Кратко

  • В 15:32 UTC A, B, L и M вернули 38696; около 16:09 UTC все четыре имени повторили этот результат.
  • В 12:11 UTC A, M и два публичных рекурсивных сервиса ещё показывали 20326 — идентификатор KSK-2017. Это отдельные наблюдения, а не глобальная выборка.

Ответы изменились раньше таблицы статуса

В расписании была дата; теперь изменение видно и в DNS-ответах. В 15:32 UTC 11 октября прямые TCP-запросы без рекурсии к именам A, B, L и M получили подпись RRSIG для набора DNSKEY корня с тегом 38696. В таблице IANA этот тег закреплён за KSK-2024, а 20326 — за KSK-2017. Повторный запрос примерно через 37 минут снова получил тег 38696 для всех четырёх имён.

В 12:11 UTC A и M, а также 1.1.1.1 и 8.8.8.8 ещё возвращали старый тег. Позже A и M показали 38696, как и B с L. Повторная проверка двух имён показывает изменение ответов между выборками. Она не устанавливает минуту операционного переключения и не охватывает все anycast-узлы или рекурсивные резолверы. Время 00:00 UTC в поле подписи — начало её срока действия, а не журнал переключения серверов.

RRSIG подписывает набор DNSKEY, необходимый для проверки ключей корневой зоны. Подпись KSK-2024 подтверждает, что опрошенные авторитетные ответы выдавали этот набор с новым ключом. Она не доказывает, что все проверяющие резолверы включили 38696 в локальные якоря доверия или что у пользователей возникали ошибки проверки.

В 15:32 UTC публичная страница IANA ещё называла KSK-2024 «Pre-Publication», а KSK-2017 — «Active». При прямом запросе с перепроверкой кэша около 16:09 UTC страница сообщала, что KSK-2024 подписывает зону и имеет статус «Active» с 11 октября; KSK-2017 получила статус «Post-Publication». Запись изменилась между выборками, но точное время обновления неизвестно. В публикации APNIC от 9 октября подписание ещё описывалось как предстоящее. Эта новость фиксирует изменение, не утверждая готовность всех резолверов.

В напоминании от 11 октября ICANN просит операторов валидирующих резолверов проверить тег 38696 в настройке якорей доверия и не считать автоматическое обновление гарантированным. Проверка должна выполняться локально для каждого производственного пути. IANA отдельно планирует отзыв KSK-2017 на 11 января 2027 года и удаление 22 марта. Нынешняя подпись не подтверждает наступление этих сроков.

Около 16:09 UTC A, B, L и M снова вернули 38696; IANA указала KSK-2024 как активную, а KSK-2017 как «Post-Publication». Эти выборки не измеряют внедрение якорей у рекурсивных резолверов, ошибки проверки или влияние на пользователей.

Источники

Материал APNIC от 9 октября; расписание IANA и корневые якоря доверия; напоминание ICANN операторам от 11 октября. DNSKEY наблюдались прямыми запросами к указанным адресам корневых серверов.