Yandex DNS DoH/DoT отдаёт просроченный сертификат

[almirus]

Список альтернатив

https://github.com/curl/curl/wiki/DNS-over-HTTPS

[Blacker]

Можно только догадываться, сколько народа сегодня (как и я сам), обладая роутерами Keenetic и подобными, с возможностью включить Yandex DNS в 2 клика, негодуют из-за отвалившегося резолвинга.

Репутация Яндекса среди IT'шников и так не особо высока, а такими инцидентами они сами себя опускают на дно. Обидно, однако.

[INSTE]

В Keenetic используются адреса навроде https://common.doh.dns.yandex.net/dns-query для DoH, и по этим адресам нет и не было явных проблем с сертификатами.

[s7eepz]

Только кто отрезолвит имя, если другие днс не прописаны?

[INSTE]

Для boostrap будут использованы DNS провайдера, а если они не указаны или недоступны, то будет произведен рекурсивный резолвинг.

[s7eepz]

раньше в кинетиках не работал fallback помню на прошивках 3.х, если не указан днс провайдера.

сейчас глянул на 4.2, все ок)

[INSTE]

Еще в прошлом году было поправлено, да.

[denis-19]

Хабр запросил комментарий в Яндексе - там готовят ответ.

[GiaNT_05]

Ответ по типу: простите, certbot в crontab забыли прописать 🐱

[denis-19]

пока ответа нет, решили оставить без комментариев(

[blind_oracle]

Позорище.

Это значит что у них нет ни мониторинга, ни нормально организованного процесса для ротации...

При Воложе такой фигни не было!

[GoldGoblin]

Он все забрал с собой да?

[exTvr]

Все полимеры.

[Vitimbo]

Любой мониторинг упирается в человека, который мог получить сигнал, но продолбать сроки.

[blind_oracle]

Значит система не организована правильно.

В нормальных платформах для инцидентов (OpsGenie там и т.п.) есть эскалации - если основной ответственный не среагировал на инцидент, то нотифицируется следующий или начальник или ещё кто-то.

Плюс, обычно, обновление сертификатов начинает происходить задолго до истечения - есть много времени чтобы среагировать.

Так что тут явно косяк в организации многих процессов.

[HepoH]

Звучит суверенно

[fshp]

А чем яндексовский отличается от провайдеровского? Яндекс требования надзорных органов не исполняет?

[Zrgk]

Зачем он нужен когда есть 1.1.1.1?

[mshewzov]

Сегодня прошёл почти 1 год с того инцидента и снова проблемы с DNS от Яндекса. Заметил, что у моего Кинетика 100% нагрузка на ЦП. В логах вижу запросы к DNS серверам и ошибки - не получен ответ. Перенастроил на сервера провайдера и всё стало ок. Решил поискать в сети, что может быть подобная проблема уже возникала. И наткнулся на этот пост.