1. Was ist das Domain Name System (DNS)?
Das Domain Name System (DNS) übersetzt Domänennamen wie curious-techie.com in maschinenlesbare IP-Adressen wie 104.21.45.12 oder 2606:4700:3037::6815:2d0c.
Festgelegt in RFC 1034 und RFC 1035 fungiert DNS als dezentrale Schlüssel-Wert-Datenbank ohne Single Point of Failure.
2. Die 4-stufige Auflösungshierarchie
Bei ungespeicherten Domänen läuft die rekursive Auflösung wie folgt ab:
1. Stub Resolver (Endgerät) → Fragt lokalen rekursiven DNS (z. B. 1.1.1.1)
2. Rekursiver Resolver → Fragt Root-Server (.) nach TLD-Servern
3. TLD-Nameserver (.com) → Liefert autoritative Nameserver
4. Autoritativer Nameserver → Liefert finalen A / AAAA-Record und TTL
3. Die wichtigsten DNS-Record-Typen
| TYP | ZWECK | BEISPIEL |
|---|---|---|
| A | Verknüpft Name mit 32-Bit-IPv4-Adresse | 93.184.216.34 |
| AAAA | Verknüpft Name mit 128-Bit-IPv6-Adresse | 2606:2800:220:1:248:1893:25c8:1946 |
| MX | Gibt priorisierte Mailserver an | 10 mail.example.com |
| TXT | Textdaten für SPF, DKIM und Domänenverifikation | v=spf1 include:_spf.google.com ~all |
| CNAME | Kanonischer Alias auf einen anderen Namen | docs.example.com → cdn.vendor.io |
| CAA | Bestimmt zugelassene Zertifizierungsstellen | 0 issue "letsencrypt.org" |
4. DNS-Sicherheit: DNSSEC, DoH & DoT
Klassisches DNS über unverschlüsseltes UDP (Port 53) ermöglichte Abhören und Cache-Poisoning. Moderne Abhilfen:
- DNSSEC: Kryptografische Signatur zur Abwehr von Spoofing-Attacken.
- DNS-over-HTTPS (DoH, RFC 8484): Kapselt DNS-Anfragen in Standard-HTTPS-Sitzungen über Port 443.
- DNS-over-TLS (DoT, RFC 7858): TLS-Verschlüsselung auf dediziertem Port 853.
5. TTL-Diagnose und Propagierungsstrategien
Die Time-to-Live (TTL) definiert die Cache-Dauer in Sekunden, bevor Resolver erneut nachfragen müssen.
Das Absenken der TTL auf 300s (5 Minuten) vor Servermigrationen minimiert Downtimes drastisch.