So funktioniert DNS
Das Domain Name System (DNS) übersetzt einen Namen wie www.example.com in eine IP-Adresse, die Computer für die Verbindung verwenden. Ein rekursiver Resolver erledigt die Arbeit für Sie: Er fragt die Root-Server, dann die Server der Top-Level-Domain, dann die autoritativen Server der Domain und speichert die Antwort zur späteren Verwendung. Das dauert meist nur wenige Millisekunden.
Der Auflösungsweg
Wenn Sie www.example.com öffnen, laufen diese Schritte ab, sofern nichts im Cache liegt:
- Stub-Resolver. Ihr Betriebssystem hat einen kleinen eingebauten Client. Er prüft seinen eigenen Cache und die Hosts-Datei und schickt die Frage dann an den konfigurierten rekursiven Resolver (meist von Ihrem Router oder Anbieter oder ein öffentlicher).
- Rekursiver Resolver. Er prüft seinen Cache. Hat er keine Antwort, beginnt er ganz oben und stellt Fragen, bis er die endgültige Antwort findet.
- Root-Server. Der Resolver fragt einen Root-Server nach
www.example.com. Der Root-Server kennt die Adresse nicht, antwortet aber mit den für.comzuständigen Servern. - TLD-Server. Die
.com-Server kennen die Adresse ebenfalls nicht, antworten aber mit den Nameservern vonexample.com(den NS-Einträgen). - Autoritative Server. Der Nameserver der Domain hält die eigentlichen Einträge und liefert den A- oder AAAA-Eintrag für
www.example.comzurück. - Der Resolver gibt die Antwort an den Stub-Resolver zurück, speichert sie in seinem Cache, und der Browser verbindet sich.
Mit unserem DNS-Checker können Sie diese Kette für jede Domain nachverfolgen.
Caching und TTL
Jeder DNS-Eintrag hat eine TTL (Time to Live), eine Anzahl von Sekunden, die Resolvern sagt, wie lange sie die Antwort behalten dürfen. Eine TTL von 3600 bedeutet eine Stunde. Caching macht DNS schnell und entlastet die autoritativen Server, bedeutet aber auch, dass eine Änderung nicht überall gleichzeitig sichtbar wird. Caches gibt es an mehreren Stellen: im Browser, im Betriebssystem, im Router und im rekursiven Resolver.
Resolver speichern auch negative Antworten im Cache, zum Beispiel „dieser Name existiert nicht“ (NXDOMAIN), für eine im SOA-Eintrag angegebene Zeit.
Häufige Eintragstypen
| Typ | Zweck | Beispielwert |
|---|---|---|
| A | Ordnet einem Namen eine IPv4-Adresse zu | 192.0.2.10 |
| AAAA | Ordnet einem Namen eine IPv6-Adresse zu | 2001:db8::10 |
| CNAME | Alias von einem Namen auf einen anderen Namen. Er darf am Zone Apex nicht neben anderen Einträgen stehen. | www.example.com → example.com |
| MX | Mailserver der Domain mit einer Priorität (die niedrigere Zahl wird zuerst versucht) | 10 mail.example.com |
| NS | Autoritative Nameserver der Zone | ns1.example.com |
| TXT | Freier Text; verwendet für SPF, DKIM, DMARC und Domain-Verifizierung | "v=spf1 mx -all" |
| SOA | Start of Authority: Primärserver, Admin-Kontakt, Seriennummer und Timer | ns1.example.com hostmaster.example.com 2026110401 ... |
| CAA | Welche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen | 0 issue "ca.example.net" |
| SRV | Host und Port eines bestimmten Dienstes | 10 5 5060 sip.example.com |
| PTR | Reverse-Lookup: ordnet eine IP-Adresse wieder einem Namen zu | 10.2.0.192.in-addr.arpa → host.example.com |
Korrekte MX-, SPF- und DKIM-Einträge sind für die E-Mail-Zustellung wichtig. Mit unserem Mail- und Blacklist-Tool prüfen Sie einen Mailserver und sehen, ob seine IP-Adresse auf Spam-Sperrlisten steht.
Was DNS-Propagation wirklich ist
„DNS-Propagation“ ist die gängige Bezeichnung für die Zeit, bis alle Caches weltweit die alte Antwort verworfen und die neue abgerufen haben. Es wird nichts durch das Internet gepusht. Der autoritative Server hat die neuen Daten sofort; Resolver behalten die alten Daten einfach, bis deren TTL abläuft. Die maximale Verzögerung für einen geänderten Eintrag entspricht also etwa der alten TTL, nicht der neuen.
Der Wechsel der Nameserver bei der Registrierungsstelle (Registrar) dauert länger, weil die NS-Einträge in der TLD-Zone meist eine TTL von ein bis zwei Tagen haben. In dieser Zeit erreichen einige Nutzer die alten und andere die neuen Server. Die Delegation einer Domain prüfen Sie mit der WHOIS-Abfrage, die Einträge selbst mit dem DNS-Checker.
So verbreitet sich eine Änderung schnell
- Senken Sie mindestens eine alte TTL-Dauer vor der Änderung (zum Beispiel 24 Stunden bei einer TTL von 86400) die TTL des Eintrags auf einen kleinen Wert wie 300 Sekunden.
- Warten Sie, bis die alte TTL abgelaufen ist, damit alle Caches die kurzlebige Version halten.
- Führen Sie die Änderung durch. Resolver fragen nun innerhalb von etwa 5 Minuten erneut an.
- Prüfen Sie das Ergebnis mit einem DNS-Checker von mehreren Standorten aus.
- Wenn alles funktioniert, erhöhen Sie die TTL wieder, um die Abfragelast zu senken.
SOA-Seriennummer und sekundäre Server
Die meisten Domains nutzen mindestens zwei autoritative Server. Einer ist der Primärserver, die anderen sind Sekundärserver, die die Zone per Zonentransfer (AXFR oder IXFR) von ihm kopieren. Gesteuert wird das durch den SOA-Eintrag:
- Serial: eine Versionsnummer. Ein Sekundärserver überträgt die Zone, wenn die Seriennummer auf dem Primärserver höher ist als seine eigene. Ein übliches Format ist Datum plus Zähler, etwa
2026110401. Wenn Sie eine Zone bearbeiten und vergessen, die Seriennummer zu erhöhen, liefern die Sekundärserver weiter die alten Daten aus. - Refresh: wie oft ein Sekundärserver die Seriennummer prüft.
- Retry: wie lange ein Sekundärserver nach einer fehlgeschlagenen Prüfung wartet, bevor er es erneut versucht.
- Expire: Nach dieser Zeit ohne Kontakt hört ein Sekundärserver auf zu antworten.
- Minimum (negative TTL): wie lange Resolver „existiert nicht“-Antworten zwischenspeichern.
Liefert eine Domain von verschiedenen Nameservern unterschiedliche Antworten, ist ein veralteter Sekundärserver eine wahrscheinliche Ursache. Vergleichen Sie die Seriennummern aller NS-Server.
Anycast-Resolver
Öffentliche Resolver, wie sie große Anbieter betreiben, nutzen Anycast: Dieselbe IP-Adresse wird von vielen Rechenzentren angekündigt, und das Netzwerk leitet jede Anfrage zum nächstgelegenen. Das ergibt geringe Verzögerung und Ausfallsicherheit. Jeder Standort hat seinen eigenen Cache, weshalb zwei Personen, die dieselbe Resolver-Adresse nutzen, nach einer Änderung kurzzeitig unterschiedliche Antworten sehen können. Dieselbe Technik verwenden die Root-Server und viele autoritative DNS-Dienste.
Verwandte Grundlagen finden Sie in Was ist eine IP-Adresse? und im Artikel über das OSI-Modell, in dem DNS auf der Anwendungsschicht sitzt.