Blog · Grundlagen ·
Was ist autoritatives DNS?
Ein autoritativer DNS-Server ist die zuständige Quelle für eine Zone. Anfragen zu den Namen dieser Zone beantwortet er aus den eigenen Datensätzen, nicht aus einem Zwischenspeicher. Jede Namensübersetzung im Internet endet bei einer solchen Quelle.
Die zwei Rollen im DNS
Das DNS besteht aus zwei Seiten. Auf der einen steht der Recursive Resolver: Er arbeitet für ein Gerät, nimmt dessen Anfrage entgegen, geht die Hierarchie von der Wurzel über die Top-Level-Domain bis zum zuständigen Server durch und behält die Antworten eine Weile im Zwischenspeicher. Auf der anderen Seite steht der autoritative Server: Er verwaltet die Datensätze einer Zone selbst und ist die Stelle, die am Ende Auskunft geben kann.
Die Wurzel und die Top-Level-Domains sind selbst autoritative Zonen. Die Hierarchie, durch die ein Resolver wandert, besteht also aus lauter solchen Quellen; jede übergibt die Anfrage an die zuständige Quelle der nächsten Ebene.
Was eine Zone ist
Eine Zone ist die zusammenhängende Menge von Datensätzen, für die ein Server zuständig ist. Der Beginn dieser Zuständigkeit steht im SOA-Datensatz, dem Start of Authority. Meist entspricht eine Zone einer Domain; sie kann aber auch größer oder kleiner geschnitten sein, etwa wenn eine Domain an mehrere Betreiber aufgeteilt wird.
Bei obhut ist die Zone das Ankerobjekt der Plattform: eine Domain, die genau eine Organisation verwaltet. Vom Zonenbegriff hängen Hostnamen, Zertifikate und die Leitung an die Ursprungsserver zusammen, denn alle drei beziehen ihre Namen aus der Zone.
Zwei Wege auf die Plattform
Voll eingerichtet ist eine Zone, wenn ihr DNS an die Plattform delegiert wird: Die Registrierungsstelle der Domain erhält Nameserver der Plattform, und die gesamte Zone lebt bei uns. Partiell eingerichtet bleibt das DNS beim Kunden: Er behält seinen zuständigen Server und setzt einen CNAME, der den Hostnamen auf die Plattform zeigt. Beide Wege führen auf dasselbe Modell, denn auch der partielle Hostname wird in die gerenderte Zone aufgenommen und von unseren Servern beantwortet.
Die Aktivierung eines Hostnamens ist keine Angabe im Formular, sondern eine Prüfung gegen das öffentliche DNS: Was die Delegation oder der CNAME draußen nicht hergeben, aktiviert die Plattform nicht.
Wie obhut autoritatives DNS baut
Der Primary der Zone ist versteckt: Er liegt in der Steuerung und ist von außen nicht erreichbar. Öffentlich antwortet je Standort ein Secondary; zwischen beiden laufen NOTIFY und Zonentransfer, sodass Änderungen aus der Steuerung die Server erreichen, ohne dass jemand von außen an die Quelle herankommt. DNSSEC wird am Primary signiert; die Signaturen wandern mit der Zone nach draußen.
Im Abfragepfad liegt kein eigener Code. Die DNS-Engine sitzt hinter einem Port mit vier Operationen und bleibt damit austauschbar; auch die SOA der delegierten Zonen trägt unsere Namen. Bei geleiteten Hostnamen besitzt die Plattform den Namen des Eintrags in der gerenderten Zone. Autoritatives DNS mit DNSSEC gehört zum Angebot von obhut.
Was das für Anwendungen heißt
An jede Anfrage, die einen Hostnamen nennt, geht eine Namensübersetzung voran. Läuft sie ins Leere, läuft die Anwendung ins Leere. Darum steht autoritatives DNS bei obhut am Anfang der Plattform, nicht am Rand: Erst der Name, dann das Zertifikat, dann die Leitung zum Ursprung.
Häufige Fragen
Was ist der Unterschied zum Resolver meines Anbieters? Der Resolver fragt für Sie und merkt sich Antworten; der autoritative Server antwortet aus eigenem Bestand und ist die Quelle, bei der jede Auflösung endet.
Brauche ich einen eigenen autoritativen Server? Nur wenn Sie Zonen selbst führen wollen. Wer das tut, besitzt seine Erreichbarkeit; wer es auslagert, vertraut sie einem Dienst an. Beides ist legitim, solange es eine Entscheidung ist.