Infra & Netzwerk

DNS (Domain Name System)

Overview

Das Domain Name System ist ein hierarchisch verteilter Namensdienst, beschrieben in RFC 1034 und RFC 1035 (November 1987). Es übersetzt Namen in IP-Adressen (A- und AAAA-Records), verweist auf Mailserver (MX), Dienste (SRV) und Aliasnamen (CNAME) und speichert Textinformationen (TXT), etwa für SPF, DKIM und DMARC.

Intern ist DNS die Grundlage für Active Directory: Clients finden Domain Controller über SRV-Records, Kerberos und Gruppenrichtlinien funktionieren nur mit korrekter Namensauflösung. Extern steuert DNS die Erreichbarkeit von Website, Mail und Diensten wie Microsoft 365.

Abgrenzung: Azure DNS (eigener Eintrag) ist der Cloud-Dienst für DNS-Zonen in Azure. Die E-Mail-Standards SPF, DKIM und DMARC haben eigene Einträge, sie nutzen DNS nur als Speicherort.

Sicherheit: DNSSEC signiert Zonen und schützt so vor gefälschten Antworten (Cache Poisoning). Ab Windows Server 2022 unterstützt der DNS-Client von Windows Server DNS over HTTPS (DoH), wenn der DNS-Server auf der Liste bekannter DoH-Server steht.

How it works

Eine Namensauflösung läuft so ab:

  1. Der Client fragt seinen konfigurierten DNS-Server (Resolver), meist einen Domain Controller oder die Firewall.
  2. Kennt der Resolver die Antwort aus dem Cache oder einer eigenen Zone, antwortet er direkt.
  3. Andernfalls fragt er rekursiv, beginnend bei den Root-Servern, über die Top-Level-Domain bis zum autoritativen Server der Zone, oder er leitet an einen Forwarder weiter.
  4. Die Antwort wird für die Dauer der TTL zwischengespeichert.

DNS nutzt Port 53 über UDP und TCP. Windows Server DNS speichert Zonen wahlweise als Datei oder Active-Directory-integriert, dann replizieren sie automatisch mit AD. Dynamische Updates erlauben Clients und DHCP-Servern, ihre Einträge selbst zu registrieren.

Benefits

  • Macht Dienste über stabile Namen erreichbar, auch wenn sich IP-Adressen ändern
  • Ermöglicht Lastverteilung und Ausfallsicherheit über mehrere Einträge oder Server
  • Bildet die Grundlage für AD-Anmeldung, Mail-Zustellung und Zertifikatsprüfung
  • Kann über DNS-Filterung bekannte Schadseiten blockieren, bevor eine Verbindung entsteht

Practical example

Ein Mittelständler aus dem Maschinenbau stellt auf Microsoft 365 um und muss dafür die externe Zone beim Provider anpassen: MX, Autodiscover, SPF, DKIM und DMARC. Intern zeigen alle Clients auf zwei Domain Controller mit AD-integrierten Zonen, die externe Anfragen an die Firewall weiterleiten. Nach einem Fehler, bei dem ein Client einen öffentlichen DNS-Server nutzte und die Domäne nicht mehr fand, setzt die IT die DNS-Server per DHCP-Option zentral und blockiert ausgehendes DNS an der Firewall außer für die Resolver.

Things to keep in mind

  • Clients in einer AD-Domäne ausschließlich auf interne DNS-Server zeigen lassen, nie zusätzlich auf öffentliche Resolver
  • Mindestens zwei DNS-Server pro Standort betreiben, weil ohne DNS praktisch kein Dienst mehr funktioniert
  • Ausgehendes DNS an der Firewall auf die eigenen Resolver beschränken, damit Schadsoftware DNS nicht als Kanal nutzt
  • TTL vor geplanten Umstellungen rechtzeitig senken, damit Änderungen schnell wirksam werden
  • DNSSEC für externe Zonen beim Provider aktivieren, sofern er es unterstützt

Conclusion

DNS ist der wichtigste Basisdienst im Netz, viele Störungen in AD oder Microsoft 365 haben hier ihre Ursache. Halte die Konfiguration einfach, redundant und dokumentiert.

Further reading

Related articles