Was ist eine rekursive DNS-Abfrage?

Eine rekursive DNS-Abfrage ist eine Anfrage, die einen Nameserver anweist, eine endgültige Antwort oder einen Fehler anstelle einer Weiterleitung zurückzugeben. Der Server kontaktiert bei Bedarf andere Server, um den Namen aufzulösen. Clients signalisieren dies durch Setzen des RD-Flags.

Was ist der Unterschied zwischen rekursiven und iterativen DNS-Abfragen?

Bei einer rekursiven Abfrage übernimmt der Server die gesamte Auflösung, während er bei einer iterativen Abfrage nur die ihm bekannten Informationen zurückgibt, häufig eine Weiterleitung. Stub-Resolver senden in der Regel rekursive Abfragen, während rekursive Resolver iterative Abfragen an autoritative Server senden.

Welche DNS-Server akzeptieren rekursive Abfragen?

Rekursive Resolver akzeptieren diese Anfragen und sind in der Regel ausschließlich für interne oder benutzerdefinierte Clients konfiguriert. Server, die ausschließlich als autoritative Server fungieren, bieten in der Regel keine Rekursion an.

Was bewirkt das RD-Flag in einer DNS-Abfrage?

Das „Recursion Desired“ (RD)-Flag fordert den Server auf, den Namen im Auftrag des Clients vollständig aufzulösen. Der Server signalisiert die Unterstützung von Rekursion, indem er in seiner Antwort das „Recursion Available“-Flag setzt.

Warum sollte die Rekursion auf einem DNS-Server eingeschränkt werden?

Uneingeschränkte Rekursion führt zu einem offenen Resolver, den Angreifer für Reflexions- und Verstärkungsangriffe missbrauchen können. Die Beschränkung der Rekursion auf vertrauenswürdige Clients schützt zudem die Kapazität des Resolvers und den Cache.

Glossar
Was ist eine rekursive Abfrage?

DNS-Glossar

Was ist eine rekursive Abfrage?

Eine rekursive Abfrage ist eine DNS-Anfrage, bei der ein Nameserver aufgefordert wird, entweder die vollständige Antwort oder eine Fehlermeldung zurückzugeben, anstatt eine Weiterleitung. Der Server löst den Namen im Auftrag des Clients auf und fragt dabei bei Bedarf andere autoritative Server ab, wie in RFC 1034 beschrieben.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

A recursive DNS query is a request in which a name server resolves a domain name on the client's behalf by contacting other authoritative servers as needed, returning either a final answer or an error rather than a referral. The client signals this by setting the RD flag in the DNS message header, and the resolver stores the result according to the record's TTL before returning it with the RA flag set. Because nearly every DNS lookup begins as a recursive query, resolver performance, availability, and security directly impact application reliability, making proper access control and cache management critical to prevent open resolver abuse and ensure consistent lookups across client networks.

Recursive resolvers must restrict recursion to known internal or customer client networks using access control lists to prevent open resolver exposure that attackers exploit for reflection and amplification denial-of-service attacks.
Common recursive query failures include REFUSED responses when client subnets are missing from the resolver’s allowed list, cache misses after restart that slow all lookups until warm, and SERVFAIL errors caused by unreachable authoritative servers or lame delegations.
The recursive resolver path carries security risks from cache poisoning that DNSSEC validation, source port randomization, and query ID randomization help mitigate, and requires separate infrastructure from authoritative servers for simpler scaling, security, and monitoring.

Rekursive Abfrage auf einen Blick

Attribute	Value
Full name	Recursive query
Category	DNS query type
Defined in	RFC 1034 and RFC 1035, with resolver behavior updated in later RFCs
Protocol and port	DNS over UDP and TCP, port 53
OSI layer	Layer 7 (application)
Primary use	Letting stub resolvers get a final answer from a recursive resolver without following referrals themselves
Related terms	Iterative query, Recursive resolver, Stub resolver, Authoritative name server, DNS caching

So funktioniert eine rekursive Abfrage

Bei einer rekursiven Abfrage setzt der Client das Flag „Recursion Desired“ (RD) im Header der DNS-Nachricht. Der empfangende Server übernimmt, sofern er Rekursion anbietet, die Auflösung des Namens und gibt nur das Endergebnis zurück.

Der Client sendet die Anfrage: Ein Stub-Resolver auf dem Client sendet eine Anfrage mit gesetztem RD-Flag an seinen konfigurierten rekursiven Resolver.
Der Resolver überprüft seinen Cache: Der rekursive Resolver sucht nach einer gültigen, im Cache gespeicherten Antwort. Ist eine vorhanden, gibt er diese sofort zurück.
Der Resolver fragt andere Server ab: Bei einem Cache-Miss sendet der Resolver iterative Abfragen, in der Regel beginnend bei einem Root-Server. Er folgt den Verweisen zu Top-Level-Domain-Servern und anschließend zum autoritativen Server für die Zone.
Der Resolver speichert das Ergebnis im Cache: Der Resolver speichert die Antwort für die Dauer, die durch die Time-to-Live (TTL) des Eintrags vorgegeben ist.
Antwort des Resolvers an den Client: Der Resolver gibt die endgültige Antwort oder einen Fehler wie NXDOMAIN oder SERVFAIL zurück, wobei das Flag „Recursion Available“ (RA) gesetzt ist.

Der Client sieht eine Anfrage und eine Antwort, unabhängig davon, wie viele Server der Resolver kontaktiert. Ein Server kann die Rekursion ablehnen; in diesem Fall antwortet er nur anhand seiner eigenen Daten oder gibt eine Weiterleitung oder eine Ablehnung zurück. Server, die ausschließlich als Autoritätsserver fungieren, bieten in der Regel keine Rekursion an.

Warum rekursive Abfragen in Unternehmensnetzwerken wichtig sind

Nahezu jede DNS-Abfrage, die ein Endgerät durchführt, beginnt als rekursive Abfrage, sodass der rekursive Resolver im Pfad fast des gesamten Anwendungsdatenverkehrs liegt. Seine Leistung, Cache-Trefferquote und Verfügbarkeit wirken sich direkt darauf aus, wie schnell und zuverlässig Nutzer auf Dienste zugreifen können. Ist der Resolver langsam oder ausgefallen, scheinen Anwendungen zu versagen, selbst wenn das Netzwerk und die Server einwandfrei funktionieren.

Rekursion hat zudem Auswirkungen auf die Sicherheit. Ein Resolver, der rekursive Abfragen von beliebigen Quellen im Internet akzeptiert, ist ein offener Resolver, den Angreifer für Reflection- und Amplification-Denial-of-Service-Angriffe missbrauchen können. Die Beschränkung der Rekursion auf bekannte Client-Netzwerke ist eine Standardmaßnahme zur Absicherung. Resolver sind zudem Ziele für Cache-Poisoning, was durch DNSSEC-Validierung, Randomisierung der Quellports und Randomisierung der Abfrage-IDs gemindert werden kann.

Mangelhafte Verwaltung äußert sich auf verschiedene Weise: Resolver mit zu geringer Kapazität, Forwarder, die auf nicht erreichbare Server verweisen, veraltete oder inkonsistente Regeln für die bedingte Weiterleitung sowie fehlende Abfrageprotokollierung, wodurch keine Aufzeichnungen darüber entstehen, was Clients abgefragt haben. Die Trennung von rekursiven Resolvern und autoritativen Servern, wie sie gängige Praxis ist, vereinfacht die Sicherung, Skalierung und Überwachung der jeweiligen Rolle.

Wie sich „rekursive Abfrage“ im Vergleich zu verwandten Begriffen darstellt

Rekursive Abfrage vs. iterative Abfrage

Bei einer rekursiven Abfrage wird der Server aufgefordert, die gesamte Arbeit zu übernehmen und eine endgültige Antwort oder einen Fehler zurückzugeben, während bei einer iterativen Abfrage der Server seine beste Teilantwort zurückgibt, beispielsweise eine Weiterleitung an einen anderen Nameserver. Was ist eine iterative (oder nicht-rekursive) Abfrage?

Attribute	Recursive query	Iterative query
Who does the resolution work	The queried server	The querying client or resolver
Typical response	Final answer or error	Answer or referral to a closer name server
RD flag in query	Set	Normally not set
Typical sender	Stub resolver to recursive resolver	Recursive resolver to authoritative servers
Server must support recursion	Yes	No

Häufige Probleme bei rekursiven Abfragen

Ein Resolver, der rekursive Abfragen von beliebigen Quelladressen beantwortet, kann für Reflexions- und Verstärkungsangriffe genutzt werden. Beschränken Sie die Rekursion mithilfe von Zugriffskontrolllisten auf interne Client-Bereiche und stellen Sie sicher, dass der Resolver vom Internet aus nicht erreichbar ist.

Clients erhalten „REFUSED“-Antworten, wenn ihr Subnetz nicht in der Zulassungsliste des Resolvers enthalten ist. Dies tritt häufig auf, wenn ein neues Subnetz bereitgestellt wird und die Zugriffsliste nicht aktualisiert wird.

Nach einem Neustart oder einer Cache-Leerung wird jede Abfrage zu einem Cache-Miss und löst eine vollständige Suche ab der Wurzel aus. Benutzer erleben langsame Ladezeiten, bis sich der Cache wieder aufgewärmt hat.

Wenn ein autoritativer Server für eine Zone nicht erreichbar ist oder unzureichende Delegationen zurückgibt, kann der Resolver die Auflösung nicht abschließen und gibt „SERVFAIL“ zurück. Der Client nimmt lediglich einen Fehler wahr, sodass der Fehler erst durch die Rückverfolgung der iterativen Abfragen auf dem Resolver ermittelt werden kann.

Ein Resolver speichert Antworten so lange, bis die TTL abläuft, sodass ein geänderter Eintrag für manche Clients möglicherweise erst später erscheint. Techniker beobachten nach einer Änderung inkonsistente Ergebnisse zwischen den Resolvern, bis die Caches ablaufen oder geleert werden.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Kontaktieren Sie uns

Das intelligente Netzwerk

Was ist eine rekursive Abfrage?

Sind Sie bereit, Ihre DDI zu vereinfachen?

Rekursive Abfrage auf einen Blick

So funktioniert eine rekursive Abfrage

Warum rekursive Abfragen in Unternehmensnetzwerken wichtig sind

Wie sich „rekursive Abfrage“ im Vergleich zu verwandten Begriffen darstellt

Rekursive Abfrage vs. iterative Abfrage

Häufige Probleme bei rekursiven Abfragen

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

FAQ zu rekursiven Abfragen

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel