DNS-Server & Zonenverwaltung#

Während dns dhcp arp die clientseitige Namensauflösung erklärt, geht es hier um die Serveradministration: Wie eine DNS-Zone aufgebaut ist, wie sie zwischen Servern synchronisiert wird und welche Anfragearten dabei zum Einsatz kommen.

Primärer vs. sekundärer Nameserver#

Für eine Zone gibt es genau einen primären (Master-)Nameserver, auf dem die Zonendaten gepflegt werden, sowie optional mehrere sekundäre (Slave-)Nameserver, die eine Kopie der Zone halten.

	Primärer Nameserver	Sekundärer Nameserver
Zonendaten	Werden hier bearbeitet (Quelle der Wahrheit)	Werden per Zonentransfer kopiert
Schreibzugriff	Ja	Nein (nur lesend)
Zweck	Verwaltung	Lastverteilung, Ausfallsicherheit
Anzahl pro Zone	Genau einer	Beliebig viele

Mehrere Nameserver für dieselbe Zone erhöhen die Verfügbarkeit: Fällt einer aus, beantworten die anderen weiterhin Anfragen.

Zonentransfer (AXFR/IXFR)#

Ein Zonentransfer überträgt die Zonendaten vom primären zum sekundären Nameserver.

Typ	Bedeutung
AXFR (Full Zone Transfer)	Überträgt die komplette Zone
IXFR (Incremental Zone Transfer)	Überträgt nur die Änderungen seit der letzten Synchronisation (effizienter)

sequenceDiagram
    participant P as Primärer Nameserver
    participant S as Sekundärer Nameserver
    Note over P,S: Zonendatei wird auf P geändert,\nSerial-Nummer im SOA-Record erhöht
    S->>P: Anfrage: Aktuelle Serial-Nummer?
    P->>S: Serial-Nummer (z.B. 2026071401)
    Note over S: Eigene Serial-Nummer ist älter
    S->>P: Zonentransfer anfordern (AXFR/IXFR)
    P->>S: Zonendaten übertragen
    Note over S: Lokale Kopie aktualisiert

Zonentransfers laufen über TCP Port 53 (im Gegensatz zu normalen Anfragen, die meist über UDP laufen), da hier größere Datenmengen übertragen werden. Aus Sicherheitsgründen sollten Zonentransfers auf bekannte sekundäre Server beschränkt werden, um zu verhindern, dass Angreifer die komplette Zone auslesen.

Wichtige Resource-Record-Typen#

Record	Bedeutung	Beispiel
A	Hostname → IPv4-Adresse	`www.example.de → 93.184.216.34`
AAAA	Hostname → IPv6-Adresse	`www.example.de → 2606:2800:220:1::93`
CNAME	Alias auf einen anderen Hostnamen	`ftp.example.de → www.example.de`
MX	Zuständiger Mailserver + Priorität	`example.de → mail.example.de (Prio 10)`
TXT	Freitext, z.B. für Domainverifizierung, SPF/DKIM	`"v=spf1 include:_spf.example.de"`
NS	Zuständiger Nameserver für die Zone	`example.de → ns1.example.de`
PTR	IP-Adresse → Hostname (Reverse Lookup)	`34.216.184.93.in-addr.arpa → www.example.de`

Forward-Lookup-Zone vs. Reverse-Lookup-Zone#

	Forward-Lookup-Zone	Reverse-Lookup-Zone
Auflösung	Name → IP-Adresse	IP-Adresse → Name
Wichtigster Record	A / AAAA	PTR
Beispiel-Zone	`example.de`	`1.168.192.in-addr.arpa`
Typischer Einsatz	Normale Namensauflösung im Web	Mailserver-Prüfung (Reverse-DNS-Check gegen Spam), Logging

Rekursive vs. iterative Anfrage#

Bei einer rekursiven Anfrage übernimmt der angefragte Server die komplette Auflösung und liefert nur das Endergebnis zurück. Clients stellen ihrem lokalen Resolver typischerweise rekursive Anfragen.
Bei einer iterativen Anfrage antwortet der Server nur mit dem bestmöglichen ihm bekannten Verweis (z.B. „frag den TLD-Server") — der Fragende muss selbst weiterfragen. So kommunizieren Resolver typischerweise mit Root-, TLD- und autoritativen Nameservern.

sequenceDiagram
    participant C as Client
    participant R as Rekursiver Resolver
    participant RNS as Root-Nameserver
    participant TNS as TLD-Nameserver (.de)
    participant ANS as Autoritativer NS (example.de)
    C->>R: Rekursive Anfrage: www.example.de?
    R->>RNS: Iterative Anfrage: www.example.de?
    RNS-->>R: Verweis auf TLD-NS für .de
    R->>TNS: Iterative Anfrage: www.example.de?
    TNS-->>R: Verweis auf Auth-NS für example.de
    R->>ANS: Iterative Anfrage: www.example.de?
    ANS-->>R: Antwort: 93.184.216.34
    R-->>C: 93.184.216.34 (Endergebnis, wird gecacht)

Prüfungsbeispiele#

„Was ist der Unterschied zwischen einem primären und einem sekundären Nameserver?"

→ Der primäre Nameserver enthält die editierbare Originalzone, der sekundäre Nameserver hält eine per Zonentransfer synchronisierte, schreibgeschützte Kopie. Sekundäre Nameserver erhöhen Ausfallsicherheit und Lastverteilung.

„Ein Mailserver soll erreichbar sein und eingehende Mails korrekt annehmen. Welche DNS-Records sind dafür relevant?"

→ Ein MX-Record, der auf den Hostnamen des Mailservers verweist, sowie ein A-Record, der diesen Hostnamen in eine IP-Adresse auflöst. Zusätzlich oft ein PTR-Record (Reverse-Lookup-Zone), da viele Mailserver eingehende Verbindungen ohne gültigen Reverse-DNS-Eintrag als Spam-verdächtig einstufen.

„Erklären Sie den Unterschied zwischen rekursiver und iterativer DNS-Anfrage."

→ Bei einer rekursiven Anfrage löst der angefragte Server (typischerweise der lokale Resolver) die Anfrage vollständig auf und liefert nur das Endergebnis. Bei einer iterativen Anfrage verweist der Server nur auf den nächstzuständigen Nameserver, und der Fragende (der Resolver) muss selbst weiterfragen — so kommuniziert der Resolver mit Root-, TLD- und autoritativen Servern.

Quiz#

❓ Wie viele primäre (Master-)Nameserver darf eine Zone haben?

❓ Über welches Transportprotokoll und welchen Port laufen Zonentransfers typischerweise?

❓ Welche Resource-Record-Typen sind für einen Mailserver relevant, der Mails korrekt empfangen soll?

❓ Wie unterscheiden sich rekursive und iterative DNS-Anfragen?

Siehe auch#

dns dhcp arp — clientseitige DNS-Grundlagen und Record-Übersicht
verzeichnisdienste ad — DNS als Voraussetzung für Active Directory
server rollen — DNS-Server als eine von mehreren Serverrollen
protokolle ports — DNS-Port 53 im Kontext anderer Protokolle