10.3 DNS und Namensauflösung
DNS gehört zur OSI-Schicht 7.
DNS steht für:
Domain Name System
Die Hauptaufgabe von DNS ist:
Namen in IP-Adressen auflösen.
Beispiel:
www.example.com
→ 93.184.216.34
Menschen merken sich Namen leichter als IP-Adressen.
Computer benötigen aber IP-Adressen, um über das Netzwerk zu kommunizieren.
Merksatz:
DNS = Name zu IP-Adresse.
Warum braucht man DNS?
Ohne DNS müsste man sich IP-Adressen merken.
Beispiel ohne DNS:
93.184.216.34
Beispiel mit DNS:
www.example.com
DNS macht Netzwerke benutzerfreundlicher und flexibler.
Wenn sich die IP-Adresse eines Servers ändert, kann der DNS-Eintrag angepasst werden, ohne dass sich der Name ändern muss.
Merksatz:
DNS trennt Namen von IP-Adressen.
DNS im OSI-Modell
DNS ist ein Anwendungsschicht-Protokoll.
Es nutzt Transportprotokolle aus Schicht 4.
Typisch:
UDP 53
TCP 53
Wichtig:
DNS-Port 53 gehört zu Schicht 4.
DNS-Protokoll gehört zu Schicht 7.
Merksatz:
DNS nutzt Ports,
ist aber ein Dienst der Anwendungsschicht.
DNS und IP-Kommunikation
DNS ist nicht nötig, wenn direkt mit einer IP-Adresse kommuniziert wird.
Beispiel:
ping 8.8.8.8
Hier wird kein DNS-Name benötigt.
DNS wird benötigt bei:
ping www.example.com
Denn der Name muss zuerst in eine IP-Adresse aufgelöst werden.
Merksatz:
IP-Adresse direkt = kein DNS nötig.
Name verwenden = DNS nötig.
Typischer Ablauf einer Namensauflösung
Vereinfacht:
1. Benutzer gibt Namen ein.
2. Client prüft lokalen Cache.
3. Client fragt DNS-Resolver.
4. Resolver sucht die passende Antwort.
5. Resolver liefert IP-Adresse zurück.
6. Client verbindet sich zur IP-Adresse.
Beispiel:
Browser:
www.example.com öffnen
DNS:
www.example.com = 93.184.216.34
Browser:
Verbindung zu 93.184.216.34 aufbauen
Merksatz:
Erst Name auflösen,
dann Verbindung zur IP-Adresse aufbauen.
DNS-Client
Der DNS-Client ist das System, das eine DNS-Anfrage stellt.
Beispiele:
- PC
- Smartphone
- Server
- Browser
- Anwendung
- Betriebssystem
Der Client fragt normalerweise nicht direkt alle DNS-Server im Internet, sondern nutzt einen eingetragenen DNS-Resolver.
Merksatz:
DNS-Client stellt die Anfrage.
DNS-Resolver
Ein DNS-Resolver beantwortet DNS-Anfragen für Clients.
Er kann:
- Antworten aus Cache liefern
- andere DNS-Server fragen
- rekursive Auflösung durchführen
- lokale DNS-Zonen kennen
Beispiele für Resolver:
- Router im Heimnetz
- interner DNS-Server
- Provider-DNS
- öffentlicher DNS-Dienst
Merksatz:
Resolver sucht die Antwort für den Client.
Rekursive DNS-Abfrage
Bei einer rekursiven Abfrage erwartet der Client vom Resolver eine fertige Antwort.
Der Client fragt:
Welche IP hat www.example.com?
Der Resolver kümmert sich darum, die Antwort zu finden.
Der Client erhält am Ende:
IP-Adresse
oder
Fehler
Merksatz:
Rekursiv = Resolver erledigt die Suche für den Client.
Iterative DNS-Abfrage
Bei einer iterativen Abfrage liefert ein DNS-Server nicht unbedingt die endgültige Antwort.
Er kann stattdessen sagen:
Frag den nächsten zuständigen Server.
Das passiert typischerweise zwischen DNS-Servern bei der Auflösung.
Merksatz:
Iterativ = Server verweist auf nächsten zuständigen Server.
DNS-Hierarchie
DNS ist hierarchisch aufgebaut.
Vereinfacht:
Root
Top-Level-Domain
Domain
Subdomain
Hostname
Beispiel:
www.example.com
Aufteilung:
| Teil | Bedeutung |
|---|---|
| . | Root |
| com | Top-Level-Domain |
| example | Domain |
| www | Hostname oder Subdomain |
Merksatz:
DNS ist wie ein Baum aufgebaut.
Root-DNS-Server
Root-DNS-Server stehen ganz oben in der DNS-Hierarchie.
Sie kennen nicht jede einzelne Domain, aber sie wissen, welche Nameserver für Top-Level-Domains zuständig sind.
Beispiel:
Für .de frage diese Nameserver.
Für .com frage diese Nameserver.
Merksatz:
Root-Server verweisen auf TLD-Nameserver.
Top-Level-Domain
Eine Top-Level-Domain ist der rechte Teil eines Domainnamens.
Beispiele:
.de
.com
.org
.net
.edu
Bei:
www.example.com
ist:
.com
die Top-Level-Domain.
Merksatz:
TLD = oberster Domainbereich wie .de oder .com.
Er enthält verbindliche Informationen für eine Domain.
Beispiel:
Der authoritative DNS-Server für example.com kennt Einträge wie:
www.example.com
mail.example.com
api.example.com
Merksatz:
Authoritative DNS-Server liefern verbindliche Antworten für eine Zone.
DNS-Zone
Eine DNS-Zone ist ein verwalteter Bereich im DNS.
Beispiel:
example.com
In dieser Zone können Einträge liegen wie:
www.example.com
mail.example.com
api.example.com
Eine Zone wird von zuständigen DNS-Servern verwaltet.
Merksatz:
DNS-Zone = verwalteter Namensbereich.
Forward Lookup
Forward Lookup bedeutet:
Name zu IP-Adresse
Beispiel:
www.example.com
→ 93.184.216.34
Das ist die häufigste DNS-Nutzung.
Merksatz:
Forward Lookup = Name zu IP.
Reverse Lookup
Reverse Lookup bedeutet:
IP-Adresse zu Name
Beispiel:
93.184.216.34
→ www.example.com
Dafür werden spezielle DNS-Zonen verwendet.
Bei IPv4:
in-addr.arpa
Bei IPv6:
ip6.arpa
Merksatz:
Reverse Lookup = IP zu Name.
DNS-Records
DNS speichert Informationen in Records.
Ein Record ist ein DNS-Eintrag.
Wichtige Record-Typen:
| Record | Bedeutung |
|---|---|
| A | Name zu IPv4-Adresse |
| AAAA | Name zu IPv6-Adresse |
| CNAME | Alias auf anderen Namen |
| MX | Mailserver einer Domain |
| NS | zuständiger Nameserver |
| TXT | Textinformationen |
| PTR | Reverse-DNS-Eintrag |
| SRV | Dienststandort |
| SOA | Start of Authority |
Merksatz:
DNS-Records speichern verschiedene Namensinformationen.
A-Record
Ein A-Record ordnet einen Namen einer IPv4-Adresse zu.
Beispiel:
www.example.com
→ 93.184.216.34
A steht für:
Address
Merksatz:
A-Record = Name zu IPv4.
AAAA-Record
Ein AAAA-Record ordnet einen Namen einer IPv6-Adresse zu.
Beispiel:
www.example.com
→ 2001:db8::10
Warum AAAA?
IPv6-Adressen sind 128 Bit groß.
IPv4-Adressen sind 32 Bit groß.
128 Bit sind viermal so groß wie 32 Bit.
Merksatz:
AAAA-Record = Name zu IPv6.
CNAME-Record
Ein CNAME ist ein Alias.
CNAME steht für:
Canonical Name
Beispiel:
shop.example.com
→ webserver.example.com
Der Name shop.example.com zeigt also auf einen anderen Namen.
Wichtig:
Ein CNAME zeigt auf einen Namen,
nicht direkt auf eine IP-Adresse.
Merksatz:
CNAME = Alias auf anderen DNS-Namen.
MX-Record
MX steht für:
Mail Exchanger
Ein MX-Record gibt an, welche Mailserver für eine Domain zuständig sind.
Beispiel:
example.com
MX 10 mail.example.com
Die Zahl ist die Priorität.
Kleinere Zahl bedeutet:
höhere Priorität
Merksatz:
MX = zuständiger Mailserver einer Domain.
NS-Record
NS steht für:
Name Server
Ein NS-Record gibt an, welche Nameserver für eine Zone zuständig sind.
Beispiel:
example.com
NS ns1.example.com
example.com
NS ns2.example.com
Merksatz:
NS = zuständiger Nameserver.
TXT-Record
TXT-Records speichern Textinformationen.
Typische Nutzung:
- SPF
- DKIM
- DMARC
- Domain-Verifizierung
- Sicherheitsinformationen
- Dienstnachweise
Beispiel:
v=spf1 include:example.net -all
Merksatz:
TXT-Record = Textinformationen im DNS.
PTR-Record
PTR steht für:
Pointer
Ein PTR-Record wird für Reverse Lookup verwendet.
Er ordnet eine IP-Adresse einem Namen zu.
Beispiel:
93.184.216.34
→ server.example.com
PTR-Records sind besonders bei Mailservern relevant.
Merksatz:
PTR = Reverse-DNS-Eintrag.
SRV-Record
SRV steht für:
Service
Ein SRV-Record beschreibt, wo ein bestimmter Dienst erreichbar ist.
Er kann enthalten:
- Dienst
- Protokoll
- Zielhost
- Port
- Priorität
- Gewichtung
Typische Nutzung:
- Verzeichnisdienste
- VoIP
- Microsoft-Dienste
- XMPP
Merksatz:
SRV zeigt,
wo ein Dienst erreichbar ist.
SOA-Record
SOA steht für:
Start of Authority
Der SOA-Record enthält Verwaltungsinformationen einer DNS-Zone.
Dazu gehören zum Beispiel:
- primärer Nameserver
- verantwortliche Kontaktadresse
- Seriennummer
- Aktualisierungszeiten
- Ablaufzeiten
Merksatz:
SOA enthält Verwaltungsdaten einer DNS-Zone.
TTL
TTL steht bei DNS für:
Time To Live
Die TTL gibt an, wie lange ein DNS-Eintrag zwischengespeichert werden darf.
Beispiel:
TTL 3600
Bedeutung:
Eintrag darf 3600 Sekunden,
also eine Stunde,
gecacht werden.
Merksatz:
DNS-TTL bestimmt,
wie lange eine Antwort im Cache bleiben darf.
DNS-Cache
Ein DNS-Cache speichert Antworten vorübergehend.
Caches gibt es zum Beispiel bei:
- Betriebssystem
- Browser
- DNS-Resolver
- Router
- Provider
- Anwendungen
Vorteil:
schnellere Antworten
weniger Last auf DNS-Servern
Nachteil:
Änderungen werden nicht sofort überall sichtbar.
Merksatz:
DNS-Cache macht DNS schneller,
kann Änderungen aber verzögern.
Warum DNS-Änderungen dauern können
DNS-Änderungen sind nicht immer sofort überall sichtbar.
Grund:
alte Antworten können noch in Caches liegen.
Die Dauer hängt stark von der TTL ab.
Beispiel:
TTL 86400
bedeutet:
Antwort darf bis zu 24 Stunden gecacht werden.
Merksatz:
DNS-Änderungen brauchen wegen Caching Zeit.
DNS und DHCP
Clients erhalten DNS-Server häufig per DHCP.
DHCP kann dem Client mitteilen:
- IP-Adresse
- Subnetzmaske
- Gateway
- DNS-Server
- Domain-Suffix
Wenn der falsche DNS-Server per DHCP verteilt wird, funktioniert Namensauflösung möglicherweise falsch.
Merksatz:
DHCP verteilt oft die DNS-Serveradresse.
DNS-Suffix
Ein DNS-Suffix kann bei unvollständigen Namen ergänzt werden.
Beispiel:
eingegeben:
server01
DNS-Suffix:
firma.local
Abfrage wird zu:
server01.firma.local
Typisch in Unternehmensnetzen.
Merksatz:
DNS-Suffix ergänzt kurze Namen.
FQDN
FQDN steht für:
Fully Qualified Domain Name
Ein FQDN ist ein vollständiger DNS-Name.
Beispiel:
server01.firma.local
Er beschreibt den Namen eindeutig innerhalb der DNS-Hierarchie.
Merksatz:
FQDN = vollständiger DNS-Name.
Hostname und Domainname
Hostname:
Name eines Geräts oder Dienstes
Domainname:
Namensbereich
Beispiel:
server01.firma.local
Dabei ist:
server01 = Hostname
firma.local = Domain
Merksatz:
Hostname ist der einzelne Name,
Domain ist der Namensbereich.
Split DNS
Split DNS bedeutet:
Ein Name kann intern und extern unterschiedlich aufgelöst werden.
Beispiel:
wiki.firma.de
intern:
192.168.10.50
extern:
93.184.100.10
Das ist häufig sinnvoll, wenn interne Clients interne Adressen verwenden sollen.
Merksatz:
Split DNS liefert je nach Standort unterschiedliche Antworten.
Interne und externe DNS-Zonen
Unternehmen nutzen oft interne und externe DNS-Zonen.
Extern sichtbar:
www.firma.de
mail.firma.de
Intern zusätzlich:
server01.firma.local
db01.intern.firma.de
printer01.firma.local
Wichtig:
Interne Namen sollten nicht unkontrolliert öffentlich sichtbar sein.
Merksatz:
Interne DNS-Zonen dienen interner Namensauflösung.
DNS und Active Directory
In Windows-Domänen ist DNS besonders wichtig.
Active Directory nutzt DNS für:
- Domänencontroller finden
- Dienste finden
- LDAP finden
- Kerberos finden
- Anmeldung unterstützen
Dafür werden unter anderem SRV-Records verwendet.
Merksatz:
Active Directory braucht funktionierendes DNS.
DNS und E-Mail
DNS ist für E-Mail sehr wichtig.
Wichtige Records:
| Record | Zweck |
|---|---|
| MX | zuständiger Mailserver |
| A / AAAA | IP-Adresse des Mailservers |
| PTR | Reverse-DNS für Mailserver |
| TXT | SPF, DKIM, DMARC |
Ohne korrekte DNS-Einträge kann E-Mail-Zustellung scheitern.
Merksatz:
Mailzustellung hängt stark von DNS ab.
SPF
SPF steht für:
Sender Policy Framework
SPF wird über TXT-Records im DNS veröffentlicht.
SPF legt fest, welche Server für eine Domain E-Mails senden dürfen.
Merksatz:
SPF sagt,
welche Server für eine Domain senden dürfen.
DKIM
DKIM steht für:
DomainKeys Identified Mail
DKIM nutzt digitale Signaturen, um E-Mails einer Domain zuzuordnen und Manipulationen erkennbar zu machen.
Der öffentliche Schlüssel steht im DNS als TXT-Record.
Merksatz:
DKIM signiert E-Mails kryptografisch.
DMARC
DMARC steht für:
Domain-based Message Authentication, Reporting and Conformance
DMARC baut auf SPF und DKIM auf.
Es legt fest, wie Empfänger mit verdächtigen E-Mails umgehen sollen.
Beispiele:
- nur berichten
- in Quarantäne verschieben
- ablehnen
Merksatz:
DMARC sagt,
wie mit SPF-/DKIM-Fehlern umzugehen ist.
DNS und Webseiten
Für Webseiten sind häufig wichtig:
A-Record
AAAA-Record
CNAME
TXT für Domainprüfung
Beispiel:
www.firma.de
→ A-Record oder CNAME
Wenn DNS auf die falsche IP zeigt, landet der Browser auf dem falschen Server.
Merksatz:
Falsches DNS kann falsche Webseite oder falsches Zertifikat bedeuten.
DNS und Zertifikate
TLS-Zertifikate müssen zum aufgerufenen Namen passen.
Wenn DNS auf einen falschen Server zeigt, kann dieser ein falsches Zertifikat ausliefern.
Beispiel:
DNS für wiki.firma.de zeigt auf Server A.
Server A liefert Zertifikat für cloud.firma.de.
Folge:
Browser zeigt Zertifikatswarnung.
Merksatz:
DNS und Zertifikate müssen zusammenpassen.
DNS und Reverse Proxy
Bei einem Reverse Proxy zeigen DNS-Einträge häufig auf den Proxy.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
zeigen alle auf:
Reverse Proxy
Der Proxy entscheidet anhand des Hostnamens, an welches interne Backend weitergeleitet wird.
Merksatz:
DNS zeigt oft zum Proxy,
der Proxy leitet zum Backend.
DNS-Fehlersuche
Typische Fragen:
Welcher DNS-Server wird verwendet?
Wird der Name korrekt aufgelöst?
Gibt es A- oder AAAA-Records?
Gibt es einen falschen CNAME?
Ist der Cache veraltet?
Ist die TTL noch aktiv?
Wird intern anders aufgelöst als extern?
Stimmt der MX-Record?
Stimmt der PTR-Record?
Gibt es Tippfehler im Namen?
Merksatz:
DNS-Fehlersuche prüft Server,
Record,
Cache
und Sichtweise.
Fehlerbild: IP funktioniert, Name nicht
Beispiel:
ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.
Dann ist IP-Kommunikation grundsätzlich möglich.
Mögliche Ursachen:
- DNS-Server falsch
- DNS-Server nicht erreichbar
- DNS-Dienst gestört
- Firewall blockiert DNS
- falscher Domainname
- DNS-Cache fehlerhaft
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Fehlerbild: Name zeigt auf falsche IP
Mögliche Ursachen:
- falscher A-Record
- falscher AAAA-Record
- falscher CNAME
- alter Cache
- falsche DNS-Zone
- Split-DNS falsch
- falscher DNS-Server wird gefragt
Merksatz:
Falsche IP bei DNS:
Record und verwendeten DNS-Server prüfen.
Fehlerbild: Intern geht, extern nicht
Mögliche Ursachen:
- interne DNS-Zone anders als externe
- externer DNS-Eintrag fehlt
- Firewall blockiert extern
- NAT oder Portweiterleitung fehlt
- Zertifikat gilt nur intern
- öffentliche IP falsch
- Split DNS falsch geplant
Merksatz:
Intern und extern getrennt prüfen.
Fehlerbild: Extern geht, intern nicht
Mögliche Ursachen:
- interner DNS-Server liefert falsche Adresse
- Hairpin NAT fehlt
- Split DNS fehlt
- interne Firewall blockiert
- interner Proxy falsch
- interne Zone überschreibt externe Zone
Merksatz:
Extern erreichbar heißt nicht automatisch intern erreichbar.
Fehlerbild: DNS-Änderung greift nicht
Mögliche Ursachen:
- DNS-Cache noch aktiv
- TTL noch nicht abgelaufen
- falscher DNS-Server wird gefragt
- Änderung in falscher Zone gemacht
- autoritativer Nameserver nicht aktualisiert
- Browser oder Betriebssystem cachet noch
Merksatz:
DNS-Änderungen brauchen Zeit wegen TTL und Cache.
Fehlerbild: Webseite zeigt falsches Zertifikat
Mögliche Ursachen:
- DNS zeigt auf falsche IP
- Reverse Proxy liefert falsches Zertifikat
- Host-Header passt nicht
- falscher virtueller Host
- CNAME zeigt unerwartet weiter
- interne und externe DNS-Antwort unterscheiden sich
Merksatz:
Falsches Zertifikat kann DNS- oder Proxy-Ursache haben.
DNS-Tools
Typische Werkzeuge zur DNS-Prüfung:
| Werkzeug | Zweck |
|---|---|
| nslookup | DNS-Abfragen durchführen |
| dig | detaillierte DNS-Abfragen |
| host | einfache DNS-Abfrage |
| ping | zeigt oft aufgelöste IP, prüft aber ICMP |
| ipconfig /displaydns | DNS-Cache unter Windows anzeigen |
| ipconfig /flushdns | DNS-Cache unter Windows leeren |
| resolvectl | DNS-Informationen unter vielen Linux-Systemen |
| scutil --dns | DNS-Informationen unter macOS |
Merksatz:
DNS prüft man mit DNS-Werkzeugen,
nicht nur mit Ping.
Ping ist kein DNS-Test allein
Ping kann einen Namen auflösen, aber Ping prüft zusätzlich ICMP.
Beispiel:
ping www.example.com
Dabei passieren zwei Dinge:
1. DNS-Auflösung
2. ICMP-Test
Wenn Ping fehlschlägt, muss man unterscheiden:
DNS-Auflösung fehlgeschlagen?
Oder ICMP blockiert?
Merksatz:
Ping mit Name vermischt DNS und ICMP.
DNS und UDP/TCP 53
DNS nutzt häufig UDP 53.
DNS kann aber auch TCP 53 verwenden.
TCP 53 ist wichtig bei:
- großen Antworten
- Zonentransfers
- bestimmten DNSSEC-Fällen
Prüfungsfalle:
DNS ist nicht nur UDP.
Merksatz:
DNS nutzt UDP 53 häufig,
TCP 53 ebenfalls möglich.
Zonentransfer
Ein Zonentransfer überträgt DNS-Zonendaten zwischen DNS-Servern.
Typisch:
primärer DNS-Server
→ sekundärer DNS-Server
Zonentransfers sollten nicht öffentlich für jeden erlaubt sein.
Warum?
Sonst könnten interne DNS-Strukturen sichtbar werden.
Merksatz:
Zonentransfer nur für berechtigte DNS-Server erlauben.
DNSSEC kurz erklärt
DNSSEC steht für:
Domain Name System Security Extensions
DNSSEC schützt DNS-Antworten durch digitale Signaturen.
Ziel:
Manipulation von DNS-Antworten erkennbar machen.
Wichtig:
DNSSEC verschlüsselt DNS-Anfragen nicht automatisch.
Es schützt vor allem die Integrität und Authentizität der DNS-Daten.
Merksatz:
DNSSEC signiert DNS-Daten,
verschlüsselt sie aber nicht.
DNS over HTTPS und DNS over TLS
Es gibt auch verschlüsselte DNS-Varianten.
Beispiele:
DoH = DNS over HTTPS
DoT = DNS over TLS
Ziel:
DNS-Anfragen besser vor Mitlesen oder Manipulation auf dem Transportweg schützen.
Wichtig:
In Unternehmensnetzen kann das Auswirkungen auf Filterung und Monitoring haben.
Merksatz:
DoH und DoT verschlüsseln DNS-Transport.
Was DNS nicht macht
DNS macht nicht:
- Webseiten ausliefern
- TCP-Verbindungen aufbauen
- IP-Pakete routen
- Zertifikate ausstellen
- Dienste automatisch starten
- Firewall-Regeln setzen
- Benutzer authentifizieren
DNS liefert Namen und zugehörige Informationen.
Merksatz:
DNS sagt,
wohin ein Name zeigt,
nicht ob der Dienst funktioniert.
Einordnung in das OSI-Modell
| Thema | Schicht |
|---|---|
| DNS-Protokoll | 7 |
| DNS-Record | 7 |
| A / AAAA / MX / TXT | 7 |
| UDP 53 / TCP 53 | 4 |
| IP-Adresse | 3 |
| Reverse Lookup | 7 |
| DNSSEC | 7 mit Sicherheitsbezug |
| DoH / DoT | 7 über TLS/HTTPS |
| DHCP verteilt DNS-Server | 7 mit Schicht-3-Bezug |
Merksatz:
DNS gehört zu Schicht 7,
nutzt aber Schicht 4 und Schicht 3 darunter.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht DNS?
- Wofür steht DNS?
- Warum braucht man DNS?
- Was ist ein DNS-Resolver?
- Was ist ein authoritative DNS-Server?
- Was ist eine DNS-Zone?
- Was ist der Unterschied zwischen Forward und Reverse Lookup?
- Was ist ein A-Record?
- Was ist ein AAAA-Record?
- Was ist ein CNAME?
- Was ist ein MX-Record?
- Was ist ein TXT-Record?
- Was ist ein PTR-Record?
- Was bedeutet TTL?
- Warum dauern DNS-Änderungen manchmal?
- Warum funktioniert IP, aber Name nicht?
- Warum kann falsches DNS ein Zertifikatsproblem verursachen?
- Warum nutzt DNS UDP und TCP 53?
Typische Prüfungsfallen
DNS gehört zu Schicht 7.
DNS-Port 53 gehört zu Schicht 4.
DNS löst Namen in IP-Adressen auf.
A-Record = IPv4.
AAAA-Record = IPv6.
CNAME = Alias auf anderen Namen.
MX = Mailserver.
TXT = Textinformationen.
PTR = Reverse Lookup.
NS = zuständiger Nameserver.
TTL steuert DNS-Caching.
DNS-Änderungen können wegen Cache dauern.
IP geht,
Name nicht:
DNS prüfen.
Ping mit Name ist nicht nur DNS-Test,
sondern auch ICMP-Test.
DNS ist nicht nur UDP,
sondern kann auch TCP 53 nutzen.
DNSSEC verschlüsselt DNS nicht automatisch.
DNS sagt nicht,
ob der Dienst läuft.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| DNS | Domain Name System |
| Namensauflösung | Name wird zu IP-Adresse aufgelöst |
| Resolver | DNS-Server, der Antworten für Clients sucht |
| authoritative DNS | zuständiger DNS-Server einer Zone |
| DNS-Zone | verwalteter Namensbereich |
| Record | DNS-Eintrag |
| A | Name zu IPv4 |
| AAAA | Name zu IPv6 |
| CNAME | Alias auf anderen Namen |
| MX | Mailserver |
| NS | Nameserver |
| TXT | Textinformation |
| PTR | Reverse-DNS-Eintrag |
| SRV | Dienststandort |
| SOA | Verwaltungsdaten einer Zone |
| TTL | Cache-Lebensdauer |
| FQDN | vollständiger DNS-Name |
| Split DNS | unterschiedliche interne und externe Antworten |
| Reverse Lookup | IP-Adresse zu Name |
| DNSSEC | signierte DNS-Daten |
| DoH | DNS über HTTPS |
| DoT | DNS über TLS |
IHK-sichere Kurzformulierung
DNS steht für Domain Name System und gehört zur Anwendungsschicht des OSI-Modells. DNS löst Namen in IP-Adressen auf, damit Anwendungen mit verständlichen Namen arbeiten können. Ein Client fragt einen DNS-Resolver, der die passende Antwort liefert oder weitere DNS-Server abfragt. DNS ist hierarchisch aufgebaut und arbeitet mit Records wie A für IPv4, AAAA für IPv6, CNAME für Aliase, MX für Mailserver, NS für Nameserver, TXT für Textinformationen und PTR für Reverse Lookup. DNS nutzt typischerweise UDP-Port 53, kann aber auch TCP-Port 53 verwenden. DNS-Caching wird durch die TTL gesteuert.
Merksätze
DNS = Domain Name System.
DNS gehört zu Schicht 7.
DNS löst Namen in IP-Adressen auf.
Name zu IP = Forward Lookup.
IP zu Name = Reverse Lookup.
Resolver sucht Antwort für Client.
Authoritative DNS liefert verbindliche Antwort.
DNS-Zone = verwalteter Namensbereich.
A = IPv4.
AAAA = IPv6.
CNAME = Alias.
MX = Mailserver.
NS = Nameserver.
TXT = Textinformation.
PTR = Reverse Lookup.
SRV = Dienststandort.
SOA = Zonendaten.
TTL = Cache-Zeit.
DNS-Cache beschleunigt,
verzögert aber Änderungen.
FQDN = vollständiger DNS-Name.
Split DNS = intern und extern unterschiedliche Antworten.
DNS-Port = UDP/TCP 53.
DNS ist nicht nur UDP.
IP geht,
Name nicht:
DNS prüfen.
Ping mit Name vermischt DNS und ICMP.
DNSSEC signiert,
verschlüsselt aber nicht automatisch.
DoH und DoT verschlüsseln DNS-Transport.
DNS sagt,
wohin ein Name zeigt,
nicht ob der Dienst funktioniert.