DNSSEC đổi khóa gốc 11/10/2026: người quản trị VPS cần làm gì?

Website không mở được, ứng dụng không kết nối được dịch vụ bên ngoài, nhưng máy chủ vẫn chạy bình thường. Khi gặp tình huống này, người quản trị cần kiểm tra cả DNS — hệ thống giúp tìm địa chỉ máy chủ từ tên miền — bên cạnh tài nguyên máy.

Theo ICANN, tổ chức điều phối tên miền và địa chỉ Internet, khóa ký gốc DNS dự kiến được thay vào 11/10/2026. Bài này giúp người quản trị VPS hiểu ai cần chuẩn bị và nên kiểm tra ở đâu, thay vì vội sửa cấu hình tất cả máy chủ.

DNSSEC và khóa gốc là gì?

Khi ứng dụng cần truy cập một tên miền, DNS giúp tìm địa chỉ IP tương ứng — địa chỉ mà máy dùng để kết nối. DNSSEC bổ sung chữ ký số để kiểm tra dữ liệu DNS có đúng nguồn và có bị thay đổi hay không. Nó không mã hóa nội dung website.

KSK, viết tắt của Key Signing Key, là khóa dùng để ký bộ khóa DNS. Ở cấp gốc của hệ thống DNS, khóa mới mang tên KSK-2024 sẽ thay khóa đang hoạt động theo lịch ICANN công bố. Đây là thay đổi trong hạ tầng xác thực DNS.

Người dùng website thông thường không cần tự thay khóa. Nhóm cần ưu tiên kiểm tra là các đơn vị vận hành máy chủ DNS có xác thực DNSSEC, đặc biệt khi khóa tin cậy được cấu hình thủ công.

VPS của bạn có nằm trong nhóm cần kiểm tra?

Hãy xác định VPS đang hỏi DNS ở đâu. Máy có thể dùng DNS của nhà cung cấp, dịch vụ công cộng hoặc máy chủ do doanh nghiệp tự quản. Resolver là dịch vụ nhận yêu cầu tìm địa chỉ từ ứng dụng, tra cứu và trả kết quả.

Nếu dùng DNS của một đơn vị khác, hãy hỏi đơn vị đó về việc chuẩn bị cho đợt đổi khóa. Nếu tự vận hành resolver, cần kiểm tra phần mềm và trust anchor — khóa hoặc thông tin khóa mà resolver dùng làm điểm bắt đầu để xác minh chữ ký DNSSEC.

Bước rà soát đầu tiên có thể làm theo danh sách sau:

1. Ghi lại địa chỉ DNS mà từng máy chủ và ứng dụng đang dùng, cùng người phụ trách cấu hình.
2. Kiểm tra riêng các ứng dụng chạy trong container — môi trường đóng gói ứng dụng — vì chúng có thể dùng DNS khác máy chủ bên ngoài.
3. Chọn vài tên miền quan trọng, chẳng hạn dịch vụ thanh toán, gửi email hoặc hệ thống bán hàng, để kiểm tra khả năng tra cứu.
4. Với resolver tự quản, đối chiếu phiên bản phần mềm và cách cập nhật khóa tin cậy với hướng dẫn của nhà phát triển.

Đừng chỉ thử trên máy tính cá nhân rồi kết luận cả hệ thống đã sẵn sàng. Trình duyệt có thể dùng dịch vụ DNS riêng, trong khi ứng dụng trên VPS đi theo một đường khác.

Đọc kết quả kiểm tra mà không nhầm lỗi

Cloudflare giới thiệu công cụ kiểm tra KSK-2024 tại dnstest.dev/ksk-2024. Công cụ dùng cơ chế sentinel, một phép hỏi để xem resolver có tin cậy khóa gốc cụ thể hay không.

Với resolver hỗ trợ cơ chế này và xác thực DNSSEC, phép hỏi is-ta-38696 có phản hồi hợp lệ, còn not-ta-38696 trả SERVFAIL khi khóa mới đã được tin cậy. 38696 là mã nhận diện khóa KSK-2024. SERVFAIL thường cho biết máy chủ DNS không hoàn tất được yêu cầu, nhưng ở phép hỏi phủ định này đó là kết quả mong đợi.

Nếu công cụ chưa xác nhận resolver hỗ trợ sentinel, kết quả chưa đủ để kết luận thiếu khóa. Bài kiểm tra trên trình duyệt cũng chỉ phản ánh đường DNS mà trình duyệt đang sử dụng. Người quản trị vẫn cần kiểm tra đường DNS thực tế của ứng dụng.

Chuẩn bị trước ngày chuyển đổi

Đội vận hành nên có một danh sách theo dõi ngắn, gắn với dịch vụ đang phục vụ khách hàng:

• Xác nhận đơn vị chịu trách nhiệm DNS và tình trạng cập nhật khóa; xử lý trước những cấu hình cần can thiệp thủ công theo tài liệu phần mềm.
• Lưu cấu hình hiện tại, kết quả kiểm tra và cách liên hệ người phụ trách khi có lỗi.
• Theo dõi lỗi tra cứu tên miền cùng tỷ lệ yêu cầu ứng dụng thất bại để biết vấn đề xuất hiện ở bước nào.
• Sau chuyển đổi, kiểm tra lại từ máy chủ và ứng dụng; đối chiếu nhật ký hoạt động nếu có bất thường.

Nếu cần đổi cấu hình, nên thử ở môi trường phù hợp trước và chọn thời điểm ít ảnh hưởng tới khách. Tránh tắt DNSSEC lâu dài chỉ để làm mất thông báo lỗi; hãy xác định resolver nào gặp vấn đề và xử lý nguyên nhân.

Có cần đổi chứng chỉ website hoặc nâng VPS?

Khóa DNSSEC và chứng chỉ HTTPS có vai trò khác nhau. HTTPS bảo vệ kết nối giữa trình duyệt và website; đợt thay khóa DNS gốc không tự đặt ra yêu cầu cấp lại chứng chỉ hay đổi IP.

Khi ứng dụng không tìm được địa chỉ dịch vụ, tăng RAM có thể không giúp ích. Hãy dùng hướng dẫn chẩn đoán VPS chậm để kiểm tra từng nguyên nhân, đồng thời bổ sung theo dõi DNS vào hệ thống giám sát máy chủ.

Dành cho người quản trị VPS doanh nghiệp

Bạn đang quản trị VPS tại thuemaychu.vn và chưa rõ máy dùng DNS nào? Hãy gửi mã VPS, hệ điều hành và địa chỉ DNS đang cấu hình tới hotro@thuemaychu.vn để trao đổi về phạm vi hỗ trợ và trách nhiệm quản trị. Nếu đang có lỗi, bổ sung tên miền bị ảnh hưởng, thời điểm và thông báo lỗi; không gửi mật khẩu.

Nếu doanh nghiệp đang chuẩn bị triển khai hệ thống mới, hãy tham khảo dịch vụ Cloud VPS và hỏi rõ phần nào do nhà cung cấp phụ trách, phần nào đội nội bộ cần vận hành. Làm rõ từ đầu giúp bạn biết đúng nơi cần liên hệ khi xảy ra lỗi DNS.