TLD .de ออฟไลน์เพราะ DNSSEC หรือไม่?

 (dnssec-analyzer.verisignlabs.com)
1 คะแนน โดย GN⁺ 1 시간 전 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • ผลลัพธ์ของ nic.de DNSSEC Debugger อ้างอิง ณ เวลา 2026-05-06 00:38:26 UTC และตรวจสอบห่วงโซ่ความเชื่อถือจากรูท ผ่าน .de ไปจนถึง nic.de แบบเป็นขั้นตอน
  • โซนรูทมี DS=20326/SHA-256 และ DS=38696/SHA-256 โดย DS keytag 26755 ของการมอบสิทธิ์ .de ถูกตรวจสอบด้วยลายเซ็นของรูท DNSKEY=54393
  • โซน .de มี DNSKEY=26755/SEP และ DNSKEY=32911 โดย DS=26755/SHA-256 ใช้ตรวจสอบ DNSKEY RRset ของ .de
  • การมอบสิทธิ์ nic.de มีเนมเซิร์ฟเวอร์ ns1.denic.de, ns2.denic.de, ns3.denic.de, ns4.denic.net และ DS=26155/SHA-256 ถูกตรวจสอบด้วย DNSKEY=32911 ของ .de
  • A record ของ nic.de ถูกยืนยันเป็น 81.91.170.12 จากการสอบถามไปยัง authoritative name server ทั้งหมด และ RRSIG=36463 กับ DNSKEY=36463 ใช้ตรวจสอบ RRset ดังกล่าว

ลำดับการตรวจสอบ DNSSEC ของ nic.de

  • เป้าหมายการตรวจสอบคือ nic.de และในหน้าจอ DNSSEC Debugger มีตัวควบคุม Detail พร้อมตัวเลือก more(+) และ less(-)
  • เวลาที่แสดงคือ 2026-05-06 00:38:26 UTC
  • สถานะ DNSSEC ของ nic.de สามารถทดสอบได้ที่ dnsviz.net เช่นกัน

ห่วงโซ่ความเชื่อถือจากรูทไปยัง .de

  • การตรวจสอบ DNSKEY ของโซนรูท

    • รูท (.) มี DS=20326/SHA-256 และ DS=38696/SHA-256 อยู่ในห่วงโซ่ความเชื่อถือ
    • มีการสอบถาม ./DNSKEY ไปยัง j.root-servers.net และได้รับคำตอบขนาด 1139 ไบต์จาก 192.58.128.30 โดยมีรหัสตอบกลับเป็น NOERROR
    • พบ DNSKEY 3 ระเบียนในโซนรูท
      • DNSKEY keytag 54393, flags 256, algorithm 8
      • DNSKEY keytag 20326, flags 257, algorithm 8
      • DNSKEY keytag 38696, flags 257, algorithm 8
    • DNSKEY=20326/SEP และ DNSKEY=38696/SEP อยู่ในห่วงโซ่ความเชื่อถือ และถูกตรวจสอบด้วย DS=20326/SHA-256 และ DS=38696/SHA-256 ตามลำดับ
    • ใน DNSKEY RRset ของรูทมี RRSIG 1 รายการ และ RRSIG=20326 กับ DNSKEY=20326/SEP ใช้ตรวจสอบ DNSKEY RRset ดังกล่าว
    • DNSKEY=54393 ก็อยู่ในห่วงโซ่ความเชื่อถือเช่นกัน

  • การยืนยันการมอบสิทธิ์จากรูทไปยัง .de

    • มีการสอบถาม nic.de/A ไปยัง k.root-servers.net และได้รับคำตอบขนาด 742 ไบต์จาก 193.0.14.129 โดยส่วนคำตอบว่างเปล่า และมีข้อมูลการมอบสิทธิ์ .de อยู่ในส่วน authority
    • ได้รับรายชื่อเนมเซิร์ฟเวอร์ของ .de เป็น a.nic.de, f.nic.de, l.de.net, n.de.net, s.de.net, z.nic.de
    • DS record ของ .de ถูกส่งกลับมาเป็น keytag 26755, algorithm 8, digest type 2, และ SHA-256 digest f341357809a5954311ccb82ade114c6c1d724a75c0395137aa3978035425e78d
    • ใน .de DS RRset มี RRSIG รวมอยู่ด้วย และผู้ลงลายเซ็นคือ DNSKEY=54393 ของรูท
    • ในส่วน additional มีที่อยู่ IPv4/IPv6 ของเนมเซิร์ฟเวอร์ .de
      • a.nic.de: 194.0.0.53, 2001:678:2::53
      • f.nic.de: 81.91.164.5, 2a02:568:0:2::53
      • z.nic.de: 194.246.96.1, 2a02:568:fe02::de
      • l.de.net: 77.67.63.105, 2001:668:1f:11::105
      • n.de.net: 194.146.107.6, 2001:67c:1011:1::53
      • s.de.net: 195.243.137.26, 2003:8:14::53

  • การตรวจสอบ .de DS RRset

    • มีการสอบถาม de/DS ไปยัง b.root-servers.net และได้รับคำตอบขนาด 366 ไบต์จาก 170.247.170.2 โดยมีรหัสตอบกลับเป็น NOERROR
    • พบ DS record สำหรับ .de จำนวน 1 รายการในโซนรูท
    • DS=26755/SHA-256 ใช้อัลกอริทึม RSASHA256
    • ใน .de DS RRset มี RRSIG 1 รายการ และ RRSIG=54393 กับ DNSKEY=54393 ใช้ตรวจสอบ DS RRset ดังกล่าว
    • DS=26755/SHA-256 อยู่ในห่วงโซ่ความเชื่อถือ

  • การตรวจสอบ .de DNSKEY RRset

    • มีการสอบถาม de/DNSKEY ไปยัง f.nic.de และได้รับคำตอบขนาด 745 ไบต์จาก 81.91.164.5 โดยมีรหัสตอบกลับเป็น NOERROR
    • พบ DNSKEY 2 ระเบียนใน .de
      • DNSKEY keytag 32911, flags 256, algorithm 8, TTL 3600
      • DNSKEY keytag 26755, flags 257, algorithm 8, TTL 3600
    • DNSKEY=26755/SEP อยู่ในห่วงโซ่ความเชื่อถือ และ DS=26755/SHA-256 ใช้ตรวจสอบ DNSKEY=26755/SEP
    • ใน .de DNSKEY RRset มี RRSIG 1 รายการ และ RRSIG=26755 กับ DNSKEY=26755/SEP ใช้ตรวจสอบ RRset ดังกล่าว
    • DNSKEY=32911 อยู่ในห่วงโซ่ความเชื่อถือ

การมอบสิทธิ์จาก .de ไปยัง nic.de และการตรวจสอบ DS

  • การยืนยันซับโซน nic.de

    • มีการสอบถาม nic.de/A ไปยัง l.de.net และได้รับคำตอบขนาด 464 ไบต์จาก 77.67.63.105 โดยส่วนคำตอบว่างเปล่า และมีข้อมูลการมอบสิทธิ์ nic.de อยู่ในส่วน authority
    • ได้รับรายชื่อเนมเซิร์ฟเวอร์ของ nic.de เป็น ns1.denic.de, ns2.denic.de, ns3.denic.de, ns4.denic.net
    • DS record ของ nic.de ถูกส่งกลับมาเป็น keytag 26155, algorithm 8, digest type 2, และ SHA-256 digest 2f06c8cdf8673a2e98d72c8b7ab6067d9318458b3d9edccde1c5ef793c0c565d
    • ใน nic.de DS RRset มี RRSIG รวมอยู่ด้วย และผู้ลงลายเซ็นคือ DNSKEY=32911 ของ .de
    • ในส่วน additional มีที่อยู่ของเนมเซิร์ฟเวอร์ nic.de บางส่วน
      • ns1.denic.de: 77.67.63.106, 2001:668:1f:11::106
      • ns2.denic.de: 81.91.164.6, 2a02:568:0:2::54
      • ns3.denic.de: 195.243.137.27, 2003:8:14::106
    • เมื่อสอบถาม nic.de/DNSKEY ไปยัง l.de.net ก็ได้รับการมอบสิทธิ์ nic.de, DS, RRSIG และข้อมูลที่อยู่เพิ่มเติมแบบเดียวกัน ทำให้ยืนยันซับโซน nic.de ได้

  • การตรวจสอบ nic.de DS RRset

    • มีการสอบถาม nic.de/DS ไปยัง a.nic.de และได้รับคำตอบขนาด 245 ไบต์จาก 194.0.0.53 โดยมีรหัสตอบกลับเป็น NOERROR
    • พบ DS record สำหรับ nic.de จำนวน 1 รายการในโซน de
    • DS ที่ตรวจพบมี keytag 26155, algorithm 8, digest type 2 และแสดงว่าอิงกับ SHA-256
    • ใน DS RRset มี RRSIG 1 รายการ และ RRSIG=32911 กับ DNSKEY=32911 ใช้ตรวจสอบ DS RRset
    • DS=26155/SHA-256 อยู่ในห่วงโซ่ความเชื่อถือ
nic.de. 86400 IN DS (
  26155 8 2 2f06c8cdf8673a2e98d72c8b7ab6067d9318458b3d9edccde1c5ef793c0c565d
)

การตรวจสอบ DNSKEY และระเบียนของ nic.de

  • การตรวจสอบ DNSKEY ของ nic.de

    • มีการสอบถาม nic.de/DNSKEY ไปยัง ns4.denic.net และได้รับคำตอบขนาด 625 ไบต์จาก 194.246.96.28 โดยมีรหัสตอบกลับเป็น NOERROR
    • พบ DNSKEY 2 ระเบียนใน nic.de
    • keytag 26155 เป็น DNSKEY ในรูปแบบ 257 3 8 และ DNSKEY=26155/SEP อยู่ในห่วงโซ่ความเชื่อถือ
    • DS=26155/SHA-256 ใช้ตรวจสอบ DNSKEY=26155/SEP
    • ใน DNSKEY RRset มี RRSIG 1 รายการ และ RRSIG=26155 กับ DNSKEY=26155/SEP ใช้ตรวจสอบ DNSKEY RRset
    • DNSKEY=36463 อยู่ในห่วงโซ่ความเชื่อถือเช่นกัน
nic.de. 3600 IN DNSKEY (
  257 3 8 AwEAAb/xrM2MD+xm84YNYby6TxkMaC6PtzF2bB9WBB7ux7iqzhViob4GKvQ6L7CkXjyAxfKbTzrd
  vXoAPpsAPW4pkThReDAVp3QxvUKrkBM8/uWRF3wpaUoPsAHm1dbcL9aiW3lqlLMZjDEwDfU6lxLc
  Pg9d14fq4dc44FvPx6aYcymkgJoYvR6P1wECpxqlEAR2K1cvMtqCqvVESBQV/EUtWiALNuwR2Pbh
  wtBWJd+e8BdFI7OLkit4uYYux6Yu35uyGQ==
) ; keytag 26155

nic.de. 3600 IN DNSKEY (
  256 3 8 AwEAAdkJ06nJ8Cutng7f9HACMUhuYnF0CX7uCZ06CyauTxQIpOQpQBKI03/EPn8fI518pvOqxAO7
  XWaGsSovRyI3UPd963JZpYrEOcVDFPA2Qrz5eFj8MIBKH6HcQGnum0UFxmIRVaKT5K5WM+xeUeP5
  Xr4P54Jkyo18rz0LwzDp9gjj
) ; keytag 36463

  • การตรวจสอบ A record และลายเซ็นของ nic.de

    • การสอบถาม nic.de/A ไปยัง ns1.denic.de, ns2.denic.de, ns3.denic.de, ns4.denic.net ทั้งหมดตอบกลับ NOERROR
    • แหล่งที่มาของคำตอบจากแต่ละเนมเซิร์ฟเวอร์คือ ns1.denic.de จาก 77.67.63.106, ns2.denic.de จาก 81.91.164.6, ns3.denic.de จาก 195.243.137.27, ns4.denic.net จาก 194.246.96.28
    • ในทุกการสอบถาม A ค่ายืนยันของ A record สำหรับ nic.de คือ 81.91.170.12
    • คำตอบแต่ละรายการมี RRSIG ที่ลงลายเซ็นโดยโซน nic.de และพบ RRSIG 1 รายการใน A RRset
    • RRSIG=36463 กับ DNSKEY=36463 ใช้ตรวจสอบ A RRset
nic.de. 3600 IN A 81.91.170.12

nic.de. 3600 IN RRSIG (
  A 8 2 3600 20260519222346 20260505205346 36463 nic.de.
  VIyuPDO6Bf029ILioOvWPhkPmQctDIepz+bK/7s7GS1hHEIZrs/9pDGblfW19sjmVpJGIslYmiGh
  QUDTgJcv8lcWqrfUK3pTv9QxmYRDOMM/zTZz50hqfcNkvzL7dg/7A/yPoPk3aTMXH3pFNY0N2RnU
  t8THHOfUcu3w19fma4w=
)

  • authoritative name server และคำตอบ SOA

    • คำตอบระบุ authoritative name server ของ nic.de เป็น ns1.denic.de, ns2.denic.de, ns3.denic.de, ns4.denic.net
    • มีการสอบถาม nic.de/SOA ไปยัง ns3.denic.de, ns4.denic.net, ns2.denic.de และทั้งหมดส่งกลับคำตอบขนาด 507 ไบต์พร้อม NOERROR
    • SOA record ระบุ ns1.denic.de. เป็น primary name server และ dns-operations.denic.de. เป็นผู้รับผิดชอบ
    • ค่า SOA เหมือนกันทั้งหมดคือ serial 1778019826, refresh 10800, retry 1800, expire 3600000, minimum 1800
    • ในคำตอบ SOA ก็มี RRSIG รวมอยู่ด้วย และผู้ลงลายเซ็นแสดงเป็น 36463 nic.de.
nic.de. 3600 IN SOA (
  ns1.denic.de. dns-operations.denic.de.
  1778019826 ;serial
  10800 ;refresh
  1800 ;retry
  3600000 ;expire
  1800 ;minimum
)

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 1 시간 전
ความคิดเห็นจาก Hacker News

  • ดูเหมือนจะเป็นปัญหา DNSSEC ไม่ใช่ความขัดข้องของเนมเซิร์ฟเวอร์ ตัว resolver ที่ทำการตรวจสอบกำลังส่ง SERVFAIL พร้อม EDE กลับมาสำหรับทุกชื่อใน .de
    dig +cd amazon.de @8.8.8.8 และ dig amazon.de @a.nic.de ยังทำงานได้ ดังนั้นข้อมูลโซนน่าจะยังสมบูรณ์ DENIC ได้เผยแพร่ RRSIG ของ NSEC3 record ที่ตรวจสอบกับ ZSK 33834 ไม่ผ่าน ทำให้ตัว resolver ที่ตรวจสอบทั้งหมดปฏิเสธคำตอบ
    ที่มันใช้งานได้เป็นบางครั้งก็ดูสอดคล้องกับ anycast บางอินสแตนซ์ของ [a-n].nic.de อาจยังส่งลายเซ็นเดิมที่ถูกต้องอยู่ ดังนั้นเวลาลองใหม่จึงอาจไปถึง authoritative server ที่ยังปกติเป็นบางครั้ง ตาม FAQ ของ DENIC นั้น ZSK ของ .de จะถูกสลับแบบ pre-publish ทุก 5 สัปดาห์ เลยมีกลิ่นของ ความล้มเหลวระหว่าง rollover

    • แค่ความผิดพลาดในการตั้งค่าจุดเดียวก็ทำให้การเข้าถึงจากภายนอกของเขตเศรษฐกิจหลักหายไปได้เลย เหตุการณ์เกิดขึ้นช่วงเย็นตามเวลาท้องถิ่น และแม้จะคำนึงถึง cache TTL ก็น่าจะแก้ได้ก่อนเช้า ดังนั้นขอบเขตความเสียหายน่าจะถูกจำกัดไว้พอสมควร
      ถึงอย่างนั้น โครงสร้างพื้นฐานที่เปราะบาง ในระดับนี้ก็เป็นความเสี่ยงทางการเมือง คุณสมบัติขึ้นชื่อของอินเทอร์เน็ตที่ว่า “อ้อมจุดที่เสียหายได้” กลับใช้ไม่ได้ผลในกรณีนี้ น่าจะมี postmortem ที่น่าสนใจออกมา
    • ผมทำงานสาย IT มา 20 ปี แต่ตรงนี้นอกจาก DNSSEC แล้ว ผมอ่านตัวย่ออื่นไม่ออกเลย

  • ดูเหมือนทีม DENIC จะอยู่ในงานปาร์ตี้เย็นนี้ สนุกได้ แต่อย่าหนักเกินไปสิ
    https://bsky.app/profile/denic.de/post/3ml4r2lvcjg2h

    • เป็น bus factor ที่น่าสนใจ ถ้าในสถานการณ์ฉุกเฉิน คนที่มีคุณสมบัติ ประสบการณ์ และความน่าเชื่อถือมากพอจะ commit การเปลี่ยนแปลงระบบ, ย้อน maintenance ที่พัง, หรือ rollback ได้ กลับไม่อยู่ในสภาพมีสติครบถ้วนกันหมด

  • ผมไม่เคยใช้ DNSSEC และไม่เคยพยายามติดตั้งมัน แต่ถ้าเข้าใจไม่ผิด มันเหมือนเอา ชั้นใบรับรองที่เป็น single point of failure ไปซ้อนบน DNS ที่เดิมกระจายศูนย์อยู่แล้วหรือเปล่า ตอนนี้โดเมนทั้งหมดเลยพังพร้อมกันเพราะองค์กรศูนย์กลางที่ดูแลใบรับรองนั้นมีปัญหา?

    • โดเมนระดับบนสุด .de นั้นโดยเนื้อแท้ก็ถูกดูแลโดยองค์กรเดียวอยู่แล้ว และถึงเนมเซิร์ฟเวอร์ของมันจะล่ม สถานการณ์ก็คงไม่ได้ดีขึ้นมากนัก บาง record อาจถูก cache อยู่ใน resolver ปลายทาง แต่ไม่ใช่ทั้งหมดและอยู่ได้ไม่นาน
      DNSSEC กลับทำให้ DNS กระจายศูนย์มากขึ้นด้วยซ้ำ ถ้าไม่มี DNSSEC คุณต้องถาม authoritative nameserver โดยตรงเพื่อให้มั่นใจว่าคำตอบเชื่อถือได้ แต่ถ้ามี DNSSEC คุณถาม third-party caching resolver ได้ เพราะมีแค่คำตอบที่ถูกต้องเท่านั้นที่มีลายเซ็นถูกต้องจึงเชื่อถือได้
      ในทำนองเดียวกัน ถ้าไม่มี DNSSEC เจ้าของโดเมนต้องเชื่อ authoritative nameserver แบบเต็มที่ เพราะเซิร์ฟเวอร์พวกนั้นสามารถปลอมผลลัพธ์ที่ดูน่าเชื่อถือได้ง่าย แต่ถ้ามี DNSSEC ก็แทบไม่ต้องเชื่อ authoritative nameserver มากเท่าเดิม [0] จึงสามารถโฮสต์บางส่วนไว้กับ third party ได้อย่างปลอดภัย
      [0]: https://news.ycombinator.com/item?id=47409728
    • DNSSEC ไม่ได้เปลี่ยนระดับการกระจายศูนย์ของ DNS เลย DNS นั้นเป็น โครงสร้างแบบลำดับชั้น มาตั้งแต่แรก ถ้าไม่มี cache ทุกคำถาม DNS จะเริ่มจากการถาม root DNS server ก่อน
      สำหรับ foo.com หรือ foo.de คุณจะถาม root server ก่อนเพื่อหาเนมเซิร์ฟเวอร์ที่รับผิดชอบ .com และ .de จากนั้นค่อยถามเซิร์ฟเวอร์ .com หรือ .de เพื่อหาเนมเซิร์ฟเวอร์ของ foo.com และ foo.de สิ่งที่ DNSSEC ทำก็แค่ใส่ลายเซ็นให้คำตอบเหล่านี้ และเพิ่ม public key เพื่อใช้ยืนยันคำตอบในขั้นถัดไปเท่านั้น
      รายการ IP ของ root nameserver จะถูกรวมอยู่ใน local recursive DNS resolver ทุกตัวอยู่แล้ว รายการนี้เปลี่ยนช้ามากในช่วงหลายปี และใน DNSSEC รายการนี้ก็จะมี public key ของ root server รวมอยู่ด้วย ซึ่งก็หมุนเปลี่ยนช้าเช่นกัน
    • สิ่งที่เห็นตอนนี้คือ ภาพของการที่การกระจายศูนย์ทำงานอยู่ ปัญหาอยู่ที่ผู้ดูแลโดเมนระดับบนสุด .de ดังนั้นจึงมีผลกระทบแค่โดเมนระดับบนสุดนี้เท่านั้น
      DNS ไม่ได้กระจายศูนย์ในความหมายที่ว่าโครงสร้างพื้นฐานของโดเมนระดับบนสุดหนึ่งชุดจะถูกบริหารโดยหลายองค์กร โดเมนระดับบนสุดจะมีผู้ดำเนินการเพียงรายเดียวเสมอ .com และ .net ดำเนินการโดย Verisign
      ดังนั้นปัญหาที่เกิดกับผู้ดำเนินการจึงไม่ได้เปลี่ยนขอบเขตของผลกระทบ

  • ตอนนี้ Cloudflare ปิดการตรวจสอบ DNSSEC บน resolver 1.1.1.1 แล้ว: https://www.cloudflarestatus.com/incidents/vjrk8c8w37lz

    • ถึงขั้นนี้แล้วคงพูดได้ว่า DNSSEC จบเห่แล้ว
    • ถ้าภายหลังพบว่าปัญหา DNSSEC นี้เกิดจากผู้ไม่หวังดี นี่อาจเป็นหนึ่งใน ผลกระทบปลายน้ำ ที่เขาเล็งไว้ก็ได้

  • ขอแปะบทความชั้นครูของ Thomas Ptacek เกี่ยวกับ DNSSEC ไว้ตรงนี้
    https://sockpuppet.org/blog/2015/01/15/against-dnssec/

  • บ้ามาก ผมจำไม่ได้เลยว่าเคยมีเหตุการณ์แบบนี้มาก่อนหรือเปล่า แถมยังแก้ไม่หายอีกเหรอ? ในเชิงเศรษฐกิจ .de อาจเป็น โดเมนแบบไม่จำกัด ที่สำคัญรองจาก .com เลยก็ได้ เท่ากับว่ามีธุรกิจหลายล้านแห่ง “ล่ม” อยู่

  • ใช่แล้ว ทุกโดเมน .de ล่มเพราะ DNSSEC ของ DENIC ล้มเหลว
    https://dnsviz.net/d/de/dnssec/

  • เหมือนมาถึงเร็วไปหน่อย ยังไม่มี คำบ่นยาวเหยียดเรื่อง DNSSEC ของ tptacek ในเธรดนี้เลย

    • ผมจะต้องพูดยาวอะไรอีกล่ะ บางครั้งโลกก็พูดแทนคุณเอง
    • ตัวเหตุการณ์นี้มันพูดทุกอย่างอยู่แล้วไม่ใช่เหรอ?

  • ผมเครียดมากเพราะเชื่อมต่อบริการและแอปต่าง ๆ ผ่านโดเมนของตัวเองไม่ได้เลย ใช้งานได้แค่ผ่านเน็ตมือถือ แต่ครั้งนี้อย่างน้อยก็ไม่ใช่ความผิดของผม

    • แต่เราก็เป็นคนเยอรมัน เราต้องมีใครสักคนให้โทษอยู่ดี

  • ที่ https://status.denic.de/ ตอนนี้ DNS Nameservice ถูกแสดงเป็น “Partial Service Disruption” แล้ว
    แก้ไข: ตอนนี้เปลี่ยนเป็น “Service Disruption” แล้ว

    • ต่อให้เว็บไซต์ทั้งประเทศเศรษฐกิจอันดับ 3 ของโลกจะล่มหมด ก็ยังเป็นแค่บริการขัดข้อง “บางส่วน” :D
    • ทั้งเยอรมนีออฟไลน์ แต่ DENIC บอกว่าเป็น “Partial Service Disruption” วิธีใช้คำช่างมีเอกลักษณ์จริง ๆ
    • ตอนนี้ขึ้นว่า “Server Not Found” แล้ว
    • “All Systems Operational”