O minulém víkendu se odehrála dosti trapná situace: celá doména indos.cz se náhle stala nedostupnou, a s ní dočasně zmizel ze světa i celý školský intranet, budovaný za miliardy v rámci projektu „Internet do škol“. Tento stav vydržel i přes celé pondělí 26. srpna, a teprve v úterý 27.8. se situace vrátila do původního stavu.
Když jsem následně hledal na již přístupném portálu www.indos.cz nějaké vysvětlení, stanovisko či jiné vyjádření určené veřejnosti, nenašel jsem nic. Pokusím se proto alespoň touto cestou naznačit, co se vlastně stalo a proč.
Co přesně se stalo?
To, k čemu došlo, nebylo žádné zkolabování školského intranetu, ani jeho odtržení od veřejného Internetu, přestože to tak z vnějšího pohledu mohlo vypadat. Pokud jste totiž v inkriminované době zadali do svého browseru např. adresu www.indos.cz, místo očekávané domovské stránky jste se dočkali pouze standardní chybové hlášky:
Nelze najít server nebo došlo k chybě serveru DNS".
Důvodem bylo to, že nebyly dostupné name servery pro doménu indos.cz, a váš browser si proto nemohl vyžádat potřebný převod symbolického doménového jména (onoho „www.indos.cz“ ) na IP adresu (adresu číselného charakteru, 194.228.17.233). Bez ní se pak nedokázal obrátit na počítač vystupující v roli WWW serveru pro www.indos.cz (který nejspíše byl jinak dostupný). Totéž platilo pro všechny adresy v doméně indos.cz. Příslušné servery patrně řádně fungovaly, ale uživatelé se k nim nemohli dostat na základě jejich symbolických doménových jmen.
Podrobnější popis systému DNS (Domain Name System) není předmětem tohoto článku (odborněji laděné čtenáře si dovolím přesměrovat do svých přednášek o TCP/IP). K docenění toho, co se stalo, si však přesto musíme jednu věc alespoň naznačit. Jde o vysvětlení toho, proč současně s nedostupností name serverů nefungovala elektronická pošta.
Systém DNS dnes neslouží pouze k tomu, aby převáděl symbolická doménová jména (typu: www.indos.cz) na jejich ekvivalenty v číselných IP adresách (194.228.17.233). Dnes se v systému DNS udržují i další důležité údaje. Mj. i informace o tom, na které konkrétní poštovní servery mají být doručovány emaily, adresované do příslušné domény (např.: josef.novak@indos.cz). V případě domény indos.cz to má být konkrétně server mail.indos.cz; a pokud ten není dostupný, pak záložní server mail2.indos.cz. Ovšem v situaci, kdy name servery pro doménu indos.cz nebyly dostupné, nemohl odesilatel (přesněji: jím použitý poštovní server) získat tuto informaci a tudíž nevěděl, kam maily tohoto typu (i do všech subdomén indos.cz) doručit. V důsledku toho se pak příslušné maily vracely s chybovou hláškou jako nedoručitelné.
Proč se to stalo?
Důvodem pro nedostupnost name serverů pro doménu indos.cz nebyla žádná technická chyba – příslušné servery nejspíše byly řádně v provozu. Příčina byla v tom, že informace o umístění těchto serverů byly odstraněny z domény .cz, neboli z naší národní domény (domény nejvyšší úrovně, domény TLD, Top Level Domain). Také tato doména má totiž své name servery, a v nich je obsažena informace o umístění name serverů všech domén druhé úrovně, tedy i domény indos.cz. No a právě tato informace (pro doménu indos.cz) byla někdy kolem čtvrtka minulého týdne z domény .cz odstraněna.
Příslušný úkon, tedy odstranění informací o name serverech domény indos.cz z nejvyšší domény .cz, a tím faktické znepřístupnění všeho v doméně indos.cz, mohl udělat pouze správce domény .cz. Tím je sdružení CZ.NIC.
Proč to ale CZ.NIC udělal? Odpověď je velmi prozaická: kvůli tomu, že za doménu indos.cz nebyl zaplacen udržovací poplatek ve výši 840,– Kč (účtuje se za období 1 roku). Tím, kdo měl tento poplatek zaplatit, je společnost Autocont On Line (která je vlastníkem domény od 16. ledna 2002).
Proč ACOL nezaplatil včas?
Zajímavou a důležitou otázkou je jistě to, zda CZ.NIC „odpojil“ (formálně: zrušil delegaci) domény indos.cz zčista jasna, bez jakéhokoli varování, nebo naopak opakovaně upozorňoval ACOL na potřebu zaplatit udržovací poplatek, a teprve po neúspěšných upomínkách sáhnul k tvrdému kroku a doménu „odpojil“. Správně je s největší pravděpodobností druhá varianta.
CZ.NIC má dnes již plně zautomatizovaný systém udržování domén, který vychází z definovaných pravidel. Podle těchto pravidel se u každé domény udržují údaje o třech různých subjektech:
- vlastníkovi domény
- technickém správci
- plátci
které mohou v konkrétních případech splývat, nebo se naopak lišit.
Když se začíná blížit datum, ke kterému je splatný udržovací poplatek za konkrétní doménu, systém provozovaný sdružením CZ.NIC automaticky posílá (emailem) na adresu vlastníka domény výzvu ke kontrole a případné úpravě údajů. Jde o to, aby se „vychytaly“ případné změny, ke kterým mohlo dojít, ale které ještě nebyly zaneseny v evidenci CZ.NIC. Poté následuje (řádná) výzva k zaplacení udržovacího poplatku, zasílaná elektronickou poštou na adresu určeného plátce (ne vlastníka). Tato výzva je odesílána 30 dnů před termínem splatnosti poplatku.
Pro přiblížení: v praxi je běžné, že někdo (soukromá osoba či firma A.B) si nechá zaregistrovat nějakou doménu prostřednictvím specializované firmy (X.Y). V takovém případě v databázích CZ.NIC vystupuje jako vlastník subjekt A.B, a jako plátce subjekt X.Y. První výzva (ke kontrole a případné úpravě údajů), zasílaná vlastníkovi, je pak vlastně kontrolní dotaz, zda vlastník nezměnil toho, komu svěřil do péče svou doménu. Následující výzva k zaplacení je pak již adresována plátci (subjektu X.Y). Ten by měl zaplatit udržovací poplatek za vlastníka domény (a sám krýt své náklady z toho, co naúčtuje vlastníkovi coby svému zákazníkovi).
Zpět ale k postupu, určenému pravidly CZ.NICu: pokud na základě řádné výzvy nedojde k zaplacení v určeném termínu, je automaticky odesílána první upomínka, a to současně na adresu plátce a na adresu vlastníka domény (A.B i X.Y). Ti pak mají ještě dalších 14 dní na zaplacení – a pokud tak neučiní, dojde k „odpojení“ příslušné domény (v terminologii CZ.NIC „zrušení delegace“, s efektem popsaným výše).
Nejde ale ještě o definitivní zrušení registrace dané domény a její uvolnění (např. pro jiného zájemce). Současně s „odpojením“ (zrušením delegace) je zasílána druhá upomínka, a to na adresu vlastníka i plátce, a kromě toho je zasíláno oznámení o „odpojení“ na adresu technického správce.
Jak to vysvětluje ACOL?
Tolik tedy k obecnému postupu CZ.NICu. Jak vše ze svého pohledu vysvětluje Autocont On Line? Když jsem se v pondělí 26.8. dotázal mluvčího pana Chvojky, dostal jsem následující odpověď:
Poplatek byl uhrazen, ale bohužel až ve čtvrtek. Nyní technický správce domény jedná s Nic.cz o jejím opětovném okamžitém spuštění. Faktura byla uhrazena až ve čtvrtek, protože osoba, která byla pověřena převodem domény na AutoCont On Line, a.s. uvedla špatnou kontaktní adresu. O tom jsme se dozvěděli právě ve čtvrtek. Všechny problémy by měly být odstraněny během dneška (včetně opravdu nouzového řešení oba nameservery u jednoho providera).
Z této odpovědi lze odvodit, že zmiňovaný čtvrtek (22.8.2002) byl dnem, kdy došlo k faktickému „odpojení“ domény indos.cz (odstranění ze zóny, resp. zrušení delegace), a současně k doručení druhé upomínky (vlastníkovi a plátci) a oznámení o „odpojení“ domény, adresované technickému správci. Ze zmínky o špatné kontaktní adrese lze dále odvodit, že tato špatná adresa se týkala vlastníka i plátce současně – a že ACOL „si všimnul“ až oznámení adresovaného technickému správci.
To koresponduje s údaji, které lze v databázích CZ.NIC nalézt u domény indos.cz. Jako vlastník i plátce je zde stále ještě uveden AutoCont On Line, a.s., s emailem info@autocontonline.cz. Na tento „velmi obecný“ email pak zřejmě chodily řádné výzvy i první upomínky, ale zde (což je ovšem jen má domněnka) jim nebyla věnována adekvátní pozornost. Poplach pak způsobil až mail na adresu technického správce (v rámci Českého Telecomu) zaslaný minulý čtvrtek, ale to již bylo pozdě…
Z databází CZ.NICu lze dále vysledovat, že částka 840,– Kč, kvůli které se celý miliardový „Internet do škol“ stal na několik dní nedostupný, dorazila na účet CZ.NICu v úterý 27.8.2002. V ten den také byla doména indos.cz opět „oživena“.
