Was ist ein SOA-Record? DNS-Zonenautorität erklärt

SOA steht für Start of Authority. Ein SOA-Record ist ein erforderlicher DNS-Record am Apex einer Zone, der administrative und zeitliche Informationen über diese Zone trägt. Er nennt den Namen eines primären Nameservers, ein Feld für die verantwortliche Stelle, eine Seriennummer und mehrere Timer, die sekundäre autoritative Server verwenden. Er liefert nicht die IP-Adresse einer Website und ist kein allgemeines Statuszertifikat. Administratoren und Diagnosewerkzeuge prüfen SOA-Daten, um zu verstehen, wie eine Zone versioniert ist und woher sekundäre Server wissen, wann sie nach Updates suchen müssen. Seine Werte sind operative Metadaten, die mit dem Verwaltungsmodell des DNS-Anbieters übereinstimmen müssen.

Die Felder eines SOA-Records

Ein typischer SOA-Record enthält einen MNAME, der den primären Quellserver im Modell der Zone benennt, und einen RNAME, der die Kontaktangabe des Zonenadministrators kodiert. Dazu kommen eine Seriennummer, ein Refresh-Intervall, ein Retry-Intervall, ein Expire-Intervall und ein TTL-Wert für das negative Caching. Die genaue Darstellung variiert je nach Werkzeug, und von Anbietern verwaltetes DNS kann einige Felder abstrahieren oder automatisch pflegen. Der RNAME verwendet DNS-Syntax statt einer normalen E-Mail-Schreibweise; traditionell steht der erste nicht maskierte Punkt für das At-Zeichen. Die meisten Nutzer müssen diesen Record nicht manuell bearbeiten, doch er kann bei der Untersuchung von Delegation oder Synchronisierung nützlich sein.

Die Seriennummer ist der am häufigsten diskutierte operative Wert. Im traditionellen Primär-Sekundär-DNS vergleicht ein Sekundärserver seine Seriennummer mit der des Primärservers und fordert ein Update an, wenn die Version des Primärservers neuer ist. Die Seriennummer ist nicht zwingend ein Datum und sollte nicht als universeller Zeitstempel gedeutet werden. Moderne Anbieter verteilen Zonenupdates womöglich über proprietäre Steuerungsebenen, doch die sichtbare SOA-Seriennummer kann weiterhin helfen festzustellen, ob verschiedene autoritative Server dieselbe Version zu haben scheinen. Unterscheiden sich die Seriennummern, berücksichtigen Sie die erwartete Verteilung innerhalb des Anbieters und bestätigen Sie das dokumentierte Verhalten des Anbieters, bevor Sie schließen, dass die Replikation defekt ist.

SOA und negatives Caching

Der SOA ist auch am negativen Caching beteiligt: wie lange ein Resolver die Information vorhalten darf, dass ein Name oder ein angefragter Record nicht vorhanden war. Die genaue effektive Lebensdauer des negativen Caches folgt den DNS-Standards und den SOA-Feldern, doch das Verhalten von Resolvern und die Darstellung durch Anbieter können erschweren, was Nutzer sehen. Das ist ein Grund, warum neu angelegte Records nicht sofort erscheinen, selbst wenn die Zone korrekt konfiguriert ist. Eine frühere negative Antwort kann eine Weile gecacht bleiben. Wiederholen Sie die Abfrage in dieser Zeit über denselben Resolver, zeigt sich womöglich dieselbe Abwesenheit; die Abfrage eines anderen Resolvers oder die Prüfung autoritativer Daten hilft, Caching von einem fehlenden Record zu unterscheiden.

• Prüfen Sie SOA, wenn Sie Informationen zur Autorität oder Seriennummer auf Zonenebene brauchen.
• Verwenden Sie NS-Records, um zu sehen, welche Nameserver für eine Domain delegiert sind.
• Verwenden Sie A und AAAA für Adressfragen; SOA ist kein Adress-Record.
• Vergleichen Sie autoritative Server, bevor Sie annehmen, dass ein Seriennummern-Unterschied einen Ausfall anzeigt.
• Ändern Sie vom Anbieter verwaltete SOA-Felder nicht, ohne ihre operative Wirkung zu verstehen.

Wann eine SOA-Abfrage nützlich ist

Eine SOA-Abfrage kann bei der Fehlersuche helfen, wenn eine Record-Änderung zwischen autoritativen Servern uneinheitlich erscheint, wenn eine Zone kürzlich transferiert wurde oder wenn negatives Caching für einen neuen Namen relevant ist. Sie ist selten die erste Prüfung bei einem gewöhnlichen Website-Ausfall. Beginnen Sie mit dem betroffenen Hostnamen und Record-Typ und prüfen Sie Delegation und SOA nur, wenn die Hinweise auf ein Problem auf Zonenebene deuten. Eine SOA-Antwort kann nicht bestätigen, dass eine Website erreichbar ist, dass ein Mailserver Nachrichten annimmt oder dass jeder rekursive Cache aktualisiert wurde.

Für eine breitere Übersicht über DNS-Daten lesen Sie DNS-Record-Typen erklärt, und zum Cache-Timing siehe Was die DNS-TTL bedeutet. Eine gezielte DNS-Abfrage kann die öffentlichen Antworten liefern, die für einen einfachen Vergleich nötig sind. Behalten Sie den SOA in seiner richtigen Rolle: Er beschreibt Zonenautorität und Koordination, während Adress-, Mail- und Richtlinien-Records andere Fragen beantworten. Diese Unterscheidung macht einen SOA-Record deutlich verständlicher, als wenn man jedes DNS-Feld als mögliche Website-Adresse behandelt.

SOA-Werte nicht auf gut Glück bearbeiten

Verwaltete DNS-Plattformen erzeugen und pflegen die SOA-Seriennummer und die Timer häufig automatisch. Ein Administrator, der eine Seriennummer aus einer anderen Zone kopiert oder ein Zeitfeld senkt, ohne das Modell des Anbieters zu verstehen, kann Verwirrung stiften, ohne die Verbreitung zu verbessern. Prüfen Sie vor dem Bearbeiten von SOA-Daten die Dokumentation des Anbieters und klären Sie, ob er manuelle Kontrolle erlaubt. Ist ein sekundärer DNS-Dienst beteiligt, vergewissern Sie sich, dass dessen Transfer- und Refresh-Ablauf der unterstützten Konfiguration folgt. Für die meisten Website-Betreiber ist es nützlicher, den SOA zu beobachten als ihn zu ändern: Autorität vergleichen, die Seriennummer notieren und den Anbieter fragen, ob seine Server konvergiert sind. Bewahren Sie die Belege des Vorfalls auf, überlassen Sie aber Felder, die Teil seines Synchronisierungssystems sind, dem DNS-Host, es sei denn, Sie betreiben bewusst selbst autoritatives DNS.