom na klik 24 to 48 hours pred dejanskim datumom poteka; (2) napad DDoS ali izpad nadzorne ravnine pri vašem avtoritativnem ponudniku DNS (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); ali (3) pokvarjen DNSSEC (DS zapis) veriga zaupanja med hitrim preklopom imenskega strežnika, ki povzroči preverjanje razreševalcev (8.8.8.8, 1.1.1.1, razreševalci ISP), s katerimi boste zmanjšali 100 odstotkov prometa SERVFAIL. Če je napadalec ogrozil vaše poverilnice za prijavo v registrar in zlonamerno prenesel ali spremenil vašo domeno, preklopite na ugrabitev imena domene, potekel DNS in prevzem spletne strani; če je vaše potrdilo TLS poteklo ali se je pokvarilo po obnovitvi DNS, glejte Potrdilo SSL/TLS je poteklo v proizvodnji, prednaložena blokada HSTS in obnovitev v sili in Zaklepanje skrbnika domene po meri Google Workspace ali Microsoft 365 in preverjanje DNS. Če ta izpad onemogoči bolnišnične klinične komunikacije, 911/112 dispečersko usmerjanje ali kritične javne službe, pokličite svojo lokalno številko za klic v sili (911 v ZDA in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu) ali si oglejte naš imenik številke za klic v sili.

Naredi to zdaj¶

1. V 10 sekundah diagnosticirajte, ali je napaka potekla/prekinjena domena (EPP Status), izpad avtoritativnega ponudnika DNS ali a DNSSEC Napaka pri preverjanju:
2. Teči whois yourdomain.com | grep -iE "Status|Expiry|Name Server" in dig +trace yourdomain.com.
3. Preizkusite, ali poteka obvod DNSSEC potrditev (+cd = Preverjanje onemogočeno) poskrbi, da se vaša domena znova razreši:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Če prvi ukaz vrne status: SERVFAIL medtem ko drugi ukaz (+cd) se takoj vrne status: NOERROR z naslovom IP vašega strežnika, vaši strežniki DNS NISO izklopljeni: vaš DNSSEC (DS zapis pri matičarju) je pokvarjen. Takoj skočite na fazo 3, da izbrišete zastarelo DS zapis pri vašem matičarju.
4. Če je vaša domena potekla (Auto-Renew Grace Period oz Redemption Grace Period), se takoj prijavite v svojega trenutnega registrarja in plačajte pristojbino za obnovitev/odkup; NE čakajte, da domena "pade", da jo lahko ugodno ponovno registrirate:
5. V prvih 1 do 45 dneh po izteku (Auto-Renew Grace Period), obnovitev na nadzorni plošči vašega registrarja obnovi vaše prvotne imenske strežnike po standardnih stroških obnovitve ($10 to $30).
6. V 30-dnevnem Redemption Grace Period (RGP / redemptionPeriod) morate plačati obvezno pristojbino za odkup registra ($80 to $250) prek vašega trenutnega registrarja. Če počakate, da domena konča 5-dnev Pending Delete faza za shranjevanje $100, avtomatizirani ostrostrelci za lovljenje padcev (DropCatch, SnapNames, NameJet) bo ugrabil vašo domeno znotraj 5 milliseconds sprostitve in ga prodali na dražbi za več tisoč dolarjev.
7. NIKOLI ne spreminjajte svojih imenskih strežnikov (NS) stran od ponudnika DNS, ki podpira DNSSEC (kot je Cloudflare, Route 53 ali Google Cloud DNS), ne da bi odstranili DS najprej zabeležite pri svojem matičarju: Če DNSSEC je omogočen in zamenjate svoj NS zapise rešilnemu ponudniku DNS med izpadom brez izbrisa nadrejenega DS (Delegation Signer) zapis v .com / .org Prvič, v coni TLD, bo vsak potrditveni razreševalec na Zemlji zavrnil nepodpisane odgovore novega ponudnika DNS kot napad kriptografskega ponarejanja (SERVFAIL).
8. Če ste zaklenjeni iz svojega podjetja @yourdomain.com e-pošta, ker je vaša domena MX zapisov ni, NE kliknite »Pošlji kodo za ponastavitev gesla na admin@yourdomain.com" pri vašem registrarju: Medtem ko je vaša domena NS oz MX zapisi so brez povezave, morebitna potrditvena e-pošta je poslana na @yourdomain.com odskoči ali izgine v čakalno vrsto. Uporabite SMS/Authenticator MFA vašega registrarja, rezervno e-pošto zunaj povezave (@gmail.com / @proton.me) ali potek preverjanja telefonske identitete.
9. Po obnovitvi domene, ki je potekla, ročno preverite, ali je vaš registrar obnovil vaše izvirne strežnike imen po meri (NS), namesto da bi domeno pustili vključeno sedoparking.com / renewyourname.net: Ko domena poteče, registrarji prepišejo vašo po meri NS zapisi s strežniki imen parkiranja (ns1.parklogic.com, dns1.name-services.com). Včasih plačilo podaljšanja posodobi datum poteka na naslednje leto, medtem ko pusti parkirne imenske strežnike aktivne, dokler jih ročno ne preklopite nazaj.
10. Izprazni globalne javne rekurzivne predpomnilnike DNS (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) drugi tvoj NS oz DS zapisi so obnovljeni: Namesto čakanja od 24 do 48 ur na predpomnjeno shranjevanje NXDOMAIN ali stran za parkiranje NS zapisi potečejo naravno, sproži takojšnje globalno čiščenje predpomnilnika v Googlovem javnem DNS (developers.google.com/speed/public-dns/cache) in Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Odločitveno drevo: globalna domena ali zatemnitev DNS v sili¶

S tem diagramom poteka natančno določite plast hierarhije DNS (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, oz Authoritative Nameserver), kjer razrešitev ne uspe:

flowchart TD
    Start["Globalni izpad: domenski splet in e-pošta nista uspela odpraviti (NXDOMAIN / SERVFAIL)"] --> RunDiag["Zaženite: whois domain.com IN poiščite @8.8.8.8 domain.com +cd"]

    RunDiag --> CheckCD{"Ali dig @8.8.8.8 domain.com ne uspe, dodajanje +cd pa uspe?"}

    CheckCD -->|"Da: deluje z +cd, ne deluje brez +cd"| DnssecBreak["Prekinjena veriga zaupanja DNSSEC: izbrišite zastareli zapis DS pri registrarju ALI ponovno podpišite območje -> Izpraznite 8.8.8.8 & 1.1.1.1"]

    CheckCD -->|"Ne: Oboje ne uspe ali vrne parkirni IP"| CheckWhois{"Preverite status in datum poteka domene WHOIS EPP"}

    CheckWhois -->|"Status: clientHold ali serverHold"| HoldState["Registrar/začasna izključitev registra: takoj dokončajte preverjanje e-pošte ICANN RAA ALI zlorabo/zaračunavanje"]

    CheckWhois -->|"Datum poteka potekel (stanje: autoRenewPeriod)"| GraceRenew["1. do 45. dan po izteku veljavnosti: plačajte standardno obnovitev na portalu Registrar -> Verify Custom NS Restored"]

    CheckWhois -->|"Status: redemptionPeriod (RGP)"| RgpRestore["45. do 75. dan po izteku: odprite nujni dokument za podporo registrarju / plačajte pristojbino za obnovitev RGP (80-250 USD) takoj"]

    CheckWhois -->|"Stanje: v teku Izbriši"| PendingDel["Končno 5-dnevno zaklepanje: ni ga mogoče obnoviti pri registrarju -> Oddajte neizpolnjena naročila pri vseh večjih lovilcih kapljic zdaj"]

    CheckWhois -->|"Status: v redu / clientTransferProhibited IN potek v prihodnosti"| AuthDown["Registracija domene je zdrava -> Izpad pri avtoritativnem ponudniku DNS ali manjkajoče območje"]

    AuthDown --> MigrateNS["Uvozi datoteko območja (`BIND` / Terraform) v sekundarnega ponudnika DNS -> Odstrani zapis DS, če je DNSSEC vklopljen -> Posodobi NS pri registrarju"]

Faza 1: Življenjski cikel poteka domene ICANN (Auto-Renew vs. Redemption vs. Pending Delete)¶

Ko generična vrhnja domena (gTLD kot npr .com, .net, .org, .io, .ai, .co, .app, .dev) poteče, ker samodejno podaljšanje kreditne kartice ni uspelo ali je bila finančna kartica preklicana po odhodu zaposlenega, gre domena skozi strog večstopenjski življenjski cikel, ki ga ureja Politika ICANN o obnovitvi potekle registracije (ERRP) in pogodbe o upravljanju registra (Verisign za .com/.net, PIR za .org, Identity Digital).

Kako domena odmre in zakaj preneha s povezavo PRED ali NA 1. dan poteka¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Primerjajte svoje natančne pravice, stroške in obnovitvena dejanja v vseh fazah poteka, vključno z domenami najvišje ravni s kodo države (ccTLDs kot .uk, .de, .eu, .ca, .au), ki ne sledijo ICANN-u gTLD pravila:

2. faza: Postopna izterjava pretečenega oz RedemptionPeriod domena¶

Upoštevajte to natančno zaporedje, da potečeno domeno v najkrajšem možnem času ponovno vzpostavite na spletu:

1. korak: Znova pridobite dostop do svojega registrskega računa, ko @yourdomain.com e-pošta je mrtva¶

Tukaj je klasični Catch-22 domene, ki je potekla: - Vaša domena (company.com) potekel, torej MX zapisi za company.com nehal reševati. - Poskušate se prijaviti v registrarja domen (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), in registrar reče: "Poslali smo 6-mestno potrditveno kodo na admin@company.com." - Ker company.com potekel, to e-poštno sporočilo ne more nikoli prispeti.

Kako takoj prekiniti e-poštno zanko s pretečeno domeno: 1. NE prenašajte ali spreminjajte še ničesar: preverite, ali lahko zavrtite začasni lovilec pošte v sili SAMO, če domena ni potekla (če je sama domena potekla na ravni TLD, MX ne more rešiti nikjer, dokler ni obnovljen). 2. Uporabite registrarjev kanal za obnovitev računa "Izgubljen dostop do e-pošte / Domena je potekla": - Skoraj vsi registrarji, akreditirani pri ICANN-u, zagotavljajo namenski potek dela za preverjanje telefonske številke ali vladne izkaznice/dokumenta o ustanovitvi podjetja posebej za stranke, katerih prijavni e-poštni naslov @ potečeno domeno znotraj računa. - Preden pokličete podporo registrarju, imejte pripravljene tri elemente: (a) zadnje 4 številke kreditne kartice ali ID transakcije PayPal, uporabljene na prejšnjem računu za podaljšanje, (b) vaš ID računa registratorja / PIN stranke in © državno osebno izkaznico s fotografijo + statut / račun za komunalne storitve, ki se ujema z organizacijo registranta WHOIS (Tech / Admin / Registrant). 3. Ko se prijavite, nemudoma spremenite svoj e-poštni naslov računa Registrar v zunanjo domeno (@gmail.com, @proton.me, ali ločeno domeno za nujne primere, ki jo imate) in omogočite Varnostni ključ strojne opreme (FIDO2) ali TOTP Authenticator App MFA, tako da prijava nikoli ni odvisna od @company.com znova po e-pošti.

2. korak: Izvedite obnovitev oz RedemptionPeriod (RGP) Obnovi¶

1. Če je domena v 1. stopnji (Auto-Renew Grace Period, dnevi 1 do 30/45):
2. Pojdite na Obračun -> Podaljšanja ali Seznam domen -> Filter poteklih in plačajte račun za podaljšanje.
3. Kritično preverjanje 60 sekund po plačilu: Odprite imenske strežnike (NS) nastavitve na nadzorni plošči registrarja. Preverite, ali je registrar samodejno vrnil vaše prave imenske strežnike (npr. ns-123.awsdns-15.com oz ada.ns.cloudflare.com) ali zapustili domeno, ki kaže na njene strežnike za parkiranje s potekom (ns1.sedoparking.com / dns1.registrar-servers.com). Če so parkirni strežniki še vedno navedeni, ročno znova vnesite svoje produkcijske imenske strežnike in shranite.
4. Če je domena v fazi 2 (Redemption Grace Period / redemptionPeriod, dnevi 30/45 do 75):
5. Oglejte si ločen zavihek znotraj nadzorne plošče registrarja, ki je pogosto označen z Potekle domene -> Unovčenje, Smetnjak / Obnovitev ali Zaračunavanje za odplačilo/odkup.
6. Plačajte pristojbino za obnovitev RGP + 1-letno podaljšanje.
7. Kako deluje obnovitev RGP v registru (Verisign / PIR)? Ko plačate pristojbino RGP, vaš registrar pošlje EPP <update><restore op="request"> ukaz v register TLD. Register takoj spremeni status domene iz redemptionPeriod do pendingRestore in postavi vašo domeno NS zapise nazaj v korensko cono TLD v 15 do 60 minutah, medtem ko vaš registrar predloži restore op="report" potrditev skladnosti.

3. korak: S čiščenjem obidite zakasnitve predpomnilnika lokalnega ponudnika internetnih storitev 8.8.8.8 in 1.1.1.1¶

Ko je vaša domena potekla, so rekurzivni razreševalci DNS po vsem svetu predpomnili parkirne imenske strežnike ali negativne NXDOMAIN odgovor (ki ga urejajo TLD-ji SOA Minimum TTL, običajno 900 do 3,600 sekund, oz 86,400 sekund za NS zapisi). Trenutek dig @a.gtld-servers.net yourdomain.com NS (sprašuje po .com neposredno korenski strežnik) znova prikaže vaše prave proizvodne imenske strežnike: 1. Odprite Google Public DNS Flush Cache (https://developers.google.com/speed/public-dns/cache): - Vrsta splakovanja NS najprej za yourdomain.com, nato splakni SOA, A, AAAA, MX in TXT. 2. Odprite Cloudflare 1.1.1.1 Purge Cache (https://one.one.one.one/purge-cache/): - Čiščenje NS, A, AAAA in MX za yourdomain.com.

3. faza: Imenski strežnik za nujne primere (NS) Selitev med izpadom ponudnika DNS (in DNSSEC past)¶

Kaj pa, če je vaša registracija domene 100-odstotno veljavna in ni potekla, vendar vaš Avtoritativni ponudnik DNS (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) trpi zaradi katastrofalnega izpada ali napada DDoS, zato morate preseliti imenske strežnike svoje domene (NS) rezervnemu ponudniku DNS prav zdaj?

Morilec migracij št. 1: Preklapljanje NS Medtem ko DNSSEC (DS Snemanje) je omogočeno¶

Pred menjavo singla NS zapis pri vašem registrarju, zaženite ta ukaz, da preverite, ali DNSSEC je omogočen na vaši domeni v nadrejenem registru TLD:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Kontrolni seznam za varno migracijo imenskega strežnika v sili (nič SERVFAIL postopek)¶

1. Najprej rekonstruirajte ali uvozite celotno datoteko območja DNS pri novem ponudniku DNS:
2. Nikoli ne uganite svojih zapisov DNS iz spomina (@, www, in api redko so edini zapisi; pozabljanje MX, SPF/TXT, DKIM, _dmarc, autodiscover, oz CAA prekine dostavo e-pošte in podaljšanje TLS).
3. Kje najti celotno območje DNS, ko nadzorna plošča vašega primarnega ponudnika DNS ne deluje:
   • Preverite infrastrukturo kot kodo (Terraform, Pulumi, OctoDNS, DNSControl) v vašem repozitoriju Git.
   • Preverite nedavne izvoze con (BIND .zone datoteke) ali preiščite zgodovinske baze podatkov DNS (SecurityTrails, ViewDNS.info, DNSDumpster, oz Censys / crt.sh za poddomene).
   • Predpomnjeni zapisi poizvedb še vedno v javnih rekurzivnih razreševalcih (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A), preden jim poteče TTL.
4. Preverite, ali novi ponudnik DNS avtoritativno odgovarja za vsak kritičen zapis, PREDEN se dotaknete svojega registrarja: Recimo, da vam je dodelil vaš novi ponudnik ns1.rescuedns.com in ns2.rescuedns.com. Preizkusite jih neposredno z dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   Počakajte do flags: vrstica v dig glava izrecno vključuje aa (Authoritative Answer) in vrne status: NOERROR.
5. ** Če dig +short yourdomain.com DS vrnil a DS record, handle DNSSEC pri tajniku**:
6. Med aktivnim izpadom, ko je stari ponudnik DNS popolnoma nedosegljiv: prijavite se v svoj Registrar domene (kjer ste kupili domeno), pojdite na razdelek DNSSEC / DS Records in izbrišite vse DS zapisi, tako da se domena vrne v nepodpisano (Insecure) v nadrejenem območju TLD. Počakajte, da dig +short yourdomain.com DS @a.gtld-servers.net vrne prazno (in izplakne DS v 8.8.8.8 / 1.1.1.1) ali dodajte novega ponudnika DNS DS zapis poleg starega, če izvajate načrtovano selitev z več podpisniki.
7. Posodobite imenske strežnike (NS) pri vašem Registrarju domen: Zamenjajte mrtve imenske strežnike z ns1.rescuedns.com in ns2.rescuedns.com v plošči Imenski strežniki po meri vašega registrarja (opomba: sprememba NS zapisi znotraj urejevalnika con ne naredijo ničesar, ko so stari strežniki mrtvi; spremeniti morate Glue / Parent Delegation Nameservers na ravni Registrarja).
8. Čiščenje NS in DS predpomnilniki v Googlu (8.8.8.8) in Cloudflare (1.1.1.1): Uporabite orodja za čiščenje javnega predpomnilnika iz 2. faze in 3. koraka, da vsilite takojšnjo sprejetje novih imenskih strežnikov.

Faza 4: Preživetje 60-dnevne blokade prenosa registrarja ICANN v nujnih primerih¶

Kaj pa, če morate svojo domeno prenesti k novemu registrarju (ICANN Inter-Registrar Transfer), samo da te blokira Domain Status: clientTransferProhibited in sporočilo, ki pravi: "Ta domena je pod 60-dnevnim zaklepanjem prenosa ICANN, ker so bili kontaktni podatki nedavno posodobljeni"?

1. Zakaj se je sprožilo 60-dnevno zaklepanje: V skladu s Politiko prenosa ICANN (razdelek II.C.1) registrarji postavijo 60-dnevno zaklepanje prenosa vsakič, ko je domena na novo registrirana, prenesena med registratorji ali je podvržena »spremembi registranta« (posodobitev imena, priimka, imena organizacije ali e-poštnega naslova kontakta registranta).
2. Kako zaobiti ali onemogočiti 60-dnevno zaklepanje za spremembo registranta:
3. Pred urejanjem kontaktnih podatkov WHOIS: Skoraj vsi večji registratorji ponujajo potrditveno polje neposredno na zaslonu za urejanje stikov z oznako: »Odjavi se od 60-dnevnega zaklepanja prenosa po tej posodobitvi stika.« Če potrdite to polje, lahko posodobite svoj e-poštni naslov skrbnika/registracijskega zavezanca in kljub temu ustvarite EPP Auth-Code (Transfer Secret) za prenos domene še isti dan.
4. Ne pozabite, da vam NI treba prenesti registracije domene, če želite zamenjati ponudnika DNS: tudi če je domena zaklenjena 60 dni proti prenosom registratorja (clientTransferProhibited), še vedno lahko spremenite njegove Imenske strežnike (NS evidence) pri trenutnem matičarju kadarkoli z nič čakalno dobo; zamenjava DNS traja nekaj minut, medtem ko popoln prenos registrarja traja do 5 do 7 dni, razen če registrar, ki izgubi, takoj klikne Odobri odhodni prenos (FOa) gumb.

Faza 5: Okrepitev registracij domen in DNS pred prihodnjimi izpadi¶

Ko sta vaša domena in razrešitev DNS 100-odstotno obnovljeni, izpolnite ta kontrolni seznam za odpornost:

• Omogoči Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) na kritičnih produkcijskih domenah: Standardno Registrar Lock (clientTransferProhibited) lahko izklopite z enim samim klikom, če napadalec ugrabi vašo prijavo v registrar. Zaklepanje registra (ponujajo ga Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi in Porkbun/Namecheap za podjetniške domene) zaklene domeno neposredno na ravni registra TLD in zahteva izvenpasovno glasovno/kriptografsko preverjanje več oseb pred kakršnim koli NS zapis lahko spremenite ali domeno izbrišete.
• Produkcijske domene podaljšajte za 5 do 10 let vnaprej (ICANN maximum horizon is 10 years): Nikoli ne pustite poslovno kritične domene pri obnavljanju iz leta v leto, kjer lahko ena sama potekla kreditna kartica podjetja povzroči izpad poteka. Predplačilo za 5 do 10 let naenkrat.
• Nikoli ne uporabljajte @yourdomain.com e-poštni naslov kot kontakt za prijavo ali obveščanje o obračunu pri upravljanju registrarja yourdomain.com: Uporabite namenski varnostni distribucijski seznam na neodvisni skrbniški domeni ali utrjenem zunanjem računu in spremljajte RDAP / WHOIS datumi poteka prek avtomatiziranih zunanjih nadzornikov Prometheus/Uptime (domain_expiry_days < 60).
• Nižje NS in DS TTL (300 do 3600 sekund) 48 ur pred načrtovano selitvijo DNS: vnaprejšnje znižanje TTL-jev zagotavlja preklop razreševalnikov v 5 minutah po načrtovanem preklopu.

Regionalne številke za klic v sili in protokoli agencije¶

Ko izpad domene ali DNS vpliva na zdravstvene ustanove, službe za nujno pomoč, občinske javne službe ali vladno infrastrukturo, sledite tem regionalnim kanalom za eskalacijo:

• Združene države in Kanada: Pokličite 911 če izpad domene/DNS onemogoči klinično bolnišnično telemetrijo, odpremo reševalnega vozila ali sisteme za življenjsko varnost. Prijavite napade DDoS na infrastrukturo DNS ali ugrabitev BGP/DNS na CISA (1-844-Say-CISA / cisa.gov/report), FBI IC3 (ic3.gov) ali Kanadski center za kibernetsko varnost (1-833-CYBER-88). Za .gov domene, se obrnite na CISA .gov Služba za pomoč registrarju.
• Združeno kraljestvo: Pokliči 999 za nevarnosti za življenje ali akutne motnje NHS. Prijavite kritične izpade DNS ali ugrabitve domene NCSC (ncsc.gov.uk) in kontaktirajte Nominet (01865 332244) neposredno za nujno .uk / .gov.uk / .nhs.uk težave z registrom.
• Evropska unija: Pokličite 112 v vseh državah članicah EU. Ponudnike storitev DNS in registre imen TLD ureja EU NIS2 Direktiva (Directive 2022/2555) in morajo v 24 urah poročati o pomembnih incidentih glede razpoložljivosti svojemu nacionalnemu CSIRT.
• Avstralija in Nova Zelandija: Pokličite 000 v Avstraliji ali 111 na Novi Zelandiji; poročajte o kritičnih dogodkih DNS ali domene ACSC (1300 CYBER1), auDA (za .au), ali Domain Name Commission NZ (za .nz).
• Indija in Azija-Pacifik: Pokličite 112 v Indiji za ukrepanje v sili; prijavite napade na infrastrukturo DNS/domene CERT-In (incident@cert-in.org.in) v roku 6 ur ali NIXI za .in eskalacije registra.

Pogosta vprašanja¶

Zakaj je moja domena prenehala delovati 24 ur PRED uradnim časovnim žigom poteka WHOIS?¶

Najprej preverite časovne pasove: WHOIS `Registry Expiry Date` je vedno natisnjeno v **UTC (`Z`)**, kar je 4 do 8 ur pred severnoameriškimi časovnimi pasovi (kar pomeni, da domena poteče ob `2026-11-01T04:00:00Z` dejansko poteče ob `8:00 PM PDT` 31. oktobra). Drugič, če vaš `NS` zapisi so imeli a `24-hour` oz `48-hour` TTL in registrar sta ju zamenjala `00:00 UTC` na dan izteka uporabniki, katerih razreševalci so bili zgodaj osveženi, takoj pridejo na parkirno stran, medtem ko drugi ostanejo predpomnjeni več ur.

Moj registrar popolnoma ne deluje ali se ne odziva (Dead / De-accredited Registrar), moja domena pa poteče. Kako naj ga rešim?¶

Ko ICANN prekine ali odvzame akreditacijo neuspešnemu registrarju v skladu s **postopkom za prenos akreditiranih registrarjev (`DARTP`)**, ICANN samodejno množično prenese vse domene na pridobitvenega skrbniškega registrarja brez stroškov za registrante. Preverite `whois yourdomain.com` (oz `lookup.icann.org`), če želite videti, kateri **Registrar** in **IANA ID** ima trenutno vašo domeno, ali vložite nujno **Pritožbo glede podaljšanja/prenosa domene** neposredno pri **Oddelku za skladnost s pogodbami ICANN (`icann.org/compliance/complaint`)**.

Zakaj moje spletno mesto deluje za nekatere stranke na mobilnih podatkih, vendar še vedno prikazuje potečeno stran za parkiranje v naši pisarni Wi-Fi 6 ur po tem, ko sem obnovil domeno?¶

Vaše pisarniško omrežje ali rekurzivni razreševalec DNS lokalnega ponudnika internetnih storitev je predpomnil parkirno stran registrarja `NS` in `A` zapisov, medtem ko je domena potekla, parkirni imenski strežniki pa so zloglasno nastavili visoke TTL (`3,600` do `86,400` sekund / 24 ur), tako da strani oglasov ostanejo predpomnjene dlje. Izprazni Google (`8.8.8.8`) in Cloudflare (`1.1.1.1`) z njihovimi orodji za spletno čiščenje, nato pa v lokalnem računalniku zaženite `ipconfig /flushdns` (Windows), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS), oz `sudo resolvectl flush-caches` (Linux).

Kaj se zgodi z e-poštnimi sporočili, poslanimi na @yourdomain.com Medtem ko je naša domena ali DNS potekel 18 ur? Ali so za vedno izgubljeni?¶

V večini primerov zakonita e-poštna sporočila, poslana v prvih 12 do 48 urah po izpadu DNS, se NE izgubijo: postavljena so v čakalno vrsto na pošiljateljevem poštnem strežniku in bodo samodejno prispela v naslednjih nekaj urah. Pod **`RFC 5321` (Simple Mail Transfer Protocol, razdelek 4.5.4.1)**, ko pošiljateljski poštni strežnik (`Gmail`, `Microsoft Exchange Online`, `Postfix`) pride do začasne napake pri iskanju DNS (`SERVFAIL`) ali se ne more povezati z `MX` gostitelj, sporočilo postavi v čakalno vrsto za ponovne poskuse za **4 do 5 dni (`96 to 120 hours`)**, ponovni poskus z eksponentnim odmikom. Če pa je parkirna stran s pretečenim rokom registratorja vključevala **nič nadomestnega znaka `MX` zapis (`0 .`)** ali parkirni poštni strežnik, ki je zavrnil pošto s trdim `550 5.1.1 User Unknown` trajno zavrnitev, so ti pošiljatelji prejeli takojšnje obvestilo o zavrnitvi in morajo znova poslati svoja e-poštna sporočila.

Ali lahko nastavim dva ponudnika DNS hkrati (Cloudflare + Route 53) preprosto tako, da navedete dva Cloudflareja NS zapisov in dve Route 53 NS evidence pri mojem matičarju?¶

ja dokler `DNSSEC` je onemogočen (ali pravilno konfiguriran z `RFC 8901` Multi-Signer DNSSEC) in oba ponudnika služita enakim zapisom DNS. Rekurzivni razreševalci poizvedujejo po vseh navedenih nadrejenih `NS` zapisi z uporabo krožne izbire zakasnitve RTT (`SRTT`). Če seznam `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`, in `ns2.providerB.com` v imenskih strežnikih po meri vašega registrarja in ohranjajte obe coni sinhronizirani z uporabo **OctoDNS**, **DNSControl**, **Terraform** ali `AXFR / IXFR` conskih prenosov, vaša domena samodejno preživi 100-odstotni izpad katerega koli od ponudnikov DNS.

Kakšna je razlika med clientHold in serverHold v WHOIS?¶

Statusne kode EPP, ki se začnejo z **`client...`** (`clientHold`, `clientTransferProhibited`) nastavi vaš **Registrar domene** (prodajalec, pri katerem upravljate svoj račun, na primer Namecheap ali GoDaddy) in jih lahko takoj odstrani podpora vašega registrarja ali sistem zaračunavanja. Statusne kode, ki se začnejo z **`server...`** (`serverHold`, `serverTransferProhibited`) nastavi neposredno **Upravljavec registra TLD** (`Verisign`, `PIR`, `Nominet`) zaradi sodnih odredb, sporov UDRP, začasnih ustavitev zaradi zlorabe na ravni registra ali **zaklepanja registra** strojne opreme in za odpravo zahtevajo stik z registrom prek vašega registrarja.

Sorodni vodniki¶

• Ugrabitev imena domene, potekel DNS in prevzem spletne strani
• Potrdilo SSL/TLS je poteklo v proizvodnji, zaklepanje prednalaganja HSTS, blokada zapisa CA CAA in obnovitev v sili
• Zaklepanje skrbnika domene po meri Google Workspace ali Microsoft 365, preverjanje DNS TXT in reševanje najemnika
• Ugrabitev DNS, ponovna konfiguracija usmerjevalnika WAN ponudnika internetnih storitev in ponarejanje prestreznega portala
• Kriza spletnega gostovanja, selitev in obnovitev varnostne kopije
• Številke za klic v sili po državah

Viri in uradna navodila¶

• Internetna družba za dodeljevanje imen in številk (ICANN): Potekel pravilnik o obnovitvi registracije (ERRP), Politika izbrisa potekle domene (EDDP), Politika prenosa med registratorji (60-dnevno zaklepanje za spremembo registranta) in Referenca statusnih kod EPP (clientHold, redemptionPeriod, pendingDelete).
• Projektna skupina za internetni inženiring (IETF): RFC 6781 (Operativne prakse DNSSEC: ključni preklopi in nujni primeri DS Odstranitev) & RFC 8901 (Modeli DNSSEC z več podpisniki za avtoritativni DNS z več ponudniki).
• Nacionalni inštitut za standarde in tehnologijo (NIST) (Združene države): Posebna publikacija 800-81-2: Varen sistem domenskih imen (DNS) Vodnik za uvajanje.
• Agencija za kibernetsko varnost in varnost infrastrukture (CISA) (Združene države): Direktiva za nujne primere 19-01: Zmanjšanje poseganja v infrastrukturo DNS.
• Agencija Evropske unije za kibernetsko varnost (ENISA): tehnična navodila NIS2 za ponudnike storitev DNS in registre imen TLD.