Eine gewöhnliche Anwendung fragt den Stub-Resolver des Betriebssystems. Dieser berücksichtigt die lokale Namensdienstrichtlinie und sendet eine rekursive Abfrage an einen konfigurierten Resolver. Der rekursive Resolver durchläuft die Hierarchie nur, wenn die Frage nicht bereits aus einem gültigen Cache beantwortet werden kann.
DNS · Lektion 3
DNS-Auflösungsprozess
Lerne, wie Stub- und rekursive Resolver Cache, Weiterleitungen, Glue und Autorität zur Beantwortung einer DNS-Abfrage verwenden.
Mit lokaler Richtlinie und Cache beginnen
Der Systemresolver kann /etc/hosts, DNS und andere Quellen in der konfigurierten Reihenfolge berücksichtigen. Suchsuffixe können einen kurzen Namen in mehrere mögliche Namen umwandeln. Ein rekursiver Resolver prüft anschließend positive und negative Cacheeinträge, bevor er Abfragen an übergeordnete Server sendet.
Warum muss ein rekursiver Resolver für eine Abfrage möglicherweise keinen autoritativen Server kontaktieren?
Einen Root-Server abfragen
Bei einem Cache-Fehlschlag kann ein rekursiver Resolver einen Root-Server fragen. Die DNS-Wurzel besitzt 13 benannte Serveridentitäten von A bis M, die durch Anycast und andere ausfallsichere Bereitstellungstechniken von vielen physischen Instanzen bedient werden. Die Antwort verweist den Resolver normalerweise an autoritative Server der betreffenden Top-Level-Domain, statt die endgültige Hostadresse zurückzugeben.
Was gibt ein Root-Server bei einer nicht zwischengespeicherten Abfrage nach www.example.com normalerweise zurück?
Weiterleitungen von TLD- und autoritativen Servern folgen
Der Resolver fragt einen autoritativen com-Server. Dieser gibt die delegierten autoritativen Nameserver für example.com zurück. Die Weiterleitung kann Glue-Adresseinträge enthalten, wenn sie zum Erreichen eines Servers erforderlich sind, dessen Name innerhalb der delegierten untergeordneten Zone liegt. Danach fragt der Resolver einen autoritativen Server nach dem gewünschten Eintrag.
Welches Problem hilft DNS-Glue zu lösen?
Aliasen und Eintragstypen folgen
Eine Antwort kann einen CNAME-Alias enthalten, der eine weitere Namensauflösung verlangt, oder anwendungsspezifische Einträge, die zusätzliche Abfragen auslösen. Eine Abfrage nach A liefert ausschließlich IPv4-Adresseinträge und zugehörige Kettendaten; IPv6-Adressen werden mit einer getrennten AAAA-Abfrage abgerufen. Die endgültige Antwort trägt einen Status wie NOERROR, NXDOMAIN oder SERVFAIL, die jeweils unterschiedliche Bedeutungen besitzen.
Was meldet NXDOMAIN?
Validierung, Caching und Anwendungsnutzung
Ein validierender rekursiver Resolver kann mit DNSSEC-Signaturen und der Vertrauenskette eine authentifizierte Nichtvorhandenseinsauskunft oder die Integrität eines Eintrags prüfen. DNSSEC verschlüsselt keine Abfragen und beweist nicht, dass die Anwendung an der zurückgegebenen Adresse vertrauenswürdig ist.
Der Resolver speichert Ergebnisse innerhalb der TTL-Regeln zwischen und gibt sie an den Stub zurück. Die Anwendung wählt anschließend eine Adresse aus und versucht ihre eigenen Netzwerk- und Sicherheitsprotokolle.
Was bietet eine DNSSEC-Validierung nicht?
Lektion abgeschlossen
Sie haben DNS-Auflösungsprozess abgeschlossen
Du kannst eine rekursive DNS-Auflösung nun von der lokalen Richtlinie bis zur zwischengespeicherten endgültigen Antwort verfolgen.
Prüfe zuerst lokale Quellen und den Resolver-Cache.
Folge Weiterleitungen von Root- und Top-Level-Domain-Servern.
Nutze Glue zum Erreichen der passenden delegierten Server.
Unterscheide Aliase, No-Data-Antworten und nicht vorhandene Namen.
Trenne DNSSEC-Integrität von der Vertraulichkeit des Transports.
Lernfortschritt speichern
Erstellen Sie ein kostenloses Konto, um diese Lektion zu speichern und auf jedem Gerät weiterzulernen.
Kostenloses Konto erstellen