Modul 8 · 8.3
Online-DNS-Tools
Modul 8: Sicherheit und Problembehebung · Lesezeit: 7 Minuten
Lernziel: Nach dieser Lektion wählen Sie für jede Frage zu Ihrem DNS das passende Online-Tool und wissen, wie Sie das Ergebnis lesen.
Kernbegriffe: Online-Dig, DNS-Checker pro Land, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, E-Mail-Check, Domaingesundheit
Warum Online-Tools?
Ein Online-Tool stellt Ihre Anfrage von einem anderen Ort aus als Ihr Computer. Das hat zwei Vorteile: Sie haben keine Beeinträchtigung durch den Cache Ihres eigenen Computers oder Routers, und Sie sehen, was der Rest des Internets sieht. Ausserdem kombinieren viele Tools dutzende Prüfungen in einem Klick, während Sie mit dig jede Anfrage einzeln stellen müssen.
Es gibt nicht das eine Tool, das alles am besten macht. Wählen Sie anhand Ihrer Frage.
Welches Tool für welche Frage?
| Ihre Frage | Geeignetes Tool | Was Sie sehen |
|---|---|---|
| „Was liefert das DNS gerade genau zurück?“ | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), oder ein anderes Online-Dig | Dasselbe wie dig, ohne dass Sie etwas installieren |
| „Sieht schon die ganze Welt meine Änderung?“ | dnschecker.org (oder vergleichbare „DNS propagation checkers“) | Die Antwort von dutzenden Resolvern in verschiedenen Ländern nebeneinander |
| „Ist meine Domain modern und sicher eingerichtet?“ | internet.nl (der niederländischen Internetstandaarden Platform) | Bewertung für Website (IPv6, DNSSEC, https) und E-Mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| „Stimmt meine DNSSEC-Kette?“ | DNSViz (dnsviz.net) | Eine Grafik der Kette von der Root bis zu Ihrer Domain, mit Fehlern in Rot |
| „Ist meine Zone technisch korrekt?“ | Zonemaster (zonemaster.net) | Umfangreiche Prüfung von Nameservern, Delegation, SOA und DNSSEC |
| „Wie stehen meine Mail-Einträge?“ | MXToolbox, ein E-Mail-Check (zum Beispiel der E-Mail-Check von WebOké), oder die Prüfungen Ihres Mailproviders | MX, SPF (mit Anzahl der Abfragen), DMARC, schwarze Listen |
| „Kommt meine versendete Mail gut an?“ | mail-tester.com, oder eine Testmail an Gmail mit „Original anzeigen“ | Ob SPF, DKIM und DMARC bei einer echten Mail bestehen |
| „Funktionieren Website und Mail zusammen, alles in einer Übersicht?“ | Ein Domaingesundheitscheck (zum Beispiel Domain-Gesundheit von WebOké) | Nameserver, A-Eintrag, www, Zertifikat, MX, SPF, DMARC, DNSSEC und CAA in einer Liste |
Die Tools von WebOké stehen hier als Beispiel für eine „Alles in einem“-Prüfung; andere Hostinganbieter und Registrare haben vergleichbare Tools. Nutzen Sie im Zweifel zwei nebeneinander: Wenn zwei unabhängige Tools dasselbe sagen, stimmt es so gut wie sicher.
Ein Online-Dig verwenden
Ein Online-Dig macht genau das, was Sie in Lektion 8.2 gelernt haben. Sie geben den Namen ein (zum Beispiel _dmarc.example.com), wählen den Typ (TXT) und erhalten die Rohausgabe. Googles Toolbox zeigt auch den Status (NOERROR, NXDOMAIN, SERVFAIL) und die TTL. Nutzen Sie dieses Tool, wenn Sie wissen möchten, was wörtlich eingetragen ist, zum Beispiel um zu prüfen, ob Ihr SPF-Eintrag genau einmal vorkommt.
Einen DNS-Checker pro Land lesen
Nach einer Änderung sehen Sie in einem Checker wie dnschecker.org oft ein gemischtes Bild: in manchen Ländern die neue Adresse mit einem grünen Häkchen, in anderen noch die alte. Das ist kein Fehler. Jeder Resolver hat den Eintrag zu einem anderen Zeitpunkt abgerufen und zählt seine eigene TTL herunter (Lektion 6.2).
Zwei Dinge, auf die Sie achten sollten:
- Sehen Sie überall die alte Antwort, auch lange nach der TTL? Dann steht die Änderung wahrscheinlich nicht auf dem Nameserver, den die Welt verwendet. Prüfen Sie, welche Nameserver Ihre Domain hat (Lektion 2.1).
- Sehen Sie bei manchen Resolvern nichts (ein Kreuz)? Dann kann es sich um ein SERVFAIL handeln, oft durch DNSSEC verursacht. Prüfen Sie das dann mit DNSViz.
internet.nl
internet.nl ist ein unabhängiger Test der niederländischen Internetstandaarden Platform (unter anderem SIDN, die Registry von .nl in den Niederlanden, NLnet Labs und der Staat). Es gibt drei Tests: Website, E-Mail und Ihre eigene Verbindung. Das Ergebnis ist ein Prozentwert mit Erklärung je Bestandteil und einem Hinweis „So verbessern Sie es“.
Lesen Sie das Ergebnis mit Verstand: Nicht jeder rote Bestandteil ist eine Störung. Fehlt beispielsweise DANE oder IPv6, funktioniert Ihre Mail oder Website trotzdem, Sie erfüllen nur nicht den neuesten Standard. Rot bei „DNSSEC gültig“ oder „SPF“ ist dagegen wichtig.
DNSViz
DNSViz zeichnet die Vertrauenskette aus Lektion 8.1: Blöcke für die Root, die TLD und Ihre Domain, mit Pfeilen für DS und DNSKEY. Blau bedeutet sicher, Schwarz bedeutet unsigniert (kein Fehler) und Rot bedeutet defekt; wie Sie die Grafik lesen, steht in Lektion 8.1. Rote Linien oder rote Blöcke zeigen genau, wo die Kette bricht, zum Beispiel „DS hat keinen passenden DNSKEY“. Das ist das Tool, das Sie zur Hand nehmen, wenn Sie SERVFAIL erhalten und dig +cd trotzdem eine Antwort liefert.
Zonemaster
Zonemaster (unter anderem von den Registrys von .se und .fr entwickelt) prüft Ihre Zone so, wie es eine Registry tut: Gibt es mindestens zwei Nameserver, liefern sie alle dieselbe Antwort, stimmt die SOA-Seriennummer überall, sind die Nameserver per IPv4 und IPv6 erreichbar. Praktisch, bevor Sie bei einer Registry, die streng prüft, die Nameserver ändern. Sie können auch Nameserver testen, die noch nicht mit der Domain verknüpft sind („undelegated test“).
Mailtools
Ein Mailcheck betrachtet die DNS-Seite: Gibt es einen MX, gibt es genau einen SPF-Eintrag, bleibt er innerhalb der zehn Abfragen, gibt es einen DMARC-Eintrag. Er kann nicht sehen, ob DKIM funktioniert, denn dafür müssen Sie den Selector kennen. Das testen Sie mit einer echten Mail: Senden Sie eine an mail-tester.com oder an eine Gmail-Adresse, und prüfen Sie unter „Original anzeigen“, ob SPF, DKIM und DMARC auf PASS stehen.
In der Praxis: So sieht es in einem Panel aus
Viele Panels haben eine eigene Prüfung. In Mein WebOké steht auf der Domainseite die Karte Domain / E-Mail Gesundheit, mit grünen, orangen und roten Punkten und manchmal einer Reparaturschaltfläche. Bei Cloudflare sehen Sie Meldungen oben in Ihrer DNS-Übersicht, bei Google Workspace und Microsoft 365 eine Kontrollseite im Verwaltungszentrum. Solche Prüfungen kennen Ihre Situation am besten; ein unabhängiges Tool zeigt, was die Aussenwelt sieht. Nutzen Sie beides zusammen.
Zusammenfassung
- Online-Tools fragen von einem anderen Ort aus und haben keine Beeinträchtigung durch Ihren Cache.
- Online-Dig: was wörtlich eingetragen ist. DNS-Checker pro Land: ob die Welt es schon sieht. DNSViz: ob die DNSSEC-Kette stimmt. Zonemaster: ob die Zone technisch stimmt. internet.nl: ob modern und sicher eingerichtet.
- Ein Mailcheck testet die Einträge; eine echte Testmail testet, ob SPF, DKIM und DMARC bestehen.
- Nutzen Sie im Zweifel zwei Tools nebeneinander.
Quiz
Aufgabe
Aufgabe Z8.3: Online-Tools. Testen Sie internet.nl mit dem Website- und E-Mail-Test von internet.nl selbst. Notieren Sie beim E-Mail-Test, ob DNSSEC für die Mailserver (MX) gültig ist, und suchen Sie in DNSViz, welche Algorithmusnummer die DS-Einträge von internet.nl verwenden. Prüfen Sie danach mit einem Online-Dig, welche Richtlinie (p=) der DMARC-Eintrag von internet.nl hat. Tragen Sie die Antworten ein.
Weiterführende Informationen
Diese Artikel beschreiben die Prüfungen von WebOké; die unabhängigen Tools funktionieren für jede Domain.
- WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben
- Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
- Kostenloses Tool Domain-Gesundheit: https://www.weboke.ch/domain-gesundheit
- Kostenloser E-Mail-Check: https://www.weboke.ch/e-mail-check