Estamos tendo um problema bizarro com um de nossos domínios que está acontecendo há mais de 15 horas neste momento. O domínio não pode ser resolvido em muitas partes do país. Eu tentei pingar em alguns servidores Linux diferentes e obtive:
example.com: Temporary failure in name resolution
O problema não é geograficamente limitado. Pessoas de todo o país já me disseram que também não podem pingar o domínio. No entanto, algumas pessoas podem pingar o domínio e acessá-lo normalmente.
Finalmente, alguém me indicou este site: https://dnschecker.org/ip-blacklist-checker.php
Quando tento resolver o domínio, "Na lista negra?" é Não para todos eles, exceto para este:dnsbl.spfbl.net
Quando clico no erro, ele diz isso:
Nenhum rDNS foi encontrado.
Este IP foi sinalizado porque não possui FCrDNS válido.
Registre um rDNS válido para este IP, que aponta para o mesmo IP.
O rDNS deve ser registrado em seu próprio domínio para que você possa excluí-lo.
Não consigo pensar no que causou isso ou como corrigi-lo. Os registros A do domínio não apontam para um IP estático até onde eu saiba, pois ele passa pelos balanceadores de carga da Cloudflare. Achei que poderia ter sido um problema com o Cloudflare, que usamos para nossos servidores de nomes. No entanto, o portal deles não indicou nada ontem ou nada relevante esta manhã.
A única correção que encontramos é alterar manualmente o servidor DNS preferencial. Por exemplo, o Google e o OpenDNS não resolvem o domínio. No dnsblacklist.org, 7 dos 12 resolvedores de DNS não conseguem resolvê-lo. A Cloudflare e outros 4 resolvedores podem resolvê-lo com sucesso. Se alterarmos o servidor DNS preferencial para 1.1.1.1manualmente nos servidores, agora eles podem pingar o domínio.
O problema é que todos os nossos usuários públicos, obviamente, não vão fazer isso. Alguma opinião sobre o que exatamente está acontecendo? Não alterei nada nos registros de domínio recentemente, e isso não afeta nenhum dos meus outros domínios que também usam Cloudflare como servidor de nomes. O problema afeta todos os subdomínios neste domínio, bem como o domínio primário, independentemente de o tráfego nesse endereço ser proxy por meio da Cloudflare.
ATUALIZAR:
Outro domínio:
Domínio problemático:
Se você acessar https://dnsviz.net/d/phreaknet.org/X44olg/dnssec/ você encontrará, agora, nada menos que 6 erros falsos e 3 erros em seu domínio. Dito de outra forma: está terrivelmente quebrado na camada DNS:
Não sei quais serviços você costumava verificar, mas obviamente eles estavam alheios aos problemas de DNSSEC, portanto, não são bons. Use
dnsviz.net, é testado e confiável.Como dito nos comentários, o DNSSEC geralmente é uma fonte de "funciona lá, mas não lá" porque, se estiver quebrado, será visto como quebrado apenas pelos resolvedores de validação, que não são todos os resolvedores por aí. Além disso, existem muitos casos extremos no DNSSEC que podem fazer com que um resolvedor aceite a resposta e não o outro.
Você precisará corrigir todos esses problemas.
Comece removendo completamente o DNSSEC dele, a menos que você tenha certeza de dominá-lo. O que significa ir ao registrador patrocinador atualmente (Namecheap como visto no whois) e encontrar a maneira de remover
DSregistros no registro do seu domínio.Feito isso, você terá que esperar. Quantos?
Os servidores de nomes autorizados .ORG publicam seu
DSregistro com um TTL de um dia:Portanto, você precisa esperar pelo menos um dia após o momento em que esse registro desaparece (o que pode acontecer algum tempo depois de solicitar ao seu registrador para removê-lo).
Depois que o
DSregistro desaparecer por pelo menos 1 dia, faça uma verificação DNSviz novamente e veja se você tem outros problemas. Mas é provavelmente com apenas que você já terá resolvido todos os seus problemas.Alternativamente, você deve pedir ao seu provedor de DNS para ajudá-lo com problemas relacionados ao DNS em seu domínio. Especialmente porque o problema principal é:
"RRSIG phreaknet.org/DNSKEY alg 13, id 2371: The Signature Expiration field of the RRSIG RR (2020-10-18 21:55:18+00:00) is 1 day in the past."o que significa um erro do seu provedor de DNS não atualizar as assinaturas em seu domínio, ou por você mesmo se você foi instruído a alterar oDSregistro no registro para usar outra chave pelo seu provedor de DNS e não o fez . A expiração desta assinatura explica recentemente por que você começou a receber relatórios de problemas há cerca de um dia.Se o seu provedor de DNS pode gerar assinaturas válidas, com a chave atual, em todos os registros, pois as coisas funcionarão novamente sem precisar remover o
DSregistro. Mas você também precisará esperar, embora muito menos, pois os TTLs das assinaturas parecem ser de 1 hora ou 5 minutos:Além de nota útil sobre o acima:
+dnssecver osRRSIGregistros e, portanto, seu TTL (caso contrário, eles não são mostrados por padrão porque nunca são úteis em si ... exceto para solucionar problemas relacionados ao DNSSEC)+cdqual é o sinalizador que solicita NÃO fazer validações de DNSSEC, caso contrário, essas consultas provavelmente retornarãoSERVFAILporque a configuração de DNSSEC está quebrada.+cdé o sinalizador mais importantedigpara DNSSEC: "faça uma consulta sem ele e obtenhaSERVFAIL, em seguida, refaça a mesma consulta e obtenha uma resposta" significa em 99,999% dos casos que seu problema está relacionado apenas à configuração do DNSSEC em seu domínio.