Kukatika kwa Msajili wa Kikoa au Mtoa Huduma wa DNS: Kipindi cha Neema cha Ukombozi cha Kikoa Kilichokwisha, DNSSEC SERVFAIL Mtego, na Uhamiaji wa Jina la Dharura¶

Kuamka na kugundua kuwa tovuti ya msingi ya kampuni yako, miisho ya API (api.example.com), na barua pepe ya shirika (MX rekodi za Google Workspace au Microsoft 365) hazipatikani kabisa duniani kote (DNS_PROBE_FINISHED_NXDOMAIN au SERVFAIL) ni tatizo kubwa la miundombinu. Tofauti na seva moja ya wavuti iliyoanguka ambayo inaathiri huduma moja, Mfumo wa Jina la Kikoa (DNS) au kutofaulu kwa usajili wa kikoa kunatenga kila huduma chini ya kikoa chako cha mizizi kwa wakati mmoja, ikijumuisha Kuingia Mara Moja (SSO), lango la usaidizi kwa wateja, na barua pepe zinazoingia za majibu ya matukio. Kiutendaji, kukatika kwa kikoa duniani kote kunatokana na vichochezi vitatu tofauti: (1) kuisha kwa kikoa kwa bahati mbaya ambapo muda wa kutumia kadi ya mkopo kwenye faili uliisha na msajili akateka nyara yako. NS rekodi za kuelekeza kwenye ukurasa wa maegesho wa kulipia kwa kubofya 24 to 48 hours kabla ya tarehe halisi ya kumalizika muda wake; (2) shambulio la DDoS au kukatika kwa ndege kwa mtoa huduma wako wa DNS aliyeidhinishwa (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); au (3) iliyovunjika DNSSEC (DS rekodi) mlolongo wa uaminifu* wakati wa swichi ya haraka ya nameserver ambayo husababisha kuhalalisha visuluhishi (8.8.8.8, 1.1.1.1, wasuluhishi wa ISP) ili kupunguza asilimia 100 ya trafiki yako SERVFAIL. Iwapo mshambuliaji alihatarisha kitambulisho chako cha kuingia cha msajili na kuhamisha au kubadilisha kikoa chako kwa nia mbaya, badilisha hadi utekaji nyara wa jina la kikoa, DNS iliyoisha muda wake, na unyakuzi wa tovuti; ikiwa cheti chako cha TLS kiliisha muda wake au kuharibika baada ya DNS kupata nafuu, ona Cheti cha SSL/TLS kimeisha muda wake katika uzalishaji, kuzima kwa upakiaji wa awali wa HSTS, na kusasisha dharura na Kufunga nje kwa msimamizi wa kikoa cha Google Workspace au Microsoft 365 na uthibitishaji wa DNS. Ikiwa hitilafu hii italemaza mawasiliano ya hospitali, uelekezaji wa dharura wa 911/112, au huduma muhimu za umma, piga nambari ya dharura ya eneo lako (911 nchini Marekani na Kanada, 112 katika Umoja wa Ulaya, 999 nchini Uingereza) au wasiliana na saraka yetu ya nambari za dharura.

Fanya hivi sasa¶

1. Tambua katika sekunde 10 ikiwa kutofaulu ni Kikoa Kilichopitwa na Wakati/Kilichosimamishwa (EPP Status), Kukatika kwa Mtoa Huduma wa DNS kwa Mamlaka, au a DNSSEC Kushindwa kwa Uthibitishaji:
2. Kimbia whois yourdomain.com | grep -iE "Status|Expiry|Name Server" na dig +trace yourdomain.com.
3. Jaribu ikiwa inakwepa DNSSEC uthibitisho (+cd = Kuangalia Kumezimwa) hufanya kikoa chako kusuluhisha tena:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Ikiwa amri ya kwanza inarudi status: SERVFAIL wakati amri ya pili (+cd) inarudi mara moja status: NOERROR na anwani ya IP ya seva yako, seva zako za DNS HAZIKO chini: yako DNSSEC (DS rekodi kwa msajili) imevunjwa. Rukia mara moja hadi Awamu ya 3 ili kufuta stale DS rekodi kwa msajili wako.
4. Kama kikoa chako kimeisha muda (Auto-Renew Grace Period au Redemption Grace Period), ingia kwenye msajili wako wa sasa mara moja na ulipe ada ya upya/ya kukomboa; USISUBIRI kikoa "kidondoke" ili uweze kukisajili tena kwa bei nafuu:
5. Wakati wa kwanza siku 1 hadi 45 baada ya kumalizika muda wake (Auto-Renew Grace Period), kufanya upya katika dashibodi yako ya msajili hurejesha seva zako asili kwa gharama ya kawaida ya kusasisha ($10 to $30)
6. Wakati wa siku 30 Redemption Grace Period (RGP / redemptionPeriod), lazima ulipe ada ya lazima ya kukomboa sajili ($80 to $250) kupitia msajili wako wa sasa. Ukisubiri kikoa imalize siku 5 Pending Delete awamu ya kuokoa $100, roboti kiotomatiki za kukamata sniper (DropCatch, SnapNames, NameJet) itachukua kikoa chako ndani 5 milliseconds ya kutolewa na kuipiga mnada kwa maelfu ya dola.
7. ** KAMWE usibadilishe Majina yako (NS) mbali na mtoa huduma wa DNS aliyewezeshwa na DNSSEC (kama Cloudflare, Route 53, au Google Cloud DNS) bila kuondoa DS rekodi kwa msajili wako kwanza**: Ikiwa DNSSEC imewashwa na unabadilisha yako NS rekodi kwa mtoa huduma wa DNS wakati wa hitilafu bila kufuta mzazi DS (Delegation Signer) rekodi katika .com / .org Ukanda wa TLD kwanza, kila kisuluhishi kinachoidhinisha Duniani kitakataa majibu ambayo hayajatiwa saini ya mtoa huduma mpya wa DNS kama shambulio la upotoshaji wa kriptografia (SERVFAIL)
8. Ikiwa umefungiwa nje ya shirika lako @yourdomain.com barua pepe kwa sababu kikoa chako MX rekodi ziko chini, USIBONYE "Tuma nambari ya kuweka upya nenosiri kwa admin@yourdomain.com" kwa msajili wako: Wakati kikoa chako kiko NS au MX rekodi ziko nje ya mtandao, barua pepe yoyote ya uthibitishaji inatumwa kwa @yourdomain.com anaruka au kutoweka kwenye foleni. Tumia SMS/Kithibitishaji cha MFA cha msajili wako, barua pepe ya chelezo ya nje ya bendi (@gmail.com / @proton.me), au mtiririko wa uthibitishaji wa kitambulisho cha simu.
9. Baada ya kufanya upya kikoa kilichoisha muda wake, thibitisha wewe mwenyewe kwamba Msajili wako amerejesha Seva zako za awali za Majina (NS) badala ya kuacha kikoa kikiwa kimewashwa sedoparking.com / renewyourname.net: Muda wa kikoa unapoisha, wasajili hubatilisha desturi yako NS rekodi zilizo na majina ya maegesho (ns1.parklogic.com, dns1.name-services.com) Wakati mwingine kulipa usasishaji husasisha tarehe ya mwisho wa matumizi hadi mwaka ujao huku ukiacha seva za kuegesha zikiendelea hadi utakapozibadilisha wewe mwenyewe.
10. Osha akiba za DNS zinazojirudia za kimataifa (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) ya pili yako NS au DS rekodi zinarejeshwa: Badala ya kungoja masaa 24 hadi 48 kwa kache NXDOMAIN au ukurasa wa maegesho NS rekodi za kuisha muda wake kwa kawaida, husababisha uondoaji wa akiba wa kimataifa papo hapo kwenye Google Public DNS (developers.google.com/speed/public-dns/cache) na Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/)

Mti wa uamuzi: kikoa cha kimataifa au jaribio la dharura la DNS kuzima¶

Tumia chati hii ya mtiririko kubainisha safu halisi ya uongozi wa DNS (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, au Authoritative Nameserver) ambapo azimio linashindwa:

flowchart TD
    Start["Kukatika Ulimwenguni: Wavuti na Barua pepe ya Kikoa Inashindwa Kutatua (NXDOMAIN / SERVFAIL)"] --> RunDiag["Endesha: whois domain.com NA chimba @8.8.8.8 domain.com +cd"]

    RunDiag --> CheckCD{"Je, dig @8.8.8.8 domain.com Inashindikana, Wakati Kuongeza +cd Kumefanikiwa?"}

    CheckCD -->|"Ndiyo: Inafanya kazi na +cd, Inashindwa Bila +cd"| DnssecBreak["Msururu wa Uaminifu wa DNSSEC Uliovunjwa: Futa Rekodi ya Stale ya DS katika Msajili AU Ukanda wa Saini Upya -> Flush 8.8.8.8 & 1.1.1.1"]

    CheckCD -->|"Hapana: Imeshindwa au Kurejesha IP ya Maegesho"| CheckWhois{"Kagua Hali ya Kikoa cha WHOIS EPP & Tarehe ya Kuisha Muda wake"}

    CheckWhois -->|"Hali: clientHold au serverHold"| HoldState["Kusimamishwa kwa Msajili / Usajili: Kamilisha Uthibitishaji wa Barua pepe ya ICANN RAA AU Matumizi Mabaya/Tiketi ya Malipo Mara Moja"]

    CheckWhois -->|"Tarehe ya kumalizika muda Imepita (Hali: autoRenewPeriod)"| GraceRenew["Siku ya 1 hadi 45 Baada ya Kuisha Muda: Lipa Usasishaji Wastani katika Tovuti ya Msajili -> Thibitisha NS Maalum Imerejeshwa"]

    CheckWhois -->|"Hali: RedemptionPeriod (RGP)"| RgpRestore["Siku ya 45 hadi 75 Baada ya Kuisha Muda wake: Fungua Tiketi ya Usaidizi ya Haraka ya Msajili / Lipa Ada ya Kurejesha RGP ($80-$250) Mara Moja"]

    CheckWhois -->|"Hali: inasubiriFuta"| PendingDel["Kufuli ya Mwisho ya Siku 5: Haiwezi Kusasishwa kwa Msajili -> Weka Agizo la Nyuma kwa Washikaji Wote Wakubwa Sasa"]

    CheckWhois -->|"Hali: sawa / mtejaTransferProhibited NA Kuisha Muda Katika Wakati Ujao"| AuthDown["Usajili wa Kikoa Ukiwa na Afya -> Kukatika kwa Mtoa Huduma wa DNS au Eneo Linalokosekana"]

    AuthDown --> MigrateNS["Ingiza Faili ya Eneo (`BIND` / Terraform) kwa Mtoa Huduma wa Sekondari wa DNS -> Ondoa Rekodi ya DS ikiwa DNSSEC Imewashwa -> Sasisha NS kwenye Msajili"]

Awamu ya 1: Mzunguko wa Kuisha wa Muda wa Kikoa cha ICANN (Auto-Renew dhidi ya Redemption dhidi ya Pending Delete)¶

Wakati Kikoa cha Kiwango cha Juu cha generic (gTLD kama vile .com, .net, .org, .io, .ai, .co, .app, .dev) muda wake unaisha kwa sababu kadi ya mkopo ya kusasisha kiotomatiki imeshindwa au kadi ya fedha ilighairiwa baada ya mfanyakazi kuondoka, kikoa kinapitia mzunguko mkali wa maisha wa hatua mbalimbali unaosimamiwa na Sera ya Kurejesha Usajili Uliopita Muda wa ICANN (ERRP) na mikataba ya waendeshaji sajili (Verisign kwa .com/.net, PIR kwa .org, Identity Digital)

Jinsi kikoa kinakufa na kwa nini hakiko mtandaoni KABLA au SIKU YA 1 kuisha muda wake¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Linganisha haki zako, gharama na hatua za urejeshaji katika kila hatua ya mwisho wa matumizi, ikijumuisha Vikoa vya Kiwango cha Juu cha nchi (ccTLDs kama .uk, .de, .eu, .ca, .au), ambazo ** hazifuati** ICANN gTLD sheria:

Awamu ya 2: Ahueni ya hatua kwa hatua ya muda wake wa matumizi au RedemptionPeriod kikoa¶

Fuata mlolongo huu haswa ili kurejesha kikoa kilichoisha muda wake mtandaoni kwa muda mfupi iwezekanavyo:

Hatua ya 1: Pata tena ufikiaji wa Akaunti yako ya Msajili wakati @yourdomain.com barua pepe imekufa¶

Hapa kuna toleo la kawaida la Catch-22 la kikoa kilichoisha muda wake: - Kikoa chako (company.com) muda wake umekwisha, hivyo MX kumbukumbu kwa company.com iliacha kusuluhisha. - Unajaribu kuingia kwenye msajili wa kikoa chako (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), na msajili anasema: "Tulituma nambari ya kuthibitisha yenye tarakimu 6 kwa admin@company.com." - Kwa sababu company.com muda wake umeisha, barua pepe hiyo haiwezi kamwe kufika.

Jinsi ya kujiondoa kwenye kitanzi cha barua pepe cha kikoa kilichoisha mara moja: 1. USIHASHIE au urekebishe chochote bado: angalia ikiwa unaweza kusokota kishika barua cha dharura cha muda TU ikiwa kikoa hakijaisha muda wake (ikiwa muda wa kikoa chenyewe umeisha katika kiwango cha TLD, MX haiwezi kusuluhisha popote hadi ifanye upya). 2. Tumia Njia ya Urejeshaji ya Akaunti ya Msajili: - Takriban wasajili wote walioidhinishwa na ICANN hutoa simu maalum au kitambulisho cha serikali / uthibitishaji wa hati ya shirika-washirika mahususi kwa wateja ambao barua pepe zao za kuingia hukaa. @ kikoa kilichoisha muda ndani ya akaunti. - Kuwa na vitu vitatu tayari kabla ya kupiga simu usaidizi wa msajili: (a) ** tarakimu 4 za mwisho za kadi ya mkopo** au Kitambulisho cha muamala cha PayPal kilichotumiwa kwenye ankara ya awali ya kusasisha, (b) Kitambulisho chako cha Akaunti ya Msajili / PIN ya Mteja, na © kitambulisho cha picha ya serikali + Nakala za Usajili / bili ya matumizi inayolingana na Shirika la WHOISTech / Admin / Registrant) 3. Baada ya kuingia, badilisha mara moja anwani yako ya barua pepe ya Akaunti ya Msajili kuwa kikoa cha nje (@gmail.com, @proton.me, au kikoa tofauti cha dharura unachomiliki) na uwashe Ufunguo wa Usalama wa Vifaa (FIDO2) au Programu ya Kithibitishaji cha TOTP MFA kwa hivyo kuingia kamwe hakutegemei @company.com barua pepe tena.

Hatua ya 2: Tekeleza Usasishaji au RedemptionPeriod (RGP) Rejesha¶

1. Ikiwa kikoa kiko katika Hatua ya 1 (Auto-Renew Grace Period, Siku 1 hadi 30/45):
2. Nenda kwenye Malipo -> Usasishaji au Orodha ya Kikoa -> Kichujio Kilichokwisha Muda na ulipe ankara ya kusasisha.
3. Angalia Muhimu sekunde 60 baada ya kulipa: Fungua kikoa cha Nameservers (NS) mipangilio katika dashibodi ya msajili. Angalia ikiwa msajili hurejesha kiotomatiki seva zako halisi (kwa mfano, ns-123.awsdns-15.com au ada.ns.cloudflare.com) au kuacha kikoa kikielekeza kwenye seva zake za maegesho zilizoisha muda wake (ns1.sedoparking.com / dns1.registrar-servers.com) Ikiwa seva za maegesho bado zimeorodheshwa, ingiza mwenyewe tena seva zako za uzalishaji na uhifadhi.
4. Ikiwa kikoa kiko katika Hatua ya 2 (Redemption Grace Period / redemptionPeriod, Siku 30/45 hadi 75):
5. Angalia katika kichupo tofauti ndani ya dashibodi yako ya msajili ambayo mara nyingi huitwa Vikoa Vilivyoisha Muda -> Ukombozi, Tupio / Rejesha, au Malipo ya Neema/Ukombozi.
6. Lipa ada ya Urejeshaji wa RGP + usasishaji wa mwaka 1.
7. Urejesho wa RGP hufanyaje kazi kwenye Usajili (Verisign / PIR)? Unapolipa ada ya RGP, msajili wako hutuma EPP <update><restore op="request"> amri kwa Usajili wa TLD. Usajili hubadilisha mara moja hali ya kikoa kutoka redemptionPeriod kwa pendingRestore na kuweka kikoa chako NS inarekodi katika eneo la mizizi ya TLD ndani ya dakika 15 hadi 60 wakati msajili wako anawasilisha restore op="report" uthibitisho wa kufuata.

Hatua ya 3: Pitisha ucheleweshaji wa akiba wa ISP wa ndani kwa kusafisha 8.8.8.8 na 1.1.1.1¶

Muda wa kikoa chako ulipoisha, visuluhishi vya DNS vinavyojirudia duniani kote viliweka akiba ya seva za maegesho au hasi. NXDOMAIN majibu (inatawaliwa na TLD SOA Minimum TTL, kwa kawaida 900 kwa 3,600 sekunde, au 86,400 sekunde kwa NS kumbukumbu). wakati dig @a.gtld-servers.net yourdomain.com NS (kuhoji .com seva ya mizizi moja kwa moja) inaonyesha majina yako halisi ya uzalishaji tena: 1. Fungua Google Public DNS Flush Cache (https://developers.google.com/speed/public-dns/cache): - Aina ya kuvuta NS kwanza kwa yourdomain.com, kisha suuza SOA, A, AAAA, MX, na TXT. 2. Fungua Cloudflare 1.1.1.1 Futa Akiba (https://one.one.one.one/purge-cache/): - Safisha NS, A, AAAA, na MX kwa yourdomain.com.

Awamu ya 3: Jina la Dharura (NS) Uhamiaji Wakati wa Kukatika kwa Mtoa Huduma wa DNS (Na DNSSEC Mtego)¶

Je, ikiwa usajili wa kikoa chako ni halali kwa asilimia 100 na muda wake haujaisha, lakini Mtoa Huduma wa DNS Aliyeidhinishwa (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) inakabiliwa na kukatika kwa janga au shambulio la DDoS, na unahitaji kuhamisha Nameservers za kikoa chako (NS) kwa mtoaji chelezo wa DNS sasa hivi?

Muuaji #1 wa Uhamiaji: Inabadilisha NS Wakati DNSSEC (DS Rekodi) Imewezeshwa¶

Kabla ya kubadilisha moja NS rekodi kwa msajili wako, endesha amri hii ili kuangalia ikiwa DNSSEC imewashwa kwenye kikoa chako kwenye sajili kuu ya TLD:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Orodha ya Hakiki ya Uhamiaji ya Seva ya Dharura ya Dharura (Zero SERVFAIL Utaratibu)¶

1. Unda upya au ulete Faili yako kamili ya Eneo la DNS kwa mtoa huduma mpya wa DNS kwanza:
2. Usiwahi nadhani rekodi zako za DNS kutoka kwa kumbukumbu (@, www, na api mara chache ni rekodi pekee; kusahau MX, SPF/TXT, DKIM, _dmarc, autodiscover, au CAA huvunja utumaji barua pepe na usasishaji wa TLS).
3. Mahali pa kupata eneo lako kamili la DNS wakati dashibodi yako ya msingi ya mtoa huduma wa DNS iko chini:
   • Angalia Miundombinu-kama-Msimbo (Terraform, Pulumi, OctoDNS, DNSControl) kwenye hazina yako ya Git.
   • Angalia mauzo ya hivi majuzi ya eneo (BIND .zone faili) au tafuta hifadhidata za kihistoria za DNS (SecurityTrails, ViewDNS.info, DNSDumpster, au Censys / crt.sh kwa vikoa vidogo).
   • Rekodi zilizoakibishwa za hoja bado zimekaa ndani ya visuluhishi vinavyojirudia vya umma (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) kabla ya TTL zao kuisha.
4. Thibitisha kuwa mtoa huduma mpya wa DNS anajibu kwa njia halali kwa kila rekodi muhimu KABLA ya kugusa msajili wako: Tuseme mtoa huduma wako mpya amekupa ns1.rescuedns.com na ns2.rescuedns.com. Wajaribu moja kwa moja na dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   Subiri hadi flags: mstari katika dig kichwa kinajumuisha aa (Authoritative Answer) na kurudi status: NOERROR.
5. Kama dig +short yourdomain.com DS alirudi a DS rekodi, kushughulikia DNSSEC kwa msajili:
6. Wakati wa hitilafu amilifu ambapo mtoa huduma wa zamani wa DNS hapatikani kabisa: Ingia katika Msajili wa Kikoa chako (ambapo ulinunua kikoa), nenda kwenye sehemu ya DNSSEC / DS Records, na ufute zote DS rekodi kwa hivyo kikoa kirudi kuwa kisichotiwa saini (Insecure) hali katika eneo kuu la TLD. Subiri hadi dig +short yourdomain.com DS @a.gtld-servers.net inarudi tupu (na flush DS katika 8.8.8.8 / 1.1.1.1), au ongeza mtoa huduma wa mpya wa DNS DS rekodi pamoja na ile ya zamani ikiwa unapanga uhamiaji wa watia saini wengi.
7. ** Sasisha Majina ya Majina (NS) kwa Msajili wa Kikoa chako**: Badilisha seva za majina zilizokufa na ns1.rescuedns.com na ns2.rescuedns.com kwenye paneli ya msajili wa Custom Nameservers yako (kumbuka: kubadilisha NS rekodi ndani ya kihariri cha eneo hafanyi chochote wakati seva za zamani zimekufa; lazima ubadilishe Glue/Vitumishi vya Majina vya Ujumbe wa Mzazi katika kiwango cha Msajili).
8. Safisha NS na DS akiba kwenye Google (8.8.8.8) na Cloudflare (1.1.1.1): Tumia zana za kusafisha akiba ya umma kutoka Awamu ya 2 Hatua ya 3 ili kulazimisha kupitishwa mara moja kwa seva mpya za majina.

Awamu ya 4: Kunusurika Kufuli ya Uhamisho ya Msajili wa ICANN ya Siku 60 wakati wa dharura¶

Nini ikiwa unahitaji kuhamisha kikoa chako kwa msajili mpya (ICANN Inter-Registrar Transfer), ili tu kuzuiwa na Domain Status: clientTransferProhibited na ujumbe unaosema: "Kikoa hiki kiko chini ya Kufuli ya Uhamisho ya ICANN ya siku 60 kwa sababu maelezo ya mawasiliano yalisasishwa hivi majuzi"?

1. Kwa nini kufuli kwa siku 60 kumeanzishwa: Chini ya Sera ya Uhawilishaji ya ICANN (Sehemu ya II.C.1), wasajili huweka kufuli ya uhamishaji ya siku 60 kila kikoa kinaposajiliwa upya, kuhamishwa kati ya wasajili, au kufanyiwa "Mabadiliko ya Aliyejisajili" (kusasisha Jina la Kwanza, Anwani ya Barua Pepe, Shirika la Aliyesajiliwa).
2. Jinsi ya kukwepa au kuchagua kutoka kwa kufuli ya siku 60 ya Mabadiliko ya Msajili:
3. Kabla ya kuhariri maelezo ya mawasiliano ya WHOIS: Takriban wasajili wote wakuu hutoa kisanduku cha kuteua kwenye skrini ya kuhariri anwani iliyoandikwa: "Chagua kutoka kwa kufuli ya kuhamisha ya siku 60 baada ya sasisho hili la anwani." Kuteua kisanduku hicho hukuruhusu kusasisha anwani yako ya barua pepe ya msimamizi/msajili na bado utengeneze a EPP Auth-Code (Transfer Secret) kuhamisha kikoa siku hiyo hiyo.
4. Kumbuka kwamba HUNA haja ya kuhamisha usajili wa kikoa ili kubadilisha watoa huduma wa DNS: Hata kama kikoa kimefungwa kwa siku 60 dhidi ya Uhamisho wa Msajili (clientTransferProhibited), bado unaweza kubadilisha Nameservers zake (NS rekodi) kwa msajili wa sasa wakati wowote na kipindi cha kusubiri sifuri; kubadili DNS huchukua dakika, ilhali uhamishaji kamili wa msajili huchukua hadi siku 5 hadi 7 isipokuwa msajili aliyepotea abofye papo hapo Idhinisha Uhamisho Unaotoka (FOa) kitufe.

Awamu ya 5: Kuimarisha usajili wa kikoa na DNS dhidi ya kukatika kwa siku zijazo¶

Mara tu kikoa chako na azimio la DNS litakaporejeshwa kwa asilimia 100, kamilisha orodha hii ya uthabiti:

• Washa Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) kwenye vikoa muhimu vya utayarishaji dhamira: Kawaida Registrar Lock (clientTransferProhibited) inaweza kuzimwa kwa kubofya mara moja ikiwa mshambuliaji atateka nyara kuingia kwako kwa msajili. Kufuli ya Usajili (inayotolewa na Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi, na Porkbun/Namecheap kwa vikoa vya biashara) hufunga kikoa moja kwa moja katika kiwango cha Usajili cha TLD, na kuhitaji uthibitishaji wa sauti/kriptografia ya watu wengi nje ya bendi kabla ya yoyote. NS rekodi inaweza kubadilishwa au kikoa kufutwa.
• Sasisha vikoa vya uzalishaji kwa miaka 5 hadi 10 mapema (ICANN maximum horizon is 10 years): Usiwahi kuondoka kwenye kikoa muhimu cha biashara unaposasisha mwaka hadi mwaka ambapo kadi ya mkopo ya shirika iliyoisha muda wake inaweza kusababisha kuisha kwa muda wake. Lipa mapema miaka 5 hadi 10 mara moja.
• Kamwe usitumie @yourdomain.com anwani ya barua pepe kama anwani ya kuingia au ya arifa ya bili katika msajili anayesimamia yourdomain.com: Tumia orodha maalum ya usambazaji wa usalama kwenye kikoa huru cha msimamizi au akaunti ngumu ya nje, na ufuatilie RDAP / WHOIS tarehe za kumalizika muda wake kupitia wachunguzi wa nje wa Prometheus/Uptime (domain_expiry_days < 60)
• ** Chini NS na DS TTL (300 kwa 3600 sekunde) Saa 48 kabla ya uhamishaji wowote uliopangwa wa DNS**: Kupunguza TTL mapema huhakikisha visuluhishi vinabadilika ndani ya dakika 5 baada ya kipunguzo kilichopangwa.

Nambari za dharura za kikanda na itifaki za wakala¶

Wakati kikoa au kukatika kwa DNS kunaathiri vituo vya huduma ya afya, huduma za dharura, huduma za manispaa au miundombinu ya serikali, fuata njia hizi za upanuzi za kikanda:

• Marekani na Kanada: Piga 911 ikiwa kukatika kwa kikoa/DNS kutazima telemetry ya kliniki ya hospitali, utumaji ambulensi, au mifumo ya usalama maishani. Ripoti mashambulizi ya DDoS kwenye miundombinu ya DNS au utekaji nyara wa BGP/DNS kwa CISA (1-844-Say-CISA / cisa.gov/report), FBI IC3 (ic3.gov), au Kituo cha Kanada cha Usalama wa Mtandao (1-833-CYBER-88). Kwa .gov vikoa, wasiliana na CISA .gov Dawati la Usaidizi la Msajili.
• Uingereza: Piga 999 kwa vitisho kwa maisha au usumbufu mkubwa wa NHS. Ripoti kukatika kwa DNS muhimu au utekaji nyara wa kikoa kwa NCSC (ncsc.gov.uk), na wasiliana na Mteule (01865 332244) moja kwa moja kwa dharura .uk / .gov.uk / .nhs.uk masuala ya Usajili.
• Umoja wa Ulaya: Piga 112 katika nchi zote wanachama wa EU. Watoa huduma wa DNS na sajili za majina ya TLD zinadhibitiwa chini ya Maelekezo ya EU NIS2 (Directive 2022/2555) na lazima waripoti matukio muhimu ya upatikanaji kwa CSIRT yao ya kitaifa ndani ya saa 24.
• Australia na New Zealand: Piga 000 nchini Australia au 111 huko New Zealand; ripoti DNS muhimu au matukio ya kikoa kwa ACSC (1300 CYBER1), auDA (kwa .au), au Tume ya Jina la Kikoa NZ (ya .nz)
• India na Asia-Pacific: Piga 112 nchini India kwa majibu ya dharura; ripoti mashambulizi ya miundombinu ya DNS/kikoa kwa CERT-In (incident@cert-in.org.in) ndani ya saa 6 au NIXI kwa .in kuongezeka kwa Usajili.

Maswali yanayoulizwa mara kwa mara¶

Kwa nini kikoa changu kiliacha kufanya kazi saa 24 KABLA ya muhuri wake rasmi wa muda wa kuisha kwa WHOIS?¶

Kwanza, angalia saa za eneo: WHOIS `Registry Expiry Date` huchapishwa kila mara katika **UTC (`Z`)**, ambayo ni saa 4 hadi 8 mbele ya saa za kanda za Amerika Kaskazini (ikimaanisha kikoa kinachoisha muda wake `2026-11-01T04:00:00Z` kweli inaisha saa `8:00 PM PDT` Oktoba 31). Pili, ikiwa yako `NS` rekodi zilikuwa na `24-hour` au `48-hour` TTL na msajili walibadilishana kwa `00:00 UTC` siku ya kuisha, watumiaji ambao visuluhishi vyao vilionyeshwa upya mapema hugonga ukurasa wa maegesho mara moja huku wengine wakikaa kwenye akiba kwa saa nyingi.

Msajili wangu hana kazi kabisa au hajibu (Dead / De-accredited Registrar), na kikoa changu kinaisha. Je, ninaiokoaje?¶

ICANN inaposimamisha au kutoa ithibati kwa msajili aliyeshindwa chini ya **Taratibu za Mpito za Msajili Asiyeidhinishwa (`DARTP`)**, ICANN huhamisha vikoa vyote kwa wingi kiotomatiki hadi kwa msajili anayepata mlezi kwa gharama sifuri kwa waliojisajili. Angalia `whois yourdomain.com` (au `lookup.icann.org`) kuona **Msajili gani** na **Kitambulisho cha IANA** kinachoshikilia kikoa chako kwa sasa, au kuwasilisha **Malalamiko ya Kusasisha Kikoa / Uhamisho wa haraka** moja kwa moja na **Utiifu wa Kimkataba wa ICANN (`icann.org/compliance/complaint`)**.

Kwa nini tovuti yangu inafanya kazi kwa baadhi ya wateja kwenye data ya simu za mkononi, lakini bado inaonyesha ukurasa wa maegesho ambao muda wake umeisha kwenye Wi-Fi ya ofisi yetu saa 6 baada ya mimi kusasisha kikoa?¶

Mtandao wa ofisi yako au kisuluhishi cha DNS cha karibu cha ISP kiliweka akiba ukurasa wa maegesho wa msajili. `NS` na `A` rekodi wakati kikoa kilikwisha muda wake, na seva za majina ya maegesho ziliweka TTL za juu (`3,600` kwa `86,400` sekunde / masaa 24) ili kurasa za matangazo zisalie kwenye akiba kwa muda mrefu. Osha Google (`8.8.8.8`) na Cloudflare (`1.1.1.1`) kwa kutumia zana zao za kusafisha wavuti, kisha kwenye kompyuta yako ya karibu endesha `ipconfig /flushdns` (Windows), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS), au `sudo resolvectl flush-caches` (Linux).

Nini Hutokea kwa Barua pepe Zilizotumwa kwa @yourdomain.com Wakati Kikoa Chetu au DNS Ilikwisha Muda kwa Saa 18? Je, Wamepotea Milele?¶

Katika hali nyingi, barua pepe halali zilizotumwa katika saa 12 hadi 48 za kwanza za kukatika kwa DNS HAZIJAPOTEA: zimewekwa kwenye foleni kwenye seva ya barua ya mtumaji na zitawasili kiotomatiki katika saa chache zijazo.. Chini ya **`RFC 5321` (Itifaki Rahisi ya Uhawilishaji Barua, Sehemu ya 4.5.4.1)**, wakati seva ya barua pepe (`Gmail`, `Microsoft Exchange Online`, `Postfix`) hupata kutofaulu kwa utaftaji wa muda wa DNS (`SERVFAIL`) au haiwezi kuunganishwa na `MX` mwenyeji, inaweka ujumbe katika foleni ya kujaribu tena kwa **siku 4 hadi 5 (`96 to 120 hours`)**, inajaribu tena kwa kurudisha nyuma kielelezo. Hata hivyo, ikiwa ukurasa wa maegesho ulioisha wa msajili ulijumuisha **kadi ya pori `MX` rekodi (`0 .`)** au seva ya barua ya kuegesha iliyokataa barua pepe kwa kigumu `550 5.1.1 User Unknown` kudumu, watumaji hao walipokea arifa ya mara moja na lazima watume barua pepe zao tena.

Ninaweza kusanidi watoa huduma wawili wa DNS kwa wakati mmoja (Cloudflare + Route 53) kwa kuorodhesha Cloudflare mbili NS rekodi na Njia mbili 53 NS rekodi kwa msajili wangu?¶

Ndiyo, ilimradi `DNSSEC` imezimwa (au imesanidiwa vizuri na `RFC 8901` DNSSEC ya Vyeo vingi) na watoa huduma wote wawili hutumikia rekodi za DNS zinazofanana. Visuluhishi vinavyojirudia huuliza mzazi wote walioorodheshwa `NS` rekodi kwa kutumia uteuzi wa latency-robin/RTT (`SRTT`) Ukiorodhesha `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`, na `ns2.providerB.com` katika Seva Maalum za Majina za msajili wako na uweke kanda zote mbili zikiwa zimesawazishwa kwa kutumia **OctoDNS**, **DNSControl**, **Terraform**, au `AXFR / IXFR` uhamishaji wa eneo, kikoa chako hudumu kiotomatiki kukatika kwa asilimia 100 kwa aidha mtoa huduma wa DNS.

Kuna tofauti gani kati ya clientHold na serverHold katika WHOIS?¶

Misimbo ya hali ya EPP inayoanza na **`client...`** (`clientHold`, `clientTransferProhibited`) zimewekwa na **Msajili wa Kikoa** chako (muuzaji ambapo unadhibiti akaunti yako, kama vile Namecheap au GoDaddy) na zinaweza kuondolewa mara moja na usaidizi wa msajili wako au mfumo wa malipo. Misimbo ya hali inayoanza na **`server...`** (`serverHold`, `serverTransferProhibited`) zimewekwa moja kwa moja na **Opereta wa Usajili wa TLD** (`Verisign`, `PIR`, `Nominet`) kutokana na maagizo ya mahakama, mizozo ya UDRP, kusimamishwa kwa matumizi mabaya ya kiwango cha usajili, au maunzi **Lock Registry**, na kuhitaji kuwasiliana na Rejesta kupitia msajili wako ili kuinua.

Miongozo inayohusiana¶

• Utekaji nyara wa jina la kikoa, DNS iliyoisha muda wake na unyakuzi wa tovuti
• Cheti cha SSL/TLS kimeisha muda wake katika utayarishaji, kufunga kwa upakiaji mapema wa HSTS, kizuizi cha rekodi ya CA CAA, na kusasishwa kwa dharura.
• Kufunga nje kwa msimamizi wa kikoa cha Google Workspace au Microsoft 365, uthibitishaji wa DNS TXT na uokoaji wa mpangaji
• Utekaji nyara wa DNS, usanidi upya wa WAN wa kipanga njia cha ISP, na udukuzi wa lango
• Shida ya upangishaji wa wavuti, uhamiaji, na urejeshaji wa chelezo
• Nambari za dharura kwa nchi

Vyanzo na mwongozo rasmi¶

• Shirika la Mtandao la Majina na Nambari Zilizotolewa (ICANN): Sera ya Urejeshaji Usajili Iliyokwisha Muda (ERRP), Sera ya Ufutaji wa Kikoa Iliyokwisha Muda (EDDP), Sera ya Uhawilishaji ya Msajili-Baina (Kufuli la Mabadiliko ya Msajili kwa Siku 60), na Rejeleo la Misimbo ya Hali ya EPP (clientHold, redemptionPeriod, pendingDelete).
• Kikosi Kazi cha Uhandisi wa Mtandao (IETF): RFC 6781 (DNSSEC Operations Practices: Key Rollovers na Dharura DS Kuondolewa) & RFC 8901 (Miundo ya DNSSEC yenye Watia Sahihi Wengi kwa DNS Inayoidhinishwa na Watoa Huduma nyingi).
• Taasisi ya Kitaifa ya Viwango na Teknolojia (NIST) (Marekani): Chapisho Maalum 800-81-2: Mfumo Salama wa Jina la Kikoa (DNS) Mwongozo wa Usambazaji.
• Wakala wa Usalama wa Mtandao na Miundombinu (CISA) (Marekani): Agizo la Dharura 19-01: Kupunguza Uharibifu wa Miundombinu ya DNS.
• Shirika la Umoja wa Ulaya la Usalama Mtandaoni (ENISA): Mwongozo wa Kiufundi wa NIS2 kwa Watoa Huduma wa DNS na Sajili za Majina za TLD.