Propagation und Nameserver
Mit DNS-Propagation vergleichst du die Antworten von 20 Resolvern weltweit, die Nameserver-Prüfung testet Delegation, Serials, Rekursion und TCP.
Nach einer Änderung am DNS stellen sich zwei Fragen: Sehen die Resolver draußen schon die neuen Daten? Und sind die Nameserver selbst sauber eingerichtet? Dafür gibt es DNS-Propagation und die Nameserver-Prüfung. Beide brauchen eine Lizenz.
DNS-Propagation
Die Propagation fragt einen Namen gleichzeitig bei vielen öffentlichen Resolvern ab und vergleicht die Antworten.
- Tipp den Namen in Name oder IP.
- Wähl den Typ, etwa
A,MXoderTXT. - Klick Vergleichen.
In der Mac-App fragt sie 20 Resolver direkt, darunter Cloudflare, Google, Quad9, OpenDNS, AdGuard, DNS.WATCH, Digitalcourage, dns0.eu, dazu Resolver in den USA, der Schweiz, Japan, Kanada, China und Russland. Im Browser sind nur die sechs DNS-over-HTTPS-Anbieter erreichbar, das meldet der Hinweis Abfrage über DNS-over-HTTPS. Eine Resolver-Auswahl gibt es hier nicht, denn das Werkzeug fragt ja alle.
Die Tabelle Antworten zeigt je Resolver Standort, Antwort, die kleinste TTL und die Antwortzeit. Die TTL verrät, wie lange ein Resolver eine alte Antwort noch höchstens behält.
Befunde
| Befund | Bedeutung und was zu tun ist |
|---|---|
| Alle n Resolver liefern dieselbe Antwort | Die Änderung ist überall angekommen. |
| Alle n Resolver melden NXDOMAIN (Warnung) | Den Namen gibt es nirgends. Tippfehler oder fehlende Delegation. |
| n verschiedene Antworten (Warnung) | Nach einer Änderung bis zum Ablauf der alten TTL normal. Darunter steht je Antwort ein Hinweis, welche Resolver sie liefern. Bleiben die Antworten dauerhaft verschieden, stecken oft CDNs oder Geo-DNS dahinter, oder Nameserver mit abweichenden Daten. Dann hilft die Nameserver-Prüfung. |
| n Resolver ohne Antwort (Hinweis) | Einzelne Ausfälle liegen meist am Resolver oder an einer Firewall, nicht an der Domain. |
| Kein Resolver hat geantwortet (Fehler) | Prüf deine Netzverbindung. Sperrt dein Netz UDP 53 nach außen, scheitern alle direkten Abfragen. |
Nameserver-Prüfung
Die Nameserver-Prüfung fragt jeden Nameserver deiner Zone einzeln und vergleicht, was die Elternzone (also der Registrar) und die Zone selbst über die Nameserver sagen.
Tipp die Domain in Domain und klick Prüfen. Gibst du einen Namen unterhalb einer Zone ein, etwa www.beispiel.de, prüft die App die übergeordnete Zone und sagt das im Hinweis … ist keine eigene Zone.
Was geprüft wird
- Delegation: Die NS-Records der Elternzone werden direkt bei deren Servern geholt und mit den NS-Records der Zone verglichen, samt Glue-Adressen.
- Je Nameserver und Adresse: antwortet er autoritativ (AA-Flag), welche SOA-Serial liefert er, beantwortet er rekursive Anfragen für fremde Domains, ist er per TCP erreichbar, kann er EDNS.
- Gesamt: Zahl der Nameserver, gleiche Serials, Verteilung auf Netze, Plausibilität der SOA-Werte.
Die Tabelle Nameserver zeigt je Server und Adresse AA, Serial, Rekursion, TCP, EDNS und die Antwortzeit. Die Tabelle SOA listet primären Nameserver, Kontaktadresse, Serial, Refresh, Retry, Expire und Minimum.
Befunde
| Befund | Bedeutung und was zu tun ist |
|---|---|
| Delegation und NS-Records der Zone stimmen überein | Registrar und DNS-Hosting sind sich einig. |
| Delegation weicht von den NS-Records der Zone ab (Warnung) | Die Erklärung nennt, welche Server nur beim Registrar und welche nur in der Zone stehen. Beide Listen angleichen. |
| Glue für … weicht ab (Warnung) | Die beim Registrar hinterlegte Adresse passt nicht zum A-Record. Glue beim Registrar aktualisieren. |
| … hat keine Adresse (Fehler) | Ein Nameserver ohne A/AAAA ist nicht erreichbar. NS-Eintrag korrigieren oder Adresse anlegen. |
| … antwortet nicht (Fehler, bei IPv6 Warnung) | Der Server verzögert jede Auflösung. Bei IPv6 kann es auch an deinem Netz liegen. |
| Lame Delegation (Fehler) | Der Server ist eingetragen, antwortet aber nicht autoritativ für die Zone. Zone dort einrichten oder den NS-Eintrag entfernen. |
| Offener Resolver (Warnung) | Der Nameserver beantwortet rekursive Anfragen für fremde Domains und lässt sich für DDoS-Verstärkung missbrauchen. Rekursion auf autoritativen Servern abschalten. |
| … nicht per TCP erreichbar (Warnung) | DNS über TCP ist Pflicht (RFC 7766). Große Antworten, etwa mit DNSSEC, gehen sonst verloren. Firewall für TCP 53 öffnen. |
| … unterstützt kein EDNS (Warnung) | Veraltete Software, Probleme mit DNSSEC und großen Antworten sind wahrscheinlich. |
| Unterschiedliche SOA-Serials (Warnung) | Die Zonentransfers zwischen den Servern hängen oder sind noch nicht durch. Kurz nach einer Änderung normal, sonst Transfer prüfen. |
| Alle Nameserver haben Serial … | Alle Server sind auf demselben Stand. |
| Nur ein Nameserver (Fehler) | Vorgeschrieben sind mindestens zwei, möglichst in getrennten Netzen. |
| Alle Nameserver im selben /24-Netz (Warnung) | Ein Netzausfall legt die ganze Zone lahm. Einen Nameserver in einem anderen Netz ergänzen. |
| SOA … ungewöhnlich (Warnung) | Refresh, Retry, Expire oder Minimum liegen außerhalb der Empfehlung. Die Erklärung nennt den empfohlenen Bereich. |
| SOA Retry ist nicht kleiner als Refresh (Warnung) | Retry sollte kürzer sein als Refresh. |
| Primärer Nameserver … steht nicht in den NS-Records (Hinweis) | Bei einem versteckten Primary (Hidden Master) gewollt. |
| SOA ohne gültige Kontaktadresse (Warnung) | Das RNAME-Feld im SOA ergibt keine E-Mail-Adresse. |
| Elternzone nicht erreichbar – Delegation ungeprüft (Warnung) | Die Server der Elternzone haben nicht geantwortet. Später erneut prüfen. |
Im Browser
Im Browser kann die App die Nameserver nicht direkt fragen. Sie prüft dort nur, was der Resolver liefert, und meldet das als Eingeschränkte Prüfung. Delegation, Serials, AA-Flag, Rekursion und TCP prüft nur die App auf Mac, PC oder Mobilgerät.