Modul 5 · 5.3
NS, SOA und andere Einträge
Modul 5: Weitere Einträge · Lesezeit: 7 Minuten
Lernziel: Nach dieser Lektion erkennen Sie die übrigen Einträge, die Ihnen in einer Zone begegnen, und wissen Sie, dass Sie diese meistens nicht anfassen sollten.
Kernbegriffe: NS in der Zone, SOA (Seriennummer, Refresh, Retry, Expire, Minimum), TLSA (DANE), HTTPS und SVCB, DS und DNSKEY
Einträge, die einfach da sind
Öffnen Sie den DNS-Bildschirm einer Domain, sehen Sie neben A, CNAME, MX und TXT oft noch ein paar Einträge, die Sie nicht selbst angelegt haben. Die meisten sind aus gutem Grund vorhanden, und Sie lassen sie stehen. In dieser Lektion lernen Sie, sie zu erkennen, damit Sie nicht erschrecken und sie nicht versehentlich entfernen.
| Eintrag | Was er macht | Selbst anpassen? |
|---|---|---|
| NS | Welche Nameserver die Zone verwalten | Selten |
| SOA | Der technische Kopf der Zone | Nein, das übernimmt das Panel |
| TLSA | Fingerabdruck eines Zertifikats (DANE) | Nur wenn Sie DANE nutzen |
| HTTPS / SVCB | Hinweise für eine schnellere, sichere Verbindung | Meist regelt Ihr DNS-Anbieter das |
| DS / DNSKEY | Bestandteile von DNSSEC | Nein, über die DNSSEC-Funktion |
| PTR | Vom IP-Adresse zurück zum Namen | Nicht in Ihrer eigenen Zone (Lektion 4.6) |
NS: die Nameserver in Ihrer eigenen Zone
In Lektion 2.1 haben Sie gesehen, dass die Registry festlegt, welche Nameserver Ihre Domain hat. Dieselben Nameserver stehen auch in Ihrer eigenen Zone als NS-Einträge:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.Die beiden Listen müssen übereinstimmen. Ändern Sie die NS-Einträge in Ihrer Zone, ändert sich bei der Registry nichts: Nameserver ändern Sie bei Ihrem Registrar (Lektion 2.3). Lassen Sie die NS-Einträge der nackten Domain also stehen.
Ein NS-Eintrag auf einer Subdomain hingegen können Sie selbst anlegen. Damit geben Sie die Verwaltung dieser Subdomain an eine andere Partei ab:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Alles unter lab.example.com wird dann bei diesem anderen Nameserver abgefragt. Das nennt man eine Delegation, genau das, was eine Registry für Ihre gesamte Domain tut.
SOA: der technische Kopf
Jede Zone hat genau einen SOA-Eintrag (Start of Authority), auf der nackten Domain. Viele Panels zeigen ihn nicht einmal an. So sieht er aus:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; Seriennummer
14400 ; Refresh
3600 ; Retry
1209600 ; Expire
300 ) ; Minimum| Feld | Bedeutung |
|---|---|
ns1.hosting.example. | Der Hauptnameserver der Zone |
hostmaster.example.com. | Die E-Mail-Adresse des Verwalters, mit einem Punkt statt dem @: hostmaster@example.com |
| Seriennummer | Eine Versionsnummer. Bei jeder Änderung steigt sie. Oft in der Form Jahr-Monat-Tag-Laufnummer. |
| Refresh, Retry, Expire | Wie oft zusätzliche Nameserver beim Hauptserver prüfen, ob es eine neue Version gibt, wie schnell sie es erneut versuchen, und wann sie aufhören zu antworten, wenn der Hauptserver zu lange nicht erreichbar ist |
| Minimum | Wie lange ein Resolver sich merken darf, dass ein Name nicht existiert (der negative Cache, RFC 2308). Mehr dazu in Lektion 6.2. |
Die Seriennummer ist bei der Fehlersuche hilfreich. Geben zwei Nameserver derselben Domain eine unterschiedliche Seriennummer an, haben sie eine andere Version der Zone. Der eine liefert dann vielleicht bereits Ihren neuen Eintrag, der andere noch den alten. Mit einem Nachschlagetool (Lektion 8.2) können Sie die Seriennummer pro Nameserver abfragen.
TLSA: DANE für E-Mail
Ein TLSA-Eintrag (RFC 6698) enthält einen Fingerabdruck des Zertifikats eines Servers. Das nennt man DANE. Ein sendender Mailserver kann dann prüfen, ob er wirklich mit Ihrem Mailserver spricht und nicht mit einem Eindringling. DANE funktioniert nur, wenn Ihre Domain DNSSEC hat (Lektion 8.1). Sie sehen TLSA-Einträge unter Namen wie:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <langer Hexcode>Das bedeutet: Port 25, Protokoll tcp, Server mail.example.com. Ein TLSA-Eintrag, der nicht mehr zum Zertifikat passt (zum Beispiel nach einer Erneuerung mit neuem Schlüssel), lässt E-Mail von strengen Absendern ablehnen. Legen Sie ihn nur an, wenn Ihr Panel ihn automatisch pflegt.
HTTPS und SVCB: Hinweise für den Browser
Der HTTPS-Eintrag und sein allgemeinerer Bruder SVCB (RFC 9460) sind neu. Sie geben einem Browser im Voraus Informationen, etwa dass die Website HTTP/3 unterstützt und unter welchen Adressen sie läuft. Das macht die erste Verbindung etwas schneller.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Achtung: Trotz des Namens hat der HTTPS-Eintrag nichts mit Ihrem SSL-Zertifikat zu tun. Ohne HTTPS-Eintrag funktioniert https ganz normal. Grosse DNS-Anbieter mit eigenem Netzwerk setzen diesen Eintrag oft automatisch. Selbst anlegen ist selten nötig.
DS und DNSKEY: DNSSEC
DNSKEY-Einträge enthalten die öffentlichen Schlüssel, mit denen Ihre Zone signiert ist. Der DS-Eintrag ist ein Fingerabdruck dieses Schlüssels und steht nicht in Ihrer eigenen Zone, sondern bei der Registry. Zusammen bilden sie die Vertrauenskette von DNSSEC. Sie verwalten sie nicht von Hand, sondern über die DNSSEC-Funktion Ihres DNS-Anbieters. Lektion 8.1 erklärt, wie es funktioniert und was bei einem Domain-Umzug schiefgehen kann.
Zusammenfassung
- NS-Einträge auf der nackten Domain lassen Sie stehen; Nameserver ändern Sie beim Registrar. Ein NS-Eintrag auf einer Subdomain gibt deren Verwaltung an jemand anderen ab.
- Der SOA-Eintrag ist der Kopf der Zone, mit einer Seriennummer, die bei jeder Änderung steigt. Das Minimum-Feld bestimmt den negativen Cache.
- TLSA (DANE) verknüpft ein Zertifikat mit einem Server und funktioniert nur mit DNSSEC.
- HTTPS- und SVCB-Einträge sind Hinweise für den Browser und haben nichts mit Ihrem Zertifikat zu tun.
- DS und DNSKEY gehören zu DNSSEC und werden über die DNSSEC-Funktion verwaltet.
Quiz
Aufgabe
Aufgabe Z5.3: SOA: Verwalter und negativer Cache. Suchen Sie den SOA-Eintrag von wikipedia.org. Tragen Sie die E-Mail-Adresse des Verwalters ein (das zweite Feld, mit einem @ statt dem ersten Punkt) sowie den Wert des letzten Feldes (Minimum, der negative Cache) in Sekunden.
Zu dieser Lektion gibt es keine Einstellungsaufgabe: Diese Einträge legen Sie selten selbst an.
Weiterführende Lektüre
Diese Artikel beschreiben die Panels von WebOké; in anderen Panels funktioniert es ähnlich.