DNS-Glossar – NexDNS

Grundlagen

DNS (Domain Name System): Das hierarchische Benennungssystem, das menschenlesbare Domainnamen (wie example.com) in IP-Adressen und andere Resource-Einträge übersetzt. Das DNS ist eine verteilte Datenbank, die von einem Netzwerk autoritativer Nameserver und Resolver betrieben wird.
Domain: Ein unter einer Top-Level-Domain (TLD) registrierter Name. Eine Domain ist ein Delegationspunkt im DNS, unter dem der Inhaber beliebig viele Subdomains und Einträge anlegen kann. Sie wird über einen Domain-Registrar gekauft und verlängert.
TLD (Top-Level-Domain): Der letzte Abschnitt eines Domainnamens – .com, .org, .co.uk, .io usw. Wird von Registries unter Aufsicht der ICANN verwaltet. Generische TLDs (gTLDs) und Länderkürzel-TLDs (ccTLDs) sind die zwei Hauptkategorien.
Nameserver: Ein Server, der DNS-Anfragen beantwortet. Autoritative Nameserver halten die eigentlichen Einträge einer Zone; rekursive Resolver holen Einträge im Auftrag von Clients von autoritativen Servern. Die NS-Einträge einer Domain verweisen auf ihre autoritativen Nameserver.
Autoritativer Server: Ein Nameserver, der die Originaleinträge einer Zone hält und autoritative Antworten liefert (gesetztes AA-Flag in der Antwort). Wenn Sie DNS bei NexDNS hosten, werden unsere NS-Server für Ihre Zonen autoritativ.
Rekursiver Resolver: Ein DNS-Server, der eine Anfrage vom Client entgegennimmt, die DNS-Hierarchie durchläuft (Root → TLD → autoritativ) und die endgültige Antwort zurückgibt. Resolver cachen Ergebnisse gemäß der TTL. Beispiele: 1.1.1.1, 8.8.8.8, der Resolver Ihres Internetanbieters.
Zone: Ein zusammenhängender Teil des DNS-Namensraums, der als Einheit verwaltet wird. Eine Zonendatei listet alle Einträge einer Zone auf (SOA, NS, A, AAAA, MX usw.). Jede Zone wird auf einem oder mehreren autoritativen Nameservern gehostet.
Eintrag: Ein einzelner DNS-Dateneintrag innerhalb einer Zone. Einträge haben einen Typ (A, AAAA, MX, CNAME…), einen Namen, eine TTL und einen typenspezifischen Wert. Eine Zone enthält viele Einträge; Änderungen an Einträgen sind der Kern der DNS-Verwaltung.
TTL (Time To Live): Wie viele Sekunden Resolver einen Eintrag zwischenspeichern dürfen, bevor sie den autoritativen Server erneut abfragen. Übliche Werte: 300 (5 Min), 3600 (1 Std), 86400 (1 Tag). Niedrigere TTLs bedeuten schnellere Propagation von Änderungen, aber mehr Anfragen an den autoritativen Server.
Propagation: Der Vorgang, mit dem sich DNS-Änderungen weltweit in Resolvern ausbreiten. Durch die TTL des vorherigen Eintrags begrenzt: Nachdem ein Eintrag geändert wurde, liefern Resolver den gecachten Wert so lange aus, bis die TTL abläuft. Verwenden Sie einen Propagation-Checker, um die Sichtbarkeit über öffentliche Resolver zu prüfen.

Eintragstypen

A-Eintrag: Ordnet einem Hostnamen eine IPv4-Adresse zu. www.example.com A 203.0.113.10 bedeutet, dass www auf die IPv4-Adresse 203.0.113.10 aufgelöst wird. Der häufigste Eintragstyp.
AAAA-Eintrag: Ordnet einem Hostnamen eine IPv6-Adresse zu. Genau wie A-Einträge, aber für IPv6-Adressen (128 Bit). Gesprochen „Quad-A".
CNAME (Canonical Name): Ein Alias von einem Hostnamen auf einen anderen. shop.example.com CNAME commerce-platform.net besagt, dass Anfragen für shop so aufgelöst werden, als wäre commerce-platform.net abgefragt worden. CNAMEs können nicht gemeinsam mit anderen Einträgen unter demselben Namen existieren, auch nicht mit MX.
MX-Eintrag: Gibt den Mailserver einer Domain an. Enthält eine Priorität (niedriger = bevorzugt). example.com MX 10 mail.example.com weist sendende Server an, an mail.example.com zuzustellen.
TXT-Eintrag: Beliebige Textdaten, die an einen Namen gehängt werden. Häufig für Verifizierung (Nachweis der Domaininhaberschaft) und E-Mail-Authentifizierung verwendet (SPF, DKIM und DMARC nutzen alle TXT-Einträge).
NS-Eintrag: Gibt die autoritativen Nameserver einer Zone an. Jede Zone muss mindestens zwei NS-Einträge haben. NS-Einträge in der Elternzone (Ihrem Registrar) verweisen auf Ihren DNS-Anbieter; NS-Einträge innerhalb Ihrer eigenen Zone spiegeln diese Liste.
SRV-Eintrag: Bezeichnet einen Dienst auf Host + Port, mit Priorität und Gewichtung. Wird von SIP, XMPP, Minecraft, Matrix und anderen Protokollen genutzt, die von Service-Discovery profitieren. Format: _service._proto.name TTL SRV priority weight port target.
CAA (Certification Authority Authorization): Beschränkt, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen. example.com CAA 0 issue "letsencrypt.org" bedeutet, dass nur Let's Encrypt Zertifikate für example.com ausstellen darf. Wird von CAs vor der Ausstellung geprüft; als Defense-in-Depth empfohlen.
PTR (Pointer): Ordnet eine IP-Adresse einem Hostnamen zu (Reverse-DNS). Wird für IP → Name-Lookups verwendet, am häufigsten von Mailservern benötigt, um nicht als Spam markiert zu werden. Liegt in den Zonen in-addr.arpa (IPv4) oder ip6.arpa (IPv6), verwaltet vom Eigentümer des IP-Bereichs.
ALIAS-Eintrag: Wie ein CNAME, aber auch auf der Zone-Apex (nackte Domain) nutzbar. Löst zur Abfragezeit auf die A/AAAA-Einträge des Ziels auf und liefert diese an den Client zurück. Nützlich, wenn CNAME technisch nicht erlaubt ist, Sie aber trotzdem auf einen Hostnamen statt auf eine IP zeigen wollen.
TLSA (DANE): Veröffentlicht das erwartete TLS-Zertifikat oder den öffentlichen Schlüssel eines Dienstes über DNS und ermöglicht DANE (DNS-based Authentication of Named Entities). Erfordert DNSSEC, um vertrauenswürdig zu sein. Das Format enthält Usage, Selector, Matching Type und die Zuordnungsdaten des Zertifikats.
DS-Eintrag: Delegation Signer – in der Elternzone veröffentlicht, um die DNSSEC-Vertrauenskette für eine untergeordnete Zone zu etablieren. Enthält einen Hash des KSK der Zone. Wird durch Aktualisierung des DS-Eintrags bei Ihrem Registrar nach der DNSSEC-Aktivierung veröffentlicht.
SOA (Start of Authority): Metadaten zu einer Zone – primärer Nameserver, verantwortliche E-Mail-Adresse, Seriennummer, Refresh-/Retry-/Expire-/Minimum-Timer. Jede Zone hat genau einen SOA-Eintrag; Resolver nutzen ihn, um Caching und Zonentransfers auszuhandeln.

DNSSEC

DNSSEC (DNS Security Extensions): Eine Reihe von Erweiterungen, die DNS-Antworten mit kryptografischen Signaturen versehen, damit Resolver prüfen können, dass Einträge unterwegs nicht verändert wurden. Schützt vor DNS-Spoofing und Cache-Poisoning. Wird über eine Vertrauenskette von Root → TLD → Ihre Zone etabliert.
KSK (Key Signing Key): Ein DNSSEC-Schlüssel zum Signieren anderer DNSSEC-Schlüssel – konkret des DNSKEY-Eintragssatzes. Der Hash des öffentlichen KSK wird als DS-Eintrag in der Elternzone veröffentlicht und verankert so die Vertrauenskette. Wird seltener rotiert als ZSKs (typischerweise jährlich).
ZSK (Zone Signing Key): Ein DNSSEC-Schlüssel zum Signieren der eigentlichen Einträge in einer Zone. Häufiger rotiert als der KSK (alle paar Monate), damit eine Kompromittierung keine langlebigen Einträge betrifft. Der ZSK wird vom KSK signiert.
DNSKEY-Eintrag: Veröffentlicht den öffentlichen Teil der DNSSEC-Signierschlüssel (KSK und ZSK) in der Zone. Resolver holen DNSKEYs, um Signaturen anderer Einträge zu verifizieren. Der DS-Eintrag in der Elternzone verweist anhand seines Hashes auf den KSK.
RRSIG (Resource Record Signature): Die Signatur eines Eintragssatzes, erzeugt vom ZSK (bzw. vom KSK für den DNSKEY-Satz). Resolver verifizieren RRSIGs gegen den passenden DNSKEY, um die Echtheit der Einträge zu bestätigen. In einer DNSSEC-aktivierten Zone vorhanden neben jedem signierten Eintragssatz.
NSEC / NSEC3: Einträge, mit denen DNSSEC beweisen kann, dass ein Name nicht existiert (ohne Informationen über alle anderen Namen preiszugeben). NSEC3 hasht Namen vor der Veröffentlichung, was Zone-Walking erschwert. NexDNS verwendet standardmäßig NSEC3.
NSEC3: Eine Variante von NSEC, die Eintragsnamen vor der Veröffentlichung hasht und es Angreifern dadurch erschwert, alle Namen in einer Zone aufzuzählen. NSEC3 ist für öffentliche Zonen die empfohlene Wahl.
Vertrauenskette: Die kryptografische Verbindung von der Root-Zone (deren KSK out-of-band verteilt wird) über jede TLD bis zu einer konkreten Zone. Resolver validieren Signaturen Glied für Glied: Root → TLD → Ihre Zone. Wird unterbrochen, wenn der DS-Eintrag bei einer übergeordneten Zone fehlt oder veraltet ist.

E-Mail-Authentifizierung

SPF (Sender Policy Framework): Ein TXT-Eintrag, der auflistet, welche Server für eine Domain E-Mails versenden dürfen. Empfänger prüfen SPF bei der Zustellung; Abweichungen erhöhen das Spam-Scoring. Format: v=spf1 include:_spf.example.com ~all.
DKIM (DomainKeys Identified Mail): Kryptografische Signatur, die der sendende Server an ausgehende E-Mails anfügt und die über einen öffentlichen Schlüssel in einem TXT-Eintrag unter selector._domainkey.example.com verifiziert wird. Beweist, dass die Nachricht unterwegs nicht manipuliert wurde und tatsächlich von der angegebenen Domain stammt.
DMARC (Domain-based Message Authentication, Reporting & Conformance): Eine Richtlinie, die SPF und DKIM ergänzt und Empfängern vorgibt, was bei gescheiterter Authentifizierung zu tun ist (none / quarantine / reject) und wohin aggregierte Berichte zu senden sind. Wird als TXT-Eintrag unter _dmarc.example.com veröffentlicht.

Operationen

Zonentransfer: Kopieren einer Zone von einem Nameserver auf einen anderen. AXFR überträgt die komplette Zone; IXFR überträgt nur die Einträge, die sich seit einer bestimmten Seriennummer geändert haben. Wird zwischen Master- und Slave-Nameservern zur Synchronisation verwendet.
AXFR: Vollständiger Zonentransfer – ein sekundärer/Slave-Nameserver fordert die gesamte Zone vom primären/Master-Nameserver an. Öffentlich selten verfügbar; meist per IP-ACL oder TSIG eingeschränkt. Nützlich für einmalige Migrationen zwischen DNS-Anbietern.
IXFR: Inkrementeller Zonentransfer – der sekundäre Server fordert nur die Änderungen seit einer bestimmten SOA-Seriennummer an. Effizienter als AXFR bei Zonen mit häufigen kleinen Aktualisierungen. Fällt auf AXFR zurück, wenn der primäre Server die inkrementelle Anfrage nicht bedienen kann.
Master-Zone (Primärzone): Eine Zone, deren Einträge direkt auf dem Nameserver gepflegt werden (im Gegensatz zu Einträgen, die von einer anderen Quelle übertragen werden). Die meisten Zonen sind Master-Zonen bei ihrem DNS-Anbieter. Bei NexDNS erstellen Sie Master-Zonen über das Panel, die API oder das CLI.
Slave-Zone (Sekundärzone): Eine Zone, deren Einträge von einem anderen Nameserver (dem Master) per AXFR/IXFR übertragen werden. Wird genutzt, um eine bestehende Zone zur Redundanz zu spiegeln oder eine Migration vorzubereiten. NexDNS unterstützt Slave-Zonen ab dem Pro-Tarif.

Moderne Protokolle

DoH (DNS over HTTPS): DNS-Anfragen, die in HTTPS eingebettet werden und dadurch nicht vom normalen Webverkehr zu unterscheiden und gegen Inspektion im Übertragungsweg geschützt sind. Wird von Browsern, Betriebssystemen und datenschutzorientierten Resolvern genutzt. DoH ist ein Resolver-seitiges Protokoll; autoritative Server wie NexDNS beantworten die zugrundeliegende DNS-Anfrage des Resolvers.
DoT (DNS over TLS): DNS-Anfragen über eine dedizierte TLS-Verbindung auf Port 853. Ähnliche Datenschutzeigenschaften wie DoH, aber am Port unterscheidbar und daher in restriktiven Netzwerken leichter zu blockieren. Wie DoH Resolver-seitig; autoritative Server sind nicht direkt beteiligt.
ECH (Encrypted Client Hello): Eine TLS-1.3-Erweiterung, die den ClientHello verschlüsselt und verhindert, dass Beobachter im Netz erfahren, mit welcher Site ein Client verbunden ist (zuvor über SNI sichtbar). Erfordert, dass die Site einen HTTPS-DNS-Eintrag mit ECH-Parametern veröffentlicht.
EDNS (Extension Mechanisms for DNS): Eine Reihe von Erweiterungen des ursprünglichen DNS-Protokolls, die größere Nachrichten, zusätzliche Flags und neue Optionen ohne Kompatibilitätsbruch erlauben. Für DNSSEC erforderlich; EDNS Client Subnet (ECS) wird von einigen Anbietern für geo-basierte Antworten genutzt.