DNS-Auflösung erklärt: Von der Anfrage zur Antwort

DNS-Auflösung ist der Vorgang, einen Domainnamen in die Daten umzusetzen, die eine Anwendung braucht, oft eine IP-Adresse. Wenn ein Browser sich mit www.example.com verbinden will, fragt er den lokalen Netzwerk-Stack nach einem Ergebnis. Ein Stub-Resolver leitet die Frage in der Regel an einen rekursiven Resolver weiter. Dieser hat möglicherweise bereits eine gecachte Antwort; andernfalls folgt er DNS-Referrals, bis er einen Server erreicht, der für die betreffende Zone autoritativ ist. Die endgültige Antwort läuft durch die Kette zurück und kann für begrenzte Zeit gecacht werden. Der Vorgang ist verteilt: Kein einzelner globaler Server speichert die vollständigen Records aller Domains.

Die Anfrage beginnt mit einem bestimmten Namen und Typ

Eine DNS-Frage lautet nicht einfach „diese Website nachschlagen“. Sie enthält einen Namen und einen Record-Typ. Eine A-Anfrage fragt nach IPv4, AAAA nach IPv6, MX nach Mail-Exchangern und NS nach Nameservern. Der rekursive Resolver entscheidet anhand des Typs, welche Daten er abruft und zurückgibt. Braucht der Browser eine Webadresse, fragt er möglicherweise sowohl A- als auch AAAA-Records ab, während ein E-Mail-System nach MX fragt. Wird der falsche Typ angefragt, kann die Antwort leer ausfallen, obwohl andere Records für den Namen existieren. DNS-Ergebnisse ergeben nur Sinn, wenn die Frage selbst eindeutig ist.

1. Der Client prüft seinen lokalen Cache und den konfigurierten Resolver.
2. Der rekursive Resolver prüft seinen Cache; falls nötig, fragt er einen Root-Server.
3. Ein Root-Referral verweist auf die zuständigen Top-Level-Domain-Server.
4. Das TLD-Referral nennt die autoritativen Nameserver der Domain.
5. Die autoritative Antwort wird zurückgegeben und für ihre zulässige Lebensdauer gecacht.

Der rekursive Resolver erledigt den Großteil dieser Arbeit im Auftrag des Clients. Referrals sind Verweise auf die nächste Instanz, nicht zwingend der endgültige Record. Root-Server müssen nicht jede Website-Adresse kennen, und TLD-Server hosten nicht die vollständige Zone jeder einzelnen Domain. Jede Ebene liefert Wegweiser zur nächsten. Autoritative Server halten die tatsächlichen Records, die der Betreiber der Domain oder der DNS-Anbieter konfiguriert hat. Sobald der Resolver sie erreicht, kann die Antwort eine Adresse, einen Alias, eine negative Antwort oder einen anderen typspezifischen Wert enthalten.

Aliase, Caching und negative Antworten

Hat ein Name einen CNAME, kann die Auflösung einen weiteren Hostnamen einbeziehen, bevor eine Adresse gefunden wird. Jede relevante Antwort hat ein eigenes Caching-Verhalten, sodass die Kette Einträge mit unterschiedlichen TTLs enthalten kann. Ein Resolver kann auch negative Ergebnisse cachen, etwa dass ein abgefragter Name nicht existiert, und zwar für begrenzte Zeit. Das kann erklären, warum ein neuer Name nach dem Anlegen nicht sofort erscheint. Das Leeren eines lokalen Caches betrifft nur dieses Gerät bzw. diese Ebene; es löscht keine gecachten Antworten unabhängiger rekursiver Resolver im Internet.

Eine praktische Diagnose vergleicht denselben Namen und Typ auf verschiedenen Ebenen. Eine rekursive Abfrage beschreibt, was ein Client erhält, der diesen Resolver nutzt. Eine autoritative Abfrage hilft festzustellen, was die Zone selbst aktuell veröffentlicht. Weichen diese Werte voneinander ab, prüfen Sie die TTL, den Zeitpunkt der letzten Änderung und die tatsächliche Delegation. Ist das DNS-Ergebnis korrekt, die Anwendung scheitert aber weiterhin, gehen Sie zu Netzwerk-Routing, TLS oder Server-Logs über. So vermeiden Sie eine verbreitete Falle bei der Fehlersuche: DNS immer wieder zu ändern, obwohl die Auflösung bereits funktioniert und der Fehler weiter hinten im Verbindungspfad liegt.

DNS-Auflösung ist gerade deshalb zuverlässig, weil sie geschichtet, gecacht und delegiert ist, doch dieselben Eigenschaften lassen Änderungen während einer Migration uneinheitlich erscheinen. Halten Sie beim Vergleich von Beobachtungen Antwort, angefragten Record-Typ, Resolver und Zeitstempel fest. Der Leitfaden zu rekursiven und autoritativen Resolvern erklärt die Rollen genauer, während DNS-TTL die Cache-Lebensdauer behandelt. Diese Konzepte liefern ein genaueres Modell als die Vorstellung, jedes Gerät lese ein einziges, sofort aktualisiertes globales Adressbuch.

Auflösung ist ein Prozess, kein einzelner Datenbankzugriff

Weil an der Auflösung mehrere unabhängig betriebene Server beteiligt sind, kann eine DNS-Antwort von mehr als dem endgültigen A- oder AAAA-Record beeinflusst werden. Eine veraltete Delegation kann den Resolver zur falschen Autorität schicken; ein nicht verfügbarer autoritativer Server kann einen Timeout verursachen; eine defekte DNSSEC-Kette kann einen validierenden Resolver dazu bringen, Daten abzulehnen; und eine gecachte negative Antwort kann die Erkennung eines neu angelegten Namens verzögern. Jede Ebene hinterlässt andere Spuren. Antwortcode, Authority-Sektion, TTL und der abgefragte Server können die Ursache eingrenzen. Vermeiden Sie beim Sammeln von Diagnosedaten, einen Timeout als „die Domain existiert nicht“ zu umschreiben, denn das verändert die Bedeutung. Bewahren Sie die genaue Fehlerantwort auf und vergleichen Sie sie mit einer autoritativen Abfrage. Diese schichtweise Methode führt zu einer gezielten Reparatur statt zu einer blinden Änderung am Adress-Record.