DNS 18 BADTIME Signature out of time window: что означает и как диагностировать

Что означает ошибка

TSIG signature не попадает в допустимое временное окно проверки.

Возможные причины

• Часы клиента и DNS-сервера сильно расходятся.
• Виртуальная машина потеряла time synchronization.
• Запрос подписан давно и повторно отправлен после допустимого fudge window.

Что проверить

• Сравните UTC-время клиента и сервера через доверенный time source.
• Проверьте NTP/chrony status на обоих хостах.
• Убедитесь, что signed message создаётся непосредственно перед отправкой.

Безопасные шаги

1. Исправьте синхронизацию времени.
2. Пересоздайте TSIG подпись после коррекции часов.
3. Не увеличивайте временное окно до небезопасных значений вместо исправления clock skew.

Только безопасные обратимые действия. Опасные шаги — только по официальной инструкции и с пониманием рисков.

Когда нужен сервис

• Если clocks синхронизированы, но BADTIME сохраняется, приложите timestamps без secret разработчику TSIG-клиента/сервера.

Похожие ошибки

• /errors/dns-rcode-formerr/
• /errors/dns-rcode-servfail/
• /errors/dns-rcode-nxdomain/

Что учитывать

Точная причина зависит от версии ПО/прошивки, полного текста ошибки и контекста. Официальная инструкция имеет приоритет.

Официальный источник

Расшифровка сверена с официальными страницами поддержки из источников ниже. Редакция N1RO не диагностировала ваш конкретный случай.

• IANA DNS RCODE registry — 18 BADTIME Signature out of time window