Warum eine Domain je nach Netzwerk anders auflöst

Das sorgt häufig für Verwirrung: Sie fragen eine Domain aus dem Büronetzwerk ab und erhalten eine IP-Adresse, prüfen dieselbe Domain dann im Mobilfunknetz Ihres Smartphones und erhalten eine völlig andere. Beide können gleichzeitig vollkommen korrekt sein.

Geobasiertes und lastbasiertes Routing

Große Websites und CDNs beantworten DNS-Abfragen häufig unterschiedlich, je nachdem, woher die Abfrage zu kommen scheint, um jeden Besucher zum nächstgelegenen oder am wenigsten ausgelasteten Server zu leiten. Ein Resolver in einer Region wird auf einen nahen Edge-Server verwiesen; ein Resolver in einer anderen Region – oder schon bei einem anderen Provider mit anderem Netzwerk-Peering – auf einen anderen. Keine Antwort ist „falsch“; beide sind gültig und für einen anderen Standpunkt optimiert.

Caching bringt eine zweite Ebene der Abweichung

Zusätzlich zum Geo-Routing cacht jeder Resolver Antworten unabhängig für die TTL des Records. Der Resolver Ihres Heim-Providers hat vielleicht vor drei Minuten eine Antwort gecacht; der Resolver Ihres Mobilfunkanbieters fragt womöglich gerade frisch an. Bis beide Caches ganz natürlich ablaufen und sich aktualisieren, kann dieselbe Domain zu Recht zwei unterschiedliche (und beide derzeit gültige) Antworten zeigen.

• Das ist bei jeder Domain hinter einem CDN oder einem global lastverteilten Dienst normal und zu erwarten.
• Ein echtes Problem wird es nur, wenn eine der Antworten tatsächlich nicht erreichbar oder defekt ist – nicht bloß abweicht.
• Brauchen Sie für Prüfzwecke eine einzige, vergleichbare Antwort, fragen Sie jedes Mal von einem gleichbleibenden Standpunkt ab (dasselbe Tool, dasselbe Netzwerk), statt Lookups von verschiedenen Standorten zu vergleichen.

Wollen Sie speziell bestätigen, wohin eine Domain allgemein auflöst – für eine Sicherheitsprüfung, die Verifizierung einer Migration oder allgemeines Monitoring –, bietet die Auflösung direkt gegen einen festen, bekannten öffentlichen Resolver (statt gegen das, was auf dem gerade greifbaren Gerät konfiguriert ist) eine konsistente, vergleichbare Basis, statt Abweichungen von Netzwerk zu Netzwerk hinterherzujagen.

Eine dritte, gewollte Ursache: Split-Horizon-DNS

Geo-Routing und Caching sind beide Nebeneffekte – niemand wollte, dass die Antwort abweicht, es ergibt sich einfach aus der Größenordnung. Split-Horizon- (oder „Split-View“-)DNS ist anders: Eine Organisation konfiguriert ihre Nameserver so, dass sie Abfragen aus dem eigenen Unternehmensnetzwerk absichtlich eine Antwort liefern und allen anderen eine andere. Ein nur intern genutzter Intranet-Hostname löst im Büro-WLAN womöglich zu einer privaten Adresse auf und von außerhalb zu gar nichts – oder zu einer öffentlichen Landingpage. Löst eine Domain auf einem Firmenlaptop im Büro-VPN problemlos auf, von zu Hause aber nicht, ist Split-Horizon-DNS (kein Fehler) eine durchaus verbreitete Erklärung, besonders in größeren Organisationen.

Die drei Fälle schnell auseinanderhalten

In der Praxis lässt sich am schnellsten unterscheiden, indem man prüft, ob die Abweichung mit der Netzwerkidentität oder mit der Zeit zusammenhängt. Widersprechen sich zwei Lookups aus zwei verschiedenen Netzwerken gerade jetzt, und eine erneute Prüfung aus demselben Netzwerk eine Minute später liefert wieder dasselbe Ergebnis, handelt es sich um Geo-Routing oder Split-Horizon – etwas, das daran hängt, woher die Abfrage kam. Ändert sich die Antwort eines einzelnen Netzwerks von selbst zwischen zwei Lookups im Abstand von Minuten, ohne dass sonst etwas anders ist, holt der Cache eine echte, kürzliche Änderung nach. Die Unterscheidung ist wichtig, weil nur einer dieser drei Fälle – eine unerwartete, nicht erreichbare Antwort – überhaupt je als Vorfall behandelt werden sollte.