← 1.1.1.1 (DNS-резолвер) / 1.1.1.1 / infrastructure

Расширенные коды ошибок DNS

Расширенные коды ошибок DNS ↗ (определён в RFC 8914) позволяет возвращать дополнительные сведения о причине ошибки DNS. Когда DNS-запрос завершается ошибкой, стандартный код ответа (например, SERVFAIL) зачастую не объясняет почему он завершился ошибкой. Extended DNS Error Codes решают эту проблему, добавляя к ответу более конкретный код ошибки и описание, чтобы вы могли точно определить причину, не гадая.

1.1.1.1 поддерживает Extended DNS Error Codes. Ниже приведён список кодов ошибок, которые возвращает 1.1.1.1, их значение и возможные шаги для устранения проблемы. Многие из этих ошибок связаны с DNSSEC (DNS Security Extensions), набором протоколов, которые добавляют криптографические подписи к записям DNS для защиты от подмены. Коды Extended DNS Error Codes отображаются автоматически в OPT PSEUDOSECTION для dig-ответе, когда сервер их включает, например:

dig @1.1.1.1 example.com A

Числовой код	Кодовое имя	Пример вывода	Следующие шаги
1	Неподдерживаемый алгоритм DNSKEY	`EDE: 1 (Unsupported DNSKEY Algorithm): (failed to verify example.com. A: unsupported key size, DNSKEY example.com., id = 12345)`	Домен не прошёл проверку DNSSEC. Проверьте, какие алгоритм ключа подписи, который использует ваш сайт, и убедитесь, что он поддерживается 1.1.1.1.
2	Неподдерживаемый тип дайджеста DS	`EDE: 2 (Unsupported DS Digest Type): (no supported DS digest type for example.com.)`	Домен не прошёл проверку DNSSEC из-за неподдерживаемого типа дайджеста в записи DS. Если ни одна из предоставленных записей DS не поддерживается, домен не будет разрешаться. Убедитесь, что добавить поддерживаемую запись DS у вашего регистратора.
3	Устаревший ответ	`EDE: 3 (Stale Answer)`	Это тихая ошибка. Она означает, что DNS-резолвер смог вернуть только устаревшие данные. Если проблема не исчезает, обратитесь в 1.1.1.1 форум сообщества.
6	DNSSEC Bogus	`EDE: 6 (DNSSEC Bogus): (proof of non-existence of example.com. A)` `EDE: 6 (DNSSEC Bogus): (found duplicate CNAME records for example.com. (1 duplicate RRs))`	Домен не прошёл проверку DNSSEC. Подписи для целевой записи или доказательство отсутствия целевых записей недействительны. Проверьте свои Настройка DNS.
7	Истёк срок действия подписи	`EDE: 7 (Signature Expired): (for DNSKEY example.com., id = 12345: RRSIG example.com., expiration = 123456)`	Домен не прошёл проверку DNSSEC из-за истёкшей подписи. Убедитесь, что зона подписана действительными Подписи DNSSEC.
8	Подпись ещё не действительна	`EDE: 8 (Signature Not Yet Valid): (for DNSKEY example.com., id = 12345: RRSIG example.com., inception = 12345)`	Домен не прошёл проверку DNSSEC. Убедитесь, что зона подписана действительными Подписи DNSSEC.
9	DNSKEY отсутствует	`EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for example.com.)`	Домен не прошёл проверку DNSSEC. У него нет SEP DNSKEY, соответствующего набору записей DS в реестре. Подпишите зону ключами, соответствующими текущему набору DS, либо добавить отсутствующие записи DS у вашего регистратора.
10	RRSIG-записи отсутствуют	`EDE: 10 (RRSIGs Missing): (for DNSKEY example.com., id = 12345)`	1.1.1.1 не удалось получить подписи ресурсных записей (RRSig) для проверки подлинности записей. Проверьте Настройка DNS и код ответа. Если код ответа отличается от `SERVFAIL`, эта ошибка означает, что где-то на пути возникла проблема с нерабочим ключом, но резолвер нашёл хотя бы один успешный путь проверки. Примеры проблем с нерабочим ключом включают, среди прочего, выполняющуюся смену ключа, резервный ключ и удаление злоумышленником подписей, сделанных определённым ключом.
11	No Zone Key Bit Set	`EDE: 11 (No Zone Key Bit Set): (for DNSKEY example.com., id = 12345)`	Домен не прошёл проверку DNSSEC. SEP DNSKEY зоны должен установить флаг Zone Key. Проверьте Настройка DNSSEC или DNSSEC руководство по устранению неполадок.
12	NSEC Missing	`EDE: 12 (NSEC Missing): failed to verify an insecure referral proof for example.com`	Домен не прошёл проверку DNSSEC. Вышестоящий сервер имён не предоставил действительное доказательство отсутствия целевого имени. Убедитесь, что зона подписано с помощью DNSSEC и имеет действительный Записи NSEC/NSEC3.
13	Кешированная ошибка	`EDE: 13 (Cached Error)`	1.1.1.1 вернул кешированную ошибку. Если проблема повторяется, обратитесь в форум сообщества.
22	No Reachable Authority	`EDE: 22 (No Reachable Authority): (at delegation example.com.)`	1.1.1.1 не удалось связаться с некоторыми или всеми авторитетными серверами имён (либо они, возможно, отказались выполнить разрешение). Это может произойти, если авторитетные серверы имён перегружены или временно недоступны. Если проблема повторяется, обратитесь в форум сообщества.
23	Network Error	`EDE: 23 (Network Error): (1.1.1.1:53 rcode=SERVFAIL for example.com. A)`	1.1.1.1 не удалось определить сетевой путь до вышестоящих серверов имён, либо сервер имён не ответил. Если проблема повторяется, обратитесь в форум сообщества.
30	Invalid Query Type	`EDE: 30 (Invalid Query Type): Invalid Query Type`	Тип записи в запросе не может дать корректный ответ. Если это происходит со стандартными типами запросов, например A или AAAA, обратитесь в форум сообщества.
33	Negative Trust Anchor	`EDE: 33 (Negative Trust Anchor): (a Negative Trust Anchor has been applied for this query (see RFC 7646))`	A Negative Trust Anchor было применено к этому запросу в обход проверки DNSSEC. Проверьте страница статуса Cloudflare за подробностями и ознакомьтесь с нашим статья в блоге о EDE 33, где это описано подробнее.