Was macht ein rekursiver DNS-Server?

Ein rekursiver DNS-Server ermittelt die Antwort auf die DNS-Anfrage eines Clients, indem er andere DNS-Server abfragt, und gibt anschließend das Ergebnis zurück. Er speichert die erhaltenen Informationen im Cache, sodass wiederholte Abfragen schneller beantwortet werden können.

Was ist der Unterschied zwischen einem rekursiven und einem autoritativen DNS-Server?

Ein rekursiver Server führt Namensauflösungen für Clients durch, während ein autoritativer Server die Einträge für bestimmte Zonen verwaltet. In vielen Netzwerken werden beide Rollen auf separaten Servern ausgeführt, damit die Namensauflösung und die Veröffentlichung unabhängig voneinander gesichert und skaliert werden können.

Sollte ein rekursiver DNS-Server für das Internet zugänglich sein?

Nein, die Rekursion sollte auf die Clients beschränkt sein, die der Server bedienen soll. Ein offener Resolver kann bei DNS-Amplifikationsangriffen missbraucht werden und verursacht zusätzliche Last aus unbekannten Quellen.

Wie finde ich heraus, welchen rekursiven DNS-Server ein Gerät verwendet?

Überprüfen Sie die Netzwerkkonfiguration des Geräts, die in der Regel über DHCP bereitgestellt wird. Tools wie „ipconfig /all“ unter Windows oder „resolvectl status“ auf vielen Linux-Systemen listen die konfigurierten DNS-Server auf.

Kann ein rekursiver DNS-Server auch als Forwarder fungieren?

Ja, ein rekursiver Server kann so konfiguriert werden, dass er einige oder alle Anfragen an einen anderen Resolver weiterleitet, anstatt die Hierarchie selbst zu durchlaufen. Er speichert die erhaltenen Antworten weiterhin im Cache und gibt sie an die Clients zurück.

Glossar
Was ist ein rekursiver DNS-Server?

DNS-Glossar

Was ist ein rekursiver DNS-Server?

Ein rekursiver DNS-Server ist ein DNS-Server, der im Auftrag von Client-Geräten Domainnamen in IP-Adressen auflöst. Er fragt bei Bedarf Root-, Top-Level-Domain- und autoritative Server ab, gibt die endgültige Antwort an den Client zurück und speichert die Ergebnisse im Cache, um spätere Anfragen schneller beantworten zu können.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

A recursive DNS server resolves domain names to IP addresses on behalf of client devices by querying the DNS hierarchy, caching results, and returning answers to clients—a critical function that sits in the path of nearly all network traffic and serves as an important security control point. The server processes client queries through a multi-step workflow: checking its cache, querying root and top-level domain servers, following referrals to authoritative servers, and caching responses according to their time-to-live values. Proper management practices including access control lists, DNSSEC validation, redundant servers, and query logging are essential to mitigate security risks such as open resolver abuse, cache poisoning, and intermittent failures that can disrupt application connectivity even when the underlying network is healthy.

Recursive DNS servers cache answers and reuse cached referrals to reduce load on authoritative servers and shorten response times, though cached data persists until its time-to-live expires, affecting how quickly record changes propagate to users.
An open recursive resolver that answers queries from any source can be exploited for reflection and amplification attacks, making access control lists and internet-facing restrictions essential security practices.
Recursive servers differ from authoritative servers in that they resolve names on behalf of clients by querying other DNS servers, while authoritative servers publish and hold definitive zone data only for zones they host.

Rekursiver DNS-Server auf einen Blick

Attribute	Value
Full name	Recursive DNS server
Category	DNS server role
Defined in	RFC 1034 and RFC 1035, with the resolver role clarified in RFC 9499
Protocol and port	DNS over UDP and TCP, port 53
OSI layer	Application layer (layer 7)
Primary use	Resolving domain names for client devices and caching the answers
Related terms	Authoritative DNS server, DNS resolver, DNS cache, Root server, Stub resolver

So funktioniert ein rekursiver DNS-Server

Lorem Ipsum (optional)
Lorem Ipsum (optional)
Lorem Ipsum (optional)
Lorem Ipsum (optional)
Lorem Ipsum (optional)
Lorem Ipsum (optional)

Echte Server verwenden zudem zwischengespeicherte Weiterleitungen wieder, sodass Root- und Top-Level-Domain-Server oft übersprungen werden. Viele Implementierungen können Anfragen an einen übergeordneten rekursiven Server weiterleiten, anstatt sie selbst iterativ aufzulösen.

Warum rekursive DNS-Server in Unternehmensnetzwerken wichtig sind

Nahezu jede Netzwerkverbindung beginnt mit einer DNS-Abfrage, sodass der rekursive Server im Datenfluss fast des gesamten Client-Verkehrs liegt. Ist er langsam oder nicht verfügbar, scheinen Anwendungen zu versagen, selbst wenn das Netzwerk einwandfrei funktioniert. Caching entlastet die autoritativen Server und verkürzt die Antwortzeiten, doch zwischengespeicherte Daten bleiben so lange bestehen, bis ihre Gültigkeitsdauer abläuft, was sich darauf auswirkt, wie schnell Änderungen an Einträgen die Nutzer erreichen. Die Rollen von Resolvern und Servern sind in RFC 9499 ^[1] definiert, und das ursprüngliche Auflösungsverhalten wird in RFC 1034 ^[2] beschrieben.

Rekursive Server sind ein Sicherheitskontrollpunkt. Ein offener Resolver, der Anfragen aus beliebigen Quellen beantwortet, kann für Reflection- und Amplification-Angriffe missbraucht werden, und bei einem Resolver, der gefälschte Antworten akzeptiert, kann der Cache vergiftet werden. DNSSEC ermöglicht es einem validierenden rekursiven Server, zu überprüfen, ob Antworten vom Zoneninhaber signiert wurden, wie in RFC 4033 ^[3] festgelegt. Da der Server jede Domain sieht, die ein Client abfragt, ist er auch ein naheliegender Ort für die Anwendung von Filterung und Protokollierung.

Mangelhafte Verwaltung äußert sich in inkonsistenten Antworten, Single Points of Failure und blinden Flecken bei der Reaktion auf Vorfälle. Die Einschränkung der abfragenden Clients, der Betrieb redundanter Server, die Aktivierung der Validierung und das Führen von Abfrageprotokollen sind gängige Praktiken, die diese Risiken verringern.

Wie sich ein rekursiver DNS-Server im Vergleich zu verwandten Begriffen darstellt

Rekursiver DNS-Server vs. autoritativer DNS-Server

Ein rekursiver DNS-Server sucht Antworten für Clients, indem er andere Server abfragt, während ein autoritativer DNS-Server die Zonendaten verwaltet und nur für die von ihm gehosteten Zonen definitive Antworten liefert. Was ist ein autoritativer DNS-Server?

Attribute	Recursive DNS server	Authoritative DNS server
Main role	Resolves names on behalf of clients	Publishes records for its own zones
Source of answers	Other DNS servers and its cache	Locally configured zone data
Typical clients	Stub resolvers and forwarding servers	Recursive resolvers
Caching of other zones	Yes, until the TTL expires	Not part of its role
Authoritative answer flag	Not set for answers from other servers	Set for answers from its own zones

Rekursiver DNS-Server vs. DNS-Stub-Resolver

Ein Stub-Resolver ist eine kleine clientseitige Komponente, die Anfragen an einen konfigurierten Server sendet, während ein rekursiver DNS-Server die vollständige Auflösung und Zwischenspeicherung in seinem Auftrag durchführt. Was ist ein DNS-Stub-Resolver?

Attribute	Recursive DNS server	DNS stub resolver
Location	Network server, shared by many clients	Inside the host operating system or application
Follows referrals	Yes	No
Cache scope	Shared across all clients	Local to one host, if present
Queries sent to	Root, TLD and authoritative servers	A configured recursive server

Häufige Probleme mit rekursiven DNS-Servern

Ein rekursiver Server, der Anfragen von beliebigen Quelladressen beantwortet, kann für Reflection- und Amplification-Angriffe gegen Dritte missbraucht werden. Beschränken Sie die Rekursion mithilfe von Zugriffskontrolllisten auf interne Client-Adressbereiche und stellen Sie sicher, dass der Server vom Internet aus nicht erreichbar ist.

Zwischengespeicherte Einträge bleiben bis zum Ablauf der TTL bestehen, sodass ein geänderter Eintrag für einige Nutzer möglicherweise weiterhin auf die alte Adresse verweist. Das Leeren des Caches behebt das Problem, und die Aktivierung der DNSSEC-Validierung verringert das Risiko, gefälschte Antworten zu akzeptieren.

Wenn ein Server an einen vorgelagerten Resolver weiterleitet, der langsam ist, gefiltert wird oder ausgefallen ist, kommt es bei den Clients zu zeitweiligen Timeouts und SERVFAIL-Antworten. Testen Sie den Weiterleiter direkt und stellen Sie sicher, dass der Server auf vollständige Rekursion oder einen sekundären Weiterleiter ausweichen kann.

Firewalls, die nur den UDP- Port 53 zulassen, führen dazu, dass Antworten abgeschnitten werden und ein TCP- Wiederholungsversuch erforderlich ist; außerdem können große DNSSEC-Antworten fehlschlagen. Erlauben Sie den TCP-Port 53 zwischen dem Resolver und sowohl den Clients als auch den Upstream-Servern.

Interne Namen können nicht aufgelöst werden, wenn der rekursive Server über keine Weiterleitungs- oder Stub-Zone für den privaten Namensraum verfügt und stattdessen das öffentliche Internet abfragt. Clients erhalten dann die Antwort „NXDOMAIN“ für Namen, die nur innerhalb des Netzwerks existieren.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Sprechen Sie uns an

Das intelligente Netzwerk

Was ist ein rekursiver DNS-Server?

Möchten Sie sehen, wie das in der Praxis funktioniert?

Rekursiver DNS-Server auf einen Blick

So funktioniert ein rekursiver DNS-Server

Warum rekursive DNS-Server in Unternehmensnetzwerken wichtig sind

Wie sich ein rekursiver DNS-Server im Vergleich zu verwandten Begriffen darstellt

Rekursiver DNS-Server vs. autoritativer DNS-Server

Rekursiver DNS-Server vs. DNS-Stub-Resolver

Häufige Probleme mit rekursiven DNS-Servern

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

FAQ zu rekursiven DNS-Servern

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel