如何修复DNSSEC验证问题 - Câu hỏi thường gặp

Đã đăng: 2026-07-03 | Đã cập nhật: 2026-07-03

Cách Khắc Phục Sự Cố Xác Thực DNSSEC

DNSSEC các sự cố xác thực thường xảy ra khi bản ghi DS tại cơ quan đăng ký không khớp với bản ghi DNSKEY tại nhà cung cấp DNS, vùng không được ký, bản ghi DS cũ vẫn còn sau khi thay đổi máy chủ tên, hoặc DNSSEC được bật trước khi nhà cung cấp sẵn sàng. Kiểm tra máy chủ tên hiện tại, bản ghi DS, bản ghi DNSKEY, việc ký vùng và kết quả xác thực trước khi thực hiện thay đổi.

Hướng Dẫn Này Dành Cho Ai
Hướng dẫn này dành cho:
· Người dùng gặp SERVFAIL sau các thay đổi DNSSEC
· Chủ sở hữu tên miền đã thay đổi máy chủ tên với DNSSEC được bật
· Doanh nghiệp có lỗi phân giải một phần
· Cơ quan và nhà cung cấp dịch vụ lưu trữ xử lý sự cố DNSSEC
· Nhà bán lẻ hỗ trợ DNSSEC của khách hàng

Trước Khi Bắt Đầu
Trước khi bắt đầu, hãy chuẩn bị:
· Tên miền
· Máy chủ tên hiện tại và trước đây
· Quyền truy cập DNSSEC của cơ quan đăng ký
· Quyền truy cập nhà cung cấp DNS
· Bản ghi DS hiện tại
· Giá trị DNSKEY
· Thay đổi chuyển nhượng hoặc máy chủ tên gần đây
· Ảnh chụp màn hình lỗi
· Sao lưu DNS

Hướng Dẫn Từng Bước
Bước 1: Xác Nhận DNSSEC Là Vấn Đề
Tìm SERVFAIL, lỗi xác thực hoặc chỉ lỗi trên trình phân giải xác thực.
· IP sai hoặc thiếu MX có thể là cấu hình DNS sai bình thường
Bước 2: Kiểm Tra Máy Chủ Tên Hiện Tại
DNSSEC phải khớp với nhà cung cấp DNS đang hoạt động.
· Máy chủ tên cũ và máy chủ tên mới đều quan trọng
Bước 3: Kiểm Tra Bản Ghi DS Tại Cơ Quan Đăng Ký
Ghi lại key tag, thuật toán, loại digest, digest và liệu có nhiều bản ghi DS hay không.
· Bản ghi DS cũ thường gặp sau khi di chuyển
Bước 4: Kiểm Tra DNSKEY Tại Nhà Cung Cấp DNS
Xác nhận việc ký vùng, DNSKEY, KSK/ZSK và giá trị DS được tạo.
· Nhà cung cấp phải ký vùng đang hoạt động
Bước 5: So Sánh DS và DNSKEY
Sự không khớp gây ra lỗi xác thực.
· Sử dụng giá trị mới từ nhà cung cấp DNS đang hoạt động
Bước 6: Kiểm Tra Việc Ký Vùng
Tìm DNSKEY, RRSIG, NSEC/NSEC3 và trạng thái ký của nhà cung cấp.
· Vùng chưa ký cộng với bản ghi DS là rủi ro
Bước 7: Xóa DS Sai Nếu Cần
Nếu DS sai gây ra lỗi và cấu hình đúng chưa sẵn sàng, hãy xóa DS không hợp lệ để khôi phục phân giải.
· Bật lại sau đó với dữ liệu chính xác
Bước 8: Bật Lại Đúng Cách
Ổn định máy chủ tên, bật ký của nhà cung cấp, thêm DS mới, sau đó xác minh.
· Không thêm DS trước khi ký
Bước 9: Xem Lại Chuyển Nhượng Gần Đây
Kiểm tra xem bản ghi DS hoặc nhà cung cấp DNS có thay đổi trong quá trình chuyển nhượng không.
· Cơ quan đăng ký mới có thể cần xem lại DS
Bước 10: Kiểm Tra Website và Email
Sau khi xác thực được sửa, hãy kiểm tra A, CNAME, MX, TXT, SSL và CDN.
· DNSSEC ảnh hưởng đến mọi tra cứu được xác thực
Bước 11: Ghi Lại Bản Sửa
Lưu nguyên nhân, thay đổi DS, nhà cung cấp hiện tại và kết quả kiểm tra.
· Ngăn ngừa sự cố lặp lại trong tương lai

Xử Lý Sự Cố
Tên Miền Hiển Thị SERVFAIL
Nguyên nhân có thể:
· DS không khớp
· Thiếu DNSKEY
· Vùng chưa ký
· DS cũ vẫn còn
Việc cần làm:
· Kiểm tra DS/DNSKEY
· Xóa DS sai
· Xác minh việc ký
Lỗi Sau Khi Thay Đổi Máy Chủ Tên
Nguyên nhân có thể:
· DS cũ trỏ đến nhà cung cấp trước đó
· Nhà cung cấp mới chưa ký
Việc cần làm:
· Xóa DS cũ hoặc thêm DS của nhà cung cấp mới
Lỗi Sau Khi Chuyển Nhượng Tên Miền
Nguyên nhân có thể:
· DS không được chuyển hoặc đã thay đổi
· DNS của cơ quan đăng ký cũ đã ngừng
Việc cần làm:
· Xem lại DS phía cơ quan đăng ký và nhà cung cấp DNS đang hoạt động
Email Lỗi Sau DNSSEC
Nguyên nhân có thể:
· Tra cứu MX lỗi xác thực
· Bản ghi TXT không truy cập được
Việc cần làm:
· Sửa DNSSEC trước, sau đó kiểm tra bản ghi email

Lỗi Thường Gặp
Lỗi 1: Thay đổi máy chủ tên mà không xóa DS cũ
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 2: Thêm DS trước khi ký vùng hoạt động
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 3: Sao chép giá trị DS không chính xác
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 4: Giả định DNSSEC là SSL
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 5: Chỉ xử lý sự cố bản ghi A
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 6: Bỏ qua máy chủ tên hiện tại
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 7: Để lại nhiều bản ghi DS cũ
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 8: Thực hiện thay đổi ngẫu nhiên trong SERVFAIL
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 9: Không kiểm tra trình phân giải xác thực
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.
Lỗi 10: Không ghi lại cấu hình
Xem lại mục này trước khi thực hiện thay đổi hoặc mở phiếu hỗ trợ.

Câu Hỏi Thường Gặp
1. Lỗi xác thực DNSSEC là gì?
Trình phân giải không thể xác minh dữ liệu DNS đã ký cho tên miền.
2. SERVFAIL nghĩa là gì?
Trình phân giải không thể hoàn thành truy vấn, thường do DNSSEC sau các thay đổi DNS.
3. Điều gì gây ra lỗi?
DS không khớp, thiếu DNSKEY, vùng chưa ký, bản ghi DS cũ hoặc sự cố xoay vòng khóa.
4. Tôi có nên xóa bản ghi DS không?
Nếu DS sai gây ra lỗi, xóa nó có thể khôi phục phân giải cho đến khi DNSSEC được bật lại đúng cách.
5. Tại sao sau khi thay đổi máy chủ tên?
DS cũ có thể trỏ đến khóa của nhà cung cấp DNS trước đó.
6. DNSSEC có thể ảnh hưởng đến email không?
Có, tra cứu MX và TXT có thể lỗi xác thực.
7. NiceNIC có thể sửa DNSSEC bên ngoài không?
NiceNIC có thể xem lại DS phía cơ quan đăng ký; nhà cung cấp DNS phải xác nhận việc ký.
8. Tôi có nên bật lại sau đó không?
Có, sau khi máy chủ tên và việc ký đã chính xác.

Cần hỗ trợ? Chúng tôi luôn ở đây vì bạn. Hỗ trợ con người