Autoritativer DNS-Server

So funktioniert es

DNS teilt die Arbeit auf: Resolver fragen im Namen der Anwendungen, autoritative Server antworten aus Bestand. Ein autoritativer Server führt eine Zone, einen zusammenhängenden Teil des Namensraums, und ist für deren Namen die Quelle. Steht ein Name in seiner Zone, antwortet er; steht er nicht, meldet er das. Geht es um einen Namen außerhalb der Zone, verweist er auf die Zuständigkeit woanders. Primary heißt der Server, an dem die Zone bearbeitet wird; Secondary heißen die, die sie in Kopie führen.

Versteckt heißt ein Primary, der in keinem NS-Eintrag steht: Er ist von außen nicht ansprechbar und gibt die Zone nur an bekannte Secondaries weiter. Die Auflösung selbst läuft von oben nach unten: Der Resolver fragt die Wurzel, die Wurzel nennt die Top-Level-Zone, diese nennt die NS-Einträge der Zone, und erst der autoritative Server antwortet aus Bestand. Jede Stufe verweist nur weiter; nur die letzte weiß.

Warum es wichtig ist

Wer die Zone führt, spricht für den Namen. Zertifikate, Mail, jede Anfrage mit Hostnamen: Sie läuft über die Übersetzung, und die zuständige Quelle ist ihr Anker. Für Anbieter mit mehreren Standorten ist die Zone zugleich das Band, das die Standorte zusammenhält, ohne dass einer den anderen fragt.

Darum ist der autoritative Server der erste Dienst, den ein Anbieter selbst führen sollte, der seine Namen ernst nimmt: Wer ihn auslagert, lagert die Quelle seiner Erreichbarkeit aus. Fällt der fremde Dienst, schweigen die eigenen Namen, und keine Redundanz dahinter hilft. Die Zone zu führen heißt, die eigene Erreichbarkeit zu besitzen.

Bei obhut

Autoritatives DNS gehört zum Angebot. Der Primary steht versteckt und signiert; Notify und Zonentransfer tragen die Zone zu den autoritativen Servern an den Standorten. Im Abfragepfad liegt kein eigener Code, die DNS-Engine bleibt austauschbar.

Änderungen an der Zone bleiben nachvollziehbar, und jeder Knoten bestätigt, welchen Stand er übernommen hat.