So funktioniert DNS: Vom Domainnamen zur IP-Adresse

Geben Sie example.com in einen Browser ein, und fast sofort erscheint eine Seite. Zwischen diesen beiden Momenten hat eine über den gesamten Planeten verteilte Datenbank eine Frage beantwortet: Welche IP-Adresse gehört zu diesem Namen? Dieses System ist DNS, das Domain Name System.

Es lohnt sich, es richtig zu verstehen, denn nahezu jedes verwirrende Website-Problem — eine Änderung, die nicht wirksam wurde, verschwindende E-Mails, eine Website, die auf einem Gerät funktioniert, auf einem anderen aber nicht — lässt sich darauf zurückführen, wie sich DNS-Auflösung und Caching tatsächlich verhalten.

Die vier Beteiligten

• Der Stub-Resolver — der kleine DNS-Client, der in Ihr Betriebssystem eingebaut ist. Er weiß fast nichts und delegiert sofort.
• Der rekursive Resolver — meist von Ihrem Provider betrieben oder ein öffentlicher wie 1.1.1.1 oder 8.8.8.8. Er ist das Arbeitstier, das der Antwort nachjagt und sie cacht.
• Root- und TLD-Server — sie kennen die Antwort nicht, aber sie wissen, wer sie kennt. Root verweist auf .com; die .com-TLD-Server verweisen auf die eigenen Nameserver der Domain.
• Autoritative Nameserver — die Server, die die echten Records der Domain halten. Was sie sagen, ist per Definition die Wahrheit.

Eine Abfrage, Schritt für Schritt

1. 1

   Zuerst die lokalen Caches prüfen

   Ihr Browser hat einen eigenen DNS-Cache, ebenso Ihr Betriebssystem. Hält einer von beiden eine nicht abgelaufene Antwort für example.com, ist die Abfrage in Mikrosekunden erledigt, und es entsteht überhaupt kein Netzwerkverkehr.

2. 2

   Den rekursiven Resolver fragen

   Bei einem Cache-Miss sendet der Stub-Resolver die Anfrage an den konfigurierten rekursiven Resolver — ein UDP-Paket, meist auf Port 53.

3. 3

   Der Resolver fragt einen Root-Server

   Hat der Resolver nichts im Cache, beginnt er ganz oben. Der Root-Server kennt example.com nicht, antwortet aber: Hier sind die Nameserver für .com.

4. 4

   Der Resolver fragt die TLD-Server

   Die .com-Server antworten mit einem Referral: Die autoritativen Nameserver für example.com sind diese. Immer noch nicht die Antwort — ein weiterer Verweis.

5. 5

   Der Resolver fragt den autoritativen Nameserver

   Dieser hat die eigentliche Zonendatei. Er liefert den A-Record: 93.184.216.34, zusammen mit einer TTL, die angibt, wie lange die Antwort wiederverwendet werden darf.

6. 6

   Die Antwort wird gecacht und zurückgegeben

   Der Resolver cacht das Ergebnis für die Dauer der TTL und übergibt es Ihrem Betriebssystem, das es an den Browser weitergibt. Erst jetzt kann eine TCP-Verbindung zum Server beginnen.

Rekursiv versus autoritativ: der entscheidende Unterschied

Menschen verwechseln die beiden ständig, und das führt zu echten Fehlern bei der Fehlersuche.

Die praktische Folge: Ändern Sie einen DNS-Record, aktualisiert sich der autoritative Server sofort. Jeder rekursive Resolver der Welt liefert seine gecachte Kopie weiter aus, bis die TTL abläuft. Diese Lücke nennen Menschen DNS-Propagierung.

Was ein Resolver tatsächlich zurückgibt

Eine Antwort ist mehr als eine Adresse. Sie enthält einen Record-Typ, einen Wert und eine TTL — dazu Flags, die angeben, ob die Antwort autoritativ war oder aus dem Cache stammt. Eine einzelne Domain veröffentlicht gleichzeitig viele Record-Typen: A und AAAA für Adressen, MX für das Mail-Routing, NS für ihre Nameserver und TXT für Verifizierung und Richtlinien.

example.com.    3600    IN    A        93.184.216.34
example.com.    3600    IN    AAAA     2606:2800:220:1::248
example.com.    3600    IN    MX       10 mail.example.com.
example.com.   86400    IN    NS       ns1.example.com.

Die Zahl nach dem Namen ist die TTL in Sekunden. IN steht für die Internet-Klasse. Der Rest ist der Record-Typ und sein Wert.

Wo DNS in der Praxis schiefgeht

• Die Änderung hat sich nicht verbreitet. Der autoritative Server ist korrekt; ein Cache zwischen Ihnen und ihm nicht. Nichts zu beheben — nur abzuwarten.
• Nameserver zeigen auf den falschen Anbieter. Sie haben Records bei Ihrem Registrar bearbeitet, aber die Domain delegiert an die Nameserver Ihres Hosts, sodass die Änderungen ignoriert werden.
• Ein fehlender abschließender Punkt. In einer Zonendatei kann mail.example.com ohne abschließenden Punkt relativ zur Zone interpretiert werden, was mail.example.com.example.com ergibt.
• Kein AAAA-Record, aber reine IPv6-Clients. Die Website ist für sie unerreichbar, während sie für alle anderen einwandfrei funktioniert.

Jeden dieser Records sehen Sie für jede Domain mit dem Lookup-Tool auf der Startseite — es fragt sie unabhängig ab, sodass eine Domain, der ein Typ fehlt, trotzdem den Rest anzeigt.