Modul 2 · 2.3
Nameserver ändern und Glue Records
Modul 2: Nameserver und Zonen · Lesezeit: 8 Minuten
Lernziel: Nach dieser Lektion können Sie Nameserver sicher ändern, erklären, was ein Glue Record ist, und erkennen, warum eine Registry eine Änderung ablehnen kann.
Kernbegriffe: Nameserveränderung über den Registrar, Glue Record, eigene Nameserver (wie ns1.example.com), Prädelegationsprüfung durch die Registry, Lame Delegation
Wann ändern Sie Nameserver?
Sie ändern die Nameserver einer Domain, wenn Sie die Verwaltung Ihres DNS zu einem anderen Anbieter verlagern möchten. Zum Beispiel:
- Sie wechseln zu einem anderen Hostinganbieter und möchten, dass dieser das DNS verwaltet;
- Sie möchten einen DNS-Dienst wie Cloudflare nutzen;
- eine Website-Plattform bittet Sie, die Nameserver auf sie umzustellen;
- Sie kehren zu den Standard-Nameservern Ihres Registrars zurück.
Es ist ein grosser Schritt: Nach der Umstellung bestimmt der neue Anbieter alle Einträge Ihrer Domain, auch die für E-Mail. Möchten Sie nur Ihre Website oder nur Ihre E-Mail woanders laufen lassen, müssen Sie die Nameserver meist nicht ändern. Dann passen Sie nur ein paar Einträge an (Modul 3 und 4).
Die sichere Reihenfolge
- Erstellen Sie eine Liste oder ein Backup Ihrer aktuellen Einträge. Viele Panels haben eine Schaltfläche, um die Zone zu exportieren oder ein Backup zu erstellen.
- Richten Sie die Zone beim neuen Anbieter ein. Übernehmen Sie alle Einträge, die Sie benötigen: Website (A, AAAA, www), E-Mail (MX, und den A-Eintrag des Mailservers, falls dieser unter Ihre Domain fällt), SPF, DKIM, DMARC, Verifizierungseinträge, Subdomains.
Prüfen Sie die neue Zone, indem Sie die neuen Nameserver direkt abfragen, noch bevor Sie wechseln. Zum Beispiel:
dig @ns1.newprovider.example example.com MXAntworten die neuen Nameserver mit den richtigen Einträgen, ist die Zone bereit.
- Haben Sie DNSSEC aktiviert? Regeln Sie zuerst, wie die Schlüssel übergehen. Schalten Sie DNSSEC aus und warten Sie, bis die alten DS-Daten aus den Caches verschwunden sind, oder geben Sie die neuen DS-Daten gleichzeitig weiter. Andernfalls bricht die Kette ab und ist Ihre Domain für validierende Resolver nicht erreichbar (Lektion 8.1).
- Ändern Sie die Nameserver bei Ihrem Registrar. Tragen Sie mindestens zwei ein. Der Registrar gibt sie an die Registry weiter.
- Warten und prüfen Sie. Resolver merken sich die alten Nameserver, bis die TTL der Delegation abgelaufen ist. Bei
.nlist das eine Stunde, bei.comzwei Tage. Rechnen Sie allgemein mit einigen Stunden bis zu einem Tag. Lassen Sie die alte Zone so lange unverändert stehen.
Warum kann eine Registry Ihre Nameserver ablehnen?
Manche Registries prüfen Ihre Nameserver, bevor sie die Änderung durchführen. Das nennt man eine Prädelegationsprüfung. DENIC eG (.de) ist dafür bekannt: Wenn die neuen Nameserver Ihre Domain noch nicht kennen oder die Antworten der Nameserver nicht übereinstimmen, wird die Änderung abgelehnt. Auch andere Registries können Prüfungen durchführen oder haben Regeln zur Anzahl der Nameserver.
Die Lösung ist immer dieselbe: Richten Sie zuerst die Zone beim neuen Anbieter ein, und versuchen Sie es danach erneut. Das ist Schritt 2 der sicheren Reihenfolge. Für .nl können Sie Ihre Nameserver vorab mit einem öffentlichen Test wie Zonemaster prüfen.
Lame Delegation
Zeigen die Nameserver bei der Registry auf Server, die Ihre Domain nicht kennen, nennt man das eine Lame Delegation (eine „lahme" Delegation). Der Resolver wird an einen Server weitergeleitet, der keine Antwort hat. Die Folge: Ihre Domain funktioniert nicht, oder nur manchmal (wenn einer der Nameserver korrekt ist).
Das passiert zum Beispiel, wenn:
- Sie die Nameserver geändert haben, bevor der neue Anbieter die Zone eingerichtet hatte;
- Sie bei einem alten Anbieter weg sind, der die Zone gelöscht hat, während die Nameserver noch auf diesen Anbieter zeigen;
- sich ein Tippfehler in einem Nameservernamen befindet.
Sie prüfen dies, indem Sie jeden Nameserver einzeln abfragen. Jeder Nameserver muss eine Antwort geben, mit der Kennzeichnung „authoritative" (in dig sehen Sie aa bei den Flags).
Eigene Nameserver und Glue Records
Sie können auch Nameserver mit einem Namen innerhalb Ihrer eigenen Domain verwenden, wie ns1.example.com und ns2.example.com. Das nennt man eigene Nameserver oder Vanity-Nameserver. Dabei entsteht ein Henne-Ei-Problem:
- um
example.comnachzuschlagen, muss der Resolver zuns1.example.com; - aber um die IP-Adresse von
ns1.example.comzu finden, muss er in die Zone vonexample.comschauen.
Deshalb hinterlegt die Registry neben dem Nameservernamen auch die IP-Adresse in der Verweisung. Diese zusätzliche Adresse nennt man einen Glue Record (Leim-Eintrag):
; in der Zone von .com, bei der Registry (Verisign)
example.com. NS ns1.example.com.
example.com. NS ns2.example.com.
ns1.example.com. A 192.0.2.53 ; glue
ns2.example.com. A 198.51.100.53 ; glueGlue ist nur nötig, wenn der Nameserver innerhalb der Domain selbst liegt (oder innerhalb einer Domain, die von derselben Delegation abhängt). Verwenden Sie ns1.hosting.example für example.com, ist kein Glue nötig: Diese Adresse steht in der Zone von hosting.example.
Glue regeln Sie über Ihren Registrar, oft unter einer Schaltfläche wie „Eigenen Nameserver registrieren" oder „Child-Nameserver" oder „Host anlegen". Ändert sich die IP-Adresse Ihres Nameservers, müssen Sie auch den Glue bei der Registry aktualisieren. Sonst zeigen Resolver auf eine veraltete Adresse.
Für die meisten Domaininhaber sind eigene Nameserver nicht nötig. Sie werden vor allem von Hostingunternehmen und Wiederverkäufern genutzt, die ihren eigenen Namen zeigen möchten.
In der Praxis: So sieht es in einem Panel aus
In Mein WebOké gehen Sie zu Meine Domains, klicken auf die Domain und klicken auf der Karte Nameserver auf den Stift. Sie tragen mindestens zwei Nameserver ein. Eigene Nameserver legen Sie dort zunächst über die Schaltfläche für einen eigenen Nameserver (Glue) an. Bei anderen Registraren heisst das oft „Nameserver ändern", „DNS-Server" oder „Custom Nameservers", und für Glue „Child Nameservers" oder „Hosteinträge"; die Felder sind dieselben.
Zusammenfassung
- Mit der Änderung der Nameserver verlagern Sie die Verwaltung aller Ihrer Einträge zu einem anderen Anbieter.
- Sichere Reihenfolge: Backup, Zone einrichten, neue Nameserver testen, DNSSEC regeln, erst dann wechseln.
- Manche Registries (wie DENIC eG) lehnen eine Änderung ab, wenn die neuen Nameserver die Zone noch nicht haben.
- Lame Delegation: Die Registry verweist auf Nameserver, die Ihre Domain nicht kennen.
- Glue Records sind IP-Adressen bei der Registry für Nameserver, die innerhalb der eigenen Domain liegen.
Quiz
Aufgabe
Aufgabe Z2.3: Sind alle Nameserver gleich? Suchen Sie die Nameserver von sidn.nl (die Website von SIDN, der Registry von .nl in den Niederlanden). Fragen Sie danach bei jedem Nameserver einzeln den SOA-Eintrag von sidn.nl ab (dig @ns1.sidn.nl sidn.nl SOA, oder ein Online-Tool, bei dem Sie den Server wählen können). Tragen Sie je Nameserver die Seriennummer ein, und ob sie übereinstimmen.
Weiterführende Informationen
Diese Artikel beschreiben die Situation bei WebOké. Bei anderen Registraren funktioniert es ähnlich.