Netzwerk & WAN
DNS
Das Domain Name System (DNS) ist das hierarchisch verteilte Verzeichnis des Internets, das Namen wie example.de in IP-Adressen und weitere Ressourcendaten auflöst.
- Hierarchisch verteilt
- Name → IP, MX, TXT, SRV
- BIND, PowerDNS, Unbound, Knot
- Anycast-skalierbar
- DoT/DoH, DNSSEC, RRL
Das Domain Name System (DNS) ist das hierarchisch verteilte Verzeichnis, das Namen wie example.de in IP-Adressen und weitere Ressourcendaten übersetzt. Spezifiziert in RFC 1034 und 1035, ist es eine der ältesten und zugleich kritischsten Infrastrukturen des Internets.
Dieser Artikel erklärt die Hierarchie aus Root-, TLD- und autoritativen Servern, den Unterschied zwischen rekursiver und iterativer Auflösung, Caching und TTL, die wichtigsten Record-Typen, die gängigen Open-Source-Server sowie die Sicherheitsthemen Cache Poisoning, DoT/DoH und Response Rate Limiting.
1. Hierarchie und Auflösung
DNS ist als Baum organisiert: Unter der Root liegen die TLDs (etwa .de, .com), darunter die autoritativen Server der einzelnen Domänen. Jede Ebene delegiert per NS-Record an die nächste. Ein Client (Stub-Resolver) fragt einen rekursiven Resolver, der die Antwort iterativ einsammelt: erst die Root, dann die TLD, dann den autoritativen Server. Autoritative Server beantworten nur Anfragen für ihre eigenen Zonen und lösen nicht selbst auf.
Die saubere Trennung lohnt sich: Ein autoritativer Server veröffentlicht Ihre Zonen nach außen, ein Resolver beantwortet Anfragen Ihrer Clients. Beides in einem Dienst zu mischen, vergrößert die Angriffsfläche unnötig.
2. Caching und TTL
Jeder Record trägt eine TTL (Time To Live) in Sekunden. Resolver cachen Antworten für diese Dauer. Ein niedriger Wert (etwa 60 s) erlaubt schnelle Umstellungen, ein hoher (etwa 86400 s) senkt die Last und Latenz. Auch negative Antworten (NXDOMAIN) werden gemäß SOA-Record zwischengespeichert (RFC 2308). Vor geplanten Umzügen senkt man die TTL rechtzeitig ab.
3. Record-Typen
- A / AAAA IPv4- bzw. IPv6-Adresse zu einem Namen.
- MX Mailserver einer Domäne, mit Priorität.
- CNAME Alias auf einen anderen Namen.
- TXT Freitext, genutzt für SPF, DKIM, DMARC und Domain-Verifikation.
- SRV Dienst-Locator mit Port und Protokoll.
- PTR Reverse-Lookup von der IP zurück zum Namen.
- CAA legt fest, welche Zertifizierungsstellen für die Domäne ausstellen dürfen.
4. Open-Source-Server
Für den autoritativen Betrieb sind BIND 9 (ISC, weit verbreitet), PowerDNS (datenbankgestützt, gut automatisierbar) und Knot DNS (CZ.NIC, DNSSEC-stark) etabliert. Als rekursive Resolver dienen Unbound (NLnet Labs, mit DoT/DoH und QNAME-Minimisation), CoreDNS (Standard-DNS in Kubernetes) oder für kleine Netze dnsmasq. Die Trennung autoritativ/rekursiv ist auch eine Wahl der passenden Software.
5. Sicherheit: Spoofing und Amplification
Beim Cache Poisoning versucht ein Angreifer, einem Resolver gefälschte Antworten unterzuschieben (Kaminsky-Angriff, 2008). Gegenmittel sind Source-Port-Randomisierung (RFC 5452) und DNSSEC-Validierung. DNS over TLS (DoT, Port 853) und DNS over HTTPS (DoH, Port 443) schützen die Vertraulichkeit zwischen Client und Resolver, nicht aber die Echtheit der Daten vom autoritativen Server, dafür ist DNSSEC zuständig. Gegen Missbrauch als DDoS-Verstärker schützen autoritative Server mit Response Rate Limiting.
Offene Resolver vermeiden
Ein für das Internet offener rekursiver Resolver wird zum Amplifier in DDoS-Angriffen. Resolver auf die eigenen Netze einschränken, autoritative Server mit Response Rate Limiting betreiben und beide Rollen sauber trennen.
6. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Offener Standard, ausgereifte Open-Source-Server, volle Datenhoheit | Fehlkonfiguration und tote Records fallen oft erst spät auf |
| Anycast-fähig, dadurch global skalier- und ausfallsicher | Caching/TTL macht Änderungen verzögert sichtbar |
| Trägt weit mehr als Adressen (Mail, Dienst-Discovery, Verifikation) | Klartext-Protokoll; ohne DNSSEC/DoT angreifbar (Spoofing, Mitlesen) |
Häufige Fragen zu DNS
Ein autoritativer Server kennt und veröffentlicht die Records seiner eigenen Zonen. Ein rekursiver Resolver beantwortet Anfragen von Clients, indem er die Antwort über die Hierarchie einsammelt und zwischenspeichert. Beide Rollen sollten getrennt betrieben werden.
Sie lösen verschiedene Probleme. DNSSEC sichert die Echtheit und Integrität der Antwort, verbirgt sie aber nicht. DoT/DoH verschlüsseln den Transport zwischen Client und Resolver. Für umfassenden Schutz ergänzen sie sich.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
DNS im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.