DNS-Glossar
Was ist DNS-Delegierung?
Die DNS-Delegierung ist ein DNS-Mechanismus, der die Verantwortung für eine Subdomain von einer übergeordneten Zone auf eine andere Gruppe autoritativer Nameserver überträgt. Dies geschieht über NS-Einträge in der übergeordneten Zone, die auf die Server der untergeordneten Zone verweisen, sodass Resolver den Verweisen entlang der Namensraumhierarchie folgen.
Die wichtigsten ErkenntnisseDie wichtigsten Erkenntnisse werden mithilfe von KI generiert. Da automatisierte Zusammenfassungen gelegentlich Fehler enthalten oder wichtige Zusammenhänge auslassen können, sollten Sie für vollständige Informationen stets den vollständigen Blogbeitrag lesen.DNS delegation is a hierarchical mechanism that transfers authority for a subdomain to a different set of authoritative name servers through NS records published in the parent zone, enabling the DNS namespace to scale by distributing zone management responsibility across multiple administrative teams. The article explains how delegation works through referrals, the critical role of matching NS records between parent and child zones, and the importance of glue records when nameserver hostnames reside within delegated subdomains. Poorly managed delegation causes common DNS failures such as lame delegations, mismatched NS record sets, and missing glue records, which can result in intermittent resolution failures, timeouts, and security vulnerabilities that require regular audits and monitoring to prevent.
So funktioniert die DNS-Delegierung
Die Delegierung funktioniert so, dass in der übergeordneten Zone Verweise platziert werden, die den Resolvern mitteilen, wo sich die autoritativen Server der untergeordneten Zone befinden. Die untergeordnete Zone beantwortet dann alle Anfragen für Namen unterhalb des Delegierungspunkts.
- Erstellen der untergeordneten Zone: Der Beauftragte richtet auf seinen eigenen autoritativen Nameservern eine Zone für die Subdomain ein, z. B. sales.example.com, und lädt die Einträge für diese Zone hoch.
- NS-Einträge zur übergeordneten Zone hinzufügen: Der Administrator der übergeordneten Zone fügt am Delegationspunkt NS-Einträge hinzu, die die autoritativen Server der untergeordneten Zone benennen.
- Fügen Sie bei Bedarf Glue-Einträge hinzu: Befindet sich der Hostname eines Nameservers innerhalb der delegierten Subdomain, veröffentlicht die übergeordnete Zone auch Adresseinträge dafür, sogenannte Glue-Einträge, damit Resolver ihn ohne zirkuläre Suche erreichen können.
- Der Resolver folgt der Weiterleitung: Wenn ein Resolver die Server der übergeordneten Zone nach einem Namen in der Subdomain abfragt, geben diese anstelle einer Antwort eine Weiterleitung zurück, die die NS-Einträge enthält.
- Antwort der untergeordneten Server: Der Resolver fragt einen der genannten Server ab, der autoritativ für die Subdomain antwortet.
Die übergeordnete Zone enthält außer den NS- und Glue-Einträgen keine weiteren Daten der untergeordneten Zone, sodass diese ihre Einträge frei ändern kann. Die NS-Einträge in der untergeordneten Zone sollten mit denen in der übergeordneten Zone übereinstimmen, da es sonst zu Inkonsistenzen bei der Auflösung kommen kann. Bei Verwendung von DNSSEC veröffentlicht die übergeordnete Zone zudem einen DS-Eintrag, um die Vertrauenskette mit der untergeordneten Zone zu verknüpfen.
Häufige Probleme bei der DNS-Delegierung
Die übergeordnete Zone listet NS-Einträge für Server auf, die keine autoritativen Antworten für die untergeordnete Zone liefern – häufig nach einer Anbieterwechsel oder bei einem außer Betrieb genommenen Server. Resolver erhalten bei einigen Abfragen die Antwort „SERVFAIL“ oder es kommt zu Zeitüberschreitungen, wobei die Fehler sporadisch erscheinen, da sie davon abhängen, welcher der aufgeführten Server ausgewählt wird.
Die NS-Einträge in der übergeordneten Zone unterscheiden sich von denen in der untergeordneten Zone, meist weil eine Seite aktualisiert wurde, die andere jedoch nicht. Verschiedene Resolver speichern unterschiedliche Sätze im Cache, sodass das Verhalten variiert und Änderungen nur langsam wirksam werden.
Ein Nameserver innerhalb der delegierten Zone hat keinen Glue-Eintrag in der übergeordneten Zone, oder der Glue-Eintrag enthält eine veraltete IP-Adresse. Resolver können die untergeordneten Server nicht erreichen, und die gesamte Subdomain lässt sich nach einer Servernummerierung nicht mehr auflösen.
Die übergeordnete Zone enthält weiterhin einen DS-Eintrag für einen Schlüssel, den die untergeordnete Zone nicht mehr verwendet, beispielsweise nach einem Schlüssel-Rollover oder einem Wechsel zu einem anderen Provider. Validierende Resolver geben für die Subdomain den Status „SERVFAIL“ zurück, während nicht validierende Resolver normal antworten.
Verwandte Begriffe
Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke
Entdecken Sie IP-Management-Lösungen für geregelte, auditfähige IPAM-Workflows. Ermöglichen Sie bereichsbezogene Genehmigungen und lückenlose…
Content Hub Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen
Machen Sie sich mit den sieben Schichten des OSI-Modells vertraut und erfahren Sie, wie DNS und IP-Adressierung in dieses Modell eingebunden sind. Lernen…
Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke
Skalieren Sie DNS und IPAM für Dual-Stack-Unternehmensnetzwerke. Erfahren Sie, wie Micetro Teams bei der Verwaltung von IPv6-Migrationen mit integrierten…
Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines
Durch die Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte IaC-Pipelines mit Micetro werden Adress- und Eintragsänderungen zu versionierten,…
Podcast Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert
KI verändert die Netzwerkautomatisierung, doch eine sichere Implementierung erfordert solide Softwarepraktiken, Tests und Fachwissen, um Ausfälle zu…
Podcast Podcast: Why Open Platforms Matter in Network Operations
Open platforms and API-first architecture enable intelligent network operations, automation, and AI-driven workflows across hybrid enterprises.
Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen
Erfahren Sie, wie LiveAssist, das KI-gestützte Add-on für LiveNX, Ihre Netzwerkdaten in schnelle, gezielte Antworten umwandelt – mit einem Mehrwert, den…
Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht
Manuelle DDI-Arbeiten kosten die befragten Teams 1.040 Stunden pro Jahr. Hier erfahren Sie, wie Sie die Kosten für eine Verlängerung, den…