# 10.3 DNS und Namensauflösung DNS gehört zur OSI-Schicht 7. DNS steht für: Domain Name System Die Hauptaufgabe von DNS ist: Namen in IP-Adressen auflösen. Beispiel: www.example.com → 93.184.216.34 Menschen merken sich Namen leichter als IP-Adressen. Computer benötigen aber IP-Adressen, um über das Netzwerk zu kommunizieren. Merksatz: DNS = Name zu IP-Adresse. --- **Warum braucht man DNS?** Ohne DNS müsste man sich IP-Adressen merken. Beispiel ohne DNS: 93.184.216.34 Beispiel mit DNS: www.example.com DNS macht Netzwerke benutzerfreundlicher und flexibler. Wenn sich die IP-Adresse eines Servers ändert, kann der DNS-Eintrag angepasst werden, ohne dass sich der Name ändern muss. Merksatz: DNS trennt Namen von IP-Adressen. --- **DNS im OSI-Modell** DNS ist ein Anwendungsschicht-Protokoll. Es nutzt Transportprotokolle aus Schicht 4. Typisch: UDP 53 TCP 53 Wichtig: DNS-Port 53 gehört zu Schicht 4. DNS-Protokoll gehört zu Schicht 7. Merksatz: DNS nutzt Ports, ist aber ein Dienst der Anwendungsschicht. --- **DNS und IP-Kommunikation** DNS ist nicht nötig, wenn direkt mit einer IP-Adresse kommuniziert wird. Beispiel: ping 8.8.8.8 Hier wird kein DNS-Name benötigt. DNS wird benötigt bei: ping www.example.com Denn der Name muss zuerst in eine IP-Adresse aufgelöst werden. Merksatz: IP-Adresse direkt = kein DNS nötig. Name verwenden = DNS nötig. --- **Typischer Ablauf einer Namensauflösung** Vereinfacht: 1. Benutzer gibt Namen ein. 2. Client prüft lokalen Cache. 3. Client fragt DNS-Resolver. 4. Resolver sucht die passende Antwort. 5. Resolver liefert IP-Adresse zurück. 6. Client verbindet sich zur IP-Adresse. Beispiel: Browser: www.example.com öffnen DNS: www.example.com = 93.184.216.34 Browser: Verbindung zu 93.184.216.34 aufbauen Merksatz: Erst Name auflösen, dann Verbindung zur IP-Adresse aufbauen. --- **DNS-Client** Der DNS-Client ist das System, das eine DNS-Anfrage stellt. Beispiele: - PC - Smartphone - Server - Browser - Anwendung - Betriebssystem Der Client fragt normalerweise nicht direkt alle DNS-Server im Internet, sondern nutzt einen eingetragenen DNS-Resolver. Merksatz: DNS-Client stellt die Anfrage. --- **DNS-Resolver** Ein DNS-Resolver beantwortet DNS-Anfragen für Clients. Er kann: - Antworten aus Cache liefern - andere DNS-Server fragen - rekursive Auflösung durchführen - lokale DNS-Zonen kennen Beispiele für Resolver: - Router im Heimnetz - interner DNS-Server - Provider-DNS - öffentlicher DNS-Dienst Merksatz: Resolver sucht die Antwort für den Client. --- **Rekursive DNS-Abfrage** Bei einer rekursiven Abfrage erwartet der Client vom Resolver eine fertige Antwort. Der Client fragt: Welche IP hat www.example.com? Der Resolver kümmert sich darum, die Antwort zu finden. Der Client erhält am Ende: IP-Adresse oder Fehler Merksatz: Rekursiv = Resolver erledigt die Suche für den Client. --- **Iterative DNS-Abfrage** Bei einer iterativen Abfrage liefert ein DNS-Server nicht unbedingt die endgültige Antwort. Er kann stattdessen sagen: Frag den nächsten zuständigen Server. Das passiert typischerweise zwischen DNS-Servern bei der Auflösung. Merksatz: Iterativ = Server verweist auf nächsten zuständigen Server. --- **DNS-Hierarchie** DNS ist hierarchisch aufgebaut. Vereinfacht: Root Top-Level-Domain Domain Subdomain Hostname Beispiel: www.example.com Aufteilung: | Teil | Bedeutung | |---|---| | . | Root | | com | Top-Level-Domain | | example | Domain | | www | Hostname oder Subdomain | Merksatz: DNS ist wie ein Baum aufgebaut. --- **Root-DNS-Server** Root-DNS-Server stehen ganz oben in der DNS-Hierarchie. Sie kennen nicht jede einzelne Domain, aber sie wissen, welche Nameserver für Top-Level-Domains zuständig sind. Beispiel: Für .de frage diese Nameserver. Für .com frage diese Nameserver. Merksatz: Root-Server verweisen auf TLD-Nameserver. --- **Top-Level-Domain** Eine Top-Level-Domain ist der rechte Teil eines Domainnamens. Beispiele: .de .com .org .net .edu Bei: www.example.com ist: .com die Top-Level-Domain. Merksatz: TLD = oberster Domainbereich wie .de oder .com. --- **Authoritative DNS-Server** Ein authoritative DNS-Server ist für eine DNS-Zone zuständig. Er enthält verbindliche Informationen für eine Domain. Beispiel: Der authoritative DNS-Server für example.com kennt Einträge wie: www.example.com mail.example.com api.example.com Merksatz: Authoritative DNS-Server liefern verbindliche Antworten für eine Zone. --- **DNS-Zone** Eine DNS-Zone ist ein verwalteter Bereich im DNS. Beispiel: example.com In dieser Zone können Einträge liegen wie: www.example.com mail.example.com api.example.com Eine Zone wird von zuständigen DNS-Servern verwaltet. Merksatz: DNS-Zone = verwalteter Namensbereich. --- **Forward Lookup** Forward Lookup bedeutet: Name zu IP-Adresse Beispiel: www.example.com → 93.184.216.34 Das ist die häufigste DNS-Nutzung. Merksatz: Forward Lookup = Name zu IP. --- **Reverse Lookup** Reverse Lookup bedeutet: IP-Adresse zu Name Beispiel: 93.184.216.34 → www.example.com Dafür werden spezielle DNS-Zonen verwendet. Bei IPv4: in-addr.arpa Bei IPv6: ip6.arpa Merksatz: Reverse Lookup = IP zu Name. --- **DNS-Records** DNS speichert Informationen in Records. Ein Record ist ein DNS-Eintrag. Wichtige Record-Typen: | Record | Bedeutung | |---|---| | A | Name zu IPv4-Adresse | | AAAA | Name zu IPv6-Adresse | | CNAME | Alias auf anderen Namen | | MX | Mailserver einer Domain | | NS | zuständiger Nameserver | | TXT | Textinformationen | | PTR | Reverse-DNS-Eintrag | | SRV | Dienststandort | | SOA | Start of Authority | Merksatz: DNS-Records speichern verschiedene Namensinformationen. --- **A-Record** Ein A-Record ordnet einen Namen einer IPv4-Adresse zu. Beispiel: www.example.com → 93.184.216.34 A steht für: Address Merksatz: A-Record = Name zu IPv4. --- **AAAA-Record** Ein AAAA-Record ordnet einen Namen einer IPv6-Adresse zu. Beispiel: www.example.com → 2001:db8::10 Warum AAAA? IPv6-Adressen sind 128 Bit groß. IPv4-Adressen sind 32 Bit groß. 128 Bit sind viermal so groß wie 32 Bit. Merksatz: AAAA-Record = Name zu IPv6. --- **CNAME-Record** Ein CNAME ist ein Alias. CNAME steht für: Canonical Name Beispiel: shop.example.com → webserver.example.com Der Name shop.example.com zeigt also auf einen anderen Namen. Wichtig: Ein CNAME zeigt auf einen Namen, nicht direkt auf eine IP-Adresse. Merksatz: CNAME = Alias auf anderen DNS-Namen. --- **MX-Record** MX steht für: Mail Exchanger Ein MX-Record gibt an, welche Mailserver für eine Domain zuständig sind. Beispiel: example.com MX 10 mail.example.com Die Zahl ist die Priorität. Kleinere Zahl bedeutet: höhere Priorität Merksatz: MX = zuständiger Mailserver einer Domain. --- **NS-Record** NS steht für: Name Server Ein NS-Record gibt an, welche Nameserver für eine Zone zuständig sind. Beispiel: example.com NS ns1.example.com example.com NS ns2.example.com Merksatz: NS = zuständiger Nameserver. --- **TXT-Record** TXT-Records speichern Textinformationen. Typische Nutzung: - SPF - DKIM - DMARC - Domain-Verifizierung - Sicherheitsinformationen - Dienstnachweise Beispiel: v=spf1 include:example.net -all Merksatz: TXT-Record = Textinformationen im DNS. --- **PTR-Record** PTR steht für: Pointer Ein PTR-Record wird für Reverse Lookup verwendet. Er ordnet eine IP-Adresse einem Namen zu. Beispiel: 93.184.216.34 → server.example.com PTR-Records sind besonders bei Mailservern relevant. Merksatz: PTR = Reverse-DNS-Eintrag. --- **SRV-Record** SRV steht für: Service Ein SRV-Record beschreibt, wo ein bestimmter Dienst erreichbar ist. Er kann enthalten: - Dienst - Protokoll - Zielhost - Port - Priorität - Gewichtung Typische Nutzung: - Verzeichnisdienste - VoIP - Microsoft-Dienste - XMPP Merksatz: SRV zeigt, wo ein Dienst erreichbar ist. --- **SOA-Record** SOA steht für: Start of Authority Der SOA-Record enthält Verwaltungsinformationen einer DNS-Zone. Dazu gehören zum Beispiel: - primärer Nameserver - verantwortliche Kontaktadresse - Seriennummer - Aktualisierungszeiten - Ablaufzeiten Merksatz: SOA enthält Verwaltungsdaten einer DNS-Zone. --- **TTL** TTL steht bei DNS für: Time To Live Die TTL gibt an, wie lange ein DNS-Eintrag zwischengespeichert werden darf. Beispiel: TTL 3600 Bedeutung: Eintrag darf 3600 Sekunden, also eine Stunde, gecacht werden. Merksatz: DNS-TTL bestimmt, wie lange eine Antwort im Cache bleiben darf. --- **DNS-Cache** Ein DNS-Cache speichert Antworten vorübergehend. Caches gibt es zum Beispiel bei: - Betriebssystem - Browser - DNS-Resolver - Router - Provider - Anwendungen Vorteil: schnellere Antworten weniger Last auf DNS-Servern Nachteil: Änderungen werden nicht sofort überall sichtbar. Merksatz: DNS-Cache macht DNS schneller, kann Änderungen aber verzögern. --- **Warum DNS-Änderungen dauern können** DNS-Änderungen sind nicht immer sofort überall sichtbar. Grund: alte Antworten können noch in Caches liegen. Die Dauer hängt stark von der TTL ab. Beispiel: TTL 86400 bedeutet: Antwort darf bis zu 24 Stunden gecacht werden. Merksatz: DNS-Änderungen brauchen wegen Caching Zeit. --- **DNS und DHCP** Clients erhalten DNS-Server häufig per DHCP. DHCP kann dem Client mitteilen: - IP-Adresse - Subnetzmaske - Gateway - DNS-Server - Domain-Suffix Wenn der falsche DNS-Server per DHCP verteilt wird, funktioniert Namensauflösung möglicherweise falsch. Merksatz: DHCP verteilt oft die DNS-Serveradresse. --- **DNS-Suffix** Ein DNS-Suffix kann bei unvollständigen Namen ergänzt werden. Beispiel: eingegeben: server01 DNS-Suffix: firma.local Abfrage wird zu: server01.firma.local Typisch in Unternehmensnetzen. Merksatz: DNS-Suffix ergänzt kurze Namen. --- **FQDN** FQDN steht für: Fully Qualified Domain Name Ein FQDN ist ein vollständiger DNS-Name. Beispiel: server01.firma.local Er beschreibt den Namen eindeutig innerhalb der DNS-Hierarchie. Merksatz: FQDN = vollständiger DNS-Name. --- **Hostname und Domainname** Hostname: Name eines Geräts oder Dienstes Domainname: Namensbereich Beispiel: server01.firma.local Dabei ist: server01 = Hostname firma.local = Domain Merksatz: Hostname ist der einzelne Name, Domain ist der Namensbereich. --- **Split DNS** Split DNS bedeutet: Ein Name kann intern und extern unterschiedlich aufgelöst werden. Beispiel: wiki.firma.de intern: 192.168.10.50 extern: 93.184.100.10 Das ist häufig sinnvoll, wenn interne Clients interne Adressen verwenden sollen. Merksatz: Split DNS liefert je nach Standort unterschiedliche Antworten. --- **Interne und externe DNS-Zonen** Unternehmen nutzen oft interne und externe DNS-Zonen. Extern sichtbar: www.firma.de mail.firma.de Intern zusätzlich: server01.firma.local db01.intern.firma.de printer01.firma.local Wichtig: Interne Namen sollten nicht unkontrolliert öffentlich sichtbar sein. Merksatz: Interne DNS-Zonen dienen interner Namensauflösung. --- **DNS und Active Directory** In Windows-Domänen ist DNS besonders wichtig. Active Directory nutzt DNS für: - Domänencontroller finden - Dienste finden - LDAP finden - Kerberos finden - Anmeldung unterstützen Dafür werden unter anderem SRV-Records verwendet. Merksatz: Active Directory braucht funktionierendes DNS. --- **DNS und E-Mail** DNS ist für E-Mail sehr wichtig. Wichtige Records: | Record | Zweck | |---|---| | MX | zuständiger Mailserver | | A / AAAA | IP-Adresse des Mailservers | | PTR | Reverse-DNS für Mailserver | | TXT | SPF, DKIM, DMARC | Ohne korrekte DNS-Einträge kann E-Mail-Zustellung scheitern. Merksatz: Mailzustellung hängt stark von DNS ab. --- **SPF** SPF steht für: Sender Policy Framework SPF wird über TXT-Records im DNS veröffentlicht. SPF legt fest, welche Server für eine Domain E-Mails senden dürfen. Merksatz: SPF sagt, welche Server für eine Domain senden dürfen. --- **DKIM** DKIM steht für: DomainKeys Identified Mail DKIM nutzt digitale Signaturen, um E-Mails einer Domain zuzuordnen und Manipulationen erkennbar zu machen. Der öffentliche Schlüssel steht im DNS als TXT-Record. Merksatz: DKIM signiert E-Mails kryptografisch. --- **DMARC** DMARC steht für: Domain-based Message Authentication, Reporting and Conformance DMARC baut auf SPF und DKIM auf. Es legt fest, wie Empfänger mit verdächtigen E-Mails umgehen sollen. Beispiele: - nur berichten - in Quarantäne verschieben - ablehnen Merksatz: DMARC sagt, wie mit SPF-/DKIM-Fehlern umzugehen ist. --- **DNS und Webseiten** Für Webseiten sind häufig wichtig: A-Record AAAA-Record CNAME TXT für Domainprüfung Beispiel: www.firma.de → A-Record oder CNAME Wenn DNS auf die falsche IP zeigt, landet der Browser auf dem falschen Server. Merksatz: Falsches DNS kann falsche Webseite oder falsches Zertifikat bedeuten. --- **DNS und Zertifikate** TLS-Zertifikate müssen zum aufgerufenen Namen passen. Wenn DNS auf einen falschen Server zeigt, kann dieser ein falsches Zertifikat ausliefern. Beispiel: DNS für wiki.firma.de zeigt auf Server A. Server A liefert Zertifikat für cloud.firma.de. Folge: Browser zeigt Zertifikatswarnung. Merksatz: DNS und Zertifikate müssen zusammenpassen. --- **DNS und Reverse Proxy** Bei einem Reverse Proxy zeigen DNS-Einträge häufig auf den Proxy. Beispiel: wiki.firma.de cloud.firma.de git.firma.de zeigen alle auf: Reverse Proxy Der Proxy entscheidet anhand des Hostnamens, an welches interne Backend weitergeleitet wird. Merksatz: DNS zeigt oft zum Proxy, der Proxy leitet zum Backend. --- **DNS-Fehlersuche** Typische Fragen: Welcher DNS-Server wird verwendet? Wird der Name korrekt aufgelöst? Gibt es A- oder AAAA-Records? Gibt es einen falschen CNAME? Ist der Cache veraltet? Ist die TTL noch aktiv? Wird intern anders aufgelöst als extern? Stimmt der MX-Record? Stimmt der PTR-Record? Gibt es Tippfehler im Namen? Merksatz: DNS-Fehlersuche prüft Server, Record, Cache und Sichtweise. --- **Fehlerbild: IP funktioniert, Name nicht** Beispiel: ping 8.8.8.8 funktioniert. ping www.example.com funktioniert nicht. Dann ist IP-Kommunikation grundsätzlich möglich. Mögliche Ursachen: - DNS-Server falsch - DNS-Server nicht erreichbar - DNS-Dienst gestört - Firewall blockiert DNS - falscher Domainname - DNS-Cache fehlerhaft Merksatz: IP geht, Name nicht: DNS prüfen. --- **Fehlerbild: Name zeigt auf falsche IP** Mögliche Ursachen: - falscher A-Record - falscher AAAA-Record - falscher CNAME - alter Cache - falsche DNS-Zone - Split-DNS falsch - falscher DNS-Server wird gefragt Merksatz: Falsche IP bei DNS: Record und verwendeten DNS-Server prüfen. --- **Fehlerbild: Intern geht, extern nicht** Mögliche Ursachen: - interne DNS-Zone anders als externe - externer DNS-Eintrag fehlt - Firewall blockiert extern - NAT oder Portweiterleitung fehlt - Zertifikat gilt nur intern - öffentliche IP falsch - Split DNS falsch geplant Merksatz: Intern und extern getrennt prüfen. --- **Fehlerbild: Extern geht, intern nicht** Mögliche Ursachen: - interner DNS-Server liefert falsche Adresse - Hairpin NAT fehlt - Split DNS fehlt - interne Firewall blockiert - interner Proxy falsch - interne Zone überschreibt externe Zone Merksatz: Extern erreichbar heißt nicht automatisch intern erreichbar. --- **Fehlerbild: DNS-Änderung greift nicht** Mögliche Ursachen: - DNS-Cache noch aktiv - TTL noch nicht abgelaufen - falscher DNS-Server wird gefragt - Änderung in falscher Zone gemacht - autoritativer Nameserver nicht aktualisiert - Browser oder Betriebssystem cachet noch Merksatz: DNS-Änderungen brauchen Zeit wegen TTL und Cache. --- **Fehlerbild: Webseite zeigt falsches Zertifikat** Mögliche Ursachen: - DNS zeigt auf falsche IP - Reverse Proxy liefert falsches Zertifikat - Host-Header passt nicht - falscher virtueller Host - CNAME zeigt unerwartet weiter - interne und externe DNS-Antwort unterscheiden sich Merksatz: Falsches Zertifikat kann DNS- oder Proxy-Ursache haben. --- **DNS-Tools** Typische Werkzeuge zur DNS-Prüfung: | Werkzeug | Zweck | |---|---| | nslookup | DNS-Abfragen durchführen | | dig | detaillierte DNS-Abfragen | | host | einfache DNS-Abfrage | | ping | zeigt oft aufgelöste IP, prüft aber ICMP | | ipconfig /displaydns | DNS-Cache unter Windows anzeigen | | ipconfig /flushdns | DNS-Cache unter Windows leeren | | resolvectl | DNS-Informationen unter vielen Linux-Systemen | | scutil --dns | DNS-Informationen unter macOS | Merksatz: DNS prüft man mit DNS-Werkzeugen, nicht nur mit Ping. --- **Ping ist kein DNS-Test allein** Ping kann einen Namen auflösen, aber Ping prüft zusätzlich ICMP. Beispiel: ping www.example.com Dabei passieren zwei Dinge: 1. DNS-Auflösung 2. ICMP-Test Wenn Ping fehlschlägt, muss man unterscheiden: DNS-Auflösung fehlgeschlagen? Oder ICMP blockiert? Merksatz: Ping mit Name vermischt DNS und ICMP. --- **DNS und UDP/TCP 53** DNS nutzt häufig UDP 53. DNS kann aber auch TCP 53 verwenden. TCP 53 ist wichtig bei: - großen Antworten - Zonentransfers - bestimmten DNSSEC-Fällen Prüfungsfalle: DNS ist nicht nur UDP. Merksatz: DNS nutzt UDP 53 häufig, TCP 53 ebenfalls möglich. --- **Zonentransfer** Ein Zonentransfer überträgt DNS-Zonendaten zwischen DNS-Servern. Typisch: primärer DNS-Server → sekundärer DNS-Server Zonentransfers sollten nicht öffentlich für jeden erlaubt sein. Warum? Sonst könnten interne DNS-Strukturen sichtbar werden. Merksatz: Zonentransfer nur für berechtigte DNS-Server erlauben. --- **DNSSEC kurz erklärt** DNSSEC steht für: Domain Name System Security Extensions DNSSEC schützt DNS-Antworten durch digitale Signaturen. Ziel: Manipulation von DNS-Antworten erkennbar machen. Wichtig: DNSSEC verschlüsselt DNS-Anfragen nicht automatisch. Es schützt vor allem die Integrität und Authentizität der DNS-Daten. Merksatz: DNSSEC signiert DNS-Daten, verschlüsselt sie aber nicht. --- **DNS over HTTPS und DNS over TLS** Es gibt auch verschlüsselte DNS-Varianten. Beispiele: DoH = DNS over HTTPS DoT = DNS over TLS Ziel: DNS-Anfragen besser vor Mitlesen oder Manipulation auf dem Transportweg schützen. Wichtig: In Unternehmensnetzen kann das Auswirkungen auf Filterung und Monitoring haben. Merksatz: DoH und DoT verschlüsseln DNS-Transport. --- **Was DNS nicht macht** DNS macht nicht: - Webseiten ausliefern - TCP-Verbindungen aufbauen - IP-Pakete routen - Zertifikate ausstellen - Dienste automatisch starten - Firewall-Regeln setzen - Benutzer authentifizieren DNS liefert Namen und zugehörige Informationen. Merksatz: DNS sagt, wohin ein Name zeigt, nicht ob der Dienst funktioniert. --- **Einordnung in das OSI-Modell** | Thema | Schicht | |---|---:| | DNS-Protokoll | 7 | | DNS-Record | 7 | | A / AAAA / MX / TXT | 7 | | UDP 53 / TCP 53 | 4 | | IP-Adresse | 3 | | Reverse Lookup | 7 | | DNSSEC | 7 mit Sicherheitsbezug | | DoH / DoT | 7 über TLS/HTTPS | | DHCP verteilt DNS-Server | 7 mit Schicht-3-Bezug | Merksatz: DNS gehört zu Schicht 7, nutzt aber Schicht 4 und Schicht 3 darunter. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht DNS? - Wofür steht DNS? - Warum braucht man DNS? - Was ist ein DNS-Resolver? - Was ist ein authoritative DNS-Server? - Was ist eine DNS-Zone? - Was ist der Unterschied zwischen Forward und Reverse Lookup? - Was ist ein A-Record? - Was ist ein AAAA-Record? - Was ist ein CNAME? - Was ist ein MX-Record? - Was ist ein TXT-Record? - Was ist ein PTR-Record? - Was bedeutet TTL? - Warum dauern DNS-Änderungen manchmal? - Warum funktioniert IP, aber Name nicht? - Warum kann falsches DNS ein Zertifikatsproblem verursachen? - Warum nutzt DNS UDP und TCP 53? --- **Typische Prüfungsfallen** DNS gehört zu Schicht 7. DNS-Port 53 gehört zu Schicht 4. DNS löst Namen in IP-Adressen auf. A-Record = IPv4. AAAA-Record = IPv6. CNAME = Alias auf anderen Namen. MX = Mailserver. TXT = Textinformationen. PTR = Reverse Lookup. NS = zuständiger Nameserver. TTL steuert DNS-Caching. DNS-Änderungen können wegen Cache dauern. IP geht, Name nicht: DNS prüfen. Ping mit Name ist nicht nur DNS-Test, sondern auch ICMP-Test. DNS ist nicht nur UDP, sondern kann auch TCP 53 nutzen. DNSSEC verschlüsselt DNS nicht automatisch. DNS sagt nicht, ob der Dienst läuft. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | DNS | Domain Name System | | Namensauflösung | Name wird zu IP-Adresse aufgelöst | | Resolver | DNS-Server, der Antworten für Clients sucht | | authoritative DNS | zuständiger DNS-Server einer Zone | | DNS-Zone | verwalteter Namensbereich | | Record | DNS-Eintrag | | A | Name zu IPv4 | | AAAA | Name zu IPv6 | | CNAME | Alias auf anderen Namen | | MX | Mailserver | | NS | Nameserver | | TXT | Textinformation | | PTR | Reverse-DNS-Eintrag | | SRV | Dienststandort | | SOA | Verwaltungsdaten einer Zone | | TTL | Cache-Lebensdauer | | FQDN | vollständiger DNS-Name | | Split DNS | unterschiedliche interne und externe Antworten | | Reverse Lookup | IP-Adresse zu Name | | DNSSEC | signierte DNS-Daten | | DoH | DNS über HTTPS | | DoT | DNS über TLS | --- **IHK-sichere Kurzformulierung** DNS steht für Domain Name System und gehört zur Anwendungsschicht des OSI-Modells. DNS löst Namen in IP-Adressen auf, damit Anwendungen mit verständlichen Namen arbeiten können. Ein Client fragt einen DNS-Resolver, der die passende Antwort liefert oder weitere DNS-Server abfragt. DNS ist hierarchisch aufgebaut und arbeitet mit Records wie A für IPv4, AAAA für IPv6, CNAME für Aliase, MX für Mailserver, NS für Nameserver, TXT für Textinformationen und PTR für Reverse Lookup. DNS nutzt typischerweise UDP-Port 53, kann aber auch TCP-Port 53 verwenden. DNS-Caching wird durch die TTL gesteuert. --- **Merksätze** DNS = Domain Name System. DNS gehört zu Schicht 7. DNS löst Namen in IP-Adressen auf. Name zu IP = Forward Lookup. IP zu Name = Reverse Lookup. Resolver sucht Antwort für Client. Authoritative DNS liefert verbindliche Antwort. DNS-Zone = verwalteter Namensbereich. A = IPv4. AAAA = IPv6. CNAME = Alias. MX = Mailserver. NS = Nameserver. TXT = Textinformation. PTR = Reverse Lookup. SRV = Dienststandort. SOA = Zonendaten. TTL = Cache-Zeit. DNS-Cache beschleunigt, verzögert aber Änderungen. FQDN = vollständiger DNS-Name. Split DNS = intern und extern unterschiedliche Antworten. DNS-Port = UDP/TCP 53. DNS ist nicht nur UDP. IP geht, Name nicht: DNS prüfen. Ping mit Name vermischt DNS und ICMP. DNSSEC signiert, verschlüsselt aber nicht automatisch. DoH und DoT verschlüsseln DNS-Transport. DNS sagt, wohin ein Name zeigt, nicht ob der Dienst funktioniert.