Was ist DNS?

Das Domain Name System (DNS) ist ein dezentraler Namensdienst, der für Menschen lesbare Domainnamen wie beispielsweise „example.com“ in IP-Adressen umwandelt, über die Computer sich in einem Netzwerk miteinander verbinden können. Als eine Art Adressbuch des Internets bearbeitet das DNS täglich Milliarden von Anfragen, sodass Nutzer Websites und Dienste aufrufen können, ohne sich numerische Adressen merken zu müssen.

Die wichtigsten Erkenntnisse

• Das DNS wandelt Domainnamen in die IP-Adressen um, über die der Datenverkehr in Netzwerken geleitet wird.
• Die Auflösung erfolgt über Resolver, Root-, TLD- und autoritative Server.
• Eintragstypen wie A, AAAA, MX und CNAME erfüllen jeweils eine bestimmte Funktion.
• DNS über TLS und DNS über HTTPS verschlüsseln Anfragen, die zuvor unverschlüsselt gesendet wurden.
• VOS-Geräte leiten den DNS-Datenverkehr weiter, filtern ihn und lenken ihn entsprechend den SD-WAN-Richtlinien.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DNS & Versa · Häufig gestellte Fragen

Warum ist DNS wichtig?

DNS ist eines der grundlegenden Protokolle des Internets: Praktisch keine Browsersitzung, kein API-Aufruf und keine Cloud-Verbindung kommt ohne eine DNS-Abfrage zustande. Es existiert, weil Menschen anhand von Namen navigieren und Netzwerke anhand von Adressen leiten – und die Übersetzung zwischen beiden auf globaler Ebene erfordert ein verteiltes und zwischenspeicherbares Namenssystem, nicht ein einziges zentrales Verzeichnis.

Diese Verteilung ist auch der Grund dafür, dass das DNS skalierbar ist. Kein einzelner Server verfügt über alle Zuordnungen; die Autorität wird hierarchisch von der Root über die Top-Level-Domains an die Organisationen delegiert, die einzelne Zonen betreiben, und durch das Caching auf jeder Ebene werden die meisten Abfragen vom allgemeinen Internet ferngehalten. Dasselbe Vertrauensmodell macht das DNS zu einer beliebten Angriffsfläche – Cache-Poisoning, Spoofing und Tunneling nutzen es aus –, weshalb verschlüsselte Übertragungen und DNS-bewusste Filterung mittlerweile fester Bestandteil einer Sicherheitsarchitektur sind.

Was ist DNS?

Eine DNS-Abfrage beginnt bei einem Stub-Resolver auf dem Client, der die Anfrage an einen rekursiven Resolver weiterleitet – dieser wird häufig von einem Internetdienstanbieter, einem Unternehmen oder einem öffentlichen Anbieter betrieben. Sofern die Daten noch nicht im Cache gespeichert sind, durchläuft der rekursive Resolver die Hierarchie: Er fragt einen Root-Server, welcher Top-Level-Domain-Server (TLD-Server) für das Suffix zuständig ist, fragt diesen TLD-Server, welcher zuständige Server die Zone verwaltet, und fragt schließlich den zuständigen Server nach dem Eintrag.

Jeder Eintrag verfügt über eine „Time-to-Live“-Zeit (TTL), die festlegt, wie lange Resolver ihn zwischenspeichern dürfen, bevor sie erneut eine Abfrage stellen. Einträge gibt es in verschiedenen Formaten: Ein A-Eintrag ordnet einen Namen einer IPv4-Adresse zu, ein AAAA-Eintrag einer IPv6-Adresse, ein CNAME-Eintrag verweist von einem Namen auf einen anderen, ein MX-Eintrag identifiziert Mailserver, ein NS-Eintrag delegiert eine Zone und ein TXT-Eintrag enthält Text, der für Einträge wie SPF und DKIM verwendet wird.

Arten von DNS

An der DNS-Auflösung sind mehrere Serverrollen beteiligt. Rekursive Resolver übernehmen die Arbeit im Auftrag eines Clients, durchlaufen die Hierarchie und speichern die Ergebnisse im Cache. Autoritative Server verwalten die eigentlichen Einträge für eine Zone. Root- und TLD-Server dienen lediglich dazu, Anfragen an den richtigen autoritativen Server weiterzuleiten; sie beantworten keine Anfragen für einzelne Domains.

Auch die Übertragungswege haben sich diversifiziert. Das klassische DNS läuft unverschlüsselt über UDP und greift bei größeren Antworten auf TCP zurück – ein Konzept, bei dem die Abfragen auf dem Übertragungsweg sichtbar bleiben. DNS über TLS (DoT) und DNS über HTTPS (DoH) verpacken Abfragen in TLS, um diese Lücke zu schließen, was jedoch mit einem zusätzlichen Verbindungsaufbau verbunden ist; reines UDP und TCP bleiben die Standardeinstellung, wenn die Kompatibilität gegenüber der zusätzlichen Verschlüsselung Vorrang hat.

DNS & Versa

VOS-Geräte können als DNS-Proxy fungieren, indem sie DNS-Anfragen von Clients abfangen und diese anhand konfigurierbarer Regeln an den richtigen Resolver weiterleiten, wie unter „DNS-Proxy konfigurieren“ beschrieben. Ein gängiges Muster ist „Split DNS“: Interne Domänenmuster werden über einen Unternehmens-DNS-Server aufgelöst, während alle anderen Anfragen an einen öffentlichen Resolver weitergeleitet werden, wodurch rekurative Lookups vom Unternehmensserver entlastet werden. DNS-Proxy-Profile in Director unterstützen Failover- oder Round-Robin-Resolver, SNAT-Pools sowie – ab Release 23.1.1 – DoH- und DoT-Verbindungen.

Für den direkten Internetzugang über SD-WAN ermöglicht die Konfiguration des DNS-Proxys mit SD-WAN-Traffic-Steering für DIA, dass eine DNS-Abfrage die SD-WAN-Traffic-Steering-Richtlinie abfragt, wodurch eine lockere oder strenge Pfadaffinität zum nachfolgenden Anwendungsdatenverkehr hergestellt wird. Im Sicherheitsbereich wendet die Konfiguration der DNS-Filterung (NGFW) Zulassungslisten, Sperrlisten, reputationsbasierte Abfragen für neu beobachtete Domänen sowie die Erkennung von DNS-Tunneling an, um böswillige Auflösungen zu blockieren, bevor eine Sitzung aufgebaut wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Domainnamen und einem DNS-Eintrag?

Ein Domainname, wie beispielsweise example.com, ist die für Menschen lesbare Bezeichnung. Ein DNS-Eintrag ist die Information, die ein autoritativer Server dafür zurückgibt – eine IP-Adresse, ein Mailserver, ein Textwert –, und eine Domain enthält in der Regel mehrere Eintragstypen gleichzeitig.

Was ist ein DNS-Resolver?

Ein Resolver führt im Auftrag eines Clients Suchvorgänge durch. Ein Stub-Resolver auf dem Gerät leitet die Anfrage an einen rekursiven Resolver weiter, der nacheinander die Root-Server, die TLD-Server und schließlich die autoritativen Server abfragt und das Ergebnis zur Wiederverwendung zwischenspeichert.

Was sind DNS-Caching und TTL?

Jeder DNS-Eintrag enthält eine Time-to-Live (TTL) – die Anzahl der Sekunden, in denen ein Resolver eine zwischengespeicherte Antwort wiederverwenden darf, bevor er eine neue Abfrage sendet. Durch die Zwischenspeicherung auf jeder Ebene kann das DNS das weltweite Abfragevolumen bewältigen, ohne dass jede Abfrage einen autoritativen Server erreichen muss.

Was ist DNS über HTTPS (DoH)?

DoH bündelt DNS-Abfragen in einer HTTPS-Verbindung und verschlüsselt sie, sodass Zwischenstellen die Anfrage weder lesen noch manipulieren können. DoT erreicht dasselbe Ziel über eine dedizierte TLS-Verbindung; beide Verfahren ersetzen den unverschlüsselten UDP- oder TCP-DNS-Datenverkehr.

Was ist DNS-Filterung?

Bei der DNS-Filterung werden DNS-Anfragen anhand von Zulassungslisten, Sperrlisten und Reputationsdaten überprüft, um die Auflösung bekannter bösartiger oder neu identifizierter Domains zu blockieren, bevor eine Verbindung hergestellt wird. Außerdem kann damit DNS-Tunneling erkannt werden, eine Angriffsmethode, bei der Daten in DNS-Abfragen versteckt werden.

Mehr zum Thema DNS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit DNS beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.