DNSSEC yangilanishi qanday qilib .de domenini "o‘ldirdi": Olingan saboqlar
DNSSEC yangilanishi qachon ishlamay qolsa: .de domeni to'xtab qolganidan saboqlar
Kecha-kechqurun, soat 2 da ishlab chiqarish tizimini yangilab, hammasi joyida bo'lib ketishi kerak edi, deb o'ylaysizmi? Germaniyaning .de domen registratoriga aynan shu yuz berdi 2026 yil 5 may kuni.
Taxminan 3 soat davomida minglab .de domenli saytlar ishlamay qoldi. Domenlar yo'qolmadi, lekin ularni himoya qilish uchun yaratilgan DNSSEC tizimi o'zini buzdi.
Texnologiya va jarayon xatosi qanday uchrashdi
.de registratorlari DNSSEC imzolashning uchinchi avlod tizimini oylarga tayyorladi. Test qilindi, auditdan o'tdi. Hamma narsa mustahkam ko'rindi.
Lekin kutilmagan hodisa: yangi tizim bitta emas, uch xil kriptografik kalit juftligi chiqardi va faqat bittasini ochiq e'lon qildi. Zona imzolangan kalit va resolverlar kutgan kalit o'rtasidagi nomuvofiqlik butun tizimni quldiradi.
Texnik jihatdan qiziq: DNSSEC "key tag" deb ataluvchi kalit barmoq izidan foydalanadi. Tizim uchta kalitga bir xil tag (33834) berdi. Resolverlar imzoni tekshirganda, uchdan ikki qismi ishlamadi – chunki imzolash uchun ishlatilgan maxfiy kalit e'lon qilingan ochiq kalitga mos kelmadi.
Muammo tarqaldi. Har zona o'zgarishida signing tizimi SOA (Start of Authority) yozuvini qayta imzolaydi. Ba'zi yangilanishlar ishlagan, ba'zilari yo'q – resolver operatorlari bunday tartibsizlikni ko'rmagan edi.
Nega aniqlash tizimlari sezmay qoldi?
Haqiqat shuki, sezdi. .de da uchta mustaqil tekshirish vositasi bor, aynan shu xatolarni tutish uchun. Uchalasi ham noto'g'ri imzolar haqida signal berdi.
Lekin hech kim harakat qilmaydi.
Ogohlantirishlar chiqdi, yozildi, lekin ishlab chiqarish monitoringidagi shovqin orasida yo'qoldi. Bu texnik emas, jarayon xatosi. Har qanday muhim infratuzilma bilan ishlaydigan tashkilotga yuz berishi mumkin.
Eslatma: monitoring faqat javob berish tartibingizdek yaxshi. Avtomatik aniqlash, lekin odam mas'uliyati va aniq ko'tarish yo'li bo'lmasa – bu shunchaki shovqin.
Bir xato qanday imzosiz domenlarni buzdi
Bu to'xtashni og'ir qilgan narsa: DNSSEC faqat imzolangan domenlarni emas, imzosizlarni ham himoya qiladi – NSEC3 yozuvlari orqali imzo yo'qligini isbotlaydi.
.de zonasi NSEC3 da noto'g'ri imzo chiqargach, tekshiruvchi resolverlar butun ikkinchi darajali domenlar uchun delegatsiyani rad etdi – hatto DNSSEC yoqilmaganlarni ham. Masalan, example.de ningiz DNSSEC siz bo'lsa ham, nameserverga o'tkazish infratuzilmasi "bogus" deb hisoblandi va saytingiz ishlamay qoldi.
Ko'p DNS operatorlari buni o'ylamaydi, gacha shunday voqea yuz bermaguncha.
Inson yechimi
Yaxshi tomon: ba'zi katta resolver operatorlari .de uchun DNSSEC tekshiruvini vaqtincha o'chirib, saytlarga kirishni ta'minladi. Registrator ularni ochiq rahmat aytdi.
Bu internet infratuzilmasi rejalasiga ko'ra ishlaydi – katta buzilishda tajribali operatorlar cheklovlarni yumshatib, xizmatni qaytaradi. Lekin bu DNS mutaxassislarining tajribasi va bosim ostida qaror qabul qilishini ko'rsatadi.
Nimani o'rgandik
Dasturchilar va DevOps jamoalari uchun saboqlar:
Testlar to'liq emas. Tashqi auditlangan kod ham ishlab chiqarishda ishlamaydi. Bir nechta kalit chiqaruvchi xato oldindan sezilmay qoldi.
Monitoring javobsiz – bo'sh ish. Uchta signal tizimi mukammal ishlagan. Lekin darhol odam e'tibori va ko'tarish yo'li bo'lmasa, foydasiz.
Bog'liqliklarni tushuning. Imzosiz domenlarga ta'sir ko'rsatdi – TLD o'zgarishi pastki domenlarga kutilmagan ta'sir qiladi.
Parallel ish yetarli emas. Yangi tizim ishlab chiqarish yonida sinovdan o'tgan, lekin farq sezildi va xatolar chiqdi.
Hodisa javobini yozing. Katta operatorlar aniq bildi nima qilish kerak. Sizda DNS favqulodda holatlari uchun hujjat bormi?
Keyingi qadamlar?
.de registratorlari tergov tugagach, chuqurroq tahlil va'da qildi. DNSSEC da yaxshiroq testlar, aniq signal ko'tarish va TLD zonalari uchun yozuvlar generatsiyasini o'zgartirishlar bo'ladi.
NameOcean infratuzilmasida yoki o'z DNSingizda ishlayotganlar uchun:
- Mustahkam monitoring va javobli provayderlarni tanlang
- DNSSEC ni yoqishdan oldin ta'sirini o'rganing
- Xato holatlarini biladigan DNS operatorlari bilan aloqa saqlang
- Monitoringni on-call jamoaga to'g'ridan-to'g'ri bog'lang
Yaxshi xabar: 3 soatdan keyin .de to'liq qaytdi. Infratuzilma tiklandi. Jamiyat qimmatli bilim oldi – internet asosi qanday buziladi va tiklanadi.
Bu to'xtashga arziydi.
Sizning infratuzilmangizda DNS to'xtashi bo'lganmi? Nimani o'rgandingiz? Hikoyangizni baham ko'ring – bunday hodisalarni tushunish hammamizga mustahkam tizimlar qurishga yordam beradi.