DNS-Grundlagen, Fehlersuche, Sicherheit und praktische Workflows – geschrieben vom Team, das dieses Tool entwickelt.
Eine schrittweise Umstellung schlägt eine sofortige
Blue
100 % des Traffics
Gewichteter Split
95/5, dann 50/50
Green
100 % des Traffics
Den Traffic per DNS-Änderung zwischen zwei Umgebungen umzuschalten wirkt auf dem Papier simpel – TTL und Caching machen es in der Praxis komplexer.
Eine IP, ein Server – oder eine IP, viele
Unicast
Eine IP entspricht genau einem Server
Anycast
Eine IP, an vielen Standorten angekündigt
Dieselbe IP-Adresse, gleichzeitig von Dutzenden Standorten angekündigt: So bleiben große DNS-Anbieter weltweit schnell und ausfallsicher.
Warum eine Abfrage das CDN zeigt, nicht den Origin
Besucher
fragt die Domain ab
CDN-Edge
104.21.x.x
das liefert DNS zurück
Origin-Server
echte IP, nie offengelegt
Die eigentliche Magie eines Content Delivery Networks passiert auf der DNS-Ebene, noch bevor ein einziges Byte Inhalt angefordert wird.
Jeder IPv4-Bereich hat ein IPv6-Pendant
Sicherheitstechnisch ist IPv6 nicht bloß „IPv4 mit mehr Adressen“ – einige Unterschiede verändern das Bedrohungsmodell tatsächlich.
Das Rennen mit einer gefälschten Antwort gewinnen
Angreifer
schlägt die echte Antwort
Gefälschte Antwort
trifft zuerst ein
Resolver-Cache
für alle Nutzer vergiftet
Gefälschte DNS-Antworten zur Umleitung von Traffic sind einer der ältesten Netzwerktricks – und der Grund, warum es DNSSEC und moderne Resolver-Schutzmaßnahmen gibt.
Öffentlicher vs. privater Adressraum
Öffentliche IP
192.0.2.10
global eindeutig – überall routbar
Private Bereiche
im öffentlichen Internet nicht routbar
10.0.0.0/8, 192.168.0.0/16 und ihre Nachbarn existieren gerade deshalb, damit sie nie global eindeutig sind -- und warum das für DNS wichtig ist.
SSRF macht einen Server zum unfreiwilligen Proxy
Angreifer
baut eine Anfrage-URL
Anfälliger Server
ruft sie ab, SSRF-getäuscht
169.254.169.254
der Metadaten-Endpunkt
Zugangsdaten
gehen an den Angreifer
Eine einzige, scheinbar nicht routbare IP-Adresse gibt Cloud-Instanzen Zugriff auf Zugangsdaten und Konfiguration – und ist ein beliebtes SSRF-Ziel.
Dieselbe Adresse, vier verschiedene Schreibweisen
Server-Side Request Forgery beginnt oft mit nichts weiter als einem Domainnamen, den Ihr Server durch eine Täuschung auflöst und anfragt.
Dieselbe Domain, zwei verschiedene Antworten
Erste Anfrage
löst zu öffentlicher IP auf
Validierung
bestanden – wirkt sicher
TTL läuft ab
Sekunden später
Zweite Anfrage
löst zu 127.0.0.1 auf
Eine Domain löst einmal zu einer sicheren und später zu einer internen Adresse auf – DNS-Rebinding macht DNS selbst zur Angriffsfläche.
Vier Ebenen, der Reihe nach geprüft
DNS
löst den Namen auf
Transport
TCP verbindet
TLS
Zertifikat gültig
Anwendung
HTTP antwortet
Diese generische Browser-Meldung deckt mehrere voneinander unabhängige Fehlerursachen ab -- DNS lässt sich oft am schnellsten ein- oder ausschließen.
„Propagation“ heißt nur: Caches laufen ab
0 Min.
Sie speichern die Änderung
0-5 Min.
Ihr DNS-Host aktualisiert
bis TTL
alte Antwort noch im Cache
nach TTL
alle sehen die neue
Nichts wird verteilt – jeder Cache nutzt seine Kopie einfach nicht mehr
Sie haben einen Record geändert, gewartet, und es sieht immer noch falsch aus. Gehen Sie der Reihe nach vor, bevor Sie einen Defekt annehmen.
Was eine Abfrage typischerweise kostet
Eine träge Website ist manchmal ein langsamer DNS-Lookup im Verborgenen. So erkennen Sie den Unterschied und wissen, was meist dahintersteckt.