Was ist ein Nameserver?
Ein Nameserver ist der Server, der verbindlich Auskunft über die Einträge Ihrer Domain gibt. Fällt er aus, ist die Domain nicht mehr auffindbar.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite3 Abschnitte
Einfach erklärt
Das DNS ist das Adressbuch des Internets. Der Nameserver ist die Stelle, die die Seite für Ihre Domain führt und auf Nachfrage verbindlich Auskunft gibt. Ohne ihn weiß niemand, wo Ihre Website liegt oder wer Ihre Mails annimmt.
Warum zwei besser sind als einer
Fällt der einzige Nameserver aus, ist Ihre Domain nicht mehr auffindbar. Website und Mailempfang stehen still, obwohl die Server selbst laufen. Deshalb gibt es für jede Domain mindestens zwei, besser in getrennten Rechenzentren.
Was Sie tun können
Bei den meisten Anbietern ist das automatisch richtig eingerichtet. Wenn der IT-Sicherheitscheck nur einen Nameserver findet, fragen Sie den Anbieter Ihrer Domain nach einem zweiten. Wechseln Sie die Nameserver, etwa beim Umzug zu einem neuen Anbieter, müssen vorher alle Einträge dort angelegt sein.
Delegation
Autoritative Nameserver einer Zone stehen zweimal: als NS-Einträge in der übergeordneten Zone (Delegation, bei .de in der Zone der DENIC) und als NS-Einträge in der eigenen Zone. Beide Listen sollen übereinstimmen. Liegen die Nameserver innerhalb der delegierten Domain selbst, etwa ns1.ihre-firma.de, braucht die übergeordnete Zone zusätzlich Glue Records mit deren Adressen.
ihre-firma.de. 86400 IN NS ns1.example-dns.net.
ihre-firma.de. 86400 IN NS ns2.example-dns.org.
Redundanz
RFC 1034 Abschnitt 4.1 sieht mindestens zwei Nameserver je Zone vor. RFC 2182 empfiehlt, sie in getrennten Netzen und an getrennten Standorten zu betreiben, damit ein Netzausfall nicht beide trifft. Zwei Namen mit derselben IP-Adresse oder im selben Netz sind formal zwei, praktisch einer.
Typische Fehler
- Lame Delegation. Ein delegierter Server antwortet nicht autoritativ für die Zone, etwa nach einem Anbieterwechsel.
- Abweichende NS-Listen zwischen übergeordneter Zone und eigener Zone.
- Zonenwechsel ohne Vorbereitung. Die neuen Nameserver werden delegiert, bevor die Zone dort vollständig ist.
- DNSSEC nicht mitgezogen. Neue Nameserver signieren mit anderen Schlüsseln als im DS-Eintrag hinterlegt.
Prüfen
dig +short NS ihre-firma.de
dig +norec @ns1.example-dns.net ihre-firma.de SOA
Die zweite Abfrage muss mit gesetztem aa-Flag (authoritative answer) antworten. Die Seriennummer im SOA sollte auf allen Nameservern gleich sein.