الخلاصة
- أفادت GoDaddy بأن الانقطاع بدأ في 12 ديسمبر 2025 عند 21:20 بتوقيت غرينتش، وانتهى عند 21:28 بعد اكتشاف الأمر المنفذ عن غير قصد وعكسه [1].
- قالت الشركة إن جميع خدمات DNS الموثوقة التابعة لها تأثرت. فشل الاستعلام الذي يحتاج إلى إجابة جديدة، في حين خففت الإجابات الصالحة في الذاكرة المؤقتة الأثر لدى مستخدمين آخرين [1].
- لا يكشف البيان العام نص الأمر أو مسار اعتماده أو البادئات والعقد المتأثرة أو حجم الاستعلامات الفاشلة أو بصمات الإعداد. يجب إبقاء هذه الحدود معلنة بدل ملئها بالافتراض.
- تشرح وثائق IETF تشغيل Anycast وDNS الموثوق وTTL والمراقبة من مواقع متعددة، لكنها لا تثبت الآلية غير المنشورة لهذا الحادث [2][3][4][5].
- يربط التحكم القابل للتدقيق الأمر بكائنات دقيقة وبما يستبعده أيضًا، ويبدأ باختبار محدود قابل للعكس، ويقيس الأثر من خارج مستوى التحكم، ثم يثبت عودة الإعداد والخدمة بعد التراجع.
تثبيت حدود الواقعة
يتناول هذا المقال انقطاع 12 ديسمبر 2025، لا حادث DNS المنفصل الذي وقع لدى GoDaddy في 2012. لكل واقعة تاريخ وسجل عام وحدود تشغيلية مختلفة؛ لذلك لا يجوز نقل سبب أو علاج من واحدة إلى الأخرى.
نشرت GoDaddy شرحها في 15 ديسمبر. يحدد سجل المشغل عدة وقائع: نُفذ أمر عن غير قصد، وتوقف الوصول عبر Anycast إلى DNS الموثوق ثماني دقائق، وتأثرت جميع خدمات GoDaddy الموثوقة، واكتُشف الأمر وعُكس، ثم حدثت تحديثات في جداول التوجيه بعد عودة شبكة Anycast [1].
لا يحدد البيان الكائن الذي استهدفه الأمر. ولا يوضح هل غيّر سياسة BGP مباشرة، أم حالة في نظام تنسيق، أم اقترانًا بين صحة الخدمة وإعلان المسار، أم بادئة تغطية، أم عنصرًا آخر. كما لا يسرد البادئات والعقد والأنظمة المستقلة والمناطق وعدد النطاقات ونسبة الفشل أو موافقات التنفيذ وبصمات ما قبل التغيير وما بعده.
غياب هذه البيانات لا يثبت عدم وجود ضابط معين، ولا يسمح بإسناد خطأ فردي. إنه يحدد ما يمكن قوله بمسؤولية. تُنسب وقائع الحادث إلى GoDaddy، وتُستخدم المعايير لبناء أسئلة الإثبات، لا لاختراع طوبولوجيا غير منشورة.
DNS الموثوق وAnycast حالتان مختلفتان
يوفر DNS الموثوق الإجابة النهائية للأسماء المفوضة إليه. وإذا لم يكن لدى المحلل التكراري جواب صالح مخزن، وجب أن يصل إلى خادم موثوق. تشرح RFC 1034 أن قيمة TTL تحدد مدة بقاء سجل الموارد في الذاكرة المؤقتة [4]. ولهذا قد يمر مستخدمان بتجربتين مختلفتين خلال الدقائق الثماني نفسها.
أما Anycast فيوزع الوصول إلى عنوان خدمة. تصف RFC 4786 عنوانًا واحدًا يُعلن من عقد متعددة منفصلة، ثم يوجه نظام التوجيه الطلب إلى واحدة منها [2]. صحة بيانات المنطقة، وصحة الخادم، وظهور المسار حالات مترابطة، لكنها ليست حالة واحدة.
قد تكون المنطقة صحيحة بينما يصبح عنوان الخدمة غير قابل للوصول. وقد تكون العقدة مستعدة للإجابة لكن إعلانها اختفى. وقد يبقى المسار ظاهرًا فيما الخدمة خلفه متوقفة. لا يمكن تحديد الطبقة التي تغيرت إلا بربط سجل التنفيذ بحالة المسار وباستعلام DNS حقيقي.
استخدمت GoDaddy عبارة انقطاع «الوصول عبر Anycast»، وقالت إن جداول التوجيه تحدثت أثناء التعافي [1]. يدعم ذلك استنتاج فقدان قابلية الوصول، لكنه لا يثبت سحب جميع إعلانات BGP ولا يكشف كائن التحكم الدقيق.
الأمر العالمي يحتاج إلى هوية كائن دقيقة
عبارة «شبكة DNS» واسعة جدًا لتكون هدف تغيير. يجب حل الطلب إلى عناوين خدمة وبادئات ومجموعات عقد وسياسات توجيه وإصدارات إعداد. ويُوسّع المحدد المقروء بشريًا إلى قائمة قابلة للمقارنة، ثم تُجمّد وتُربط ببصمة. إذا تغير المخزون بعد المراجعة انتهت صلاحية الموافقة.
يشمل إثبات النطاق ما يقع خارجه. فإذا استهدف الأمر عقدة اختبار، يجب أن يبين أن عقد الإنتاج والبادئات العالمية غير مشمولة. وإذا كان إقليميًا، ينبغي التأكد من احتفاظ مناطق الالتقاط الأخرى بإعلاناتها وبإجاباتها الصحيحة.
نص الأمر وحده غير كاف. قد توسع الأسماء البديلة والوسوم والمجموعات الديناميكية والإعدادات المولدة الهدف عند التنفيذ. لذلك يجب أن تراجع الموافقة قائمة الأهداف المحلولة والحالة الحالية والفارق المولد والأثر المتوقع في التوجيه.
قد تكون العملية العالمية ضرورية في أزمة. ولهذا تحتاج إلى فئة تحكم أعلى: اعتماد مستقل، وتراجع محسوب مسبقًا، وشروط توقف، ومجسات خارجية، وتوسيع تدريجي يبدأ من هدف معزول.
تعدد العقد لا يساوي الاستقلال
يوفر Anycast توزيعًا جغرافيًا، لكن التحكم المشترك قد يصبح مجال العطل الحقيقي. إذا استطاع محدد واحد أو مولد سياسة أو اعتماد أو منسق تغيير كل العقد معًا، فلن يحمي التباعد الجغرافي من ذلك الفعل المشترك.
تناقش RFC 4786 الارتباط بين توافر الخدمة وإعلان المسار، ومخاطر البادئات التي تغطي عدة خدمات، وصعوبة مراقبة Anycast من نقطة واحدة [2]. لذلك يثبت الاستقلال بانتقال عطل واقعي، لا بعدّ المربعات في رسم هندسي.
يجب أن يزيل الاختبار عقدة أو مجموعة إعلانات ويؤكد استمرار الإجابات الموثوقة الصحيحة من المواقع الأخرى. كما ينبغي أن يثبت أن الاستعادة الآلية لا توسع عطلًا محليًا، وأن تعطل خدمة ضمن بادئة مشتركة لا يسحب خدمات أخرى معها.
يمكن اختبار توسيع المحدد في بيئة معزولة ورفض أي هدف زائد. وفي الإنتاج يغير اختبار محدود قابل للعكس مجموعة واحدة فقط، بينما تُرسل استعلامات تركيبية من شبكات متعددة. لا يُوسّع التنفيذ إلا إذا بقيت مناطق الالتقاط غير المستهدفة مستقرة.
الذاكرة المؤقتة تغير الرؤية ولا تلغي واجب الخدمة
قالت GoDaddy إن التخزين المؤقت جعل الأثر يتركز إلى حد كبير على من احتاجوا إلى بحث جديد [1]. هذه ملاحظة مهمة: تعطل السلطة الموثوقة لا يظهر بالضرورة كتوقف كل المواقع في اللحظة نفسها.
لكن الذاكرة المؤقتة ليست ضمانًا. قد لا يكون الاسم الجديد مخزنًا، وقد تنتهي صلاحية السجل أثناء الحادث، وتختلف سياسات المحللات. تصف RFC 8767 خيار تقديم بيانات منتهية في ظروف محددة [5]، لكنها لا تحدد أي محلل استخدمه في هذا الحادث.
يجب فصل مؤشرات نجاح الاستعلام الموثوق وقابلية الوصول إلى عنوان الخدمة والإجابة المخزنة والوصول النهائي إلى التطبيق. قد تخفف نسخة مخزنة العرض من دون أن تثبت استمرار المنصة الموثوقة.
للتعافي أيضًا ساعات متعددة: عودة الإعداد، وتقارب المسارات، وإعادة محاولة المحلل، وتعافي التطبيق. وإلى جانب توقيت 21:28 ينبغي الاحتفاظ بتوزيع أوقات التعافي المرصودة من شبكات مختلفة.
سجل التحكم يجب أن يطابق الشبكة العاملة
المخزون ومستودعات السياسات ومنصات النشر سجلات ضرورية للكائنات المعتمدة ومالكيها والحالة المقصودة. لكنها ليست الشبكة نفسها. قد يتوسع محدد معتمد بصورة خاطئة، وقد تبلغ API عن نجاح وتنتج أثر توجيه خاطئًا، ولا يثبت سجل التراجع أن الاستعلامات العامة عادت.
ينبغي أن يربط معرف تغيير واحد الطلب وبصمة الأهداف والفارق والمراجع ونتيجة التنفيذ والمسارات لكل عقدة واستعلامات DNS الخارجية وحالة الاستعادة. وتسمح ساعات مشتركة بترتيب الأمر وتغير المسار والفشل.
دليل التنفيذ يبين ما جرت محاولته، ودليل الأثر يبين ما حدث. إذا فقد العميل الرد، فقد تكون العملية نُفذت جزئيًا. يجب مطابقة مفتاح عدم التكرار مع الحالة الفعلية قبل إعادة الإرسال.
التراجع ليس أمرًا ثانيًا فقط. يجب أن يثبت عودة الإعداد السابق والإعلانات المتوقعة والإجابات الصحيحة واستقرار المجسات الخارجية، وأن يسجل أي اختلاف متبق.
حزمة إثبات قابلة للتنفيذ
قبل التنفيذ تثبت الحزمة أثر الخدمة والعناوين والعقد والنطاق المحلي أو العالمي والاعتماد المشترك والحالة الحالية والفارق والمراجعة والاختبار المحدود وشروط التوقف وخطة التراجع المختبرة. أي تغير في الأهداف يفرض مراجعة جديدة.
أثناء التنفيذ تحفظ بهيئة إضافة فقط هوية الفاعل الموثق وبايتات الطلب ومفتاح عدم التكرار ورد كل هدف وإصدار الإعداد. ويسجل مراقبون خارجيون بالتوازي المسارات ورموز DNS وصحة المحتوى والزمن وتغير منطقة الالتقاط. لا ينبغي أن تسمح هوية تغيير الشبكة بتعديل الدليل.
بعد التنفيذ تستعلم عدة مناطق مباشرة من عناوين الخدمة الموثوقة. تمنع أسماء مضبوطة غير مخزنة أو ذات TTL قصير ظهور حالة سليمة زائفة. إذا خالفت الصحة الداخلية قابلية الوصول الخارجية فلا يُغلق الحادث.
يجب أن يغطي اختبار عدم التكرار ثلاث حالات على الأقل: إزالة عقدة مع استمرار الباقي، ورفض محدد واسع عمدًا قبل التنفيذ، وتسوية نتيجة مجهولة من دون إعادة عمياء. تُحفظ الأهداف والمسارات والإجابات والتنبيهات وإثبات الاستعادة معًا.
بيان عام دقيق من دون كشف أسرار
نشرت GoDaddy التاريخ والمدة وفئة الخدمة ونوع الفعل وآلية الأثر والاستعادة ومجالات التحسين [1]. هذا أفضل من إشعار عام. ويمكن لتحديث لاحق أن يوضح، من دون نشر الصياغة أو الاعتمادات أو البادئات الحساسة، هل وصل الأمر إلى كائن عالمي مشترك، وهل وُجد اختبار محدود وسقف نطاق، وكيف كُشف الفشل، وهل كان التراجع معتمدًا مسبقًا، وهل أثبت اختبار لاحق العزل.
المهم هو التفريق بين تحسين مخطط وضابط اختُبر فعليًا. لا يستطيع عملاء DNS الموثوق تدقيق التوجيه الداخلي؛ لذا يسمح سجل عام مضبوط الحدود بتقييم تغير المخاطر مع الحفاظ على أمن التفاصيل.
حدود المسؤولية
تحكمت GoDaddy في المنصة الموثوقة التي وصفتها وفي الأمر الذي قالت إنه نُفذ عن غير قصد. وتحكمت المحللات التكرارية وشبكات الوصول والمتصفحات وأنظمة التشغيل في التخزين المؤقت وإعادة المحاولة. وربط التوجيه العالمي هذه الأطراف. تفسر الحدود اختلاف الأثر، لكنها لا تلغي ملكية التحكم المبدئي.
واجب المشغل هو قصر الفعل على الكائنات المقصودة، واكتشاف فقدان قابلية الوصول غير المتوقع، واستعادة حالة مثبتة. يمكن للمحللات تعزيز المرونة، لكنها لا تستطيع أن تحل بلا نهاية محل سلطة قابلة للوصول.
الخلاصة تتعلق بالدليل: يوزع Anycast الخدمة حقًا فقط حين تحافظ الضوابط على عقد مستقلة قابلة للوصول. ويخفف التخزين المؤقت الأعراض ما دامت الإجابة صالحة. ولا يستحق الأمر العالمي الثقة إلا عندما تُربط أهدافه وفروقته واعتماداته وآثاره وتراجعه وتُختبر على الشبكة التي عملت فعلًا.
المصادر
إحاطة الأعضاء
سياق أعمق للملف الشخصي
سجّل الدخول بمستوى العضوية المناسب لفتح الإحاطة الكاملة وملاحظات المصادر.
للدائرة الاستراتيجية فقط
الدائرة الاستراتيجية
مفتوح لجميع القراء. افتح إحاطات الملف الشخصي بعد الانضمام وتسجيل الدخول.
انضم إلى الدائرة الاستراتيجيةلأعضاء تحالف القيادات فقط
تحالف القيادات
لأصحاب الأصول الفكرية المؤهلين وللإدارة؛ سجّل الدخول للوصول إلى إحاطات التحالف.
انضم إلى تحالف القيادات