Anmelden

DNS

Lektion 4 von 6

DNS-Zonen, autoritative Server und Delegation

Lerne Zonen, Autorität und die Delegation von Namensräumen kennen.

Lernziele

Nach Abschluss dieser Lektion kannst du:

  • eine DNS-Zone erklären und vom Domain-Namensraum unterscheiden
  • autoritative und rekursive Serverrollen unterscheiden
  • Primary und Secondary als regulär antwortende autoritative Server einordnen
  • NS und SOA erklären
  • Delegation zwischen Parent- und Child-Zone beschreiben
  • Glue Records konzeptionell erklären
  • Forward- und Reverse-Zonen unterscheiden

Domain und Zone sind verwandt – aber nicht identisch

Eine Domain ist ein Name beziehungsweise Teil des hierarchischen DNS-Namensraums. Eine DNS-Zone ist der administrativ verwaltete Teil dieses Namensraums, für den ein Satz autoritativer Server verantwortlich ist.

example.test kann zunächst eine Zone sein, die auch Namen unter training.example.test enthält. Wird training.example.test delegiert, ist es weiterhin eine Subdomain und zugleich der Zone Apex – der oberste Name – einer eigenen Child-Zone. Nicht jede Subdomain ist automatisch eine Zone.

Autoritative Server, Primary und Secondary

Ein rekursiver Resolver beschafft Antworten für Clients. Ein autoritatives DNS-System antwortet aus den maßgeblichen Zonendaten der Zonen, die es bedient. Ein Server kann technisch mehrere Rollen übernehmen; die Rollen bleiben getrennt.

Primary

Hält traditionell die ursprünglichen beziehungsweise editierbaren Zonendaten.

Secondary

Übernimmt replizierte Zonendaten, traditionell per Zonentransfer. Er ist nicht nur ein Notfallserver.

Beide können im Normalbetrieb autoritativ antworten. Mehrere Server verbessern Redundanz, Verfügbarkeit und verteilte Bereitstellung; exakt zwei sind nicht vorgeschrieben.

SOA und NS

SOA

example.test SOA ns1.example.test … serial …

Start of Authority: kennzeichnet Zonenautorität und enthält administrative Zeit-/Synchronisationsmetadaten, eine Seriennummer sowie das Primary-Nameserver-Konzept. Nicht jedes Feld muss auswendig gelernt werden.

NS

example.test NS ns1.example.test

Nennt einen autoritativen Nameserver.

NS

example.test NS ns2.example.test

Ein weiterer regulär antwortender autoritativer Nameserver.

Delegation schafft eine Autoritätsgrenze

Die Parent-Zone example.test veröffentlicht NS-Delegationsinformationen für training.example.test. Resolver erfahren so, dass die Child-Zone von ns1.training.example.test und ns2.training.example.test autoritativ bedient wird. Das ist keine Kopie aller Records: Die Child-Zone kann unabhängig verwaltet werden.

Parent- und Child-Zone mit Delegation
Parent-Zoneexample.test
↓ Delegation per NS
Child-Zonetraining.example.test
↓ autoritative Server
Namen der Child-Zonepc01… / server01…

Die Parent-Zone delegiert die Child-Zone an ns1.training.example.test und ns2.training.example.test; diese bedienen Namen wie pc01.training.example.test autoritativ.

Glue löst eine Startabhängigkeit

Liegt der Nameservername innerhalb des delegierten Namensraums – etwa ns1.training.example.test für training.example.test –, benötigt ein Resolver dessen Adresse, bevor er die Child-Zone fragen kann. Parent-seitige Glue-Adressdaten liefern diesen Startpunkt.

Diese Situation heißt auch in-bailiwick: Der Nameservername liegt „innerhalb“ der Delegation. Glue ist besonders dann nötig, aber nicht für jede Delegation und nicht für jede DNS-Adresse.

Forward- und Reverse-Zonen

Forward-Zone

server.firma.test A 192.168.10.20: Name führt zu Records wie A oder AAAA.

Reverse-Zone

20.10.168.192.in-addr.arpa PTR server.firma.test: Reverse-Namensraum führt per PTR zum Namen. IPv4 nutzt in-addr.arpa, IPv6 ip6.arpa.

Forward und Reverse werden getrennt administriert; ein A-Record erzeugt nicht automatisch PTR.

Wissenscheck

Rollen und Records zuordnen

Welche Zuordnung ist vollständig richtig?

Typische Fehlvorstellungen

Falsch: „Domain und Zone sind immer dasselbe.“
Korrektur: Eine Zone ist eine administrative Teilmenge des Namensraums; Delegationen können Grenzen schaffen.
Falsch: „Jede Subdomain ist automatisch eine Zone.“
Korrektur: Erst eine Delegation kann die Subdomain zur eigenständigen Child-Zone machen.
Falsch: „Ein Secondary antwortet nur bei Ausfall des Primary.“
Korrektur: Beide können regulär autoritativ antworten.
Falsch: „NS ist der DNS-Server meines PCs.“
Korrektur: NS nennt autoritative Nameserver, nicht automatisch den rekursiven Clientresolver.
Falsch: „Delegation bedeutet, alle Records zu kopieren.“
Korrektur: Delegation weist Autorität für einen Child-Namensraum zu.
Falsch: „Glue ist für jede DNS-Adresse zwingend.“
Korrektur: Glue löst insbesondere die Abhängigkeit bei Nameservernamen innerhalb der delegierten Zone.

Übung: azubi.firma.test

  1. Parent-Namensraum ist firma.test.
  2. azubi.firma.test wird durch Delegation zur eigenständigen Zone.
  3. Die Parent-Zone veröffentlicht dafür NS-Informationen.
  4. Die benannten Server bedienen die Child-Zone autoritativ.

Nächste Lektion

DNS-Fehleranalyse

Als Nächstes grenzt du Resolver-, Antwort-, Cache-, Zonen- und Delegationsfehler anhand von Belegen ein.

Dein Lernstand

Lektion in Bearbeitung

Das Öffnen startet die Lektion. Als erledigt zählt sie erst nach deiner ausdrücklichen Bestätigung.