Die Anforderung lautet: mindestens zwei Nameserver. Sie wird fast überall erfüllt – und fast überall so, dass sie nichts nützt.
Wie die Anforderung üblicherweise erfüllt wird
Man bestellt eine Domain, der Anbieter trägt zwei eigene Nameserver ein, fertig. Beide gehören demselben Betreiber, hängen am selben Netz, stehen häufig im selben Rechenzentrum. Formal sind es zwei. Praktisch ist es einer mit zwei Namen.
Ein Netzausfall beim Betreiber. Ein Weiterleitungsproblem, das dessen Netz unerreichbar macht. Ein Fehler in der Verwaltungsoberfläche, der alle Zonen gleichzeitig betrifft. In allen drei Fällen fallen beide Nameserver zusammen aus.
Warum das schlimmer ist als ein Serverausfall
Fällt ein Webserver aus, ist die Website nicht erreichbar. Fällt die Namensauflösung aus, ist die Domain nicht erreichbar – und damit alles, was daran hängt: Website, E-Mail, jeder Dienst unter einem Namen dieser Zone.
Dazu kommt die Dauer. Ein Webserver ist neu gestartet oder umgezogen, sobald man es bemerkt. Eine Zone, die nicht mehr beauskunftet wird, hängt an Gültigkeitsdauern in fremden Zwischenspeichern. Man kann warten, sonst nichts.
Was hilft: ein zweiter Betreiber, nicht nur ein zweiter Server
Ein sekundärer Nameserver bei einem anderen Betreiber, in einem anderen Netz, übernimmt die Zone per Zonentransfer vom primären. Er beantwortet dieselben Anfragen mit denselben Angaben – und ist von einem Ausfall beim ersten Betreiber nicht betroffen.
Die Betonung liegt auf anderem Netz. Zwei Server desselben Anbieters an zwei Standorten sind eine Verbesserung, decken aber die anbieterweiten Fehler nicht ab. Für nicht gewerbliche und kleinere Anwendungen bieten mehrere Einrichtungen einen sekundären Dienst kostenfrei an; der Aufwand liegt im einmaligen Einrichten.
Einrichtung
- Zonentransfer auf dem primären Server freigeben
Beschränkt auf die Adressen des sekundären Anbieters. Eine unbeschränkte Freigabe gibt die vollständige Zone an jeden heraus, der fragt – eine gute Vorlage für die Aufklärung eines Angreifers.
- Zone beim sekundären Anbieter anmelden
Dort werden Zonenname und primäre Adresse hinterlegt. Die erste Übernahme sollte binnen Minuten sichtbar sein.
- Übernahme prüfen, bevor delegiert wird
Den sekundären Server direkt nach einem Eintrag der Zone fragen. Antwortet er nicht mit den erwarteten Angaben, ist der Transfer nicht gelaufen – dann darf er auch noch nicht in der Delegierung stehen.
- Beim Registrar eintragen
Erst jetzt. Ein delegierter Nameserver, der die Zone nicht kennt, verschlechtert die Lage gegenüber dem Ausgangszustand.
Prüfen
Prüft die Zone gegen die einschlägigen Vorgaben: Erreichbarkeit aller angegebenen Nameserver, Übereinstimmung der Angaben untereinander, Konsistenz der Delegierung. Meldet auch Abweichungen zwischen den Servern – genau das, was beim schleichenden Auseinanderlaufen zuerst auffällt.
Stellt die Vertrauenskette bei DNSSEC grafisch dar. Wer signiert, sieht hier auf einen Blick, ob die Kette von der Wurzel bis zur eigenen Zone geschlossen ist – ein Bruch darin ist folgenschwerer als gar keine Signatur.
Bricht der Zonentransfer später ab – geänderte Freigabe, neue Adresse des primären Servers, Zonenname umbenannt –, merkt man davon zunächst nichts. Der sekundäre Server liefert weiter aus, was er zuletzt hat, bis die Gültigkeitsdauer der Zone abläuft. Erst dann stellt er die Auskunft ein, und das trifft dann auf eine veraltete Zone. Deshalb: nach jeder Zonenänderung prüfen, nicht nur bei der Einrichtung.