Eine RPZ (Response Policy Zone) ist eine DNS-Zone, deren Einträge anstelle von normalen Daten Richtlinienregeln für einen rekursiven Resolver enthalten. Der Resolver nutzt diese Regeln, um Antworten für ausgewählte Namen zu ändern oder zu blockieren. Dies ist der Mechanismus, der vielen DNS-Firewall-Funktionen zugrunde liegt.

Was bedeutet RPZ im Zusammenhang mit DNS?

Im DNS steht RPZ für „Response Policy Zone“. Der Begriff wird sowohl für das Zonenformat als auch für die Resolver-Funktion verwendet, die dieses ausliest. Außerhalb des DNS beziehen sich dieselben Buchstaben auf ganz andere Dinge, wie beispielsweise Sanitärgeräte.

Wie richtet man ein DNS-RPZ ein?

Sie erstellen eine Richtlinienzone oder abonnieren eine vorhandene und konfigurieren anschließend den rekursiven Resolver so, dass er diese lädt und auf Antworten anwendet. Bei den meisten Resolvern bedeutet dies, die Zone zu deklarieren, sie in einer Antwortrichtlinieneinstellung zu benennen und eine sekundäre Übertragung von der Quelle auszuwählen. Testen Sie die Funktion mit einem bekanntermaßen blockierten Namen, bevor Sie sich darauf verlassen.

Wie testet man ein RPZ?

Fragen Sie über den Resolver einen Namen ab, von dem Sie wissen, dass er in der Richtlinienzone aufgeführt ist, und überprüfen Sie, ob die Antwort mit der konfigurierten Aktion übereinstimmt. Vergleichen Sie dies mit derselben Abfrage, die an einen Resolver gesendet wurde, der die Zone nicht verwendet. Überprüfen Sie außerdem die Resolver-Protokolle, um sicherzustellen, dass die Übereinstimmung protokolliert wurde.

Ersetzt RPZ eine Firewall?

Nein, RPZ ersetzt keine Firewall. Es wirkt nur bei DNS-Abfragen, die über den Resolver laufen, sodass Datenverkehr zu einer reinen IP-Adresse oder über einen anderen Resolver nicht abgedeckt ist. Es funktioniert am besten als eine zusätzliche Schutzebene neben Netzwerk- und Endpunktkontrollen.

Glossar
Was ist RPZ (Response Policy Zone)?

DNS-Glossar

Was ist RPZ (Response Policy Zone)?

Die Response Policy Zone (RPZ) ist ein DNS-Sicherheitsmechanismus, mit dem ein rekursiver Resolver Richtlinien auf die von ihm zurückgegebenen Antworten anwenden kann. Sie speichert Regeln als Einträge in einer gewöhnlichen DNS-Zone, sodass Administratoren Abfragen für ausgewählte Namen und Adressen blockieren, umleiten oder zulassen und die Regeln per Zonentransfer verteilen können.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

Response Policy Zone (RPZ) is a DNS security mechanism that enables recursive resolvers to apply policy rules to DNS responses by storing enforcement rules as records in ordinary DNS zones, allowing administrators to block, redirect, or allow queries for specific domains and distribute these rules organization-wide through standard zone transfers. RPZ provides early threat interruption by blocking lookups to known malware, phishing, or command-and-control domains before connections are established, while delivering centralized policy enforcement across thousands of devices without requiring endpoint software. However, effective RPZ deployment requires careful management including rule testing, allow-list maintenance, zone transfer monitoring, and log review to avoid disruptions from overbroad rules, stale transfers, or resolver bypass through alternate DNS paths.

RPZ stores policy rules as DNS zone records and distributes them to resolvers via standard zone transfer, enabling continuous updates without manual configuration or resolver restarts.
Poor RPZ management such as overly broad feed entries, misconfigured zone order, or failed transfers can block legitimate services, cause help desk disruption, and leave resolvers unprotected against new threats.
RPZ operates only at the DNS resolution layer and cannot prevent connections to raw IP addresses or block traffic through public resolvers, so it must be combined with network and endpoint controls for comprehensive security.

RPZ auf einen Blick

Attribute	Value
Full name	Response Policy Zone
Category	DNS security control
Primary use	Applying domain-based policy to recursive resolver answers, such as blocking known malicious domains
Related terms	Recursive resolver, DNS zone, Zone transfer, DNS firewall, NXDOMAIN, DNS sinkhole

So funktioniert RPZ

Eine RPZ ist eine normale DNS-Zone, deren Einträge anstelle von regulären Daten Richtlinien beschreiben. Ein Resolver, der für die Verwendung dieser Zone konfiguriert ist, überprüft deren Regeln, während er jede Antwort erstellt.

Veröffentlichung der Richtlinienzone: Ein Administrator oder ein Feed-Anbieter erstellt eine Zone, in der die Namen der Eigentümer und die Datensatzdaten Regeln kodieren, wie beispielsweise einen auslösenden Domainnamen und die auszuführende Aktion.
An Resolver verteilen: Resolver laden die Zone als sekundäre Zone über einen Standard-Zonentransfer, sodass Regelaktualisierungen sie ohne Neustart oder manuelle Änderungen erreichen.
Abgleich der Abfrage: Wenn ein Client einen Namen anfordert, vergleicht der Resolver den Abfragenamen und optional die zurückgegebenen Adressen oder Nameserver mit den Richtlinienregeln.
Maßnahme anwenden: Wenn eine Regel zutrifft, schreibt der Resolver die Antwort um. Übliche Maßnahmen sind die Rückgabe von „NXDOMAIN“, die Rückgabe einer leeren Antwort, die Rückgabe eines Umleitungsziels oder die unveränderte Weitergabe der Antwort.
Antwort zurückgeben: Der Client erhält die geänderte oder ursprüngliche Antwort und kann in der Regel nicht erkennen, dass eine Richtlinie angewendet wurde – außer anhand des daraus resultierenden Verhaltens.

Der Abgleich erfolgt nur auf Resolvern, die RPZ unterstützen und aktiviert haben, und Regeln können über mehrere Richtlinienzonen hinweg angeordnet werden, um eine Priorität festzulegen. Viele Resolver können Übereinstimmungen auch protokollieren, wodurch Sicherheitsteams einen Überblick darüber erhalten, welche Clients gesperrte Namen abgefragt haben.

Warum RPZ in Unternehmensnetzwerken wichtig ist

RPZ bietet Unternehmen die Möglichkeit, domänenbasierte Richtlinien auf dem Resolver durchzusetzen, an den jeder Client ohnehin bereits seine Abfragen sendet. Eine einzige Richtlinienzone kann Tausende von Geräten abdecken, einschließlich solcher, auf denen keine Endpunkt-Software ausgeführt werden kann. Da die Regeln als gewöhnliche DNS-Zonen verteilt werden, können Teams Threat-Intelligence-Feeds mit ihren eigenen Zulassungs- und Sperrlisten kombinieren und diese kontinuierlich aktualisieren.

Der Sicherheitsvorteil liegt in der frühzeitigen Unterbrechung. Das Blockieren oder Umleiten einer Abfrage an eine bekannte Malware-, Phishing- oder Command-and-Control-Domäne kann eine Verbindung unterbinden, bevor sie zustande kommt, und protokollierte Übereinstimmungen helfen dabei, infizierte Hosts anhand ihrer Abfragemuster zu identifizieren. RPZ arbeitet ausschließlich auf der DNS-Ebene, überprüft daher den Datenverkehr nicht und kann keine Clients stoppen, die sich direkt mit IP-Adressen verbinden oder Resolver nutzen, die außerhalb der Kontrolle der Organisation liegen.

Eine mangelhafte Verwaltung führt zu echten Störungen. Eine zu weit gefasste Regel oder ein fehlerhafter Feed-Eintrag kann legitime Dienste für die gesamte Organisation blockieren, und ein veralteter oder fehlgeschlagener Zonentransfer kann dazu führen, dass Resolver über veralteten Schutz verfügen. Umschriebene Antworten können zudem die DNSSEC-Validierung für Clients unterbrechen, die selbst eine Validierung durchführen. Teams sollten Regeln testen, Zulassungslisten führen, Übertragungen überwachen und Übereinstimmungsprotokolle regelmäßig überprüfen.

Wie sich RPZ im Vergleich zu verwandten Begriffen darstellt

RPZ vs. DNS-Sinkhole

Ein DNS-Sinkhole ist eine Technik, die für unerwünschte Namen eine kontrollierte Antwort zurückgibt, während RPZ eine standardisierte Methode zur Veröffentlichung und Verteilung der Regeln ist, die solche Antworten steuern können. Was ist ein DNS-Sinkhole?

Attribute	RPZ	DNS sinkhole
Nature	Policy format and distribution mechanism	Response technique
Rule storage	Records in a DNS zone	Depends on the implementation
Distribution	Zone transfer to secondary resolvers	Configured per resolver or by the product used
Typical outcome	NXDOMAIN, NODATA, passthru, drop, or a local data answer	Answer pointing to a monitored or inert address

RPZ vs. Protective DNS

„Protective DNS“ ist ein Sicherheitsdienst oder -ansatz, der böswillige Lookups filtert, während RPZ eine Resolver-Funktion ist, mit der diese Filterung umgesetzt werden kann. Was ist „Protective DNS“?

Häufige Probleme mit RPZ

Ein zu weit gefasster Feed-Eintrag, wie beispielsweise eine Shared-Hosting- oder Content-Delivery-Domain, kann nicht betroffene Websites blockieren und Helpdesk-Tickets auslösen. Fügen Sie für den betroffenen Namen eine Passthru-Regel in einer lokalen Richtlinienzone hinzu, die vor dem Feed platziert wird.

Wenn mehrere Richtlinienzonen konfiguriert sind, wertet der Resolver diese in der angegebenen Reihenfolge aus, sodass ein Feed, der vor der lokalen Zulassungsliste platziert ist, diese außer Kraft setzen kann. Techniker stellen fest, dass ein Name trotz eines Zulassungseintrags weiterhin blockiert wird, bis die Reihenfolge der Zonen korrigiert wird.

Wenn Zonentransfers von einem Feed-Anbieter aufgrund einer TSIG-Schlüssel-Diskrepanz, einer Firewall-Regel oder einer abgelaufenen Zugriffsliste fehlschlagen, stellt der Resolver die alte Zone weiterhin bereit, und neue Bedrohungen werden nicht blockiert. Überwachen Sie die Seriennummer der Zone im Vergleich zur primären Zone, um dies zu erkennen.

Sehr große Richtlinienzonen erhöhen den Speicherbedarf und die Ladezeit, und ein vollständiger Neuladevorgang nach einer Übertragung kann die Abfrageverarbeitung kurzzeitig verlangsamen. Symptome sind eine höhere Latenz oder ein Anstieg des Speicherbedarfs nach Feed-Aktualisierungen.

Clients, die einen öffentlichen Resolver, DNS-over-HTTPS im Browser oder einen fest programmierten Server verwenden, greifen niemals auf die Richtlinienzone zu. Blockierungen scheinen auf einigen Geräten zu funktionieren, auf anderen jedoch nicht, bis der ausgehende DNS-Verkehr auf zugelassene Resolver beschränkt wird.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Sprechen Sie mit uns

Das intelligente Netzwerk

Was ist RPZ (Response Policy Zone)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

RPZ auf einen Blick

So funktioniert RPZ

Warum RPZ in Unternehmensnetzwerken wichtig ist

Wie sich RPZ im Vergleich zu verwandten Begriffen darstellt

RPZ vs. DNS-Sinkhole

RPZ vs. Protective DNS

Häufige Probleme mit RPZ

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

RPZ-FAQ

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel

Was ist RPZ (Response Policy Zone)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

RPZ auf einen Blick

So funktioniert RPZ

Warum RPZ in Unternehmensnetzwerken wichtig ist

Wie sich RPZ im Vergleich zu verwandten Begriffen darstellt

RPZ vs. DNS-Sinkhole

RPZ vs. Protective DNS

Häufige Probleme mit RPZ

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

RPZ-FAQ

Was ist ein RPZ?

Was bedeutet RPZ im Zusammenhang mit DNS?

Wie richtet man ein DNS-RPZ ein?

Wie testet man ein RPZ?

Ersetzt RPZ eine Firewall?

Verwandte Begriffe

Verwandte Artikel