Was ist 8.8.8.8? Die Adresse, die jeder eintippt und kaum jemand versteht

Manche Adressen vergisst man nie. Ich habe 8.8.8.8 in Router in Büroschränken eingetippt, in Laptops im Hotel-WLAN, in Server um zwei Uhr morgens, während ein Kunde am Telefon wartete. Es ist die Nummer, zu der Netzwerkleute greifen, wenn die Namensauflösung streikt, und sie funktioniert oft genug, dass viele sie einmal einstellen und nie fragen, worauf sie ihren Datenverkehr da gerade gerichtet haben.

Fragen wir also. 8.8.8.8 ist keine Website, und es ist kein Server, den Sie besuchen. Es ist die Eingangstür von Google Public DNS, einem rekursiven Resolver-Dienst, den Google für jeden betreibt, kostenlos. Seine Schwesteradresse, 8.8.4.4, öffnet dieselbe Tür.

Ein Resolver stellt die Fragen für Sie

Jedes Gerät braucht einen rekursiven Resolver. Wenn Sie einen Namen wie example.com eintippen, muss irgendetwas die Antwort jagen: die Root fragen, die Top-Level-Server fragen, die Nameserver der Domain selbst fragen und eine IP-Adresse zurückbringen. Diese Jagd ist der ganze Job des Resolvers. Was ein DNS-Server ist trennt die Rollen sauber, weil „DNS-Server“ für drei verschiedene Jobs benutzt wird.

Standardmäßig nutzen Sie den Resolver Ihres Internetproviders, der beim Verbinden still zugewiesen wird. Richten Sie Ihre Einstellungen stattdessen auf 8.8.8.8, wechselt die Jagd den Besitzer: Ihre Anfragen gehen jetzt an Googles Dienst, und Googles Maschinen übernehmen das Laufen und das Zwischenspeichern. Die Websites, die Sie besuchen, bemerken den Unterschied nie. Nur der Mittelsmann hat gewechselt.

Eine Adresse, viele Städte: wie Anycast funktioniert

Hier kommt der Teil, der die Leute überrascht. Es gibt keine einzelne Maschine mit der Adresse 8.8.8.8. Dieselbe Adresse wird von Google-Standorten auf der ganzen Welt angekündigt, eine Technik namens Anycast. Ihre Anfrage landet einfach an dem Standort, den das Routing Ihres Netzwerks am nächsten und günstigsten erreicht — was meist, wenn auch nicht immer, der geographisch nächste ist.

Anycast kauft zwei Dinge. Das erste ist Geschwindigkeit: Eine Anfrage, die auf Ihrem eigenen Kontinent beantwortet wird, erspart sich den langen Weg auf einen anderen. Das zweite ist Widerstandsfähigkeit. Fällt ein Standort aus oder wird angegriffen, verschiebt sich das Routing, und dieselbe Adresse antwortet anderswo. Niemand muss eine Einstellung ändern, und die meisten Nutzer bemerken einen Ausfall gar nicht, der bei einem Dienst mit einer einzigen Maschine überdeutlich gewesen wäre.

Die langen Versionen: IPv6-Adressen

Alles Bisherige war IPv4. Derselbe Dienst antwortet auch unter IPv6-Adressen — 2001:4860:4860::8888 und ihrem Zwilling, der auf ::8844 endet —, die denselben Gedächtnistrick in einer viel längeren Zeichenkette vollführen. Bei einer IPv6-Verbindung kann es eine Lücke lassen, wenn Sie nur die berühmten vier Achten eintragen: Manche Geräte nutzen dann still den IPv6-Resolver des Anbieters daneben, was Ihre Anfragen auf zwei Dienste verteilt und jeden Vergleich verwirrt, den Sie anstellen. Bietet ein Einstellungsbildschirm beide Adressfamilien an, füllen Sie beide aus — sonst haben Sie nur die Hälfte der Arbeit erledigt, die Sie erledigt zu haben glaubten.

Warum gerade diese Adresse berühmt wurde

Zum Teil liegt es an der Nummer selbst: Vier Achten kann man unmöglich falsch im Kopf behalten, und die zweite Adresse des Dienstes tauscht eine davon gegen eine Vier. Zum Teil ist es Gewohnheit. Seit Jahren verwenden Support-Skripte und Forenantworten 8.8.8.8 als Testadresse — pingen Sie sie an, und wenn sie antwortet, funktioniert Ihre Verbindung, und der Fehler ist vermutlich das DNS. Die Adresse wurde berühmt, weil sie ein Resolver war, und wurde dann als Resolver benutzt, weil sie berühmt war. Ich habe Administratoren getroffen, die sie auf jeder Maschine in ihrem Besitz eingestellt hatten und Ihnen nicht hätten sagen können, wessen Dienst das war. Es war einfach „die DNS-Adresse“, so wie ein Fotokopierer zu einem Xerox wird.

Was der Dienst über Sie erfährt

Ein Resolver sieht viel. Jede Anfrage, die Sie stellen, verrät einen Namen, der Sie interessiert hat, und die Adresse, von der aus Sie sie gestellt haben. Der Wechsel zu 8.8.8.8 beseitigt diese Offenlegung nicht; er verlagert sie, von den Protokollen Ihres Providers zu denen von Google. Wer einen Resolver wählt, wählt in Wirklichkeit, in wessen Händen dieser Datensatz liegt, und es lohnt sich, dabei ehrlich mit sich selbst zu sein.

Google veröffentlicht, wie es mit diesen Daten umgeht, und die grobe Form ist diese: Vollständige Anfrageprotokolle werden nur vorübergehend aufbewahrt, für Fehlersuche und Sicherheitsarbeit, und die länger aufbewahrten Daten werden aggregiert und von den Details befreit, die Anfragen mit einer Person verknüpfen. Lesen Sie aber die aktuelle Richtlinie, bevor Sie sich auf meine Zusammenfassung verlassen. Richtlinien ändern sich, und eine Zusammenfassung ist niemals das Dokument.

Die verschlüsselten Türen: DoH und DoT

Der klassische Weg zu 8.8.8.8 ist einfaches DNS, das unverschlüsselt reist: Jeder auf dem Weg kann Ihre Anfragen lesen und im Prinzip die Antworten manipulieren. Der Dienst antwortet auch über verschlüsselte Transporte — DNS over HTTPS und DNS over TLS —, die dieselben Fragen so verpacken, dass der Weg sie nicht mehr sehen kann. DNS over HTTPS erklärt führt durch diese Verpackung und zeigt, was sie verändert.

Verschlüsselung ändert, wer zuschauen kann, nicht, wer antwortet. Der Resolver sieht immer noch alles; das Café-Netzwerk und jeder Hop zwischen Ihnen und Google tun es nicht mehr. Ob Ihnen der Tausch zusagt, hängt davon ab, welcher dieser Zuschauer Ihnen mehr Sorgen macht.

Der Türsteher hinter den Antworten: die Validierung

Es gibt eine zweite Aufgabe, die der Dienst erledigt und die niemand auf die Verpackung schreibt. Bei Domains, die mit DNSSEC geschützt sind — kryptografische Signaturen, die beweisen, dass eine Antwort wirklich von den eigenen Servern der Domain kam —, prüfen Googles Resolver diese Signaturen in Ihrem Auftrag. Schlägt die Prüfung fehl, erhalten Sie nicht die gefälschte oder kaputte Antwort; Sie erhalten stattdessen einen Fehler. Von Ihrem Stuhl aus kann das aussehen, als verschwinde eine Website zufällig, während der Resolver in Wahrheit eine Unstimmigkeit zwischen den Signaturen der Domain und ihren Einträgen ertappt hat: meist eine Fehlkonfiguration der Website selbst, gelegentlich etwas Schlimmeres, dem an der Tür der Zutritt verweigert wird.

Das ist wichtig für den Alltag der Adresse als Fehlersucherin. Meldet 8.8.8.8, dass ein Name fehlschlägt, während der Resolver Ihres Anbieters fröhlich eine Adresse dafür zurückgibt, ist die Validierung die Hauptverdächtige: Der öffentliche Resolver prüft Signaturen, die der laxere ignoriert. Die Website ist nicht selektiv ausgefallen. Sie wird selektiv verifiziert — und das zu wissen verwandelt eine verwirrende Unstimmigkeit in eine Diagnose.

Die ehrlichen Kompromisse

Ich empfehle diesen Dienst oft, aber nie automatisch. Was Sie bekommen und was Sie aufgeben, sieht so aus:

• Konsistenz: Derselbe Resolver verhält sich in Ihrem Heimnetz, auf Ihrem Telefon und in einem fremden Hotelnetz gleich, was eine ganze Klasse von „hier geht's, dort nicht“-Rätseln beseitigt.
• Wartung: Große öffentliche Resolver werden rund um die Uhr gepatcht und überwacht. Ein vernachlässigter Provider-Resolver — und manche sind sehr vernachlässigt — wird es vielleicht nicht.
• Zentralisierung: Ihre Anfragen gesellen sich zu einem der größten Anfrage-Ströme der Erde, gehalten von einem Werbeunternehmen. Die veröffentlichte Richtlinie ist zurückhaltend, aber die Konzentration selbst darf man durchaus unsympathisch finden.
• Lokale Antworten: Manche Content-Netzwerke schätzen Ihren Standort anhand des Standorts Ihres Resolvers. Ein globaler Anycast-Resolver kann Ihnen gelegentlich einen weiter entfernten Content-Server einhandeln, als der lokale Ihres Providers es getan hätte.
• Filterung: Wenn der Resolver Ihres Providers bekannte schädliche Domains still blockiert, übernimmt ein neutraler öffentlicher Resolver diesen Job nicht für Sie.

Finden Sie heraus, was Sie gerade nutzen

Neugierig, ob ein Gerät bereits auf 8.8.8.8 zeigt? Prüfen Sie es, bevor Sie etwas ändern:

1. 1

   Prüfen Sie die DNS-Einstellungen des Geräts

   Öffnen Sie die Netzwerkeinstellungen der Verbindung, die Sie nutzen, und schauen Sie sich die DNS-Server-Felder an. Werden sie automatisch ausgefüllt, kam der Resolver von Ihrem Router oder Provider, und dieses Gerät hat keine eigene Meinung.

2. 2

   Prüfen Sie auch den Router

   Viele Heimrouter verteilen ihre eigene Adresse und leiten Anfragen selbst nach oben weiter. Der Resolver, der die eigentliche Arbeit tut, wohnt vielleicht dort, nicht auf Ihrem Gerät — weshalb das Ändern eines einzelnen Laptops manchmal gar nichts ändert.

3. 3

   Fragen Sie das System direkt

   Führen Sie eine Abfrage mit einem Kommandozeilen-Werkzeug aus und lesen Sie die Server-Zeile in seiner Ausgabe, oder vergleichen Sie Antworten im DNS-Lookup-Tool. Eine Anfrage, die Googles öffentlicher Dienst beantwortet hat, sagt das unmissverständlich.

4. 4

   Ändern Sie ihn bewusst, wenn Sie ihn ändern

   Wie Sie Ihren DNS-Server ändern behandelt die Einstellungen auf jeder Plattform, einschließlich der Eingabe von 8.8.8.8 als erster Adresse und 8.8.4.4 als zweiter, damit ein Ausfall eines Weges Ihre Anfragen nicht lahmlegt.

Zu diesem Ping-Test

Weil die Adresse berühmt ist, hat sie eine zweite Karriere eingeschlagen: als das Ziel, das man anpingt, um zu testen, ob „das Internet funktioniert“. Behandeln Sie dieses Ritual mit Vorsicht. Ein Ping beweist, dass ein Paket etwas erreichen kann, das auf Pings antwortet. Er sagt nichts darüber, ob die Namensauflösung funktioniert — genau das, wofür diese Adresse existiert. Ich habe Menschen erlebt, die sie erfolgreich angepingt, die Verbindung für gesund erklärt haben und dann ratlos vor einem Browser saßen, der keinen einzigen Namen auflösen konnte.

Der sauberere Test ist der, für den der Dienst gebaut wurde: Stellen Sie ihm eine Frage. Schlagen Sie einen Namen, dem Sie vertrauen, über 8.8.8.8 nach, dann über Ihren üblichen Resolver, und vergleichen Sie die Antworten. Stimmen sie überein, ist die Auflösung gesund. Weichen sie ab, wissen Sie, wo Sie graben müssen. Erreichbarkeit ist eine Türklingel; eine Anfrage ist ein Gespräch, und nur eines von beiden testet, was Ihnen wirklich wichtig ist.

Das ist alles, was 8.8.8.8 ist: ein sehr guter, sehr öffentlicher Mittelsmann. Zu wissen, was ein Mittelsmann tut — und was er sieht —, ist der Unterschied zwischen ein Netzwerk konfigurieren und einfach eine Nummer eintippen, die man Ihnen gegeben hat.