Zone erstellen

Um eine neue DNS-Zone zu erstellen, navigieren Sie zu Zonen → Zone erstellen. Das Formular erfordert folgende Felder:

Domainname – ein gültiger Domainname (z. B. example.com). Der Name wird in Kleinbuchstaben normalisiert, und ein abschließender Punkt wird automatisch entfernt. Domainnamen folgen den Standard-Hostnamenregeln (ein oder mehrere Labels gefolgt von einer gültigen TLD). Die Prüfung unterscheidet nicht zwischen Groß- und Kleinschreibung.

NS-Gruppe – legt fest, welche Gruppe von Nameservern für die Zone autoritativ ist. Eine NS-Gruppe ist eine Gruppe von NexDNS-Nameservern (ein primärer und ein oder mehrere sekundäre). Wenn nur eine NS-Gruppe verfügbar ist, wird sie vorausgewählt.

Zonentyp – entweder Master (Standard) oder Slave. Die Erstellung von Slave-Zonen erfordert das Tarifmerkmal slave_zones.

Was beim Erstellen einer Master-Zone passiert:

Die Domain wird auf Verfügbarkeit geprüft – keine zwei Konten können dieselbe Domain hosten.
Ihr Domainkontingent wird gegen das Limit Ihres Abonnementtarifs geprüft.
Das System bestätigt, dass die Zone nicht bereits auf der gewählten NS-Gruppe vorhanden ist.
Ihre Zone wird in Ihrem Konto mit dem Status pending registriert.
Die Zone wird auf den NexDNS-Nameservern als Master-Zone bereitgestellt, mit einem initialen SOA-Eintrag und NS-Einträgen, die von den Servern der NS-Gruppe abgeleitet werden.
Der SOA-Eintrag wird gesetzt auf: {primary-ns} {admin-email} 1 10800 3600 604800 3600 wobei die Seriennummer bei 1 beginnt, Refresh 10800s (3 Stunden), Retry 3600s (1 Stunde), Expire 604800s (7 Tage) und Minimum-TTL 3600s (1 Stunde) beträgt. Die Standard-TTL für SOA- und NS-Einträge wird aus der NS-Gruppen-Konfiguration übernommen (Fallback: 3600s).
Für jeden Nameserver-Hostnamen in der NS-Gruppe werden NS-Einträge erstellt. Wenn Ihr Tarif das Merkmal ns_aliases enthält, werden stattdessen benutzerdefinierte NS-Hostnamen verwendet.
Eine Kopie der Zone wird zur Redundanz auf jedem sekundären Nameserver in der NS-Gruppe erstellt.

Die Zonenerstellung ist gesperrt, wenn das Konto überfällige Rechnungen hat. Ein aktives Abonnement ist erforderlich.

Zone klonen

Eine bestehende Master-Zone kann auf einen neuen Domainnamen geklont werden. Der Klonvorgang erstellt eine neue Zone (nach demselben Prozess wie die Zonenerstellung) und kopiert dann alle DNS-Einträge aus der Quellzone, mit Ausnahme von SOA- und Apex-NS-Einträgen, die neu generiert werden.

Beim Klonen werden alle Eintragsnamen und Inhaltswerte, die auf die Quelldomain verweisen, auf die neue Domain umgeschrieben. Wenn beispielsweise die Quellzone old.com und das Ziel new.com ist, wird ein CNAME-Eintrag, der auf www.old.com. verweist, zu www.new.com. umgeschrieben.

Nur Master-Zonen können geklont werden. Der Benutzer muss Bearbeitungszugriff auf die Quellzone haben.

Zone importieren

Zonen können aus Standard-BIND-Zonendateien importiert werden. Navigieren Sie zu Zonen → Zone importieren, um auf das Importformular zuzugreifen.

Eingabemethoden: Fügen Sie den Inhalt der Zonendatei in das Textfeld ein oder laden Sie eine Zonendatei hoch (maximal 2 MB).

Domainname überschreiben: Geben Sie optional einen Domainnamen an. Wenn das Feld leer bleibt, versucht das System, die Domain aus dem SOA-Eintrag in der Zonendatei zu erkennen.

NS-Gruppe: Wählen Sie die NS-Gruppe für die importierte Zone – wie bei der manuellen Zonenerstellung.

Importvorgang:

Der Inhalt der Zonendatei wird normalisiert: Kommentare (beginnend mit ;) werden entfernt, und mehrzeilige Einträge innerhalb von Klammern werden zu einzelnen Zeilen zusammengefasst.
Der Parser erkennt die $TTL-Direktive und verwendet sie als Standard-TTL. Die $ORIGIN-Direktive und andere Direktiven werden übersprungen.
Jede Zeile wird als BIND-Eintrag geparst: Name, optionale TTL, optionale Klasse (IN), Eintragstyp und Inhalt. Zeichenketten in Anführungszeichen (z. B. TXT-Werte) werden korrekt beibehalten.
Eine neue Master-Zone wird mit SOA- und NS-Einträgen erstellt (wie bei der normalen Zonenerstellung).
SOA- und NS-Einträge aus der importierten Datei werden übersprungen – das System generiert eigene.
Unterstützte Eintragstypen für den Import: A, AAAA, CNAME, MX, TXT, SRV, CAA, PTR, ALIAS, DNAME, DS, TLSA. Andere Eintragstypen werden stillschweigend ignoriert.
Eintragsnamen werden relativ zur Domain aufgelöst: @ wird zum Zonenapex, vollqualifizierte Namen, die mit der Domain enden, werden in Kurznamen umgewandelt.
Jeder Eintrag wird einzeln erstellt. Wenn ein bestimmter Eintrag die Validierung nicht besteht, wird er übersprungen und der Fehler gemeldet – die verbleibenden Einträge werden weiter importiert.

Nach dem Import werden Sie zur Zonendetailseite weitergeleitet. Eine Zusammenfassung zeigt, wie viele Einträge erfolgreich importiert wurden und wie viele Fehler aufwiesen.

Zone exportieren

Jede Zone kann in das Standard-BIND-Zonendateiformat exportiert werden. Verwenden Sie auf der Zonendetailseite die Exportfunktion, um die Datei herunterzuladen.

Die Zone wird im BIND-kompatiblen Format exportiert und als Klartextdownload mit dem Namen {domain}.zone bereitgestellt (z. B. example.com.zone).

Die exportierte Datei kann in jeden DNS-Server importiert werden, der das BIND-Zonendateiformat unterstützt, oder über die Importfunktion erneut in NexDNS importiert werden.

Slave-Zonen

Eine Slave-Zone ist eine schreibgeschützte Kopie einer Zone, die auf einem externen Master-DNS-Server gehostet wird. NexDNS bezieht die Zonendaten vom Master-Server über AXFR-Zonentransfer. Dies ist nützlich, wenn Sie NexDNS-Nameserver als sekundäre Server für Zonen verwenden möchten, die Sie anderswo verwalten.

Voraussetzungen: Die Erstellung von Slave-Zonen erfordert das Merkmal slave_zones in Ihrem Abonnementtarif.

Master-IP-Adresse: Sie müssen eine gültige IP-Adresse des Master-DNS-Servers angeben. Diese IP wird für AXFR-Transfers verwendet. Der Master-Server muss Zonentransfers von den NexDNS-Server-IP-Adressen erlauben.

So funktionieren Slave-Zonen:

Die Slave-Zone wird in Ihrem Konto mit dem Typ slave und der angegebenen Master-IP registriert.
Die NexDNS-Nameserver werden so konfiguriert, dass sie die Zone von Ihrer Master-IP als Transferquelle abrufen.
Die NexDNS-Nameserver führen automatisch einen AXFR-Transfer vom Master durch, um die Zonendaten zu befüllen.
Slave-Zonen können nicht direkt bearbeitet werden – Einträge werden auf dem externen Master-Server verwaltet.

Manueller Retransfer: Sie können einen manuellen AXFR-Retransfer von der Zonendetailseite auslösen. Dabei wird die vollständige Zone sofort erneut vom Master-Server abgerufen. Verwenden Sie dies, wenn Sie wissen, dass der Master aktualisiert wurde, und Sie nicht auf den normalen SOA-basierten Aktualisierungszyklus warten möchten.

DNSSEC

DNSSEC (DNS Security Extensions) bietet kryptografische Authentifizierung von DNS-Antworten und schützt vor Spoofing und Cache-Poisoning. NexDNS unterstützt die automatische DNSSEC-Signierung für Master-Zonen.

DNSSEC aktivieren:

DNSSEC kann auf der Zonendetailseite aktiviert werden. Die Option ist nur für Master-Zonen verfügbar.
Bei der Aktivierung erstellt das System zwei kryptografische Schlüssel für die Zone:
- Ein KSK (Key Signing Key) – signiert den DNSKEY-Eintragssatz.
- Ein ZSK (Zone Signing Key) – signiert alle anderen Eintragssätze in der Zone.
Beide Schlüssel verwenden den ECDSAP256SHA256-Algorithmus (Algorithmus 13, ECDSA mit P-256-Kurve und SHA-256). Dies ist ein moderner, weit verbreiteter Algorithmus mit kompakten Signaturen.
Die Zonensignierung erfolgt automatisch – jede DNS-Antwort wird in Echtzeit signiert.

DS-Einträge:

Nach der Aktivierung von DNSSEC stellt das System DS-Einträge (Delegation Signer) bereit, die Sie bei Ihrem Domain-Registrar hinterlegen müssen. Diese DS-Einträge bilden die Vertrauenskette von der übergeordneten Zone. Die DS-Einträge werden auf der Zonendetailseite angezeigt und vom aktiven KSK abgeleitet. Ohne die Konfiguration der DS-Einträge beim Registrar funktioniert die DNSSEC-Validierung für externe Resolver nicht.

Schlüsselrotation:

Schlüssel können einzeln rotiert werden (KSK oder ZSK). Die Rotation erstellt einen neuen Schlüssel desselben Typs mit dem ECDSAP256SHA256-Algorithmus, aktiviert ihn und deaktiviert den vorherigen Schlüssel. Der alte Schlüssel wird beibehalten (aber deaktiviert), um den Übergangszeitraum zu unterstützen. Einzelne Schlüssel können auch über die Zonenverwaltungsoberfläche aktiviert, deaktiviert oder gelöscht werden.

DNSSEC deaktivieren:

Wenn DNSSEC deaktiviert wird, werden alle kryptografischen Schlüssel für die Zone gelöscht. Sie sollten auch die DS-Einträge bei Ihrem Domain-Registrar entfernen, um Validierungsfehler zu vermeiden. Die Zone kehrt zum normalen unsignierten DNS-Betrieb zurück.

Zone löschen

Zonen können einzeln von der Zonendetailseite oder in Masse von der Zonenliste gelöscht werden. Zum Löschen ist Bearbeitungszugriff auf die Zone erforderlich.

Beim Löschen einer Zone geschieht Folgendes in dieser Reihenfolge:

Slave-Kopien werden von allen Slave-Servern in der NS-Gruppe der Zone entfernt (Fehler werden protokolliert, blockieren aber die Löschung nicht).
Die Zone wird von den NexDNS-Nameservern entfernt. Wenn sie bereits nicht vorhanden ist, wird die Löschung normal fortgesetzt.
Die Zone wird aus Ihrem Konto entfernt.

Die Löschung ist sofort und unwiderruflich. Alle mit der Zone verbundenen DNS-Einträge werden dauerhaft entfernt.

NS-Gruppen

Eine NS-Gruppe ist eine Gruppe von NexDNS-Nameservern, die Ihre Zonen bereitstellen. Jede Gruppe hat einen Namen und enthält einen primären Nameserver und einen oder mehrere sekundäre.

NS-Gruppen werden konfiguriert mit:

Standard-TTL – wird für SOA- und NS-Einträge bei der Zonenerstellung verwendet (als gültiger TTL-Wert validiert).
Master-Server-IP – die IP-Adresse, die die sekundären Nameserver für AXFR-Transfers innerhalb der Gruppe verwenden.
Admin-E-Mail – optionale Kontakt-E-Mail für die Gruppe.

Beim Erstellen einer Zone bestimmen die Server der NS-Gruppe die NS-Einträge, die der Zone hinzugefügt werden, und welche Slave-Server eine Kopie der Zone zur Redundanz erhalten.

Zonen-Synchronisierungsstatus

Jede Zone hat einen Synchronisierungsstatus, der angibt, ob sie erfolgreich auf den NexDNS-Nameservern bereitgestellt wurde. Mögliche Werte:

pending – die Zone wurde registriert, ist aber noch nicht auf den Nameservern aktiv.
syncing – die Bereitstellung auf den Nameservern läuft gerade.
synced – die Zone ist vollständig bereitgestellt und auf den Nameservern aktiv.
failed – die Bereitstellung ist fehlgeschlagen. Sie werden benachrichtigt, und das System versucht es automatisch im Hintergrund erneut.

In den meisten Fällen erfolgt die Bereitstellung sofort bei der Zonenerstellung. Wenn sie nicht sofort abgeschlossen werden kann, verbleibt die Zone im Status pending und wird automatisch erneut versucht.