← 1.1.1.1 (DNS resolver) / 1.1.1.1 / infrastructure

Rozšířené chybové kódy DNS

Rozšířené chybové kódy DNS ↗ (definovaný v RFC 8914) je metoda pro vrácení doplňujících informací o příčině chyb DNS. Pokud dotaz DNS selže, standardní kód odpovědi (například SERVFAIL) často nevysvětluje proč se to nezdařilo. Rozšířené chybové kódy DNS tento problém řeší tím, že k odpovědi připojí konkrétnější chybový kód a popisný text, takže přesnou příčinu zjistíte bez hádání.

1.1.1.1 podporuje Extended DNS Error Codes. Níže najdete seznam chybových kódů, které 1.1.1.1 vrací, jejich význam a kroky, které můžete podniknout k vyřešení problému. Mnohé z těchto chyb souvisejí s DNSSEC (DNS Security Extensions), tedy sadou protokolů, které přidávají k DNS záznamům kryptografické podpisy a brání tak jejich neoprávněné úpravě. Extended DNS Error Codes se automaticky zobrazují v OPT PSEUDOSECTION z dig odpovědi, pokud je server zahrne, například:

dig @1.1.1.1 example.com A

Číslo kódu	Název kódu	Příklad výstupu	Další kroky
1	Nepodporovaný algoritmus DNSKEY	`EDE: 1 (Unsupported DNSKEY Algorithm): (failed to verify example.com. A: unsupported key size, DNSKEY example.com., id = 12345)`	Doména neprošla validací DNSSEC. Zkontrolujte, které algoritmus podepisovacího klíče váš web používá a ověřte, že jej 1.1.1.1 podporuje.
2	Nepodporovaný typ digestu DS	`EDE: 2 (Unsupported DS Digest Type): (no supported DS digest type for example.com.)`	Doména neprošla validací DNSSEC, protože záznam DS obsahuje nepodporovaný typ digest. Pokud není podporován žádný z uvedených záznamů DS, překlad domény se nezdaří. Ujistěte se, že přidejte podporovaný záznam DS u svého registrátora.
3	Zastaralá odpověď	`EDE: 3 (Stale Answer)`	Jde o tichou chybu. Upozorňuje, že DNS resolver mohl vrátit pouze zastaralá data. Pokud problém přetrvává, ozvěte se na 1.1.1.1 komunitní fórum.
6	DNSSEC Bogus	`EDE: 6 (DNSSEC Bogus): (proof of non-existence of example.com. A)` `EDE: 6 (DNSSEC Bogus): (found duplicate CNAME records for example.com. (1 duplicate RRs))`	Tato doména neprošla validací DNSSEC. Podpisy cílového záznamu nebo důkaz neexistence cílových záznamů jsou neplatné. Zkontrolujte Konfigurace DNS.
7	Vypršelý podpis	`EDE: 7 (Signature Expired): (for DNSKEY example.com., id = 12345: RRSIG example.com., expiration = 123456)`	Tato doména neprošla validací DNSSEC, protože podpis vypršel. Ujistěte se, že je vaše zóna podepsána platnými Podpisy DNSSEC.
8	Podpis ještě neplatný	`EDE: 8 (Signature Not Yet Valid): (for DNSKEY example.com., id = 12345: RRSIG example.com., inception = 12345)`	Tato doména neprošla validací DNSSEC. Ujistěte se, že je vaše zóna podepsána platnými Podpisy DNSSEC.
9	Chybí DNSKEY	`EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for example.com.)`	Tato doména neprošla validací DNSSEC. Nemá SEP DNSKEY, který by odpovídal sadě záznamů DS v registru. Zónu podepište klíči odpovídajícími aktuální sadě DS, nebo přidejte chybějící záznamy DS u svého registrátora.
10	Chybí RRSIG	`EDE: 10 (RRSIGs Missing): (for DNSKEY example.com., id = 12345)`	1.1.1.1 se nepodařilo získat podpisy záznamů (RRSigs) potřebné k ověření pravosti záznamů. Zkontrolujte své Konfigurace DNS a kód odpovědi. Pokud kód odpovědi není `SERVFAIL`, tato chyba znamená, že se někde na cestě vyskytuje problém s neaktivním klíčem, ale resolver přesto našel alespoň jednu úspěšnou cestu k validaci. Mezi příklady problémů s neaktivním klíčem patří například probíhající rotace klíčů, záložní klíč nebo útočník odstraňující podpisy vytvořené určitým klíčem.
11	No Zone Key Bit Set	`EDE: 11 (No Zone Key Bit Set): (for DNSKEY example.com., id = 12345)`	Tato doména neprošla validací DNSSEC. SEP DNSKEY zóny musí nastavit příznak Zone Key. Zkontrolujte své Konfigurace DNSSEC nebo u DNSSEC průvodce řešením problémů.
12	NSEC Missing	`EDE: 12 (NSEC Missing): failed to verify an insecure referral proof for example.com`	Tato doména neprošla validací DNSSEC. Nadřazený nameserver nepřipojil platný důkaz neexistence pro cílový název. Ujistěte se, že zóna je podepsáno pomocí DNSSEC a má platný Záznamy NSEC/NSEC3.
13	Chyba v mezipaměti	`EDE: 13 (Cached Error)`	1.1.1.1 vrátil chybu uloženou v cache. Pokud problém přetrvává, obraťte se na komunitní fórum.
22	No Reachable Authority	`EDE: 22 (No Reachable Authority): (at delegation example.com.)`	1.1.1.1 se nepodařilo spojit s některými nebo všemi autoritativními nameservery (případně tyto nameservery odmítly dotaz zpracovat). K tomu může dojít, pokud jsou autoritativní nameservery přetížené nebo dočasně nedostupné. Pokud problém přetrvává, obraťte se na komunitní fórum.
23	Network Error	`EDE: 23 (Network Error): (1.1.1.1:53 rcode=SERVFAIL for example.com. A)`	1.1.1.1 nedokázal určit síťovou cestu k nadřazeným nameserverům, nebo nameserver neodpověděl. Pokud problém přetrvává, obraťte se na komunitní fórum.
30	Invalid Query Type	`EDE: 30 (Invalid Query Type): Invalid Query Type`	Typ záznamu v požadavku nemůže poskytnout platnou odpověď. Pokud se toto vrátí u standardních typů dotazů, jako jsou záznamy A nebo AAAA, obraťte se na komunitní fórum.
33	Negative Trust Anchor	`EDE: 33 (Negative Trust Anchor): (a Negative Trust Anchor has been applied for this query (see RFC 7646))`	A Negative Trust Anchor byl u tohoto dotazu použit a obešel ověření DNSSEC. Zkontrolujte Stránka stavu Cloudflare pro podrobnosti a přečtěte si naše příspěvek na blogu o EDE 33 s dalšími informacemi.