So funktioniert’s
Die NS-Records einer Domain nennen die Server, die verbindlich (autoritativ) Auskunft über ihre Zone geben. Sie stehen doppelt: in der Elternzone bei der Registry, eingetragen über den Registrar, und in der Zone selbst. Liegen die Nameserver unterhalb der eigenen Domain, braucht die Elternzone zusätzlich Glue-Records mit ihren IP-Adressen.
RFC 1034 verlangt mindestens zwei Nameserver, am besten in verschiedenen Netzen. Ein Resolver fragt einen davon; antwortet er nicht, versucht er den nächsten. Jede Zone hat einen SOA-Record mit einer Seriennummer, die bei jeder Änderung steigt. Secondary-Server vergleichen sie mit dem Primary und holen die Zone per Zonentransfer (AXFR oder IXFR), angestoßen durch NOTIFY.
Lame Delegation heißt: Ein Server steht im NS-Satz, ist für die Zone aber nicht (mehr) zuständig und antwortet mit REFUSED oder ohne Autorität. Eine Serial-Abweichung deutet darauf hin, dass ein Secondary die Zone nicht mehr bekommt. Große Anycast-Anbieter zählen die Serial allerdings je Server, dort ist eine Abweichung bei gleichen Daten normal.
Warum gefährlich
Die Redundanz verdeckt Fehler: Fällt einer von zwei Nameservern aus oder ist lame, weichen Resolver auf den anderen aus, und manche Anfragen dauern nur ein paar Sekunden länger. Solche Fehler bleiben oft monatelang unbemerkt, bis auch der zweite Server ausfällt und Website und Mail komplett weg sind.
Liefert ein Secondary veraltete Daten, bekommt ein Teil der Besucher alte IP-Adressen oder MX-Records, mitunter noch Wochen nach einem Umzug. Und eine Delegation auf einen DNS-Dienst, bei dem die Zone längst gelöscht wurde, kann im schlimmsten Fall von Fremden übernommen werden, die dort die Zone neu anlegen.
So vermeidest du es
- Mindestens zwei Nameserver in verschiedenen Netzen eintragen, idealerweise bei einem Anbieter mit Anycast.
- Nach einem DNS-Umzug den NS-Satz beim Registrar und in der Zone vergleichen und alte Server entfernen, statt sie stehen zu lassen.
- Bei eigenem Primary- und Secondary-Betrieb Zonentransfer und NOTIFY überwachen und die SOA-Serial bei jeder Änderung erhöhen.
- Zieht eine Zone zu einem anderen Anbieter, zuerst die Delegation umstellen und die alte Zone erst danach löschen.
- Das Konto beim Registrar mit Zwei-Faktor-Anmeldung und Registrar-Lock gegen unbefugtes Ändern der Nameserver schützen.
So erkennt DomainWarn es
Der Check Nameserver liest die NS-Records der Zone und fragt jeden Server direkt nach dem SOA-Record. Server ohne Adresse, die nicht antworten oder nicht autoritativ sind (lame), eröffnen nach zwei Läufen den Incident „Nameserver fehlerhaft“; antwortet keiner, ist das kritisch. Bei abweichenden Serials vergleicht er SOA-Werte, NS, MX, TXT, CAA, A und AAAA: Unterscheiden sich auch die Daten, ist das ein Fehler, bei gleichen Daten nur ein Hinweis.
Als Hinweise meldet der Check außerdem einen einzelnen Nameserver, alle Server im selben /24-Netz und Zonen bei mehreren Anbietern. Ein Wechsel der Nameserver erscheint über den Check DNS als Warnung „Nameserver geändert“, eine geänderte Nameserver-Adresse als Änderung; der Check Domain zeigt zusätzlich die Nameserver laut Registry.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.