DNS-Abfrage

So funktioniert es

Geben Sie eine Domain ein und wählen Sie einen Eintragstyp, um zu sehen, was das öffentliche DNS gerade antwortet: A und AAAA für Adressen, MX für E-Mail, TXT für Verifizierungen und Richtlinien, CNAME für Aliase und NS für die zuständigen Server der Zone.

Propagation gibt es nicht, so verbreitet das Wort auch ist. Jede Antwort trägt eine TTL — wie lange ein Resolver sie behalten darf — und alte Werte bleiben schlicht deshalb sichtbar, weil sie noch im Cache liegen. Daher muss die TTL vor der Änderung gesenkt werden, nicht danach: Hat ein Resolver erst eine Antwort, erreicht ihn nichts von dem, was Sie an der Quelle tun, bis diese Uhr abläuft.

Jede Zeile zeigt den Namen, den Eintragstyp, die TTL und den Wert. Die Anfrage geht an den öffentlichen Resolver von Cloudflare (1.1.1.1), mit Google Public DNS als Ausweichlösung. Die TTL ist daher die Zeit, die diesem Resolver noch bleibt, bevor er erneut fragen muss: Der Wert zählt zwischen den Abfragen herunter und liegt meist unter dem, der bei Ihrem DNS-Anbieter eingestellt ist. Ist der Name ein Alias, beginnt die Antwort mit dessen CNAME und liefert dann die Einträge des Namens, auf den er verweist.

Der Status gibt an, ob die Abfrage funktioniert hat. „Erfolgreich“ bedeutet, dass der Name existiert, auch wenn er keinen Eintrag des gewählten Typs hat. DNS 3 (NXDOMAIN) bedeutet, dass der Name überhaupt nicht existiert — oft ein Tippfehler oder eine Subdomain, die nie angelegt wurde. DNS 2 (SERVFAIL) bedeutet, dass der Resolver keine vertrauenswürdige Antwort erhalten konnte, etwa weil die Nameserver der Domain nicht antworten oder ihre DNSSEC-Signaturen die Validierung nicht bestehen.

E-Mail hängt von mehreren Einträgen ab. MX-Einträge nennen die Server, die E-Mails für die Domain empfangen, jeweils mit einer Priorität: Niedrigere Zahlen werden zuerst versucht, und die Zeilen stehen nicht unbedingt in dieser Reihenfolge. SPF ist ein TXT-Eintrag der Domain selbst, der mit v=spf1 beginnt und angibt, wer ihre E-Mails senden darf. DMARC ist ein TXT-Eintrag unter _dmarc, gefolgt von der Domain, und DKIM-Schlüssel liegen unter einem Namen der Form selector._domainkey, gefolgt von der Domain; Namen, die mit einem Unterstrich beginnen, lassen sich hier ebenfalls abfragen.

• DNS-Einträge erklärt: A, AAAA, CNAME, MX, TXT und NS

Beispiel

Fragt die aktuellen IPv4-Einträge für example.com ab. TTL gibt die mögliche Cache-Dauer an; Antworten können sich ändern.

• example.com · MXEin einziger Eintrag, 0 . — ein Null-MX: Die Domain erklärt, dass sie überhaupt keine E-Mails annimmt, sodass Absender sofort aufgeben, statt es tagelang erneut zu versuchen.
• example.com · TXTUnter ihren TXT-Einträgen besagt v=spf1 -all, dass kein Server E-Mails als example.com senden darf.
• _dmarc.example.com · TXTv=DMARC1;p=reject;… fordert empfangende Server auf, jede Nachricht abzulehnen, die angeblich von example.com stammt und die Prüfungen nicht besteht.
• www.github.com · AZwei Zeilen: ein CNAME, der auf github.com verweist, dann der A-Eintrag von github.com mit seiner IPv4-Adresse.
• gmail.com · MXFünf Server mit den Prioritäten 5, 10, 20, 30 und 40: E-Mails gehen zuerst an den Server mit Priorität 5; erst wenn er nicht antwortet, kommt der nächste an die Reihe.
• Ein Name, der nicht existiert · AStatus DNS 3 (NXDOMAIN) und keine Einträge.

Häufige Fragen

Ich habe einen Eintrag geändert und sehe noch den alten Wert — warum?

Irgendetwas zwischen Ihnen und dem autoritativen Server hält die vorherige Antwort, bis deren TTL abläuft. Prüfen Sie die TTL des Eintrags: Steht dort 86400, liefert ein Resolver, der ihn eine Minute vor Ihrer Änderung zwischengespeichert hat, den alten Wert für den Rest des Tages.

Was ist der Unterschied zwischen einem A-Eintrag und einem CNAME?

Ein A-Eintrag zeigt von einem Namen auf eine Adresse; ein CNAME zeigt von einem Namen auf einen anderen Namen. Praktische Folge: Ein CNAME kann nicht neben anderen Einträgen desselben Namens stehen, und deshalb kann die Domainwurzel — das bloße example.com, das NS und meist MX braucht — normalerweise kein CNAME sein.

A-Record oder AAAA-Record?

Dieselbe Aufgabe, andere Adressfamilie: A liefert eine IPv4-Adresse, AAAA eine IPv6-Adresse. Ein Name kann beide haben, und ein Browser mit Dual-Stack-Verbindung versucht meist zuerst IPv6 und weicht binnen einiger hundert Millisekunden aus.

Warum ist die TTL niedriger als die, die ich eingestellt habe?

Weil der Resolver die Antwort bereits eine Weile vorhält und die angezeigte TTL die Zeit ist, die ihm noch bleibt. Fragen Sie den Namen erneut ab, zählt sie weiter herunter; sobald sie null erreicht, veranlasst die nächste Abfrage den Resolver, eine frische Kopie zu holen, und die Zählung beginnt wieder beim vollen Wert.

Wie frage ich einen DKIM-Schlüssel ab?

Fragen Sie den TXT-Eintrag unter selector._domainkey, gefolgt von der Domain, ab. Den Selektor wählt der Absender; er erscheint als s= im DKIM-Signature-Header einer von ihm gesendeten Nachricht. DNS bietet keine Möglichkeit, alle Selektoren einer Domain aufzulisten.