Yandex DNS DoH/DoT отдаёт просроченный сертификат

UPDATE: сертификат обновили

DNS сервера Яндекса

77.88.8.8 

77.88.8.1 

отдают просроченный сертификат при обращении по протоколам DoH/DoT. Если вы используете их для резолва, скорее всего, у вас будут проблемы с DNS запросами.

HTTPS: tls: failed to verify certificate: x509: certificate has expired or is not yet valid: current time 2024-08-28T07:12:33Z is after 2024-08-28T05:24:51Z

Список альтернатив: https://en.wikipedia.org/wiki/Public_recursive_name_server

@Pavel7
28.08.2024 12:17 UTC
Первоисточник

Комментарии

@almirus
28.08.2024 07:31 UTC
0

Список альтернатив

https://github.com/curl/curl/wiki/DNS-over-HTTPS

@
28.08.2024 18:59 UTC
0
НЛО прилетело и опубликовало эту надпись здесь
@Blacker
28.08.2024 07:50 UTC
+13

Можно только догадываться, сколько народа сегодня (как и я сам), обладая роутерами Keenetic и подобными, с возможностью включить Yandex DNS в 2 клика, негодуют из-за отвалившегося резолвинга.

Репутация Яндекса среди IT'шников и так не особо высока, а такими инцидентами они сами себя опускают на дно. Обидно, однако.

@INSTE
28.08.2024 09:02 UTC
0

В Keenetic используются адреса навроде https://common.doh.dns.yandex.net/dns-query для DoH, и по этим адресам нет и не было явных проблем с сертификатами.

28.08.2024 09:41 UTC
+1

Только кто отрезолвит имя, если другие днс не прописаны?

28.08.2024 11:39 UTC
+1

Для boostrap будут использованы DNS провайдера, а если они не указаны или недоступны, то будет произведен рекурсивный резолвинг.

28.08.2024 12:12 UTC
0

раньше в кинетиках не работал fallback помню на прошивках 3.х, если не указан днс провайдера.

сейчас глянул на 4.2, все ок)

28.08.2024 13:03 UTC
0

Еще в прошлом году было поправлено, да.

@denis-19
28.08.2024 07:56 UTC
+11

Хабр запросил комментарий в Яндексе - там готовят ответ.

@GiaNT_05
28.08.2024 15:06 UTC
0

Ответ по типу: простите, certbot в crontab забыли прописать 🐱

28.08.2024 15:06 UTC
+1

пока ответа нет, решили оставить без комментариев(

28.08.2024 19:03 UTC
0
НЛО прилетело и опубликовало эту надпись здесь
@blind_oracle
28.08.2024 08:00 UTC
+3

Позорище.

Это значит что у них нет ни мониторинга, ни нормально организованного процесса для ротации...

При Воложе такой фигни не было!

@GoldGoblin
28.08.2024 08:15 UTC
+2

Он все забрал с собой да?

28.08.2024 08:20 UTC
+7

Все полимеры.

@Vitimbo
28.08.2024 08:16 UTC
0

Любой мониторинг упирается в человека, который мог получить сигнал, но продолбать сроки.

28.08.2024 08:24 UTC
+3

Значит система не организована правильно.

В нормальных платформах для инцидентов (OpsGenie там и т.п.) есть эскалации - если основной ответственный не среагировал на инцидент, то нотифицируется следующий или начальник или ещё кто-то.

Плюс, обычно, обновление сертификатов начинает происходить задолго до истечения - есть много времени чтобы среагировать.

Так что тут явно косяк в организации многих процессов.

@HepoH
28.08.2024 08:17 UTC
+5

Звучит суверенно

@
28.08.2024 19:05 UTC
0
НЛО прилетело и опубликовало эту надпись здесь
@fshp
29.08.2024 05:22 UTC
+1

А чем яндексовский отличается от провайдеровского? Яндекс требования надзорных органов не исполняет?

@Zrgk
29.08.2024 09:27 UTC
+1

Зачем он нужен когда есть 1.1.1.1?

@mshewzov
18.08.2025 17:42 UTC
+1

Сегодня прошёл почти 1 год с того инцидента и снова проблемы с DNS от Яндекса. Заметил, что у моего Кинетика 100% нагрузка на ЦП. В логах вижу запросы к DNS серверам и ошибки - не получен ответ. Перенастроил на сервера провайдера и всё стало ок. Решил поискать в сети, что может быть подобная проблема уже возникала. И наткнулся на этот пост.