DNS-Glossar
Was ist eine DNS-Zone?
Eine DNS-Zone ist ein administrativer Teil des Domainnamensraums, der von einem einzelnen Verwalter kontrolliert und als Satz von Ressourceneinträgen veröffentlicht wird. Sie beginnt bei einem delegierten Domainnamen, umfasst alles darunter, was nicht anderweitig delegiert wurde, und wird von autoritativen Nameservern bereitgestellt.
Die wichtigsten ErkenntnisseDie wichtigsten Erkenntnisse werden mithilfe von KI generiert. Da automatisierte Zusammenfassungen gelegentlich Fehler enthalten oder wichtige Zusammenhänge auslassen können, sollten Sie für vollständige Informationen stets den vollständigen Blogbeitrag lesen.A DNS zone is an administratively managed portion of the domain namespace delegated to a set of authoritative name servers, defined by a start of authority (SOA) record and serving as the unit of administration for DNS resource records. Unlike a domain, which represents the entire subtree below a delegated name, a zone covers only the portion of that domain that has not been further delegated, and large enterprises managing thousands of zones must ensure consistent ownership, proper server placement across separate networks, and protection against configuration errors and security exposures. Proper zone design, including multiple authoritative servers, restricted zone transfers authenticated with TSIG or transaction signatures, DNSSEC signing, and careful handling of delegations and SOA serial numbers, is essential to prevent resolution failures, data disclosure, and subdomain takeover vulnerabilities that can be difficult to troubleshoot and trace.
So funktioniert eine DNS-Zone
Eine Zone wird erstellt, wenn eine übergeordnete Zone einen Domainnamen an eine Gruppe von Nameservern delegiert. Die Zone enthält dann die Einträge für diesen Namen und für alle Subdomains, die nicht weiter delegiert sind.
- Delegierung: Die übergeordnete Zone veröffentlicht NS-Einträge, die die für die untergeordnete Domäne autoritativen Server benennen. Dadurch wird die administrative Verantwortung für diesen Teil des Namensraums an den Verwalter der untergeordneten Zone übertragen.
- Zonendefinition: Der Administrator erstellt eine Zonendatei oder einen Datenbankeintrag, der mit einem SOA-Eintrag (Start of Authority) beginnt. Darin sind außerdem NS-Einträge und die anderen Ressourceneinträge für Namen in der Zone aufgeführt, wie beispielsweise A, AAAA, MX und CNAME.
- Veröffentlichung: Ein oder mehrere autoritative Nameserver laden die Zone und beantworten Anfragen zu Namen innerhalb dieser Zone mit autoritativen Daten.
- Replikation: Sekundärserver kopieren die Zone mithilfe von Zonentransfers von einem Primärserver. Sie vergleichen die Seriennummer im SOA-Eintrag, um festzustellen, ob eine neuere Version vorliegt.
- Auflösung: Ein rekursiver Resolver folgt den Delegierungen von der Root nach unten, bis er einen für die Zone autoritativen Server erreicht, und fragt diesen Server dann nach dem Eintrag.
Eine Zone ist nicht dasselbe wie eine Domain. Eine Domain ist ein Teilbaum des Namensraums, während eine Zone der Teil dieses Teilbaums ist, der als eine Einheit verwaltet wird; daher erstreckt sich eine Domain mit delegierten Subdomains über mehrere Zonen. Zonendateien können auch durch datenbankgestützten Speicher ersetzt werden, ohne das Verhalten der Zone zu verändern.
Häufige Probleme mit DNS-Zonen
Die übergeordnete Zone listet NS-Einträge für Server auf, die keine autoritativen Antworten für die untergeordnete Zone liefern – häufig, nachdem ein Server außer Betrieb genommen wurde oder eine Zone nie geladen wurde. Resolver erhalten bei einigen Abfragen die Meldung „SERVFAIL“ oder es kommt zu Zeitüberschreitungen, je nachdem, welchen Server sie auswählen.
Ein Administrator bearbeitet eine Zone, lässt jedoch die SOA-Seriennummer unverändert, sodass sekundäre Server niemals eine neuere Version sehen und diese auch nicht übertragen. Clients erhalten unterschiedliche Antworten, je nachdem, welcher autoritative Server antwortet.
Die Nameserver einer untergeordneten Zone befinden sich innerhalb der untergeordneten Zone selbst, aber die übergeordnete Zone veröffentlicht keine Glue-Adressen. Resolver können die Server nicht finden, und die gesamte Zone ist nicht mehr erreichbar.
Ein Primärserver erlaubt Übertragungen an jeden Anfragenden, sodass jeder jeden Eintrag in der Zone herunterladen und interne Hosts zuordnen kann. Beschränken Sie Übertragungen auf gelistete Sekundärserver und authentifizieren Sie diese mit TSIG.
Interne und externe Versionen derselben Zone werden separat bearbeitet und weichen nach und nach voneinander ab. Benutzer sehen je nach Abfrageort unterschiedliche Adressen für denselben Namen, was die Fehlerbehebung verlangsamt.
Verwandte Begriffe
Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke
Entdecken Sie IP-Management-Lösungen für geregelte, auditfähige IPAM-Workflows. Ermöglichen Sie bereichsbezogene Genehmigungen und lückenlose…
Content Hub Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen
Machen Sie sich mit den sieben Schichten des OSI-Modells vertraut und erfahren Sie, wie DNS und IP-Adressierung in dieses Modell eingebunden sind. Lernen…
Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke
Skalieren Sie DNS und IPAM für Dual-Stack-Unternehmensnetzwerke. Erfahren Sie, wie Micetro Teams bei der Verwaltung von IPv6-Migrationen mit integrierten…
Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines
Durch die Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte IaC-Pipelines mit Micetro werden Adress- und Eintragsänderungen zu versionierten,…
Podcast Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert
KI verändert die Netzwerkautomatisierung, doch eine sichere Implementierung erfordert solide Softwarepraktiken, Tests und Fachwissen, um Ausfälle zu…
Podcast Podcast: Why Open Platforms Matter in Network Operations
Open platforms and API-first architecture enable intelligent network operations, automation, and AI-driven workflows across hybrid enterprises.
Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen
Erfahren Sie, wie LiveAssist, das KI-gestützte Add-on für LiveNX, Ihre Netzwerkdaten in schnelle, gezielte Antworten umwandelt – mit einem Mehrwert, den…
Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht
Manuelle DDI-Arbeiten kosten die befragten Teams 1.040 Stunden pro Jahr. Hier erfahren Sie, wie Sie die Kosten für eine Verlängerung, den…