DNS-Trace und Zonentransfer
Mit dem DNS-Trace löst du einen Namen ab den Root-Servern auf wie dig +trace, der Zonentransfer-Test zeigt, ob deine Zone per AXFR offenliegt.
Zwei Werkzeuge für die Fehlersuche an der Quelle: Der DNS-Trace zeigt, wo auf dem Weg von der Root bis zum Namen etwas hakt. Der Zonentransfer-Test prüft, ob Fremde die komplette Zone abrufen können. Beide brauchen eine Lizenz und direkte Verbindungen zu den Nameservern. Im Browser fehlen sie deshalb, den Zonentransfer-Test gibt es außerdem nur auf dem Desktop.
DNS-Trace
Der Trace löst einen Namen Schritt für Schritt selbst auf, ohne den Cache eines Resolvers, so wie dig +trace.
- Tipp den Namen in Name oder IP.
- Wähl den Typ.
- Klick Verfolgen.
Die App beginnt bei einem zufälligen der 13 Root-Server, folgt jedem Verweis zur nächsten Zone und fragt deren Nameserver, bis eine Antwort kommt. Steht ein Nameserver ohne Glue im Verweis, löst sie seine Adresse über den gewählten Resolver auf. Bei einem CNAME beginnt sie für das Ziel wieder an der Root. Gibst du eine IP-Adresse ein, verfolgt sie den PTR-Record.
Die Tabelle Trace zeigt jede Stufe mit Zone, gefragtem Server, Antwort (meist Verweis auf … mit den Nameservern der nächsten Zone) und Antwortzeit. So siehst du, welcher Server welche Delegation ausgibt. Das ist hilfreich, wenn ein Nameserverwechsel beim Registrar noch nicht in der TLD angekommen ist.
Befunde
| Befund | Bedeutung und was zu tun ist |
|---|---|
| Aufgelöst in n Schritten | Der Name ist erreichbar, die Erklärung nennt den antwortenden Server. |
| Letzte Antwort ohne AA-Flag (Warnung) | Der letzte Server antwortet nicht autoritativ. Meist ein falsch eingetragener Nameserver. |
| … existiert nicht (NXDOMAIN) (Warnung) | Die zuständige Zone kennt den Namen nicht. |
| Keine A-Records (Warnung) | Der Name existiert, hat aber keinen Eintrag dieses Typs. |
| CNAME … → … (Hinweis) | Der Trace folgt dem Alias. |
| Nameserver ohne Glue, über den Resolver aufgelöst (Hinweis) | Normal, wenn die Nameserver in einer fremden Zone liegen. |
| Keiner der Nameserver von … antwortet (Fehler) | Die Delegation zeigt auf Server, die nicht erreichbar sind. NS-Einträge beim Registrar prüfen. |
| … antwortet SERVFAIL oder ein anderer Fehlercode (Fehler) | Der Server hat ein Problem mit der Zone. |
| Fehlerhafter Verweis (Fehler) | Ein Server verweist auf eine Zone, die nicht näher an den Namen führt. Fehlkonfiguration auf diesem Server. |
| Zu viele CNAME-Stufen (Fehler) | Mehr als 8 Aliase hintereinander, vermutlich eine Schleife. |
| Auflösung nicht abgeschlossen (Fehler) | Nach 30 Schritten keine Antwort. |
Zonentransfer-Test
Ein Zonentransfer (AXFR) überträgt die komplette Zone von einem Nameserver an einen anderen. Er gehört zwischen primären und sekundären Servern, nicht ins offene Netz. Ist er für jeden erlaubt, kann jeder alle Hostnamen der Zone abrufen, auch interne wie vpn, test oder admin.
Tipp die Zone in Domain, also beispiel.de, nicht www.beispiel.de, und klick Prüfen. Die App holt die NS-Records, löst jeden Nameserver auf und versucht bei jeder Adresse einen Transfer über TCP.
Die Tabelle Nameserver zeigt je Server und Adresse das Ergebnis, etwa abgelehnt (REFUSED, 41 ms), Zeitüberschreitung oder ERLAUBT: 154 Records.
Befunde
| Befund | Bedeutung und was zu tun ist |
|---|---|
| Kein Nameserver erlaubt einen Zonentransfer | So soll es sein. |
| Zonentransfer erlaubt bei … (Warnung) | Jeder kann die Zone lesen. Beschränk AXFR auf die sekundären Nameserver: allow-transfer in BIND, die entsprechende Einstellung in anderer Server-Software oder die Zonentransfer-Einstellungen beim DNS-Hoster. |
| Keine NS-Records (Fehler) | Du hast vermutlich einen Hostnamen statt der Zone eingegeben. |
| Nur die ersten 2000 von n Records angezeigt (Hinweis) | Die Tabelle ist gekürzt, die vollständige Zone steht in den Rohdaten. |
Gelingt ein Transfer, zeigt die Tabelle Übertragene Zone die erhaltenen Records, und unter Rohdaten liegt die ganze Zone im Zonendatei-Format zum Kopieren. Prüf damit nur Zonen, die du betreust oder prüfen darfst.