Rekursive vs. autoritative DNS-Resolver erklärt

„DNS-Server“ wird locker für zwei wirklich verschiedene Rollen verwendet. Hält man sie auseinander, lässt sich das ganze System viel leichter durchdenken.

Der rekursive Resolver: erledigt die Laufarbeit

Ein rekursiver Resolver ist derjenige, mit dem Ihr Gerät tatsächlich spricht – oft vom Internetanbieter oder vom Router vorgegeben oder manuell auf eine öffentliche Option wie 1.1.1.1 oder 8.8.8.8 eingestellt. Seine Aufgabe ist es, Ihre Abfrage entgegenzunehmen und alles Nötige zu tun, um sie zu beantworten: zuerst im eigenen Cache nachsehen und, falls dort nichts liegt, die Kette von den Root-Servern über die TLD-Server bis zu den autoritativen Servern der Domain durchlaufen und Ihnen dann die endgültige Antwort zurückgeben.

Der autoritative Server: hat die eigentliche Antwort

Ein autoritativer Nameserver ist die maßgebliche Quelle für die Records einer bestimmten Domain – der eine Ort, an dem die eigentlichen A-, AAAA-, MX- und weiteren Records dieser Domain liegen. Er schlägt nichts in Ihrem Auftrag nach; er antwortet direkt für die Domains, für die er zuständig ist, und lehnt alles andere ab (oder leitet es weiter).

• Ihr rekursiver Resolver ist geteilte Infrastruktur und beantwortet typischerweise Abfragen zu Millionen verschiedener Domains, zu denen er keine besondere Beziehung hat.
• Die autoritativen Server einer Domain sind typischerweise wenige und gehören speziell zu dieser einen Domain (oder einer kleinen Gruppe verwandter Domains).
• Ein Tool, das einen direkten Lookup durchführt – etwa eine Domain direkt über den DNS-Resolver von Node.js gegen einen öffentlichen rekursiven Resolver auflöst –, nutzt dieselbe Kette vom rekursiven zum autoritativen Server wie Ihr Browser, nur ohne einen Browser drumherum.

Es gibt tatsächlich eine dritte Rolle: den Stub-Resolver

Ihr eigenes Gerät durchläuft die vollständige Kette selten selbst. Stattdessen läuft dort ein schlanker Stub-Resolver – ein kleines Stück Software auf Betriebssystemebene ohne eigene Logik, dessen einzige Aufgabe es ist, die DNS-Fragen Ihrer Anwendung an den konfigurierten rekursiven Resolver weiterzuleiten (den Ihres Providers, Ihres Routers oder eine manuell gesetzte Option wie 1.1.1.1) und die Antwort zurückzureichen. Deshalb ändert eine Anpassung der „DNS-Einstellungen“ auf einem Laptop oder Smartphone nichts an der Funktionsweise von DNS – sie ändert nur, an welchen rekursiven Resolver Ihr Stub-Resolver weiterleitet. Zunehmend geschieht dieser Weiterleitungsschritt selbst über einen verschlüsselten Kanal – DNS-over-HTTPS oder DNS-over-TLS –, sodass ein Beobachter im lokalen Netzwerk nicht mehr im Klartext mitlesen kann, welche Domains abgefragt werden.

Diese Unterscheidung erklärt auch, warum „mein DNS-Anbieter“ und „die autoritativen Nameserver meiner Domain“ meist dasselbe sind, während „der DNS-Server, den ich nutze“ (etwa 1.1.1.1) ein völlig anderer, generischer rekursiver Resolver ohne jede besondere Kenntnis Ihrer Domain ist – er ist nur der Bote.

Warum die Unterscheidung so viel Verwirrung auflöst

Erstaunlich viel DNS-Fehlersuche läuft darauf hinaus, herauszufinden, welche dieser drei Ebenen für ein bestimmtes verwirrendes Verhalten tatsächlich verantwortlich ist – und oft wird falsch geraten, weil alle drei umgangssprachlich „der DNS-Server“ heißen. Eine Domain, die bei direkter Abfrage ihrer eigenen autoritativen Nameserver korrekt, über den rekursiven Resolver eines bestimmten Providers aber falsch auflöst, verweist eindeutig auf Cache oder Konfiguration dieses Resolvers – nicht auf etwas, das der Domain-Inhaber kontrolliert. Umgekehrt verweist eine Domain, die unabhängig vom befragten rekursiven Resolver falsch auflöst, auf die autoritative Seite. Diese Trennung sauber und in Sekunden vornehmen zu können, macht den größten Teil des Unterschieds zwischen effizienter DNS-Fehlersuche und Raten aus.